WO2007140719A1 - Procédé, appareil et système pour acquérir une clé de gestion snmp - Google Patents

Procédé, appareil et système pour acquérir une clé de gestion snmp Download PDF

Info

Publication number
WO2007140719A1
WO2007140719A1 PCT/CN2007/070003 CN2007070003W WO2007140719A1 WO 2007140719 A1 WO2007140719 A1 WO 2007140719A1 CN 2007070003 W CN2007070003 W CN 2007070003W WO 2007140719 A1 WO2007140719 A1 WO 2007140719A1
Authority
WO
WIPO (PCT)
Prior art keywords
key
snmp
management station
negotiation
master key
Prior art date
Application number
PCT/CN2007/070003
Other languages
English (en)
French (fr)
Inventor
Yuanxiang Chen
Quan Zhang
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Publication of WO2007140719A1 publication Critical patent/WO2007140719A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/28—Restricting access to network management systems or functions, e.g. using authorisation function to access network configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
    • H04L9/0844—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols with user authentication or key authentication, e.g. ElGamal, MTI, MQV-Menezes-Qu-Vanstone protocol or Diffie-Hellman protocols using implicitly-certified keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying

Definitions

  • the present invention relates to computer network management, and in particular to a method, device and system for automatically acquiring a Simple Network Management Protocol (SNMP) management key based on a public-private key system.
  • SNMP Simple Network Management Protocol
  • SNMP is a general network management protocol developed by the Internet Engineering Task Force (IETF). It provides a method for collecting network management information from network devices. At the same time, it can manage network devices through a combination of loop messages and incident reporting. Suitable for a variety of communication transmission protocols.
  • IETF Internet Engineering Task Force
  • SNMP management and maintenance of the network is accomplished through the interaction between the management workstation and the SNMP agent. Each SNMP agent is responsible for answering various queries from the SNMP management station about the Management Information Base (MIB) definition information.
  • MIB Management Information Base
  • SNMP has several versions, such as vl, v2c, and v3.
  • the user-based security model USM
  • USM user-based security model
  • the USM achieves this by encrypting the message packet with the Data Encryption Standard-Cyclic Redundancy Check (DES-CRC) algorithm, calculating the signature for the message with the MD5/SHA1 algorithm, and increasing the timestamp of the message.
  • DES-CRC Data Encryption Standard-Cyclic Redundancy Check
  • the USM user rights management system is a shared key-based mechanism. If the SNMPv3 management protocol is adopted in the system, the engine identifier (EngineID), user name, and its corresponding DES- must be configured for each network entity in advance. The initial key of the CRC encryption algorithm, The initial key of the MD5 signature algorithm. In a network system, the number of devices is huge, and the number of devices in the terminal management system can reach tens of thousands. If the network proxy entity and the network management entity are to be manually configured, the workload will be considerable.
  • the embodiment of the present invention provides a method for automatically obtaining an SNMP management key based on a public-private key system, which can automatically acquire an SNMP management key.
  • the embodiment of the invention further provides a system for automatically obtaining an SNMP management key based on a public-private key system, which can automatically acquire an SNMP management key.
  • the embodiment of the invention further provides an SNMP management station and an SNMP agent in the SNMP system, and the two cooperate with each other to complete the task of automatically negotiating the SNMP management key.
  • the embodiment of the present invention adopts the following technical solutions:
  • a method for automatically obtaining a simple network management protocol SNMP management key includes the following steps:
  • the SNMP management station notifies the SNMP agent to negotiate a new key
  • the SNMP agent calculates the master key and encrypts the master key to obtain the encrypted master key, and sets the key negotiation result according to whether the encrypted master key is successfully obtained.
  • the SNMP agent reports the key negotiation result to the SNMP management station through the key negotiation result Trap message.
  • the SNMP management station determines that the encrypted master key is successfully obtained according to the received key negotiation result, decrypts the master key, further obtains the encryption key and the authentication key, and then notifies the SNMP agent that the key agreement has been completed.
  • the SNMP agent receives the completed key agreement message and completes the process of obtaining the management key.
  • a system for obtaining a management key based on SNMP consisting of an SNMP management station that can operate an SNMP management information base SNMP MIB node and a managed SNMP agent.
  • the SNMP management station is configured to notify the SNMP agent to negotiate a new key; and further, after determining that the encrypted master key is successfully obtained according to the received key negotiation result, decrypting the master key, and further Obtaining an encryption key and an authentication key, notifying the SNMP agent that the key negotiation has been completed;
  • the SNMP agent is configured to receive the notification for negotiating a new key, calculate a master key, encrypt the master key to obtain an encrypted master key, and set a key negotiation result according to whether the encrypted master key is successfully obtained. And reporting the result of the key negotiation to the SNMP management station; after receiving the notification of the completed key negotiation, completing the process of obtaining the management key.
  • An SNMP management station for negotiating a management key, comprising an interface unit, a key agreement unit, and a key acquisition unit;
  • the key negotiation unit is configured to send an instruction for negotiating a new key, receive the key negotiation result, and when the key negotiation result determines that the encrypted master key is successfully obtained, notify the key obtaining unit to acquire a new a key, in the notification message, carrying an encrypted master key; the interface unit, configured to receive an instruction for negotiating a new key, and send the instruction to an SNMP agent in an SNMP system; and configured to receive the SNMP The result of the key negotiation returned by the proxy, and forwarding the result of the key negotiation to the key negotiation unit; and receiving the notification that the key is successfully obtained, and notifying the SNMP agent that the key negotiation has been completed;
  • the key obtaining unit is configured to receive the notification for acquiring a new key, decrypt the received encrypted master key to obtain a master key, further obtain an encryption key and an authentication key, and notify the The interface unit key was successfully obtained.
  • An SNMP agent for negotiating a management key comprising an interface unit and a key generation unit; the interface unit, configured to receive the notification of the negotiated new key, and forward the message to the key generation unit; Completed key sent by the SNMP management station in the SNMP system a negotiated notification and forwarded to the key generation unit;
  • the key generating unit is configured to: after receiving the instruction for negotiating the new key, calculate the master key, encrypt the master key to obtain the encrypted master key, and set the password according to whether the encrypted master key is successfully obtained.
  • the key negotiation result is sent to the SNMP management station; and is further configured to receive the notification of the completed key negotiation forwarded by the interface unit, and complete the process of acquiring the management key.
  • the method and system for automatically obtaining an SNMP management key based on a public-private key system are provided in the embodiment of the present invention.
  • the encryption key and the authentication in the SNMP protocol USM can be implemented by using a Trap message mechanism in the SNMP system.
  • the automatic initialization and update management of the weight key reduces the difficulty and workload of management.
  • FIG. 1 is a schematic flowchart of a method for obtaining an SNMPv3 management key according to an embodiment of the present invention.
  • FIG. 2 is a schematic structural diagram of a system for acquiring an SNMPv3 management key according to an embodiment of the present invention.
  • FIG. 3 is a specific flowchart of a method for obtaining an SNMPv3 management key according to an embodiment of the present invention.
  • FIG. 4 is a schematic diagram of a system for acquiring an SNMPv3 management key according to an embodiment of the present invention.
  • FIG. 5 is a structural diagram of an SNMP management station for negotiating a management key according to an embodiment of the present invention.
  • FIG. 6 is a specific structural diagram of an SNMP proxy for negotiating a management key according to an embodiment of the present invention. Mode for carrying out the invention
  • FIG. 1 is a general flowchart of a method for acquiring an SNMPv3 management key according to an embodiment of the present invention. As shown in Figure 1, the method includes:
  • Step 101 The SNMP management station notifies the SNMP agent to negotiate a new key.
  • Step 102 The SNMP agent calculates the master key and encrypts the master key to obtain the encrypted master key, and sets the key negotiation result according to whether the encrypted master key is successfully obtained.
