首页 > 通信行业标准(YD) > YD/T 1486-2006 承载电信级业务的IP专用网络安全框架
YD/T 1486-2006

基本信息

标准号: YD/T 1486-2006

中文名称:承载电信级业务的IP专用网络安全框架

标准类别:通信行业标准(YD)

标准状态:现行

出版语种:简体中文

下载格式:.zip .pdf

下载大小:630268

相关标签: 承载 电信 业务 专用 网络安全 框架

标准分类号

关联标准

出版信息

相关单位信息

标准简介

YD/T 1486-2006.Security Architecture of IP Private Network for Bearing Carrier-grade Service.
1范围
YD/T 1486规定了承载电信级业务的IP专用网络的安全框架,包括三个层面的三个平面,即基础设施层、业务层和应用层的用户、控制和管理三个平面,从访问控制和鉴别等8个安全维度对基础设施层和业务层的每个平面的安全性进行了规定。本标准没有规定应用层的安全性。
YD/T 1486适用于各种承载电信级业务的IP专用网络。
2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件,其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准,然而,鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件,其最新版本适用于本标准。
ITU-T X.805端到端通信系统安全框架
3缩略语
下列缩略语适用于本标准。
AH                              Authentication Header                 鉴别报文头协议
BGP                          Border Gateway Protocol                边界网关协议
CNM                    Customer Network Management        客户网络管理
4概述
IP技术逐渐成为电信业务的基本承载技术。对于承载电信级业务的IP网络,为了保证电信业务的正常开展,网络被限定只提供-种或几种业务,为电信业务提供电信级的可靠性和可用性。但是IP网络承载电信业务还存在一些不足,其中IP网络安全性需要提高。目前IP网络上存在各类安全机制,分别处于不同层面和角度来考虑安全问题,并获得不同的安全特性(如完整性和保密性)。本标准采用ITU-TX.805“端到端通信系统安全框架”的模型方法,对电信级IP承载网安全性和采用的安全技术进行规定。

