[发明专利]管理网络安全框架及其信息处理方法

说明书

技术领域

本发明涉及通讯领域，尤其涉及一种管理网络安全框架及其信息处理方法。

背景技术

随着互联网的飞速发展以及新技术、新应用的不断涌现，互联网已经成为人们学习知识、获取信息、交流思想、开发潜能和休闲娱乐的重要平台。但网络安全问题也日益凸显，每年由各类安全事件造成的损失数以亿计。网络安全问题已经严重影响到当前经济以及社会稳定，也严重影响了人民群众正常的工作、学习和生活，网络安全问题已经成为当前亟需解决的重大问题。

网络安全问题主要包括如下三类：

1、信息篡改，报文在传输的过程中被中间的恶意网络节点非法篡改；

2、信息泄露，报文在传输过程中被非法拦截，并加以非法利用；

3、身份仿冒，一个恶意节点仿冒一个合法节点参与到协议通信中。

如何解决上述网络安全问题是当前的研究热点，传统的管理网络安全建立在管理协议自身的安全机制的基础上，即管理协议自身提供协议数据的机密性和完整性保证，以及用户认证和访问控制授权等安全机制，例如，SNMP(简单网络管理协议)版本3通过协议自己的USM(基于用户的安全模型)和VACM(基于视图的访问控制模型)模型提供相关安全特性。传统的管理网络安全框架可分为共享式和独占式两种模式，其示意图如图1所示。

在图1所示的共享模式中，一个管理站被多个用户所使用，这些用户共享一个管理通道。为了给每个用户提供安全保证，管理协议中需要携带报文机密性、报文完整性、用户认证和访问控制等相关的安全参数，被管设备除保证管理报文的机密性和完整性外，还要对每个用户进行认证和授权。

在图1所示的独占模式中，一个管理站由一个用户所使用，管理通道被该用户所独享，管理通道和用户之间存在确定的一对一绑定关系。如果管理通道本身能够提供身份认证，管理协议中无需携带用户信息，被管设备仅对管理站进行认证和授权即可。

当前管理网络安全的解决方案有两大发展趋势：

1：将高层的管理协议(简单网络管理协议SNMP、基于XML的网络配置协议NETCONF等)运行于低层安全协议(传输层安全协议TLS、安全外壳SSH、区块扩展交换协议BEEP等)之上，以解决管理数据机密性和完整性的安全问题，以及完成部分用户认证的工作，例如，将SNMP运行于SSH之上，将NETCONF运行于SSH或BEEP之上。针对该趋势IETF相关工作组正在制订SNMP运行于SSH之上的标准。

2、引入独立的AAA(验证、授权、计费)系统，用于管理用户的认证，以及访问控制授权。针对该趋势目前IETF尚没有专门的工作组制订这方面的标准。

现有技术中一种管理网络安全的解决方案为：在图1所示的共享模式的基础上，引入安全协议SSH，管理报文的机密性和完整性由SSH来保证。该技术方案的基本处理过程包括如下步骤：

步骤一、建立SSH会话通道。

当一个SNMP用户要访问某个设备，需要通过SNMP引擎发起SNMP请求时，首先使用SSH传输协议为该SNMP用户建立安全传输连接，该安全传输连接提供数据机密性和完整性保证；然后通过SSH用户认证协议对该SNMP用户进行认证；如果用户认证成功，则由SSH连接协议在SNMP引擎之间建立通信信道，并将SNMP用户与建立的通信信道进行关联。于是，SSH会话通道建立完成。

步骤二、启动SSH子系统。

SSH会话通道建立完成后，SNMP作为SSH的一个子系统被SNMP引擎启动。

步骤三、管理信息交互。

在SSH会话通道建立完成并且启动了SSH子系统后，管理站和被管设备之间就可以按照SSH协议的规定方式交互各种管理信息。

步骤四、新增加用户。

当另外一个使用相同的管理站引擎的SNMP用户需要访问同一个设备的时候，重复执行上述步骤一到三，为该SNMP用户再建立一个独立的SSH会话通道和SSH子系统。

上述现有技术的解决方案的缺点为：

1、一个通道信道与一个SNMP用户相关联，管理站和同一个被管设备之间的通信信道随用户数增加而增加，系统开销较大；

2、SSH连接建立(包括验证)是由管理站的SNMP引擎完成，而实际用户是通过应用程序使用SNMP引擎的，并且多个用户要共享一个管理站引擎。在该解决方案中，用户的验证完全由管理站的SNMP引擎决定，用户对于用户的验证没有控制权，因此，对用户认证没有必要，由于用户认证引起的连接通信信道开销也是没有必要的。

发明内容