程序博客网 > 福禄克的网络测试仪

DM协议中的安全认证

来源：互联网 发布：福禄克的网络测试仪 编辑：程序博客网 时间：2024/06/06 08:34

     DM协议使用了SyncML认证框架，并在《SyncML_DM_Security》文档中定义了扩展。
     DM协议中的终端和服务端相互之间都需要作认证。 安全认证可以采用不同的级别。如果传输层中已经内建了认证机制，那么可以不使用DM协议级的认证。如果传输层没有提供足够安全的认证机制，那么DM协议级的认证是必需的。如果在原始请求中没有包含信息凭证或信息凭证不足，Server和终端都可以认证对方。
     假设DM协议使用传输层级的认证，那么它能够提供Session级的认证，这样可以在会话开始的时候交换认证凭证（比如TLS或WTLS协议）。如果传输层不能够提供Session级的认证，每次请求都必须作认证。

认证凭证

认证凭证 主要包含以下内容：

  • Server ID（唯一标识DM Server）
  • Username
  • Password
  • Nonce 允许通过使用静态数据的Hash算法防止重复攻击（静态数据是为了克服重复攻击）

为了作终端到Server的认证，username、password和nonce都是必须的(即使没有填写它们，这三者也会被作Hash处理)。

为了作Server到终端的认证，Server ID、password和nonce都是必须的。Server必须为它所服务的每一个终端使用不同的password，这样是为了避免使用一个共享密码时，当Server与一个终端正在交互时，另一个终端进入造假。

认证

DM协议使用与SyncML协议相同的安全认证技术。也就是，终端和Server都可以互相发送认证凭证或要求对方发送认证凭证。
对于DM协议，syncml:auth-MD5认证类型是必须的。

1 DM协议中的MD-5认证

MD-5认证是在SyncHdr的Cred中提供原始的userid:password。
如下所示：
<SyncML>
<SyncHdr>
<VerDTD>1.1</VerDTD>
<VerProto>DM/1.1</VerProto>
<SessionID>1</SessionID>
<MsgID>1</MsgID>
<Target>
<LocURI>http://www.syncml.org/mgmt-server</LocURI>
</Target>
<Source>
<LocURI>IMEI:493005100592800</LocURI>
</Source>
<Cred>
<Meta>
<Type xmlns="syncml:metinf">syncml:auth-MD5</Type>
</Meta>
<Data>18EA3F……</Data>
<!-- base64 formatting of MD-5 Digest -->
</Cred>
<Meta>
<MaxMsgSize xmlns="syncml:metinf">5000</MaxMsgSize>
</Meta>
</SyncHdr>
<!—regular body information here -->
<SyncBody>
</SyncBody>
</SyncML>

2 计算MD-5摘要

Cred中提供的MD-5摘要是根据如下规则计算的：
H=MD5 Hash函数
Digest=MD5 Hash函数的输出
B64=base64编码函数
Digest=H(B64 (H(username:password) ):nonce)

这个算法允许认证方在不清楚password的情况下作认证。Password既没有作为Cred的一部分发送，也不需要认证方知道，认证方只需要保存一份计算好Hash值的username:password字串。

3 Password和nonce的使用方法

password和nonce的长度都建议至少要128位。
无论是从终端设备，还是从DM Server，要求对方认证时，nonce是必须的。
一旦认证凭证发给了对方，整个过程中nonce不变。