标准图片预览






标准内容

中华人民共和国通信行业标准
YD/T1486-2006
承载电信级业务的IP专用网络安全框架Security Architecture of IP Private Network for BearingCarrier-grade Service
2006-06-08发布
2006-10-01实施
中华人民共和国信息产业部发布2
规范性引用文件:
缩略语
概述…
基础设施层
5.1用户平面·
5.2控制平面·
5.3管理平面
6业务层·
6.1概述·
6.2用户平.
6.3控制平面
6.4管理平面
附录A(资料性附录】
参考文献·
TTU-TX.805《端到端通信系统安全框架》介绍-TYKAONYKACa
YD/T 14B6-2006
YD/T 1486-2006
本标准以ITU-TX.805《端到端通信系统安全框架》为基础,对承载电信业务的IP专用网络的安全性采用×.805安全框架的方法作了规定。本标准的树关内容遵循了国家在信息安全方面的各项规定(包括国家商用密码管理方面)。在本标准的制定过程中还参考了GB/T18336和ITU-TX.800系列标准。本标准的附录A为资料性附录。
本标推由中国通信标准化协会提出并归口。本标准起草单位:华为技术有限公司中兴通讯股份有限公司
成都迈普产业集团有限公司
大唐电信科技产业集团
是陈建业陈小敬
本标准主要起草人:苗福友
王文煜
1范围
承载电信级业务的IP专用网络安全框架YD/T 1486-2006
本标准规定了承载电信级业务的P专用网络的安全框架,包括三个层面的三个平面,即基础设施层、业务层和应用层的用户,控制和管理二个平面,从访间控制和鉴别等8个安全维度对基础设施层和业务层的每个平面的安全性进行了规定。本标准没有规定应用层的安全性。本标准适用于各种承载电信级业务的P专用网络。2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件,其随后所有的修改单(不包括期误的内容)或修订版均不适用于本标准,然而,鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件,其最新版本适用于本标。ITU-T X.805
3缩略语
端到端通信系统安全推架
下列缩略语适用于本标准:
DLAMETER
Authenticatian Header
Border Gateway Protocol
Customer Network ManagernentCentral Processing Unit
Diameter AAA Protocol
Dynamic Host Configuration ProtocolDomain Name System
Denial of Service
Extesible Authentication ProtocolExternal Gateway Protocol
Integrity Check Value
Internal Gateway Protocol
P Multimedia Subsystem
Intemet Protrxcol
IP Security
Intermediary System to Intermediary SystemMessage Authenticatiun Code
Multicast Listener DiscoveryMulti-Protocol Label Switch
-TTKAONYKACa
鉴别报文头协议
逝界网关协议
客户网络管理
中央处理器
一种验证、授权和计账协议
动态主机配置协议
域名系统
拒绝服务攻击
扩展鉴别协议
外部网关协议
完整性检查值
内部网关协议
IP多媒体子系统
互联网协议
TP安全协议
中间系统到中间系统协议
报文鉴别码
组播侦听者发现协议
多协议标记交换
YD/T 1486-2006
RADIUS
4概述
Open Shortest Path First
Route Informalion Protocol
Rcmote Authentication Dial In User ServiceService Level Agreemcnt
Simple Network Managcmcnt ProtocolSecure Shell
开放最短路径优先协议
路由信息协议
拨号用门远程鉴别协议
服务水平协设
简单网络管理协议
安全外壳程序协议
