tcpip協(xié)議 - 浙江工業(yè)大學(xué)12944

1、網(wǎng)絡(luò)安全2011年11月29日1上次課內(nèi)容復(fù)習(xí)2文件傳輸（FTP）FTP是什么？FTP是 Protocol的英文縮寫(xiě)，即“文件傳輸協(xié)議”。用于在計(jì)算機(jī)之間傳送文件把文件從本地主機(jī)傳送到遠(yuǎn)程主機(jī)稱為“上載”Upload，Put把文件從遠(yuǎn)程主機(jī)傳送到本地主機(jī)稱為“下載”Download，GetFTP可以傳輸各種類型的文件：文本文件（ASCII）、二進(jìn)制文件（Binary）；壓縮文件、非壓縮文件。登錄FTP服務(wù)器的用戶需要注冊(cè)才能登錄，但有的FTP服務(wù)器也允許匿名（Anonymous）登錄。3HTML語(yǔ)言 HTML：超文本標(biāo)記語(yǔ)言（Hypertext Markup Language）加入了許多被稱為

2、鏈接標(biāo)簽(tag)的特殊字符串的普通文本文件。從結(jié)構(gòu)上講，HTML文件由許多種元素(element)組成，這些元素用于組織文件的內(nèi)容和指導(dǎo)文件的輸出格式。絕大多數(shù)元素是“容器”，即它有起始標(biāo)記和結(jié)尾標(biāo)記。元素的起始標(biāo)記叫做起始鏈接標(biāo)簽(start tag)，元素結(jié)束標(biāo)記叫做結(jié)尾鏈接標(biāo)簽(end tag)，在起始鏈接標(biāo)簽和結(jié)尾鏈接標(biāo)簽中間的部分是元素體。4HTML框架 Header element body of Document 5網(wǎng)絡(luò)安全基本概念6網(wǎng)絡(luò)安全要解決的主要問(wèn)題網(wǎng)絡(luò)安全主要解決數(shù)據(jù)保密和認(rèn)證的問(wèn)題。數(shù)據(jù)保密就是采取復(fù)雜多樣的措施對(duì)數(shù)據(jù)加以保護(hù)，以防止數(shù)據(jù)被有意或無(wú)意地泄露給無(wú)關(guān)人員

3、。認(rèn)證分為信息認(rèn)證和用戶認(rèn)證兩個(gè)方面信息認(rèn)證是指信息從發(fā)送到接收整個(gè)通路中沒(méi)有被第三者修改和偽造，用戶認(rèn)證是指用戶雙方都能證實(shí)對(duì)方是這次通信的合法用戶。通常在一個(gè)完備的保密系統(tǒng)中既要求信息認(rèn)證，也要求用戶認(rèn)證。7網(wǎng)絡(luò)安全包括OSI-RM各層事實(shí)上，每一層都可以采取一定的措施來(lái)防止某些類型的網(wǎng)絡(luò)入侵事件，在一定程度上保障數(shù)據(jù)的安全。物理層可以在包容電纜的密封套中充入高壓的氖氣；鏈路層可以進(jìn)行所謂的鏈路加密，即將每個(gè)幀編碼后再發(fā)出，當(dāng)?shù)竭_(dá)另一端時(shí)再解碼恢復(fù)出來(lái)；網(wǎng)絡(luò)層可以使用防火墻技術(shù)過(guò)濾一部分有嫌疑的數(shù)據(jù)報(bào)；在傳輸層上甚至整個(gè)連接都可以被加密。8網(wǎng)絡(luò)安全定義 網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其

4、系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。 （1）運(yùn)行系統(tǒng)安全，即保證信息處理和傳輸系統(tǒng) 的安全。 （2）網(wǎng)絡(luò)上系統(tǒng)信息的安全。 （3）網(wǎng)絡(luò)上信息傳播的安全，即信息傳播后果的安全。 （4）網(wǎng)絡(luò)上信息內(nèi)容的安全，即我們討論的狹義的“信息安全”。9網(wǎng)絡(luò)安全應(yīng)具備四個(gè)特征保密性：信息不泄露給非授權(quán)的用戶、實(shí)體或過(guò)程，或供其利用的特性；完整性：數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變的特性，即信息在存儲(chǔ)或傳輸過(guò)程中保持不被修改、不被破壞和丟失的特性；可用性：可被授權(quán)實(shí)體訪問(wèn)并按需求使用的特性，即當(dāng)需要時(shí)應(yīng)能存取所需的信息，網(wǎng)絡(luò)環(huán)境下拒絕服務(wù)、破壞網(wǎng)絡(luò)

