TR-069 - Википедия - TR-069

Технический отчет 069 (TR-069) является технической спецификацией Широкополосный форум что определяет прикладной уровень протокол для удаленного управления Абонентское оборудование (CPE) подключен к протокол Интернета (IP) сеть. TR-069 использует Протокол управления CPE WAN (CWMP), который обеспечивает функции поддержки для автоконфигурации, управления программным обеспечением или образами микропрограмм, управления программными модулями, управления состоянием и производительностью, а также диагностики.

Протокол управления CPE WAN является двунаправленным МЫЛО - и HTTP на основе протокола и обеспечивает связь между CPE и серверами автоматической конфигурации (ACS). Протокол адресован растущему числу различных доступ в Интернет такие устройства, как модемы, маршрутизаторы, шлюзы, а также устройства конечных пользователей, которые подключаются к Интернету, такие как телеприставки, и VoIP -фоны.

TR-069 был впервые опубликован в мае 2004 года с поправками в 2006, 2007, 2010, июле 2011 (версия 1.3),[1] и ноябрь 2013 г. (версия 1.4 am5)[2]

Другие технические инициативы, такие как Инициатива домашнего шлюза (HGI), Цифровое видеовещание (DVB) и Форум WiMAX одобрил CWMP как протокол для удаленного управления бытовыми сетевыми устройствами и терминалами.

Коммуникация

Транспорт

CWMP - это текстовый протокол. Заказы, отправляемые между устройством (CPE) и сервером автоконфигурации (ACS), передаются через HTTP (или, чаще, HTTPS). На этом уровне (HTTP) CPE действует как клиент, а ACS как HTTP-сервер. По сути, это означает, что контроль над потоком сеанс обеспечения является исключительной ответственностью устройства.

Удаленное управление CPE через TR-069.svg

Параметры конфигурации

Чтобы устройство могло подключиться к серверу, сначала необходимо настроить определенные параметры. К ним относятся URL-адрес сервера, к которому устройство хочет подключиться, и интервал, с которым устройство будет инициировать сеанс инициализации (PeriodicInformInterval). Кроме того, если аутентификация требуется по соображениям безопасности, необходимо предоставить такие данные, как имя пользователя и пароль.[3]

Сеанс подготовки

Все коммуникации и операции выполняются в рамках сеанса инициализации. Сеанс всегда запускается устройством (CPE) и начинается с передачи Сообщить сообщение. Его прием и готовность сервера к сеансу обозначается значком InformResponse сообщение. На этом этап инициализации сеанса завершается. Порядок следующих двух этапов зависит от значения флага. HoldRequests. Если значение равно ложный за этапом инициализации следует передача запросов устройств, в противном случае сначала передаются команды ACS. В следующем описании предполагается, что значение ложный.

На втором этапе заказы передаются с устройства в СКУД. Несмотря на то, что протокол определяет несколько методов, которые могут быть вызваны устройством в ACS, обычно встречается только один - TransferComplete - который используется для информирования ACS о завершении передачи файла, инициированного ранее выданным запросом Download или Upload. Этот этап завершается передачей пустой HTTP-запрос в ACS.

На третьем этапе роли меняются на уровне CWMP. HTTP-ответ для пустой HTTP-запрос устройством будет содержаться CWMP-запрос от СКУД. После этого последует HTTP-запрос, содержащий CWMP-ответ на предыдущий CWMP-запрос. Несколько заказов могут быть переданы один за другим. Этот этап (и весь сеанс подготовки) завершается пустой HTTP-ответ из ACS, указывая, что заказов больше нет.

Триггеры сеанса

Есть определенные события, которые запускают сеанс подготовки. К ним относятся:

  • Bootstrap - при первом контакте устройства с сервером изменился URL-адрес сервера или были сброшены настройки устройства по умолчанию;
  • Периодический - устройство запланировано на периодический сеанс в соответствии с PeriodicInformInterval настройки;
  • Запрос на подключение - устройство отвечает на запрос сервера на подключение;
  • Изменение значения - изменилось значение контролируемого параметра;
  • Загрузка - после перезагрузки устройства или отключения питания и повторного подключения;
  • По расписанию - когда устройство было ранее проинструктировано сервером для инициализации дополнительного сеанса с РасписаниеИнформ команда;
  • Передача завершена - после того, как устройство завершило загрузку или загрузку файлов, запрошенных сервером;
  • Диагностика завершена - после того, как устройство завершит диагностику.[3]