IP技术逐渐成为电信业务的基本承载技术。对于承载电信级业务的P网络,为厂保证电信业务的正常开展,网络被限定只提供一种或几种业务,为电信业务提供电信级的可带性和可用性。但是I网络承载电信业务还存在一些不足,其中IP网络安全性需要提商。日前IP网络上存在各类安全机制,分别处于不同层面和角度来考虑安全问题,并获得不同的安全特性(如完整性和保密性。本标准采用TITUI-TX.805“端到端通信系统安全框架”的模型方法,对电信级IP承载网安全性和采用的安全技术逃行规定。ITU-TX.805定义了一个完整的端到端通信系统的安全据架,定义了一个网络层次:J应用层业务和基础设施层,并为每个网络层次定义了控制、管理和用户三个平面。对每个层次的每个平面都分别人8个力面考虑其安全性:
…访问控制:只有合法的用户才被投权访问;二——-鉴别:确定用户的身份是真实的:一不可抵赖:保证有台适的证据证明事件的存在:数据保密性:保证数据不被泄露和或泄露后被解读;通信安全:保证传输的数据的安全性;完整性:保证数据不被筹改
一可用性:保证业务获得适当的资源;隐私:不泄露身份和标识信息。本标准将X.805安全框架应用到电信级P承载网络的三个网络层次:一基础设施层,由路出器等转发设备组成的网络:一业务层,主要是传输类业务,如VPN和AAA业务,本标准只规定了VPN业务:一应用层,转发设备上实现业务和传输的应用,考虑到应用的丰富性,本标准没有对这部分内容作出规定。
每个层次上都有用户、控制和管理三个平面,在每个半面上都规定了访问控制、保密性和完整性等8个方面的安全功能。
5基础设施层
5.1用户平面
5.1.1访间控制
在用户平面,基础设施层次的访问控制分为两个方面,第一个方面是基础设施本身(如路出器)对用户数据的访问;第二个方面是而广报文访问转发基础设施,如路由器的数据转发功能。对丁第一个方面,对十电信级的承载网络,门门选择网络业务时是依赖于对运营商的信任作为基础2
YD/T1486-2006
的,因此不要求对网络设备访问用户数据进行访问控制。但是,基础设施应该最大限度地保证白身的安全,防止其他的非授权用广或攻击者通过基础设施的安全缺陷非授权访问用数据。对丁第二个方血,路出器,交换机和物理链路是网络提供接入和其他通信业务的基础。在卫承载网络的基础设施层,对用户的访问控制主要表现在对网络接人和带宽的控制。针对于不同的网络层次和接入技术存在不同的接人控制技术,如针对以太网的802.1x技术。目前主要的鉴别和访问控制技术基本上是依赖于二层技术,但是,ETF目前也正在制定基于IP技术的网络接人鉴别和访问控制技术。由于用户的数量很大,而网络设备本身的处理能力相对有限,为了能够实现访向控制的可规模化,通常在网络边缘第一个一层设备来实现访问控制,使用鉴别服务器来实现用户的接人鉴别,并且在网络设备和鉴别服务器之间采用RADIUS或DIAMETER等协议来实现通信。5.1.2鉴别
鉴别用于检查企图接人网络的用户的身份,鉴别往往同访问控制技术结合起来使用。根据上一节的内容,实际执行鉴别的设备可以是鉴别服务器。通常,在用户(或用户设备)和网络之间可能采用各种不同的鉴别技术和鉴别算法,如:基于用户名/口令的鉴别:
基于智能卡的鉴别:
基于x.509证书的鉴别:
一基于公开密钥的鉴别算法;
基于共享密钥的整别算法。
鉴别既可以在设备本地实现,也可以出专门的鉴别服务器完成集中鉴别。为了能够支持各种验证算法,通常在用户(或用户设备)和网络之间采用EAP协议来支持各种鉴别技术,该技术也可以用于网络和鉴别服务器之间。5.1.3不可抵赖
不可抵赖要求网络保存用户对网络的访问记录,并且将该记录作为用户曾经访问网络的证明。不可抵赖可以通过数字签名来实现,通过为每个报文添加一个签名来证明该报文来源于某个用户,并且使用公升密钥技术来作为用户访问网络的证明。在承载网络中,数字签名是以单个的报文来转发的,因此对每个报文都要完成一次签名检查和归档,性能难以满足网络运营的要求,一般不作为承载网的不可抵赖机制,
在P网络中常通过计账技术束实现不可抵赖,该技术依赖于鉴别以及访问控制,在这两个技术的基础上,对用户的访间信息形成一个记录,包括如月产名称、访问时间段和流量等,然后通过RADIUS/DIAMETER协议将数据发送到计账服务器保存和处理,作为日后审计和计账的依据。5.1.4数据保密性
在用户平面,数据保密性要求其他用户不能获得或获得后解读用户发送的数据。实现数据保密性可以通过加密技术来实现,如用户之间实现端到端的正Psec加密,对于网络设备,也存在一些技术来实现对用户数据的加密传送,如数据链路层的加密技术和隧道模式的IPsec,因为加案需要大量的计算,对于所有或大部分数据通过加密来提供保护需要大量的计算和存储资源,大规模的应用受到限制,仙是可以对关键的接人用户数据,网络可以使用加密来保证保密性。通过访问控制技术可以实现数据保密性,因为访问控制可以限制一个用户对另外一个用户数据的访3
TYYKAONYKAca
YD/T 1486-2006