5、和有關(guān)系統(tǒng)的正常運(yùn)行等都屬于對(duì)可用性的攻擊；可控性：對(duì)信息的傳播及內(nèi)容具有控制能力。10主要的網(wǎng)絡(luò)安全的威脅（1）非授權(quán)訪問(wèn)（Unauthorized Access）：一個(gè)非授權(quán)的人的入侵。（2）信息泄露（Disclosure of Information）：造成將有價(jià)值的和高度機(jī)密的信息暴露給無(wú)權(quán)訪問(wèn)該信息的人的所有問(wèn)題。（3）拒絕服務(wù)（Denial of Service）：使得系統(tǒng)難以或不可能繼續(xù)執(zhí)行任務(wù)的所有問(wèn)題。 11計(jì)算機(jī)安全的分類根據(jù)中國(guó)國(guó)家計(jì)算機(jī)安全規(guī)范，計(jì)算機(jī)的安全大致可分為三類：1）實(shí)體安全。包括機(jī)房、線路、主機(jī)等；2）網(wǎng)絡(luò)安全。包括網(wǎng)絡(luò)的暢通、準(zhǔn)確以及網(wǎng)上信息的安全；3）應(yīng)

6、用安全。包括程序開(kāi)發(fā)運(yùn)行、I/O、數(shù)據(jù)庫(kù)等的安全。12安全威脅的常見(jiàn)現(xiàn)象非授權(quán)訪問(wèn)假冒合法用戶數(shù)據(jù)完整性受破壞病毒通信線路被竊聽(tīng)干擾系統(tǒng)的正常運(yùn)行，改變系統(tǒng)正常運(yùn)行的方向，以及延時(shí)系統(tǒng)的響應(yīng)時(shí)間13數(shù)據(jù)安全14密碼分析和密碼學(xué)P=Dk（Ek（P）破譯密碼的技術(shù)叫做密碼分析設(shè)計(jì)密碼和破譯密碼的技術(shù)統(tǒng)稱為密碼學(xué) 15密碼學(xué)的一條基本原則是：必須假定破譯者知道通用的加密方法，也就是說(shuō)加密算法E是公開(kāi)的?；炯用苣Ｐ停杭用芩惴ㄊ枪_(kāi)的和相對(duì)穩(wěn)定的，而作為參數(shù)的密鑰是保密的，并且是易于更換的。基本加密模型16XOR加密17 定義：替代密碼就用一組密文字母來(lái)代替一組明文字母以隱藏明文，但保持明文字母的位置

7、不變。傳統(tǒng)的加密方法：替代密碼18凱撒密碼最古老的地帶密碼凱撒密碼，它用D表示a，用E表示b，用F表示c，用C表示z，也就是說(shuō)密文字母相對(duì)明文字母左移了3位。更一般地，可以讓密文字母相對(duì)明文字母左移k位，這樣k就成了加密和解密的密鑰。缺點(diǎn)：容易破譯，因?yàn)樽疃嘀恍鑷L試25次（k=125）即可輕松破譯密碼。記法約定：用小寫(xiě)表示明文，用大寫(xiě)表示密文19替代密碼 使用一種符號(hào)來(lái)替代另一種，例如單字符密碼: 用一個(gè)字母來(lái)替換另一個(gè)明文: abcdefghijklmnopqrstuvwxyz密文: mnbvcxzasdfghjklpoiuytrewq明文: bob. i love you. alice密文

8、: nkn. s gktc wky. mgsbc例如：XOR是最簡(jiǎn)單和有效的加密方法?規(guī)則20換位密碼換位有時(shí)也稱為排列，它不對(duì)明文字母進(jìn)行變換，只是將明文字母的次序進(jìn)行重新排列。例： COMPUTER明文 pleaseexecutethelatestScheme14358726p1easeexecutethe密文PELHEHSCEUTMLCAEATEEXECDETTBSESA1atestschemeabcd21密鑰分發(fā)問(wèn)題秘密密鑰的一個(gè)弱點(diǎn)是解密密鑰必須和加密密鑰相同，這就產(chǎn)生了如何安全地分發(fā)密鑰的問(wèn)題。傳統(tǒng)上是由一個(gè)中心密鑰生成設(shè)備產(chǎn)生一個(gè)相同的密鑰對(duì)，并由人工信使將其傳送到各自的目的地。

9、對(duì)于一個(gè)擁有許多部門(mén)的組織來(lái)說(shuō)，這種分發(fā)方式是不能令人滿意的，尤其是出于安全方面的考慮需要經(jīng)常更換密鑰時(shí)更是如此。22公開(kāi)密鑰算法在公開(kāi)密鑰算法中，加密密鑰和解密密鑰是不同的，并且從加密密鑰不能得到解密密鑰。為此，加密算法E和解密算法D必須滿足以下的三個(gè)條件： D（E（P）=P； 從E導(dǎo)出D非常困難； 使用“選擇明文”攻擊不能攻破E。如果能夠滿足以上三個(gè)條件，則加密算法完全可以公開(kāi)。 23公開(kāi)密鑰算法的基本思想如果某個(gè)用戶希望接收秘密報(bào)文，他必須設(shè)計(jì)兩個(gè)算法：加密算法E和解密算法D，然后將加密算法放于任何一個(gè)公開(kāi)的文件中廣而告知，這也是公開(kāi)密鑰算法名稱的由來(lái)，他甚至也可以公開(kāi)他的解密方法，只要