Безопасность и аутентификация

Поскольку важные данные (например, имена пользователей и пароли) могут передаваться на CPE через CWMP, важно обеспечить безопасный транспортный канал и всегда аутентифицировать CPE по ACS. Безопасная транспортировка и аутентификация удостоверения ACS могут быть легко обеспечены с помощью HTTPS и проверки сертификата ACS. Аутентификация CPE более проблематична. Идентификационные данные устройства проверяются на основе общего секрета (пароля) на уровне HTTP. Пароли могут согласовываться между сторонами (CPE-ACS) на каждом сеансе инициализации. Когда устройство обращается к ACS в первый раз (или после восстановления заводских настроек), используются пароли по умолчанию. В больших сетях закупки должны гарантировать, что каждое устройство использует уникальные учетные данные, их список доставляется вместе с самими устройствами и защищен.[нужна цитата ].

Запрос на подключение

Инициализация и управление потоком сеанса инициализации являются исключительной ответственностью устройства, но ACS может запросить запуск сеанса с устройства. Механизм запроса соединения также основан на HTTP. В этом случае устройство (CPE) выступает в роли HTTP-сервера. ACS запрашивает соединение с устройством, посещая согласованный URL-адрес и выполняя HTTP-аутентификацию. Общий секрет также согласовывается с устройством заранее (например, предыдущий сеанс инициализации), чтобы предотвратить использование CPE для DDoS-атак на сервер инициализации (ACS). После отправки подтверждения устройством сеанс инициализации должен быть запущен как можно скорее, но не позднее, чем через 30 секунд после передачи подтверждения.

Запрос на подключение через NAT

Протокол CWMP также определяет механизм доступа к устройствам, подключенным за NAT (например, IP-телефоны, Телеприставки ). Этот механизм, основанный на СТУН и UDP Прохождение NAT определено в документе TR-069, приложение G (ранее в TR-111).

Поправка 5 к протоколу вводит альтернативный метод выполнения запроса на подключение через NAT на основе XMPP (см. приложение K к TR-069 Поправка 5 подробнее).

Модель данных

Большая часть настройки и диагностики выполняется путем установки и получения значений параметров устройства. Они организованы в четко определенную иерархическую структуру, более или менее общую для всех моделей устройств и производителей. Широкополосный форум публикует свои стандарты модели данных в двух форматах - XML файлы, содержащие подробную спецификацию каждой последующей модели данных и все изменения между их версиями, и файлы PDF, содержащие понятные человеку детали. Поддерживаемые стандарты и расширения должны быть четко обозначены в модели данных устройства. Это должно быть в поле Device.DeviceSummary или же InternetGatewayDevice.DeviceSummary что требуется начиная с Устройство: 1.0 и Интернет-шлюзУстройство: 1.1 соответственно. Если поле не найдено Интернет-шлюзУстройство: 1.0 подразумевается. По состоянию на Устройство: 1.4 и Интернет-шлюзУстройство: 1.6 новое поле ( ''. Поддерживаемая модель данных) для поддерживаемой стандартной спецификации.

Модель всегда основана на единственном ключе с именем Устройство или же Интернет-шлюзУстройство в зависимости от выбора производителя. На каждом уровне структуры разрешены объекты и параметры (или экземпляры массивов). Ключи создаются путем объединения имен объектов и параметров с использованием '.' (Точки) в качестве разделителя, например InternetGatewayDevice.Time.NTPServer1 .

Каждый из параметров может быть помечен как доступный для записи или недоступный для записи. Об этом сообщает устройство в GetParameterNamesResponse сообщение. Устройство не должно допускать изменения любого параметра, помеченного как доступный только для чтения. В спецификациях и расширениях модели данных четко указывается требуемый статус большинства параметров.

Значения, применимые к параметру, их тип и значение также точно определены стандартом.

Объекты с несколькими экземплярами

Некоторые части модели данных требуют существования нескольких копий поддерева. Лучшими примерами являются описания таблиц, например Таблица переадресации портов. Объект, представляющий массив, будет иметь в качестве дочерних только номера экземпляров или псевдонимы.

Объект с несколькими экземплярами может быть доступен для записи или только для чтения, в зависимости от того, что он представляет. Записываемые объекты позволяют динамически создавать и удалять своих детей. Например, если объект представляет четыре физических порта на коммутаторе Ethernet, то не должно быть возможности добавить или удалить их из модели данных. Если экземпляр добавляется к объекту, ему назначается идентификатор. После назначения идентификаторы не могут измениться в течение жизненного цикла устройства, за исключением сброса к заводским настройкам.

