home *** CD-ROM | disk | FTP | other *** search
/ Internet Info 1994 March / Internet Info CD-ROM (Walnut Creek) (March 1994).iso / inet / internet-drafts / draft-ietf-pppext-secmib-02.txt < prev    next >
Text File  |  1993-04-19  |  32KB  |  1,212 lines
  1.  
  2.  
  3.  
  4.             Internet Draft
  5.  
  6.                      The Definitions of Managed Objects for
  7.                             the Security Protocols of
  8.                            the Point-to-Point Protocol
  9.  
  10.                                   19 April 1993
  11.  
  12.  
  13.                                  Frank Kastenholz
  14.                                 FTP Software, Inc
  15.                                   2 High Street
  16.                           North Andover, Mass 01845 USA
  17.  
  18.                                   kasten@ftp.com
  19.  
  20.  
  21.  
  22.  
  23.  
  24.  
  25.           Status of this Memo
  26.  
  27.           This document is an Internet Draft.  Internet Drafts are
  28.           working documents of the Internet Engineering Task Force
  29.           (IETF), its Areas, and its Working Groups.  Note that other
  30.           groups may also distribute working documents as Internet
  31.           Drafts.
  32.  
  33.           Internet Drafts are draft documents valid for a maximum of six
  34.           months.  Internet Drafts may be updated, replaced, or
  35.           obsoleted by other documents at any time.  It is not
  36.           appropriate to use Internet Drafts as reference material or to
  37.           cite them other than as a ``working draft'' or ``work in
  38.           progress.'' Please check the 1id-abstracts.txt listing
  39.           contained in the internet-drafts Shadow Directories on
  40.           nic.ddn.mil, nnsc.nsf.net, nic.nordu.net, ftp.nisc.sri.com, or
  41.           munnari.oz.au to learn the current status of any Internet
  42.           Draft.
  43.  
  44.  
  45.  
  46.  
  47.  
  48.  
  49.  
  50.  
  51.  
  52.  
  53.  
  54.  
  55.           Internet Draft         PPP/Security MIB             April 1993
  56.  
  57.  
  58.           This document will be submitted to the Internet Activities
  59.           Board as a Proposed Standard. This document defines an
  60.           experimental extension to the SNMP MIB. Upon publication as a
  61.           Proposed Standard, a new MIB number will be assigned.  This is
  62.           a working document only, it should neither be cited nor quoted
  63.           in any formal document.
  64.  
  65.           This document will expire before 24 Oct. 1993.
  66.  
  67.           Distribution of this document is unlimited.
  68.  
  69.           Please send comments to the author.
  70.  
  71.  
  72.           1.  Abstract
  73.  
  74.           This memo defines an experimental portion of the Management
  75.           Information Base (MIB) for use with network management
  76.           protocols in TCP/IP-based internets.  In particular, it
  77.           describes managed objects used for managing the Security
  78.           Protocols on subnetwork interfaces using the family of
  79.           Point-to-Point Protocols[8, 9, 10, 11, & 12].
  80.  
  81.           This memo does not specify a standard for the Internet
  82.           community.
  83.  
  84.  
  85.  
  86.  
  87.  
  88.  
  89.  
  90.  
  91.  
  92.  
  93.  
  94.  
  95.  
  96.  
  97.  
  98.  
  99.  
  100.  
  101.  
  102.  
  103.  
  104.  
  105.  
  106.  
  107.           Frank J. Kastenholz   Exp. 24 Oct. 1993               [Page 2]
  108.  
  109.  
  110.  
  111.  
  112.  
  113.           Internet Draft         PPP/Security MIB             April 1993
  114.  
  115.  
  116.           2.  The Network Management Framework
  117.  
  118.           The Internet-standard Network Management Framework consists of
  119.           three components.  They are:
  120.  
  121.                RFC 1155 which defines the SMI, the mechanisms used for
  122.                describing and naming objects for the purpose of
  123.                management.  RFC 1212 defines a more concise description
  124.                mechanism, which is wholly consistent with the SMI.
  125.  
  126.                RFC 1213 defines MIB-II, the core set of managed objects
  127.                for the Internet suite of protocols.
  128.  
  129.                RFC 1157 which defines the SNMP, the protocol used for
  130.                network access to managed objects.
  131.  
  132.           The Framework permits new objects to be defined for the
  133.           purpose of experimentation and evaluation.
  134.  
  135.  
  136.  
  137.  
  138.  
  139.  
  140.  
  141.  
  142.  
  143.  
  144.  
  145.  
  146.  
  147.  
  148.  
  149.  
  150.  
  151.  
  152.  
  153.  
  154.  
  155.  
  156.  
  157.  
  158.  
  159.  
  160.  
  161.  
  162.  
