INTERNET安全性的分析及解決實(shí)例-INTERNET.doc

INTERNET 安全性的分析及解決實(shí)例中科院電子所 王磊摘要 本文分析了目前Internet上的安全性問(wèn)題，說(shuō)明了防火墻、加密和數(shù)字簽名在保證信息安全中的作用，并通過(guò)Microsoft Outlook Express 發(fā)送安全郵件的實(shí)例證實(shí)了這些信息安全手段的有效性。關(guān)鍵字 網(wǎng)絡(luò)安全 Web欺騙 防火墻 加密 數(shù)字簽名 安全郵件0引言迅速發(fā)展的Internet給人們的生活、工作帶來(lái)了巨大的方便，人們可以坐在家里通過(guò)INTERNET收發(fā)電子郵件、打電話、進(jìn)行網(wǎng)上購(gòu)物、銀行轉(zhuǎn)帳等，一個(gè)網(wǎng)絡(luò)化社會(huì)的雛形已經(jīng)展現(xiàn)在我們面前。在網(wǎng)絡(luò)給人們帶來(lái)巨大的便利的同時(shí)，也帶來(lái)了一些不容忽視的問(wèn)題，網(wǎng)絡(luò)信息的安全保密問(wèn)題就是其中之一。網(wǎng)絡(luò)的開(kāi)放性以及黑客的攻擊是造成網(wǎng)絡(luò)不安全的主要原因。科學(xué)家在設(shè)計(jì)Internet之初就缺乏對(duì)安全性的總體構(gòu)想和設(shè)計(jì)，我們所用的TCP/IP協(xié)議是建立在可信的環(huán)境之下，首先考慮的是網(wǎng)絡(luò)互連，它是缺乏對(duì)安全方面的考慮的。這種基于地址的協(xié)議本身就會(huì)泄露口令，而且TCP/IP協(xié)議是完全公開(kāi)的，遠(yuǎn)程訪問(wèn)使許多攻擊者無(wú)須到現(xiàn)場(chǎng)就能夠得手，連接的主機(jī)基于互相信任的原則等等這一些性質(zhì)使網(wǎng)絡(luò)更加不安全。這一切，導(dǎo)致了加密、解密、數(shù)字簽名技術(shù)的產(chǎn)生，并且正在不斷的研究和發(fā)展之中，本文試圖就這些技術(shù)作一些初步的說(shuō)明和探討，并用Microsoft Outlook Express下收發(fā)安全電子郵件的實(shí)例驗(yàn)證基本的安全網(wǎng)絡(luò)通訊的過(guò)程。1INTERNET的安全問(wèn)題1.1 INTERNET的安全隱患目前，來(lái)自互連網(wǎng)上的安全問(wèn)題主要分成兩大類：主動(dòng)攻擊和被動(dòng)攻擊。主動(dòng)攻擊是指攻擊者通過(guò)有選擇的修改、刪除、延遲、亂序、復(fù)制、插入數(shù)據(jù)流或數(shù)據(jù)流的一部分以達(dá)到其非法目的。主動(dòng)攻擊可以歸納為中斷、篡改、偽造三種。被動(dòng)攻擊主要是指攻擊者監(jiān)聽(tīng)網(wǎng)絡(luò)上傳遞的信息流，從而獲取信息的內(nèi)容，或僅僅希望得到信息流的長(zhǎng)度、傳輸頻率等數(shù)據(jù)。這兩種攻擊方法是互補(bǔ)的，也就是說(shuō)，被動(dòng)攻擊往往很難檢測(cè)出來(lái)但很容易預(yù)防，而主動(dòng)攻擊很難預(yù)防但卻很容易檢測(cè)出來(lái)。1.2 Web欺騙Web服務(wù)器是Internet上的主要信息泄漏源，也是被攻擊的主要對(duì)象。下面著重分析一種Web攻擊Web欺騙的方法與后果。Web欺騙是一種電子信息欺騙，攻擊者在其中創(chuàng)造了整個(gè)Web世界的一個(gè)令人信服但是完全錯(cuò)誤的拷貝。錯(cuò)誤的Web看起來(lái)十分逼真，它擁有相同的網(wǎng)頁(yè)和鏈接。然而，攻擊者控制著錯(cuò)誤的Web站點(diǎn)，這樣受攻擊者瀏覽器和Web之間的所有網(wǎng)絡(luò)信息完全被攻擊者所截獲，其工作原理就好像是一個(gè)過(guò)濾器。由于攻擊者可以觀察或者修改任何從受攻擊者到Web服務(wù)器的信息；同樣地，也控制著從Web服務(wù)器至受攻擊者的返回?cái)?shù)據(jù)，這樣攻擊者就有許多發(fā)起攻擊的可能性，包括監(jiān)視和破壞。攻擊者能夠監(jiān)視受攻擊者的網(wǎng)絡(luò)信息，記錄他們?cè)L問(wèn)的網(wǎng)頁(yè)和內(nèi)容。