計算機網絡第10章課件

1、第 10 章 網絡安全產生的原因：（1）電磁輻射與搭線竊聽（2）盜用 （3）偷竊 （4）硬件故障 （5）超負荷 （6）火災及自然災害 2. 系統(tǒng)安全系統(tǒng)安全是指主機操作系統(tǒng)本身的安全，如系統(tǒng)中用戶賬號和口令設置、文件和目錄存取權限設置、系統(tǒng)安全管理設置、服務程序使用管理等。第 10 章 網絡安全（1）系統(tǒng)本身安全性不足 （2）未授權的存取 （3）越權使用 （4）保證文件系統(tǒng)的完整性 3. 信息安全信息安全是指保障信息不會被非法閱讀、修改和泄露。主要包括軟件安全和數(shù)據安全。對信息安全的威脅：信息泄漏和信息破壞。信息泄漏指由于偶然或人為因素將一些重要信息為別人所獲，造成信息泄密。信息破壞則可能由于

2、偶然事故和人為因素故意破壞信息的正確性、完整性和可用性第 10 章 網絡安全10.1.2 網絡安全的概念計算機網絡安全是指網絡系統(tǒng)中用戶共享的軟、硬件等各種資源的安全，防止各種資源不受到有意和無意的各種破壞，不被非法侵用等。10.1.3 網絡安全面臨的主要威脅計算機網絡系統(tǒng)的安全威脅來自多方面，可以分為被動攻擊和主動攻擊兩類。被動攻擊：不修改信息內容，如偷聽、監(jiān)視、非法查詢、非法調用信息等；主動攻擊：破壞數(shù)據的完整性，刪除、冒充合法數(shù)據或制造假的數(shù)據進行欺騙，甚至干擾整個系統(tǒng)的正常運行。一般認為，黑客攻擊、計算機病毒和拒絕服務攻擊三個方面是計算機網絡系統(tǒng)受到的主要威脅。第 10 章 網絡安全1

3、. 黑客攻擊是指黑客非法進入網絡并非法使用網絡資源。例如：通過網絡監(jiān)聽獲取網絡用戶的賬號和密碼；非法獲取網絡傳輸?shù)臄?shù)據；通過隱蔽通道進行非法活動；采用匿名用戶訪問進行攻擊；突破防火墻等。（1）非授權訪問 攻擊者或非法用戶通過避開系統(tǒng)訪問控制系統(tǒng)，對網絡設備及資源進行非正常使用，獲取保密信息。1）假冒用戶2）假冒主機 IP盜用 IP詐騙（2）對信息完整性的攻擊第 10 章 網絡安全攻擊者通過改變網絡中信息的流向或次序，修改或重發(fā)甚至刪除某些重要信息，使被攻擊者受騙，做出對攻擊者有意的響應，或惡意增添大量無用的信息，干擾合法用戶的正常使用。2. 計算機病毒計算機病毒是一種能將自己復制到別的程序中的

4、程序，它會影響計算機的能力，使計算機不能正常工作。計算機病毒侵入網絡，對網絡資源進行破壞，使網絡不能正常工作，甚至造成整個網絡的癱瘓。 3. 拒絕服務攻擊通過對網上的服務實體進行連續(xù)干擾，或使其忙于執(zhí)行非服務性操作，短時間內大量消耗內存、CPU或硬盤資源，使系統(tǒng)繁忙以致癱瘓，無法為正常用戶提供服務，稱為拒絕服務攻擊。有時，入侵者會從不同的地點聯(lián)合發(fā)動攻擊，造成服務器拒絕正常服務，這樣的攻擊稱為分布式拒絕服務攻擊。第 10 章 網絡安全10.1.4 網絡系統(tǒng)的安全漏洞互聯(lián)網實現(xiàn)資源共享的背后，有很多技術上的漏洞。許多提供使用靈活性的應用軟件變成了入侵者的工具。一些網絡登錄服務，如Telnet，在

5、向用戶提供了很大的使用自由和權限的同時，也帶來很大的安全問題，為此，需要有復雜的認證方式和防火墻以限制其權限和范圍。網絡文件系統(tǒng)NFS、文件傳輸協(xié)議FTP等簡單靈活的應用也因信息安全問題而在使用時受到限制。網絡上明文傳輸?shù)姆奖阈?，同時也為竊聽提供了方便。網絡系統(tǒng)的安全漏洞大致可以分為3個方面：1. 網絡漏洞包括網絡傳輸時對協(xié)議的信任以及網絡傳輸?shù)穆┒?，比如IP欺騙和信息腐蝕（篡改網絡上傳播的信息）就是利用網絡傳輸時對IP和DNS的信任。第 10 章 網絡安全嗅包器（sniff）是長期駐留在網絡上的一種程序，利用網絡信息明文傳送的弱點，可以監(jiān)視記錄各種信息包。由于TCP/IP對所傳送的信息不進行

