網(wǎng)絡(luò)安全培訓(xùn)課件

第10章網(wǎng)絡(luò)安全本章內(nèi)容網(wǎng)絡(luò)安全的基本概念信息安全技術(shù)防火墻技術(shù)網(wǎng)絡(luò)病毒第10章網(wǎng)絡(luò)安全本章內(nèi)容1網(wǎng)絡(luò)安全的基本概念什么是網(wǎng)絡(luò)安全？網(wǎng)絡(luò)安全主要解決數(shù)據(jù)保密和認(rèn)證的問題。網(wǎng)絡(luò)安全的基本概念2數(shù)據(jù)保密就是采取復(fù)雜多樣的措施對數(shù)據(jù)加以保護(hù)，以防止數(shù)據(jù)被有意或無意地泄露給無關(guān)人員。認(rèn)證分為信息認(rèn)證和用戶認(rèn)證兩個方面信息認(rèn)證是指信息從發(fā)送到接收整個通路中沒有被第三者修改和偽造，用戶認(rèn)證是指用戶雙方都能證實對方是這次通信的合法用戶。通常在一個完備的保密系統(tǒng)中既要求信息認(rèn)證，也要求用戶認(rèn)證。數(shù)據(jù)保密就是采取復(fù)雜多樣的措施對數(shù)據(jù)加以保護(hù)，以防止數(shù)據(jù)被有3網(wǎng)絡(luò)安全包括OSI-RM各層事實上，每一層都可以采取一定的措施來防止某些類型的網(wǎng)絡(luò)入侵事件，在一定程度上保障數(shù)據(jù)的安全。物理層——可以在包容電纜的密封套中充入高壓的氖氣；鏈路層——可以進(jìn)行所謂的鏈路加密，即將每個幀編碼后再發(fā)出，當(dāng)?shù)竭_(dá)另一端時再解碼恢復(fù)出來；網(wǎng)絡(luò)層——可以使用防火墻技術(shù)過濾一部分有嫌疑的數(shù)據(jù)報；在傳輸層上甚至整個連接都可以被加密。網(wǎng)絡(luò)安全包括OSI-RM各層事實上，每一層都可以采取一定的措4網(wǎng)絡(luò)安全定義網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。（1）運(yùn)行系統(tǒng)安全，即保證信息處理和傳輸系統(tǒng)的安全。（2）網(wǎng)絡(luò)上系統(tǒng)信息的安全。（3）網(wǎng)絡(luò)上信息傳播的安全，即信息傳播后果的安全。（4）網(wǎng)絡(luò)上信息內(nèi)容的安全，即我們討論的狹義的“信息安全”。網(wǎng)絡(luò)安全定義網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)5網(wǎng)絡(luò)安全應(yīng)具備四個特征保密性：信息不泄露給非授權(quán)的用戶、實體或過程，或供其利用的特性；完整性：數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變的特性，即信息在存儲或傳輸過程中保持不被修改、不被破壞和丟失的特性；網(wǎng)絡(luò)安全應(yīng)具備四個特征保密性：信息不泄露給非授權(quán)的用戶、實體6可用性：可被授權(quán)實體訪問并按需求使用的特性，即當(dāng)需要時應(yīng)能存取所需的信息，網(wǎng)絡(luò)環(huán)境下拒絕服務(wù)、破壞網(wǎng)絡(luò)和有關(guān)系統(tǒng)的正常運(yùn)行等都屬于對可用性的攻擊；可控性：對信息的傳播及內(nèi)容具有控制能力?？捎眯裕嚎杀皇跈?quán)實體訪問并按需求使用的特性，即當(dāng)需要時應(yīng)能存7主要的網(wǎng)絡(luò)安全的威脅（1）非授權(quán)訪問（UnauthorizedAccess）：一個非授權(quán)的人的入侵。（2）信息泄露（DisclosureofInformation）：造成將有價值的和高度機(jī)密的信息暴露給無權(quán)訪問該信息的人的所有問題。