WO2008000177A1 - Cadre de gestion de sécurité réseau et son procédé de traitement d'informations - Google Patents

Cadre de gestion de sécurité réseau et son procédé de traitement d'informations Download PDF

Info

Publication number
WO2008000177A1
WO2008000177A1 PCT/CN2007/070134 CN2007070134W WO2008000177A1 WO 2008000177 A1 WO2008000177 A1 WO 2008000177A1 CN 2007070134 W CN2007070134 W CN 2007070134W WO 2008000177 A1 WO2008000177 A1 WO 2008000177A1
Authority
WO
WIPO (PCT)
Prior art keywords
management
level
information
protocol
low
Prior art date
Application number
PCT/CN2007/070134
Other languages
English (en)
French (fr)
Inventor
Yuzhi Ma
Fuyou Miao
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Priority to EP07721754A priority Critical patent/EP2031793A4/en
Publication of WO2008000177A1 publication Critical patent/WO2008000177A1/zh
Priority to US12/337,835 priority patent/US20090100259A1/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/168—Implementing security features at a particular protocol layer above the transport layer

Definitions

  • the present invention relates to the field of network communication, and in particular to a management network security framework and an information processing method thereof [3]
  • the network security issues mainly include the following three categories:
  • Simple Network Management Protocol version 3 provides relevant security features through the protocol's own USM (User-based Security Model) and VACM (View-based Access Control Model) models.
  • the traditional management network security framework can be divided into two modes: shared and exclusive.
  • the schematic diagram is shown in Figure 1.
  • a management station is used by multiple users who share a management channel.
  • the management protocol needs to carry related security parameters such as message confidentiality, message integrity, user authentication, and access control.
  • the managed device not only guarantees the confidentiality and integrity of the management packets. , also authenticate and authorize each user.
  • a management station is used by one user, and the management channel is used by the user. Exclusively, there is a certain one-to-one binding relationship between the management channel and the user. If the management channel itself can provide identity authentication, the management protocol does not need to carry user information, and the managed device can only authenticate and authorize the management station.
  • a solution for managing network security in the prior art is: Introducing SSH (Secure Shell) based on the sharing mode shown in FIG.
  • Step 1 Establish an SSH session channel.
  • the SNMP user When an SNMP user wants to access a device and needs to initiate an SNMP request through the SNMP engine, the SNMP user first establishes a secure transmission connection for the SNMP user using the SSH transmission protocol, which provides data confidentiality and integrity. Ensure that the SNMP user is authenticated through the SSH user authentication protocol; if the user authentication is successful, the SSH connection protocol establishes a communication channel between the SNMP engines and associates the SN MP user with the established communication channel. Thus, the SSH session channel is established.
  • Step 2 Start the SSH subsystem.
  • SNMP is started as a subsystem of SSH by the SNMP engine.
  • the management station and the managed device can exchange various management information according to the SSH protocol.
  • the newly added SNMP user repeats steps 1 through 3 above, and the SNMP user needs to establish a separate SSH session channel and SSH subsystem.
  • one channel channel is associated with one S ⁇ P user, and the communication channel between the management station and the same managed device follows the user.
  • the number increases and increases, and the system overhead is large.
  • An object of the embodiments of the present invention is to provide a management network security framework and an information processing method thereof, so that a secure transmission channel can be established between the management station and the managed device, and the secure transmission channel is utilized. Information exchange between managed devices.
  • a management network security framework including: management stations and managed devices,
  • the management station is configured to establish a secure transmission channel with the managed device, and perform information interaction between the secure transmission channel and the managed device;
  • the managed device is configured to establish a secure transmission channel with the management station; perform authentication on the management station; and perform information interaction between the secure transmission channel and the management station.
  • An information processing method for managing a network security framework comprising:
  • the security exchange channel is used for information interaction between the management station and the managed device.
  • the embodiment of the present invention establishes a secure transmission channel before the management station and the managed device, and the managed device authenticates the management station; Information exchange between the channel and the management station. Therefore, only one communication channel needs to be established between the management station and the same managed device, which saves system overhead.
  • FIG. 1 is a schematic structural diagram of a prior art management security framework
  • FIG. 2 is a schematic structural diagram of an embodiment of a management network security framework according to an embodiment of the present disclosure
  • FIG. 3 is a schematic flowchart of a process of an embodiment of an information processing method for managing a network security framework according to an embodiment of the present invention
  • FIG. 4 is a schematic diagram of establishing a management channel in a low-level security protocol transmission channel according to an embodiment of the present invention.
  • the embodiment of the present invention provides a management network security framework and an information processing method thereof.
  • a high-level management protocol and a low-level security protocol are layered, and AAA (Authentication)
  • the Accounting, Authentication, Authorization, and Accounting system is introduced into the security framework to authenticate the management station at the low-level security protocol level and authenticate and authorize the user at the high-level management protocol layer to provide a hierarchical management network security framework.
  • FIG. 2 The structure of the embodiment is as shown in FIG. 2, including a management station, a MA server, and a managed device.
  • the function of each unit is as follows:
  • Management Station Corresponds to one or more managed devices.
  • the security parameter negotiation is performed between the low-level security protocol client in the management station and the low-level security protocol server in the managed device, and the authentication information for the authentication management station is carried in the negotiation process.
  • a low-level security protocol transmission channel is established between the managed device and the managed device, and a management channel between the managed device and the managed device is established in the low-level security protocol transmission channel.
  • Users are authenticated and authorized at the high-level management protocol layer. These include: Low-level security protocol clients, high-level management protocol clients, and MA clients.
  • the low-level security protocol client performs security parameter negotiation with the low-level security protocol server in the managed device, and carries the authentication information used for the authentication management station during the negotiation process, and establishes and manages the device between the managed device.
  • Low-level security protocol transmission channel ;
  • the high-level management protocol client sending, by the low-level security protocol transmission channel, a packet carrying at least one of the authentication information and the authorization information to the high-level management protocol server in the managed device; performing user information on the user After the authentication and access control authorization, the information is exchanged between the user-initiated and managed devices by using a low-level security protocol transmission channel.
  • the upper management protocol client includes: Management channel processing module.
  • the above management channel processing module is configured to establish and maintain a management channel in the low-level security protocol transmission channel, and one secure transmission channel can carry one or more management channels.
  • the management channel includes two modes: host-user mode and host-host mode.
  • the host-user mode management channel is used to transmit management information related to the user; the host-host mode management channel is used to transmit management information such as alarms or log information that are not related to the user.
  • the MA client sends a packet carrying at least one of the authentication information and the authorization information to the MA server, and initiates at least one of an authentication request and an authorization request for the user.
  • Managed device After the security parameter negotiation between the low-level security protocol server and the low-level security protocol client in the management station, the authentication request of the management station is initiated to the AAA server, and the lower layer between the management station is established and managed.
  • Security protocol transmission channel It includes a high-level management protocol server, an MA client, and a low-level security protocol server.
  • the high-level management protocol server receiving the carrying of the high-level management protocol client in the management station
  • the at least one of the authentication information and the authorization information is sent to the MA client by the at least one of the authentication information and the authorization information.
  • the user initiates the message.
  • the low-level security protocol transmission channel is used to exchange information with the management station.
  • the low-level security protocol server negotiates security parameters with the low-level security protocol client in the management station, initiates the authentication request of the management station to the MA client, and establishes and manages the low-level security protocol between the stations. Transmission channel.
