RFC1413 鉴定协议

组织：中国互动出版网（http://www.china-pub.com）
RFC文档中文翻译计划（http://www.china-pub.com/compters/emook/aboutemook.htm）
E-mail：ouyang@china-pub.com
译者: shenjianli (shenjianli shenjianli@263.net)
译文发布时间：2001-7-1
版权：本中文翻译文档版权归中国互动出版网所有。可以用于非商业用途自由转载，但必须保留本文档的翻译及版权信息。

Network Working Group                                       M. St. Johns
Request for Comments: 1413                      US Department of Defense
Obsoletes: 931                                             February 1993

                        

鉴定协议
（Identification Protocol）

此备忘录的状态:
本标准为Internet网详细说明了架构委员会标准轨迹协议,以及需求大家讨论和建议
来进一步提高.敬请关注最新版本标准化陈述和此协议的情况的文件"IAB Official 
Protocol Standards".本备忘录的发行无任何限制.
目录
1、介绍	1
2、概述	2
3、约束条件	2
4、询问/响应格式	2
5、响应类型	2
6、安全性考虑	5
7、致谢	6
参考资料	6
作者地址	6

1、介绍
本鉴定协议提供了一种测定用户的特殊的TCP连接身份的手段. 提供了TCP端口对,它
返回的字符串识别出连接在服务器系统上的用户.

此协议以前叫”the Authentication  Server Protocol”(服务器鉴定协议).改名是为了更
好的反映出其功能,本文件是因特网工程任务组的TCP身份协议工作组（TCP Identity Protocol 
Working Group ）的产品,
2、概述
这是建立在TCP申请的连接,服务器在TCP的113(十进制)端口监测TCP连接,一旦连接建
立,服务器在一线路上读取重要的数据,假如存在,系统重要连接可靠性用户标识符将被发送作为
回答.然后服务器可以断开连接或者读取并回答更多的询问.
     在推荐60―180秒内如没有接收到任何信息,那么服务器将断开连接.用户可以随时断开连
接,但是,由于网络的延迟,用户必须等待至少30秒,他(她)的访问方被放弃并断开连接.
3、约束条件
询问仅仅限定在指定的连接.询问包括局部和国外端口对,他们用来详细说明连接是来自局
部或外国的询问连接.这说明关于A与B之间的连接一个用户在A地只能询问B地的服务器.
4、询问/响应格式
服务器只接受如下方式的请求:
           ,
的内容是TCP端口目标,而是TCP端口来源.
     N.B―如果客户主机A在主机B申请局部连接为23, 6191的服务,客户必须访问23, 
6191―也就是连接在主机B是如何被指定的.
例:
         6191, 23
响应的形式为:
 ,  :  : 
其中,和上面一样, 是响应时的身份关键
字,而 是由前后文所决定的.返回信息是被, 
,
, 识别关联的详细的TCP连接. 和   
是局部和国外的询问连接(i.e)IP地址.TCP连接到鉴定协议服务器
(  和 来自询问.
        例:
            6193, 23 : USERID : UNIX : stjohns
            6195, 23 : ERROR : NO-USER


5、响应类型
响应有两种形式:

 USERID
       既然如此, 是由操作系统名字(有随意的字符串标识符)组成,随后是
“:",最后是鉴定字符.
       字符集 (如果被提出)与操作系统名字之间用"."格开, 字符集标识符是用来显示
字符集的鉴定串. 字符集标识符,如果被忽略,将默认为"US-ASCII"(看下面).
       许可的操作系统名字和字符集名字列在清单RFC 1340中, "Assigned Numbers"或它
的继承.
        总之, 操作系统和字符集名在"Assigned Numbers"中详细说明,有一专门共开系统
标识符--"OTHER".
         除非"OTHER"是被指定的操作系统类型,服务器将返回正常的连接业主的用户鉴定, 
"Normal"在这里也许意味着字符串,它们唯一详细说明了连接用户,如这样的用户标识
符,它们被管理人员分配并被用作邮件标识符,或作为用户/口令的一部分来访问系统资
源.当系统资源被指定(e.g.除"OTHER"),此用户标识符将或早或迟被期待为有用的形式
―e.g..某物可以作为论据用来感觉或作为邮件地址.
         "OTHER"显示的无规定的字符串,是由列在表单中的可打印的字符集组成.如果用
户字符串在以前的段落中没有受约束,"OTHER"可以被指定,发送加密代码,或另外返回
无用的电子用户名信息,它们都是"OTHER"将被使用时的用户(如真实的姓名或来自于文
件UNIX的口令)的例子,返回的用户字符串在指定的字符串集中将是可被打印的.
         标识符是无格式的八进制串―所有第八位必须除了000 (NUL), 012 (LF)和 015 
(CR).
     N.B.―空格字符串(040)后紧跟的冒号分隔符是标识符串的一部分,不可以被忽略.响
应字符串通常是被CR/LF终止, N.B.串可以是被打印但不是必须的.
 ERROR

         由于某些原因,端口的所有权并不是固定的. 指出了原因,下面是
的形式及其具体的含义:

           INVALID-PORT
                 不管是局部或外国的端口都是不可确定的,如果它们的端口号超出
了范围(TCP端口号是1―65535)就必须返回,否则不管是整数,实数还
是其他类型,都不能被验证而作为无用的数据.

NO-USER
   被端口对指定的连接,不能被使用或不能确切的实体所承认.

HIDDEN-USER
   服务器能够鉴定使用端口的用户,但是用户要求的信息不会被返回.