（3）拒絕服務(wù)（DenialofService）：使得系統(tǒng)難以或不可能繼續(xù)執(zhí)行任務(wù)的所有問題。主要的網(wǎng)絡(luò)安全的威脅（1）非授權(quán)訪問（Unauthorize8網(wǎng)絡(luò)安全的關(guān)鍵技術(shù)主機(jī)安全技術(shù)身份認(rèn)證技術(shù)訪問控制技術(shù)密碼技術(shù)防火墻技術(shù)病毒防治技術(shù)安全審計技術(shù)安全管理技術(shù)網(wǎng)絡(luò)安全的關(guān)鍵技術(shù)主機(jī)安全技術(shù)9制定安全策略涉及四方面網(wǎng)絡(luò)用戶的安全責(zé)任系統(tǒng)管理員的安全責(zé)任正確利用網(wǎng)絡(luò)資源檢測到安全問題時的對策制定安全策略涉及四方面網(wǎng)絡(luò)用戶的安全責(zé)任10計算機(jī)安全的分類根據(jù)中國國家計算機(jī)安全規(guī)范，計算機(jī)的安全大致可分為三類：1）實體安全。包括機(jī)房、線路、主機(jī)等；2）網(wǎng)絡(luò)安全。包括網(wǎng)絡(luò)的暢通、準(zhǔn)確以及網(wǎng)上信息的安全；3）應(yīng)用安全。包括程序開發(fā)運(yùn)行、I/O、數(shù)據(jù)庫等的安全。計算機(jī)安全的分類根據(jù)中國國家計算機(jī)安全規(guī)范，計算機(jī)的安全大致11網(wǎng)絡(luò)安全分類基本安全類：包括訪問控制、授權(quán)、認(rèn)證、加密以及內(nèi)容安全。管理與記賬類安全：包括安全的策略的管理、實時監(jiān)控、報警以及企業(yè)范圍內(nèi)的集中管理與記賬。網(wǎng)絡(luò)互聯(lián)設(shè)備包括路由器、通信服務(wù)器、交換機(jī)等，網(wǎng)絡(luò)互聯(lián)設(shè)備安全正是針對上述這些互聯(lián)設(shè)備而言的，它包括路由安全管理、遠(yuǎn)程訪問服務(wù)器安全管理、通信服務(wù)器安全管理以及交換機(jī)安全管理等等。連接控制類包括負(fù)載均衡、可靠性以及流量管理等。網(wǎng)絡(luò)安全分類基本安全類：包括訪問控制、授權(quán)、認(rèn)證、加密以及內(nèi)12安全威脅的類型非授權(quán)訪問假冒合法用戶數(shù)據(jù)完整性受破壞病毒通信線路被竊聽干擾系統(tǒng)的正常運(yùn)行，改變系統(tǒng)正常運(yùn)行的方向，以及延時系統(tǒng)的響應(yīng)時間安全威脅的類型非授權(quán)訪問13計算機(jī)系統(tǒng)本身的弱點(diǎn)操作系統(tǒng)的創(chuàng)建進(jìn)程機(jī)制遠(yuǎn)程過程調(diào)用（RPC）服務(wù)以及它所安排的無口令入口存在超級用戶硬件或軟件故障協(xié)議安全的脆弱性數(shù)據(jù)庫管理系統(tǒng)安全的脆弱性

計算機(jī)系統(tǒng)本身的弱點(diǎn)操作系統(tǒng)的創(chuàng)建進(jìn)程機(jī)制14網(wǎng)絡(luò)信息安全系統(tǒng)組成一個完整的網(wǎng)絡(luò)信息安全系統(tǒng)至少包括三類措施：社會的法律政策，企業(yè)的規(guī)章制度及網(wǎng)絡(luò)安全教育等外部環(huán)境；技術(shù)方面的措施，如防火墻技術(shù)、防病毒。信息加密、身份確認(rèn)以及授權(quán)等；審計與管理措施，包括技術(shù)與社會措施。