  • Step 103 The SNMP agent reports the key negotiation result to the SNMP management station through the key negotiation result trap message.
  • Step 104 After the key negotiation result received by the SNMP management station determines that the encrypted master key is successfully obtained, the master key is decrypted, and the encryption key and the authentication key are further obtained, and then the SNMP agent is notified that the encryption is completed. Key negotiation; the SNMP agent receives the completed key agreement message and completes the process of obtaining the management key.
  • FIG. 2 is a schematic structural diagram of an SNMP-based acquisition management key system according to an embodiment of the present invention.
  • the system includes an SNMP management station 210 and an SNMP agent 220.
  • the SNMP management station 210 is an overall structure of the SNMP management station for negotiating the management key provided by the embodiment of the present invention.
  • the SNMP agent 220 is an overall structure of the SNMP agent for negotiating the management key provided by the embodiment of the present invention.
  • the SNMP management station 210 includes an interface unit 211, a key agreement unit 212, and a key acquisition unit 213; and the SNMP agent 220 includes an interface unit 221 and a key generation unit 222.
  • the key negotiation unit 212 of the SNMP management station 210 is configured to send an instruction for negotiating a new key, receive a key negotiation result, and determine, according to the result of the key negotiation, that the encrypted master key is successfully obtained,
  • the key acquisition unit 213 acquires a new key, and carries the encrypted master key in the notification message.
  • the interface unit 211 of the SNMP management station 210 is configured to receive an instruction for negotiating a new key, and send the instruction to the SNMP agent 220.
  • the method further includes receiving the key negotiation result returned by the SNMP agent 220, and the result of the key negotiation. Forwarded to the key agreement unit 212;
  • the notification that the key acquisition is successful is received, and the SNMP agent 220 is notified that the key negotiation has been completed.
  • the key obtaining unit 213 of the SNMP management station 210 is configured to receive a notification for acquiring a new key, decrypt the received encrypted master key to obtain a master key, and further obtain an encryption key and an authentication key, and notify The interface unit 211 successfully acquires the key.
  • the interface unit 221 is configured to receive a notification for negotiating a new key sent by the SNMP management station 210, and forward it to the key generation unit 222;
  • the notification of the completed key agreement sent by the SNMP management station 210 is forwarded to the key generation unit 222.
  • the key generating unit 222 is configured to: after receiving the instruction for negotiating the new key, calculate the master key, encrypt the master key to obtain the encrypted master key, and set the key according to whether the encrypted master key is successfully obtained.
  • the result of the negotiation is reported to the SNMP management station 210.
  • the notification is also received by the interface unit 221, and the process of obtaining the management key is completed.
  • FIG. 3 is a schematic diagram of an embodiment of automatically obtaining an SNMPv3 management key according to the method provided by the embodiment of the present invention.
  • the key can be automatically negotiated when the negotiation key is needed without affecting the existing SNMPv3 architecture. Specific steps are as follows:
  • Step A1 The SNMP agent sends a key negotiation Trap message to the SNMP management station. This message must be sent before the startup Trap message after each startup. If the registration trap message is sent directly, the SNMP management station will directly discard it.
  • Step A2 After receiving the SNMP Trap PDU containing the key negotiation information, the SNMP management station may decide whether to negotiate a new key or use the last negotiated key according to the configuration policy. If a new key, such as an update key or an initial key, needs to be negotiated, the SNMP management station sets the key negotiation switch (KeyChangeSwitch) to On, then notifies the SNMP agent through the SetPDU, and executes it after receiving the response from the SNMP agent. Step A3. In fact, the SNMP management station sets the key negotiation switch to On to notify the SNMP agent to negotiate a new key.
  • KeyChangeSwitch KeyChangeSwitch
  • Step A3 The SNMP management station sends the Get Data Protocol Unit (GetPDU) information to the SNMP agent, obtains a proxy certificate (ProxyCertificate), and a proxy random number (PrxoyRandom) for generating a master key (MasterKey), where the generated proxy random number Only valid for this interaction, the next interaction will generate a new proxy random number.
  • GetPDU Get Data Protocol Unit
  • PrxoyRandom proxy random number
  • Step A4 The SNMP management station checks the validity of the proxy certificate. If it is valid, it executes step A5. If it is invalid, it discards it directly.
  • Step A5 The SNMP management station sends the management station certificate (ManagerCertificate) and the generated management station random number (ManagerRandom) to the SNMP agent through the SetPDU information.
  • Step A6 The SNMP agent verifies the validity of the SNMP management station certificate. If successful, the steps are executed. A7; If it fails, go directly to step All.
  • Steps A3 ⁇ A6 are used to enhance the security of the negotiation of the new key process.
  • the SNMP management station and the SNMP agent mutually verify the validity of the proxy certificate and the management station certificate to ensure the validity of the new key negotiation.
  • Step A7 The SNMP agent generates a new random value, and combines the generated proxy random number with the management station random number to obtain the master key (MasterKey). Among them, the master key can be obtained by using the PRF algorithm.
  • Step A8 The SNMP agent generates an encryption key (PrivateKey) and an authentication key (AuthenticateKey) according to the master key.
  • Step A9 The SNMP agent updates the encryption key and authentication key of the user in the USM user list with the encryption key and the authentication key.
  • Step A10 The SNMP agent encrypts the master key.
  • the method for encrypting the master key may be: encrypting the master key twice, first encrypting with the public key in the management station certificate to obtain an intermediate encrypted master key. ( MiddleEncrypedMasterKey ), then encrypt the intermediate encrypted master key with the private key of the proxy to obtain the encrypted master key ( EncrypedMasterKey ).
  • the encryption of the master key may use an RSA algorithm, and the number of encryption keys is at least 512 bits.
  • Step All The SNMP agent sends the key negotiation result (KeyChangeResult), user name and encrypted master key to the SNMP management station through the TrapPDU.
  • step A6 If any of the steps in steps A6 to A10 fails, the process proceeds directly to this step, and the key negotiation result is set to 0, indicating that the key negotiation fails. If the steps A6 ⁇ A10 are successfully executed, the key is obtained. The result of the negotiation is set to 1, indicating that the key negotiation is successful, and the user name and the encrypted master key are filled in.
  • Step A12 The SNMP management station obtains the value of the key negotiation result. If the value is 0, it indicates failure, and directly discards; if the value is 1, the value of the encrypted master key is taken out and decrypted twice, first in the proxy certificate.
  • the public key is decrypted to obtain the intermediate decryption master key ( MiddleDecryptedMasterKey ), and then the intermediate decryption master key is decrypted by the private key of the SNMP management station to obtain the master key, and then the encryption key and the authentication key are calculated according to the master key. save. This gives the user name and its encryption key and authentication key that can access the SNMP agent.
  • the encryption algorithm corresponding to the encrypted master key in step A10 is used for decryption.
  • the RSA algorithm is also used for decryption in this step.
  • Step A13 The SNMP management station sends a SetPDU to the SNMP agent to indicate that the key negotiation is completed.
  • the message is in the SNMPv3 format.
  • the security level is both encrypted and authenticated, and the accessed user name is the user name.
  • the original SNMP message mechanism is used and a public-private key algorithm is used to obtain an automatic initialization encryption key and an authentication key.
  • the SNMP agent controls its process: If the SNMP agent does not receive the message packet sent by the SNMP management station within the specified time, it can decide whether to reinitialize the key negotiation process or stop the negotiation process according to its own policy.
  • the SNMP message packets in steps A1-A12 shown in Figure 1 are all in the SNMPv2c format. Only the message packets sent in step A13 must be in the SNMPv3 format that is both encrypted and authenticated.
  • the new key that needs to be negotiated may be an update key or an initial key. If the initial key needs to be negotiated, if any of the steps in steps A6 to A10 fails, in the subsequent step All, the SNMP agent sets the key negotiation result to 0, and the user name and the encrypted master key are both set to air. In the process shown in Figure 1, the steps of steps A2 to A6 and the SNMP agent in the step A7 to generate a new random value can be omitted. The SNMP agent can calculate the master key.