當(dāng)受攻擊者填寫(xiě)完一個(gè)表單并發(fā)送后，這些數(shù)據(jù)將被傳送到Web服務(wù)器，Web服務(wù)器將返回必要的信息，但不幸的是，攻擊者完全可以截獲并加以使用。大家都知道絕大部分在線公司都是使用表單來(lái)完成業(yè)務(wù)的，這意味著攻擊者可以獲得用戶的帳戶和密碼。在得到必要的數(shù)據(jù)后，攻擊者可以通過(guò)修改受攻擊者和Web服務(wù)器之間任何一個(gè)方向上的數(shù)據(jù)，來(lái)進(jìn)行某些破壞活動(dòng)。攻擊者修改受攻擊者的確認(rèn)數(shù)據(jù)，例如，如果受攻擊者在線訂購(gòu)某個(gè)產(chǎn)品時(shí)，攻擊者可以修改產(chǎn)品代碼，數(shù)量或者郵購(gòu)地址等等。攻擊者也能修改被Web服務(wù)器所返回的數(shù)據(jù)，例如，插入易于誤解或者攻擊性的資料，破壞用戶和在線公司的關(guān)系等等。 2網(wǎng)絡(luò)安全技術(shù) 由于上述威脅的存在，因此采取措施對(duì)網(wǎng)絡(luò)信息加以保護(hù)，以使受到攻擊的威脅減到最小是必須的。通常保障網(wǎng)絡(luò)信息安全的方法有兩大類：以“防火墻”技術(shù)為代表的被動(dòng)防衛(wèi)型和建立在數(shù)據(jù)加密、數(shù)字簽名機(jī)制上的開(kāi)放型網(wǎng)絡(luò)安全保障技術(shù)。2.1 防火墻技術(shù)防火墻是指設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的一系列部件的組合。防火墻安全保障技術(shù)主要是為了保護(hù)與互聯(lián)網(wǎng)相連的企業(yè)內(nèi)部網(wǎng)絡(luò)或單獨(dú)節(jié)點(diǎn)。在邏輯上它是一個(gè)限制器，也是一個(gè)分析器，能有效地監(jiān)控內(nèi)部網(wǎng)和Internet之間的活動(dòng)，保證內(nèi)部網(wǎng)絡(luò)的安全。它具有簡(jiǎn)單實(shí)用的特點(diǎn)，并且透明度高,可以在不修改原有網(wǎng)絡(luò)應(yīng)用系統(tǒng)的情況下達(dá)到一定的安全要求。防火墻一方面通過(guò)檢查、分析、過(guò)濾從內(nèi)部網(wǎng)流出的IP包，盡可能地對(duì)外部網(wǎng)絡(luò)屏蔽被保護(hù)網(wǎng)絡(luò)或節(jié)點(diǎn)的信息、結(jié)構(gòu)，另一方面對(duì)內(nèi)屏蔽外部某些危險(xiǎn)地址，實(shí)現(xiàn)對(duì)內(nèi)部網(wǎng)絡(luò)的保護(hù)。2.2 數(shù)據(jù)加密為了保護(hù)數(shù)據(jù)在傳遞過(guò)程中不被竊聽(tīng)或修改，必須對(duì)數(shù)據(jù)進(jìn)行加密。數(shù)據(jù)加密實(shí)質(zhì)上是對(duì)以符號(hào)為基礎(chǔ)的數(shù)據(jù)進(jìn)行移位和置換的變換算法。這種變換是受稱為密鑰的符號(hào)串控制的。1. 傳統(tǒng)的加密算法在傳統(tǒng)的加密算法中，加密密鑰與解密密鑰是相同的，或者可以由其中一個(gè)推知另一個(gè)，稱為對(duì)稱密鑰算法。這樣的密鑰必須秘密保管，只能為授權(quán)用戶所知，授權(quán)用戶既可以用該密鑰加密信息，也可以用該密鑰解密信息。在早期的密鑰密碼體制中，典型的有代替密碼。由于英文字母中各字母出現(xiàn)的頻度早已有人進(jìn)行過(guò)統(tǒng)計(jì)，所以根據(jù)字母頻度表可以很容易對(duì)這種代替密碼進(jìn)行破譯。2. 數(shù)據(jù)加密標(biāo)準(zhǔn)DESDES是對(duì)稱加密算法中最具代表性的。DES算法原是IBM公司為保護(hù)產(chǎn)品的機(jī)密研制成功的，后被美國(guó)國(guó)家標(biāo)準(zhǔn)局和國(guó)家安全局選為數(shù)據(jù)加密標(biāo)準(zhǔn)，并于1977年頒布使用。