網(wǎng)絡(luò)信息安全系統(tǒng)組成一個完整的網(wǎng)絡(luò)信息安全系統(tǒng)至少包括三類措15網(wǎng)絡(luò)信息安全系統(tǒng)組成網(wǎng)絡(luò)信息安全系統(tǒng)組成16網(wǎng)絡(luò)安全策略考慮因素對于內(nèi)部用戶和外部用戶分別提供哪些服務(wù)程序；初始投資額和后續(xù)投資額（新的硬件、軟件及工作人員）；方便程度和服務(wù)效率；復(fù)雜程度和安全等級的平衡以及網(wǎng)絡(luò)性能。網(wǎng)絡(luò)安全策略考慮因素對于內(nèi)部用戶和外部用戶分別提供哪些服務(wù)程17網(wǎng)絡(luò)安全關(guān)鍵技術(shù)信息包篩選（基于包過濾的防火墻）網(wǎng)絡(luò)安全關(guān)鍵技術(shù)信息包篩選（基于包過濾的防火墻）18網(wǎng)絡(luò)安全關(guān)鍵技術(shù)應(yīng)用中繼器（代理技術(shù)）網(wǎng)絡(luò)安全關(guān)鍵技術(shù)應(yīng)用中繼器（代理技術(shù)）19網(wǎng)絡(luò)安全關(guān)鍵技術(shù)加密技術(shù)網(wǎng)絡(luò)安全關(guān)鍵技術(shù)加密技術(shù)20網(wǎng)絡(luò)安全系統(tǒng)提供安全的常用方法用備份和鏡像技術(shù)提高數(shù)據(jù)完整性病毒檢查補(bǔ)丁程序，修補(bǔ)系統(tǒng)漏洞提高物理安全安裝因特網(wǎng)防火墻廢品處理守則仔細(xì)閱讀日志加密執(zhí)行身份鑒別，口令守則捕捉闖入者網(wǎng)絡(luò)安全系統(tǒng)提供安全的常用方法用備份和鏡像技術(shù)提高數(shù)據(jù)完整性21從計算機(jī)系統(tǒng)可靠性方面可以采取的網(wǎng)絡(luò)安全性措施有：1）選擇性能優(yōu)良的服務(wù)器。2）采用服務(wù)器備份。3）對重要網(wǎng)絡(luò)設(shè)備、通信線路備份。從計算機(jī)系統(tǒng)可靠性方面可以采取的網(wǎng)絡(luò)安全性措施有：22網(wǎng)絡(luò)安全的評估網(wǎng)絡(luò)安全評估是網(wǎng)絡(luò)安全的必不可少的工作，評估的內(nèi)容有：確定有關(guān)網(wǎng)絡(luò)安全的方案；對已有的網(wǎng)絡(luò)安全方案進(jìn)行審查；確定與網(wǎng)絡(luò)安全方案有關(guān)的人員，并確定對網(wǎng)絡(luò)資源可以直接存取的人或單位（部門）；確保所需要的技術(shù)能使網(wǎng)絡(luò)安全方案得以落實；網(wǎng)絡(luò)安全的評估網(wǎng)絡(luò)安全評估是網(wǎng)絡(luò)安全的必不可少的工作，評估的23確定內(nèi)部網(wǎng)絡(luò)的類型確定接入互聯(lián)網(wǎng)的方式；確定單位內(nèi)部能提供互聯(lián)網(wǎng)訪問的用戶，并明確互聯(lián)網(wǎng)接入用戶是固定的還是移動的；是否需要加密，如果需要加密，必須說明要求的性質(zhì)。網(wǎng)絡(luò)安全培訓(xùn)課件24第10章網(wǎng)絡(luò)安全本章內(nèi)容網(wǎng)絡(luò)安全基本概念信息安全技術(shù)防火墻技術(shù)網(wǎng)絡(luò)病毒第10章網(wǎng)絡(luò)安全本章內(nèi)容25信息安全技術(shù)數(shù)據(jù)加密用戶認(rèn)證數(shù)字簽名加密技術(shù)應(yīng)用案例26信息安全技術(shù)數(shù)據(jù)加密26數(shù)據(jù)加密P=Dk（Ek（P））數(shù)據(jù)加密P=Dk（Ek（P））27網(wǎng)絡(luò)入侵網(wǎng)絡(luò)入侵者分為消極入侵者和積極入侵者兩種消極入侵者只是竊聽而已，并不對數(shù)據(jù)造成破壞；積極入侵者會截獲密文，篡改數(shù)據(jù)甚至偽造假數(shù)據(jù)送入網(wǎng)中。網(wǎng)絡(luò)入侵網(wǎng)絡(luò)入侵者分為消極入侵者和積極入侵者兩種28密碼分析和密碼學(xué)破譯密碼的技術(shù)叫做密碼分析設(shè)計密碼和破譯密碼的技術(shù)統(tǒng)稱為密碼學(xué)