  163.  
  164.  
  165.           Frank J. Kastenholz   Exp. 24 Oct. 1993               [Page 3]
  166.  
  167.  
  168.  
  169.  
  170.  
  171.           Internet Draft         PPP/Security MIB             April 1993
  172.  
  173.  
  174.           3.  Objects
  175.  
  176.           Managed objects are accessed via a virtual information store,
  177.           termed the Management Information Base or MIB.  Objects in the
  178.           MIB are defined using the subset of Abstract Syntax Notation
  179.           One (ASN.1) [3] defined in the SMI.  In particular, each
  180.           object type is named by an OBJECT IDENTIFIER, an
  181.           administratively assigned name.  The object type together with
  182.           an object instance serves to uniquely identify a specific
  183.           instantiation of the object.  For human convenience, we often
  184.           use a textual string, termed the descriptor, to refer to the
  185.           object type.
  186.  
  187.  
  188.           3.1.  Format of Definitions
  189.  
  190.           Section 5 contains the specification of all object types
  191.           contained in this MIB module.  The object types are defined
  192.           using the conventions defined in the SMI, as amended by the
  193.           extensions specified in [5,6].
  194.  
  195.  
  196.  
  197.  
  198.  
  199.  
  200.  
  201.  
  202.  
  203.  
  204.  
  205.  
  206.  
  207.  
  208.  
  209.  
  210.  
  211.  
  212.  
  213.  
  214.  
  215.  
  216.  
  217.  
  218.  
  219.  
  220.  
  221.  
  222.  
  223.           Frank J. Kastenholz   Exp. 24 Oct. 1993               [Page 4]
  224.  
  225.  
  226.  
  227.  
  228.  
  229.           Internet Draft         PPP/Security MIB             April 1993
  230.  
  231.  
  232.           4.  Overview
  233.  
  234.           4.1.  Object Selection Criteria
  235.  
  236.           To be consistent with IAB directives and good engineering
  237.           practice, an explicit attempt was made to keep this MIB as
  238.           simple as possible.  This was accomplished by applying the
  239.           following criteria to objects proposed for inclusion:
  240.  
  241.           (1)  Require objects be essential for either fault or
  242.                configuration management.  In particular, objects for
  243.                which the sole purpose was to debug implementations were
  244.                explicitly excluded from the MIB.
  245.  
  246.           (2)  Consider evidence of current use and/or utility.
  247.  
  248.           (3)  Limit the total number of objects.
  249.  
  250.           (4)  Exclude objects which are simply derivable from others in
  251.                this or other MIBs.
  252.  
  253.  
  254.           4.2.  Structure of the PPP
  255.  
  256.           This section describes the basic model of PPP used in
  257.           developing the PPP MIB. This information should be useful to
  258.           the implementor in understanding some of the basic design
  259.           decisions of the MIB.
  260.  
  261.           The PPP is not one single protocol but a large family of
  262.           protocols.  Each of these is, in itself, a fairly complex
  263.           protocol.  The PPP protocols may be divided into three rough
  264.           categories:
  265.  
  266.           Control Protocols
  267.                The Control Protocols are used to control the operation
  268.                of the PPP. The Control Protocols include the Link
  269.                Control Protocol (LCP), the Password Authentication
  270.                Protocol (PAP), the Link Quality Report (LQR), and the
  271.                Challenge Handshake Authentication Protocol (CHAP).
  272.  
  273.           Network Protocols
  274.                The Network Protocols are used to move the network
  275.                traffic over the PPP interface.  A Network Protocol
  276.  
  277.  
  278.  
  279.  
  280.  
  281.           Frank J. Kastenholz   Exp. 24 Oct. 1993               [Page 5]
  282.  
  283.  
  284.  
  285.  
  286.  
  287.           Internet Draft         PPP/Security MIB             April 1993
  288.  
  289.  
  290.                encapsulates the datagrams of a specific higher-layer
  291.                protocol that is using the PPP as a data link.  Note that
  292.                within the context of PPP, the term "Network Protocol"
  293.                does not imply an OSI Layer-3 protocol; for instance,
  294.                there is a Bridging network protocol.
  295.  
  296.           Network Control Protocols (NCPs)
  297.                The NCPs are used to control the operation of the Network
  298.                Protocols. Generally, each Network Protocol has its own
  299.                Network Control Protocol; thus, the IP Network Protocol
  300.                has its IP Control Protocol, the Bridging Network
  301.                Protocol has its Bridging Network Control Protocol and so
  302.                on.
  303.  
  304.           This document specifies the objects used in managing one of
  305.           these protocols, namely the PPP Authentication Protocols.
  306.  
  307.  
  308.           4.3.  MIB Groups
  309.  