10、他妥善保存解密密鑰即可。當(dāng)兩個(gè)完全陌生的用戶A和B希望進(jìn)行秘密通信時(shí)，各自可以從公開(kāi)的文件中查到對(duì)方的加密算法。若A需要將秘密報(bào)文發(fā)給B， 則A用B的加密算法EB對(duì)報(bào)文進(jìn)行加密，然后將密文發(fā)給B，B使用解密算法DB進(jìn)行解密，而除B以外的任何人都無(wú)法讀懂這個(gè)報(bào)文；當(dāng)B需要向A發(fā)送消息時(shí)，B使用A的加密算法EA對(duì)報(bào)文進(jìn)行加密，然后發(fā)給A，A利用DA進(jìn)行解密。24在這種算法中，每個(gè)用戶都使用兩個(gè)密鑰：加密密鑰是供其他人向他發(fā)送報(bào)文用的，這是公開(kāi)的；解密密鑰是用于對(duì)收到的密文進(jìn)行解密的，這是保密的。通常用公開(kāi)密鑰和私人密鑰分別稱呼公開(kāi)密鑰算法中的加密密鑰和解密密鑰，以同傳統(tǒng)密碼學(xué)中的秘密密鑰相區(qū)分。由

11、于私人密鑰只由用戶自己掌握，不需要分發(fā)給別人，也就不用擔(dān)心在傳輸?shù)倪^(guò)程中或被其他用戶泄密，因而是極其安全的。著名算法： RSA算法25公鑰私鑰體制26用戶認(rèn)證27用戶認(rèn)證概念定義：通信雙方在進(jìn)行重要的數(shù)據(jù)交換前，常常需要驗(yàn)證對(duì)方的身份，這種技術(shù)稱為用戶認(rèn)證。在實(shí)際的操作中，除了認(rèn)證對(duì)方的身份外，同時(shí)還要在雙方間建立一個(gè)秘密的會(huì)話密鑰，該會(huì)話密鑰用于對(duì)其后的會(huì)話進(jìn)行加密。每次連接都使用一個(gè)新的隨機(jī)選擇的密鑰28基于共享秘密密鑰的用戶認(rèn)證 假設(shè)在A和B之間有一個(gè)共享的秘密密鑰KAB 。某個(gè)時(shí)候A希望和B進(jìn)行通信，于是雙方采用如圖所示的過(guò)程進(jìn)行用戶認(rèn)證。使用共享秘密密鑰進(jìn)行用戶認(rèn)證29使用密鑰分發(fā)中

12、心的用戶認(rèn)證要求通信的雙方具有共享的秘密密鑰有時(shí)是做不到的，另外如果某個(gè)用戶要和n個(gè)用戶進(jìn)行通信，就需要有n個(gè)不同的密鑰，這給密鑰的管理也帶來(lái)很大的麻煩。解決的辦法是引進(jìn)一個(gè)密鑰分發(fā)中心（Key Distribution Center，KDC）。KDC是可以信賴的，并且每個(gè)用戶和KDC間有一個(gè)共享的秘密密鑰，用戶認(rèn)證和會(huì)話密鑰的管理都通過(guò)KDC來(lái)進(jìn)行。30KDC舉例如圖所示，A希望和B進(jìn)行通信 一個(gè)用KDC進(jìn)行用戶認(rèn)證的協(xié)議31使用公開(kāi)密鑰算法的用戶認(rèn)證協(xié)議 使用公開(kāi)密鑰進(jìn)行用戶認(rèn)證32數(shù)字簽名33數(shù)字簽名概念一個(gè)可以替代手跡簽名的系統(tǒng)必須滿足以下三個(gè)條件： 接收方通過(guò)文件中的簽名能認(rèn)證發(fā)送方

13、的身份； 發(fā)送方以后不能否認(rèn)發(fā)送過(guò)簽名文件； 接收方不可能偽造文件內(nèi)容。34使用秘密密鑰算法的數(shù)字簽名這種方式需要一個(gè)可以信賴的中央權(quán)威機(jī)構(gòu)（Centra1 Authority，以下簡(jiǎn)稱CA）的參與，每個(gè)用戶事先選擇好一個(gè)與CA共享的秘密密鑰并親自交到CA，以保證只有用戶和CA知道這個(gè)密鑰。除此以外，CA還有一個(gè)對(duì)所有用戶都保密的秘密密鑰KCA。35使用秘密密鑰算法的數(shù)字簽名當(dāng)A想向B發(fā)送一個(gè)簽名的報(bào)文P時(shí)，它向CA發(fā)出KA（B，RA，t，P），其中RA為報(bào)文的隨機(jī)編號(hào)，t為時(shí)間戳；CA將其解密后，重新組織成一個(gè)新的密文KB（A，RA，t，P，KCA（A，t，P）發(fā)給B，因?yàn)橹挥蠧A知道密鑰K

