CN1496056A - 提供数据通信认证的方法、系统和设备 - Google Patents
提供数据通信认证的方法、系统和设备 Download PDFInfo
- Publication number
- CN1496056A CN1496056A CNA031272932A CN03127293A CN1496056A CN 1496056 A CN1496056 A CN 1496056A CN A031272932 A CNA031272932 A CN A031272932A CN 03127293 A CN03127293 A CN 03127293A CN 1496056 A CN1496056 A CN 1496056A
- Authority
- CN
- China
- Prior art keywords
- string
- client computer
- network entity
- proxy machine
- seed
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000004891 communication Methods 0.000 title claims abstract description 65
- 238000000034 method Methods 0.000 title claims abstract description 25
- 230000005540 biological transmission Effects 0.000 claims description 15
- 230000008859 change Effects 0.000 claims description 7
- 230000000295 complement effect Effects 0.000 claims description 4
- 238000012544 monitoring process Methods 0.000 abstract description 3
- 238000007726 management method Methods 0.000 description 17
- 239000003795 chemical substances by application Substances 0.000 description 10
- 230000008569 process Effects 0.000 description 6
- 238000013459 approach Methods 0.000 description 2
- 230000008878 coupling Effects 0.000 description 2
- 238000010168 coupling process Methods 0.000 description 2
- 238000005859 coupling reaction Methods 0.000 description 2
- 238000007689 inspection Methods 0.000 description 2
- 239000003550 marker Substances 0.000 description 2
- 230000007246 mechanism Effects 0.000 description 2
- 238000012545 processing Methods 0.000 description 2
- 230000004044 response Effects 0.000 description 2
- 238000012795 verification Methods 0.000 description 2
- 230000008901 benefit Effects 0.000 description 1
- 230000015572 biosynthetic process Effects 0.000 description 1
- 230000006835 compression Effects 0.000 description 1
- 238000007906 compression Methods 0.000 description 1
- 238000013524 data verification Methods 0.000 description 1
- 238000010586 diagram Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 230000006870 function Effects 0.000 description 1
- 230000000977 initiatory effect Effects 0.000 description 1
- 238000012552 review Methods 0.000 description 1
- 230000011664 signaling Effects 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/28—Restricting access to network management systems or functions, e.g. using authorisation function to access network configuration
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/02—Standardisation; Integration
- H04L41/0213—Standardised network management protocols, e.g. simple network management protocol [SNMP]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