  310.           Objects in this MIB are arranged into several MIB groups.
  311.           Each group is organized as a set of related objects.
  312.  
  313.           These groups are the basic unit of conformance: if the
  314.           semantics of a group are applicable to an implementation then
  315.           all objects in the group must be implemented.
  316.  
  317.           The PPP MIB is organized into several MIB Groups, including,
  318.           but not limited to, the following groups:
  319.           o The PPP Link Group
  320.           o The PPP LQR Group
  321.           o The PPP LQR Extensions Group
  322.           o The PPP IP Group
  323.           o The PPP Bridge Group
  324.           o The PPP Security Group
  325.  
  326.           This document specifies the following group:
  327.  
  328.           PPP Security Group
  329.                The PPP Security Group contains all configuration and
  330.                control variables that apply to PPP security.
  331.  
  332.                Implementation of this group is optional.  Implementation
  333.                is optional since the variables in this group provide
  334.  
  335.  
  336.  
  337.  
  338.  
  339.           Frank J. Kastenholz   Exp. 24 Oct. 1993               [Page 6]
  340.  
  341.  
  342.  
  343.  
  344.  
  345.           Internet Draft         PPP/Security MIB             April 1993
  346.  
  347.  
  348.                configuration and control for the PPP Security functions.
  349.                Thus, these variables should be protected by SNMPv2
  350.                security.  If an agent does not support SNMPv2 with
  351.                privacy it is strongly advised that this group not be
  352.                implemented.  See the section on "Security
  353.                Considerations" at the end of this document.
  354.  
  355.  
  356.  
  357.  
  358.  
  359.  
  360.  
  361.  
  362.  
  363.  
  364.  
  365.  
  366.  
  367.  
  368.  
  369.  
  370.  
  371.  
  372.  
  373.  
  374.  
  375.  
  376.  
  377.  
  378.  
  379.  
  380.  
  381.  
  382.  
  383.  
  384.  
  385.  
  386.  
  387.  
  388.  
  389.  
  390.  
  391.  
  392.  
  393.  
  394.  
  395.  
  396.  
  397.           Frank J. Kastenholz   Exp. 24 Oct. 1993               [Page 7]
  398.  
  399.  
  400.  
  401.  
  402.  
  403.           Internet Draft         PPP/Security MIB             April 1993
  404.  
  405.  
  406.           5.  Definitions
  407.  
  408.  
  409.  
  410.           PPP-SEC-MIB DEFINITIONS ::= BEGIN
  411.  
  412.           IMPORTS
  413.                experimental, Counter
  414.                     FROM RFC1155-SMI
  415.                OBJECT-TYPE
  416.                     FROM RFC-1212
  417.                ppp
  418.                     FROM PPP-LCP-MIB;
  419.  
  420.                pppSecurity OBJECT IDENTIFIER ::= { ppp 2 }
  421.  
  422.                pppSecurityProtocols OBJECT IDENTIFIER ::= { pppSecurity 1 }
  423.  
  424.           -- The following uniquely identify the various protocols
  425.           -- used by PPP security. These OBJECT IDENTIFIERS are
  426.           -- used in the pppSecurityConfigProtocol and
  427.           -- pppSecuritySecretsProtocol objects to identify to which
  428.           -- protocols the table entries apply.
  429.  
  430.                pppSecurityPapProtocol OBJECT IDENTIFIER ::=
  431.                          { pppSecurityProtocols 1 }
  432.                pppSecurityChapMD5Protocol OBJECT IDENTIFIER ::=
  433.                          { pppSecurityProtocols 2 }
  434.  
  435.           -- PPP Security Group
  436.           -- Implementation of this group is optional.
  437.  
  438.           -- This table allows the network manager to configure
  439.           -- which security protocols are to be used on which
  440.           -- link and in what order of preference each is to be tried
  441.  
  442.  
  443.           pppSecurityConfigTable   OBJECT-TYPE
  444.                SYNTAX    SEQUENCE OF PppSecurityConfigEntry
  445.                ACCESS    not-accessible
  446.                STATUS    mandatory
  447.                DESCRIPTION
  448.                          "Table containing the configuration and
  449.                          preference parameters for PPP Security."
  450.  
  451.  
  452.  
  453.  
  454.  
  455.           Frank J. Kastenholz   Exp. 24 Oct. 1993               [Page 8]
  456.  
  457.  
  458.  
  459.  
  460.  
  461.           Internet Draft         PPP/Security MIB             April 1993
  462.  
  463.  
  464.                ::= { pppSecurity 2 }
  465.  
  466.  
  467.           pppSecurityConfigEntry   OBJECT-TYPE
  468.                SYNTAX    PppSecurityConfigEntry
  469.                ACCESS    not-accessible
  470.                STATUS    mandatory
  471.                DESCRIPTION
  472.                          "Security configuration information for a
  473.                          particular PPP link."
