CN101094226A

CN101094226A - 管理网络安全框架及其信息处理方法

Info

Publication number: CN101094226A
Application number: CNA2006101672020A
Authority: CN
Inventors: 马宇智; 苗福友
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2006-06-19
Filing date: 2006-12-13
Publication date: 2007-12-26
Anticipated expiration: 2026-12-13
Also published as: CN101094226B; EP2031793A1; US20090100259A1; WO2008000177A1; EP2031793A4

Abstract

本发明提供了一种管理网络安全框架及其信息处理方法。本发明所述管理网络安全框架包括：管理站、被管设备。本发明所述方法包括：管理站和被管设备之间建立安全传输通道，并对管理站进行认证；管理站和被管设备之间利用所述安全传输通道进行信息交互。利用本发明，可以将高层管理协议、低层安全协议以及AAA(验证、授权、计费)系统有机地结合起来。

Description

管理网络安全框架及其信息处理方法

技术领域

本发明涉及通讯领域，尤其涉及一种管理网络安全框架及其信息处理方法。

背景技术

随着互联网的飞速发展以及新技术、新应用的不断涌现，互联网已经成为人们学习知识、获取信息、交流思想、开发潜能和休闲娱乐的重要平台。但网络安全问题也日益凸显，每年由各类安全事件造成的损失数以亿计。网络安全问题已经严重影响到当前经济以及社会稳定，也严重影响了人民群众正常的工作、学习和生活，网络安全问题已经成为当前亟需解决的重大问题。

网络安全问题主要包括如下三类：

1、信息篡改，报文在传输的过程中被中间的恶意网络节点非法篡改；

2、信息泄露，报文在传输过程中被非法拦截，并加以非法利用；

3、身份仿冒，一个恶意节点仿冒一个合法节点参与到协议通信中。

如何解决上述网络安全问题是当前的研究热点，传统的管理网络安全建立在管理协议自身的安全机制的基础上，即管理协议自身提供协议数据的机密性和完整性保证，以及用户认证和访问控制授权等安全机制，例如，SNMP(简单网络管理协议)版本3通过协议自己的USM(基于用户的安全模型)和VACM(基于视图的访问控制模型)模型提供相关安全特性。传统的管理网络安全框架可分为共享式和独占式两种模式，其示意图如图1所示。

在图1所示的共享模式中，一个管理站被多个用户所使用，这些用户共享一个管理通道。为了给每个用户提供安全保证，管理协议中需要携带报文机密性、报文完整性、用户认证和访问控制等相关的安全参数，被管设备除保证管理报文的机密性和完整性外，还要对每个用户进行认证和授权。

在图1所示的独占模式中，一个管理站由一个用户所使用，管理通道被该用户所独享，管理通道和用户之间存在确定的一对一绑定关系。如果管理通道本身能够提供身份认证，管理协议中无需携带用户信息，被管设备仅对管理站进行认证和授权即可。

当前管理网络安全的解决方案有两大发展趋势：

1：将高层的管理协议(简单网络管理协议SNMP、基于XML的网络配置协议NETCONF等)运行于低层安全协议(传输层安全协议TLS、安全外壳SSH、区块扩展交换协议BEEP等)之上，以解决管理数据机密性和完整性的安全问题，以及完成部分用户认证的工作，例如，将SNMP运行于SSH之上，将NETCONF运行于SSH或BEEP之上。针对该趋势IETF相关工作组正在制订SNMP运行于SSH之上的标准。

2、引入独立的AAA(验证、授权、计费)系统，用于管理用户的认证，以及访问控制授权。针对该趋势目前IETF尚没有专门的工作组制订这方面的标准。

现有技术中一种管理网络安全的解决方案为：在图1所示的共享模式的基础上，引入安全协议SSH，管理报文的机密性和完整性由SSH来保证。该技术方案的基本处理过程包括如下步骤：

步骤一、建立SSH会话通道。

当一个SNMP用户要访问某个设备，需要通过SNMP引擎发起SNMP请求时，首先使用SSH传输协议为该SNMP用户建立安全传输连接，该安全传输连接提供数据机密性和完整性保证；然后通过SSH用户认证协议对该SNMP用户进行认证；如果用户认证成功，则由SSH连接协议在SNMP引擎之间建立通信信道，并将SNMP用户与建立的通信信道进行关联。于是，SSH会话通道建立完成。