认证方必须考虑到认证凭证中的nonce失效的问题（可能是因为之前的通讯失败）。鉴于此，如果认证失败，认证方必须生成一个新的nonce，然后再次进行认证过程。

每个会话都要使用一个新的nonce，nonce值的序列应该是不可预料的。

4 认证过程实例

  • 首先终端向DM Server发送Package 1。这时nonce是随便填的，如下例中的"sfOMmg54tOJfhp12mwiEFg=="
    <SyncML xmlns='SYNCML:SYNCML1.1'>
    <SyncHdr>
    <VerDTD>1.1</VerDTD>
    <VerProto>DM/1.1</VerProto>
    <SessionID>4</SessionID>
    <MsgID>1</MsgID>
    <Target>
    <LocURI>http://10.5.24.32:8080/funambol/dm</LocURI>
    </Target>
    <Source>
    <LocURI>dmtest</LocURI>
    <LocName>funambol</LocName>
    </Source>
    <Cred>
    <Meta>
    <Format xmlns='syncml:metinf'>b64</Format>
    <Type xmlns='syncml:metinf'>syncml:auth-md5</Type>
    </Meta>
    <Data> sfOMmg54tOJfhp12mwiEFg== </Data>
    </Cred>
    <Meta>
    <MaxMsgSize xmlns='syncml:metinf'>5000</MaxMsgSize>
    <MaxObjSize xmlns='syncml:metinf'>25000</MaxObjSize>
    </Meta>
    </SyncHdr>
    <SyncBody>
    <Alert>
    <CmdID>1</CmdID>
    <Data>1201</Data>
    </Alert>
    <Replace>
    <CmdID>2</CmdID>
    <Item>
    <Source>
    <LocURI>./DevInfo/Lang</LocURI>
    </Source>
    <Data>en-us</Data>
    </Item>
    <Item>
    <Source>
    <LocURI>./DevInfo/DmV</LocURI>
    </Source>
    <Data>4.0</Data>
    </Item>
    <Item>
    <Source>
    <LocURI>./DevInfo/Mod</LocURI>
    </Source>
    <Data>scts devman</Data>
    </Item>
    <Item>
    <Source>
    <LocURI>./DevInfo/Man</LocURI>
    </Source>
    <Data>SyncML</Data>
    </Item>
    <Item>
    <Source>
    <LocURI>./DevInfo/DevId</LocURI>
    </Source>
    <Data>dmtest</Data>
    </Item>
    </Replace>
    <Final/>
    </SyncBody>
    </SyncML>
  • DM Server经过认证检查，发现终端的授权不合法，要求终端用新生成nonce重新认证
    <SyncML>
    <SyncHdr>
    <VerDTD>1.1</VerDTD>
    <VerProto>DM/1.1</VerProto>
    <SessionID>4</SessionID>
    <MsgID>1</MsgID>
    <Target>
    <LocURI>dmtest</LocURI>
    <LocName>funambol</LocName>
    </Target>
    <Source>
    <LocURI>http://10.5.24.32:8080/funambol/dm</LocURI>
    </Source>
    <RespURI>http://10.5.24.32:8080/funambol/dm?sid=W0JAMWE4ODg1Zi0xMjcyNTI2NzE5NTc4</RespURI>
    <Cred>
    <Meta>
    <Format xmlns='syncml:metinf'>b64</Format>
    <Type xmlns='syncml:metinf'>syncml:auth-md5</Type>
    </Meta>
    <Data>Dq77Ns5kBvpeE0/KG7lMGg==</Data>
    </Cred>
    <Meta>
    <MaxMsgSize xmlns='syncml:metinf'>5000</MaxMsgSize>
    <MaxObjSize xmlns='syncml:metinf'>25000</MaxObjSize>
    </Meta>
    </SyncHdr>
    <SyncBody>
    <Status>
    <CmdID>1</CmdID>
    <MsgRef>1</MsgRef>
    <CmdRef>0</CmdRef>
    <Cmd>SyncHdr</Cmd>
    <TargetRef>http://10.5.24.32:8080/funambol/dm</TargetRef>
    <SourceRef>dmtest</SourceRef>
    <Chal>
    <Meta>
    <Format xmlns='syncml:metinf'>b64</Format>
    <Type xmlns='syncml:metinf'>syncml:auth-md5</Type>
    <NextNonce xmlns='syncml:metinf'>gDslXkBVXH0xXipPdjl6Lg==</NextNonce>
    </Meta>
    </Chal>
    <Data>401</Data>
    </Status>
    <Status>
    <CmdID>2</CmdID>
    <MsgRef>1</MsgRef>
    <CmdRef>1</CmdRef>
    <Cmd>Alert</Cmd>
    <Data>401</Data>
    </Status>
    <Status>
    <CmdID>3</CmdID>
    <MsgRef>1</MsgRef>
    <CmdRef>2</CmdRef>
    <Cmd>Replace</Cmd>
    <Data>401</Data>
    </Status>
    <Final>
    </Final>
    </SyncBody>
    </SyncML>
  • 终端根据Server发过来的新nonce，重新生成认证凭证，再发给Server (此时还是Package 1)
    <SyncML xmlns='SYNCML:SYNCML1.1'>
    <SyncHdr>
    <VerDTD>1.1</VerDTD>
    <VerProto>DM/1.1</VerProto>
    <SessionID>4</SessionID>
    <MsgID>2</MsgID>
    <Target>
    <LocURI>http://10.5.24.32:8080/funambol/dm?sid=W0JAMWE4ODg1Zi0xMjcyNTI2NzE5NTc4</LocURI>
    </Target>
    <Source>
    <LocURI>dmtest</LocURI>
    <LocName>funambol</LocName>
    </Source>
    <Cred>
    <Meta>
    <Format xmlns='syncml:metinf'>b64</Format>
    <Type xmlns='syncml:metinf'>syncml:auth-md5</Type>
    </Meta>
    <Data>gDwKeu7afMRzKdSIyt1RGg==</Data>
    </Cred>
    <Meta>
    <MaxMsgSize xmlns='syncml:metinf'>5000</MaxMsgSize>
    <MaxObjSize xmlns='syncml:metinf'>25000</MaxObjSize>
    </Meta>
    </SyncHdr>
    <SyncBody>
    <Status>
    <CmdID>1</CmdID>
    <MsgRef>1</MsgRef>
    <CmdRef>0</CmdRef>
    <Cmd>SyncHdr</Cmd>
    <TargetRef>dmtest</TargetRef>
    <SourceRef>http://10.5.24.32:8080/funambol/dm</SourceRef>
    <Data>212</Data>
    </Status>
    <Alert>
    <CmdID>2</CmdID>
    <Data>1201</Data>
    </Alert>
    <Replace>
    <CmdID>3</CmdID>
    <Item>
    <Source>
    <LocURI>./DevInfo/Lang</LocURI>
    </Source>
    <Data>en-us</Data>
    </Item>
    <Item>
    <Source>
    <LocURI>./DevInfo/DmV</LocURI>
    </Source>
    <Data>4.0</Data>
    </Item>
    <Item>
    <Source>
    <LocURI>./DevInfo/Mod</LocURI>
    </Source>
    <Data>scts devman</Data>
    </Item>
    <Item>
    <Source>
    <LocURI>./DevInfo/Man</LocURI>
    </Source>
    <Data>SyncML</Data>
    </Item>
    <Item>
    <Source>
    <LocURI>./DevInfo/DevId</LocURI>
    </Source>
    <Data>dmtest</Data>
    </Item>
    </Replace>
    <Final/>
    </SyncBody>
    </SyncML>