  • the AAA client delivers the authentication request sent by the low-level security protocol server to the AAA server, and transmits the packet carrying at least one of the authentication information and the authorization information sent by the server of the high-level management protocol to the MA server. , initiating at least one of an authentication request and an authorization request to the user to the MA server
  • the server authenticates the management station according to the received authentication request; performs user information authentication or access control authorization on the user according to the received message carrying the authentication information or the authorization information.
  • the above managed device may further include: a MA server, configured to
  • the management station is authenticated, and at least one of the user information authentication and the access control authorization is performed on the user according to the message carrying at least one of the authentication information and the authorization information sent by the server of the high-level management protocol.
  • Low-level security protocol refers to TLS (Transport Layer)
  • AAA servers refer to Diameter Radius, etc., as well as authentication and authorization servers such as newly developed authentication servers.
  • the AAA client refers to clients such as Diameter and Radius.
  • Step 3-1 The security parameters are negotiated between the management station and the managed device through the low-level security protocol.
  • the low-level security protocol client and managed device in the management station are first The security parameters are negotiated between the low-level security protocol servers in the standby, and the security parameters required to ensure data confidentiality and integrity are determined through negotiation.
  • the security parameters include a key, an encryption algorithm, and the like.
  • the above negotiation process simultaneously determines authentication information such as a management engine identifier for the authentication management station.
  • Step 3-2 The AAA server authenticates the management station.
  • the low-level security protocol server in the managed device acquires the management station authentication information, and initiates authentication of the management station to the MA server. Request, if the authentication fails, the low-level security protocol server notifies the low-level security protocol client of the reason for the authentication failure, and terminates the subsequent operation; if the authentication is successful, the low-level security protocol client in the management station and the low-level security in the managed device A low-level security protocol transmission channel is established between the protocol server terminals, and the low-level security protocol transmission channel can be used by the upper management protocol.
  • Step 3-3 The MA server authenticates the user information.
  • the management station needs to authenticate the user information to ensure the validity of the user identity to the management station.
  • the authentication methods are as follows:
  • Method 1 Corresponding to mark 3 and mark 4 in Figure 2.
  • the high-level management protocol client in the management station sends a packet carrying the authentication information to the high-level management protocol server in the managed device through the low-level security protocol transmission channel, where the authentication information includes at least one of a user group identifier and a user identifier.
  • the high-level management protocol server After receiving the authentication packet, sends the authentication packet to the AAA client in the managed device, and the MA client initiates an authentication request to the user through the MA client.
  • Method 2 Corresponds to the mark 3 ' in Figure 2.
  • the MA client in the management station sends a packet carrying the authentication information to the MA server to initiate an authentication request to the user.
  • the authentication information includes at least one of a user group identifier and a user identifier.
  • Step 3-4 The MA server performs access control authorization for the user.
  • the AAA server needs to check the user access control authority through the high-level management protocol.
  • the check mode is as follows:
  • Method 1 Corresponding to mark 3 and mark 4 in Fig. 2.
  • the high-level management protocol client in the management station sends a report carrying the authorization information to the high-level management protocol server in the managed device through the low-level security protocol transmission channel.
  • the authorization information includes: at least one of a user group identifier and a user identifier, and access control information.
  • the high-level management protocol server After receiving the authorization packet, delivers the authorization packet to the MA client in the managed device, and initiates an authorization request for the user to the MA server through the MA client.
  • Method 2 Corresponds to the mark 3' in Figure 2.
  • the MA client sends a packet carrying the authorization information to the MA server to initiate an authorization request to the user.
  • the authorization information includes: at least one of a user group identifier, a user identifier, and access control information.
  • Step 3-5 The management station establishes a management channel in the low-level security protocol transmission channel, and performs management information exchange between the management station and the managed device.
  • the low-level security protocol is used to transmit the channel management station and the managed device according to the protocol. Management information interaction.
  • the above-mentioned low-level security protocol transmission channel can be shared by multiple users under the same management station. For users under the same management station with different access control rights, the above steps 3-3 and steps need to be repeated.
  • the MA server and the MA client of the present invention may not exist as physical entities, but only exist as logical functions. At this time, the authentication and authorization related work is completed by the managed device.
  • the management station can establish a management channel in the above-mentioned low-level security protocol transmission channel, and a secure transmission channel can carry multiple management channels, which are established and maintained by the management protocol.
  • Embodiments of the present invention divide a management channel into two modes, a host-user mode (mode 1) and a host-host mode (mode 2).
  • a schematic diagram of establishing a management channel in a low-level security protocol transmission channel according to an embodiment of the present invention is shown in FIG.
  • the management protocol in Figure 4 refers to management protocols such as SNMP, NETC0NF, SYSL0G, and IPFIX.
  • Security protocols refer to security protocols such as TLS, DTLS, and SSH.
  • Transport protocols refer to TCP and UDP.
  • the host-user mode management channel is used for transmitting management information related to the user, and the management information includes configuration operations such as an SNMP read operation, an SNMP write operation, a NETC0NF read command, and a NETC0NF edit command.
  • configuration operations such as an SNMP read operation, an SNMP write operation, a NETC0NF read command, and a NETC0NF edit command.
  • S ⁇ P read operation is initiated by a user, and the managed device must check the authenticity of the user and whether the user has the right to initiate the operation, so the type of operation is related to the user.
  • the identity check is independent of the management station and the managed device. Because each user's identity authentication is independent, the user identity check cannot be bound to the lower layer security protocol transport channel and can only be bound to each management channel.
  • the host-host mode management channel is used to transmit management information such as alarms or log information that are not related to the user.
  • the management information includes SNMP alarm information, NETC0NF alarm information, and SYSL0G log information.
  • Such management channels are not directly related to the user. However, there must be a trust relationship between the host (management station and managed device). Therefore, such management channels need to use host-to-host authentication.
  • the verification between the entities at both ends is not only bound to the management channel, but also bound to the lower layer security protocol transmission channel, such as host authentication directly using TLS, and the verified identity is not only bound to the lower layer security protocol transmission channel. It is also bound to the management channel of the host to the host.
  • a low-level security protocol transport channel can contain multiple host-host mode and host-user mode management channels simultaneously. That is, a low-level security protocol transmission channel can simultaneously carry management data of multiple users and management data of host-to-host mode.
  • the managed device authenticates the management station by establishing a secure transmission channel before the management station and the managed device; and the information is exchanged between the secure transmission channel and the management station. Therefore, only one communication channel needs to be established between the management station and the same managed device, which saves system overhead.
  • the embodiment of the present invention layeres the high-level management protocol and the low-level security protocol, and introduces the MA system, thereby organically combining the three.
  • a basic security model is provided for various management protocols, so that new management protocols can be easily integrated into the security framework in the future.
  • the embodiment of the present invention proposes to establish a management channel between the management station and the managed device, and separate the alarm and the management channel of the configuration information, thereby reducing the complexity of establishing and authenticating the alarm management channel.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Communication Control (AREA)

