王胤灝

【摘 要】當(dāng)前FLEXI BSC的權(quán)限管理存在漏洞，發(fā)現(xiàn)因誤操作而造成所有指令無(wú)法執(zhí)行的安全隱患。通過(guò)研究FLEXI BSC的用戶權(quán)限管理機(jī)制，分析日常維護(hù)所需的安全需求，提出對(duì)應(yīng)的改進(jìn)建議。

【關(guān)鍵詞】用戶權(quán)限；終端權(quán)限；指令權(quán)限

1 故障現(xiàn)象

在日常例行巡檢中發(fā)現(xiàn)諾西FLEXI BSC下，任何指令執(zhí)行失敗，系統(tǒng)提示：COMMAND NOT AUTHORIZED。嘗試使用兩個(gè)常用用戶登錄，指令執(zhí)行均失敗。而其他BSC正常。

COMMAND NOT AUTHORIZED指示用戶無(wú)權(quán)限執(zhí)行該條MML指令，因此判斷該BSC下的權(quán)限被修改。

2 權(quán)限原理

FLEXI BSC定義了3類權(quán)限：用戶權(quán)限、終端權(quán)限、MML指令權(quán)限。3類權(quán)限相互關(guān)系為：用戶權(quán)限和終端權(quán)限決定了訪問(wèn)權(quán)限，訪問(wèn)權(quán)限與MML指令權(quán)限等級(jí)比較——如訪問(wèn)權(quán)限等于或高于MML權(quán)限等級(jí)，則指令可執(zhí)行；訪問(wèn)權(quán)限低于MML權(quán)限等級(jí)，則指令執(zhí)行失?。–OMMAND NOT AUTHORIZED）。

權(quán)限定義與查詢：

2.1 MML權(quán)限等級(jí)：COMMAND AUTHORITY

設(shè)置MML指令權(quán)限的意圖是在于區(qū)分指令的重要等級(jí)，對(duì)于特別重要的指令僅限特定用戶才能執(zhí)行。

MML被分為5個(gè)等級(jí)，用數(shù)字表示，由高到底：250、200、150、100、50，數(shù)字越高則MML權(quán)限等級(jí)越高，對(duì)用戶的權(quán)限要求越高。

MML權(quán)限等級(jí)可用指令：IAT查詢。

2.2 用戶權(quán)限：USERID AUTHERITY

設(shè)置用戶權(quán)限，通過(guò)用戶名/密碼的限制，防止未授權(quán)人員操作BSC。

對(duì)應(yīng)MML權(quán)限等級(jí)，普通用戶權(quán)限分為250、200、150、100、50，數(shù)字越高則用戶權(quán)限越高。

特別的，可以定義超級(jí)用戶，其權(quán)限為251，從而可以執(zhí)行所有的MML指令。

用戶權(quán)限可用指令：IAI查詢。

2.3 終端權(quán)限：TERMINAL AUTHORITY

設(shè)置終端權(quán)限，通過(guò)驗(yàn)證接入終端（如PC機(jī)等），防止未授權(quán)設(shè)備操作BSC。

對(duì)應(yīng)MML權(quán)限等級(jí)，普通終端權(quán)限分為250、200、150、100、50，數(shù)字越高則用戶權(quán)限越高。

特別的，可以定義超級(jí)終端，其權(quán)限為251，從而通過(guò)固定終端對(duì)BSC執(zhí)行所有的MML指令。

終端權(quán)限可用指令：IAI查詢。

2.4 訪問(wèn)權(quán)限：SESSION AUTHORITY

當(dāng)普通用戶通過(guò)普通終端登錄BSC時(shí)，兩者中較小的權(quán)限決定了其訪問(wèn)權(quán)限。例如：250用戶權(quán)限+100終端權(quán)限——100訪問(wèn)權(quán)限，只能執(zhí)行100及以下的指令。

而如果超級(jí)用戶或超級(jí)終端符合其一，則訪問(wèn)權(quán)限最大，為251，可進(jìn)行任何操作。例如：251用戶權(quán)限+50終端權(quán)限——251訪問(wèn)權(quán)限，可執(zhí)行任何指令。

2.5 PROFILE

FLEXI BSC設(shè)置PROFILE權(quán)限組，通過(guò)將用戶/終端與PROFILE關(guān)聯(lián)的方式，設(shè)定用戶/終端的權(quán)限值。

創(chuàng)建或修改PROFILE指令為：IAA。

將用戶/終端與PROFILE關(guān)聯(lián)指令為：IAE。

因此每個(gè)BSC的權(quán)限設(shè)置通過(guò)以下步驟完成：（1）分別創(chuàng)建USER ID PROFILE和TERMINAL PROFILE。（2）創(chuàng)建USER ID，同時(shí)指定至PROFILE，設(shè)置密碼。（3）將TERMINAL指定到對(duì)應(yīng)的PROFILE。

3 故障處理

在日常巡檢發(fā)現(xiàn)某BSC所有用戶均無(wú)法執(zhí)行MML指令，使用不同用戶名嘗試執(zhí)行均失敗，而接入方式均為遠(yuǎn)程登錄VTP形式，因此判斷因VTP的終端權(quán)限被修改導(dǎo)致。

在該故障情況下，已無(wú)法執(zhí)行任何指令。因此動(dòng)用了非常規(guī)手段，用FTT提取備份數(shù)據(jù)庫(kù)中/FBXXXXXX/LFILE/目錄中權(quán)限相關(guān)的三個(gè)文件：CAUTHOGX.IMG、PAUTHOGX.IMG、TAUTHOGX.IMG，覆蓋了當(dāng)前軟件包內(nèi)的三個(gè)文件，重啟OMU后權(quán)限設(shè)置恢復(fù)正常，MML指令可執(zhí)行。

該故障的發(fā)生引起了維護(hù)人員的重視，現(xiàn)網(wǎng)FLEXI BSC權(quán)限管理存在漏洞：（1）無(wú)超級(jí)用戶和超級(jí)終端；（2）缺乏終端權(quán)限管理，VTP、VDP等終端指定至同一個(gè)PROFILE，因此所有終端權(quán)限均被修改。

4 安全需求及權(quán)限管理建議

針對(duì)現(xiàn)網(wǎng)權(quán)限管理漏洞，提出以下四點(diǎn)建議：

（1）每個(gè)BSC增加一個(gè)超級(jí)用戶，從而可以不受限制地執(zhí)行指令，便于短時(shí)間內(nèi)處理誤操作，減少影響。同時(shí)在內(nèi)部管理上限制該用戶名/密碼的使用和使用者，非重大情況下不得使用。

（2）BSC側(cè)創(chuàng)建一個(gè)超級(jí)終端（近端VDU），從而可以不受限制地執(zhí)行指令。同時(shí)在內(nèi)部管理上限制該終端的使用，非重大情況下不得使用。

（3）區(qū)分VDU、VTP對(duì)應(yīng)的PROFILE，防止因操作失誤修改所有的終端權(quán)限。

（4）對(duì)不同部門分配不同用戶名/密碼，同時(shí)將超級(jí)用戶MML COMMAND LOG ACCESSIBILITY參數(shù)設(shè)為COM，以便管理用戶和事后調(diào)查。

【參考文獻(xiàn)】

[1]DX200 i-series System Operation and Maintenance[Z].Nokia System Oy，2003.

[責(zé)任編輯：劉展]