6、數(shù)據加密，黑客只要在用戶的IP包經過的一條路徑上安裝嗅包器程序就可以竊取用戶的口令。2. 服務器漏洞服務進程bug（錯誤）和配置錯誤，這些漏洞常被用來獲取對系統(tǒng)的訪問權，任何對外提供服務的主機都有可能被攻擊。在校園網中存在著許多虛弱的口令，長期使用而不更改，甚至有些系統(tǒng)沒有口令，這對網絡系統(tǒng)安全產生了嚴重的威脅。其他漏洞：訪問權限不嚴格；網絡主機之間、甚至超級管理員之間存在著過度的信任；防火墻本身技術的漏洞等。第 10 章 網絡安全3. 操作系統(tǒng)漏洞操作系統(tǒng)可能存在安全漏洞，著名的Internet蠕蟲事件就是由UNIX的安全漏洞引發(fā)的。此外，在網絡管理、人員管理等方面也可能存在一些漏洞，也給不

7、法分子以可乘之機。第 10 章 網絡安全10.2 網絡安全策略10.2.1 網絡安全的內容與要求隨著網絡技術和應用的迅速發(fā)展，人們對系統(tǒng)安全也提出了新的要求。主要有以下幾個方面：1. 保密性保密性包含兩點：(1)保證計算機及網絡系統(tǒng)的硬件、軟件和數(shù)據只為合法用戶服務，可以采用專用的加密線路實現(xiàn)。(2)由于無法絕對防止非法用戶截取網絡上的數(shù)據，因此必須采用數(shù)據加密技術以確保數(shù)據本身的保密性。2. 完整性完整性是指應確保信息在傳遞過程中的一致性，即收到的肯定是發(fā)出的。第 10 章 網絡安全3. 可用性 在提供信息安全的同時，不能降低系統(tǒng)可用性。 4. 身份認證身份認證的目的是為了證實用戶身份是否合

8、法、是否有權使用信息資源。 5. 不可抵賴性不可抵賴性或稱不可否認性。通過記錄參與網絡通信的雙方的身份認證、交易過程和通信過程等，使任一方無法否認其過去所參與的活動。 6. 安全協(xié)議的設計協(xié)議安全性的保證通常有兩種方法：用形式化方法來證明和用經驗來分析協(xié)議的安全性。 第 10 章 網絡安全7. 存取控制存取控制也稱為訪問控制，即對接入網絡的權限加以控制，并規(guī)定每個用戶的接入權限。 10.2.2 網絡安全策略1. 網絡安全策略的一般性原則（1）綜合分析網絡風險（2）系統(tǒng)性原則 （3）易操作性原則（4）靈活性原則（5）技術與制度第 10 章 網絡安全2. 制定網絡安全策略的方法在制定網絡安全策略時

9、有兩種不同的邏輯方式：（1）凡是沒有明確表示允許的就要被禁止；（2）凡是沒有明確表示禁止的就要被允許。為了網絡的安全與管理，在網絡安全策略上往往采用第一種思想方法，明確地限定用戶的訪問權限與能夠使用的服務。這與限定用戶在網絡訪問的“最小權限”的原則相符合，即僅給予用戶能完成其任務所需要的最小訪問權限和可以使用的服務類型，以方便網絡的管理。3 網絡安全策略的層次結構第 10 章 網絡安全不可信外網防火墻主機系統(tǒng)物理安全、操作系統(tǒng)內核安全、系統(tǒng)服務安全、應用服務安全和文件系統(tǒng)安全人員安全管理系統(tǒng)安全審計、入侵檢測和應急處理系統(tǒng)備份第 10 章 網絡安全10.3 網絡安全措施網絡的主要安全措施包括：

10、物理訪問控制、邏輯訪問控制、組織控制、人員控制、操作控制、應用程序開發(fā)控制、服務控制、工作站控制、數(shù)據傳輸保護等。1. 網絡服務器的安全措施（1）口令管理 （2）用戶權限 （3）文件/目錄的訪問控制（4）系統(tǒng)配置第 10 章 網絡安全2. 網絡通信安全措施（1）建立物理安全的傳輸介質在網絡中使用光纖傳送數(shù)據可以防止信息被竊取，因為任何對光纖的直接插入都可以被檢測出來，而且因為沒有電磁輻射而不能通過電磁感應竊取數(shù)據。（2）對傳輸數(shù)據進行加密保密數(shù)據在進行數(shù)據通信時應加密，包括鏈路加密和端到端加密。對傳輸數(shù)據進行加密的算法，例如RSA公用密鑰算法。加密文件和公用密鑰一起構成“數(shù)據信封”，只有接收方