Description

说明书 管理网络安全框架及其信息处理方法
[I] 技术领域
[2] 本发明涉及网络通讯领域， 尤其涉及一种管理网络安全框架及其信息处理方法 [3] 发明背景
[4] 随着互联网的飞速发展以及新技术、 新应用的不断涌现， 互联网已经成为人们 学***台。 但网络安 全问题也日益凸显， 每年由各类安全事件造成的损失数以亿计。 网络安全问题 已经严重影响到当前经济以及社会稳定， 也严重影响了人民群众正常的工作、 学习和生活， 网络安全问题已经成为当前互联网中亟需解决的重大问题。
[5] 网络安全问题主要包括如下三类：
[6] 1 、 信息篡改， 报文在传输的过程中被中间的恶意网络节点非法篡改；
[7] 2 、 信息泄露， 报文在传输过程中被非法拦截， 并加以非法利用；
[8] 3 、 身份仿冒， 一个恶意节点仿冒一个合法节点参与到协议通信中。
[9] 传统的管理网络安全建立在管理协议自身的安全机制的基础上， 即管理协议自 身提供协议数据的机密性和完整性保证， 以及用户认证和访问控制授权等安全 机制， 例如， SNMP (Simple Network Management
Protocol, 简单网络管理协议）版本 3通过协议自己的 USM (User-based Security Model, 基于用户的安全模型）和 VACM (View-based Access Control Model, 基于视图的访问控制模型）模型提供相关安全特性。
[10] 传统的管理网络安全框架可分为共享式和独占式两种模式， 其示意图如图 1所 示。 在图 1所示的共享模式中， 一个管理站被多个用户所使用， 这些用户共享一 个管理通道。 为了给每个用户提供安全保证， 管理协议中需要携带报文机密性 、 报文完整性、 用户认证和访问控制等相关的安全参数， 被管设备除保证管理 报文的机密性和完整性外， 还要对每个用户进行认证和授权。
[II] 在图 1所示的独占模式中， 一个管理站由一个用户所使用， 管理通道被该用户 所独享， 管理通道和用户之间存在确定的一对一绑定关系。 如果管理通道本身 能够提供身份认证， 管理协议中无需携带用户信息， 被管设备仅对管理站进行 认证和授权即可。
[12] 现有技术中一种管理网络安全的解决方案为： 在图 1所示的共享模式的基础上 ， 引入 SSH ( Secure Shell
， 安全外壳） ， 通过 SSH来保证管理报文的机密性和完整性。 该技术方案的基本 处理过程包括如下步骤：
[13] 步骤一、 建立 SSH会话通道。
[14] 当一个 SNMP用户要访问某个设备， 需要通过 SNMP引擎发起 SNMP请求时， 该 SNMP 用户首先使用 SSH传输协议为该 SNMP用户建立安全传输连接， 该安全传输连接提 供数据机密性和完整性保证； 然后通过 SSH用户认证协议对该 SNMP用户进行认证 ； 如果用户认证成功， 则由 SSH连接协议在 SNMP引擎之间建立通信信道， 并将 SN MP用户与建立的通信信道进行关联。 于是， SSH会话通道建立完成。
[15] 步骤二、 启动 SSH子***。
[16] SSH会话通道建立完成后， SNMP作为 SSH的一个子***被 SNMP引擎启动。
[17] 步骤三、 管理信息交互。
[18] 在 SSH会话通道建立完成并且启动了 SSH子***后， 管理站和被管设备之间就可 以按照 SSH协议的规定方式交互各种管理信息。
[19] 步骤四、 新增加用户。
[20] 当另外一个使用相同的管理站引擎的 S匪 P用户需要访问上述同一个设备的时候
， 该新增加 SNMP用户重复执行上述步骤一到步骤三， 该 SNMP用户需要再建立一 个独立的 SSH会话通道和 SSH子***。
[21] 在实现本发明的过程中， 发明人发现上述现有技术的解决方案中， 一个通道信 道与一个 S匪 P用户相关联， 管理站和同一个被管设备之间的通信信道随用户数 增加而增加， ***开销较大。
[22] 发明内容
[23] 本发明实施例的目的是提供一种管理网络安全框架及其信息处理方法， 从而可 以在管理站和被管设备之间建立一个安全传输通道， 利用所述安全传输通道和 被管设备之间进行信息交互。
[24] 本发明实施例的目的是通过以下技术方案实现的：
[25] 一种管理网络安全框架， 包括： 管理站和被管设备，
[26] 所述管理站， 用于和所述被管设备之间建立安全传输通道， 利用所述安全传输 通道和被管设备之间进行信息交互；
[27] 所述被管设备， 用于和所述管理站之间建立安全传输通道； 对所述管理站进行 认证； 利用所述安全传输通道和所述管理站之间进行信息交互。
[28] 一种管理网络安全框架的信息处理方法， 包括：
[29] 管理站和被管设备之间建立安全传输通道， 并对所述管理站进行认证；
[30] 所述管理站和所述被管设备之间利用所述安全传输通道进行信息交互。
[31] 由上述本发明实施例提供的技术方案可以看出， 本发明实施例通过在管理站和 被管设备之前建立一个安全传输通道， 被管设备对管理站进行认证； 利用所述 安全传输通道和管理站之间进行信息交互。 从而可以在管理站和同一个被管设 备之间只需要建立一个通信信道， 节约***开销。
[32] 附图简要说明
[33] 图 1为现有技术的管理安全框架的结构示意图；
[34] 图 2为本方法实施例所述管理网络安全框架的实施例的结构示意图；
[35] 图 3为本发明实施例所述管理网络安全框架的信息处理方法的实施例的处理流 程示意图；
[36] 图 4为本发明实施例所述在低层安全协议传输通道中建立管理信道的示意图。
[37] 实施本发明的方式