- H04L63/126—Applying verification of the received information the source of the received data
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
Abstract
优选实施例使用SNMP消息的公用串字段保证代理机和客户机之间设置操作的安全。每一个公用串只被使用一次，并且在两端由相同的安全算法确定新的公用串。使用的安全算法基于随机种子并可通过由种子产生足够复杂的新的公用串，为系统提供所需的安全性。所使用的公用串应包含足够的比特，使得任何监视通信的人不能使用随机/序列串。根据本发明的方法，系统和实体是很实用的，因为它们能够为诸如简单网络管理协议(SNMP)的一般的非安全的网络通信协议提供某种程度的保障和认证，并仍能保持这种通信方式的简单原理。
Description
技术领域
本发明主要涉及通过一个通信线路来进行的数据通信。
背景技术
简单网络管理协议(SNMP)是一个标准的应用层协议，通过该协议一个网络单元的管理信息可以被逻辑上的远程用户检查或修改。SNMP被广泛用于管理因特网或其它采用传输控制协议(TCP/IP)或用户数据报协议(UDP)的网络的客户机—服务器通信。然而，SNMP并不局限于特定的客户机—服务器通信协议，因为SNMP控制的是用于访问管理信息的消息(message)的内容和协议，而不是消息发送的具体方式。SNMP在J.Case、M.Fedor、M.Schoffstall和J.Davin的1990年5月题为“一个简单网络管理协议(SNMP)”的因特网标准文件RFC 1175中定义，该文件在这里一并引用作为参考。
SNMP消息在网络中的客户机(在RFC 1175中被称作“manager”：管理机)和服务器(在RFC 1175中被称作“agent”：代理机)之间传递。每个SNMP消息为ASN.1标准的数据结构，该数据结构包括一个INTERGER类型的SNMP版本号、一个OCTETSTRING(8比特字节的字符串)类型的集合(community)名，和ANY类型的数据。
SNMP规范定义了在五个不同类别的SNMP消息的数据部分中使用的协议数据单元(PDU)。PDU为ASN.1的数据结构，包括一个INTERGER类型的请求ID号(Request ID)，一个INTERGER类型的错误状态(Error Status)，一个INTERGER类型的错误索引(Error Index)，一个SEQUENCE类型的VarBind，和作为VarBind的序列(SEQUENCE OF VarBind)的一个VarBindList。请求ID号识别PDU是否用于：一个用于获得管理对象的实例值的获取(Get)请求、一个用于获得值列表中的下一个值的获取下一个(Get next)请求、一个用于回答请求消息的获取(Get)应答消息、一个用于改变管理对象的实例值的设置(Set)请求，以及一个陷井(Trap)消息。一具体网络单元的管理对象在一个被称作管理信息库(MIB)的数据结构中定义。MIB包括该网络单元中的管理对象的对象标识(OID)，而OID用路径名表示。
SNMP提供了一个很低水平的安全保障。没有一种足够安全的方法可用于配置使用基于SNMP通信的装置。而且存在着被窃听或监听的危险。监视代理机和客户机间的通信和假扮成一个代理机或客户机是很容易的。存在这样一种危险：即，一个未经认证的实体可能改变正在传输的SNMP消息。而且，任何可以陷入(trap into)网络的人都可以访问“集合串：community string”，因此未经授权的实体可以假装成授权实体的身份。
已有的一种方法是代理机具有一个认证服务，它使用集合名作为一类密码，如果认证服务确定集合名不能访问代理机，那么代理机将拒绝该消息。这一点在RFC1157中讨论，例如，在4.1.6.5章。然而，因为单一密码方法的简单性，监视实体间的通信、破解简单的密码、假装成任何一方仍是相当容易的。
另一种方法在专利公开US 6,044,468中已经讨论过。客户机中的一个加密服务程序通过一个秘密关键码来加密网络管理信息，该秘密关键码可被消息所指向的代理机识别。加密服务调用客户机的一个SNMP消息传输服务以形成一个安全的SNMP消息，该消息具有一个明显的对象标识(OID)，可识别代理机中的一个加密服务，并具有一个包含加密结果的明显的值。该SNMP消息传输服务调用客户机端的一通信协议服务，以将安全SNMP消息发送给代理机。代理机端的一通信协议服务接收该安全SNMP消息，并将接受到的消息传送给代理机端的一SNMP消息接收服务。该SNMP消息接收服务检查安全SNMP消息中可见的集合名是否能够访问代理机，若能，则在代理机端的一个管理信息库(MIB)中搜索与OID相对应的一个子代理机，若找到这样的子代理机，则将该OID的明显的值调度(dispatch)给该子代理机。子代理机解密该明显值中的加密结果，若子代理机不能识别授权访问该代理机的秘密关键码，就拒绝该消息。然而，由于传输消息的加密和对基于额外验证的子代理机的需求，这种方法仍会增加系统的复杂性。这在SNMP中尤其是一个缺点，因为SNMP系统本来是被设计为适用于多种系统的简单而通用的通信协议。
考虑到基于SNMP的各种通信和系统所固有的限制，避免或减轻这些问题和与现有技术相关的其它问题正是所希望的。因此，需要有一种认证发自某一实体的消息的机制。而且，该机制应最大限度地与SNMP数据结构和协议相兼容。
发明内容
发明了一种方法和系统，用于普通的非安全网络通信协议，如简单网络管理协议(SNMP)中的实体认证。
依据本发明的第一个方面，提供了一种系统，用于提供对客户机和代理机间的通信线路上的依照一般的非安全网络通信协议进行的数据通信的认证，该协议包含一个用于数据通信应用的公用串字段(communal string field)，其中基于在客户机和代理机间的共享种子(shared seed)而待被使用一次的串被改编(update)以合并到将在客户机和代理机间传输的公用串字段中用于认证，其中，该串基于该共享种子通过实质上类似的算法在客户机和代理机处被确定。