  474.                INDEX     { pppSecurityConfigLink,
  475.                          pppSecurityConfigPreference }
  476.                ::= { pppSecurityConfigTable 1 }
  477.  
  478.  
  479.  
  480.           PppSecurityConfigEntry ::= SEQUENCE {
  481.                pppSecurityConfigLink
  482.                     INTEGER,
  483.                pppSecurityConfigPreference
  484.                     INTEGER,
  485.                pppSecurityConfigProtocol
  486.                     OBJECT IDENTIFIER,
  487.                pppSecurityStatus
  488.                     INTEGER
  489.                }
  490.  
  491.           pppSecurityConfigLink   OBJECT-TYPE
  492.                SYNTAX    INTEGER(0..2147483648)
  493.                ACCESS    read-write
  494.                STATUS    mandatory
  495.                DESCRIPTION
  496.                          "The value of ifIndex that identifies the entry
  497.                          in the interface table that is associated with
  498.                          the local PPP entity's link for which this
  499.                          particular security algorithm shall be
  500.                          attempted. A value of 0 indicates the default
  501.                          algorithm - i.e., this entry applies to all
  502.                          links for which explicit entries in the table
  503.                          do not exist."
  504.                ::= { pppSecurityConfigEntry 1 }
  505.  
  506.  
  507.           pppSecurityConfigPreference   OBJECT-TYPE
  508.  
  509.  
  510.  
  511.  
  512.  
  513.           Frank J. Kastenholz   Exp. 24 Oct. 1993               [Page 9]
  514.  
  515.  
  516.  
  517.  
  518.  
  519.           Internet Draft         PPP/Security MIB             April 1993
  520.  
  521.  
  522.                SYNTAX    INTEGER(0..2147483648)
  523.                ACCESS    read-write
  524.                STATUS    mandatory
  525.                DESCRIPTION
  526.                          "The relative preference of the security
  527.                          protocol identified by
  528.                          pppSecurityConfigProtocol. Security protocols
  529.                          with lower values of
  530.                          pppSecurityConfigPreference are tried before
  531.                          protocols with higher values of
  532.                          pppSecurityConfigPreference."
  533.                ::= { pppSecurityConfigEntry 2 }
  534.  
  535.  
  536.           pppSecurityConfigProtocol   OBJECT-TYPE
  537.                SYNTAX    OBJECT IDENTIFIER
  538.                ACCESS    read-write
  539.                STATUS    mandatory
  540.                DESCRIPTION
  541.                          "Identifies the security protocol to be
  542.                          attempted on the link identified by
  543.                          pppSecurityConfigLink at the preference level
  544.                          identified by pppSecurityConfigPreference. "
  545.                ::= { pppSecurityConfigEntry 3 }
  546.  
  547.  
  548.           pppSecurityConfigStatus   OBJECT-TYPE
  549.                SYNTAX    INTEGER  {
  550.                          invalid(1),
  551.                          valid(2)
  552.                     }
  553.                ACCESS    read-write
  554.                STATUS    mandatory
  555.                DESCRIPTION
  556.                          "Setting this object to the value invalid(1)
  557.                          has the effect of invalidating the
  558.                          corresponding entry in the
  559.                          pppSecurityConfigTable. It is an
  560.                          implementation-specific matter as to whether
  561.                          the agent removes an invalidated entry from the
  562.                          table.  Accordingly, management stations must
  563.                          be prepared to receive tabular information from
  564.                          agents that corresponds to entries not
  565.                          currently in use.  Proper interpretation of
  566.  
  567.  
  568.  
  569.  
  570.  
  571.           Frank J. Kastenholz   Exp. 24 Oct. 1993              [Page 10]
  572.  
  573.  
  574.  
  575.  
  576.  
  577.           Internet Draft         PPP/Security MIB             April 1993
  578.  
  579.  
  580.                          such entries requires examination of the
  581.                          relevant pppSecurityConfigStatus object."
  582.                DEFVAL    { valid }
  583.                ::= { pppSecurityConfigEntry 4 }
  584.  
  585.  
  586.  
  587.  
  588.  
  589.  
  590.  
  591.  
  592.  
  593.  
  594.  
  595.  
  596.  
  597.  
  598.  
  599.  
  600.  
  601.  
  602.  
  603.  
  604.  
  605.  
  606.  
  607.  
  608.  
  609.  
  610.  
  611.  
  612.  
  613.  
  614.  
  615.  
  616.  
  617.  
  618.  
  619.  
  620.  
  621.  
  622.  
  623.  
  624.  
  625.  
  626.  
  627.  
  628.  
