SNMPV3安全性探討
- 編輯：admin -SNMP的發(fā)展主要是圍繞其安全性的提高而不斷開發(fā)新版本的，安全性要求在SNMPV2中就被迫切地提出來，這是因?yàn)镾NP的消息在網(wǎng)絡(luò)上傳輸面臨著以下的安全性問題：
SNMP的發(fā)展主要是圍繞其安全性的提高而不斷開發(fā)新版本的，安全性要求在SNMPV2中就被迫切地提出來，這是因?yàn)镾NP的消息在網(wǎng)絡(luò)上傳輸面臨著以下的安全性問題：(1)修改信息:一個(gè)實(shí)體可以修改由另一個(gè)授權(quán)實(shí)體產(chǎn)生的傳輸中的消息，從而以這樣的一種方式來影響非授權(quán)的管理操作，其中包括設(shè)置對象的取值。在本質(zhì)上，這種威脅是指非授權(quán)的實(shí)體可以改變?nèi)我獾牟僮鲄?shù)，包括那些與配置、操作和計(jì)數(shù)有關(guān)的參數(shù)。
(2)偽裝:通過偽裝成一個(gè)授權(quán)實(shí)體，該授權(quán)實(shí)體試圖進(jìn)行某些沒有授權(quán)的管理操作。
(3)修改信息流:SNMP被設(shè)計(jì)成在無連接的傳輸層協(xié)議上操作。這樣便存在SNMP消息可能被重新排序、顯示或重播(復(fù)制)來影響授權(quán)的管理操作的威脅。例如，一個(gè)要重啟設(shè)備的消息可能被復(fù)制下來而隨后進(jìn)行重播。
(4)泄密:一個(gè)實(shí)體可能觀測管理站和代理之間的交換，從而得知被管理對象的取值以及一些應(yīng)用通告的事件。例如，觀測交換密碼的一系列指令就可能使攻擊者知道新的密碼相應(yīng)的，對上面所列的SMP面臨的安全性問題相應(yīng)的解決方法，可以對數(shù)據(jù)進(jìn)行加密和鑒別，借助于密碼學(xué)相關(guān)的加密和摘要算法來實(shí)現(xiàn)。
鑒別:數(shù)據(jù)整體性和數(shù)據(jù)發(fā)送源鑒別，保證消息是由該發(fā)送源發(fā)送的，不是別人偽造的數(shù)據(jù)包、傳輸過程中沒有被篡改過。使用HMAC、MD5散列函數(shù)或SHA-1這些算法對數(shù)據(jù)進(jìn)行摘要，從而鑒別數(shù)據(jù)有沒有被篡改。
加密:對數(shù)據(jù)進(jìn)行加密，保證不能使用網(wǎng)絡(luò)數(shù)據(jù)包截獲技術(shù)將包監(jiān)聽而直接解讀。使用DES的CBC(Cipher Block Chaining)模式來加密數(shù)據(jù)，即保證了加解密的效率，又保證了足夠的強(qiáng)度。
正是因?yàn)檫@些原因，IETF刻不容緩地提提出了SNP的安全性要求，SNP第一個(gè)版本里沒有考慮安全性的問題，第二版研究過程又因?yàn)橛?jì)劃時(shí)間的緊迫及沒有就安全模型達(dá)成一致，所以沒有句含安完全方面的規(guī)范。直到1998年SMP的第三版，才包含了全面的安全性技術(shù)。
1999年， SNMPV3的草案發(fā)布，在2002年3月， SNMPV3的標(biāo)準(zhǔn)正式出臺(tái)， SNMPV3針對 SNMPV2的最大改進(jìn)主要在安全性和管理能力兩個(gè)方面
SNMPV3采用User-based安全模型和View- based訪問控制模型提供SNMP網(wǎng)絡(luò)管理的安全性，并利用加密的方式來避免信息的泄漏SNMPY3在安全性方面的改進(jìn)主要有3點(diǎn):
(1)SNMP的數(shù)據(jù)報(bào)文將被使用DES加密來避免信息的非法泄漏。
(2)SNMP管理端與 SNMP Agent通訊時(shí)必須要通過認(rèn)證( authenticated)來保證身份的正確性、信息的完整性合信息的合時(shí)性(timeliness)；
(3)SNMP Agent實(shí)現(xiàn)了User-base和View-base訪問控制模型，訪問控制可以精確到數(shù)據(jù)級別，并且更加靈活利于控制。
現(xiàn)在一些設(shè)備和操作系統(tǒng)已經(jīng)開始支持 SAMPY3，與SNPv1/SNMPY2相相比，基礎(chǔ)架構(gòu)和設(shè)計(jì)思路沒有本質(zhì)的改變，隨著一些新的網(wǎng)路管理協(xié)議和標(biāo)準(zhǔn)的提出，SNMP的發(fā)展可能已經(jīng)走到了盡頭，但是無論將來怎么發(fā)展，在5年之內(nèi)，SNP絕對是業(yè)界事實(shí)上的網(wǎng)絡(luò)管理協(xié)議標(biāo)準(zhǔn)。
6.SNMP的缺點(diǎn)
SNMP在計(jì)算機(jī)網(wǎng)絡(luò)領(lǐng)域應(yīng)用非常廣泛，成為事實(shí)上的計(jì)算機(jī)網(wǎng)絡(luò)管理的標(biāo)準(zhǔn)。但 SNMP有許多缺點(diǎn)，是它自身難以克服的:
(1)SNMP不適合真正大型網(wǎng)絡(luò)管理，因?yàn)樗腔谳喸儥C(jī)制的，這種方式有嚴(yán)重的性能問題；
(2)SNMP不適合查詢大量的數(shù)據(jù)
(3)SNMP的trap是無確認(rèn)的，這樣有可能導(dǎo)致不能確保非常嚴(yán)重的告警是否發(fā)送到管理者；
(4)安全管理較差；的范生本
(5)SNMP的MIB模型不適合比較復(fù)雜的查詢。
正是由于SNMP協(xié)議及其MIB的缺陷，導(dǎo)致 INIERNET/SNP網(wǎng)絡(luò)管理體系結(jié)構(gòu)有以下問題:
◆沒有一個(gè)標(biāo)準(zhǔn)或建議定義 INTERNET/SNP網(wǎng)絡(luò)管理體系結(jié)構(gòu)。
◆定義了太多的管理對象類，管理者必須面對太多的管理對象類為了決定哪些管理對象類需要看，哪些需要修改，管理者必須明白許多的管理對象類的準(zhǔn)確含義。
◆缺乏網(wǎng)站建設(shè)管理者特定的功能描述。 INTERNET管理標(biāo)準(zhǔn)僅僅定義了個(gè)獨(dú)立管理操作。