在接人网,可以采用有连接的技术来保证每个用户的数据都限制在各自的连接内,避免了一个用户从另外一一个连接内获得信息,间接地实现了数据的保窈性。5.1.5通信安全
用户数据在网络中传输的时候需要保证数据不被转发到该报文月的地址和转发途径的节点之外的节点工,以及不被非法的节点拦截通信安全主要依靠转发设备的路由转发机制,以及转发设备本身的安全性来保证。
5.1.6数据完整性
在用户面,数据光整性要求其他用户不能修改用户发送的数据,即使数据被修改系统也能够发现通信流量或报文已经发生了变化数据完整性可以通过完整性鉴别技术来实现,如用户之间实现端到端的IPscc鉴别头(AH)技术,对于网络设备,也存在一些技术来实现对用户数据的加密传送,如数据链路层的完整性检查技术和隧道模式的PsecAH,但是因为需要大量的计算,对于所有或大部分数据通过完整性检查来提供保护需要占用大量的资源,但是可以对关键的用户数据提供完整性检查来保证完整性。通过访问控制技术可以实现数据完整性,因为访问控制可以限制个用户对另外一个用户数据的访间。
在接人网,可以采用有连接的技术来保证每个用的数据都限制在各白的逆接内,避免了一个用户从另外个连接内获得信息,间接地实现了数据的完整性。5.1.7 可用性
在用户访问网络时,网络要能够有充足的资源保证用户的访问能够实施,可以通过如下的方法来实现和改进可用性。
一对网络资源实现严格的控制,避免用户误用和过量占用大量资源;一隔离管理和控制流量,避免用户通过针对这两个平面内发起的拒绝服务攻击(DoS)占用大量的资源,从而造成网络对用户不可用;一在网络边缘实现严格的访问控制机制:一使用防火墙来加强访问控制。5.1.8隐私
保证用户信息不被其他用户或攻击者非法获得。隐私包括的信息如下:一用户的位置信息:
用户设备的IP地址和主机名;
\用户登录网络的用户名和口令等信息;一用户要访间的目的系统的P地址或主机名。5.2控制平面
5.2.1访问控制
基础设施的控制平面保证只有授权的人员和设备允许访问网络中的控制信息,如存在于路由器中的路由信息。此外,该安全功能也保证设备只接受来自授权的人员和设备的信息:控制平面的访间控制一般依赖于鉴别技术,根据鉴别结果来决定是否允许访问系统,或者是系统根4
YD/T1486-2006
据对报文的鉴别来决定是否将从设备和网络中获得的控制信息用于设备自身/网络的控制。H前,主要的IGP和EGP协议都实现了报文鉴别功能,如OSPFV2、RIP2、BGP4和IS-IS。此外,访问控制可以根据设备物理L不可变更的特征来决定是否授权访问,如萃于端口的访问控制这种方法可以同路出结合起来实现比较严格的访问控制,如根据报文入端口进行反向转发检查,即单播友向路径转发。
承载电信业务的P承载网对网络的安全性有很高的要求,并且能够对业务进行比较严格的控制,因此可以采平面分离的方法,保证用户平面的数据不可能进入控制平而,这样就杜绝了米白于用户利用控制信息对网络和设备发起的政击。5.2.2鉴
鉴别用于检查控制平面访问者(包括设备和人员)的身份,确定访问者的身份是合法的,以及发送控制信息的设备的身份是合法的。鉴别技术通常是访问控制技术的依据,通常采用完整性鉴别来实现,如通过检查完整性(ICV)来确定是否该报文的来源足一个合法的设备。5.2.3不可抵赖
不可抵赖要求对控制数据的使用和改变是可以追溯的,遭带使用一个记录来保存用户和设备对网络设备的访信息,孩记录迪常称为日志,路由器等网络设备一般都实现了日志功能,能够记录每次对控制数据的访问信息,例如:——访间时间;
—访间者/设备;
—访问对象;
—访问类型:
一访问结果。
该数据可以作为访问和修改控制数据的证据。路由器等网络设备对于如下控制数据的发送和访间可以记录日志来提供不可抵赖性:地址分配活动,如DHCP报文的接收;对网络和设备有比较大的影响的控制ICMP报文;来自于网络的路由信息/拓扑变化信息:实现不可抵赖的另外一种技术是数字名技术,该技术采用公开密钥技术来实现。由于采用数字签名技术需要大量的计算和处理器资源消耗,因此不推荐在网络的控制报文中使用数字签名。5.2.4数据保密性
控制平面的控制数据要避免非授权用户和攻击者获得或获得后解读,需要提供保密性保护的数据包括:存在于网络设备上的控制数据,如路由信息,以及在网络上传输的控制信息。对于设备上存储的控制信息,访问控制技术能够避免非授权用户和攻击者获得该信息,这样就间接地提供了保密性。此外,还可以采用加密的方法对本地存储的数据进行加密,因为路也器等网络设备的计算能力有限,需要考虑性能和安全之间的平衡。对于网络巾传输的控制数据,一般可以采用加密技术来提供保密性,如3DES加密算法。目前大多数的路由协议本身都没有实现加密,如RIP2和BGP4,但是可以在该协议的下层协议来实现,如IPsec5
