云南龙网

  1. 首页 > 云知道 > >

AAA 授权要求( 三 )

云知道


图 。
这说明，一个AAA实体必须可以把授权信息分布到另一个上，而且说明接收这个规则
的AAA实体可以只看作问题的部分 。
2.1.17AAA协议必须支持要害和非要害属性类 。
这和在公钥证书扩展中使用要害程度标志是类似的 。
2.1.18AAA协议必须答应授权规则按照已评估的其它授权规则组合来表示 。
例如，假如请求者是备份用户组而不是治理员组的成员时才准许访问 。注重，这个要求
没有说明支持何种类型的组合 。
2.1.19应当可以基于请求者的地理位置、服务或AAA实体做出授权决定 。
这仅是一个授权属性类的例子，明显是因为它要求不同的基础实现机制 。
2.1.20应当可以基于请求者、服务或AAA实体使用的身份或装备做出授权决定 。
这仅是一个授权属性类的例子，明显是因为它可能要求不同的基础实现机制（假如不可
利用IPSec） 。
2.1.21当一个给定的属性有多个实例时，一定有个明确的机制使得接收对可决定指定实例的
值 。
2.2授权信息的安全
2.2.1必须使授权信息可安全地在AAA和应用协议中通讯 。必须指定机制保持信息的真实
性、完整性和保密性 。
这说明必须有很好定义的方法保护授权信息的安全，但并不总是需要使用这样的方法 。
当然，是否支持为了一致性而要求的这些机制是开放的 。非凡的，必须提供机制禁止链中间
的服务治理员读取或改变在另外两个AAA实体间的授权信息 。
2.2.2AAA协议必须答应使用授权信息的适当安全级别 。AAA协议必须支持数据完整性/一
致性等的高安全机制和低安全机制 。
重要的是AAA协议不要造成负担太大的安全开销，因而并不总需要使用指定的安全机
制（虽然不使用它们可能会影响授权决定） 。
2.2.3安全要求可能根据授权信息包的不同部分而不同 。
某些部分可能要求一致性和完整性，某些部分可能只要求完整性 。这有力地说明了需要
类似选择字段的安全机制 。例如，获得访问一个网络所需要的信息必须是明确的，有时访问
网络中一个应用所需的信息必须在AAA协议中加密 。
2.2.4AAA协议必须提供机制来防止中间治理员破坏安全 。
阻止中间人攻击，比如中间治理员改变传送中的AAA消息，这是个基本要求 。
2.2.5AAA协议必不能打开基于重放授权信息的重放攻击 。
例如，AAA协议不应当答应扩散法攻击，否则攻击者重放AAA消息，而接收者需要使
用大量的CPU或通讯才能探测出重放 。
2.2.6AAA协议必须能够平衡任何实体对验证机制，它们可能已经应用－这可提供额外的确
认，保证授权信息的拥有者和验证实体是相同的 。例如，假如IPSec提供了足够证实，那么
就可以省略AAA协议验证 。
2.2.7授权信息包可能要求端到端的机密性、完整性、对等实体验证或认可 。
这说明必须为部分AAA消息提供机密性（resp.其它安全服务），即使是通过其它AAA
实体传输 。当然答应这样的AAA消息也可以包含非机密性（resp.其它安全服务）部分 。另
外，中间的AAA实体认为自己在应用于AAA消息其余部分的端到端安全服务中是终结点 。
2.2.8AAA协议即使在不需要验证实体对的情况下（比如，在一个安全LAN中，网络地址
就完全可以决定），也必须是可用的 。
这个要求（在某种意义上和2.2.6相反）指明需要的灵活程度，以便使AAA协议可在很
广泛的应用/服务范围内使用 。
2.2.9AAA协议必须为所有的协议选项指定“安全”缺省值 。AAA实体的实现必须使用这

推荐阅读


上一篇：健康蜕壳，对虾才能长得快

下一篇：如何让橡皮树多枝