11、的專用密鑰才能打開。第 10 章 網絡安全3. 設置防火墻防火墻是互聯(lián)網絡上的首要安全技術。防火墻在開放與封閉的界面上構造了一個保護層，以防止不可預料的、潛在的破壞侵入網絡，使得網絡的安全性得到很好的保證。設置防火墻是目前互聯(lián)網防范非法進入的有效的方法。在網絡的邊界設置防火墻，還可減輕網絡中其他主機安全防范的負擔。雖然僅靠防火墻無法保證網絡完全不受外部非法侵入，但它可以明顯起到保護隔離作用。 4. 撥號網絡安全管理撥號網絡的用戶存在著不確定性和廣泛性的特點，因此，撥號功能的加入會影響并降低網絡的安全性?？梢酝ㄟ^以下措施進行網絡安全性管理：（1）確認授權用戶的身份可在路由器或登錄服務器上采用用戶

12、及口令驗證。第 10 章 網絡安全（2）反向撥號采用反向撥號等方法來檢驗用戶的真實身份。5. 安全審計審計是網絡安全的一項重要內容，應該在網絡服務器中為網絡系統(tǒng)中的各種服務項目設置審計日志。經常整理日志的內容可以發(fā)現(xiàn)異常，這是防范網絡被非法侵入的基本手段之一。要根據網絡的規(guī)模和安全的需要來確定審計日志的檢查方式、檢查時間等。在檢查中要特別注意那些違反安全性和一致性的內容，例如不成功的登錄、未授權的訪問或操作、網絡掛起、長期不登錄的用戶、具有相同的用戶名、用戶密碼的用戶和脫離連接及其他規(guī)定的動作等。第 10 章 網絡安全6. 檢查系統(tǒng)進程經常不定期地檢查系統(tǒng)進程，能及時發(fā)現(xiàn)服務失效的情況，而且還

13、有助于發(fā)現(xiàn)攻擊者設置的“特洛依木馬”等。7. 物理設備安全與人員安全措施物理安全性包括機房的安全、網絡設備（包括服務器、工作站、通信線路、路由器、網橋、磁盤、打印機等）的安全性以及防火、防水、防盜、防雷等。網絡物理安全性除了在系統(tǒng)設計中需要考慮之外，還要在網絡管理制度中分析物理安全性可能出現(xiàn)的問題及相應的保護措施。要加強網絡管理人員的自身管理，限制特權用戶的人數(shù)，明確管理人員各自的職能和級別權限。第 10 章 網絡安全8. 設置陷阱和誘餌防范網絡非法侵入可分為主動方式和被動方式。在被動方式下，當系統(tǒng)安全管理員發(fā)現(xiàn)網絡安全遭到破壞時，應立即制止非法侵入活動并將入侵者驅逐出去，及時恢復網絡的正常工

14、作狀態(tài)，盡量減少網絡可能遭受的危害。當系統(tǒng)的安全防范能力較強時可采用主動方式：在保證網絡資源及各項網絡服務不受損害的基礎上，讓非法入侵者繼續(xù)活動，追蹤入侵者并檢測入侵者的來源、目的、非法訪問的網絡資源等，以取得可追究其責任的證據，減少今后的威脅。 第 10 章 網絡安全10.4 網絡防病毒技術10.4.1 計算機病毒及其危害1. 計算機病毒的概念計算機病毒是指進入計算機系統(tǒng)的一段程序或一組指令，它們能在計算機內反復地自我繁殖和擴散，危及計算機系統(tǒng)或網絡的正常工作，造成不良后果，最終使計算機系統(tǒng)或網絡發(fā)生故障乃至癱瘓。這種現(xiàn)象與自然界病毒在生物體內部繁殖、相互傳染、最終引起生物體致病的過程極為相

15、似，所以人們形象地稱之為“計算機病毒”。第 10 章 網絡安全最常見的病毒類型：（1）Boot區(qū)病毒 （2）感染文件的病毒 （3）多形體病毒 （4）隱含性病毒 （5）編碼病毒（6）蠕蟲病毒（7）特洛伊木馬病毒（8）定時炸彈（9）邏輯炸彈 （10）宏病毒第 10 章 網絡安全2. 計算機病毒對網絡的危害不斷發(fā)展的網絡使終端用戶變得越來越強大，給予了他們強大的通信能力。但同時也正是巨大的網絡使得計算機病毒的傳播更方便。計算機病毒對網絡的危害主要有以下幾方面：（l）計算機病毒通過“自我復制”傳染其他程序，并與正常程序爭奪網絡系統(tǒng)資源。（2）計算機病毒可破壞存儲器中的大量數(shù)據，致使網絡用戶的信息蒙受損

