SNMPv3 认证加密怎么实现USM 用户模型与国密 SM3/SM4 扩展SNMPv3 相比 v1/v2c 最大的升级是安全认证 加密。等保项目强制要求 v3。本文讲清楚 USM 模型怎么工作、怎么选算法、国密怎么扩展。CSDN 标签SNMPv3、网络安全、SNMP、USM、国密、等保、XXLSNMP一、为什么必须上 SNMPv3v1/v2cCommunity 明文抓包就能看到、伪造v3 USM每个用户有独立用户名、认证密钥、加密密钥报文经过 HMAC 认证和对称加密等保 2.0网络设备管理协议必须认证加密v3 是硬性要求。二、USM 模型三要素要素作用常见算法认证Authentication防篡改、防伪造HMACMD5、SHA1、SHA256libtom 版另支持 SHA256-FULL加密Privacy防窃听对称加密DES、3DES、AES-128/192/256用户User标识 引擎 ID 密钥派生按设备引擎 ID 做 localized key报文格式里插入msgSecurityParameters携带引擎 ID、用户名、认证摘要、加密 IV。三、自己实现 USM 的坑密钥派生本地密钥 哈希(密码 ‖ 引擎ID) 再哈希不能简单直接用密码时间窗口引擎时间 启动次数防重放NMS 和 Agent 时钟要同步密码学库依赖MD5/SHA/AES 要选成熟实现自己写容易出漏洞版本兼容要同时支持 v1/v2c/v3 三套报文解析。四、XXLSNMP 的 v3 与国密扩展芯祥联 XXLSNMP 国产 SNMP SDK完整实现 RFC3414 USM认证 MD5/SHA1/SHA256libtom 版 SHA256-FULL加密 DES/3DES/AES-128/192/256多用户管理Agent 侧可配多个 USM 用户NMS 侧按用户管理不同设备引擎 ID 与密钥派生按标准实现开箱即用国密扩展认证接口和加密接口开放可扩展 SM3认证/SM4加密满足信创/等保对国密算法的要求配置文件xxlsnmpd.ini方式管理用户不用改代码NMS 侧 CLI 直接指定-u user -a MD5/SHA1 -x AES -A authpass -X privpass验证。五、选型建议Linux 原型、v1/v2c 够用→ Net-SNMP设备产品化、要 v3 全功能、要国密、要 STM32 嵌入式跑→ XXLSNMP完全自研密码学和协议栈→ 自己投入。XXLSNMP是芯祥联科技自研的国产 SNMP 协议栈 SDK支持 SNMPv3 USM 与国密扩展