  • step A2 the SNMP management station sets the key negotiation switch to On, and then notifies the SNMP agent through the SetPDU, and thereafter steps. A new key is automatically negotiated. Then, after obtaining the new key, the SNMP agent can send a registration trap message to the SNMP management station and continue the subsequent business process.
  • the SNMP management station sets the key negotiation switch to Off and then notifies the SNMP agent through the SetPDU. If the SNMP agent detects that the original key is available, it can use the original key to send a registration trap message to the SNMP management station and continue the subsequent business process. If the SNMP agent detects that the original key is unavailable, The SNMP agent can decide to return a negotiated new key according to its own policy.
  • FIG. 4 is a schematic diagram of a system for automatically acquiring an SNMPv3 management key according to an embodiment of the present invention.
  • the SNMP management station 210 implements the management of the SNMP agent 220 through the MIB 200 of the SNMP system, and interacts with the Trap message of the SNMP system. The purpose of obtaining the SNMPv3 management key.
  • the SNMP management station 210 and the SNMP agent 220 perform interaction with the negotiation key related information, specifically by adding a MIB node in the tree structure of the MIB, that is, in the MIB. Add variables related to the negotiation key to achieve the purpose of automatically obtaining the management key.
  • the added nodes mainly include:
  • the key negotiation (KeyChangeEvent) Trap message node 201 for the SNMP agent to send the first Trap message after startup, is used to prompt the SNMP management station that the SNMP agent is ready to perform key agreement.
  • the key negotiation result (KeyChangeResultEvent) Trap message node 202 is used by the SNMP agent to report the key negotiation result generated by the master key to the SNMP management station.
  • a key agreement switch (KeyChangeSwitch) node 203 is configured to set a key negotiation switch value in the SNMP management station. If the key negotiation switch is to be turned on (on), the value is set to 1, indicating that a new key needs to be negotiated. ; If the key negotiation switch is to be turned off (off), the value is set to 0, indicating that there is no need to negotiate a new key.
  • ProxyCertificate node 204 is used to provide a readable proxy certificate.
  • the logo in the proxy certificate should be the same as EnginelD.
  • a proxy random number (ProxyRandom) node 205 is configured to provide a readable proxy random number to generate a master key, and the proxy random number is valid only in the same negotiation key process.
  • the ManagerCertificate node 206 is used to set the management station certificate.
  • the flag in the management station certificate should be the same as EnginelD.
  • the management station random number (ManagerRandom) node 207 is configured to set a management station random number to generate a master key, and the management station random number is valid only in the same negotiation key process.
  • the EncrypedMasterKey node 208 is used to set the encrypted master key.
  • Key negotiation Result (KeyChangeResult) node 209, for providing a readable secret
  • the value of the key negotiation result provided by 1 indicates success
  • the value of 0 indicates failure.
  • the SNMP management station 210 may decide to negotiate a new key, such as an update key or an initial key.
  • Negotiating switch node 203 sets the key negotiation switch to On, and notifies SNMP agent 220;
  • the SNMP management station 210 After the SNMP management station 210 acquires the proxy certificate and the proxy random number of the SNMP agent 220 through the proxy certificate node 204 and the proxy random number node 205, if the verification proxy certificate is valid, the management station certificate node 206 and the management station random number node 207 are set. And sending the management station certificate and the management station random number to the SNMP agent 220;
  • the SNMP agent 220 verifies that the management station certificate is valid, and generates a new random value, and combines the generated proxy random number with the management station random number, uses the PRF algorithm to derive the master key, and further generates the encryption key and the authentication secret. The key is then used to update the user encryption key and the authentication key in the USM user list; the SNMP agent 220 uses the RSA algorithm to encrypt the master key twice to obtain the encrypted master key.
  • the SNMP agent 220 If the SNMP agent 220 successfully encrypts the master key, the value of the key negotiation result is set to 1 and the encrypted master key is set by the encrypted master key node 208.
  • the SNMP agent 220 passes the information including the key negotiation result, the user name, and the encrypted master key to the SNMP management station 210 in the manner of the key negotiation result Trap message through the key negotiation result Trap message node 202.
  • the SNMP management station 210 checks the value of the key negotiation result through the key agreement result node 209. If the value is 1, the encrypted master key is decrypted to obtain the master key, and the encryption key and the authentication key are further calculated. save. This gives access to the SNMP agent 220. User name and its encryption key and authentication key. The SNMP management station 210 sends a Set PDU in SNMPv3 format to the SNMP agent 220 indicating that the key negotiation is completed.
  • the SNMP agent 220 indicates that the key negotiation is successful, and the registration message can be sent to the SNMP management station 210 to continue the subsequent business process.
  • this embodiment also provides a specific structure of the SNMP management station 210 and the SNMP agent 220 in the system, which are respectively a specific implementation manner of the SNMP management station 210 and the SNMP agent 220 in FIG.
  • the SNMP management station 210 in this embodiment includes an interface unit 211, a key agreement unit 212, and a key acquisition unit 213.
  • the key agreement unit 212 includes a negotiation switch setting subunit 212a, a proxy certificate verifying subunit 212b, and a key agreement result confirming staging unit 212c.
  • the negotiation switch setting sub-unit 212a is configured to set a key negotiation switch, and when the new key needs to be negotiated, the value of the key negotiation switch node added in the MIB is added. Set to 1 and notify the proxy certificate verification sub-unit 212b to obtain the proxy certificate.
  • the proxy certificate verification sub-unit 212b is configured to receive the notification of obtaining the proxy certificate, send a message for obtaining the proxy certificate to the SNMP agent in the system through the interface unit 211, and receive the proxy certificate through the interface unit 211, and verify the proxy certificate. Validity, after passing the validity verification, the SNMP management station certificate is sent to the SNMP agent through the interface unit 211.
  • the key agreement result determining unit 212c is configured to receive the key negotiation result through the interface unit 211, and when the key negotiation result determines that the encrypted master key is successfully obtained, the notification key acquiring unit 213 acquires the new key.
  • the encrypted master key is carried in the notification message.
  • the interface unit 211 of the SNMP management station 210 is configured to receive an instruction for negotiating a new key, and send the instruction to the SNMP agent.
  • the method further includes receiving the key negotiation result returned by the SNMP agent, and forwarding the key negotiation result to the Key agreement unit 212; used to receive the key Obtain a successful notification and notify the SNMP agent that key negotiation has been completed.
  • the key obtaining unit 213 of the SNMP management station 210 is configured to receive a notification for acquiring a new key, decrypt the received encrypted master key to obtain a master key, and further obtain an encryption key and an authentication key, and notify The interface unit 211 successfully acquires the key.
  • the SNMP agent 220 in this embodiment includes an interface unit 221 and a key generation unit 222.
  • the key generation unit 222 includes a certificate subunit 222a, a key generation subunit 222b, and an encryption subunit 222c.
  • the interface unit 221 is configured to receive a notification for negotiating a new key sent by the SNMP management station in the system, and forward the message to the key generation unit 222; and to receive the completed key sent by the SNMP management station.
  • the certificate subunit 222a is configured to receive, by the interface unit 221, a message for obtaining a proxy certificate sent by an SNMP management station in the system, obtain a proxy certificate, and send the proxy certificate by using the interface unit 221;
  • the management station certificate sent by the SNMP management station is received by the interface unit 221, the validity of the management station certificate is verified, and the validity of the notification key generation sub-unit 222b generates a key.
  • the key generation subunit 222b is configured to calculate a master key, obtain an encryption key and an authentication key according to the master key, and send the generated master key, the encryption key, and the authentication key to the encryption subunit 222c
  • the encryption sub-unit 222c is configured to encrypt the received master key to obtain an encrypted master key, and set a key negotiation result according to whether the encrypted master key is successfully obtained, and the key negotiation result is passed through the interface unit 221 It is reported to the SNMP management station; it is also used to receive the notification of the completed key negotiation forwarded by the interface unit 221, and complete the process of obtaining the management key.