DES可以對(duì)任意長(zhǎng)度的數(shù)據(jù)加密，實(shí)際可用密鑰長(zhǎng)度56比特，加密時(shí)首先將數(shù)據(jù)分為64比特的數(shù)據(jù)塊，采用ECB、CBC、CFB等模式之一，每次將輸入的64比特明文變換為64比特密文。最終，將所有輸出數(shù)據(jù)塊合并，實(shí)現(xiàn)數(shù)據(jù)加密。DES的保密性僅取決于對(duì)密鑰的保密，而算法是公開(kāi)的。DES內(nèi)部的復(fù)雜結(jié)構(gòu)是至今沒(méi)有找到捷徑破譯方法的根本原因。3. 公開(kāi)密鑰密碼體制公開(kāi)密鑰密碼體制最主要的特點(diǎn)就是加密和解密使用不同的密鑰，每個(gè)用戶保存著一對(duì)密鑰公開(kāi)密鑰PK和秘密密鑰SK，因此，這種體制又稱為雙鑰或非對(duì)稱密鑰密碼體制。在公鑰加密算法下，公鑰是公開(kāi)的，任何人可以用公鑰加密信息，再將密文發(fā)送給私鑰擁有者；私鑰是保密的，用于解密其接收的公鑰加密過(guò)的信息。典型的公鑰加密算法如RSA，是目前使用比較廣泛的加密算法。在互聯(lián)網(wǎng)上的數(shù)據(jù)安全傳輸，如Netscape Navigator 和 Microsoft Internet Explorer都使用了該算法。RSA算法建立在大數(shù)因子分解的復(fù)雜性上。RSA的保密性在于大數(shù)的分解難度上，如果大數(shù)分解成功，則RSA也就無(wú)保密性可言了。 2.3 數(shù)字簽名 以往的書(shū)信或文件是根據(jù)親筆簽名或印章來(lái)證明其真實(shí)性的。在計(jì)算機(jī)網(wǎng)絡(luò)中傳送的報(bào)文則是由數(shù)字簽名來(lái)證明其真實(shí)性。數(shù)字簽名的特點(diǎn)有：l 接收者能夠核實(shí)發(fā)送者對(duì)報(bào)文的簽名l 發(fā)送者事后不能抵賴對(duì)報(bào)文的簽名l 接收者不能偽造對(duì)報(bào)文的簽名一般采用公開(kāi)密鑰算法實(shí)現(xiàn)數(shù)字簽名。2.4 PGP加密系統(tǒng) PGP是一種可以為普通電子郵件用戶提供加密、解密方案的安全系統(tǒng)。在PGP系統(tǒng)中，使用IDEA（分組長(zhǎng)度128bit）、RSA（用于數(shù)字簽名、密鑰管理）、MD5（用于數(shù)據(jù)壓縮）算法，它不但可以對(duì)你的郵件保密以防止非授權(quán)者閱讀，還能對(duì)你的郵件加以數(shù)字簽名從而使收信人確信郵件是由你發(fā)出。3安全網(wǎng)絡(luò)應(yīng)用的一個(gè)實(shí)例3.1 Microsoft Outlook Express Microsoft公司的Outlook Express是目前功能較完美、使用較方便的一個(gè)電子郵件管理軟件，其中所提供的安全特性就支持前述的加密與數(shù)字簽名，使用戶可以在Internet上發(fā)送和接收安全的電子郵件。Outlook Express的主要特點(diǎn)有：l 管理多個(gè)郵件和新聞帳號(hào)l 在服務(wù)器上保存郵件以便從多臺(tái)計(jì)算機(jī)上查看l 使用通訊簿存儲(chǔ)和檢索電子郵件地址l 在郵件中添加個(gè)人簽名或信紙l 發(fā)送和接收安全郵件l 查找感興趣的新聞組 Outlook Express 和 S/MIME 版本 2 的規(guī)格兼容。Outlook Express 支持以下的加密運(yùn)算法則：RC2 (40 位和 128 位)，DES (56 位) 和 3DES (168 位)。RC2 40 加密運(yùn)算法則只能用于非美國(guó)或加拿大地區(qū)的 Outlook Express 版本。Outlook Express 可以解密 3DES (168 位) 和 RC2 (64 位) 的加密郵件，但無(wú)法發(fā)送使用這些運(yùn)算法則的郵件。當(dāng)簽名郵件時(shí)，Outlook Express 以 SHA-1 作為散列算法。密鑰位的長(zhǎng)度根據(jù)獲得證書(shū)的不同發(fā)行機(jī)構(gòu)而不同。3.2 使用數(shù)字標(biāo)識(shí)要使用Outlook Express中的安全電子郵件，首先需要數(shù)字標(biāo)識(shí)。