[38] 本发明实施例提供了一种管理网络安全框架及其信息处理方法， 本发明实施例 将高层管理协议和低层安全协议进行分层， 将 AAA (Authentication
Authorization
Accounting, 验证、 授权、 计费）***引入到安全框架， 在低层安全协议层面 对管理站进行认证， 在高层管理协议层面对用户进行认证和授权， 从而提供一 种分层式管理网络安全框架。
[39] 下面结合附图来详细描述本发明实施例， 本发明实施例所述管理网络安全框架 的实施例的结构如图 2所示， 包括管理站、 MA服务器和被管设备。 每个单元的 功能介绍如下：
[40] 管理站： 对应一个或多个被管设备。 在管理站中的低层安全协议客户端和被管 设备中的低层安全协议服务端之间进行安全参数协商， 协商过程中携带用于认 证管理站的认证信息。 建立和被管设备之间的低层安全协议传输通道， 在低层 安全协议传输通道中建立和被管设备之间的管理通道。 在高层管理协议层面对 用户进行认证和授权。 包括： 低层安全协议客户端、 高层管理协议客户端和 MA 客户端。
[41] 其中， 低层安全协议客户端： 和被管设备中的低层安全协议服务端之间进行安 全参数协商， 协商过程中携带用于认证管理站的认证信息， 并建立和被管设备 之间的低层安全协议传输通道；
[42] 其中， 高层管理协议客户端： 通过低层安全协议传输通道向被管设备中的高层 管理协议服务端发送携带认证信息、 授权信息中的至少一项的报文； 在对用户 进行用户信息认证和访问控制授权后， 通过用户发起和被管设备之间利用低层 安全协议传输通道进行信息交互。 高层管理协议客户端中包括： 管理信道处理 模块。
[43] 上述管理信道处理模块： 用于在上述低层安全协议传输通道中建立和维护管理 信道， 一条安全传输通道可承载一条或多条管理信道。 该管理信道包括两种模 式： 主机一用户模式和主机一主机模式。 主机一用户模式的管理信道用于传输 与用户相关的管理信息； 主机一主机模式的管理信道用于传输与用户无关的告 警或日志信息等管理信息。
[44] 其中， MA客户端： 向 MA服务器发送携带认证信息、 授权信息中的至少一项的 报文， 发起对用户的认证请求、 授权请求中的至少一项。
[45] 被管设备： 通过低层安全协议服务端和管理站中的低层安全协议客户端之间进 行安全参数协商后， 向 AAA服务器发起管理站的认证请求， 并建立和管理站之间 的低层安全协议传输通道。 包括高层管理协议服务端、 MA客户端和低层安全协 议服务端。
[46] 其中， 高层管理协议服务端： 接收管理站中的高层管理协议客户端发送的携带 认证信息、 授权信息中的至少一项的报文， 将该认证报文、 授权报文中的至少 一项发送给 MA客户端； 在对用户进行用户信息认证和访问控制授权后， 通过用 户发起和管理站之间利用低层安全协议传输通道进行信息交互。
[47] 其中， 低层安全协议服务端： 和管理站中的低层安全协议客户端之间进行安全 参数协商， 向 MA客户端发起管理站的认证请求， 并建立和管理站之间的低层安 全协议传输通道。
[48] 其中， AAA客户端： 将低层安全协议服务端发送的认证请求传递给 AAA服务器， 将高层管理协议服务端发送的携带认证信息、 授权信息中的至少一项的报文传 递给 MA服务器， 向 MA服务器发起对用户的认证请求、 授权请求中的至少一项
[49] AAA
服务器： 根据接收到的认证请求对管理站进行认证； 根据接收到的携带认证信 息或授权信息的报文， 对用户进行用户信息认证或访问控制授权。
[50] 上述的被管设备中还可以包括： MA服务器， 用于根据
低层安全协议服务端发送的认证请求
对所述管理站进行认证， 根据高层管理协议服务端发送的携带认证信息、 授权 信息中的至少一项的报文， 对用户进行相应的用户信息认证、 访问控制授权中 的至少一项。
[51] 上述高层管理协议指 SNMP、 NETCONF (NET
CONFIG, 网络配置协议）等， 以及将来新产生的高层管理协议等管理协议。 低 层安全协议指 TLS (Transport Layer
Security, 传输层安全协议） 、 SSH以及将来新产生的低层安全管理协议等安全 协议， AAA服务器指 Diameter Radius等， 以及将来新发展起来的认证服务器等 认证授权服务器。 AAA客户端指 Diameter、 Radius等客户端。
[52] 本发明实施例所述管理网络安全框架的信息处理方法的实施例的处理流程如图
3所示， 包括如下步骤：
[53] 步骤 3-1、 管理站和被管设备之间通过低层安全协议进行安全参数协商。
[54] 在高层管理协议开始工作前， 首先由管理站中的低层安全协议客户端和被管设 备中的低层安全协议服务端之间进行安全参数协商， 协商确定保证数据机密性 和完整性所需的安全参数， 该安全参数包括密钥、 加密算法等。 上述协商过程 同时确定用于认证管理站的管理引擎标识等认证信息。
[55] 步骤 3-2、 AAA服务器对管理站进行认证。
[56] 在管理站和被管设备之间通过低层安全协议进行了上述安全参数协商后， 被管 设备中的低层安全协议服务端获取所述管理站认证信息， 向 MA服务器发起管理 站的认证请求， 如果认证失败， 则低层安全协议服务端向低层安全协议客户端 通告认证失败原因， 并终止后续操作； 如果认证成功， 则管理站中的低层安全 协议客户端和被管设备中的低层安全协议服务端之间建立低层安全协议传输通 道， 该低层安全协议传输通道可以供高层管理协议使用。
[57] 步骤 3-3、 MA服务器对用户进行用户信息认证。
[58] 在上述低层安全协议传输通道建立完成后， 管理站需要对用户进行用户信息认 证， 以保证用户身份对管理站的合法性， 认证方式有如下两种：