16、失。（3）在網絡環(huán)境下，病毒不僅侵害所使用的計算機系統(tǒng)，而且還可以通過網絡迅速傳染網絡上的其他計算機系統(tǒng)。 第 10 章 網絡安全10.4.2 網絡防病毒措施引起網絡病毒感染的主要原因是網絡用戶沒有遵守網絡使用制度，擅自使用沒有檢查的軟盤，擅自下載未經檢查的網絡內容。網絡病毒問題的解決，只能從采用先進的防病毒技術與制定嚴格的用戶使用網絡的管理制度兩方面入手。網絡防病毒措施重點在于預防病毒，避免病毒的侵襲。1. 采用先進的網絡防病毒軟件或防病毒卡網絡防病毒可以從兩方面入手：一是工作站，二是服務器。防病毒軟件或防病毒卡是預防病毒傳染的一種措施。2. 使用無盤工作站計算機病毒的主要傳染途徑：文件復制

17、；病毒己潛伏在計算機內存中，而且在病毒已經激活的情況下還運行或使用了一些安全措施薄弱的程序或數(shù)據。對沒有特殊要求的用戶要盡量使用無盤工作站，以減少工作站和外界（網絡以外）的交流。 第 10 章 網絡安全3. 合理地分配用戶訪問權限病毒的作用范圍在一定程度上與用戶對網絡的使用權限有關。用戶的權限越大，病毒的破壞范圍和破壞性也越大。網絡管理員及超級用戶在網絡上的權限最大，因此在上網前必須認真檢查本工作站內存及磁盤，在確認無病毒后再登錄入網。4. 合理組織網絡文件，做好網絡備份網絡上的文件可以分為三類：網絡系統(tǒng)文件、用戶使用的系統(tǒng)文件或應用程序、用戶的數(shù)據文件。若有條件，將這三類不同的文件分別放在不

18、同的卷上、不同的目錄中。網絡備份是減少病毒危害的有效方法，也是網絡管理的一項重要內容。 第 10 章 網絡安全10.4.3 病毒的清除（1）發(fā)現(xiàn)病毒后，立即通知系統(tǒng)管理員，通知所有用戶退網，關閉網絡服務器。（2）用干凈的、無病毒的系統(tǒng)盤啟動系統(tǒng)管理員的工作站；并清除該機上的病毒。（3）用干凈的、無病毒的系統(tǒng)盤啟動網絡服務器，并禁止其他用戶登錄。（4）清除網絡服務器上所有的病毒，恢復或刪除被感染文件。（5）重新安裝那些不能恢復的系統(tǒng)文件。（6）掃描并清除備份文件和所有可能染上病毒的存儲介質上的病毒。（7）確認病毒已徹底清除并進行備份后，才可以恢復網絡的正常工作。第 10 章 網絡安全10.5 數(shù)

19、據加密技術數(shù)據加密是為提高信息系統(tǒng)及數(shù)據的安全性和保密性、防止數(shù)據被外界破譯而采用的一種技術手段，也是網絡安全的重要技術。10.5.1 數(shù)據加密概述密碼技術分為加密和解密兩部分。加密是把需要加密的報文按照以密鑰為參數(shù)的函數(shù)進行轉換，產生密碼文件。解密是按照密鑰參數(shù)進行解密還原成原報文。利用密碼技術，在信源發(fā)出與進入通信信道之間進行加密，經過信道傳輸，到信宿接收時進行解密，以實現(xiàn)網絡保密通信。一般的數(shù)據加密與解密模型第 10 章 網絡安全明文XD解密算法E加密算法密鑰源安全信道明文X截獲侵入者篡改加密密鑰Ke解密密鑰Kd密文Y=EKe(X)第 10 章 網絡安全發(fā)送方，明文X使用加密算法E和加密

20、密鑰Ke得到密文Y=EKe（X）。接收方，利用解密算法D和解密密鑰Kd，解出明文X=DKd（Y）=DKd（EKe（X）。在傳送過程中可能會出現(xiàn)密文截取者，又稱入侵者。一般情況加密密鑰和解密密鑰可以是一樣的也可以是不一樣的。密鑰通常是由一個密鑰源提供。當密鑰需要向遠地傳送時，一定要通過另一個安全信道。密碼技術主要研究下述幾個問題（1）數(shù)據加密通過對信息重新組合使得只有接收方才能解碼還原信息。第 10 章 網絡安全（2）加密加密是把明文變換成密文的過程。（3）認證認證是指識別個人、網絡上的機器或機構的身份。（4）解密解密是把密文還原成明文的過程。（5）數(shù)字簽名數(shù)字簽名是將發(fā)送文件與特定的密鑰捆在一

21、起。（6）簽名識別簽名識別是數(shù)字簽名的逆過程，它證明簽名有效。第 10 章 網絡安全10.5.2 常規(guī)密鑰密碼體制1. 代換密碼法與轉換密碼法在早期的常規(guī)密鑰密碼體制中，常用的是代換密碼和轉換密碼。（1）代換密碼法 代換密碼法有兩種方法：單字母加密法和多字母加密法。 第 10 章 網絡安全(a)移位映射 (b)倒映射 (c)步長映射（步長為B） A B C D W X Y Z E F G H A B C D(a A B C D W X Y ZZ Y X W D C B A(b) A B C D W X Y Z C F I L Q T W E (c)第 10 章 網絡安全另一種方法是多字母加密方