YYKAONTKACa
YD/T1486-2006
来保护BGP4协议。此外,也可以使用数据链路层的加密技术来实现保密性,相对十端到端的加密方法(如传输模式的Psec),它更适合控制信息的传递路径[.的一些设备需要根据报文内容改变自身的状态。实现保密性另外·种方武是实现平面隔离,参见5.2.1小节,5.2.5通信安全
控制数据在网络中传输的时候,需要保证数据不被转发到该报文目的地址和转发路径上的节点之外的节点上,土要依靠转发设备的路由/转发机制以改转发设备本身的安全性来课保证。此外,对于一些组网情况和特楚的控制数据,可以采用带外控制的方式,用专用的逻辑或物理传输资源将控制数据的传输同用户数据的传输分离开,以保证通信安全。5.2.6数据完整性
控制数据要避免非授权用户和攻击者的算改,需要提供完整性保护的数据包括存在于网络设备上的控制信息,如路由表,以及在网络上传输的控制信息。对于设备上存储的控制信息,访问控制技术能够避免非授权用户和攻击者获得该信息,这样就间接地提供了完整性。此外,还可以采用完整性鉴别的方法,如有密钥的哈希技术,对本地存储的数据进行处理,产生一个完整性检查值作为是否被非法黛改的依据,但是路由器等网络设备的计算能力有限,因此要考虑性能和安全之间的平衡。对于网络中传输的控制数据,一般可以采用完整性鉴别来提供完整性。目前大多数的路由协议本身都实现了完整性保护,如OSPFv2和BGP4。5.2.7 可用性
控制平面的可用性对于网络是非常重要的,保证可用性的措施如下:保证控制协议,如路由协议,不存在可以被用来发起拒绝服务攻击的缺陷,数据完整性机制定程度上能够避免发起拆绝服务攻击;一访问控制,对于来自于网络的控制报文实现数据源鉴别:一将控制信息隔离到专用的通道中,并且为控制信息的传输和处理分配充足的资源,如CPU处理周期、存储和带宽。
保证控制平面内标识网络设备或人员的信息不被非授权访问者获得和使用,如:I 地址;
MAC地址;
—DNS名。
5.3管理平面
5.3.1访问控制
在基础设施的管理平面,访间控制安全维度只允许授权的人员和设备对网络设备和通信链路实施管理活动。对于设备和通信链路的普理一般包含的方式如下:通过SNMP或其他的网络管理协议实现的网络替理活动;一通过本地端门实现的管理活动,如控制台接口:通过远程网络连接登录到设备来实施的管理活动,访问控制安全维度要求能够在以手的管理活动中对用户/管理员进行标识,并根据标识和鉴别的结果6
确定用户的访问权限,访问权限包括:一-允许的操作类型,如读操作或与操作完全控制等:…一允许的操作对象。
YD/T 1486-2006
访问控制安全功能根据本地或远程存储的对象标识和访问权限,决定对具体被管理对象的访问授权和授权类型,
此外,一-些网络普理活动是通过中间设备来实现对某个设备的管理,对于这种类型普理活动,访问控制根据中间设备或原始用户(通过中间设备实施管理的人员)的标识信息实施访问控制。5.3.2鉴别
鉴别用于检查对网络设备和链路实施网络管埋活动的人员的身份,鉴别技术通带是访问控制技术实施的一个环节。
鉴别首先要标识访问者的身份,该身份可以采用用户名、证书、智能卡等方式来实现。此外,在来用共享密钥的对称密钥加密技术的情况下,还需要对方拥有共享密钥,该共享密钥用于身份鉴别。在公开密钥加密技术中,鉴别的依据是使用访问者私有窈钥加密的数据和公开密钥。EAP在当前IP网络的数据平面鉴别中得到广泛采用,其统一的用户和协议接口,在管理平面的鉴别中也逐渐得到采用。
SNMP和 TelneUSSH等协议都实现了身份鉴别5.3.3不可抵赖
不可抵赖要求系统提供记录来证明用户对通信设备的访问活动确实发生,该记录可以作为管理活动发生的证据。
在P网络中,日志是主要的提供不可抵赖的工具,通过对用户的管理活动进行记录来证明用户确实访问了系统,记录的信息如下:访问者身份;
—访问时间;
操作对象:
操作类型;
—操作结果。
5.3.4数据保密性
网络管理数据不应被非授权的用户或攻击者获得或获得后解读。网络管理数据如下:
被管理的路由器上存在的配置、故障、安全、性能和计账数据:一备份在服务器或其他存储介质上的管理数据;在网络中传输的管理数据。
对于路由器上的管理数据,需要加强访问控制和鉴别管理来保证数据的保密性,此外可以结合加密技术来实现保密。对于备份数据,应该严格管理这些数据,确保数据的安全,如果必要,可以采用加密技术来实现这些数据的安全。
对于网络中传输的管理数据,可以有以下几种方式避免数据保密性被破坏:避免非授权用户或攻击者从物理/逻辑上获得该数据,如采用物理隔离的方式:7
-TYKAONYKACa
YD/T1486-2006
”-一采用加密技术,如3DES加密算法,即使攻起者获得该管理信息,仍不能够解读该数据。5.3.5通信安全