依据本发明的第二个方面，提供了一种装置，提供对客户机和代理机间的通信线路上的依照一般的非安全网络通信协议进行的数据通信的认证，该协议包含一个用于数据通信中一应用(appliance)的公用串字段，其中基于在客户机和代理机间的共享种子而待被使用一次的串被改编以合并到将在客户机和代理机间传输的公用串字段中用于认证，其中，该一次使用的串基于该共享种子通过实质上类似的算法在客户机和代理机处被确定。
依据本发明的第三个方面，提供了一种方法，提供对发送网络实体和接收网络实体间的通信线路上的依照一般的非安全网络通信协议进行的数据通信的认证，该协议包含用于数据通信应用的一个公用串字段，其中，该方法包括以下步骤：
在任何一个网络实体处生成一个种子，以将该种子与另一个未建立该种子的网络实体共享。
与另一个未建立种子的网络实体共享该种子。
基于该共享种子，在发送网络实体和接收网络实体处生成待被使用一次的串。
在发送网络实体处，合并该串到公用串字段中用于依据一般的非安全网络通信协议传送一消息。
在接收网络实体处接收该消息。
检查该消息的公用串字段中的串是否与在接收网络实体处计算的串一致，并且，
若消息的公用串字段中的串和生成的串一致，认证该消息。
为更好地理解本发明，可结合附图参考以下说明，本发明的范围在附加权利要求中被指出。
附图说明
将通过参照附图的例子来描述本发明，其中：
图1描述了一个运用了本发明原理的网络环境实施例，
图2描述了包含一用于根据本发明实施例的网络实体认证的动态变量标识符的加编码SNMP消息的例子。
图3以流程图和信号系统图组合的方式，描述了一个依据本发明实施例的在一般非安全网络通信协议中认证网络实体的方法。
图4以流程图的方式，描述了一个依据本发明实施例的在一般非安全网络通信协议中认证网络实体的集合方法。
具体实施方式
本发明的优选实施例提供了一种用于认证参与者身份的方法、系统和网络实体。该优选实施例将SNMP消息的公用串字段应用于基于安全设置的代理机和客户机间的操作。每一个公用的串只被使用一次，且新的串在两方以相同的安全算法进行确定。使用的安全算法基于随机种子(random seed)，并且通过由种子产生足够复杂的新的公用串，可以为系统提供所需的安全性。所应用的公用串应当包含足够的比特，使任何监视通信的人都无法使用随机/顺序串。最好，使用至少五个字符。依照本发明的方法、系统和实体是很实用的，因为它们为一般的非安全网络通信协议，如简单网络管理协议(SNMP)，提供一定程度的安全和认证，并且仍保持这种通信方式的简单原理。
图1在前面已经描述过。在下文中，相同的参考标记对应相同的部分。本发明的一些实施例涉及客户机(100)。该客户机(100)被定义为通过网络(104)发送(还可能接收)消息的数据处理装置。客户机(100)可以是一个用户或者一个管理员的一个工作站(未示出)。该客户机(100)包括数据处理器(未示出)和存储器(未示出)。数据处理器执行存储器中的各种程序，并且程序的执行可能改变存储器中的信息状态。同样的，本发明的一些实施例还涉及代理机(102)。该代理机(102)被定义为接收(还可能发送)消息的数据处理装置。代理机(102)可以是被系统管理员配置的网络文件服务器。代理机(102)也包括数据处理器(未示出)和存储器(未示出)。更多的关于客户机和代理机的技术细节能够从标准化规范RFC 1157中得到。
本发明的一些实施例涉及SNMP消息。该SNMP消息包括三个主要部分：协议版本、SNMP共有标识符也称作公用串或公用串字段，和数据区域。数据区域被分为协议数据单元(PDU)。SNMP消息应用ASN-1编码。在图2中可以看到编码SNMP消息的一个例子。公用串字段被存储在一个字符串中，在例子中，该字符串是一个包含字“公用(public)”的6-八位字节串。更多的关于SNMP消息的技术细节能够从标准化规范RFC 1157中得到。
回到图1中的例子，客户机(100)使用简单网络管理协议(SNMP)检查或修改代理机(102)的管理信息。客户机(100)包括一个客户机应用程序(未示出)，该客户机应用程序指定将被检查或修改的管理信息，并且代理机(102)包括一个能够访问或修改代理机(102)的存储器中的管理信息的代理机应用程序(未示出)。SNMP是一个应用层的协议，它能够被客户机应用程序或者代理机应用程序调用，以使用各种通信协议发送或接收消息。客户机100具有一个SNMP发送服务(未示出)和一个SNMP接收服务(未示出)，分别用于发送和接收SNMP消息。SNMP发送服务调用一个通信协议服务(未示出)以通过网络(104)发送SNMP消息。以类似的方式，该通信协议服务可以从网络(104)接收SNMP消息并且将该消息引导至SNMP接收服务。代理机(102)同样也有一个SNMP发送服务(未示出)、一个SNMP接收服务(未示出)和一个通信协议服务(未示出)。该通信协议服务，使用例如传输控制协议(TCP/IP)或者用户数据报协议(UDP)。
仍参看图1的例子，两个实体(客户机100和代理机102)都有一个用于从种子计算新的公用串的安全算法程序(未示出)。该安全算法基于后文将详细说明的依赖实体而产生或者获得的种子。该安全算法程序接收种子。基于接收的种子，安全算法程序计算一个新的值/串，该值/串因此也是基于种子的。这个新的值是随机的且并非基于循环顺序系列(cyclical sequential series)。然而，这种计算循环有一点很重要，那就是，从该种子开始，这里讨论的该轮计算总是提供相同的值(相同的串)。这给系统提供一个好处：对于从种子开始的相同的一轮计算，安全算法程序可输出完全相同的结果。例如，1)一个字符串“qwerty”表示种子。2)安全算法程序接收该串“qwerty”并且产生一个新的串值“！”#¤％&/()＝”。在这个步骤应当注意：尽管完全相同的实体中完全相同的程序可能不执行该操作，也将产生完全一致的结果“！”#¤％&/()＝”。例如，有相同安全算法程序的客户机和代理机在第一轮计算中将产生同样的结果。3)在第二轮计算中该安全算法程序产生一个新的串值“ASDFGHJKL”。当然，在该特定轮次的计算过程中，任何可操作设备中的任何安全算法程序都将再次产生这个结果，该安全算法程序可以基于，例如MD5。
