1、中华人民共和国国家标准信息技术低层安全模型发布 实施国家质量技术监督局 发布前言本标准等同采用国际标准 信息技术低层安全模型为适应信息处理的需要本标准依据 参考模型的层次结构 它描述了这些层公共体系结构概念与层间安全有关的交互作用的基础和低层中安全协议的放置在制定标准时根据正文内容 在引用标准中增加了两项标准 本标准在技术内容上与国际标准保持一致本标准的附录 是提示的附录本标准由中华人民共和国信息产业部提出本标准由中国电子技术标准化研究所归口本标准起草单位西安交通大学本标准主要起草人邓良松冯惠 邓勇前言国际标准化组织 和 国际电工委员会 是世界性的标准化专门机构 国家成员体 它们都是 或 的成
2、员国通过国际组织建立的各个技术委员会参与制定针对特定技术范围的国际标准 和 的各技术委员会在共同感兴趣的领域内进行合作 与 和 有联系的其他官方和非官方国际组织也可参与国际标准的制定工作对于信息技术领域 和 建立了一个联合技术委员会即技术委员会的主要任务是制定国际标准但在特殊情况下技术委员会可以建议以下类型之一的技术报告的出版类型 当经多次努力 仍得不到出版国际标准所需要的支持时类型 当主题仍处于技术开发 或者由于其他某原因存在将来而非即刻就国际标准达成协议的可能性时类型 当技术委员会从正式出版 例如 最新出版 的国际标准中已收集了不同种类的数据时类型 和 的技术报告在出版后三年内应该经受复查
3、以决定它们是否能被转换为国际标准 类型的技术报告没有必要复查直到它们提供的数据被认为不再有效或有用是类型 的技术报告它由联合技术委员会 信息技术 与合作制定 相同的文本作为 建议 出版引言本标准描述了在 参考模型低层 运输网络数据链路和物理层 中提供安全服务的跨层的内容 它描述了这些层的公共体系结构概念与层间安全有关的交互作用的基础和低层中安全协议的放置中华人民共和国国家标准信息技术低层安全模型国家质量技术监督局 批准 实施范围本标准描述了在 参考模型低层 运输网络数据链路和物理层 中提供安全服务的跨层的内容本标准描述基于 中定义的低层公共的体系结构概念低层协议之间与安全有关的交互作用的基础的
4、低层和高层之间与安全有关的任何交互作用的基础与其他低层安全协议有关的安全协议的放置以及这种放置的有关作用在低层安全协议和本标准中描述的模型之间不应该存在冲突标识了与 参考模型的每个低层有关的安全服务引用标准下列标准所包含的条文 通过在本标准中引用而构成为本标准的条文 本标准出版时所示版本均为有效 所有标准都会被修订使用本标准的各方应探讨使用下列标准最新版本的可能性信息技术 开放系统互连 基本参考模型 第 部分基本模型信息处理系统 开放系统互连 基本参考模型 第 部分安全体系结构信息处理系统 开放系统互连网络层的内部组织结构信息处理系统 开放系统互连抽象语法记法一 规范信息处理系统 开放系统互连
5、抽象语法记法一 基本编码规则规范信息技术 开放系统互连目录第部分概念模型和服务的概述信息技术提供 无连接方式运输服务的协议信息技术 数据通信 数据终端设备用 包层协议信息技术提供无连接方式网络服务的协议 第 部分协议规范信息处理系统 系统间远程通信和信息交换 与提供无连接方式的网络服务协议联合使用的端系统到中间系统路由选择交换协议信息技术 开放系统互连网络层安全协议信息技术 开放系统互连高层安全模型信息技术系统间远程通信和信息交换 开放系统互连 用于提供连接方式运输服务的协议数据加密技术加密算法的登记规程信息技术 开放系统互连 开放系统中的安全框架安全框架概述信息技术 开放系统互连 开放系统中