步骤二、启动SSH子系统。

SSH会话通道建立完成后，SNMP作为SSH的一个子系统被SNMP引擎启动。

步骤三、管理信息交互。

在SSH会话通道建立完成并且启动了SSH子系统后，管理站和被管设备之间就可以按照SSH协议的规定方式交互各种管理信息。

步骤四、新增加用户。

当另外一个使用相同的管理站引擎的SNMP用户需要访问同一个设备的时候，重复执行上述步骤一到三，为该SNMP用户再建立一个独立的SSH会话通道和SSH子系统。

上述现有技术的解决方案的缺点为：

1、一个通道信道与一个SNMP用户相关联，管理站和同一个被管设备之间的通信信道随用户数增加而增加，系统开销较大；

2、SSH连接建立(包括验证)是由管理站的SNMP引擎完成，而实际用户是通过应用程序使用SNMP引擎的，并且多个用户要共享一个管理站引擎。在该解决方案中，用户的验证完全由管理站的SNMP引擎决定，用户对于用户的验证没有控制权，因此，对用户认证没有必要，由于用户认证引起的连接通信信道开销也是没有必要的。

发明内容

本发明实施例的目的是提供一种管理网络安全框架及其信息处理方法，从而可以将高层管理协议、低层安全协议以及AAA系统有机地结合起来。

本发明实施例的目的是通过以下技术方案实现的：

一种管理网络安全框架，包括：管理站和被管设备，

管理站：用于和被管设备之前建立安全传输通道，利用所述安全传输通道和被管设备之间进行信息交互；

被管设备：用于和管理站之间建立安全传输通道；对管理站进行认证；利用所述安全传输通道和管理站之间进行信息交互。

一种管理网络安全框架的信息处理方法，包括步骤：

A、管理站和被管设备之间建立安全传输通道，并对管理站进行认证；

B、管理站和被管设备之间利用所述安全传输通道进行信息交互。

由上述本发明实施例提供的技术方案可以看出，本发明实施例通过将高层管理协议和低层安全协议进行分层，以及将AAA系统引入，从而将三者有机地结合起来。为各种管理协议提供了基本的安全模型，使得将来新产生的管理协议，都可以方便地融入该安全框架。管理站和同一个被管设备之间只需要建立一个的管理信道，节约系统开销。

本发明实施例提出在管理站和被管设备之间建立管理信道，并将告警和配置信息的管理信道相分离，降低了告警管理信道建立和认证的复杂度。

附图说明

图1为本方法所述现有的管理安全框架的结构示意图；

图2为本方法所述管理网络安全框架的实施例的结构示意图；

图3为本发明所述管理网络安全框架的信息处理方法的实施例的处理流程示意图；

图4为本发明所述在低层安全协议传输通道中建立管理信道的示意图。

具体实施方式

本发明实施例提供了一种管理网络安全框架及其信息处理方法，本发明实施例的主要技术特点为：将高层管理协议和低层安全协议进行分层，将AAA系统引入到安全框架，在低层安全协议层面对管理站进行认证，在高层管理协议层面对用户进行认证和授权，从而提供一种分层式管理网络安全框架。

下面结合附图来详细描述本发明实施例，本方法所述管理网络安全框架的实施例的结构如图2所示，包括管理站、AAA服务器和被管设备。每个单元的功能介绍如下：

管理站：对应一个或多个被管设备。低层安全协议客户端和被管设备中的低层安全协议服务端之间进行安全参数协商，并建立和被管设备之间的低层安全协议传输通道，在低层安全协议传输通道中建立和被管设备之间的管理通道。协商过程中携带用于认证管理站的认证信息。包括：低层安全协议客户端、高层管理协议客户端和AAA客户端。

其中，低层安全协议客户端：和被管设备中的低层安全协议服务端之间进行安全参数协商，协商过程中携带用于认证管理站的认证信息，并建立和被管设备之间的低层安全协议传输通道；

其中，高层管理协议客户端：通过低层安全协议传输通道向被管设备中的高层管理协议服务端发送携带认证信息和/或授权信息的报文；在对用户进行用户信息认证和访问控制授权后，通过用户发起和被管设备之间利用低层安全协议传输通道进行信息交互。高层管理协议客户端中包括：管理信道处理模块。

