10. Considérations de sécurité

Le répartiteur coordonne le traitement des messages pour fournir un niveau de sécurité pour les messages de gestion et pour diriger les PDU SNMP vers les applications SNMP appropriées.

Un modèle de traitement des messages, et en particulier le v3MP défini dans ce document, interagit dans le cadre du traitement des messages avec les modèles de sécurité dans le sous-système de sécurité via les primitives d'interface de service abstraites définies dans [RFC3411] et développées ci-dessus.

Le niveau de sécurité réellement fourni est principalement déterminé par les implémentations spécifiques du modèle de sécurité et les implémentations spécifiques des applications SNMP incorporées dans ce cadre. Les applications ont accès à des données qui ne sont pas sécurisées. Les applications doivent prendre des mesures raisonnables pour protéger les données contre la divulgation et, lorsqu'elles envoient des données sur le réseau, elles doivent respecter le securityLevel et faire appel aux services d'un modèle de contrôle d'accès lorsqu'elles appliquent le contrôle d'accès.

Les valeurs de l'élément msgID utilisées dans la communication entre entités SNMP DOIVENT être choisies pour éviter les attaques par rejeu. Les valeurs n'ont pas besoin d'être imprévisibles ; il suffit qu'elles ne se répètent pas.

Lorsque des échanges sont effectués sur un réseau non sécurisé, il existe une possibilité ouverte pour un tiers d'usurper ou de rejouer des messages lorsqu'un message d'un échange est donné au niveau de sécurité noAuthNoPriv. Pour la plupart des échanges, tous les messages existent au même niveau de sécurité. Dans le cas où le message final est un PDU de classe interne, ce message peut être livré à un niveau noAuthNoPriv ou authNoPriv, indépendamment du niveau de sécurité des messages précédents. Les PDU de classe interne livrés au niveau authNoPriv ne sont pas considérés comme posant un risque de sécurité. Les PDU de classe interne livrés au niveau de sécurité noAuthNoPriv ouvrent une fenêtre d'opportunité pour les attaques par usurpation ou rejeu. Si le destinataire de tels messages est conscient de ces risques, l'utilisation de tels messages non authentifiés est acceptable et peut fournir une fonction utile pour découvrir les ID de moteur ou pour détecter une mauvaise configuration sur les nœuds distants.

Ce document contient également un module de définition MIB. Aucun des objets définis n'est inscriptible, et les informations qu'ils représentent ne sont pas considérées comme particulièrement sensibles. Cependant, s'ils sont jugés sensibles dans un environnement particulier, l'accès à ceux-ci devrait être restreint par l'utilisation de modèles de sécurité et de contrôle d'accès configurés de manière appropriée.