第五章+SNMP模型的发展-SNMPv3.ppt

5.2.5 SNMPv3 PDU 后两个标志privFlag和authFlag被发送方用来指示消息的安全级别， 如果privFlag=1，则应用了加密， 如果authFlag=1，则应用了鉴别。 除了privFlag=1, authFlag=0的情况外，其它任意组合都是可以接受的，也就是说没有鉴别的加密是无意义的。 5.2.5 SNMPv3 PDU msgSecurityModel:消息安全模型，用于标识发送方用于生成该消息的安全模型，发送方和接收方必须采用相同的安全模型 msgSecurityParameters：安全参数，由发送方安全子系统生成的安全参数，例如用户名、消息鉴别码(MAC)、加密参数等，用于保护消息传输的安全，并由接收方安全子系统用来对消息进行解密和鉴别等安全处理. contextEngineID：唯一识别SNMP实体的标识符。对于流入消息，该字段用于确定将PDU递交给哪个应用进行处理;对于流出消息，该值由上层应用提供，并代表那个应用程序; contextName：携带的管理对象所在的上下文的名称; PDU: 带有对象绑定列表的PDU。 其中最后三个字段(contextEngineID, contextName和PDU)合起来称为scoped PDU 5.2.6 SNMPv3 协议操作 SNMP目前有v1、v2c、v3三个版本 SNMP v1 SNMP v2c SNMP v3 支持的PDU Getrequest Getnextrequestgetresponse Setrequest trap五种 Getrequest Getnextrequest Response setrequest Getbulkrequest Informrequest Trap 7种 Getrequest Getnextrequest Response Setrequest getbulkrequest Informrequest Trap report 八种 安全性 使用明文传输的团体名进行安全机制管理，安全性低 使用明文传输的团体名进行安全机制管理，安全性低 基于用户的安全模型（认证和加密），基于视图的访问控制模型，安全性很高 复杂性 简单，使用广泛 简单，使用广泛 开销大，比较繁琐 5.2.6 SNMPv3 协议操作 名称 编码 功能说明 GetRequest 0 管理站至代理，查询指定变量的值 GetNextRequest 1 管理站至代理，查询下一变量的值 Response 2 代理至管理站，回送执行结果(正确/差错) SetRequest 3 管理站至代理，设置代理维护的某个变量的值 GetBulkRequest 4 管理站至代理，传递批量信息 InformRequest 5 管理站至管理站，传递参数处理请求 Trap 6 代理至管理者的警告消息 Report 7 Snmpv2未定义；snmpv3定义为在消息的PDU部分不能解密时，发起报告。 SNMPv3的安全机制包括：认证、加密、访问控制 5.2.7 SNMPv3安全机制分析 SNMPv3提出了四个安全目标： 1）对每一个接收到的SNMP消息进行认证检查，确认其在传输过程中没有被修改(包括非故意修改)，即数据完整性认证； 2）提供对发送消息的用户的身份认证，防止伪装用户； 3）提供对过时消息的检测，防止消息的重定向、延迟或重发； 4) 必要时提供对消息的加密保护，避免管理信息的暴露。 为实现上述目标，SNMPv3采用了基于用户的安全模型（USM）。定义了USM的规范，包括: 鉴别:提供数据整体性和数据发送源鉴别。消息鉴别代码HMAC和散列函数MD_5或SHA-1一起来提供鉴别。 及时性:保护消息在传输过程中不被延时或重播。 保密:保护消息有效内容不被泄密。 发现:定义一个SNMP引擎获得关于另一个SNMP引擎的信息的过程。 密钥管理:定义了密钥产生、更新和使用的过程。 5.2.7 SNMPv3安全机制分析 1）用户 SNMPv3用户是一个发出SNMP操作的实体，可以是一个或一些管理员，或是执行网管操作的应用程序等。用户的身份和目标代理的相关配置一起决定了将要调用的安全机制——认证、加密和访问控制等。 2）权威的(authoritative)SNMP协议引擎 为了防御重放、延迟等攻击，在参与通信的SNMP协议引擎中应有一方被指定为权威的SNMP协议引擎。当一个SNMP消息需要应答时，消息接收方的SNMP协议引擎就是权威的SNMP协议引擎；当SNMP消息不需要应答时，则消息发送方的SNMP协议引擎是权威的SNMP协议引擎。相应的，通信中另一方的SNMP协议引擎被称为非权威的SNMP协