当采用远程访问的方式求管理路由器、交换机等设备和通信链路时,需要保证数据不被转发到被管埋对象之外的设备,并且管理数据不被非法的设备拦截,可以采用带外管理和专用管理接口的方式将管理数据同普通数据隔离,并且使历专门的传输路径来保证数据不被非法拦截,5.3.6数据完整性
网络管理数据不应该被非授权的用户或攻击者破坏和篡改。网络管理数据如下:
一被管理设备上存在的配置、故障、安全、性能和计账数据;一备份在服务器或其他存储介质上的管理数据;—一在网络中传输的管理数据。对于设备上的管理数据,需要加强访问控制和鉴别管理来保证数据的完整性,此外可以结合加密技术来实现保密。对于备份数据,应该严格管理这些数据,确保数据的安全,如果必要,可以采用加密技术来实现这些数据的安全。
对于网络中传输的管理数据,可以有以下几种方式避免数据完整性被被坏:避免非授权用广或攻击者获得并算改该数据,如采用物理/逻辑隔离的方式:采用完整性鉴别,如MAC算法,即使攻击者篡改了该管理信息,系统能够检测小报文已经被非授权改变,避免被欺骗。
数据完整性保护通常同访问控制和鉴别机制等一起来保证系统的安全。5.3.7可用性
可用性确保授权用户能够对路由器、交换机和链路实现管理。目前对网络管理数据可用性影响比较大的攻击主要是拒绝服务攻击,通过大量的非授权活动致使系统的资源被人量占用,从而授权用户无法访问或不能顺利访问系统。
对基础设施平面的网络管理方面的进攻方式如下:一…占用网络管理通信通道人量带宽,造成管理通信不能建立:一对被管设备进行资源耗尽攻击,如路由器的CPU和内存。拒绝服务攻击的主要抵制方式是对用户的资源使用进行准确控制,此外也可以结合密码技术。5.3.8隐毯
隐私保证被管设备和管理系统的标识信息不被非法获得,例如:-IP地址:
—主机名:
硬件地址;
—管理员用户名和口令。
隐私保护通常采用加密的方法来实现,物理隔离和逻辑隔离也可以实现隐私保护。8
6业务层
6.1概述
在电信级的P承载网络中存在丰富的业务,主要分为两类对IP网络的承载功能进行扩展产生的业务,如VPN业务和组播业务;一用来支持IP网络止带运转的业务,如DHCP和DNS等,YD/T1486-2006
考虑到每种业务的特殊性和1业务的丰富性,不能对各种业务的安全性做全部规定,不章只规定VPN业务的安全。对于位于IP层以上或同P承载功能本身无关的业务,如IMS服务,不在本标准的讨论范围芝内。
6.2用户平面
在用户平面,有两个层次的安全问题。--方面,VPN每个站点(Site)内的终端用广在8个安全维度上的安全,对于VPN内部而言,同第5章的规楚基不上没有差别。这里不做规定。另一方面是VPN对来自V1N外部的威胁所产生的安全问题和相应的安全技术,本节主要分析后一种情况。6.2.1访问控制
在用户平面,访问控制要求只有授权的用户才允许访问VPN服务,般VPN内部的用户管理由中请VPN服务的组织米负责,该组织可以决定采用哪种方我实现访问控制,对于大部分的企业用户,一般都是通过管理手段结合技术手段来管理访问控制。也有很多情况,VPN向外部客户提供服务,这种情况下可以参见5.1.1节。VPN访问控制的另外一个重要的方面是一个场所如何安全地加入一个VPN。对于一些VPN来说,场所加人是(个配置的过程,配置中涉及到对场所/链路的鉴别和检查,然后决定其是否可以连接到网络中,在这里访向控制基本上是个手工配置的过程,如MPLS/BGPVPN。也有一些VPN是动态地加入成员,如VPDN,对于此类VPN应该实现对用户/设备的鉴别和访问控制,可以参见5.1.1和5.1.2节。6.2.2鉴别
鉴别用于检查访问VPN客户的身份,包括设备和人员。通常鉴别技术是访问控制技术的依据,参见6.2.1 节。
6.2.3不可抵赖
VPN管理者需要提供记录来标识用户完成的VPN访间活动,该记录可以用来证明用户访间VPN的活动。www.bzxz.net
6.2.4数据保密性
隧道是实现VPN的重要技术,一些VPN技术的隧道本身采用加密醚道,如IPsecVPN,通过加密技术能够实现比较严格的数据在公网上传播的保密性。对丁非加密的隧道技术,只要攻击者和其他用户不能对隧道路径.上的节点和链路实现控制,也能够保证不同VPN之间以及VPN数据间非VPN数据的隔离,从而提供比较强的保密性,如MPLS/BGPVPN。接入链路是另外个在VPN中需要考虑保密性的部分,通常也可以采用加密的方式实现保密性。6.2.5通信安全
必须保证VPN内的用户数据不被转发到VPN之外,同时避免非法的设备和用户拦截VPN的用户数据。
TYKAONTKAca
小提示:此标准内容仅展示完整标准里的部分截取内容,若需要完整标准请到上方自行免费下载完整标准文档。