14、CA，因此其他任何人都無(wú)法產(chǎn)生和解開(kāi)密文KCA（A，t，P）；B用密鑰KB解開(kāi)密文后，首先將KCA（A，t，P）放在一個(gè)安全的地方，然后閱讀和執(zhí)行P。36驗(yàn)證當(dāng)過(guò)后A試圖否認(rèn)給B發(fā)過(guò)報(bào)文P時(shí)，B可以出示KCA（A，t，P）來(lái)證明A確實(shí)發(fā)過(guò)P，因?yàn)锽自己無(wú)法偽造出KCA（A，t，P），它是由CA發(fā)來(lái)的，而CA是可以信賴的，如果A沒(méi)有給CA發(fā)過(guò)P，CA就不會(huì)將P發(fā)給B，這只要用KCA對(duì)KCA（A，t，P）進(jìn)行解密，一切就可真相大白。為了避免重復(fù)攻擊，協(xié)議中使用了隨機(jī)報(bào)文編號(hào)RA和時(shí)間戳t。B能記住最近收到的所有報(bào)文編號(hào)，如果RA和其中的某個(gè)編號(hào)相同，則P就被當(dāng)成是一個(gè)復(fù)制品而丟棄，另外B也根據(jù)時(shí)間

15、戳t丟棄舊報(bào)文，以防止攻擊者經(jīng)過(guò)很長(zhǎng)一段時(shí)間后，再用舊報(bào)文來(lái)重復(fù)攻擊。37加密技術(shù)應(yīng)用案例38防火墻39防火墻技術(shù)防火墻（Firewall）是在兩個(gè)網(wǎng)絡(luò)之間執(zhí)行訪問(wèn)控制策略的硬件或軟件系統(tǒng)，目的是保護(hù)網(wǎng)絡(luò)不被他人侵?jǐn)_。本質(zhì)上，它遵循的是一種數(shù)據(jù)進(jìn)行過(guò)濾的網(wǎng)絡(luò)通信安全機(jī)制，只允許授權(quán)的通信，而禁止非授權(quán)的通信。通常，防火墻就是位于內(nèi)部網(wǎng)或Web站點(diǎn)與因特網(wǎng)之間的一臺(tái)路由器或計(jì)算機(jī)。40通常，部署防火墻的理由包括：防止入侵者干擾內(nèi)部網(wǎng)絡(luò)的正常運(yùn)行；防止入侵者刪除或修改存儲(chǔ)再內(nèi)部網(wǎng)絡(luò)中的信息；防止入侵者偷竊內(nèi)部的秘密信息。防火墻應(yīng)該有以下功能：所有進(jìn)出網(wǎng)絡(luò)的通信流都應(yīng)該通過(guò)防火墻。所有穿過(guò)防火墻的通

16、信流都必須有安全策略和計(jì)劃的確認(rèn)和授權(quán)。理論上說(shuō)，防火墻是穿不透的 。41內(nèi)部網(wǎng)需要防范的三種攻擊 間諜、試圖偷走敏感信息的黑客、入侵者和闖入者。盜竊，盜竊對(duì)象包括數(shù)據(jù)、Web表格、磁盤(pán)空間和CPU資源等。破壞系統(tǒng)：通過(guò)路由器或主機(jī)服務(wù)器蓄意破壞文件系統(tǒng)或阻止授權(quán)用戶訪問(wèn)內(nèi)部網(wǎng)（外部網(wǎng)）和服務(wù)器。42防火墻在因特網(wǎng)與內(nèi)部網(wǎng)中的位置 43 防火墻類型 1）從軟、硬件形式上分為：軟件防火墻和硬件防火墻以及芯片級(jí)防火墻。2）從防火墻技術(shù)分為：“包過(guò)濾型”、“狀態(tài)檢測(cè)型”和“應(yīng)用代理型”三大類。3）從防火墻結(jié)構(gòu)分為：?jiǎn)我恢鳈C(jī)防火墻、路由器集成式防火墻和分布式防火墻三種。4）按防火墻的應(yīng)用部署位置分為：

17、 邊界防火墻、個(gè)人防火墻和混合防火墻三大類。5）按防火墻性能分為：百兆級(jí)防火墻和千兆級(jí)防火墻兩類。44包（分組）過(guò)濾型防火墻 包過(guò)濾（Packet Filtering）是防火墻最基本的實(shí)現(xiàn)形式，它控制哪些數(shù)據(jù)包可以進(jìn)出網(wǎng)絡(luò)而哪些數(shù)據(jù)包應(yīng)被網(wǎng)絡(luò)拒絕。包過(guò)濾防火墻通常是放置在因特網(wǎng)與內(nèi)部網(wǎng)絡(luò)之間的一個(gè)具備包過(guò)濾功能的簡(jiǎn)單路由器，這是因?yàn)榘^(guò)濾是路由器的固有屬性。45包過(guò)濾可依據(jù)以下三類條件允許或阻止數(shù)據(jù)包通過(guò)路由器：包的源地址及源端口；包的目的地址及目的端口；包的傳送協(xié)議，如FTP、SMTP、rlogin等。46包過(guò)濾的優(yōu)點(diǎn)簡(jiǎn)單、易于實(shí)現(xiàn)、對(duì)用戶透明、路由器免費(fèi)提供此功能。僅用一個(gè)放置在內(nèi)部網(wǎng)與因