6、的安全框架访问控制框架信息技术系统间远程通信和信息交换 与提供无连接方式网络服务协议 一起使用的中间系统到中间系统域内路由选择信息交换协议信息技术系统间远程通信和信息交换运输层安全协议信息技术系统间远程通信和信息交换 为支持转发 在中间系统之间交换域内路由选择信息的协议定义参考模型定义本标准采用 中定义的下列术语服务质量开放系统安全框架定义本标准采用 中定义的下列术语安全域网络层内部组织结构定义本标准采用 中定义的下列术语子网访问协议端系统中间系统附加定义本标准采用下列定义转向保护当协议数据单元已被返回原发者时用于检测的保护机制安全联系属性为了控制一个实体与其远程对等实体之间的通信安全所需要的
7、信息汇集安全联系存在相应安全联系属性的低层通信实体之间的关系安全规则本地信息 给定所选择的安全服务规定了要使用的低层安全机制包括该机制的操作所需要的所有参数注 安全规则是如高层安全模型 中定义的安全交互作用规则的形式缩略语完整性顺序号属性集网络层安全协议连接方式无连接方式服务质量如 中定义安全联系安全联系标识符子网访问协议如 中定义独立于子网安全协议运输层安全协议安全联系概述任何安全协议都利用许多安全机制为上层提供安全服务 高层所要求的安全服务可以通过使用本地安全管理功能被指明给低层 安全协议及它的每个安全机制要求除 中编码的信息之外的信息能够安全通信 这种附加信息的例子有协议将要使用的机制的
8、规范以及每个机制的特定信息 诸如加密机制所要求的密钥信息 每条附加信息被看作为安全联系属性安全联系属性可以使用许多机制放置于协议实体中 一些放置机制的例子是设备制造期间放置设备初始化期间放置通过手动接口 如面板控制放置由 系统安全管理放置由 层安全管理放置由 操作安全管理放置属性可以在与它们有关的通信前的任何时候放置当相容的 属性集 放置到每一个协议实体中的相应位置时一个安全联系就存在于协议实体之间了和安全联系 可以以不同的粒度存在 有时候能引用具有不同粒度的 是有用的例如由安全规则商定集 定义的 能以 表示 或者可以在两个协议实体之间建立配对密钥以用于许多公共的源目的地址对实例 类似的 用于
9、某一通信实例的 能由通信的实例引用 同样 用于面向连接 的 能由 引用通常 属性必须通过安全手段放置于协议实体中以维护安全 这隐含 属性或者使用物理安全手段放置 或者可以利用一个现有的为此而预先放置的安全联系来放置属于安全联系一部分的 经常由一个具有本地意义并认为是 的标识符引用 在任何时刻 属性集的一些成员可以无定义 典型的是在一个安全通信的初始化期间 将不会完全在其中同时在用户数据交换前 初始交换将被用来完整地放入 中为了提供重播保护 必须对 它们引用的 和 属性的使用加以限制不可以以相同的加密密钥重用当任何 属性已放入到由 引用的 中后 除非安全协议有某种方法示意通信实体之间的改变否则该
10、 属性不应被改变 这隐含了为使密钥能换用 必须以旧 属性的拷贝及一个新密钥来使用新的 除非安全协议有一个示意密钥改变的替换办法 例如 由支持从 中去除任何 属性将有效地关闭安全联系一些 属性对于通信实例 无连接 或连接 具有重要意义 其他 属性对连接上的单个 具有重要意义 完整性顺序号和安全标记是这样的 属性的例子 它可以表现为这些 属性的改变违反了上述 中的限制 然而逻辑上包括这些 属性的安全联系仅在单个 的生命期中有效 成为 的一个逻辑扩展从而改变了有效的 标记仅对扩展的 实例有效 因此 那些限制得以维护 这些 属性有时称为 动态 属性部分安全策略将限制协议实体的操作 这部分安全策略称为协
11、议实体的安全规则集 协议实体的安全规则集可以限制诸如要使用的安全机制和 属性的值与放置机制之类的事情 安全规则集也将定义所选择的安全服务映射到安全协议所用的安全机制 安全规则集是安全交互作用规则的一种形式当用于域内或域间操作时对于该安全规则集需要建立一个唯一标识符并被称为安全规则商定集 标识符可以作为安全联系建立的一部分被交换以此定义或限制在安全规则集中定义的其余的 属性如果有的话 必须使用上述 中所列的其他方法建立为低层建立安全联系为了保护通信实例 无连接 或连接 必须在通信实体之间建立安全联系形成的 信息要么是静态信息 它在 建立时可以 协商 然后在联系存在期间保持不变要么是动态信息它可在