终端通过像上面那样第二次发送Package 1后，获得Server的认证。

终端通过使用Server产生的nonce计算认证凭证的过程如下：¶

假设Server返回的nonce为“gDslXkBVXH0xXipPdjl6Lg==”。
1) 对nonce进行B64解码
byte[] clientNonce = new BASE64Decoder().decodeBuffer("gDslXkBVXH0xXipPdjl6Lg==");

2) 根据公式 B64 (H(username:password)) 计算username:password的编码
StringBuffer userpwd=new StringBuffer();
userpwd.append(username).append(':').append(password);
MessageDigest md = MessageDigest.getInstance("MD5");
byte[] userDigestBytes =new BASE64Encoder().encode(md.digest(userpwd.toString().getBytes())).getBytes();

3) 建立一个缓冲区buf，长度等于userDigestBytes.length + 1 + clientNonce.length
byte[] buf = new byte[userDigestBytes.length + 1 + clientNonce.length];

4) 先将userDigestBytes中的内容复制到buf中，再将clientNonce中的内容复制到后面
System.arraycopy(userDigestBytes, 0, buf, 0, userDigestBytes.length);
buf[userDigestBytes.length] = (byte)':';
System.arraycopy(clientNonce, 0, buf, userDigestBytes.length+1, clientNonce.length);

5) 对缓冲区进行MD编码
byte[] digest = MD5.digest(buf);

6) 再进行B64编码
String serverDigestNonceB64 = new String(Base64.encode(digest));

最后得到的serverDigestNonceB64就是新的认证凭证。

福禄克的网络测试仪 福禄克的网络测试仪
原创粉丝点击
热门IT博客
电影人间喜剧 知乎电影人间喜剧 知乎
淘宝750图片轮播代码淘宝750图片轮播代码
宁波淘宝拍照
销售软件的定义
淘宝无线分类链接
ti am5728源码
java 字符串转json对象
家庭暴力的危害知乎
信号幅值数据
最短路网络物流分配法
国家食药总局数据查询
淘宝网联系方式
java批处理
烈火文明 知乎
a8超频软件
centos 删除系统备份
淘宝店铺装修模板代码
七牛php base64上传
淘宝原味内衣卖家
天狮多种vb片怎么吃
热门问题 老师的惩罚 人脸识别 我在镇武司摸鱼那些年 重生之率土为王 我在大康的咸鱼生活 盘龙之生命进化 天生仙种 凡人之先天五行 春回大明朝 姑娘不必设防，我是瞎子 提亚马特 特提 fgo提亚马特 雅特兰提斯 提亚马特600w怎么打 特提是什么意思 特摄联盟 特摄1959 日本特摄 特摄片 特摄ol无限 超级特摄时代 特摄之神 中国特摄联盟 特摄剧 日本三大特摄有哪些 日本所有特摄 日本三大特摄 特摄ol无限强化免费看 泰罗空想特摄 赛文空想特摄手机版免费下载 特曼 特曼怎么了 特朗 特步 特步运动鞋 特步标志 特步商城 特步鞋子 特步鞋 特步他林 特步男士鞋 特步帽子 特步上衣 特步童装 专卖店特步 特步跑步鞋 特步运动服 特步篮球鞋 特步专卖店 特步广告语

程序博客网，程序员的互联网技术博客家园。csdn论坛精品 msdn技术资料都在这里