22、法，密鑰是一個簡短且便于記憶的詞或短語。Vigenere密碼 第1行 A B C D E F G H I J K L M N O P Q R S T U V W X Y Z第2行 B C D E F G H I J K L M N O P Q R S T U V W X Y Z A第3行 C D E F G H I J K L M N O P Q R S T U V W X Y Z A B第24行 X Y Z A B C D E F G H I J K L M N O P Q R S T U V W第25行 Y Z A B C D E F G H I J K L M N O P Q R S T

23、 U V W X第26行 Z A B C D E F G H I J K L M N O P Q R S T U V W X Y第 10 章 網絡安全（2）轉換密碼法 不是對字母進行映射轉換，而是重新安排原文字的順序。設密鑰為GERMAN，明文： it can allow students to get close up views 對密鑰按字母在字母表中的順序由小到大編號，結果為 GERMAN326415按密鑰長度，把明文按順序排列，結果為itcanallowstudents togetc loseup views 第 10 章 網絡安全密鑰字母編號由小到大，把明文以此順序按列重新排列，就形

24、成了密文：nsttustldooiilutlvawneewatscpcoegse。 接收者按密鑰中的字母順序按列寫下按行讀出，即得明文。2. 數(shù)據加密標準DES數(shù)據加密標準DES（Data Encryption Standard）體制屬于常規(guī)密鑰密碼體制。它由IBM公司研制，于1977年被美國定為聯(lián)邦信息標準后，ISO曾將DES作為數(shù)據加密標準。DES是一種分組密碼。在加密前，先對整個的明文進行分組。每一組長為64位，然后對每一個64位二進制數(shù)據進行加密處理，產生一組64位密文數(shù)據。最后將各組密文串接起來，即得出整個密文。使用的密鑰為64位，實際密鑰長度為56位，有8位用于奇偶校驗，其加密算法

25、如圖。 第 10 章 網絡安全輸入明文gL1(32)L4(32)L2(32)L3(32)R1(32)R2(32)gR4(32)gR3(32)逆初始置換輸出Y(64)X(64)初始置換K（1）K（2）K（3）第 10 章 網絡安全10.5.3 公開密鑰密碼體制1. 公開密鑰密碼體制公開密鑰密碼體制是現(xiàn)代密碼學的重要發(fā)明和進展。公開密鑰密碼體制的產生主要是基于兩個方面的原因，一是由于常規(guī)密鑰密碼體制的密鑰分配問題，另一是由于對數(shù)字簽名的需求。公開密鑰算法的特點：（1）發(fā)送者用加密密鑰Ke對明文X加密后，接收者用解密密鑰Kd解密，就可恢復出明文，即DKd（EKe（X）=X 解密密鑰是接收者專用的秘密

26、密鑰，對其他人是保密的。此外，加密和解密的算法可以對調，即EKe（DKd（X）=X （2）加密密鑰是公開的，不能用來解密，DKe（EKe（X）X 第 10 章 網絡安全（3）在計算機上可以容易地產生成對的加密密鑰Ke和解密密鑰Kd。 （4）從已知的加密密鑰Ke不能推導出解密密鑰Kd，即從加密密鑰Ke到解密密鑰Kd是“計算上不可能的”。（5）加密和解密算法都是公開的。公開密鑰密碼體制如圖。 加密密鑰Ke密文Y=EKe(X)發(fā)送者接收者密鑰對產生源明文X明文XD解密算法E加密算法第 10 章 網絡安全2. RSA公開密鑰密碼體制公開密鑰密碼體制的典型代表是RSA（Rivets Shamir Adl

27、eman）算法，它是以三個發(fā)明者的名字組合來命名的。該算法出現(xiàn)于1978年，是第一個既能用于數(shù)據加密也能用于數(shù)字簽名的算法。RSA的安全性依賴于大數(shù)分解：如果公鑰和私鑰都是兩個大素數(shù)（大干100個十進制位）的函數(shù)，那么，從一個密鑰和密文推斷出明文的難度等同于分解兩個素數(shù)的積，在有限的時間里既使利用計算機也無法得到確切的結果。3. 公開密鑰密碼體制的優(yōu)點（1）密鑰分配簡單由于加密密鑰與解密密鑰不同，且不能由加密密鑰推導出解密密鑰，因此，加密密鑰可以公開發(fā)布，而解密密鑰則由用戶自己掌握。第 10 章 網絡安全（2）密鑰管理方便網絡中的每一成員只需保存自己的解密密鑰，n個成員只需產生n對密鑰，與其他