MD5是一个用于通过由输入数据(可能是任何长度的消息)产生一个128比特消息摘要来验证数据完整性的算法，其中要求该输入数据对于该指定的数据是唯一的，就像指纹对于个人一样。在一个公开密钥密码系统中，MD5将和数字签名应用程序一起使用，而数字签名应用程序需要大的文件在用一个秘密关键码加密之前，必须在公共密钥密码系统下通过一个安全方法压缩。MD5是一个现行的标准，Internet工程任务小组(IETF)请求评论(RFC)1321，该标准一并在此作为引用。根据这个标准，任何两个已被输入到MD5算法的消息能够输出相同的消息摘要，或者一个错误的消息能够通过该消息摘要的解释而产生，“在计算上是不可能的”。MD5是第三消息摘要算法。全部三个算法(另外两个是MD2和MD4)都具有相同的结构，，但是，与后两个更适合32位机的规则相比较，MD2更适合8位机。MD5算法是MD4的一个扩展，MD4的临界复查(critical review)被认为很快，但是可能不是绝对安全。相比较，MD5不如MD4算法速度快，但是能够提供更多数据安全的保证。
仍参阅图1中的例子，代理机102还有一个用于生成种子的随机数产生器。最好是，该随机数发生器是一个伪随机数产生器(PRNG)。PRNG当需要大量随机数字时，为概率及统计应用程序而写的并用于其中的程序。大多数这些程序可产生无数个单一数字编号的串，通常是基于10的，即公知的十进制系统。当采用伪随机数的大样本时，在数组{0，1，2，3，4，5，6，7，8，9}中的10个数字里的每个数字以基本上相同的频率出现，即使它们在队列里不是均等分布。例如，随机数产生器生成种子“qwerty”。可替换地，客户机100可以有一个随机数产生器，或者两个网络实体都有随机数产生器。
仍参阅图1中的例子，两个网络实体都存储一个认证检查程序(未示出)。该认证检查程序被应用在该系统中，用于检查公用串是否是所预期的串。下面描述该认证检查程序的一些操作。当从种子生成任何公用串时，计算出的公用串被加入到SNMP消息中用于认证并且传递到网络另一端。网络的另一端通过检查公用串字段并将接收到的公用串字段的值/串和由网络另一端的安全算法程序所获得的值/串进行比较，来检查认证和SNMP消息的有效性。如果值/串表示(或者本身是)相同，则可以推断该SNMP消息是可信的并且来自于正确可信的用户。如果接收到的公用串的值/串和接收端所计算的公用串值之间存在任何差别，则该可靠性检查程序输出一个错误。这表示可能存在一个未经授权的用户。
图3在前面已经描述过。在下文中，相同的附图标记对应相同的部分。图3中的例子有两个真实的网络实体或者也可以叫做网络节点：客户机100和代理机102。图3中的例子与依据一般非安全网络协议通信例如SNMP的操作是兼容的。两个网络实体中的任一个可生成种子(步骤300和302)。最好，代理机102通过随机数产生器程序生成种子。客户机100通过依据SNMP通信协议的获取(get)操作与代理机102联系。在这一步，种子可以事先生成或者也可以不事先生成，或者作为已经接收的SNMP通信的开始而生成。客户机100用任何公用串将该获取操作发送到厂商认证对象。代理机102接收通信并通过发送种子回答客户机100。最好，种子包含在SNMP消息的协议数据单元(PDU)字段中。种子具有足够多的有意义的比特来随机化实际的种子及任何基于该种子的衍生物。
参阅图3的例子，可替换地，种子可以在客户机100中生成，但是当然，种子通过SNMP消息与代理机102通信，以便协调用于安全算法过程的网络实体。
仍参阅图3的例子，在步骤304和306中从种子计算出一个新的公用串。代理机102和客户机100都通过安全算法程序从种子计算出新的公用串。所计算出的公用串存储在这两个实体中。其后，无论何时需要基于SET的操作时，已确定的用于用户验证的公用串都可随时使用。在步骤308，客户机已经收到一些网络操作的需求，这些需求最好能假定安全的一些级别。客户机100将新生成的公用串附加或合并到公用串字段中。客户机100发送基于SET的操作到代理机102。这种发送由基于那些包含公用串字段中已确定的串的消息的SNMP组成。在步骤308和310中，代理机102接收SNMP消息。代理机102检查该SNMP消息，特别是检查公用串字段。如果公用串字段是所预期的，例如，被发送的公用串字段的值与代理机102计算出的公用串字段的值相匹配，则代理机102就接受认证。代理机102可以通过发送一个肯定的确认给客户机100作为应答。可替换地，代理机102也可以将其生成的公用串字段的值附到应答SNMP消息中，用于客户机100进行的进一步认证。步骤308和310对当前使用的计算出的公用串字段值只使用一次。当已对这些值使用一次之后，在网络的两端，程序分别返回到步骤304和306。有利的是，认证串因此只被使用一次，使通过监视破解认证串更加困难。因此，无论何时需要更多的基于SET的操作时，或者一个单独的基于SET的操作假定要多于一次的消息认证时，或者因为某种原因，每个消息都要被认证时，在网络两端都可确定新的公用串(步骤304和306)，并且在步骤308和310中，刚被确定的串在实际SET操作的认证过程中只被使用一次。步骤304和306以及步骤308和310的循环可被执行多次，只要网络两端保持相同的生成、应用轮次，及相应地保持相同的公用串字段的值/串识别轮次。
仍参阅图3的例子，如果代理机102检测到其接收的公用串字段的值与其计算的公用串字段的值不匹配，则代理机102可以推断出该SNMP消息是不可信的。因而，代理机102可以忽略其接收到的该SNMP消息。代理机102返回程序到步骤300再次生成种子。代理机102可以回应一个错误确认(否定的确认)到发送该SNMP消息的一方。因此，发送SET操作SNMP消息的一方接收到关于失败的消息。现在，如果这一方是客户机100兼容的(以及不是任何冒名顶替的)，它可以返回到程序中的步骤302，与代理机102再次建立合适的认证通信。