Description

获取简单网络管理协议管理密钥的方法、 设备及系统 技术领域
本发明涉及计算机网络管理， 特别是指基于公私钥体系的自动获取 简单网络管理协议（SNMP )管理密钥的方法、 设备及系统。 发明背景
SNMP是由互联网工程任务组织（IETF )制定的通用网络管理协议， 提供了一种从网络设备中收集网络管理信息的方法， 同时可通过循环消 息与意外事件报告相结合的方式进行网络设备管理， 适用于多种通信传 输协议。 目前， SNMP对网络的管理与维护是通过管理工作站与 SNMP 代理间的交互工作完成的。每个 SNMP代理负责回答 SNMP管理站关于 管理信息库（MIB )定义信息的各种查询。 MIB是一个树形结构， SNMP 协议消息通过遍历 MIB树形目录中的节点来访问网络中的设备。
SNMP现有 vl、 v2c、 v3等几个版本。 其中， 在 SNMP的 v3版本 中， 引入了基于用户的安全模型（USM ), 并在 USM用户列表中记录用 户的密钥相关信息， 可以保证 SNMPv3 实体检测消息的完整性和实时 性，并保证消息在传输过程中不会被人窃听。 USM通过用数据加密标准 -循环冗余校验 ( DES-CRC )算法加密消息包、 用 MD5/SHA1算法为消 息计算签名及增加消息的时间戳等方式来达到上述目的。
SNMPv3 中的 USM模型本身是安全的， 但在易用性、 实施方面却 存在以下问题：
1、 USM用户权限管理体系是一种基于共享密钥的机制， 在系统中 如果采用 SNMPv3管理协议，就必须预先为每个网络实体配置引擎标识 符（EngineID )、 用户名及其对应的 DES-CRC加密算法的初始密钥、 MD5签名算法的初始密钥。在网络系统中往往设备数量巨大，在终端管 理系统中的设备数量可达几万台， 如果要通过手工方式为每个网络代理 实体和网络管理实体进行配置， 其工作量就会相当可观。
2、 需要手工维护加密密钥和鉴权密钥， 对管理员来说， 工作量巨大 而且容易出错， 为系统带来了额外的安全隐患。 发明内容
有鉴于此， 本发明实施例提供了基于公私钥体系的自动获取 SNMP 管理密钥的方法， 能够自动获取 SNMP的管理密钥。
本发明实施例还提供了基于公私钥体系的自动获取 SNMP管理密钥 的系统， 能够自动获取 SNMP的管理密钥。
本发明实施例又提供了 SNMP系统中的 SNMP管理站和 SNMP代理， 二者相互配合能够完成自动协商 SNMP管理密钥的目的。
为实现上述目的， 本发明实施例采用如下的技术方案：
一种自动获取简单网络管理协议 SNMP管理密钥的方法， 该方法的实 现过程包括以下步骤：
A、 SNMP管理站通知 SNMP代理协商新的密钥；
B、 SNMP代理计算主密钥并对主密钥加密得到已加密主密钥， 并根 据是否成功得到已加密主密钥来设置密钥协商结果；
C、 SNMP代理将密钥协商结果通过密钥协商结果 Trap消息上报给 SNMP管理站；
D、 SNMP管理站根据收到的密钥协商结果确定成功得到已加密主密 钥， 则解密得到主密钥， 并进一步得到加密密钥和鉴权密钥， 然后通知 SNMP代理已完成密钥协商； SNMP代理收到已完成密钥协商消息，完成 获得管理密钥流程。 一种基于 SNMP的获取管理密钥的系统，由可操作 SNMP管理信息库 SNMP MIB节点的 SNMP管理站和被管理的 SNMP代理组成 ,
所述 SNMP管理站，用于通知所述 SNMP代理协商新的密钥；还用于 才艮据收到的密钥协商结果确定成功得到已加密主密钥后， 解密得到主密 钥， 并进一步得到加密密钥和鉴权密钥， 通知所述 SNMP代理已完成密 钥协商；
所述 SNMP代理， 用于接收所述协商新密钥的通知， 计算主密钥并 对主密钥加密得到已加密主密钥， 并根据是否成功得到已加密主密钥来 设置密钥协商结果， 将该密钥协商结果上报给所述 SNMP管理站； 接收 所述已完成密钥协商的通知后， 完成获得管理密钥流程。
一种协商管理密钥的 SNMP管理站， 包括接口单元、 密钥协商单元 和密钥获取单元；
所述密钥协商单元， 用于发送协商新密钥的指令， 接收所述密钥协 商结果， 并 该密钥协商结果确定成功得到已加密主密钥时， 通知所 述密钥获取单元获取新密钥 , 在该通知消息中携带已加密主密钥； 所述接口单元， 用于接收协商新密钥的指令， 并将该指令发送给 SNMP系统中的 SNMP代理； 还用于接收所述 SNMP代理返回的密钥协商 结果， 并将该密钥协商结果转发给所述密钥协商单元； 又用于接收所述 密钥获取成功的通知， 并通知所述 SNMP代理已完成密钥协商；
所述密钥获取单元， 用于接收所述获取新密钥的通知， 并对接收到 的已加密主密钥进行解密得到主密钥， 进一步得到加密密钥和鉴权密 钥， 通知所述接口单元密钥获取成功。
一种协商管理密钥的 SNMP代理， 包括接口单元和密钥产生单元； 所述接口单元， 用于接收所述协商新密钥的通知， 并转发给所述密 钥产生单元；还用于接收 SNMP系统中的 SNMP管理站发送的已完成密钥 协商的通知， 并转发给所述密钥产生单元；
所述密钥产生单元，用于接收到协商新密钥的指令后，计算主密钥， 并对主密钥加密得到已加密主密钥 , 并根据是否成功得到已加密主密钥 来设置密钥协商结果， 将该密钥协商结果上 给所述 SNMP管理站； 还 用于接收所述接口单元转发的已完成密钥协商的通知， 并完成获取管理 密钥流程。
由上述技术方案可见， 本发明实施例中提供了基于公私钥体系的自 动获取 SNMP管理密钥的方法及系统， 利用 SNMP系统中的 Trap消息机 制， 可实现 SNMP协议 USM中的加密密钥和鉴权密钥的自动初始化及更 新管理， 减少了管理的难度和工作量。 附图简要说明
图 1为本发明实施例提供的获取 SNMPv3管理密钥的方法总体流程 图。
图 2为本发明实施例提供的获取 SNMPv3管理密钥的系统总体结构 图。
图 3为本发明实施例中获取 SNMPv3管理密钥的方法具体流程图。 图 4为本发明实施例中获取 SNMPv3管理密钥的系统示意图。
图 5 为本发明实施例中协商管理密钥的 SNMP管理站的具体结构 图。
图 6为本发明实施例中协商管理密钥的 SNMP代理的具体结构图。 实施本发明的方式
为使本发明实施例的目的、 技术方案和优点更加清楚， 下面结合附 图对本发明作进一步的详细描述。 图 1为本发明实施例提供的获取 SNMPv3管理密钥的方法总体流程 图。 如图 1所示， 该方法包括：
步骤 101 , SNMP管理站通知 SNMP代理协商新的密钥。
步骤 102， SNMP代理计算主密钥并对主密钥加密得到已加密主密 钥， 并根据是否成功得到已加密主密钥来设置密钥协商结果。
步骤 103， SNMP代理将密钥协商结果通过密钥协商结果 Trap消息 上报给 SNMP管理站。
步骤 104, SNMP管理站 ^居收到的密钥协商结果确定成功得到已 加密主密钥， 则解密得到主密钥， 并进一步得到加密密钥和鉴权密钥， 然后通知 SNMP代理已完成密钥协商； SNMP代理收到已完成密钥协商 消息， 完成获得管理密钥流程。
图 2为本发明实施例提供的基于 SNMP的获取管理密钥系统的总体 结构图。如图 2所示 ,该系统包括 SNMP管理站 210和 SNMP代理 220。 其中， SNMP管理站 210为本发明实施例提供的协商管理密钥的 SNMP 管理站的总体结构示意， SNMP代理 220为本发明实施例提供的协商管 理密钥的 SNMP代理的总体结构示意。 具体地， 如图 2所示， SNMP管 理站 210包括接口单元 211、 密钥协商单元 212和密钥获取单元 213; SNMP代理 220包括接口单元 221和密钥产生单元 222。
在该系统中， SNMP管理站 210的密钥协商单元 212, 用于发送协 商新密钥的指令， 接收密钥协商结果， 并根据该密钥协商结果确定成功 得到已加密主密钥时， 通知密钥获取单元 213获取新密钥， 在该通知消 息中携带已加密主密钥。