18、特網(wǎng)邊界上的包過(guò)濾路由器就可保護(hù)整個(gè)內(nèi)部網(wǎng)絡(luò)。47包過(guò)濾的缺點(diǎn)編制邏輯上嚴(yán)密無(wú)漏洞的包過(guò)濾規(guī)則比較困難，對(duì)編制好的規(guī)則進(jìn)行測(cè)試維護(hù)也較麻煩。維護(hù)復(fù)雜的包過(guò)濾規(guī)則也是一件很麻煩的事情包過(guò)濾規(guī)則的判別會(huì)降低路由器的轉(zhuǎn)發(fā)速度對(duì)包中的應(yīng)用數(shù)據(jù)無(wú)法過(guò)濾 它總是假定包頭部信息是合法有效的。以上這些缺點(diǎn)使得包過(guò)濾技術(shù)通常不單獨(dú)使用，而是作為其他安全技術(shù)的一種補(bǔ)充。48包過(guò)濾規(guī)則在配置包過(guò)濾路由器時(shí)，首先要確定哪些服務(wù)允許通過(guò)而哪些服務(wù)應(yīng)被拒絕，并將這些規(guī)定翻譯成有關(guān)的包過(guò)濾規(guī)則（在路由器中，包過(guò)濾規(guī)則又被稱為訪問(wèn)控制表（Access List）。49包過(guò)濾處理流程 50包過(guò)濾規(guī)則設(shè)計(jì)示例假設(shè)網(wǎng)絡(luò)策略安全規(guī)則

19、確定：從外部主機(jī)發(fā)來(lái)的因特網(wǎng)郵件由特定網(wǎng)關(guān)“Mail-GW”接收，并且要拒絕從不信任的主機(jī)“CREE-PHOST”發(fā)來(lái)的數(shù)據(jù)流。在這個(gè)例子中，SMTP使用的網(wǎng)絡(luò)安全策略必須翻譯成包過(guò)濾規(guī)則。為便于理解，把網(wǎng)絡(luò)安全規(guī)則翻譯成下列中文形式：過(guò)濾器規(guī)則1：不相信從CREE-PHOST來(lái)的連接。過(guò)濾器規(guī)則2：允許與郵件網(wǎng)關(guān)Mail-GW的連接。51以上規(guī)則被編成如下表的形式。其中星號(hào)（*）表明它可以匹配該列的任何值。這些規(guī)則應(yīng)用的順序與它們?cè)诒碇械捻樞蛳嗤?。如果一個(gè)包不與任何規(guī)則匹配，它就會(huì)遭到拒絕。序號(hào)動(dòng)作內(nèi)部主機(jī)內(nèi)外部主機(jī)外說(shuō)明1阻塞*Cree-phost*阻塞來(lái)自Cree-phost的流量2允許

20、Mail-GW25*允許郵件網(wǎng)關(guān)Mail-GW的連接3允許*25允許輸出SMTP至遠(yuǎn)程郵件網(wǎng)關(guān)52狀態(tài)監(jiān)測(cè)型防火墻 采用動(dòng)態(tài)設(shè)置包過(guò)濾規(guī)則的方法，避免了靜態(tài)包過(guò)濾所具有的問(wèn)題。 采用這種技術(shù)的防火墻對(duì)通過(guò)其建立的每一個(gè)連接都進(jìn)行跟蹤，并且根據(jù)需要可動(dòng)態(tài)地在過(guò)濾規(guī)則中增加或更新條目。 53應(yīng)用代理型防火墻 應(yīng)用代理型防火墻是工作在OSI的最高層，即應(yīng)用層。其特點(diǎn)是完全“阻隔”了網(wǎng)絡(luò)通信流，通過(guò)對(duì)每種應(yīng)用服務(wù)編制專門(mén)的代理程序，實(shí)現(xiàn)監(jiān)視和控制應(yīng)用層通信流的作用。代理服務(wù)就是指定一臺(tái)有訪問(wèn)因特網(wǎng)能力的主機(jī)作為網(wǎng)絡(luò)中客戶端的代理去與因特網(wǎng)中的主機(jī)進(jìn)行通信。 54安全問(wèn)題來(lái)自何方？55黑客入侵 國(guó)家利益

21、、商業(yè)利益、個(gè)人謀利內(nèi)部攻擊病毒侵入秘密信息泄露 硬件和軟件后門(mén)安全的威脅56黑客概念英文：Hacker、Intruder(入侵者)、Cracker(破壞者)簡(jiǎn)單理解：是資料的竊取者或信息系統(tǒng)入侵者原意：熟悉某種電腦系統(tǒng)，并具有極高的技術(shù)能力，長(zhǎng)時(shí)間將心力投注在信息系統(tǒng)的研發(fā)，并且樂(lè)此不疲的人。當(dāng)前共識(shí)：在信息/網(wǎng)絡(luò)世界中，仰仗著自己的技術(shù)能力，咨意非法進(jìn)出他人信息系統(tǒng)，視法律與社會(huì)規(guī)范于不顧的角色。57誰(shuí)是黑客業(yè)余電腦愛(ài)好者。多半是對(duì)網(wǎng)絡(luò)技術(shù)有興趣的學(xué)生，也許是信息技術(shù)相關(guān)行業(yè)的從業(yè)人員。職業(yè)的入侵者。這些人把入侵當(dāng)成事業(yè)，認(rèn)真系統(tǒng)地整理所有可能發(fā)生的系統(tǒng)弱點(diǎn)，熟悉各種信息安全攻防工具。電腦