仍参阅图3的例子，当然，客户机100能够检测到其接收到的公用串字段的值与其计算的公用串字段的值不匹配，客户机100能推断出该SNMP消息是不可信的。
图4在前面已经描述过，在下文中，相同的参考标记对应相同的部分。在步骤400中生成种子。最好，种子由代理机102生成，并且该种子可能事先被确定并存储。可替换地，客户机100可以生成种子，或者两端都可生成种子并且由发起种子共享的一端确定主要的和被使用的种子。种子由上面图1中的例子中所描述的随机数生成程序生成。在步骤402中，客户机100开始获取操作。客户机100通过SNMP消息向代理机102发送获取请求(子步骤408)。这里的SNMP消息包括任何公用串字段的值。作为来自代理机102的应答，客户机100接收包含种子的SNMP消息。最好，该种子包含在SNMP消息的PDU字段中。这样，代理机102可通过获取应答(get-response)来应答客户机100(子步骤410)。最好，种子的比特量应足够大，使计算随机数的过程足够可靠。在步骤404中，由种子值计算基于认证的公用串字段的值。客户机100和代理机102都通过在结合图1例子的内容中描述的安全算法程序执行基于相同种子的计算。客户机100获得一个基于SET的通信请求。基于种子计算出的值被嵌入到SNMP消息的公用串字段中。客户机100通过SNMP消息发送基于SET的操作到代理机102。该SNMP消息包括计算出的公用串字段的值。代理机102接收该SNMP消息，检查该SNMP消息的公用串字段的值。代理机102检查该SNMP消息的公用串字段的值是否与其通过安全算法程序由种子计算出的值相匹配。如果匹配，则代理机发送确认应答。代理机102还根据从客户机100接收的SET操作请求进行动作。步骤406确保在此过程中认证串只被使用一次。通过强制两端都从用于认证的种子生成一个新的公用串，两端都只执行步骤406一次，这样确保和提高了安全性。步骤404和406的循环能够被执行多次，只要网络两端保持相同的生成、应用轮次，及相应地保持相同的公用串字段的值/串识别轮次。
仍参阅图4中的例子，可替换地，该系统可以有附加认证步骤。在代理机102已接收了包含用于认证的第一公用串字段的值的SNMP消息之后，代理机102通常检查接收到的值和生成的值之间地移植性。代理机102现在可以将其通过安全算法程序生成的值，加到确认SNMP消息的公用串字段中，并将该信息发送给客户机100。客户机100接收到该消息，并且也检查其通过安全算法程序生成的、要发送给代理机102的值与接收到的确认SNMP消息值之间的移植性。如果匹配，则客户机100经历了一个双重认证检查。客户机100现在可能也得到了它在与一个已认证的代理机通信的确认。这对于在两端都发起认证甚至哪怕是假定认证的一些操作或功能是有好处的。例如，许多基于电信的金融交易都假定了参与者的权限。可再次看到，在这个可替换的实施例中，如果任何一端检测到公用串字段值之间存在不匹配，则意味着另外一方的可信性是可疑的。过程返回到步骤400。
至少有两个可引起返回的可选项。1)任何一方检测到值不匹配并返回到起始步骤。另一个用户可能仍处于基于原始的种子生成新的公用串的循环中。然而，另一方即使没有接收到相关的明确消息也可能检查到存在一个错误。由于基于已请求的SNMP消息的操作没有提供结果，因此另一方可以推断出发生了错误并能返回到程序的开始。2)任何一方发送否定的确认SNMP消息给认证不匹配的另一方。该否定的确认消息可以包括一个重新开始生成种子的请求。
仍参阅图4中的例子，可替换地，每当SNMP消息在两个网络实体之间发送时，当前所使用的公用串字段的值都可改变。例如，第一个被确定的公用串字段的值被使用在基于从客户机到代理机的SET操作中。第二个公用串字段的值在两端都被确定，并且该第二个值被用在从代理机到客户机的应答中。
客户机(和代理机，分别)可以作为一个发送网络实体或者接收网络实体进行操作。因此，在根据一般非安全网络通信协议，例如SNMP的数据通信中，一对代理机-客户机形成了一对发送器-接收器(或者是接收器-发送器)。
这里描述了本发明的特定实现和实施例。熟悉本领域的技术人员应清楚本发明并不限于上面实施例介绍的细节，且本发明可在使用相同手段的其它实施例中实现，而不会偏离本发明的特征。本发明的范围仅由所附权利要求来界定。
Claims (13)
1.一种用于提供在一个客户机(100)和一个代理机(102)之间的通信线路(104)上的根据一般的非安全网络协议的数据通信的认证的系统，该协议包含一个用于所述数据通信应用中的公用串字段，其特征在于，基于在所述客户机和所述代理机之间共享的种子，待被使用一次的一个串被改编以合并到将在所述客户机和所述代理机之间被传输的所述公用串字段中用于认证，其中，基于所述共享种子，所述串在所述客户机和所述代理机处通过实质上类似的算法而均被确定。
2.根据权利要求1所述的系统，如果所述客户机或是所述代理机已使用了所述一次使用的串一次，则基于所述共享种子，被修改以被使用一次的一第二个串被确定。
3.根据权利要求2所述的系统，其中一发送网络实体的发送的使用一次的串与一接收网络实体的生成的使用一次的串在每一轮串计算中相匹配，且任何其它成对串都不相匹配，其中依赖于在所述通信线路上所述客户机和所述代理机的操作模式，所述客户机和所述代理机包括一个发送网络实体和一个接收网络实体，其中这些角色是可以转变的。
4.根据权利要求1所述的系统，其中所述共享种子是基于随机数发生器，并且在所述客户机和所述代理机的任一个中生成，并且与没有生成所述共享种子的一方通信。
5.根据前述任一权利要求，其中所述一般的非安全网络通信协议包括简单网络管理协议(SNMP)。
6.根据前述任一权利要求，其中所述通信线路(104)包括因特网。
7.根据前述任一权利要求，其中所述算法生成一个被使用一次的新串，该串是基于所述种子和一个安全随机逻辑，该安全随机逻辑使得难以复制多个该串的型式。