SNMP管理站 210的接口单元 211 , 用于接收协商新密钥的指令， 并将该指令发送给 SNMP代理 220;还用于接收 SNMP代理 220返回的 密钥协商结果， 并将该密钥协商结果转发给密钥协商单元 212; 又用于 接收密钥获取成功的通知， 并通知 SNMP代理 220已完成密钥协商。 SNMP管理站 210的密钥获取单元 213 , 用于接收获取新密钥的通 知， 并对接收到的已加密主密钥进行解密得到主密钥， 进一步得到加密 密钥和鉴权密钥， 通知接口单元 211密钥获取成功。
在 SNMP代理 220中， 接口单元 221 , 用于接收 SNMP管理站 210 发送的协商新密钥的通知， 并转发给密钥产生单元 222; 还用于接收
SNMP管理站 210发送的已完成密钥协商的通知， 并转发给密钥产生单 元 222。
密钥产生单元 222, 用于接收到协商新密钥的指令后， 计算主密钥， 并对主密钥加密得到已加密主密钥 , 并根据是否成功得到已加密主密钥 来设置密钥协商结果， 将该密钥协商结果上报给 SNMP管理站 210; 还 用于接收接口单元 221转发的已完成密钥协商的通知， 并完成获取管理 密钥流程。
图 3为才 据本发明实施例提供的方法自动获取 SNMPv3管理密钥的 实施例示意图。 在本实施例中， 通过采用本发明的基于公私钥体系的方 法， 在不影响现有 SNMPv3体系架构的情况下， 在需要协商密钥时可以 自动协商出密钥。 具体步骤如下：
步骤 A1: 由 SNMP代理向 SNMP管理站发出密钥协商 Trap消息， 这一消息必须在每次启动后先于注册 Trap消息发送。如果直接发送注册 Trap消息， SNMP管理站将直接丢弃。
步骤 A2: SNMP管理站在收到含有密钥协商信息的 SNMP TrapPDU 后， 可根据配置策略决定是协商新的密钥还是延用上次协商的密钥。 如 果需要协商新的密钥， 如更新密钥或初始密钥， SNMP管理站就将密钥 协商开关（ KeyChangeSwitch )设为 On, 然后通过 SetPDU通知 SNMP 代理， 并在收到 SNMP代理的响应后执行步骤 A3。 事实上， SNMP管理站将密钥协商开关设为 On即实现了通知 SNMP 代理协商新的密钥。
步骤 A3 : SNMP 管理站向 SNMP 代理发送获取数据协议单元 ( GetPDU )信息， 获取代理证书 （ ProxyCertificate )和用于产生主密钥 ( MasterKey ) 的代理随机数（PrxoyRandom ), 其中， 产生的代理随机 数只对本次交互有效， 下次交互将产生新的代理随机数。
步骤 A4: SNMP管理站检查代理证书的有效性，如果有效则执行步 骤 A5 , 如果无效则直接丢弃。
步骤 A5: SNMP管理站通过 SetPDU信息向 SNMP代理发送管理站 证书 （ ManagerCertificate )和产生的管理站随机数 ( ManagerRandom )„ 步骤 A6： SNMP代理验证 SNMP管理站证书的有效性 , 如果成功 , 则执行步骤 A7; 如果失败， 则直接执行步骤 All。
步骤 A3~A6用于增强协商新密钥流程的安全性， 通过 SNMP管理 站和 SNMP代理互相验证代理证书和管理站证书的有效性，保证新密钥 协商的合法性。
步骤 A7: SNMP代理产生一个新随机值， 并结合已产生的代理随机 数和管理站随机数， 得出主密钥（ MasterKey )。 其中， 可以采用 PRF算 法得到该主密钥。
步骤 A8: SNMP代理根据主密钥产生加密密钥 （PrivateKey )和鉴 权密钥 ( AuthenticateKey )。
步骤 A9: SNMP代理用加密密钥和鉴权密钥更新 USM用户列表中 的用户的加密密钥和鉴权密钥。
步骤 A10: SNMP代理对主密钥进行加密。
本步骤中， 对主密钥进行加密的方式可以为： 对该主密钥进行两次 加密， 首先用管理站证书中的公钥进行加密得到中间加密主密钥 ( MiddleEncrypedMasterKey )， 再用代理的私钥对中间加密主密钥进行 加密得到已加密主密钥 （ EncrypedMasterKey )。 其中， 对主密钥的加密 可以采用 RSA算法， 加密密钥位数至少为 512位。
步骤 All: SNMP代理通过 TrapPDU向 SNMP管理站上 4艮密钥协商 结果（ KeyChangeResult )、 用户名和已加密主密钥。
其中， 如果在步骤 A6~A10中任何一步失败都将直接转至本步骤执 行， 并将密钥协商结果置为 0, 表示密钥协商失败； 如果步骤 A6~A10 都执行成功， 则将密钥协商结果置为 1 , 表示密钥协商成功， 并填入用 户名和已加密主密钥。
步骤 A12: SNMP管理站获得密钥协商结果的值， 如果值为 0, 表 示失败， 直接丢弃； 如果值为 1 , 则取出已加密主密钥的值进行两次解 密， 先用代理证书中的公钥进行解密得到中间解密主密钥 ( MiddleDecryptedMasterKey ),再用 SNMP管理站的私钥对中间解密主 密钥进行解密得到主密钥， 然后根据主密钥算出加密密钥和鉴权密钥并 保存。这样就得到了可访问 SNMP代理的用户名及其加密密钥和鉴权密 钥。
在进行解密时， 采用与步骤 A10中加密主密钥相对应的加密算法进 行解密， 具体地， 本实施例中， 步骤 A10若采用 RSA算法， 则本步骤 中也采用 RSA算法进行解密。
步骤 A13: SNMP管理站向 SNMP代理发送一个 SetPDU指示密钥 协商完成， 该消息为 SNMPv3格式， 其安全级别是既加密又鉴权， 访问 的用户名是用户名。 SNMP代理收到此命令后， 如果可以得到 PDU, 则 表示密钥协商成功； 否则， 表示密钥协商失败。
在上述的密钥协商过程中， 利用原有的 SNMP消息机制并采用公私 钥算法来获取自动初始化加密密钥和鉴权密钥。 在整个密钥协商过程 中， 由 SNMP代理控制其进程： 如果 SNMP代理在规定时间内未收到 SNMP管理站得发送的消息包， 则可根据自己的策略决定是重新初始化 密钥协商过程还是停止协商过程。
在如图 1所示的步骤 A1-A12的 SNMP消息包均采用 SNMPv2c格 式 ,只有在步骤 A13发送的消息包必须为既加密又鉴权的 SNMPv3格式。
在如图 1所示的实施例中， 需要协商的新的密钥可以是更新密钥或 初始密钥。 如果需要协商的是初始密钥， 则如果在步骤 A6~A10中任何 一步失败， 在此后进行的步骤 All中， SNMP代理将密钥协商结果置为 0， 用户名和已加密主密钥都置为空。 图 1所示过程中， 步骤 A2至 A6、 以及步骤 A7中 SNMP代理产生一个新随机值的步骤， 可以考虑省略， SNMP代理只要能计算出主密钥即可。
如图 1所示的实施例是描述在需要协商新的密钥时的情况， 在步骤 A2中， SNMP管理站将密钥协商开关设为 On, 然后通过 SetPDU通知 SNMP代理， 并在此后的步骤中自动协商出新的密钥。 然后， SNMP代 理在获得新的密钥后可以向 SNMP管理站发送注册 Trap消息， 并继续 后面的业务流程。
在另一种情况下， 如果不需要协商新的密钥， 则 SNMP管理站将密 钥协商开关设为 Off, 然后通过 SetPDU通知 SNMP代理。 如果 SNMP 代理检测到原有的密钥可用，则可使用原有的密钥向 SNMP管理站发送 注册 Trap消息， 并继续后面的业务流程； 如果 SNMP代理检测到原有 的密钥不可用， 则 SNMP代理可 据自己的策略决定返回协商新的密 钥。