28、的密碼體制相比，密鑰保存量小。（3）既可保密又可完成數(shù)字簽名和數(shù)字鑒別發(fā)信人使用只有自己知道的密鑰進行簽名，收信人利用公開密鑰進行檢查，既方便又安全。第 10 章 網絡安全10.5.4 數(shù)字簽名在網上正式傳輸?shù)臅呕蛭募３Ｒ鶕H筆簽名或印章來證明真實性，數(shù)字簽名就是用來解決這類問題的技術。數(shù)字簽名必須保證以下三點：（1）接收者能夠核實發(fā)送者對報文的簽名。（2）發(fā)送者事后不能抵賴對報文的簽名。（3）接收者不能偽造對報文的簽名?，F(xiàn)在通常都采用公開密鑰算法來實現(xiàn)數(shù)字簽名。發(fā)送者A用其私有且保密的解密密鑰對報文X進行運算，將結果DKdA（X）傳送給接收者B。B用已知的A的公開加密密鑰KeA得出EK

29、eA（DKdA（X）=X。因為除A外沒有別人能具有A的解密密鑰KdA，所以除A外沒有別人能產生密文DKdA（X）。第 10 章 網絡安全接收者B發(fā)送者ADKdA(X)XXD用秘密密鑰進行簽名KdAE用公開密鑰核實簽名KeA第 10 章 網絡安全若采下圖方法，可同時實現(xiàn)保密通信和數(shù)字簽名。 DKdA(X)DKdA(X)EKeB(DKdA(X)A的私有密鑰KdAB的公開密鑰KeBB的私有密鑰KdBA的公開密鑰KeAXX第 10 章 網絡安全10.6 報文鑒別對數(shù)據加密可以保證信息不受到竊聽，使用報文鑒別（Message Authentication）可以保證數(shù)據完整性，防止數(shù)據在傳輸?shù)倪^程中受到篡

30、改或偽造。因此，報文鑒別的目的是接收方保證這個報文沒有被變動過。如果攻擊者修改了報文卻不知如何修改鑒別碼，接收方收到報文后計算的鑒別碼與收到的鑒別碼不同，于是可以判定報文的內容受到了破壞。報文鑒別在身份認證中占有非常重要的地位，是認證系統(tǒng)的一個重要環(huán)節(jié)，在金融商業(yè)系統(tǒng)中有著廣泛的應用。 第 10 章 網絡安全10.7 IPsec協(xié)議以IPv4為代表的TCP/IP協(xié)議簇的安全脆弱性：（1）IP協(xié)議沒有為通信提供良好的數(shù)據源認證機制。（2）IP協(xié)議沒有為數(shù)據提供強的完整性保護機制。（3）IP協(xié)議沒有為數(shù)據提供任何形式的機密性保護。（4）協(xié)議本身的設計存在一些細節(jié)上的缺陷和實現(xiàn)上的安全漏洞，使各種安

31、全攻擊有機可乘。IPSec是為IP層以及上協(xié)議提供保護而設計的，它彌補TCP/IP協(xié)議簇的安全缺陷，是由IETF IPSec工作組于1998年制定的一組基于密碼學的安全的開放網絡安全協(xié)議，總稱IP安全（IP Security）體系結構，簡稱IPSec。 IPSec的設計目標：為IPv4和IPv6提供可互操作的、高質量的、基于密碼學的安全性。 IPSec提供兩種安全機制：認證和加密。 第 10 章 網絡安全10.7.l 認證機制1. AH協(xié)議結構AH協(xié)議為IP通信提供數(shù)據源認證、數(shù)據完整性和反重播保證，它能保護通信免受篡改，但不能防止竊聽，適合用于傳輸非機密數(shù)據。其工作原理是在每一個數(shù)據包上添加

32、一個身份驗證報頭。此報頭包含一個帶密鑰的hash散列（可以將其當作數(shù)字簽名，只是它不使用證書），此hash散列在整個數(shù)據包中計算，因此對數(shù)據的任何更改將致使散列無效，這樣就提供了完整性保護。在IP頭與第3層協(xié)議的頭之間插入AH協(xié)議頭。 第 10 章 網絡安全原始IP頭 IPSec AH 頭 原始第3層頭 數(shù)據 原始IP頭 原始第3層頭 數(shù)據第 10 章 網絡安全AH頭各字段的含義如下： Next Header： 1B，為IPSec頭之后的第3層協(xié)議頭的協(xié)議號。如果第3層協(xié)議是TCP，該字段值為6；如果是UDP，其值為17。Payload Length： 1B，為IPSec協(xié)議頭長度減2。協(xié)議頭

33、的固定部分是96位，即3個32位字。認證數(shù)據部分長度可變，但標準長度為96位，也是3個32位字。這樣總共是6個32位字。最后減去2，進入Payload Length字段的值將是4，即4個32位字。Reserved： 2B，目前沒有使用，用0填充。Security Parameters Index(SPI) ：4B，目的IP地址、IPSec協(xié)議及編號，為分組確定安全關聯(lián)（Security Association，SA）。Sequence Number Field：4B，是一個無符號單調增計數(shù)器，對于一個特定的SA，它實現(xiàn)反重傳服務。這些信息不被對等接收實體使用，但發(fā)送方必須包含這些信息。當建立一