密碼分析和密碼學(xué)破譯密碼的技術(shù)叫做密碼分析29密碼學(xué)的一條基本原則是：必須假定破譯者知道通用的加密方法，也就是說加密算法E是公開的?；炯用苣Ｐ停杭用芩惴ㄊ枪_的和相對穩(wěn)定的，而作為參數(shù)的密鑰是保密的，并且是易于更換的?；炯用苣Ｐ兔艽a學(xué)的一條基本原則是：必須假定破譯者知道通用的加密方法，也30從破譯者的角度來看，密碼分析所面對的問題有三種主要的變型：當(dāng)僅有密文而無明文時，稱為“只有密文”問題；當(dāng)已擁有了一批相匹配的明文和密文時，稱為“已知明文”問題；當(dāng)能夠加密自己所選的一些明文時，稱為“選擇明文”問題。密碼分析問題分類從破譯者的角度來看，密碼分析所面對的問題有三種主要的變型：密31一個密碼系統(tǒng)僅能經(jīng)得起“只有密文”的攻擊還不能算是安全的，因為破譯者完全可以從一般的通信規(guī)律中猜測出一部分的明文，從而就會擁用一些匹配的明文和密文，這對破譯工作將大為有用。真正安全的密碼系統(tǒng)應(yīng)是，即使破譯者能夠加密任意數(shù)量的明文，也無法破譯密文。安全的密碼系統(tǒng)一個密碼系統(tǒng)僅能經(jīng)得起“只有密文”的攻擊還不能算是安全的，因32密碼學(xué)的歷史非常悠久，傳統(tǒng)的加密方法可以分成兩類：替代密碼換位密碼傳統(tǒng)加密技術(shù)密碼學(xué)的歷史非常悠久，傳統(tǒng)的加密方法可以分成兩類：傳統(tǒng)加密技33

定義：替代密碼就用一組密文字母來代替一組明文字母以隱藏明文，但保持明文字母的位置不變。替代密碼定義：替代密碼就用一組密文字母來代替一組明文字母以隱34凱撒密碼——最古老的地帶密碼凱撒密碼，它用D表示a，用E表示b，用F表示c，……，用C表示z，也就是說密文字母相對明文字母左移了3位。更一般地，可以讓密文字母相對明文字母左移k位，這樣k就成了加密和解密的密鑰。缺點(diǎn)：容易破譯，因為最多只需嘗試25次（k=1～25）即可輕松破譯密碼。記法約定：用小寫表示明文，用大寫表示密文凱撒密碼——最古老的地帶密碼凱撒密碼，它用D表示a，用E表示35單字母表替換：使明文字母和密文字母之間的映射關(guān)系沒有規(guī)律可循，比如將26個英文字母隨意映射到其他字母上。破譯者只要擁有很少一點(diǎn)密文，利用自然語言的統(tǒng)計特征，很容易就可破譯密碼。破譯的關(guān)鍵在于找出各種字母或字母組合出現(xiàn)的頻率替代密碼-單字母表替換單字母表替換：使明文字母和密文字母之間的映射關(guān)系沒有規(guī)律可循36替代密碼-多張密碼字母表

對明文中不同位置上的字母用不同的密碼字母表來加密。如：雖然破譯多字母密碼表要困難一些，但如果破譯者手頭有較多的密文，仍然是可以破譯的。破譯的訣竅在于猜測密鑰的長度。替代密碼-多張密碼字母表對明文中不同位置上的字母用不同的密37換位密碼換位有時也稱為排列，它不對明文字母進(jìn)行變換，只是將明文字母的次序進(jìn)行重新排列。例：COMPUTER明文pleaseexecutethelatestScheme14358726明文pleaseexecutethelatestSchemep1easeex明文pleaseexecutethelatestSchemeecutethe密文PELHEHSCEUTMLCAEATEEXECDETTBSESA1atestsc密文PELHEHSCEUTMLCAEATEEXECDETTBSESAhemeabcd密文PELHEHSCEUTMLCAEATEEXECDETTBSESA換位密碼換位有時也稱為排列，它不對明文字母進(jìn)行變換，只是將明38換位密碼的破譯第一步是判斷密碼類型是否為換位密碼。第二步是猜測密鑰的長度，也即列數(shù)。第三步是確定各列的順序。換位密碼的破譯第一步是判斷密碼類型是否為換位密碼。