[59] 方式一： 对应图 2中标记 3和标记 4。 管理站中的高层管理协议客户端通过低层 安全协议传输通道向被管设备中的高层管理协议服务端发送携带认证信息的报 文， 该认证信息包括用户组标识、 用户标识中的至少一项。 上述高层管理协议 服务端接收到所述认证报文后， 将该认证报文传递给被管设备中的 AAA客户端， 通过 MA客户端向 MA服务器发起对用户的认证请求。
[60] 方式二： 对应图 2中的标记 3 ' 。 管理站中的 MA客户端直接向 MA服务器发送携 带认证信息的报文， 发起对用户的认证请求， 该认证信息包括用户组标识、 用 户标识中的至少一项。
[61] 如果上述对用户的认证请求失败， 则高层管理协议终止本次对用户的认证涉及 的管理操作； 否则， 执行步骤 3-4。
[62] 步骤 3-4、 MA服务器对用户进行访问控制授权。
[63] 在上述低层安全管理通道建立完成， 并且对用户信息进行认证后， AAA服务器 需要通过高层管理协议检査用户访问控制权限， 检査方式有如下两种：
[64] 方式一： 对应图 2中标记 3和标记 4。 管理站中的高层管理协议客户端通过低层 安全协议传输通道向被管设备中的高层管理协议服务端发送携带授权信息的报 文， 该授权信息包括： 用户组标识、 用户标识中的至少一项， 以及访问控制信 息。 高层管理协议服务端接收到所述授权报文后， 将该授权报文传递给被管设 备中的 MA客户端， 通过 MA客户端向 MA服务器发起对用户的授权请求。
[65] 方式二： 对应图 2中的标记 3' 。 MA客户端直接向 MA服务器发送携带授权信息 的报文， 发起对用户的授权请求。 该授权信息包括： 用户组标识、 用户标识中 的至少一项， 以及访问控制信息。
[66] 如果上述对用户的授权请求失败， 则高层管理协议终止本次授权涉及的管理操 作， 如果请求成功， 则执行步骤 3-5。
[67] 步骤 3-5、 管理站在低层安全协议传输通道中建立管理信道， 管理站和被管设 备之间进行管理信息交互。
[68] 在上述低层安全协议传输通道建立完成， 并且对用户信息进行认证和授权通过 后， 通过用户的发起， 利用该低层安全协议传输通道管理站和被管设备之间按 照协议规定方式进行各种管理信息交互。
[69] 上述低层安全协议传输通道可以被同一个管理站下的多个用户所共用， 对于访 问控制权限不同的同一个管理站下的用户， 需要重复执行上述步骤 3-3和步骤 3-
4。
[70] 在实际应用中， 本发明所述 MA服务器和 MA客户端可以不作为物理实体存在， 而仅作为逻辑功能存在， 此时认证和授权相关的工作由被管设备完成。
[71] 管理站可以在上述低层安全协议传输通道中建立管理信道， 一条安全传输通道 可承载多条管理信道， 该管理信道由管理协议进行建立和维护。 本发明实施例 将管理信道划分为两种模式， 即主机一用户模式（模式 1 )和主机一主机模式（ 模式 2) 。 本发明实施例所述在低层安全协议传输通道中建立管理信道的示意图 如图 4所示。 图 4中管理协议指 SNMP、 NETC0NF、 SYSL0G和 IPFIX等管理协议， 安 全协议指 TLS、 DTLS和 SSH等安全协议， 传输协议指 TCP和 UDP等。
[72] 主机一用户模式的管理信道用于传输与用户相关的管理信息， 该管理信息包括 SNMP读操作、 SNMP写操作、 NETC0NF读命令、 NETC0NF编辑命令等配置操作。 如 ， 一个 S匪 P读操作是由一个用户发起的， 被管设备必须检査该用户的真实性以 及该用户是否有发起该操作的权限， 因此该类型操作同用户相关的。 上述用户 身份检査同管理站和被管设备无关。 因为每个用户的身份认证是独立的， 因此 ， 该用户身份检査不能同低层安全协议传输通道绑定， 只能同每个管理信道绑 定。
[73] 主机一主机模式的管理信道用于传输与用户无关的告警或日志信息等管理信息 。 该管理信息包括 SNMP告警信息、 NETC0NF告警信息和 SYSL0G日志信息等。 此类 管理信道同用户没有直接关系， 但是， 主机（管理站和被管设备）之间必须存 在信任关系， 因此， 此类管理信道需采用主机到主机的验证方式。 并且， 两端 的实体之间的验证不仅同该管理信道绑定， 同时也同低层安全协议传输通道绑 定， 如直接采用 TLS的主机验证， 验证后的身份不仅同低层安全协议传输通道绑 定， 也同主机到主机的管理信道绑定。
[74] 一个低层安全协议传输通道内可以同时包含多个主机一主机模式和主机一用户 模式的管理通道。 即一个低层安全协议传输通道可以同时承载多个用户的管理 数据和主机到主机模式的管理数据。
[75] 综上所述， 本发明实施例通过在管理站和被管设备之前建立安全传输通道， 被 管设备对管理站进行认证； 利用所述安全传输通道和管理站之间进行信息交互 。 从而可以在管理站和同一个被管设备之间只需要建立一个通信信道， 节约系 统开销。
[76] 本发明实施例将高层管理协议和低层安全协议进行分层， 以及将 MA***引入 ， 从而将三者有机地结合起来。 为各种管理协议提供了基本的安全模型， 使得 将来新产生的管理协议， 都可以方便地融入该安全框架。
[77] 本发明实施例提出在管理站和被管设备之间建立管理信道， 并将告警和配置信 息的管理信道相分离， 降低了告警管理信道建立和认证的复杂度。
[78] 以上所述， 仅为本发明较佳的具体实施方式， 但本发明的保护范围并不局限于 此， 任何熟悉本技术领域的技术人员在本发明揭露的技术范围内， 可轻易想到 的变化或替换， 都应涵盖在本发明的保护范围之内。 因此， 本发明的保护范围 应该以权利要求的保护范围为准。

