.SNMPV3.pptVIP

在SNMPv3消息的安全参数域(msgSecurityParameters)中，USM处理安全字段有: .msgAuthoritativeEngineID:消息相关的权威引擎标识符; .msgAuthoritativeEngineBoots:权威引擎启动/重启次数; .msgAuthoritativeEngineTime:权威引擎时间; .msgUserName:消息所代表的用户; .msgAuthenticationParameters:鉴别码(MAC) ; .msgPrivacyParameters:加/解密参数，用于生成初始向量IV; contextEngineID：唯一识别SNMP实体的标识符。对于流入消息，该字段用于确定将PDU递交给哪个应用进行处理;对于流出消息，该值由上层应用提供，并代表那个应用程序; contextName：携带的管理对象所在的上下文的名称; scopedPDU:需SNMP应用程序处理的有效载荷。 SNMP v3 实现原理 SNMPv3各操作的实现机制同SNMPv1和SNMPv2c基本一样，其主要区别在于SNMPv3新增加了认证和加密、解密的处理。下面以SNMPv3使用认证和加密方式执行get操作为例来描述其实现机制，过程如下： 当发送消息时，引擎检索用户属性信息;如果需要加密，使用用户的加密协议和密钥对消息的scopedPDU域进行加密，设置msgPrivacyParameters参数;如果需要鉴别，将用户名(userName)、权威引擎ID和当前时间插入消息的相应安全参数字段(msgUserName, msgAuthoritativeEngineID, msgAuthoritativeEngienBoots, msgAuthoritativeEngineTime)，然后根据用户的鉴别协议和鉴别密钥对整个消息生成鉴别码(MAC)，插入msgAuthenticationParameters字段。 当接收方收到消息时，引擎首先从消息的msgUserName字段取出用户名(userName ) , 检索用户信息;如果消息需要鉴别，则根据用户的鉴别协议和鉴别密钥对整个消息重新生成MAC码，并与消息携带的MAC比较，若相同，认为消息完整、来源可靠，反之，认为不可靠，丢弃;然后，如果消息经鉴别是可靠的，还要进行及时性检查，即比较消息携带的时间与本地时间，若在时间窗口内，则认为消息未被延迟、重放，是可信的，若在时间窗口外，则丢弃;最后，如果消息是加密的，对消息进行解密。 3、SNMP v3 安全机制分析 SNMPv3的安全机制包括认证、加密和访问控制。 1）SNMP报文采用DES加密； 2）SNMP管理站和SNMP Agent通信时必须通过验证来保证身份的正确性、信息的完整性。 3）SUMP Agent实现了User-Based和View-Based访问控制模型。 3.1 基于用户的安全模型USM SNMP v3提出了四个安全目标： 1）对每一个接收到的SNMP消息进行认证检查，确认其在传输过程中没有被修改(包括非故意修改)，即数据完整性认证； 2）提供对发送消息的用户的身份认证，防止伪装用户； 3）提供对过时消息的检测，防止消息的重定向、延迟或重发； 4） 必要时提供对消息的加密保护，避免管理信息的暴露 为实现上述目标，SNMPv3采用了基于用户的安全模型（USM）。定义了USM的规范，包括： 鉴别:提供数据整体性和数据发送源鉴别。消息鉴别代码和散列函数MD5或SHA-1一起来提供鉴别。 及时性:保护消息在传输过程中不被延时或重播。 保密:保护消息有效内容不被泄密。 发现:定义一个SNMP引擎获得关于另一个SNMP引擎的信息的过程。 密钥管理:定义了密钥产生、更新和使用的过程。 使用USM时的SNMPv3消息格式；阴影部分的取值是经过USM创建/处理的。 3.1.1 涉及概念 1、用户：SNMPv3用户是一个发出SNMP操作的实体，可以是一个或一些管理员，或是执行网管操作的应用程序等。用户的身份和目标代理的相关配置一起决定了将要调用的安全机制——认证、加密和访问控制等。 2、权威的(authoritative)SNMP协议引擎：为了防御重放、延迟等攻击，在参与通信的SNMP协议引擎中应有一方被指定为权威的SNMP协议引擎。当一个SNMP消息需要应答时，消息接收方的SNMP协议引擎就是权威的SNMP协议引擎；当SNMP消息不需要应答时，则消息发送方的SNMP协议引擎是权威的SNMP协议引擎。 3、本地化密钥：USM的认证和加密机制需要在通信的两个协议引擎之间共享认证密钥和加密密钥。为了简化密钥的管理，SNMPv3允许管理员不直接指定每个用户的实际密钥，而是为用户配置口令（p