39秘密密鑰算法在傳統(tǒng)加密算法的基礎(chǔ)上，充分利用計算機(jī)的處理能力，將算法內(nèi)部的變換過程設(shè)計的非常復(fù)雜，并使用較長的密鑰，使得攻擊者對密文的破譯變得非常困難。甚至，在攻擊者即使掌握了加密算法的本身，也會由于不知道密鑰而得不到明文。由于這種體制將算法和密鑰進(jìn)行了分離，并且算法的保密性完全依賴于密鑰的安全性，因此，被稱為秘密密鑰加密體制。秘密密鑰算法在傳統(tǒng)加密算法的基礎(chǔ)上，充分利用計算機(jī)的處理能力40電路實現(xiàn)換位密碼和替代密碼可以用簡單的電路來實現(xiàn)。圖（a）是一個實現(xiàn)換位密碼的基本部件，稱為P盒（P-box），它將輸入順序映射到某個輸出順序上，只要適當(dāng)改變盒內(nèi)的連線，它就可以實現(xiàn)任意的排列。圖（b）是一個實現(xiàn)替代密碼的基本部件，稱為S盒（S-box），它由一個3-8譯碼器、一個P盒和一個8-3編碼器組成。一個3比特的輸入將選擇3-8譯碼器的一根輸出線，該線經(jīng)P盒換位后從另一根線上輸出，再經(jīng)8-3編碼器轉(zhuǎn)換成一個新的3比特序列。將P盒和S盒相復(fù)合構(gòu)成乘積密碼系統(tǒng)，就可以實現(xiàn)非常復(fù)雜的加密算法。圖（c）是一個乘積密碼系統(tǒng)的例子。一個12比特的明文經(jīng)第一個P盒排列后，按3比特一組分成4組，分別進(jìn)入4個不同的S盒進(jìn)行替代，替代后的輸出又經(jīng)第二個P盒排列，然后再進(jìn)入4個S盒進(jìn)行替代，這個過程重復(fù)進(jìn)行直至最后輸出密文。只要級聯(lián)的級數(shù)足夠大，算法就可以設(shè)計得非常復(fù)雜。電路實現(xiàn)換位密碼和替代密碼可以用簡單的電路來實現(xiàn)。圖（a）是41密鑰分發(fā)問題秘密密鑰的一個弱點(diǎn)是解密密鑰必須和加密密鑰相同，這就產(chǎn)生了如何安全地分發(fā)密鑰的問題。傳統(tǒng)上是由一個中心密鑰生成設(shè)備產(chǎn)生一個相同的密鑰對，并由人工信使將其傳送到各自的目的地。對于一個擁有許多部門的組織來說，這種分發(fā)方式是不能令人滿意的，尤其是出于安全方面的考慮需要經(jīng)常更換密鑰時更是如此。密鑰分發(fā)問題秘密密鑰的一個弱點(diǎn)是解密密鑰必須和加密密鑰相同，42公開密鑰算法在公開密鑰算法中，加密密鑰和解密密鑰是不同的，并且從加密密鑰不能得到解密密鑰。為此，加密算法E和解密算法D必須滿足以下的三個條件：①D（E（P））=P；②從E導(dǎo)出D非常困難；③使用“選擇明文”攻擊不能攻破E。如果能夠滿足以上三個條件，則加密算法完全可以公開。將解密算法D作用于密文E（P）后就可獲得明文P不可能從E導(dǎo)出D破譯者即使能加密任意數(shù)量的選擇明文，也無法破譯密碼。公開密鑰算法在公開密鑰算法中，加密密鑰和解密密鑰是不同的，并43公開密鑰算法的基本思想如果某個用戶希望接收秘密報文，他必須設(shè)計兩個算法：加密算法E和解密算法D，然后將加密算法放于任何一個公開的文件中廣而告知，這也是公開密鑰算法名稱的由來，他甚至也可以公開他的解密方法，只要他妥善保存解密密鑰即可。公開密鑰算法的基本思想如果某個用戶希望接收秘密報文，他必須設(shè)44當(dāng)兩個完全陌生的用戶A和B希望進(jìn)行秘密通信時，各自可以從公開的文件中查到對方的加密算法。若A需要將秘密報文發(fā)給B，則A用B的加密算法EB對報文進(jìn)行加密，然后將密文發(fā)給B，B使用解密算法DB進(jìn)行解密，而除B以外的任何人都無法讀懂這個報文；當(dāng)B需要向A發(fā)送消息時，B使用A的加密算法EA對報文進(jìn)行加密，然后發(fā)給A，A利用DA進(jìn)行解密。當(dāng)兩個完全陌生的用戶A和B希望進(jìn)行秘密通信時，各自可以從公開45在這種算法中，每個用戶都使用兩個密鑰：加密密鑰是供其他人向他發(fā)送報文用的，這是公開的；解密密鑰是用于對收到的密文進(jìn)行解密的，這是保密的。