上述管理信道处理模块：用于在上述低层安全协议传输通道中建立和维护管理信道，一条安全传输通道可承载一条或多条管理信道。该管理信道包括两种模式：主机-用户模式和主机-主机模式。主机-用户模式的管理信道用于传输与用户相关的管理信息；主机-主机模式的管理信道用于传输与用户无关的告警或日志信息等管理信息。

其中，AAA客户端：向AAA服务器发送携带认证信息和/或授权信息的报文，发起对用户的认证和/或授权请求。

被管设备：低层安全协议服务端和管理站中的低层安全协议客户端之间进行安全参数协商后，向AAA服务器发起管理站的认证请求，并建立和管理站之间的低层安全协议传输通道。包括高层管理协议服务端、AAA客户端和低层安全协议服务端。

其中，高层管理协议服务端：接收管理站中的高层管理协议客户端发送的携带认证信息和/或授权信息的报文，将该认证和/或授权报文发送给AAA客户端；在对用户进行用户信息认证和访问控制授权后，通过用户发起和管理站之间利用低层安全协议传输通道进行信息交互。

其中，低层安全协议服务端：和管理站中的低层安全协议客户端之间进行安全参数协商，向AAA客户端发起管理站的认证请求，并建立和管理站之间的低层安全协议传输通道。

其中，AAA客户端：将低层安全协议服务端发送的认证请求传递给AAA服务器，将高层管理协议服务端发送的携带认证信息和/或授权信息的报文传递给AAA服务器，向AAA服务器发起对用户的认证和/或授权请求。

AAA服务器：根据接收到的认证请求对管理站进行认证；根据接收到的携带认证信息或授权信息的报文，对用户进行用户信息认证或访问控制授权。

上述高层管理协议指SNMP和/或NETCONF，以及将来新产生的高层管理协议等管理协议。低层安全协议指TLS、SSH以及将来新产生的低层安全管理协议等安全协议，AAA服务器指Diameter和/或Radius，以及将来新发展起来的认证服务器等认证授权服务器。AAA客户端指Diameter和/或Radius等客户端。

本发明所述管理网络安全框架的信息处理方法的实施例的处理流程如图3所示，包括如下步骤：

步骤3-1、管理站和被管设备之间通过低层安全协议进行安全参数协商。

在高层管理协议开始工作前，首先由管理站中的低层安全协议客户端和被管设备中的低层安全协议服务端之间进行安全参数协商，协商确定保证数据机密性和完整性所需的安全参数，该安全参数包括密钥、加密算法等。上述协商过程同时确定用于认证管理站的管理引擎标识等认证信息。

步骤3-2、AAA服务器对管理站进行认证。

在管理站和被管设备之间通过低层安全协议进行了上述安全参数协商后，被管设备中的低层安全协议服务端获取所述管理站认证信息，向AAA服务器发起管理站的认证请求，如果认证失败，则低层安全协议服务端向低层安全协议客户端通告认证失败原因，并终止后续操作；如果认证成功，则管理站中的低层安全协议客户端和被管设备中的低层安全协议服务端之间建立低层安全协议传输通道，该低层安全协议传输通道可以供高层管理协议使用。

步骤3-3、AAA服务器对用户进行用户信息认证。

在上述低层安全协议传输通道建立完成后，管理站需要对用户进行用户信息认证，以保证用户身份对管理站的合法性，认证方式有如下两种：

方式一：对应图2中标记3和标记4。管理站中的高层管理协议客户端通过低层安全协议传输通道向被管设备中的高层管理协议服务端发送携带认证信息的报文，该认证信息包括用户组标识和/或用户标识。高层管理协议服务端接收到所述认证报文后，将该认证报文传递给被管设备中的AAA客户端，通过AAA客户端向AAA服务器发起对用户的认证请求。