8.根据权利要求1所述的系统，其中所述客户机和所述代理机通过所述客户机和所述代理机间的确认消息，保持当前生成的串和使用一次串的操作循环的同步。
9.根据权利要求1所述的系统，其中如果在所述客户机和所述代理机之间发送的所述将被使用一次的串与接收网络实体的生成的将被使用一次的串不一致，则所述客户机或所述代理机根据未认证的数据通信设置一个操作，其中依赖于在所述通信线路上所述客户机和所述代理机的操作模式，所述客户机和所述代理机包括一个发送网络实体和一个接收网络实体，其中这些角色是可以转变的。
10.一种用于提供在一个客户机(100，102)和一个代理机(100，102)之间的通信线路(104)上的根据一个一般的非安全网络协议的数据通信的认证的装置(100，102)，该协议包含一个用于所述数据通信中一应用的公用串字段，其特征在于，基于在所述客户机和所述代理机之间共享的种子，被使用一次的一个串被改编以合并到将在所述客户机和所述代理机之间被传输的所述公用串字段中用于认证，其中，基于所述共享种子，所述使用一次的串通过实质上类似的算法在所述客户机和所述代理机处被确定。
11.一种用于提供在一个发送网络实体(100，102)和一个接收网络实体(100，102)间的通信线路(104)上的根据一般的非安全网络通信协议的数据通信的认证的方法，该协议包含一个用于在所述数据通信中的应用的公用串字段，其特征在于，该方法包括以下步骤：
在两个所述网络实体中的任何一个处建立一种子，用于与另一没有建立该种子的网络实体共享该种子，
与另一没有建立种子的网络实体共享所述种子，
在所述发送网络实体和所述接收网络实体处，基于所述共享种子生成待被使用一次的串，
在发送网络实体处将所述串合并到所述公用串字段中用于根据所述一般的非安全网络通信协议发送一个消息，
在所述接收网络实体中接收所述消息，
检查所述消息的公用串字段中的该串与在所述接收网络实体的被计算的串是否一致，
如果所述消息的公用串字段中的串与所述生成的串一致，则认证该消息。
12.根据权利要求11所述的方法，还包括以下步骤
在所述发送网络实体和所述接收网络实体处，基于所述共享种子生成待被使用一次的第二个串，
在所述发送网络实体处将所述第二个串合并到所述公用串字段中用于根据所述一般的非安全的网络通信协议发送一第二消息，
在所述接收网络实体处接收所述第二消息，
检查所述第二消息的公用串字段中的第二个串与在所述接收网络实体中计算的第二个串是否一致，
如果所述第二消息的公用串字段中的第二个串与所述生成的第二个串一致，则认证该第二消息。
13.根据权利要求11所述的方法，其中依赖于在所述通信线路上所述发送网络实体和所述接收网络实体的操作模式，所述发送网络实体和所述接收网络实体包括一个客户机和一个代理机，其中这些角色是可以转变的。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| FI20021594 | 2002-09-06 | ||
| FI20021594A FI113924B (fi) | 2002-09-06 | 2002-09-06 | Menetelmä, järjestelmä ja laite dataliikenteen aitouden osoittamiseksi |
Related Child Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN200810161916XA Division CN101425925B (zh) | 2002-09-06 | 2003-09-05 | 提供数据通信认证的方法、系统和设备 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN1496056A true CN1496056A (zh) | 2004-05-12 |
Family
ID=8564540
Family Applications (2)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN200810161916XA Expired - Lifetime CN101425925B (zh) | 2002-09-06 | 2003-09-05 | 提供数据通信认证的方法、系统和设备 |
| CNA031272932A Pending CN1496056A (zh) | 2002-09-06 | 2003-09-05 | 提供数据通信认证的方法、系统和设备 |
Family Applications Before (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN200810161916XA Expired - Lifetime CN101425925B (zh) | 2002-09-06 | 2003-09-05 | 提供数据通信认证的方法、系统和设备 |
Country Status (5)
| Country | Link |
|---|---|
| US (1) | US20050076206A1 (zh) |
| EP (1) | EP1396961B1 (zh) |
| CN (2) | CN101425925B (zh) |
| DE (1) | DE60302620T2 (zh) |
| FI (1) | FI113924B (zh) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN100425022C (zh) * | 2005-06-22 | 2008-10-08 | 腾讯科技（深圳）有限公司 | 在通信设备间产生相同随机数的方法及系统 |
| CN1820481B (zh) * | 2003-07-11 | 2010-05-05 | 国际商业机器公司 | 在客户机-服务器环境中认证客户机的系统和方法 |