通常用公開密鑰和私人密鑰分別稱呼公開密鑰算法中的加密密鑰和解密密鑰，以同傳統(tǒng)密碼學(xué)中的秘密密鑰相區(qū)分。由于私人密鑰只由用戶自己掌握，不需要分發(fā)給別人，也就不用擔(dān)心在傳輸?shù)倪^程中或被其他用戶泄密，因而是極其安全的。在這種算法中，每個用戶都使用兩個密鑰：加密密鑰是供其他人向他46用公開密鑰算法解決密鑰分發(fā)問題：中心密鑰生成設(shè)備產(chǎn)生一個密鑰后，用各個用戶公開的加密算法對之進(jìn)行加密，然后分發(fā)給各用戶，各用戶再用自己的私人密鑰進(jìn)行解密，既安全又省事。兩個完全陌生的用戶之間，也可以使用這種方法很方便地商定一個秘密的會話密鑰。用公開密鑰算法解決密鑰分發(fā)問題：47RSA算法參數(shù)計算：選擇兩個大素數(shù)p和q（典型值為大于10100）；計算n＝p×q和z＝（p－1）×（q－1）；選擇一個與z互質(zhì)的數(shù)，令其為d；找到一個e使其滿足e×d=1（modz）。RSA算法參數(shù)計算：48RSA加密過程首先將明文看成是一個比特串，將其劃分成一個個的數(shù)據(jù)塊P且有0≤P＜n。對數(shù)據(jù)塊P進(jìn)行加密，計算C=Pe（modn），C即為P的密文；對C進(jìn)行解密，計算P=Cd（modn）。公開密鑰由（e，n）組成，私人密鑰由（d，n）組成。RSA加密過程首先將明文看成是一個比特串，將其劃分成一個個的49例題假設(shè)取p=3，q＝11

n＝p×q=33

z＝(p-1)×(q-1)=20取d=7，解方程7e=1（mod20）

e=3公開密鑰為（3，33）私人密鑰為（7，33）例題假設(shè)取p=3，q＝1150例題假設(shè)明文：M=4C=Me（modn）=43（mod33）＝31即密文為C＝31。對密文解密：M=Cd（modn）＝317（mod33）=4即可恢復(fù)出原文。例題假設(shè)明文：M=451RSA算法的安全性RSA算法的安全性建立在難以對大數(shù)提取因子的基礎(chǔ)上，如果破譯者能對已知的n提取出因子p和q就能求出z，知道了z和e，就能求出d。所幸的是，300多年來雖然數(shù)學(xué)家們已對大數(shù)的因式分解問題作了大量研究，但并沒有取得什么進(jìn)展，到目前為止這仍是一個極其困難的問題。RSA算法的安全性RSA算法的安全性建立在難以對大數(shù)提取因子52用戶認(rèn)證定義：通信雙方在進(jìn)行重要的數(shù)據(jù)交換前，常常需要驗證對方的身份，這種技術(shù)稱為用戶認(rèn)證。在實際的操作中，除了認(rèn)證對方的身份外，同時還要在雙方間建立一個秘密的會話密鑰，該會話密鑰用于對其后的會話進(jìn)行加密。每次連接都使用一個新的隨機(jī)選擇的密鑰用戶認(rèn)證定義：通信雙方在進(jìn)行重要的數(shù)據(jù)交換前，常常需要驗證對53基于共享秘密密鑰的用戶認(rèn)證協(xié)議

假設(shè)在A和B之間有一個共享的秘密密鑰KAB

。某個時候A希望和B進(jìn)行通信，于是雙方采用如圖所示的過程進(jìn)行用戶認(rèn)證。使用共享秘密密鑰進(jìn)行用戶認(rèn)證基于共享秘密密鑰的用戶認(rèn)證協(xié)議假設(shè)在A和B之間有一個54使用密鑰分發(fā)中心的用戶認(rèn)證協(xié)議要求通信的雙方具有共享的秘密密鑰有時是做不到的，另外如果某個用戶要和n個用戶進(jìn)行通信，就需要有n個不同的密鑰，這給密鑰的管理也帶來很大的麻煩。解決的辦法是引進(jìn)一個密鑰分發(fā)中心（KeyDistributionCenter，KDC）。KDC是可以信賴的，并且每個用戶和KDC間有一個共享的秘密密鑰，用戶認(rèn)證和會話密鑰的管理都通過KDC來進(jìn)行。