图 4为本发明实施例中自动获取 SNMPv3管理密钥的系统示意图。 如图 4所示， SNMP管理站 210通过 SNMP系统的 MIB 200实现对于 SNMP代理 220的管理， 并通过 SNMP系统的 Trap消息交互， 实现自 动获取 SNMPv3管理密钥的目的。 在本实施例的系统中， SNMP管理站 210和 SNMP代理 220间进行与协商密钥相关信息的交互， 具体是通过 在 MIB的树型结构中增设 MIB节点的方式实现的，也就是在 MIB中增 加与协商密钥相关的变量， 以实现自动获取管理密钥的目的。 所增加的 节点主要包括：
密钥协商（ KeyChangeEvent ) Trap消息节点 201， 供 SNMP代理在 启动后发送第一个 Trap消息， 用于提示 SNMP管理站 SNMP代理已做 好进行密钥协商的准备。
密钥协商结果（ KeyChangeResultEvent )Trap消息节点 202，供 SNMP 代理向 SNMP管理站上报主密钥产生的密钥协商结果。
密钥协商开关（ KeyChangeSwitch )节点 203， 用于 SNMP管理站在 其中设置密钥协商开关值， 如果要将密钥协商开关打开 （on ), 则将值 设置为 1 , 表示需要协商新的密钥； 如果要将密钥协商开关关闭 （off ), 则将值设置为 0, 表示不需要协商新的密钥。
代理证书（ ProxyCertificate )节点 204,用于提供可读取的代理证书， 代理证书中的标志应与 EnginelD相同。
代理随机数 ( ProxyRandom )节点 205， 用于提供可读取的代理随机 数， 以产生主密钥， 代理随机数只在同一次协商密钥过程中有效。
管理站证书 （ ManagerCertificate )节点 206， 用于设置管理站证书， 管理站证书中的标志应与 EnginelD相同。
管理站随机数 ( ManagerRandom )节点 207 , 用于设置管理站随机 数， 以产生主密钥， 管理站随机数只在同一次协商密钥过程中有效。
已加密主密钥 （ EncrypedMasterKey )节点 208 , 用于设置已加密主 密钥。
密钥协商结果（ KeyChangeResult )节点 209， 用于提供可读取的密 钥协商结果，所提供的密钥协商结果值为 1表示成功，值为 0表示失败。 通过在 MIB中增设以上 SNMP MIB节点， SNMP管理站 210可以 与 SNMP代理 220进行与协商密钥相关的信息交互，通过 SNMP的 Trap 消息机制实现自动获取管理密钥：
SNMP管理站 210在收到 SNMP代理 220通过密钥协商 Trap消息 节点 201发来的密钥协商 Trap消息后，可决定协商新的密钥，如更新密 钥或初始密钥， 此时通过密钥协商开关节点 203 将密钥协商开关设为 On, 并通知 SNMP代理 220;
SNMP管理站 210通过代理证书节点 204和代理随机数节点 205获 取 SNMP代理 220的代理证书和代理随机数后 ,如果验证代理证书有效， 则对管理站证书节点 206和管理站随机数节点 207进行设置，并向 SNMP 代理 220发送管理站证书和管理站随机数；
SNMP代理 220验证管理站证书有效， 则产生一个新的随机值， 并 结合已产生的代理随机数和管理站随机数， 采用 PRF算法得出主密钥， 并进一步产生加密密钥和鉴权密钥， 然后用其更新 USM用户列表中的 用户加密密钥和鉴权密钥； SNMP代理 220采用 RSA算法对主密钥进行 两次加密后， 得到已加密主密钥。
如果 SNMP代理 220成功加密主密钥， 则将密钥协商结果的值置为 1 , 并通过已加密主密钥节点 208设置已加密主密钥。 SNMP代理 220 将含有密钥协商结果、 用户名和已加密主密钥的信息， 通过密钥协商结 果 Trap消息节点 202， 以密钥协商结果 Trap消息的方式上 SNMP管 理站 210。
SNMP管理站 210通过密钥协商结果节点 209查看密钥协商结果的 值， 如果值为 1 , 则对已加密主密钥进行解密得到主密钥， 并进一步算 出加密密钥和鉴权密钥并保存。这样就得到了可访问 SNMP代理 220的 用户名及其加密密钥和鉴权密钥。 SNMP管理站 210向 SNMP代理 220 发送一个 SNMPv3格式的 SetPDU指示密钥协商完成。
SNMP代理 220如果得到 PDU, 则表示密钥协商成功， 可向 SNMP 管理站 210发送注册 Trap消息， 继续后面的业务流程。
上述即为本实施例中获取管理密钥的系统具体结构图。 另外， 本实 施例还提供了该系统中 SNMP管理站 210和 SNMP代理 220的具体结构 , 分别为图 2中 SNMP管理站 210和 SNMP代理 220的一种具体实施方式。
参见图 5, 本实施例中的 SNMP管理站 210包括接口单元 211、 密 钥协商单元 212和密钥获取单元 213。 其中， 密钥协商单元 212包括协 商开关设置子单元 212a、 代理证书验证子单元 212b和密钥协商结果确 定子单元 212c。
在该 SNMP管理站 210的密钥协商单元 212中， 协商开关设置子单 元 212a， 用于设置密钥协商开关， 在需要协商新密钥时， 将在 MIB 中 增设的密钥协商开关节点的值置为 1 , 并通知给代理证书验证子单元 212b获取代理证书。
代理证书验证子单元 212b, 用于接收获取代理证书的通知， 通过接 口单元 211向系统中的 SNMP代理发送获取代理证书的消息，并通过接 口单元 211接收所述代理证书， 验证所述代理证书的有效性， 在通过有 效性验证后 , 通过接口单元 211向 SNMP代理发送 SNMP管理站证书。
密钥协商结果确定子单元 212c, 用于通过接口单元 211接收密钥协 商结果， 并^^据该密钥协商结果确定成功得到已加密主密钥时， 通知密 钥获取单元 213获取新密钥， 在该通知消息中携带已加密主密钥。
SNMP管理站 210的接口单元 211 , 用于接收协商新密钥的指令， 并将该指令发送给 SNMP代理；还用于接收 SNMP代理返回的密钥协商 结果， 并将该密钥协商结果转发给密钥协商单元 212; 又用于接收密钥 获取成功的通知， 并通知 SNMP代理已完成密钥协商。
SNMP管理站 210的密钥获取单元 213 , 用于接收获取新密钥的通 知， 并对接收到的已加密主密钥进行解密得到主密钥， 进一步得到加密 密钥和鉴权密钥， 通知接口单元 211密钥获取成功。
参见图 6， 本实施例中的 SNMP代理 220包括接口单元 221和密钥 产生单元 222。 其中， 密钥产生单元 222包括证书子单元 222a、 密钥产 生子单元 222b和加密子单元 222c。
在该 SNMP代理 220中， 接口单元 221 , 用于接收系统中 SNMP管 理站发送的协商新密钥的通知， 并转发给密钥产生单元 222; 还用于接 收 SNMP管理站发送的已完成密钥协商的通知，并转发给密钥产生单元
222。
在密钥产生单元 222中， 证书子单元 222a, 用于通过接口单元 221 接收系统中 SNMP管理站发送的获取代理证书的消息， 获取代理证书， 通过接口单元 221 发送所述代理证书； 还用于通过接口单元 221 接收 SNMP管理站发送的管理站证书， 验证该管理站证书的有效性， 并确定 有效后通知密钥产生子单元 222b产生密钥。
密钥产生子单元 222b, 用于计算主密钥， 根据该主密钥得到加密密 钥和鉴权密钥， 并将产生的主密钥、 加密密钥和鉴权密钥发送给加密子 单元 222c
加密子单元 222c , 用于对接收到的主密钥进行加密得到已加密主密 钥， 并根据是否成功得到已加密主密钥来设置密钥协商结果， 将该密钥 协商结果通过接口单元 221上报给 SNMP管理站；还用于接收接口单元 221转发的已完成密钥协商的通知， 并完成获取管理密钥流程。
上述即为本实施例提供的 SNMP管理站和 SNMP代理的具体实施方 式， 它们均可以应用于图 4所示的系统中， 共同完成自动获取 SNMPv3 管理密钥的目的。
总之， 以上所述仅为本发明的较佳实施例而已， 并非用于限定本发 明的保护范围。