12、通信实例中被更新作为 的 层至 层协议 通过安全联系协议数据单元 的交换或 低层范围之外的机制来建立一个在建立 前每个实体必须预先建立一个公共的 相互商定和唯一标识的安全规则集以及可以被选择的安全服务如果 是通过安全联系 的交换来建立 那么下列内容也必须预先建立安全服务的初始选择以及建立 时要应用的安全机制建立 所需的基本定密钥信息建立 时实体建立下列与其远程对等实体共享的信息该远程对等实体在联系的生命期必须保持不变即静态本地和远程用于通信实例的联系实体之间的所选择的安全服务注 要使用的安全服务可以在预先建立的安全服务中选择通过所选择的安全服务隐含将要使用的机制及其特性用于通信实例的完整性 加
13、密机制和鉴别的初始共享密钥为访问控制而在本联系上使用的安全标记与地址集和共享密钥 上述 和 项必须基于每一个联系来建立 其他信息可以预先建立 另外作为建立 的一部分远程对等实体的身份必须被鉴别以提供对等实体鉴别可为通信实例动态地更新下列信息每个方向的正常和加速数据所需的完整性顺序号从静态安全标记集中动态地选择安全标记用于安全协议中加密完整性机制的重密钥信息该安全协议支持联系内的重新定密钥 例如连接方式网络层安全协议为获得对等实体鉴别或数据原发鉴别 每一通信实例都需要应用鉴别机制可以在安全联系的不同阶段建立不同的 属性如图 所示 前面条目中描述的有关安全联系使用预先建立项静态项和动态项 所使用的
14、项和鉴别形式如前面条目中描述的那样实体将识别使用 的必要 属性应在保护通信实例前建立预先建立 静态 动态安全规则商定集可能的安全服务 初始密钥 安全标记初始安全服务 鉴别 重密钥信息基本密钥信息 鉴别选择保护 的级选择的机制安全标记地址集图 安全联系的属性说明安全联系关闭当 不再有效时关闭由 指明的安全联系能用下列方法关闭作为 的 层至 层协议通过安全联系协议数据单元 的交换使用 低层范围之外的外部机制用关闭一个连接 该方法仅对连接方式适用 而隐式关闭当一个密钥处于 期满时而隐式关闭注 因为每一个对等实体中可以产生显著差异的值 方法 具有由对等实体间传送 接收数据包数目定义的密钥生存期因此使用
15、方法 应谨慎 在使用上述 方法前安全联系的属性必须指明本联系将通过关闭使用该联系的连接而关闭连接中的属性的修改对于每一通信实例 无连接 或连接 只能建立一个在连接存在期间 用于该连接的安全服务和机制不能被修改注意这并不排斥改变密钥新密钥的使用指示应由安全协议描述对现存协议的影响总则原则上安全协议对现存协议的影响应为最小无连接 大小在数据传送期间根据所选择的安全机制安全对于 层协议有下列影响用户数据以及某些情况下 协议控制信息由运输前后的密码变换来操作 这样可能改变用户数据的长度与 用户数据有关的协议控制信息例如安全联系标识符密码检验代码 可能需要由 协议携带注 这将对由 的 及 中定义的最大用
16、户数据大小有影响的链接只有在相同安全联系下被保护的 才可以被链接算法和机制独立性低层安全协议被规定为独立于算法 而且 已采用把安全协议分为依赖于机制部分和独立于机制部分的方法 预计将来的低层安全协议可以通过将通用抽象服务用于 的高层和低层公共安全来达到这一点公共安全 结构公共的一般 结构将用于在低层安全协议中保护数据 虽然一般 结构对于所有低层安全协议是相同的但这些低层安全协议却由于不同原因而不同 其中最主要的原因则是由特定的协议层所施加的格式限制低层安全协议中 结构的公共部分可以是尾部的完整性检验值 除任何加密填充外见下面为实现通信流量保密性 完整性和加密机制所进行的填充可以放置于个别的字段