使用密鑰分發(fā)中心的用戶認(rèn)證協(xié)議要求通信的雙方具有共享的秘密密55KDC舉例如圖所示，A希望和B進(jìn)行通信一個用KDC進(jìn)行用戶認(rèn)證的協(xié)議重復(fù)攻擊問題：假如有個C，當(dāng)他為A提供了一定的服務(wù)后，希望A用銀行轉(zhuǎn)賬的方式支付他的酬金，于是A和B（銀行）建立一個會話，指令B將一定數(shù)量的金額轉(zhuǎn)至C的賬上。這時C將KDC發(fā)給B的密文和隨后A發(fā)給B的報文復(fù)制了下來，等會話結(jié)束后，C將這些報文依次重發(fā)給B，而B無法區(qū)分這是一個新的指令還是一個老指令的副本，因此又將相同數(shù)量的金額轉(zhuǎn)至C的賬上，這個問題稱為重復(fù)攻擊問題。為解決這個問題，可以在每個報文中放一個一次性的報文號，每個用戶都記住所有已經(jīng)用過的報文號，并將重復(fù)編號的報文丟棄。另外還可以在報文上加一個時間戳，并規(guī)定一個有效期，當(dāng)接收方收到一個過期的報文時就將它丟棄。KDC舉例如圖所示，A希望和B進(jìn)行通信一個用KD56使用公開密鑰算法的用戶認(rèn)證協(xié)議使用公開密鑰進(jìn)行用戶認(rèn)證使用公開密鑰算法的用戶認(rèn)證協(xié)議使用公開密鑰進(jìn)行用戶認(rèn)證57數(shù)字簽名一個可以替代手跡簽名的系統(tǒng)必須滿足以下三個條件：①接收方通過文件中的簽名能認(rèn)證發(fā)送方的身份；②發(fā)送方以后不能否認(rèn)發(fā)送過簽名文件；③接收方不可能偽造文件內(nèi)容。數(shù)字簽名一個可以替代手跡簽名的系統(tǒng)必須滿足以下三個條件：58數(shù)字簽名的實現(xiàn)方法使用秘密密鑰算法的數(shù)字簽名使用公開密鑰算法的數(shù)字簽名

報文摘要

數(shù)字簽名的實現(xiàn)方法使用秘密密鑰算法的數(shù)字簽名59使用秘密密鑰算法的數(shù)字簽名這種方式需要一個可以信賴的中央權(quán)威機(jī)構(gòu)（Centra1Authority，以下簡稱CA）的參與，每個用戶事先選擇好一個與CA共享的秘密密鑰并親自交到CA，以保證只有用戶和CA知道這個密鑰。除此以外，CA還有一個對所有用戶都保密的秘密密鑰KCA。使用秘密密鑰算法的數(shù)字簽名這種方式需要一個可以信賴的中央權(quán)威60使用秘密密鑰算法的數(shù)字簽名當(dāng)A想向B發(fā)送一個簽名的報文P時，它向CA發(fā)出KA（B，RA，t，P），其中RA為報文的隨機(jī)編號，t為時間戳；CA將其解密后，重新組織成一個新的密文KB（A，RA，t，P，KCA（A，t，P））發(fā)給B，因為只有CA知道密鑰KCA，因此其他任何人都無法產(chǎn)生和解開密文KCA（A，t，P）；B用密鑰KB解開密文后，首先將KCA（A，t，P）放在一個安全的地方，然后閱讀和執(zhí)行P。使用秘密密鑰算法的數(shù)字簽名當(dāng)A想向B發(fā)送一個簽名的報文P時，61驗證當(dāng)過后A試圖否認(rèn)給B發(fā)過報文P時，B可以出示KCA（A，t，P）來證明A確實發(fā)過P，因為B自己無法偽造出KCA（A，t，P），它是由CA發(fā)來的，而CA是可以信賴的，如果A沒有給CA發(fā)過P，CA就不會將P發(fā)給B，這只要用KCA對KCA（A，t，P）進(jìn)行解密，一切就可真相大白。為了避免重復(fù)攻擊，協(xié)議中使用了隨機(jī)報文編號RA和時間戳t。B能記住最近收到的所有報文編號，如果RA和其中的某個編號相同，則P就被當(dāng)成是一個復(fù)制品而丟棄，另外B也根據(jù)時間戳t丟棄舊報文，以防止攻擊者經(jīng)過很長一段時間后，再用舊報文來重復(fù)攻擊。驗證當(dāng)過后A試圖否認(rèn)給B發(fā)過報文P時，B可以出示KCA（A，62使用公開密鑰算法的數(shù)字簽名使用公開密鑰算法的數(shù)字簽名，其加密算法和解密算法要同時滿足D（E（P））=P；E（D（P））=P。