  629.           Frank J. Kastenholz   Exp. 24 Oct. 1993              [Page 11]
  630.  
  631.  
  632.  
  633.  
  634.  
  635.           Internet Draft         PPP/Security MIB             April 1993
  636.  
  637.  
  638.           -- This table contains all of the ID/Secret pair information.
  639.  
  640.  
  641.  
  642.           pppSecuritySecretsTable   OBJECT-TYPE
  643.                SYNTAX    SEQUENCE OF PppSecuritySecretsEntry
  644.                ACCESS    not-accessible
  645.                STATUS    mandatory
  646.                DESCRIPTION
  647.                          "Table containing the identities and secrets
  648.                          used by the PPP authentication protocols.  As
  649.                          this table contains secret information, it is
  650.                          expected that access to this table be limited
  651.                          to those SNMP Party-Pairs for which a privacy
  652.                          protocol is in use for all SNMP messages that
  653.                          the parties exchange.  This table contains both
  654.                          the ID and secret pair(s) that the local PPP
  655.                          entity will advertise to the remote entity and
  656.                          the pair(s) that the local entity will expect
  657.                          from the remote entity.  This table allows for
  658.                          multiple id/secret password pairs to be
  659.                          specified for a particular link by using the
  660.                          pppSecuritySecretsIdIndex object."
  661.                ::= { pppSecurity 3 }
  662.  
  663.  
  664.           pppSecuritySecretsEntry   OBJECT-TYPE
  665.                SYNTAX    PppSecuritySecretsEntry
  666.                ACCESS    not-accessible
  667.                STATUS    mandatory
  668.                DESCRIPTION
  669.                          "Secret information."
  670.                INDEX     { pppSecuritySecretsLink,
  671.                          pppSecuritySecretsIdIndex }
  672.                ::= { pppSecuritySecretsTable 1 }
  673.  
  674.  
  675.           PppSecuritySecretEntry ::= SEQUENCE {
  676.                pppSecuritySecretsLink
  677.                     INTEGER,
  678.                pppSecuritySecretsIdIndex
  679.                     INTEGER,
  680.                pppSecuritySecretsDirection
  681.                     INTEGER,
  682.  
  683.  
  684.  
  685.  
  686.  
  687.           Frank J. Kastenholz   Exp. 24 Oct. 1993              [Page 12]
  688.  
  689.  
  690.  
  691.  
  692.  
  693.           Internet Draft         PPP/Security MIB             April 1993
  694.  
  695.  
  696.                pppSecuritySecretsProtocol
  697.                     OBJECT IDENTIFIER,
  698.                pppSecuritySecretsIdentity
  699.                     OCTET STRING,
  700.                pppSecuritySecretsSecret
  701.                     OCTET STRING,
  702.                pppSecuritySecretsStatus
  703.                     INTEGER
  704.           }
  705.  
  706.           pppSecuritySecretsLink   OBJECT-TYPE
  707.                SYNTAX    INTEGER(0..2147483648)
  708.                ACCESS    read-only
  709.                STATUS    mandatory
  710.                DESCRIPTION
  711.                          "The link to which this ID/Secret pair applies.
  712.                          By convention, if the value of this object is 0
  713.                          then the ID/Secret pair applies to all links."
  714.                ::= { pppSecuritySecretsEntry 1 }
  715.  
  716.  
  717.           pppSecuritySecretsIdIndex   OBJECT-TYPE
  718.                SYNTAX    INTEGER(0..2147483648)
  719.                ACCESS    read-only
  720.                STATUS    mandatory
  721.                DESCRIPTION
  722.                          "A unique value for each ID/Secret pair that
  723.                          has been defined for use on this link.  This
  724.                          allows multiple ID/Secret pairs to be defined
  725.                          for each link.  How the local entity selects
  726.                          which pair to use is a local implementation
  727.                          decision."
  728.                ::= { pppSecuritySecretsEntry 2 }
  729.  
  730.  
  731.           pppSecuritySecretsDirection   OBJECT-TYPE
  732.                SYNTAX    INTEGER  {
  733.                          local-to-remote(1),
  734.                          remote-to-local(2)
  735.                     }
  736.                ACCESS    read-write
  737.                STATUS    mandatory
  738.                DESCRIPTION
  739.                          "This object defines the direction in which a
  740.  
  741.  
  742.  
  743.  
  744.  
  745.           Frank J. Kastenholz   Exp. 24 Oct. 1993              [Page 13]
  746.  
  747.  
  748.  
  749.  
  750.  
  751.           Internet Draft         PPP/Security MIB             April 1993
  752.  
  753.  