Claims

权利要求书
[1] 1、 一种管理网络安全框架， 其特征在于， 包括： 管理站和被管设备， 所述管理站， 用于和所述被管设备之间建立安全传输通道， 利用所述安全 传输通道和被管设备之间进行信息交互；
所述被管设备， 用于和所述管理站之间建立安全传输通道； 对所述管理站 进行认证； 利用所述安全传输通道和所述管理站之间进行信息交互。
[2] 2、 根据权利要求 1所述的管理网络安全框架， 其特征在于， 还包括：
验证、 授权、 计费 AAA服务器， 用于根据接收到的认证请求对所述管理站进 行认证； 根据接收到的携带认证信息、 授权信息中的至少一项的报文， 对 用户进行相应的用户信息认证、 访问控制授权中的至少一项。
[3] 3、 根据权利要求 1所述的管理网络安全框架， 其特征在于， 所述的管理站 具体包括：
低层安全协议客户端， 用于和所述被管设备中的低层安全协议服务端之间 进行安全参数协商， 协商过程中携带用于认证所述管理站的认证信息， 并 建立和所述被管设备之间的低层安全协议传输通道；
高层管理协议客户端， 用于利用所述低层安全协议传输通道通过高层协议 向所述被管设备中的高层管理协议服务端发送携带认证信息、 授权信息中 的至少一项的报文； 利用所述低层安全协议传输通道和所述被管设备之间 进行信息交互。
[4] 4、 根据权利要求 3所述的管理网络安全框架， 其特征在于， 所述高层管理 协议客户端还包括：
管理信道处理模块， 用于在所述低层安全协议传输通道中通过高层管理协 议建立和维护与所述被管设备之间的管理信道， 通过所述管理信道分层次 传输与用户相关的管理信息和与用户无关的管理信息。
[5] 5、 根据权利要求 3所述的管理网络安全框架， 其特征在于， 所述的管理站 还包括：
AAA
客户端， 用于向所述 MA服务器发送携带认证信息、 授权信息中的至少一项 的报文， 发起对用户的相应的认证请求、 授权请求中的至少一项。
[6] 6、 根据权利要求 1至 5任一项所述的管理网络安全框架， 其特征在于， 所述 的被管设备具体包括：
低层安全协议服务端， 用于和 所述
管理站中的低层安全协议客户端之间进行安全参数协商， 向 MA客户端发起 所述管理站的认证请求， 并建立和所述管理站之间的低层安全协议传输通 道；
高层管理协议服务端， 用于接收所述管理站中的高层管理协议客户端发送 的携带认证信息、 授权信息中的至少一项的报文， 将接收到的所述报文发 送给 MA客户端； 利用低层安全协议传输通道和所述被管设备之间进行信息 交互；
AAA
客户端， 用于将低层安全协议服务端发送的认证请求传递给所述 AAA服务器 ， 将高层管理协议服务端发送的携带认证信息、 授权信息中的至少一项的 报文传递给所述 MA服务器， 向所述 MA服务器发起对用户的相应的认证请 求、 授权请求中的至少一项。
[7] 7、 根据权利要求 1至 5任一项所述的管理网络安全框架， 其特征在于， 所述 的被管设备具体包括：
低层安全协议服务端， 用于和所述管理站中的低层安全协议客户端之间进 行安全参数协商， 向所述 AAA服务器发起所述管理站的认证请求， 并建立和 所述管理站之间的低层安全协议传输通道；
高层管理协议服务端， 用于接收所述管理站中的高层管理协议客户端发送 的携带认证信息、 授权信息中的至少一项的报文， 将接收到的所述报文发 送给所述 AAA服务器； 利用低层安全协议传输通道和所述被管设备之间进行 信息交互；
AAA服务器， 用于根据低层安全协议服务端发送的认证请求 对所述管理站进行认证， 根据高层管理协议服务端发送的携带认证信息、 授权信息中的至少一项的报文， 对用户进行相应的用户信息认证、 访问控 制授权中的至少一项。
[8] 8、 一种管理网络安全框架的信息处理方法， 其特征在于， 包括：
管理站和被管设备之间建立安全传输通道， 并对所述管理站进行认证； 所述管理站和所述被管设备之间利用所述安全传输通道进行信息交互。
[9] 9、 根据权利要求 8所述的方法， 其特征在于， 所述的管理站和被管设备之 间建立安全传输通道， 并对所述管理站进行认证的过程， 具体包括： 所述管理站和所述被管设备之间利用低层安全协议建立安全通信通道， 通 过 MA服务器对所述管理站进行认证。
[10] 10、 根据权利要求 9所述的方法， 其特征在于， 所述的管理站和被管设备之 间利用低层安全协议建立安全通信通道， 通过 AAA服务器对所述管理站进行 认证的过程， 具体包括：
所述管理站中的低层安全协议客户端和所述被管设备中的低层安全协议服 务端之间进行安全参数协商， 协商确定保证数据机密性和完整性所需的安 全参数； 协商过程中同时携带用于认证所述管理站的认证信息； 所述被管设备中的低层安全协议服务端获取所述认证信息， 向 MA服务器发 起所述管理站的认证请求， 如果认证失败， 则低层安全协议服务端向低层 安全协议客户端通告认证失败原因， 并终止后续操作； 否则， 所述管理站 和所述被管设备之间建立低层安全协议传输通道。