方式二：对应图2中的标记3’。管理站中的AAA客户端直接向AAA服务器发送携带认证信息的报文，发起对用户的认证请求，该认证信息包括用户组标识和/或用户标识。

如果上述对用户的认证请求失败，则高层管理协议终止本次对用户的认证涉及的管理操作；否则，执行步骤3-4。

步骤3-4、AAA服务器对用户进行访问控制授权。

在上述低层安全管理通道建立完成，并且对用户信息进行认证后，AAA服务器需要通过高层管理协议检查用户访问控制权限，检查方式有如下两种：

方式一：对应图2中标记3和标记4。管理站中的高层管理协议客户端通过低层安全协议传输通道向被管设备中的高层管理协议服务端发送携带授权信息的报文，该授权信息包括：用户组标识和/或用户标识，以及访问控制信息。高层管理协议服务端接收到所述授权报文后，将该授权报文传递给被管设备中的AAA客户端，通过AAA客户端向AAA服务器发起对用户的授权请求。

方式二：对应图2中的标记3’。AAA客户端直接向AAA服务器发送携带授权信息的报文，发起对用户的授权请求。该授权信息包括：用户组标识和/或用户标识，以及访问控制信息。

如果上述对用户的授权请求失败，则高层管理协议终止本次授权涉及的管理操作，如果请求成功，则执行步骤五。

步骤3-5、管理站在低层安全协议传输通道中建立管理信道，管理站和被管设备之间进行管理信息交互。

在上述低层安全协议传输通道建立完成，并且对用户信息进行认证和授权后，通过用户的发起，利用该低层安全协议传输通道管理站和被管设备之间按照协议规定方式进行各种管理信息交互。

上述低层安全协议传输通道可以被同一个管理站下的多个用户所共用，对于访问控制权限不同的同一个管理站下的用户，需要重复执行上述步骤3-3和步骤3-4。

在实际应用中，本发明所述AAA服务器和AAA客户端可以不作为物理实体存在，而仅作为逻辑功能存在，此时认证和/或授权相关的工作由被管设备完成。

管理站可以在上述低层安全协议传输通道中建立管理信道，一条安全传输通道可承载多条管理信道，该管理信道由管理协议进行建立和维护。本发明将管理信道划分为两种模式，即主机-用户模式(模式1)和主机-主机模式(模式2)。本发明所述在低层安全协议传输通道中建立管理信道的示意图如图4所示。图4中管理协议指SNMP、NETCONF、SYSLOG和IPFIX等管理协议，安全协议指TLS、DTLS和SSH等安全协议，传输协议指TCP和UDP等。

主机-用户模式的管理信道用于传输与用户相关的管理信息，包括SNMP读操作、SNMP写操作、NETCONF读命令、NETCONF编辑命令等配置操作。如，一个SNMP读操作是由一个用户发起的，被管设备必须检查该用户的真实性以及该用户是否有发起该操作的权限，因此该类型操作同用户相关的。上述用户身份检查同管理站和被管设备无关。因为每个用户的身份认证是独立的，因此，该用户身份检查不能同低层安全协议传输通道绑定，只能同每个管理信道绑定。

主机-主机模式的管理信道用于传输与用户无关的告警或日志信息等管理信息。比如SNMP告警信息、NETCONF告警信息和SYSLOG日志信息等。此类管理信道同用户没有直接关系，但是，主机(管理站和被管设备)之间必须存在信任关系，因此，此类管理信道需采用主机到主机的验证方式。并且，两端的实体之间的验证不仅同该管理信道绑定，同时也同低层安全协议传输通道绑定，如直接采用TLS的主机验证，验证后的身份不仅同低层安全协议传输通道绑定，也同主机到主机的管理信道绑定。

一个低层安全协议传输通道内可以同时包含多个主机-主机模式和主机-用户模式的管理通道。即一个低层安全协议传输通道可以同时承载多个用户的管理数据和主机到主机模式的管理数据。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims

1、一种管理网络安全框架，其特征在于，包括：管理站和被管设备，

2、根据权利要求1所述的管理网络安全框架，其特征在于，所述管理网络安全框架还包括：

验证、授权、计费AAA服务器：根据接收到的认证请求对管理站进行认证；根据接收到的携带认证信息和/或授权信息的报文，对用户进行用户信息认证和/或访问控制授权。

3、根据权利要求1所述的管理网络安全框架，其特征在于，所述的管理站具体包括：

低层安全协议客户端：和被管设备中的低层安全协议服务端之间进行安全参数协商，协商过程中携带用于认证管理站的认证信息，并建立和被管设备之间的低层安全协议传输通道；

高层管理协议客户端：利用低层安全协议传输通道通过高层协议向被管设备中的高层管理协议服务端发送携带认证信息和/或授权信息的报文；利用所述低层安全协议传输通道和被管设备之间进行信息交互。