Claims

权利要求书
1、 一种自动获取简单网络管理协议 SNMP管理密钥的方法， 其特 征在于， 该方法的实现过程包括以下步骤：
A、 SNMP管理站通知 SNMP代理协商新的密钥；
B、 SNMP代理计算主密钥并对主密钥加密得到已加密主密钥， 并 根据是否成功得到已加密主密钥来设置密钥协商结果；
C、 SNMP代理将密钥协商结果通过密钥协商结果 Trap消息上报给 SNMP管理站；
D、 SNMP管理站 ^居收到的密钥协商结果确定成功得到已加密主 密钥， 则解密得到主密钥， 并进一步得到加密密钥和鉴权密钥， 然后通 知 SNMP代理已完成密钥协商； SNMP代理收到已完成密钥协商消息， 完成获得管理密钥流程。
2、 如权利要求 1所述的方法， 其特征在于， 步骤 A和步骤 B之间 进一步包括：
BOO, SNMP管理站向 SNMP代理获取代理证书和代理随机数， 并 检查代理证书的有效性， 如果有效， 则向 SNMP代理发送管理站证书和 管理站随机数； 如果无效， 则结束本流程；
B01、 SNMP代理检查收到的管理站证书的有效性。
3、 如权利要求 2所述的方法， 其特征在于， 所述步骤 A之前， 进 一步包括： SNMP代理向 SNMP管理站发送密钥协商 Trap消息， SNMP 管理站收到该消息后， 决定是否协商新的密钥；
如果决定协商新的密钥， 则执行所述步骤 A; 否则， 通知 SNMP代 理结束本流程。
4、 如权利要求 2或 3所述的方法， 其特征在于， 步骤 B中所述计 算主密钥进一步包括以下步骤：
SNMP代理产生一个随机值， 并结合步骤 B00中所述的代理随机数 和管理站随机数， 计算出主密钥。
5、 如权利要求 4所述的方法， 其特征在于， 所述对主密钥进行加 密得到已加密主密钥具体为： SNMP代理先用 SNMP管理站证书中的公 钥对主密钥进行加密得到中间加密主密钥，再用 SNMP代理的私钥对中 间加密主密钥进行再加密， 得到已加密主密钥。
6、 如权利要求 4所述的方法， 其特征在于， 在计算出主密钥之后， SNMP代理根据主密钥进一步得到加密密钥和鉴权密钥， 并以此更新基 于用户的安全模型 USM用户列表中的用户加密密钥和鉴权密钥。
7、 如权利要求 1所述的方法， 其特征在于， 如果在步骤 B中成功 得到已加密主密钥， 则在所述设置密钥协商结果之后， 进一步包括设置 用户名和已加密主密钥；
如果步骤 A中所述新的密钥是初始密钥、且步骤 B中未成功得到已 加密主密钥， 则在所述设置密钥协商结果之后， 进一步包括将用户名和 已加密主密钥设置为空。
8、 如权利要求 5所述的方法， 其特征在于， 步骤 D中所述解密具 体为： 先用 SNMP代理证书中的公钥对已加密主密钥进行解密， 得到中 间解密主密钥， 再用 SNMP管理站的私钥对中间解密主密钥进行再解 密， 得到主密钥。
9、 一种基于 SNMP的获取管理密钥的系统， 由可操作 SNMP管理 信息库 SNMP MIB节点的 SNMP管理站和被管理的 SNMP代理组成， 其特征在于，
所述 SNMP管理站 ,用于通知所述 SNMP代理协商新的密钥；还用 于才 据收到的密钥协商结果确定成功得到已加密主密钥后， 解密得到主 密钥， 并进一步得到加密密钥和鉴权密钥， 通知所述 SNMP代理已完成 密钥协商；
所述 SNMP代理， 用于接收所述协商新密钥的通知， 计算主密钥并 对主密钥加密得到已加密主密钥， 并根据是否成功得到已加密主密钥来 设置密钥协商结果， 将该密钥协商结果上报给所述 SNMP管理站； 接收 所述已完成密钥协商的通知后， 完成获得管理密钥流程。
10、 根据权利要求 9所述的系统， 其特征在于， 在所述 SNMP管理 站管理的 SNMP MIB中增设：
密钥协商开关节点， 用于所述 SNMP管理站设置密钥协商开关； 密钥协商结果 Trap消息节点， 用于所述 SNMP代理向所述 SNMP 管理站发送携带密钥协商结果的密钥协商结果 Trap消息；
已加密主密钥节点， 用于所述 SNMP代理设置已加密主密钥； 密钥协商结果节点， 用于所述 SNMP管理站提取密钥协商结果。
11、 如权利要求 9或 10所述的系统， 其特征在于， 在所述 SNMP 管理站管理的 SNMP MIB中进一步增设：
密钥协商 Trap消息节点， 用于所述 SNMP代理启动密钥协商流程 向 SNMP管理站发送密钥协商 Trap消息；
代理证书节点，用于所述 SNMP管理站验证 SNMP代理证书合法性； 管理站证书节点， 用于所述 SNMP管理站设置 SNMP管理站证书； 代理随机数节点和管理站随机数节点 ,用于所述 SNMP代理产生主 密钥。
12、 一种协商管理密钥的 SNMP管理站， 包括接口单元， 其特征在 于， 该 SNMP管理站进一步包括密钥协商单元和密钥获取单元；
所述密钥协商单元， 用于发送协商新密钥的指令， 接收所述密钥协 商结果， 并 该密钥协商结果确定成功得到已加密主密钥时， 通知所 述密钥获取单元获取新密钥 , 在该通知消息中携带已加密主密钥； 所述接口单元， 用于接收协商新密钥的指令， 并将该指令发送给
SNMP系统中的 SNMP代理；还用于接收所述 SNMP代理返回的密钥协 商结果， 并将该密钥协商结果转发给所述密钥协商单元； 又用于接收所 述密钥获取成功的通知， 并通知所述 SNMP代理已完成密钥协商；
所述密钥获取单元， 用于接收所述获取新密钥的通知， 并对接收到 的已加密主密钥进行解密得到主密钥， 进一步得到加密密钥和鉴权密 钥， 通知所述接口单元密钥获取成功。
13、 根据权利要求 12所述的 SNMP管理站， 其特征在于， 所述密 钥协商单元包括协商开关设置子单元、 代理证书验证子单元和密钥协商 结果确定子单元；
所述协商开关设置子单元， 用于设置密钥协商开关， 在需要协商新 密钥时， 将在 MIB中增设的密钥协商开关节点的值置为 1 , 并通知给所 述代理证书验证子单元获取代理证书；
所述代理证书验证子单元， 用于接收所述获取代理证书的通知， 通 过所述接口单元向所述 SNMP代理发送获取代理证书的消息，并通过所 述接口单元接收所述代理证书， 验证所述代理证书的有效性， 在通过有 效性验证后 ,通过所述接口单元向所述 SNMP代理发送 SNMP管理站证 书；
所述密钥协商结果确定子单元， 用于通过所述接口单元接收密钥协 商结果， 并 该密钥协商结果确定成功得到已加密主密钥时， 通知所 述密钥获取单元获取新密钥 , 在该通知消息中携带已加密主密钥。
14、一种协商管理密钥的 SNMP代理， 包括接口单元，其特征在于， 该 SNMP代理进一步包括密钥产生单元；
所述接口单元， 用于接收所述协商新密钥的通知， 并转发给所述密 钥产生单元；还用于接收 SNMP系统中的 SNMP管理站发送的已完成密 钥协商的通知， 并转发给所述密钥产生单元；
所述密钥产生单元，用于接收到协商新密钥的指令后，计算主密钥， 并对主密钥加密得到已加密主密钥 , 并根据是否成功得到已加密主密钥 来设置密钥协商结果， 将该密钥协商结果上 给所述 SNMP管理站； 还 用于接收所述接口单元转发的已完成密钥协商的通知， 并完成获取管理 密钥流程。
15、 根据权利要求 14所述的 SNMP代理， 其特征在于， 所述密钥 产生单元包括证书子单元、 密钥产生子单元和加密子单元；
所述证书子单元， 用于通过所述接口单元接收所述 SNMP管理站发 送的获取代理证书的消息， 获取代理证书， 通过所述接口单元发送所述 代理证书； 还用于接收所述 SNMP管理站发送的管理站证书， 验证该管 理站证书的有效性 , 并确定有效后通知密钥产生子单元产生密钥；
所述密钥产生子单元， 用于计算主密钥， 根据该主密钥得到加密密 钥和鉴权密钥， 并将产生的主密钥、 加密密钥和鉴权密钥发送给所述加 密子单元；
所述加密子单元， 用于对接收到的主密钥进行加密得到已加密主密 钥， 并根据是否成功得到已加密主密钥来设置密钥协商结果， 将该密钥 协商结果上报给所述 SNMP管理站；还用于接收所述接口单元转发的已 完成密钥协商的通知， 并完成获取管理密钥流程。
PCT/CN2007/070003 2006-06-02 2007-05-08 Procédé, appareil et système pour acquérir une clé de gestion snmp WO2007140719A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200610083661.0 2006-06-02
CN 200610083661 CN101047493A (zh) 2006-06-02 2006-06-02 获取简单网络管理协议管理密钥的方法及系统