Общие проблемы

Несмотря на то, что список параметров и их атрибутов четко определен, большинство устройств не полностью соответствуют стандартам. Наиболее распространенные проблемы включают отсутствие параметров, пропущенные идентификаторы экземпляров (для объектов с несколькими экземплярами, где присутствует только один экземпляр), неправильный уровень доступа к параметрам и правильное использование только определенных допустимых значений. Например, для поля, которое указывает поддерживаемый стандарт протоколов WLAN, значение «g» должно указывать на поддержку 802.11b и 802.11g, а «g-only» - только на поддержку 802.11g. Несмотря на то, что такие значения, как «bg» или «b / g» недопустимы в соответствии со стандартами Broadband Forum, они очень часто встречаются в моделях данных устройств.

Общие операции

Вся подготовка построена на основе определенного набора простых операций. Каждый заказ считается атомарным, но транзакции не поддерживаются. Если устройство не может выполнить заказ, в ACS должна быть возвращена правильная ошибка - устройство никогда не должно прерывать сеанс инициализации.

СообщениеОписание
GetParameterNamesПолучить список поддерживаемых параметров с устройства.
GetParameterValuesПолучить текущее значение параметра (ов), идентифицированного ключами. Вариант этого вызова принимает объект в качестве ключа. Он извлекает все параметры объекта
SetParameterValuesУстановите значение одного или нескольких параметров
GetParameterAttributesПолучить атрибуты одного или нескольких параметров
SetParameterAttributesУстановить атрибуты одного или нескольких параметров
СкачатьПрикажите CPE скачать и использовать файл, указанный в URL. Типы файлов включают образ прошивки, файл конфигурации, файл звонка и т. Д.
ЗагрузитьПрикажите CPE загрузить файл в указанное место назначения. Типы файлов включают текущий файл конфигурации, файлы журнала и т. Д.
AddObjectДобавить новый экземпляр к объекту
DeleteObjectУдалить экземпляр из объекта

Возможны высокоуровневые операции через TR-069

  • Активация и реконфигурация услуги
    • Первоначальная настройка услуги как часть процесса настройки в одно касание или в одно касание
    • Восстановление обслуживания (например, после сброса настроек устройства до заводских настроек, замены)
  • Поддержка удаленного подписчика
    • Проверка состояния и функциональности устройства
    • Ручная реконфигурация
  • Управление прошивкой и конфигурацией
    • Обновление / возврат прошивки
    • Резервное копирование / восстановление конфигурации
  • Диагностика и мониторинг
    • Пропускная способность (TR-143) и диагностика подключения
    • Получение значения параметра
    • Получение файла журнала

Безопасность

Компрометация ACS ISP или канала между ACS и CPE неавторизованными объектами может дать доступ к устройствам с TR-069 поставщик услуг вся абонентская база. Информация о клиенте и операции устройства будут доступны для потенциальных злоумышленников, включая другие MAC-адреса в сетях клиента. Возможно скрытое перенаправление DNS-запросов на поддельный DNS-сервер и даже тайные обновления прошивки с функциями бэкдора.[4] Программное обеспечение СКУД TR-069 часто используется небезопасно.[5] Недостатки в комбинированных реализациях TR-064 (конфигурация DSL CPE на стороне локальной сети) и TR-069 (CWMP), которые повторно использовали одну и ту же конечную точку HTTP через общедоступный Интернет для запросов на подключение без надлежащей защиты, были обнаружены в устройствах различных поставщиков и используются На основе Мираи ботнет и другое вредоносное ПО.[6][7]

Смотрите также

Рекомендации

  1. ^ "Протокол управления CPE WAN" (PDF). TR-069 Поправка 4. Широкополосный форум. Июль 2011 г.. Получено 16 февраля, 2012.
  2. ^ "Протокол управления CPE WAN" (PDF). TR-069 Поправка 5. Широкополосный форум. Ноябрь 2013. Получено 3 марта, 2014.
  3. ^ а б «Ускоренный курс по TR-069 (CWMP)». AVSystem. Получено 16 ноября, 2020.
  4. ^ Исследователи считают, что многие домашние маршрутизаторы, поставляемые интернет-провайдерами, могут быть взломаны в массовом порядке.
  5. ^ Группа исследования вредоносного ПО и уязвимостей Check Point выявила несколько недостатков в решениях от поставщиков ACS.
  6. ^ «Атака Mirai на домашние маршрутизаторы и предполагаемая уязвимость TR-069». www.qacafe.com. Получено 25 апреля, 2020.
  7. ^ «Практические способы неправильного использования роутера». blog.ptsecurity.com. Получено 16 июня, 2017.

внешняя ссылка

Реализации с открытым исходным кодом