  754.                          particular ID/Secret pair is valid.  If this
  755.                          object is local-to-remote then the local PPP
  756.                          entity will use the ID/Secret pair when
  757.                          attempting to authenticate the local PPP entity
  758.                          to the remote PPP entity.  If this object is
  759.                          remote-to-local then the local PPP entity will
  760.                          expect the ID/Secret pair to be used by the
  761.                          remote PPP entity when the remote PPP entity
  762.                          attempts to authenticate itself to the local
  763.                          PPP entity."
  764.                ::= { pppSecuritySecretsEntry 3 }
  765.  
  766.  
  767.           pppSecuritySecretsProtocol   OBJECT-TYPE
  768.                SYNTAX    OBJECT IDENTIFIER
  769.                ACCESS    read-write
  770.                STATUS    mandatory
  771.                DESCRIPTION
  772.                          "The security protocol (e.g. CHAP or PAP) to
  773.                          which this ID/Secret pair applies."
  774.                ::= { pppSecuritySecretsEntry 4 }
  775.  
  776.  
  777.           pppSecuritySecretsIdentity   OBJECT-TYPE
  778.                SYNTAX    OCTET STRING (SIZE(0..255))
  779.                ACCESS    read-write
  780.                STATUS    mandatory
  781.                DESCRIPTION
  782.                          "The Identity of the ID/Secret pair.  The
  783.                          actual format, semantics, and use of
  784.                          pppSecuritySecretsIdentity depends on the
  785.                          actual security protocol used.  For example, if
  786.                          pppSecuritySecretsProtocol is
  787.                          pppSecurityPapProtocol then this object will
  788.                          contain a PAP Peer-ID. If
  789.                          pppSecuritySecretsProtocol is
  790.                          pppSecurityChapMD5Protocol then this object
  791.                          would contain the CHAP NAME parameter."
  792.                ::= { pppSecuritySecretsEntry 5 }
  793.  
  794.  
  795.           pppSecuritySecretsSecret   OBJECT-TYPE
  796.                SYNTAX    OCTET STRING (SIZE(0..255))
  797.                ACCESS    read-write
  798.  
  799.  
  800.  
  801.  
  802.  
  803.           Frank J. Kastenholz   Exp. 24 Oct. 1993              [Page 14]
  804.  
  805.  
  806.  
  807.  
  808.  
  809.           Internet Draft         PPP/Security MIB             April 1993
  810.  
  811.  
  812.                STATUS    mandatory
  813.                DESCRIPTION
  814.                          "The secret of the ID/Secret pair.  The actual
  815.                          format, semantics, and use of
  816.                          pppSecuritySecretsSecret depends on the actual
  817.                          security protocol used.  For example, if
  818.                          pppSecuritySecretsProtocol is
  819.                          pppSecurityPapProtocol then this object will
  820.                          contain a PAP Password. If
  821.                          pppSecuritySecretsProtocol is
  822.                          pppSecurityChapMD5Protocol then this object
  823.                          would contain the CHAP MD5 Secret."
  824.                ::= { pppSecuritySecretsEntry 6 }
  825.  
  826.  
  827.           pppSecuritySecretsStatus   OBJECT-TYPE
  828.                SYNTAX    INTEGER  {
  829.                          invalid(1),
  830.                          valid(2)
  831.                     }
  832.                ACCESS    read-write
  833.                STATUS    mandatory
  834.                DESCRIPTION
  835.                          "Setting this object to the value invalid(1)
  836.                          has the effect of invalidating the
  837.                          corresponding entry in the
  838.                          pppSecuritySecretsTable. It is an
  839.                          implementation-specific matter as to whether
  840.                          the agent removes an invalidated entry from the
  841.                          table.  Accordingly, management stations must
  842.                          be prepared to receive tabular information from
  843.                          agents that corresponds to entries not
  844.                          currently in use.  Proper interpretation of
  845.                          such entries requires examination of the
  846.                          relevant pppSecuritySecretsStatus object."
  847.                DEFVAL    { valid }
  848.                ::= { pppSecuritySecretsEntry 7 }
  849.  
  850.  
  851.           END
  852.  
  853.  
  854.  
  855.  
  856.  
  857.  
  858.  
  859.  
  860.  
  861.           Frank J. Kastenholz   Exp. 24 Oct. 1993              [Page 15]
  862.  
  863.  
  864.  
  865.  
  866.  
  867.           Internet Draft         PPP/Security MIB             April 1993
  868.  
  869.  
  870.           6.  Acknowledgements
  871.  
  872.           This document was produced by the PPP working group.  In
  873.           addition to the working group, the author wishes to thank the
  874.           following individuals for their comments and contributions:
  875.  
  876.           Bill Simpson -- Daydreamer
  877.           Glenn McGregor -- Merit
  878.           Jesse Walker -- DEC
  879.           Chris Gunner -- DEC
  880.  
  881.  