4、根据权利要求3所述的管理网络安全框架，其特征在于，所述高层管理协议客户端具体包括：

管理信道处理模块：用于在所述低层安全协议传输通道中通过高层管理协议建立和维护管理信道，该管理信道分层次传输与用户相关的管理信息和与用户无关的管理信息。

5、根据权利要求3所述的管理网络安全框架，其特征在于，所述的管理站还包括：

AAA客户端：向AAA服务器发送携带认证信息和/或授权信息的报文，发起对用户的认证和/或授权请求。

6、根据权利要求1至5任一项所述的管理网络安全框架，其特征在于，所述的被管设备具体包括：

低层安全协议服务端：和管理站中的低层安全协议客户端之间进行安全参数协商，向AAA客户端发起管理站的认证请求，并建立和管理站之间的低层安全协议传输通道；

高层管理协议服务端：接收管理站中的高层管理协议客户端发送的携带认证信息和/或授权信息的报文，将该认证和/或授权报文发送给AAA客户端；利用低层安全协议传输通道和被管设备之间进行信息交互；

AAA客户端：将低层安全协议服务端发送的认证请求传递给AAA服务器，将高层管理协议服务端发送的携带认证信息和/或授权信息的报文传递给AAA服务器，向AAA服务器发起对用户的认证和/或授权请求。

7、一种管理网络安全框架的信息处理方法，其特征在于，包括步骤：

8、根据权利要求7所述的方法，其特征在于，所述的步骤A具体包括：

管理站和被管设备之间利用低层安全协议建立安全通信通道，通过AAA服务器对管理站进行认证。

9、根据权利要求8所述的方法，其特征在于，所述的步骤A具体包括：

A1、管理站中的低层安全协议客户端和被管设备中的低层安全协议服务端之间进行安全参数协商，协商确定保证数据机密性和完整性所需的安全参数；协商过程中同时携带用于认证管理站的认证信息；

A2、被管设备中的低层安全协议服务端获取所述认证信息，向AAA服务器发起管理站的认证请求，如果认证失败，则低层安全协议服务端向低层安全协议客户端通告认证失败原因，并终止后续操作；否则，管理站和被管设备之间建立低层安全协议传输通道。

10、根据权利要求7、8或9所述的方法，其特征在于，所述的步骤B具体包括：

管理站通过高层协议向AAA服务器发起用户认证和/或授权请求，在认证和授权请求通过后，和被管设备之间信息交互。

11、根据权利要求10所述的方法，其特征在于，所述的步骤B具体包括：

B1、管理站中的高层管理协议客户端通过所述低层安全协议传输通道向被管设备中的高层管理协议服务端发送携带认证信息的报文，所述高层管理协议服务端向AAA服务器发起对用户的认证请求，在认证请求通过后，执行步骤B2；

B2、所述高层管理协议客户端通过所述低层安全协议传输通道向所述高层管理协议服务端发送携带授权信息的报文，所述高层管理协议服务端向AAA服务器发起对用户的授权请求，在授权请求通过后，执行步骤B3；

B3、管理站和被管设备之间利用所述低层安全协议传输通道进行信息交互。

12、根据权利要求10所述的方法，其特征在于，所述的步骤B还包括：

管理站中的AAA客户端直接向AAA服务器发送携带认证信息和/或授权信息的报文，发起对用户的认证请求和/或授权请求。

13、根据权利要求11所述的方法，其特征在于，所述的步骤B3具体包括：

所述管理站通过高层管理协议在上述低层安全协议传输通道中建立和维护管理信道，利用该管理通道和被管设备之间传输管理信息。

14、根据权利要求13所述的方法，其特征在于，所述的管理通道包括：主机到用户模式的管理通道和主机到主机模式的管理通道；主机到用户模式的管理通道用于传输与用户相关的管理信息，主机到主机模式的管理通道用于传输与与用户无关的管理信息。

15、根据权利要求14所述的方法，其特征在于，所述的主机到用户模式的管理通道通过高层管理协议进行用户身份验证，所述的主机到主机模式的管理通道通过安全协议进行主机验证。