17、内顺序完整性使用的可变长数目使用类型 长度 值的字段的灵活编码方法 该方法允许容易扩展并给予字段顺序的限制最小由被保护 的启动者对响应者方向标志提供的转向保护安全服务和机制的确定安全协议要应用的安全服务如第 章中描述的那样来确定 给定选择的安全服务通过使用第章中描述的安全规则来确定要应用的安全机制保护保护 是指服务提供者试图使用那些应用于低层的安全服务来防御安全威胁的程度保护 服务参数的处理是根据有效的安全策略来控制的本地事情 保护 不在服务用户之间协商 对于通信实例服务用户可以向服务提供者指明其保护 要求 服务提供者可以指明在通信实例中提供给服务用户的保护 服务提供者提供的保护 不必和服务用
18、户要求的相同开放系统之间传送有关被选择的安全服务信息的任何低层协议交换 指带内 协议交换 在独立于通信实例的安全联系协议内进行 这可以通过安全标记隐式进行 也可以通过其他方法显式进行安全规则给定选择的安全服务 安全规则规定了要使用的安全机制 包括该机制操作所需的所有参数 可以被登记为团体使用的安全规则例子的说明在附录 中给出由安全标记隐含选择的安全服务的情况下 安全规则也规定了从安全标记到所隐含的保护要求的映射注 目前 没有将安全规则标准化低层中安全的放置为了在运输层和网络层中的使用当前定义了安全协议 运输层安全协议 见和网络层安全协议对于连接方式通信 与 连同运行 见图 对于无连接方式通信
19、与连同运行见图图 与 连同运行的说明网络层中的安全可以由独立于子网安全协议 提供 除了 中标识的任务外该完成独立于子网安全任务 下面描述中对如像 的 和提供其他网络层协议任务如中标识的协议之间的不同关系存在许多选项对于端系统之间的无连接方式通信 能运行在 正常网络层协议之上 如图 所示 这样保护了网络服务数据单元另外 对于两个端系统之间 端系统和中间系统之间或两个中间系统之间的无连接方式通信运行在无连接网络协议 见 之下以及在子网收敛协议或者 之上这在图 和图 中说明 两个 层和一个 层的表示不必隐含分隔的协议机 这依赖于本地实现策略 这样保护了网络协议数据单元对于连接方式通信 总是运行在独立
20、于子网协议或者如 那样的子网访问协议之上 这在图 图 和图 中说明 这样保护了网络服务数据单元 不必定位在网络层顶部图 与 连同运行的说明图 端系统之间的 的说明图 具有不可信子网的 的说明图 具有不可信中继系统的 的说明图 端系统之间的 的说明图 具有不可信中继系统的 的说明注 这包括对 方式的收敛功能图 多网络环境中的 的说明没有包括在该模型中的其他放置也是可能的域间路由选择协议 交换可利用 在 之下以及之上的运行见图 得以保护 这样保护了 协议数据单元图 与 连同运行的 的说明为了使用定义于 中的局域网 协议那样的链路层协议可以定义 低层网络服务原语到数据链路服务的映射见图图 运行在链路
21、层之上的说明包括了数据链路层中的保密性要求 对于数据链路安全协议要求保护 环境下层网桥之间的通信 见图图 用于保护两网桥之间通信的数据链路层安全协议的说明为提高 层安全而使用的 层在给定层中提供安全功能时 可能要利用该层下面提供的安全服务 提供给 层用户的所有安全服务能由低层中的机制实现安全标记安全标记可以用于指明所选择的安全服务的要求见第 章以及访问和路由选择控制在安全联系下一对实体可以预先建立安全标记集该安全标记集可以分配给两实体之间的连接无连接协议数据单元安全标记的使用作为安全策略的一部分定义安全框架的第 部分为访问控制 描述了对访问控制的安全标记的应用安全标记的第一字段应标识定义该标记