| CN101156361B (zh) * | 2005-03-31 | 2013-06-19 | 诺基亚西门子通信有限责任两合公司 | 用于控制对至少一个通信装置的访问的方法、通信设备和通信装置 |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7779420B1 (en) | 2003-09-29 | 2010-08-17 | Cisco Technology, Inc. | Verifying information stored on a managed network device |
| US7555826B2 (en) | 2005-12-22 | 2009-07-07 | Avery Dennison Corporation | Method of manufacturing RFID devices |
| US7877469B2 (en) * | 2006-02-01 | 2011-01-25 | Samsung Electronics Co., Ltd. | Authentication and authorization for simple network management protocol (SNMP) |
Family Cites Families (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6226383B1 (en) * | 1996-04-17 | 2001-05-01 | Integrity Sciences, Inc. | Cryptographic methods for remote authentication |
| US6690289B1 (en) * | 1997-06-12 | 2004-02-10 | Microsoft Corporation | Message formatting, authentication, and error detection in home control systems |
| US6044468A (en) * | 1997-08-25 | 2000-03-28 | Emc Corporation | Secure transmission using an ordinarily insecure network communication protocol such as SNMP |
| US6047072A (en) * | 1997-10-23 | 2000-04-04 | Signals, Inc. | Method for secure key distribution over a nonsecure communications network |
| US6664978B1 (en) * | 1997-11-17 | 2003-12-16 | Fujitsu Limited | Client-server computer network management architecture |
| IL126147A0 (en) * | 1998-09-09 | 1999-05-09 | Focus Lion Communications & Ad | Method and system for the protected distribution of network files |
| US6851052B1 (en) * | 1998-12-10 | 2005-02-01 | Telcordia Technologies, Inc. | Method and device for generating approximate message authentication codes |
| US6985583B1 (en) * | 1999-05-04 | 2006-01-10 | Rsa Security Inc. | System and method for authentication seed distribution |
| FI19991733A (fi) * | 1999-08-16 | 2001-02-17 | Nokia Networks Oy | Autentikointi matkaviestinjärjestelmässä |
| JP2003510965A (ja) * | 1999-09-28 | 2003-03-18 | トムソン ライセンシング ソシエテ アノニム | 簡易ネットワーク管理プロトコル（ｓｎｍｐ）エージェントを初期化するためのシステムおよび方法 |
| DE60023155T2 (de) * | 2000-11-24 | 2006-07-06 | Telefonaktiebolaget Lm Ericsson (Publ) | Betrugsfeststellungsverfahren für Mobiltelekommunikationsnetze |
| US6988148B1 (en) * | 2001-01-19 | 2006-01-17 | Cisco Technology, Inc. | IP pool management utilizing an IP pool MIB |
| US20030210699A1 (en) * | 2002-05-08 | 2003-11-13 | Adc Dsl Systems, Inc. | Extending a network management protocol to network nodes without IP address allocations |
-
2002
- 2002-09-06 FI FI20021594A patent/FI113924B/fi not_active IP Right Cessation
-
2003
- 2003-09-05 DE DE60302620T patent/DE60302620T2/de not_active Expired - Lifetime