數(shù)字標(biāo)識(shí)(也叫證書(shū))提供了一種在Internet上驗(yàn)證身份的方式。數(shù)字標(biāo)識(shí)給電子郵件簽名，這樣真正的收件人可確保該郵件確實(shí)是由發(fā)信者發(fā)來(lái)的并且沒(méi)有受損。數(shù)字標(biāo)識(shí)與 S/MIME 規(guī)范共同用于確保電子郵件的安全。 數(shù)字標(biāo)識(shí)由“公用密鑰”、“私人密鑰”和“數(shù)字簽名”三部分組成。當(dāng)在郵件添加數(shù)字簽名時(shí)，就會(huì)在郵件中加入數(shù)字簽名和公用密鑰。數(shù)字簽名和公用密鑰統(tǒng)稱為“證書(shū)”。 收件人可以使用發(fā)件人的數(shù)字簽名來(lái)驗(yàn)證發(fā)件人的身份。在開(kāi)始發(fā)送帶有數(shù)字簽名的郵件之前，必須獲得數(shù)字標(biāo)識(shí)并設(shè)置的郵件帳號(hào)以使用它。發(fā)件人的通訊簿中必須包含每位收件人的數(shù)字標(biāo)識(shí)。數(shù)字標(biāo)識(shí)由獨(dú)立的授權(quán)機(jī)構(gòu)發(fā)放。在向授權(quán)機(jī)構(gòu)的 Web 站點(diǎn)申請(qǐng)數(shù)字標(biāo)識(shí)時(shí)，授權(quán)機(jī)構(gòu)在發(fā)放標(biāo)識(shí)之前有一個(gè)確認(rèn)身份的過(guò)程。數(shù)字標(biāo)識(shí)有不同的類別，不同類別提供不同的信用級(jí)別。有多種途徑可以獲得其他用戶的數(shù)字標(biāo)識(shí)：讓他們給您發(fā)送帶數(shù)字簽名的郵件或搜索授權(quán)機(jī)構(gòu) Web 站點(diǎn)上的數(shù)據(jù)庫(kù)。另外，部分目錄服務(wù)也將數(shù)字標(biāo)識(shí)與其他屬性一同列出，可在其中進(jìn)行搜索。 3.3 發(fā)送安全郵件由于越來(lái)越多的人通過(guò)電子郵件發(fā)送機(jī)密信息，因此確保電子郵件中發(fā)送的文檔不是偽造的變得日趨重要。同時(shí)保證所發(fā)送的郵件不被除收件人以外的其他人截取和偷閱也同樣重要。在發(fā)送簽名郵件之前，必須使用要用的電子郵件帳號(hào)的數(shù)字標(biāo)識(shí)。為此，單擊 “工具”菜單并單擊“帳號(hào)”， 選擇想使用標(biāo)識(shí)的帳號(hào)，單擊“屬性”，然后單擊“安全”選項(xiàng)卡。檢查對(duì)話框“發(fā)送安全郵件時(shí)使用數(shù)字標(biāo)識(shí)”， 然后單擊“數(shù)字標(biāo)識(shí)”，選擇與該帳號(hào)有關(guān)的數(shù)字標(biāo)識(shí)。Outlook Express 中的安全電子郵件通過(guò)使用數(shù)字簽名和加密對(duì) Internet 通訊提供保護(hù)。使用數(shù)字簽名，您可以在所發(fā)電子郵件上簽署獨(dú)特的標(biāo)識(shí)，這樣接收方就可以確認(rèn)您是郵件的發(fā)送者，并且郵件在傳送過(guò)程中未被篡改。對(duì)所發(fā)郵件進(jìn)行加密有助于確保只有預(yù)定接受人員才能在傳送過(guò)程中讀取該郵件。因?yàn)?Outlook Express 使用標(biāo)準(zhǔn) S/MIME ，所以其他人可用支持該技術(shù)的程序閱讀您所撰寫(xiě)的安全電子郵件。同樣，您也可用支持S/MIME 技術(shù)的電子郵件程序閱讀他人撰寫(xiě)的郵件。如果接收到有問(wèn)題的安全郵件，例如郵件已被篡改或發(fā)件人的數(shù)字標(biāo)識(shí)已過(guò)期，則在被允許閱讀郵件內(nèi)容前，您將會(huì)看到一條安全警告，它詳細(xì)說(shuō)明了問(wèn)題所在。根據(jù)警告中的信息，您可以決定是否查看郵件。 4結(jié)語(yǔ)本文簡(jiǎn)略說(shuō)明了網(wǎng)絡(luò)的安全性問(wèn)題，并介紹了目前Internet上信息安全的主要手段。事實(shí)上，網(wǎng)絡(luò)安全是一個(gè)綜合性的課題，需要各個(gè)方面的努