UNKNOWN-ERROR
   不能测定连接的用户:原因不明.如果错误不能在上面掩盖,将返回
错误的代码值,通常,如果可能,此代码在别的场所以明确的代码反映
出来.例如,服务器要求返回的错误信息被隐藏起来.或者由于别的原
因,如果服务器执行这样的任务,它必须是规则的而且它必须认为返回
的特有错误信息是默认的.
         余下的值在本文献的最后将被详细的说明和定义,如果某工具有必要说明非规范
的错误代码,那么代码以"X"开头.
          另外,服务器可以在没有响应时自动结束询问,任何的突然中断(i.e.,客户没有
接受到EOL),不管是正确或异常的,都必须认为同样的含义: "ERROR : 
UNKNOWN-ERROR".

FORMAL SYNTAX   
       ::=  

       ::=  "," 

       ::=  

       ::= "015 012"  ; CR-LF End of Line Indicator

       ::=  | 

       ::=  ":" "ERROR" ":" 

       ::=  ":" "USERID" ":" 
                         ":" 

       ::= "INVALID-PORT" | "NO-USER" | "UNKNOWN-ERROR"
                    | "HIDDEN-USER" |  

       ::=  [ "," ]

       ::= "OTHER" | "UNIX" |  ...etc.
               ;  (See "Assigned Numbers")

       ::= "US-ASCII" | ...etc.
                 ;  (See "Assigned Numbers")

       ::= 

        ::= 1*64 ; 1-64 characters

        ::= "X"1*63
                     ; 2-64 chars beginning w/X

        ::= 1*5 ; 1-5 digits.

        ::= "0" | "1" ... "8" | "9" ; 0-9

         ::=
                            /?"'~`{}[]; >
                                           ; upper and lowercase a-z plus
                                           ; printables minus the colon ":"
                                            ; character.

         ::= 1*512

         ::=
                        

对语法的注释：
1)	 为了在不同的执行中促进协同工作,同时考虑到上文中语法空白被表
达"保守发送自由接受"的规则所了解,客户和服务器不能产生不必要的
空白,但是除了没有标志的地方都能够任意的接受空白字符.在分析响应
时,空白可以出现在任何地方,但除了没有标志.通常一些空白出现在行头
或行尾是允许的,它们用来询问或响应.但这不申请容纳用户ID的响应,
因为在操作系统类型之后的冒号之后的直到中止符CR/LF间内容都看作
用户ID的部分. 中止符CR/LF不是用户ID的部分.
2)	上面的无关紧要,服务器会将发送的空白字符限制在最有效的最合理的
范围内.客户在收到1000个字符而每收到时可以自由的中断连接.
3)	用户IDs限制在512字节而标志限制在64字节应理解为如下:a)没有
 新标志(i.e., OPSYS or ERROR-TYPE)的定义可以超过64字节.b)服务器
不能发送超过512字节用户ID,一客户必须接受最少512字节的用户ID.
由于这局限,服务器必须在开头的512字节返回重要的部分.
4)	字符集和字符集标识符必须直接指向定义的,被RFC 1340引用的, 
"Assigned Numbers"或它的继承. 字符集标识符只能适用于使用者辨认
的范围―别的区域只能以US-ASCII定义和发送.
5)	虽然在上面被定义为,它必须跟随
  约束的格式和字符集:见上面的讨论.
6)	字符集为客户提供上下文的联系来打印或存储返回的鉴定字符.如果客
户还没有实现或承认返回的字符集,它必须把返回的鉴定字符作为OCTET
来处理,但必须增加存储或汇报字符集. OCTET串必须以16进制(0―9a-f)
被打印,存储或索引,以用来陈述客户的工具―这在不同的执行中提供了
标准的陈述.
6、安全性考虑
           协议返回的信息像主人提供的一样的可信或像组织操作着主机.例如,
在研究室有极少的PC机,在上面有设备限制了此协议返回客户所需的信
息.同时,主机接受了有危害的信息,可导致完全的错误和误解.
   本协议并非有意成为特许权或访问控制协议,最多,它提供了一些有关
连接的附加审核信息,在最坏的情况下,可能提供令人误解的,不正确的或
相反的错误信息.
  此协议返回的信息在除此以外的审核作用是很无效果的,特别的,利用
此协议信息存取控制决议―不管是主要方法(i.e., no other checks)还
是作为附属的方法,都可能削弱正常主机的安全.
  鉴定服务器应能展现关于用户的信息,实体,对象或过程都被认为是私
有的, 鉴定服务器提供的服务与一些电话公司提供的CallerID服务是大
致相同的, CallerID服务的许多的秘密事项和见解同样适用于鉴定服务
器.假如你不想正常的运行"finger"服务器,你就不可能运行本协议.
7、致谢
在这里特别感谢Dan Bernstein,他在本协议中做出了重要的补充, 并且在RFC 931中
指出了一些错误.

参考资料

   [1] St. Johns, M., "Authentication Server", RFC 931, TPSC, January
       1985.

   [2] Reynolds, J., and J. Postel, "Assigned Numbers", STD 2, RFC 1340,
       USC/Information Sciences Institute, July 1992.

作者地址

       Michael C. St. Johns
       DARPA/CSTO
       3701 N. Fairfax Dr
       Arlington, VA 22203

       Phone: (703) 696-2271
       EMail: stjohns@DARPA.MIL
RFC1413――Identification Protocol                                               鉴定协议


1
RFC文档中文翻译计划