- 2003-09-05 US US10/656,887 patent/US20050076206A1/en not_active Abandoned
- 2003-09-05 EP EP03396080A patent/EP1396961B1/en not_active Expired - Lifetime
- 2003-09-05 CN CN200810161916XA patent/CN101425925B/zh not_active Expired - Lifetime
- 2003-09-05 CN CNA031272932A patent/CN1496056A/zh active Pending
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1820481B (zh) * | 2003-07-11 | 2010-05-05 | 国际商业机器公司 | 在客户机-服务器环境中认证客户机的系统和方法 |
| CN101156361B (zh) * | 2005-03-31 | 2013-06-19 | 诺基亚西门子通信有限责任两合公司 | 用于控制对至少一个通信装置的访问的方法、通信设备和通信装置 |
| CN100425022C (zh) * | 2005-06-22 | 2008-10-08 | 腾讯科技（深圳）有限公司 | 在通信设备间产生相同随机数的方法及系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| EP1396961B1 (en) | 2005-12-07 |
| DE60302620D1 (de) | 2006-01-12 |
| CN101425925B (zh) | 2011-04-06 |
| FI20021594A (fi) | 2004-03-07 |
| FI113924B (fi) | 2004-06-30 |
| US20050076206A1 (en) | 2005-04-07 |
| EP1396961A1 (en) | 2004-03-10 |
| FI20021594A0 (fi) | 2002-09-06 |
| CN101425925A (zh) | 2009-05-06 |
| DE60302620T2 (de) | 2006-06-22 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN110535971B (zh) | 基于区块链的接口配置处理方法、装置、设备及存储介质 | |
| CN113691502B (zh) | 通信方法、装置、网关服务器、客户端及存储介质 | |
| KR101467067B1 (ko) | 보안 기능 평가 시스템 및 방법 | |
| CN112863017A (zh) | 一种智慧社区楼宇对讲系统动态密码开锁装置、方法、设备及存储介质 | |
| US10122755B2 (en) | Method and apparatus for detecting that an attacker has sent one or more messages to a receiver node | |
| CN112653664A (zh) | 一种网络之间高安全可靠的数据交换系统及方法 | |
| CN110943840A (zh) | 一种签名验证方法及系统 | |
| CN109726578B (zh) | 一种动态二维码防伪解决办法 | |
| CN1633072A (zh) | 一种支持弱口令的双服务器认证方案 | |
| Jin et al. | Proof of aliveness | |
| CN101425925B (zh) | 提供数据通信认证的方法、系统和设备 | |
| CN115473655B (zh) | 接入网络的终端认证方法、装置及存储介质 | |
| CN116108416A (zh) | 一种应用程序接口安全防护方法及系统 | |
| Almuzaini et al. | Formal analysis of the signal protocol using the scyther tool | |
| CN115643047A (zh) | 一种基于诚信奖励的区块链身份认证方法 | |
| CN113794568A (zh) | 接口安全验证方法、访问接口的方法、装置、设备和介质 | |
| CN115391795A (zh) | 数据处理方法、相关设备及介质 | |
| WO2021167534A1 (en) | Biometric template recognition system | |
| CN111669380B (zh) | 一种基于运维审计系统的免密登录方法 | |
| CN116980474B (zh) | 一种数据推送系统的日志数据订阅管理方法 | |
| CN111031075B (zh) | 网络服务安全访问方法、终端、系统和可读存储介质 | |
| TWI822417B (zh) | 身分認證方法 | |
| CN111835713B (zh) | 一种安全认证方法、装置和存储介质 | |
| CN112187462B (zh) | 数据处理方法、装置、电子设备及计算机可读介质 | |
| KR100406292B1 (ko) | 터미널 통신상의 사용자 보안 및 자동 인증을 위한 비밀번호 전송시스템 및 전송방법 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C12 | Rejection of a patent application after its publication | ||
| RJ01 | Rejection of invention patent application after publication |