  882.  
  883.  
  884.  
  885.  
  886.  
  887.  
  888.  
  889.  
  890.  
  891.  
  892.  
  893.  
  894.  
  895.  
  896.  
  897.  
  898.  
  899.  
  900.  
  901.  
  902.  
  903.  
  904.  
  905.  
  906.  
  907.  
  908.  
  909.  
  910.  
  911.  
  912.  
  913.  
  914.  
  915.  
  916.  
  917.  
  918.  
  919.           Frank J. Kastenholz   Exp. 24 Oct. 1993              [Page 16]
  920.  
  921.  
  922.  
  923.  
  924.  
  925.           Internet Draft         PPP/Security MIB             April 1993
  926.  
  927.  
  928.           7.  Security Considerations
  929.  
  930.           The PPP MIB affords the network operator the ability to
  931.           configure and control the PPP links of a particular system,
  932.           including the PPP authentication protocols. This represents a
  933.           security risk.
  934.  
  935.           These risks are addressed in the following manners:
  936.  
  937.           (1)  All variables which represent a significant security risk
  938.                are placed in separate, optional, MIB Groups. As the MIB
  939.                Group is the quantum of implementation within a MIB, the
  940.                implementor of the MIB may elect not to implement these
  941.                groups.
  942.  
  943.           (2)  The implementor may choose to implement the variables
  944.                which present a security risk so that they may not be
  945.                written, i.e., the variables are READ-ONLY. This method
  946.                still presents a security risk, and is not recommended,
  947.                in that the variables, specifically the PPP
  948.                Authentication Protocols' variables, may be easily read.
  949.  
  950.           (3)  Using SNMPv2, the operator can place the variables into
  951.                MIB views which are protected in that the parties which
  952.                have access to those MIB views use authentication and
  953.                privacy protocols, or the operator may elect to make
  954.                these views not accessible to any party.  In order to
  955.                facilitate this placement, all security-related variables
  956.                are placed in separate MIB Tables. This eases the
  957.                identification of the necessary MIB View Subtree.
  958.  
  959.           (4)  The PPP Security Protocols MIB (this document) contains
  960.                several objects which are very sensitive from a security
  961.                point of view.
  962.  
  963.                Specifically, this MIB contains objects that define the
  964.                PPP Peer Identities (which can be viewed as "userids")
  965.                and the secrets used to authenticate those Peer
  966.                Identities (similar to a "password" for the "userid").
  967.  
  968.                Also, this MIB contains variables which would allow a
  969.                network manager to control the operation of the security
  970.                features of PPP.  An intruder could disable PPP security
  971.                if these variables were not properly protected.
  972.  
  973.  
  974.  
  975.  
  976.  
  977.           Frank J. Kastenholz   Exp. 24 Oct. 1993              [Page 17]
  978.  
  979.  
  980.  
  981.  
  982.  
  983.           Internet Draft         PPP/Security MIB             April 1993
  984.  
  985.  
  986.                Thus, in order to preserve the integrity, security and
  987.                privacy of the PPP security features, an implementation
  988.                will allow access to this MIB only via SNMPv2 and then
  989.                only for parties which are privacy enhanced.  Other
  990.                access modes, e.g., SNMPv1 or SNMPv2 without privacy-
  991.                enhancement, are very dangerous and the security of the
  992.                PPP service may be compromised.
  993.  
  994.  
  995.  
  996.  
  997.  
  998.  
  999.  
  1000.  
  1001.  
  1002.  
  1003.  
  1004.  
  1005.  
  1006.  
  1007.  
  1008.  
  1009.  
  1010.  
  1011.  
  1012.  
  1013.  
  1014.  
  1015.  
  1016.  
  1017.  
  1018.  
  1019.  
  1020.  
  1021.  
  1022.  
  1023.  
  1024.  
  1025.  
  1026.  
  1027.  
  1028.  
  1029.  
  1030.  
  1031.  
  1032.  
  1033.  
  1034.  
  1035.           Frank J. Kastenholz   Exp. 24 Oct. 1993              [Page 18]
  1036.  
  1037.  
  1038.  
  1039.  
  1040.  
  1041.           Internet Draft         PPP/Security MIB             April 1993
  1042.  
  1043.  
  1044.           8.  References
  1045.  
  1046.           [1]  M.T. Rose and K. McCloghrie, Structure and Identification
  1047.                of Management Information for TCP/IP-based internets,
  1048.                Internet Working Group Request for Comments 1155.
  1049.                Network Information Center, SRI International, Menlo
  1050.                Park, California, (May, 1990).
  1051.  