34、個安全關聯(lián)SA時，該值被初始化為0。如果使用反重傳服務重傳，該值不能重復。 第 10 章 網絡安全Authentication Data ：認證數(shù)據，長度可變，但必須是32位的整數(shù)倍。包含分組的完整性校驗值 (Integrity CheckValue，ICV)。2. ESP協(xié)議結構該協(xié)議通過原始分組的加密來提供數(shù)據機密性。另外，ESP還提供數(shù)據源認證、完整性服務、反重傳服務以及一些有限制的流的機密性。當在IPSec流中需要數(shù)據機密性時，應該使用ESP協(xié)議。ESP協(xié)議的工作方式與AH不一樣。正如它的名字暗示的那樣，ESP使用一個頭和一個尾包圍原始數(shù)據報，從而封裝它的全部或部分內容。封裝過程 ：第

35、 10 章 網絡安全下圖給出了關于ESP組件的長度和位置的詳細內容。 原始IP頭 原始第3層頭 數(shù)據原始IP頭 IPSec ESP 頭 原始第3層頭 數(shù)據 IPSec ESP 尾第 10 章 網絡安全第 10 章 網絡安全ESP各字段的含義： Security Parameters Index(SPI)：安全參數(shù)索引，32比特，目的IP地址，IPSec協(xié)議以及編號，為分組確定一個SA。 Sequence Number Field： 4B，是一個無符號單調增計數(shù)器，為特定SA實現(xiàn)反重傳服務。這些信息不被接收對等實體使用，但發(fā)送方必須包含它。SA建立時，該值初始化為0。使用反重傳服務，該值不允許重

36、復。 Payload Data：長度可變，原始IP數(shù)據報，或者數(shù)據報的一部分。它是否是完整的數(shù)據報依賴于使用的模式。當使用隧道模式時，負載包括完整的IP數(shù)據報。在傳輸模式中，僅包含原始IP數(shù)據報的上層部分。負載的長度是字節(jié)的整數(shù)倍。第 10 章 網絡安全 Padding： 0-255比特，Pad Length以及Next Header字段必須在4個字節(jié) 的右邊界對齊，如上圖所示。如果負載不能實現(xiàn)右對齊，必須添加填充字段以確保右對齊。另外，可以添加填充字段來支持加密算法的多塊尺寸請求。還可以添加填充字段來隱藏Payload的真正長度。Pad Length： 1B，為前面填充字段中的填充字節(jié)數(shù)。

37、Next Header： 1B，為IPSec頭之后的第3層協(xié)議頭的協(xié)議號。如果第3層協(xié)議是TCP，該字段值為6； 如果是UDP，該值為17。 Authentication Data：長度可變，用于分組的完整性校驗值ICV。該字段必須是32位的整數(shù)倍，并包含填充位填充增加的下32位。當在SA中指定認證時，該字段是可選的。 第 10 章 網絡安全3.AH和ESP的操作模式前面討論了AH和ESP協(xié)議，展示了將IP數(shù)據報的IP協(xié)議頭調整至數(shù)據報的左邊，插入AH或ESP協(xié)議頭，以及將數(shù)據報的上層部分附加在那些后面。這是對IPSec一種操作模式的典型描述，這種操作模式被稱為傳輸模式。IPSec的另外一種操

38、作模式就是隧道模式。這兩種模式為IPSec提供進一步的認證或加密支持。（1）傳輸模式 傳輸模式主要用于主機或充當主機的設備之間的端對端連接。下圖給出了傳輸模式AH IPSec連接，在第2層與第3層協(xié)議頭之間插入了AH。認證可以保護原始IP協(xié)議頭中除可變字段以外的其余部分。 第 10 章 網絡安全下圖給出了ESP傳輸模式。同樣，在IP協(xié)議頭和數(shù)據報之間插入ESP協(xié)議頭。ESP協(xié)議尾及ICV附加在數(shù)據報末端。如果需要加密(在AH中無效)，僅對原始數(shù)據和新的ESP協(xié)議尾進行加密。認證從ESP協(xié)議頭到ESP協(xié)議尾。 第 10 章 網絡安全AH傳輸模式不支持NAT。如果需要在AH中使用NAT，必須確保N

39、AT出現(xiàn)在IPSec之前。ESP傳輸模式中不存在這個問題 。（2）隧道模式 IPSec隧道模式用于兩個網關（比如路由器、防火墻以及集中器）之間。當一臺主機為了獲得對某個網關控制網絡的訪問而與其建立連接時，通常使用IPSec隧道模式。 第 10 章 網絡安全下圖給出了AH隧道模式。新的IP協(xié)議頭位于認證算法的保護之下，不支持NAT。 下圖中給出了ESP隧道模式。 第 10 章 網絡安全10.7.2 加密機制1. 安全關聯(lián)所謂安全關聯(lián)SA是指通信對等方之間為了給需要保護的數(shù)據流提供安全服務時而對某些要素的一種協(xié)定。如IPSec協(xié)議，協(xié)議的操作模式、密碼算法、密鑰、密鑰的生存周期等。一個安全關聯(lián)由三