Publications (1)

Publication Number Publication Date
WO2007140719A1 true WO2007140719A1 (fr) 2007-12-13

Family

ID=38771754

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2007/070003 WO2007140719A1 (fr) 2006-06-02 2007-05-08 Procédé, appareil et système pour acquérir une clé de gestion snmp

Country Status (2)

Country Link
CN (1) CN101047493A (zh)
WO (1) WO2007140719A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8195944B2 (en) * 2007-01-04 2012-06-05 Motorola Solutions, Inc. Automated method for securely establishing simple network management protocol version 3 (SNMPv3) authentication and privacy keys

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4974848B2 (ja) * 2007-10-30 2012-07-11 キヤノン株式会社 ネットワーク管理装置、ネットワーク管理方法、ならびにネットワーク管理方法を実行するプログラム
CN101930644B (zh) * 2009-06-25 2014-04-16 中国银联股份有限公司 一种银行卡支付系统中主密钥安全自动下载的方法及其系统
CN101795301B (zh) * 2009-12-30 2013-03-13 北京交通大学 增强源地址真实性保障的密钥申诉方法
CN102638371B (zh) * 2012-04-10 2015-03-11 北京星网锐捷网络技术有限公司 用户配置方法和装置、通信方法和装置、网络管理站
CN103346916B (zh) * 2013-07-05 2018-07-31 上海斐讯数据通信技术有限公司 一种网络设备数字证书的管理方法
CN107547466A (zh) * 2016-06-23 2018-01-05 南京中兴软件有限责任公司 一种简单网络协议认证方法及装置
CN109428714B (zh) * 2017-09-01 2022-07-08 迈普通信技术股份有限公司 SNMPv3协议中密钥的生成方法
CN110493272B (zh) * 2019-09-25 2020-10-02 北京风信科技有限公司 使用多重密钥的通信方法和通信系统
CN114258703A (zh) * 2020-07-24 2022-03-29 北京小米移动软件有限公司 多连接下的通信方法和通信设备
CN112422274A (zh) * 2020-10-23 2021-02-26 烽火通信科技股份有限公司 用户密码加密存储方法、装置、设备及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6044468A (en) * 1997-08-25 2000-03-28 Emc Corporation Secure transmission using an ordinarily insecure network communication protocol such as SNMP
WO2001024444A2 (en) * 1999-09-28 2001-04-05 Thomson Licensing S.A. System and method for initializing a simple network management protocol (snmp) agent
CN1771691A (zh) * 2003-05-29 2006-05-10 意大利电信股份公司 用于网络设备的安全管理的方法、系统和计算机程序

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6044468A (en) * 1997-08-25 2000-03-28 Emc Corporation Secure transmission using an ordinarily insecure network communication protocol such as SNMP
WO2001024444A2 (en) * 1999-09-28 2001-04-05 Thomson Licensing S.A. System and method for initializing a simple network management protocol (snmp) agent
CN1771691A (zh) * 2003-05-29 2006-05-10 意大利电信股份公司 用于网络设备的安全管理的方法、系统和计算机程序

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8195944B2 (en) * 2007-01-04 2012-06-05 Motorola Solutions, Inc. Automated method for securely establishing simple network management protocol version 3 (SNMPv3) authentication and privacy keys

Also Published As

Publication number Publication date
CN101047493A (zh) 2007-10-03

Similar Documents

Publication Publication Date Title
WO2007140719A1 (fr) Procédé, appareil et système pour acquérir une clé de gestion snmp
US7987366B2 (en) Key management for network elements
US20020154782A1 (en) System and method for key distribution to maintain secure communication
KR100953095B1 (ko) 슈퍼 피어 기반 ｐ２ｐ 네트워크 시스템 및 이를 위한 피어인증 방법
US7987359B2 (en) Information communication system, information communication apparatus and method, and computer program
US7720227B2 (en) Encryption method for SIP message and encrypted SIP communication system
US8019989B2 (en) Public-key infrastructure in network management
US20060200856A1 (en) Methods and apparatus to validate configuration of computerized devices
CN110958229A (zh) 一种基于区块链的可信身份认证方法
TW201628369A (zh) 量子密鑰分發系統、量子密鑰分發方法及裝置
WO2011020274A1 (zh) 一种有线局域网的安全访问控制方法及其系统
KR20050066522A (ko) 무선 단말기용 암호키 관리 시스템 및 방법
WO2007041918A1 (fr) Méthode et système d’obtention de clé hôte ssh de dispositif géré
EP2055071A1 (en) Improved authentication for devices located in cable networks
WO2013087039A1 (zh) 一种安全传输数据方法，装置和系统
WO2007085175A1 (fr) Procédé, système d'authentification et centre d'authentification reposant sur des communications de bout en bout dans le réseau mobile
WO2010078755A1 (zh) 电子邮件的传送方法、系统及wapi终端
EP2237473A1 (en) Method, apparatus and system for configuring key
CN113630248B (zh) 一种会话密钥协商方法
WO2012058896A1 (zh) 单点登录方法及系统
CN113612610B (zh) 一种会话密钥协商方法
CN110493272B (zh) 使用多重密钥的通信方法和通信系统
CN111447276A (zh) 一种具有密钥协商功能的加密续传方法
WO2009109133A1 (zh) 恢复连接的方法和装置
KR20210126319A (ko) 키 관리 장치 및 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 07721626

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 07721626

Country of ref document: EP

Kind code of ref document: A1