[发明专利]提供数据通信认证的方法、系统和设备

说明书

本申请是申请日为2003年9月5日，申请号为03127293.2，发明名称为“提供数据通信认证的方法、系统和设备”的中国发明专利申请的分案申请。 

技术领域

本发明主要涉及通过一个通信线路来进行的数据通信。 

背景技术

简单网络管理协议(SNMP)是一个标准的应用层协议，通过该协议一个网络单元的管理信息可以被逻辑上的远程用户检查或修改。SNMP被广泛用于管理因特网或其它采用传输控制协议(TCP/IP)或用户数据报协议(UDP)的网络的客户机—服务器通信。然而，SNMP并不局限于特定的客户机—服务器通信协议，因为SNMP控制的是用于访问管理信息的消息(message)的内容和协议，而不是消息发送的具体方式。SNMP在J.Case、M.Fedor、M.Schoffstall和J.Davin的1990年5月题为“一个简单网络管理协议(SNMP)”的因特网标准文件RFC1175中定义，该文件在这里一并引用作为参考。 

SNMP消息在网络中的客户机(在RFC1175中被称作“manager”：管理机)和服务器(在RFC1175中被称作“agent”：代理机)之间传递。每个SNMP消息为ASN.1标准的数据结构，该数据结构包括一个INTERGER类型的SNMP版本号、一个OCTETSTRING(8比特字节的字符串)类型的集合(community)名，和 ANY类型的数据。 

SNMP规范定义了在五个不同类别的SNMP消息的数据部分中使用的协议数据单元(PDU)。PDU为ASN.1的数据结构，包括一个INTERGER类型的请求ID号(Request ID)，一个INTERGER类型的错误状态(Error Status)，一个INTERGER类型的错误索引(Error Index)，一个SEQUENCE类型的VarBind，和作为VarBind的序列(SEQUENCE OF VarBind)的一个VarBindList。请求ID号识别PDU是否用于：一个用于获得管理对象的实例值的获取(Get)请求、一个用于获得值列表中的下一个值的获取下一个(Get next)请求、一个用于回答请求消息的获取(Get)应答消息、一个用于改变管理对象的实例值的设置(Set)请求，以及一个陷井(Trap)消息。一具体网络单元的管理对象在一个被称作管理信息库(MIB)的数据结构中定义。MIB包括该网络单元中的管理对象的对象标识(OID)，而OID用路径名表示。 

SNMP提供了一个很低水平的安全保障。没有一种足够安全的方法可用于配置使用基于SNMP通信的装置。而且存在着被窃听或监听的危险。监视代理机和客户机间的通信和假扮成一个代理机或客户机是很容易的。存在这样一种危险：即，一个未经认证的实体可能改变正在传输的SNMP消息。而且，任何可以陷入(trap into)网络的人都可以访问“集合串：community string”，因此未经授权的实体可以假装成授权实体的身份。 

已有的一种方法是代理机具有一个认证服务，它使用集合名作为一类密码，如果认证服务确定集合名不能访问代理机，那么代理机将拒绝该消息。这一点在RFC1157中讨论，例如，在4.1.6.5章。然而，因为单一密码方法的简单性，监视实体间的通信、破解简单的密码、假装成任何一方仍是相当容易的。 

另一种方法在专利公开US6,044,468中已经讨论过。客户机中 的一个加密服务程序通过一个秘密关键码来加密网络管理信息，该秘密关键码可被消息所指向的代理机识别。加密服务调用客户机的一个SNMP消息传输服务以形成一个安全的SNMP消息，该消息具有一个明显的对象标识(OID)，可识别代理机中的一个加密服务，并具有一个包含加密结果的明显的值。该SNMP消息传输服务调用客户机端的一通信协议服务，以将安全SNMP消息发送给代理机。代理机端的一通信协议服务接收该安全SNMP消息，并将接受到的消息传送给代理机端的一SNMP消息接收服务。该SNMP消息接收服务检查安全SNMP消息中可见的集合名是否能够访问代理机，若能，则在代理机端的一个管理信息库(MIB)中搜索与OID相对应的一个子代理机，若找到这样的子代理机，则将该OID的明显的值调度(dispatch)给该子代理机。子代理机解密该明显值中的加密结果，若子代理机不能识别授权访问该代理机的秘密关键码，就拒绝该消息。然而，由于传输消息的加密和对基于额外验证的子代理机的需求，这种方法仍会增加系统的复杂性。这在SNMP中尤其是一个缺点，因为SNMP系统本来是被设计为适用于多种系统的简单而通用的通信协议。