22、高手?？赡苁翘觳诺膶W(xué)生，也可能是熟練的電腦工程師，他們對(duì)網(wǎng)絡(luò)、操作系統(tǒng)的運(yùn)作了若指掌。Hacker級(jí)的Cracker。也許你所使用的操作系統(tǒng)就是出自他的設(shè)計(jì)，也許你使用的系統(tǒng)安全工具就是他開(kāi)發(fā)的。58黑客的目的信息戰(zhàn)- 國(guó)家利益商業(yè)對(duì)手-竊取機(jī)密資料個(gè)人謀利-盜用別人錢(qián)財(cái)好奇心與成就感盜用系統(tǒng)資源59危害實(shí)例詆毀政府-公司形象商業(yè)機(jī)密泄露電子欺騙抵賴破壞主機(jī)聯(lián)邦調(diào)查局的主頁(yè)被修改當(dāng)當(dāng)書(shū)店遭遇黑客入侵破壞,狀告8848網(wǎng)站Bill Gates信用卡在利用電子商務(wù)登記會(huì)員時(shí)被盜用 Love病毒 當(dāng)天感染用戶40萬(wàn)， 全球損失$100 million 危害60內(nèi)部攻擊計(jì)算機(jī)犯罪、黑客攻擊等非法攻擊行

23、為70%來(lái)自于內(nèi)部網(wǎng)絡(luò);內(nèi)部攻擊頻發(fā)的原因： 局域網(wǎng)是黑客和計(jì)算機(jī)迷學(xué)習(xí)練習(xí)的最好場(chǎng)所； 被害單位的財(cái)富和信息過(guò)于集中而又疏于內(nèi)部管理； 個(gè)別品質(zhì)低下的內(nèi)部人員對(duì)本單位信息環(huán)境熟悉又加劇 了其作案和被外部人勾結(jié)引誘的可能性； 管理者信息安全意識(shí)不強(qiáng)，缺乏對(duì)職員的信息安全教育；內(nèi)部攻擊的主要手段有：冒名頂替、修改網(wǎng)卡內(nèi)碼、使用黑客工具等。61病毒感染：計(jì)算機(jī)病毒定義計(jì)算機(jī)病毒，是指編制或者在計(jì)算機(jī)程序中插入的破壞計(jì)算機(jī)功能或者數(shù)據(jù)，影響計(jì)算機(jī)使用，并能自我復(fù)制的一組計(jì)算機(jī)指令或者程序代碼。摘自中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例第28條62病毒感染：典型的現(xiàn)象Word、Excel文件打不開(kāi)；

24、重要文件被破壞或丟失；打開(kāi)郵件后，系統(tǒng)死機(jī)；計(jì)算機(jī)莫迷奇妙奏起音樂(lè)；計(jì)算機(jī)分區(qū)丟失；內(nèi)存不足、速度越來(lái)越慢；63病毒感染：感染現(xiàn)象舉例WIN95.HPS病毒發(fā)作現(xiàn)象64病毒感染：感染現(xiàn)象舉例現(xiàn)在BO黑客工具只要你在網(wǎng)上，你的機(jī)器內(nèi)部的重要文件隨時(shí)有可能被 其它懷有不良企圖的人所竊取。WIN95.Murburg病毒發(fā)作現(xiàn)象65病毒感染：傳播過(guò)程示意病毒1 創(chuàng)造2 感染3 傳播4 發(fā)病5 發(fā)現(xiàn)6 解決方法7 滅絕66秘密信息泄露各類電磁輻射：顯示設(shè)備、通信線路等；涉密設(shè)備或網(wǎng)絡(luò)連入因特網(wǎng)；存儲(chǔ)介質(zhì)和設(shè)備硬件；設(shè)備和軟件的漏洞67硬件和軟件后門(mén)國(guó)內(nèi)流行操作系統(tǒng)：例Win98計(jì)算機(jī)主要集成電路芯片：例

25、PIII CPU一些國(guó)外進(jìn)口的應(yīng)用軟件；主要的網(wǎng)絡(luò)互連設(shè)備，如路由器68隱患成因難以控制知識(shí)產(chǎn)權(quán)；如路由器、OS、集成電路高端網(wǎng)絡(luò)安全產(chǎn)品國(guó)外廠商一統(tǒng)天下：如防火墻信息安全意識(shí)淡薄，疏于防范；信息社會(huì)的職業(yè)道德教育內(nèi)容和體系不健全；對(duì)信息安全技術(shù)的研究缺乏和浮躁Fast SwitcHub-8mi30+201051100MTx/RxFull DuplexSelect/LinkPWRCollisionStatusUtil%Forward%Filter%DemoDiagFull/HalfConfig1 2 3 4 5 6 7 890+705035201051LinkRate %SNMP 1X 2X