[11] 11、 根据权利要求 8、 9或 10所述的方法， 其特征在于， 所述的管理站和被 管设备之间利用所述安全传输通道进行信息交互的过程， 具体包括- 所述管理站利用所述安全传输通道通过被管设备向所述 MA服务器发起用户 认证、 授权请求中的至少一项， 在认证和授权请求通过后， 利用所述安全 传输通道和所述被管设备之间进行信息交互。
[12] 12、 根据权利要求 11所述的方法， 其特征在于， 所述的方法具体包括： 所述管理站中的高层管理协议客户端通过所述低层安全协议传输通道向所 述被管设备中的高层管理协议服务端发送携带认证信息的报文， 所述高层 管理协议服务端向所述 AAA服务器发起对用户的认证请求；
在所述认证请求通过后， 所述高层管理协议客户端通过所述低层安全协议 传输通道向所述高层管理协议服务端发送携带授权信息的报文， 所述高层 管理协议服务端向 MA服务器发起对用户的授权请求；
在所述授权请求通过后， 所述管理站和所述被管设备之间利用所述低层安 全协议传输通道进行信息交互。
[13] 13、 根据权利要求 8、 9或 10所述的方法， 其特征在于， 所述的管理站和被 管设备之间利用所述安全传输通道进行信息交互的过程， 还包括- 所述管理站中的 MA客户端直接向 MA服务器发送携带认证信息、 授权信息 中的至少一项的报文， 发起对用户的相应的认证请求、 授权请求中的至少 一项。
[14] 14、 根据权利要求 8、 9或 10所述的方法， 其特征在于， 所述的管理站和被 管设备之间利用所述安全传输通道进行信息交互的过程， 还包括- 所述管理站通过高层管理协议在上述低层安全协议传输通道中建立和维护 管理信道， 利用该管理通道和所述被管设备之间传输管理信息。
[15] 15、 根据权利要求 14所述的方法， 其特征在于， 所述的管理通道包括： 主 机到用户模式的管理通道和主机到主机模式的管理通道； 主机到用户模式 的管理通道用于传输与用户相关的管理信息， 主机到主机模式的管理通道 用于传输与与用户无关的管理信息。
[16] 16、 根据权利要求 15所述的方法， 其特征在于， 所述的主机到用户模式的 管理通道通过高层管理协议进行用户身份验证， 所述的主机到主机模式的 管理通道通过安全协议进行主机验证。
PCT/CN2007/070134 2006-06-19 2007-06-19 Cadre de gestion de sécurité réseau et son procédé de traitement d'informations WO2008000177A1 (fr)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP07721754A EP2031793A4 (en) 2006-06-19 2007-06-19 NETWORK SECURITY MANAGEMENT FRAMEWORK AND METHOD FOR PROCESSING INFORMATION
US12/337,835 US20090100259A1 (en) 2006-06-19 2008-12-18 Management network security framework and its information processing method

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
CN200610086418.4 2006-06-19
CN200610086418 2006-06-19
CN2006101672020A CN101094226B (zh) 2006-06-19 2006-12-13 管理网络安全***及其信息处理方法
CN200610167202.0 2006-12-13

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US12/337,835 Continuation US20090100259A1 (en) 2006-06-19 2008-12-18 Management network security framework and its information processing method

Publications (1)

Publication Number Publication Date
WO2008000177A1 true WO2008000177A1 (fr) 2008-01-03

Family

ID=38845131

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2007/070134 WO2008000177A1 (fr) 2006-06-19 2007-06-19 Cadre de gestion de sécurité réseau et son procédé de traitement d'informations