40、個參數(shù)唯一指定：（1）參數(shù)索引SPI（2）IP目的地址（3）安全協(xié)議標識 第 10 章 網絡安全2. IKE協(xié)議用IPSec保護一個IP數(shù)據流之前，必須先建立一個安全關聯(lián)SA。SA可以手工或動態(tài)創(chuàng)建，當用戶數(shù)量不多，而且密鑰的更新頻率不高時，可以選擇手工方式。但當用戶較多，網絡規(guī)模較大時，就應該選擇自動方式。IKE就是IPSec規(guī)定的一種用于動態(tài)管理和維護SA的協(xié)議，它使用了兩個交換階段，定義了四種交換模式，允許使用四種認證方法。兩個交換階段：階段一用于建立IKE SA，階段二利用已建立的IKE SA為IPSec協(xié)商具體的一個或多個安全關聯(lián)，即建立IPSec SA。四種交換模式：主模式、野蠻模

41、式、快速模式和新群模式。四種認證方法：基于數(shù)字簽名的認證、基于公鑰加密的認證、基于修訂的公鑰加密的認證和基于預共享密鑰的認證。 第 10 章 網絡安全10.8 防火墻技術防火墻是從Intranet的角度來解決網絡的安全問題。目前，防火墻技術在網絡安全技術中最為引人矚目，它提供了對網絡路由的安全保護。10.8.l 防火墻的基本概念防火墻（Firewall）是一種形象的說法，其實它是一種由計算機硬件和軟件組成的一個或一組系統(tǒng)，用于增強對內部網絡的訪問控制。防火墻系統(tǒng)決定了哪些內部服務可以被外界訪問，外界的哪些人可以訪問內部的哪些服務，內部人員可以訪問哪些外部服務等。設立防火墻后，所有來自和去向外界

42、的信息都必須經過防火墻，接受防火墻的檢查。第 10 章 網絡安全第 10 章 網絡安全10.8.2 防火墻結構防火墻用來檢查所有通過內部網與外部網的分組，防火墻可以有以下兩部分組成：分組過濾路由器（packet filtering router）與應用網關（application gateway）。防火墻的基本功能：安全規(guī)定檢查、過濾網絡之間傳送的報文分組，以確定它們的合法性。這些功能一般是通過具有分組過濾功能的路由器來實現(xiàn)的。通常把這種路由器分為分組過濾路由器，也可以稱為篩選路由器（screening router）。第 10 章 網絡安全10.8.3 防火墻的類型包括三種類型：數(shù)據包過濾器

43、、應用層防火墻和線路層防火墻。1. 數(shù)據包過濾器數(shù)據包過濾器又稱包過濾防火墻，是眾多防火墻中最基本、最簡單、費用最低的一種。數(shù)據包過濾器對所接收的每個數(shù)據包做出轉發(fā)或丟棄決定。 過濾規(guī)則是數(shù)據包轉發(fā)或丟棄的依據，常以表格的形式出現(xiàn)，用來存放用于防火墻中的一系列安全規(guī)則，其中包括以某種次序排列的條件和動作。 數(shù)據包過濾器的最大優(yōu)點是對用戶透明，傳輸效率較高。但對黑客使用的是基于合法端口的惡意擁塞攻擊、內存覆蓋攻擊或病毒攻擊等高層次的攻擊方法，單純的包過濾手段就無法阻止。 第 10 章 網絡安全2. 應用級防火墻應用級防火墻不使用通用的過濾器，而是使用針對某個特定應用的過濾器。應用級防火墻通常是一

44、段專門的程序，如針對E-mail，DNS等，還可以進行相應的日志管理。一個應用級防火墻常常被稱作“堡壘主機”（Bastion Host），它是一個專門的系統(tǒng)，有特殊的裝備，能抵御攻擊。代理服務將通過防火墻的通信鏈路分為兩段：內部網絡的網絡鏈路到代理服務器；代理服務器到外部計算機的網絡鏈路。沒有直接連接內部網和外部網的網絡鏈路。 代理服務也由兩部分構成：服務器端程序和客戶端程序。 代理是一個專門為網絡安全設計的簡短程序，在堡壘主機上每個代理都是獨立的，與其它代理無關。 第 10 章 網絡安全3. 線路級防火墻線路級防火墻實際上是一種TCP連接的中繼服務。TCP連接的發(fā)起方并不直接與響應方建立連接，而是與一個作為中繼的線路級防火墻交互，再由它與響應方建立TCP連接，并在此過程中