26、3X 4X 5X 6X 7X 8MDI-X-or-8MDI10 M/ 100 M69迫切要解決的問(wèn)題認(rèn)證XIP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包是誰(shuí)在網(wǎng)絡(luò)的另一端？InternetIP 數(shù)據(jù)包70關(guān)于安全的解決方案71網(wǎng)絡(luò)安全的基本要求通信的保密性要求通信雙方的通信內(nèi)容是保密的。這一方面要求通信的內(nèi)容不能被第三方所竊??；也要求萬(wàn)一被別人竊取后，也不能得到信息的具體內(nèi)容。72網(wǎng)絡(luò)安全的基本要求數(shù)據(jù)的完整性要保證接收到的信息是完整的。這不是指收到的信息是不是有完整的意義，而是說(shuō)在傳輸?shù)倪^(guò)程中數(shù)據(jù)沒(méi)有被修改。要求接收到的信息或數(shù)據(jù)和發(fā)送方所發(fā)出的信息是完全一致的。

27、如果發(fā)出的信息是“請(qǐng)付給甲100元”，收到的信息是“請(qǐng)付給甲10000元”，數(shù)據(jù)的完整性就被破壞了。73網(wǎng)絡(luò)安全的基本要求身份的確認(rèn)性在網(wǎng)絡(luò)的通信中如何確定通信者的身份也是一個(gè)重要的問(wèn)題。打電話可以從語(yǔ)音識(shí)別身份，寫(xiě)信可以從筆跡識(shí)別身份，網(wǎng)絡(luò)通信中如何識(shí)別身份？(生理特征？持有物？) 如果收到總經(jīng)理的郵件：“請(qǐng)付給乙方10000元”。如何確認(rèn)此信一定是總經(jīng)理發(fā)來(lái)的？74網(wǎng)絡(luò)安全的基本要求通信的不可抵賴性網(wǎng)絡(luò)通信全部是電子形式的文檔。收到的信息經(jīng)打印機(jī)打印出來(lái)后和一般的文檔沒(méi)有什么不同。 甲給乙一份郵件，“請(qǐng)發(fā)貨100件”。等乙發(fā)完貨向甲收款時(shí)，甲說(shuō)我沒(méi)有要你發(fā)貨。有什么辦法使甲不能抵賴所發(fā)的信

28、息？75安全對(duì)策對(duì)網(wǎng)站的攻擊修改主頁(yè)，拒絕服務(wù)商業(yè)機(jī)密泄露電子欺騙破壞主機(jī)系統(tǒng)竊取信息防火墻產(chǎn)品入侵檢測(cè)產(chǎn)品 數(shù)據(jù)加密 VPNPKI認(rèn)證機(jī)構(gòu)CA安全支付網(wǎng)關(guān)電子商務(wù)安全軟件網(wǎng)絡(luò)防病毒網(wǎng)關(guān)76安全對(duì)策系統(tǒng)后門(mén)政府-企業(yè)上網(wǎng)單機(jī)上網(wǎng)產(chǎn)品內(nèi)外網(wǎng)安全隔離卡安全主機(jī)防火墻安全路由器安全服務(wù)器Linux方案77屏蔽與干擾從信號(hào)源上防護(hù)防幅射（主機(jī)、顯示器）通信線路輸入與輸出設(shè)備78防病毒產(chǎn)品可查出各類文件形式中的病毒擁有較好的啟發(fā)式掃描技術(shù)通過(guò)安全認(rèn)證安裝前先對(duì)系統(tǒng)進(jìn)行查毒良好的清除病毒能力快速的查毒速度實(shí)時(shí)的監(jiān)控功能完善的升級(jí)設(shè)計(jì)79加密傳輸密鑰技術(shù)加密設(shè)備 網(wǎng)絡(luò)層、鏈路層加密機(jī)身份認(rèn)證80訪問(wèn)控制物理

29、隔離設(shè)備 硬盤(pán)隔離卡、網(wǎng)閘訪問(wèn)控制權(quán)設(shè)置防火墻81在不安全的網(wǎng)絡(luò)環(huán)境中構(gòu)造一個(gè)相對(duì)安全的子網(wǎng)環(huán)境路由器客戶端國(guó)際互聯(lián)網(wǎng)代理 服務(wù)器應(yīng)用服務(wù)器SMTP 服務(wù)器FTP 服務(wù)器防火墻防火墻82安全檢測(cè)和監(jiān)控漏洞掃描 OS漏洞、應(yīng)用服務(wù)漏洞、木馬偵測(cè) 網(wǎng)絡(luò)配置漏洞、口令漏洞等在線入侵檢測(cè)系統(tǒng) IDS83備份數(shù)據(jù)備份設(shè)備備份電源異地備份 冗災(zāi)管理人員備份84目前的有效途徑IP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包IP 數(shù)據(jù)包是誰(shuí)讀到了我的信？internetIP 數(shù)據(jù)包加密我截獲了無(wú)數(shù)個(gè)password85網(wǎng)絡(luò)攻擊86攻防技術(shù)的發(fā)展背景信息技術(shù)的迅猛發(fā)展，是黑客產(chǎn)生的基礎(chǔ) - 個(gè)人計(jì)算