Country Status (4)

Country Link
US (1) US20090100259A1 (zh)
EP (1) EP2031793A4 (zh)
CN (1) CN101094226B (zh)
WO (1) WO2008000177A1 (zh)

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102065083B (zh) * 2010-12-03 2013-07-10 中国科学院软件研究所 一种安全协议形式化验证方法
US10430894B2 (en) 2013-03-21 2019-10-01 Khoros, Llc Gamification for online social communities
CN104243198B (zh) * 2013-06-21 2019-07-26 中兴通讯股份有限公司 一种基于网络配置协议的网络管理方法和***
CN105323598B (zh) * 2014-07-28 2020-03-10 中兴通讯股份有限公司 一种机顶盒管理方法、装置及***
CN105049245B (zh) * 2015-07-02 2018-12-25 深圳市西迪特科技有限公司 Epon的网元管理***
CN108540433B (zh) * 2017-03-06 2020-10-27 华为技术有限公司 用户身份校验方法及装置
CN107343000A (zh) * 2017-07-04 2017-11-10 北京百度网讯科技有限公司 用于处理任务的方法和装置
US10346449B2 (en) 2017-10-12 2019-07-09 Spredfast, Inc. Predicting performance of content and electronic messages among a system of networked computing devices
US10999278B2 (en) 2018-10-11 2021-05-04 Spredfast, Inc. Proxied multi-factor authentication using credential and authentication management in scalable data networks
US11470161B2 (en) 2018-10-11 2022-10-11 Spredfast, Inc. Native activity tracking using credential and authentication management in scalable data networks
US11570128B2 (en) 2017-10-12 2023-01-31 Spredfast, Inc. Optimizing effectiveness of content in electronic messages among a system of networked computing device
US10594773B2 (en) * 2018-01-22 2020-03-17 Spredfast, Inc. Temporal optimization of data operations using distributed search and server management
US11438289B2 (en) 2020-09-18 2022-09-06 Khoros, Llc Gesture-based community moderation
US11714629B2 (en) 2020-11-19 2023-08-01 Khoros, Llc Software dependency management
CN115460606B (zh) * 2022-11-10 2023-03-24 之江实验室 一种基于5g核心网控制面安全性增强的方法及装置

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1416072A (zh) * 2002-07-31 2003-05-07 华为技术有限公司 基于认证、计费、授权协议的门户认证实现方法
CN1558584A (zh) * 2004-02-01 2004-12-29 中兴通讯股份有限公司 一种安全代理方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7093008B2 (en) * 2000-11-30 2006-08-15 Intel Corporation Communication techniques for simple network management protocol
JP2004048458A (ja) * 2002-07-12 2004-02-12 Ntt Communications Kk セキュア通信システム、ポリシーサーバ、セキュア通信を行う機器及びプログラム
CN100499646C (zh) * 2004-02-27 2009-06-10 华为技术有限公司 基于简单网络管理协议的认证方法
US20060259759A1 (en) * 2005-05-16 2006-11-16 Fabio Maino Method and apparatus for securely extending a protected network through secure intermediation of AAA information

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1416072A (zh) * 2002-07-31 2003-05-07 华为技术有限公司 基于认证、计费、授权协议的门户认证实现方法
CN1558584A (zh) * 2004-02-01 2004-12-29 中兴通讯股份有限公司 一种安全代理方法

Also Published As

Publication number Publication date
US20090100259A1 (en) 2009-04-16
EP2031793A1 (en) 2009-03-04
CN101094226B (zh) 2011-11-09
EP2031793A4 (en) 2009-09-02
CN101094226A (zh) 2007-12-26

Similar Documents

Publication Publication Date Title
WO2008000177A1 (fr) Cadre de gestion de sécurité réseau et son procédé de traitement d'informations
US10389831B2 (en) Method, apparatus and system for provisioning a push notification session
EP2317445B1 (en) Information processing apparatus and method, recording medium and program
EP1552664B1 (en) Lightweight extensible authentication protocol password preprocessing
JP5421926B2 (ja) 無線マルチホップネットワークのための認証アクセス方法及び認証アクセスシステム
JP4591897B2 (ja) 鍵ベースの暗号化
CN112235235B (zh) 一种基于国密算法的sdp认证协议实现方法
US20070089163A1 (en) System and method for controlling security of a remote network power device
US11736304B2 (en) Secure authentication of remote equipment
WO2005004385A1 (ja) 無線通信認証プログラムおよび無線通信プログラム
WO2005101727A1 (ja) 通信装置、通信システム及び認証方法
US8788821B2 (en) Method and apparatus for securing communication between a mobile node and a network
TW200826589A (en) A method for anti-rogue connection in a network system
WO2006058493A1 (fr) Procede et systeme d'authentification de domaine et d'autorite de reseau
CN111277607A (zh) 通信隧道模块、应用监控模块及移动终端安全接入***
WO2010081380A1 (zh) 局域网访问控制的方法以及网关设备
WO2003081839A1 (fr) Procede d'etablissement d'une liaison entre le dispositif d'acces au reseau et l'utilisateur mettant en oeuvre le protocole 802.1x
CN104113547A (zh) 一种sip安全防范视频监控入网控制***
JP2008287395A (ja) 認証方法及び認証システム
CN102271120A (zh) 一种增强安全性的可信网络接入认证方法
CN211352206U (zh) 基于量子密钥分发的IPSec VPN密码机
Zhang et al. Is Today's End-to-End Communication Security Enough for 5G and Its Beyond?
WO2007030989A1 (fr) Un systeme de gestion de reseau et le procede correspondant
CN113972995B (zh) 一种网络配置方法及装置
WO2011063658A1 (zh) 统一安全认证的方法和***

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 07721754

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2007721754

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

NENP Non-entry into the national phase

Ref country code: RU