  1052.           [2]  K. McCloghrie and M.T. Rose, Management Information Base
  1053.                for Network Management of TCP/IP-based internets - MIB-2,
  1054.                Internet Working Group Request for Comments 1213.
  1055.                Network Information Center, SRI International, Menlo
  1056.                Park, California, (March, 1991).
  1057.  
  1058.           [3]  Information processing systems - Open Systems
  1059.                Interconnection - Specification of Abstract Syntax
  1060.                Notation One (ASN.1), International Organization for
  1061.                Standardization.  International Standard 8824, (December,
  1062.                1987).
  1063.  
  1064.           [4]  Information processing systems - Open Systems
  1065.                Interconnection - Specification of Basic Encoding Rules
  1066.                for Abstract Notation One (ASN.1), International
  1067.                Organization for Standardization.  International Standard
  1068.                8825, (December, 1987).
  1069.  
  1070.           [5]  Rose, M., and K. McCloghrie, Editors, Concise MIB
  1071.                Definitions, RFC 1212, Performance Systems International,
  1072.                Hughes LAN Systems, March 1991.
  1073.  
  1074.           [6]  Rose, M., Editor, A Convention for Defining Traps for use
  1075.                with the SNMP, RFC 1215, Performance Systems
  1076.                International, March 1991.
  1077.  
  1078.           [7]  K. McCloghrie, Extensions to the Generic-Interface MIB,
  1079.                RFC1229, Hughes LAN Systems, May 1991.
  1080.  
  1081.           [8]  W. Simpson, The Point-to-Point Protocol for the
  1082.                Transmission of Multi-protocol Datagrams over Point-to-
  1083.                Point Links, RFC 1331, May 1992.
  1084.  
  1085.           [9]  G. McGregor, The PPP Internet Protocol Control Protocol,
  1086.                RFC 1332, Merit, May 1992.
  1087.  
  1088.  
  1089.  
  1090.  
  1091.  
  1092.  
  1093.           Frank J. Kastenholz   Exp. 24 Oct. 1993              [Page 19]
  1094.  
  1095.  
  1096.  
  1097.  
  1098.  
  1099.           Internet Draft         PPP/Security MIB             April 1993
  1100.  
  1101.  
  1102.           [10] F. Baker, Point-to-Point Protocol Extensions for
  1103.                Bridging, RFC1220, ACC, April 1991.
  1104.  
  1105.           [11] B. Lloyd, and Simpson, W., PPP Authentication Protocols
  1106.                RFC1334, October 1992.
  1107.  
  1108.           [12] W. Simpson, PPP Link Quality Monitoring, RFC 1333, May
  1109.                1992.
  1110.  
  1111.  
  1112.  
  1113.  
  1114.  
  1115.  
  1116.  
  1117.  
  1118.  
  1119.  
  1120.  
  1121.  
  1122.  
  1123.  
  1124.  
  1125.  
  1126.  
  1127.  
  1128.  
  1129.  
  1130.  
  1131.  
  1132.  
  1133.  
  1134.  
  1135.  
  1136.  
  1137.  
  1138.  
  1139.  
  1140.  
  1141.  
  1142.  
  1143.  
  1144.  
  1145.  
  1146.  
  1147.  
  1148.  
  1149.  
  1150.  
  1151.           Frank J. Kastenholz   Exp. 24 Oct. 1993              [Page 20]
  1152.  
  1153.  
  1154.  
  1155.  
  1156.  
  1157.           Internet Draft         PPP/Security MIB             April 1993
  1158.  
  1159.  
  1160.           Table of Contents
  1161.  
  1162.  
  1163.            Status of this Memo ....................................    1
  1164.           1 Abstract ..............................................    2
  1165.           2 The Network Management Framework ......................    3
  1166.           3 Objects ...............................................    4
  1167.           3.1 Format of Definitions ...............................    4
  1168.           4 Overview ..............................................    5
  1169.           4.1 Object Selection Criteria ...........................    5
  1170.           4.2 Structure of the PPP ................................    5
  1171.           4.3 MIB Groups ..........................................    6
  1172.           5 Definitions ...........................................    8
  1173.           6 Acknowledgements ......................................   16
  1174.           7 Security Considerations ...............................   17
  1175.           8 References ............................................   19
  1176.  
  1177.  
  1178.  
  1179.  
  1180.  
  1181.  
  1182.  
  1183.  
  1184.  
  1185.  
  1186.  
  1187.  
  1188.  
  1189.  
  1190.  
  1191.  
  1192.  
  1193.  
  1194.  
  1195.  
  1196.  
  1197.  
  1198.  
  1199.  
  1200.  
  1201.  
  1202.  
  1203.  
  1204.  
  1205.  
  1206.  
  1207.  
  1208.  
  1209.           Frank J. Kastenholz   Exp. 24 Oct. 1993              [Page 21]
  1210.  
  1211.  
  1212.