30、機(jī)性能的提高 - 應(yīng)用軟件，應(yīng)用水平的提高 - 互聯(lián)網(wǎng)成為人們從事各項(xiàng)活動(dòng)的主要舞臺(tái)互聯(lián)網(wǎng)缺乏安全控制機(jī)制， 是黑客存在的條件 - 互聯(lián)網(wǎng)不為某個(gè)政府或組織所控制 - 最初的考慮主要是網(wǎng)絡(luò)的連接，而不是網(wǎng)絡(luò)安全 - 互聯(lián)網(wǎng)缺乏必要的安全控制機(jī)制互聯(lián)網(wǎng)資源為黑客滋生提供了技術(shù)條件 - 互聯(lián)網(wǎng)上很容易查找到黑客網(wǎng)址。 - 免費(fèi)下載各種黑客軟件，網(wǎng)上閱讀及交流 87現(xiàn)代攻擊者的特點(diǎn)技術(shù)化 - 掌握網(wǎng)絡(luò)技術(shù)進(jìn)行網(wǎng)絡(luò)攻擊的前提 - 一些黑客甚至是 “高手”年輕化 - 1998年7年江西省169信息網(wǎng)全線癱瘓，嫌疑人僅19歲 - ISS創(chuàng)始人16歲便攻入聯(lián)邦調(diào)查局網(wǎng)絡(luò)社會(huì)化 - 來(lái)自于各個(gè)層次、來(lái)自于不同

31、年齡段 - 動(dòng)機(jī)各自不同地點(diǎn)復(fù)雜化 - 上網(wǎng)途徑復(fù)雜化、可能是世界上的任何一個(gè)地方 - 追查攻擊來(lái)源十分困難 88網(wǎng)絡(luò)攻擊的防范 提高網(wǎng)絡(luò)安全意識(shí) - 采取必要的防范措施 依法強(qiáng)化管理 - 健全完善的發(fā)規(guī)，強(qiáng)化網(wǎng)絡(luò)管理 加強(qiáng)網(wǎng)絡(luò)出口管理 - 網(wǎng)絡(luò)邊界采取必要的訪問(wèn)控制機(jī)制 防火墻 - 完善的加密，身份認(rèn)證體制 開(kāi)發(fā)先進(jìn)的網(wǎng)絡(luò)安全產(chǎn)品 - 不依靠進(jìn)口產(chǎn)品 - 大力開(kāi)發(fā)自主知識(shí)版權(quán)的信息安全產(chǎn)品 加強(qiáng)國(guó)際合作89典型網(wǎng)絡(luò)攻擊 拒絕服務(wù)攻擊 IP炸彈、郵件炸彈 惡意程序碼 病毒(Virus)和后門(mén)程序(Backdoor) BO (Back Orifice)攻擊 網(wǎng)絡(luò)監(jiān)聽(tīng) 網(wǎng)絡(luò)信息包監(jiān)聽(tīng)、電腦系統(tǒng)監(jiān)聽(tīng)

32、 密碼破解90網(wǎng)絡(luò)中常見(jiàn)的攻擊特洛伊木馬（Trojan horse） 一種執(zhí)行超出程序定義之外的程序。如一個(gè)編譯程序除了執(zhí)行編譯任務(wù)以外，還把用戶的源程序偷偷地copy下來(lái)，這種編譯程序就是一種特洛伊木馬。91網(wǎng)絡(luò)中常見(jiàn)的攻擊 邏輯炸彈（logic bomb）一種當(dāng)運(yùn)行環(huán)境滿足某種特定條件時(shí)執(zhí)行其他特殊功能的程序。如CIH，每當(dāng)系統(tǒng)時(shí)間為26日的時(shí)候，便在BIOS中寫(xiě)入一大堆垃圾信息，造成系統(tǒng)癱瘓。 邏輯炸彈是計(jì)算機(jī)病毒的一種。計(jì)算機(jī)病毒（computer virus），一種會(huì)“傳染”和起破壞作用的程序。92網(wǎng)絡(luò)中常見(jiàn)的攻擊主機(jī)欺騙黑客可以發(fā)送虛假的路由信息到他想進(jìn)行欺騙的一臺(tái)主機(jī)，如主機(jī)A。這種假冒的信息也將發(fā)送到目標(biāo)主機(jī)A的路徑上的所有網(wǎng)關(guān)。主機(jī)A和這些網(wǎng)關(guān)收到的虛假路由信息經(jīng)常表示到網(wǎng)絡(luò)上的一臺(tái)不工作或沒(méi)有使用的主機(jī)，如主機(jī)B。這樣，任何要發(fā)送到主機(jī)B的信息都會(huì)轉(zhuǎn)送到黑客的計(jì)算機(jī)，而主機(jī)A和網(wǎng)關(guān)還認(rèn)為信息是流向了主機(jī)B。一旦黑客成功地將他或她的計(jì)算機(jī)取代了網(wǎng)絡(luò)上的一臺(tái)實(shí)際主機(jī)，就實(shí)現(xiàn)了主機(jī)欺騙。93網(wǎng)絡(luò)中常見(jiàn)的攻擊Java和ActiveX攻擊黑客會(huì)將“特洛伊木馬