22、的安全权限 该标识符是一个客体标识符 如中定义 采用基本编码规则编码见安全标记一般结构将与安全信息客体方面的有关安全标准一致安全域安全框架概述定义的安全域不是与对等协议直接相关 然而 对域的使用将在安全管理的上下文中考虑路由选择安全网络层安全协议 见 能用来保护域间路由选择协议数据单元的交换 见第 章 的放置像不支持多对等通信一样 如 定义 不能用于支持基于 中间系统到中间系统 和 端系统到中间系统 的域内路由选择交换的安全 可以为 域内及 路由选择交换协议的安全定义一个基于扩展 的标准协议 任何关于域内和 路由选择交换协议的标准协议将独立于这些路由选择协议要注意应用于通信的访问控制 例如 封
23、闭用户群 安全标记可以影响可利用的路由 为了得到安全环境中使用的路由选择信息可以要求关于路由安全状况的信息此外有必要考虑路由选择的要求以支持访问控制路由选择控制注 将路由选择控制定义为 在路由选择进程期间规则应用以避免特定的网络 链路或中继 例如路由选择控制可以基于地址并且禁止所有数据到某一子网的路由选择 除给定的授权地址以外 另外路由选择控制能基于安全标记例如加标记 商业秘密 的包将不会被发送到公共网络安全管理安全策略下列信息作为安全策略准则的一部分建立为 层中给定的 实体选择安全服务和机制为包括可接受的最大和最小级的 层建立所选择的安全服务的准则把选择的安全服务映射到机制和低层保护要求的准
24、则即第 章中描述的安全规则在使用安全标记的地方对于安全标记的使用见第 章 信息作为安全策略的一部分被建立为了审计层协议有关方面的安全并为了提供恢复 信息作为安全策略的一部分被建立安全联系管理安全联系管理在第 章中讨论密钥管理密钥的分配与选择可以由下列方式方法之一来完成作为 的一部分建立在一个安全协议内通过 低层范围之外的机制安全审计安全审计信息的收集与分析在 中有关安全框架的第 部分即安全审计中描述通信流量保密性通信量填充的处理未被很好地理解 在 环境中可以提供与通信流量保密性相关联的三种类型的填充填充存在的安全数据生成伪安全数据生成与其他 对等实体的伪连接必须定义每种类型填充的可能的参数例如
25、 所有 将有 个八位位组的长度 每 毫秒在连接处将有一个 当该 实体与特定对等 实体连接时这 个 实体也将被连接并且与它们交换等量的通信量 这些参数未被很好地理解 但在前两种填充情形中 它们应包括作为安全联系的一部分 因此布尔属性是不够的 有关所需参数的类型要进一步的研究属性定义的准则属性是控制通信安全及其远程对等实体要求的一个信息项 第 章中描述了三种不同类别的属性控制安全协议要求的 属性被定义为安全协议的一部分 该定义应包括用于引用安全协议中的属性的助记符属性的数据类型属性语义的描述如何建立属性值的描述安全协议要求的许多属性将依赖于支持的机制属性定义的例子是布尔类型使用加密来提供保密性给定
26、所选择的安全服务该属性的值由安全规则商定集定义分配的客体标识符加密算法给定所选择的安全服务 该属性的值由安全规则商定集定义安全规则商定集定义的形式加密密钥由安全联系建立设定的值差错处理当安全协议中发生差错时采取的动作由本地安全策略决定 选项包括丢弃差错中的发布差错执行重置或断开规程提出审计报告附录提示的附录安全规则商定集示例安全规则商定集 建立了要使用的安全机制包括对给定所选择的安全服务而定义机制的操作所必需的全部参数所选择的服务定义模块无 低 高无 低 高无 低 高无 低 高安全标记映射隐含无 无 无 无隐含低 低 低 无隐含高 高 高 高所有服务参数的保护对所选择的安全服务 高或 高机制模块 访问控制的安全标记对所选择的安全服务明确指示高或 高是机制模块 完整性检验值对所选择的安全服务密钥分配机制无或 高或机制安全标记个八位位组非对称机制模块 完整性顺序号对所选择的安全服务 高或 高个八位位组机制模块 加密对所选择的安全服务方式密钥分配机制低链接个八位位组非对称机制模块 无报头对所选择的安全服务 低且 无且无标记机制机制模块 连接鉴别对所选择的安全服务 低或 低机制模块 非对称密钥分配对于机制加密或完整性检验值