這個假設(shè)是可能的，因為RSA算法就具有這樣的特性。數(shù)字簽名的過程如圖所示。EB（DA（P））使用公開密鑰算法的數(shù)字簽名使用公開密鑰算法的數(shù)字簽名，其加密63驗證當(dāng)A過后試圖否認(rèn)給B發(fā)過P時，B可以出示DA（P）作為證據(jù)，因為B沒有A的私人密鑰DA，除非A確實發(fā)過DA（P），否則B是不會有這樣一份密文的，只要用A的公開密鑰EA解開DA（P），就可以知道B說的是真話。驗證當(dāng)A過后試圖否認(rèn)給B發(fā)過P時，B可以出示DA（P）作為64算法存在的問題這種數(shù)字簽名看上去很好，但在實際的使用中也存在一些問題，這些問題不是算法本身的問題，而是和算法的使用環(huán)境有關(guān)。首先只有DA仍然是秘密的，B才能證明A確實發(fā)送過DA（P），如果A試圖否認(rèn)這一點(diǎn)，他只需公開他的私人密鑰，并聲稱他的私人密鑰被盜了，這樣任何人包括B都有可能發(fā)送DA（P）；其次是A改變了他的私人密鑰，出于安全因素的考慮，這種做法顯然是無可非議的，但這時如果發(fā)生糾紛的話，裁決人用新的EA去解老的DA（P），就會置B于非常不利的地位。算法存在的問題這種數(shù)字簽名看上去很好，但在實際的使用中也存在65報文摘要使用一個單向的哈希（Hash）函數(shù)，將任意長的明文轉(zhuǎn)換成一個固定長度的比特串，然后僅對該比特串進(jìn)行加密。這樣的方法通常稱為報文摘要（MessageDigest，MD），它必須滿足以下三個條件：①給定P，很容易計算出MD（P）；②給出MD（P），很難計算出P；③任何人不可能產(chǎn)生出具有相同報文摘要的兩個不同的報文。為滿足條件3，MD（P）至少必須達(dá)到128位，實際上有很多函數(shù)符合以上三個條件。報文摘要使用一個單向的哈希（Hash）函數(shù)，將任意長的明文轉(zhuǎn)66報文摘要-CAKCA（A，t，MD（P））報文摘要-CAKCA（A，t，MD（P））67報文摘要-公開密鑰密碼系統(tǒng)在公開密鑰密碼系統(tǒng)中，使用報文摘要進(jìn)行數(shù)字簽名的過程如圖所示。使用報文摘要的數(shù)字簽名P,DA（MD（P））報文摘要-公開密鑰密碼系統(tǒng)在公開密鑰密碼系統(tǒng)中，使用報文摘要68加密技術(shù)應(yīng)用案例加密技術(shù)應(yīng)用案例69第10章網(wǎng)絡(luò)安全本章內(nèi)容網(wǎng)絡(luò)安全基本概念信息安全技術(shù)防火墻技術(shù)網(wǎng)絡(luò)病毒第10章網(wǎng)絡(luò)安全本章內(nèi)容70防火墻技術(shù)防火墻（Firewall）是在兩個網(wǎng)絡(luò)之間執(zhí)行訪問控制策略的硬件或軟件系統(tǒng)，目的是保護(hù)網(wǎng)絡(luò)不被他人侵?jǐn)_。本質(zhì)上，它遵循的是一種數(shù)據(jù)進(jìn)行過濾的網(wǎng)絡(luò)通信安全機(jī)制，只允許授權(quán)的通信，而禁止非授權(quán)的通信。通常，防火墻就是位于內(nèi)部網(wǎng)或Web站點(diǎn)與因特網(wǎng)之間的一臺路由器或計算機(jī)。防火墻技術(shù)防火墻（Firewall）是在兩個網(wǎng)絡(luò)之間執(zhí)行訪問71通常，部署防火墻的理由包括：防止入侵者干擾內(nèi)部網(wǎng)絡(luò)的正常運(yùn)行；防止入侵者刪除或修改存儲再內(nèi)部網(wǎng)絡(luò)中的信息；防止入侵者偷竊內(nèi)部的秘密信息。防火墻應(yīng)該有以下功能：所有進(jìn)出網(wǎng)絡(luò)的通信流都應(yīng)該通過防火墻。所有穿過防火墻的通信流都必須有安全策略和計劃的確認(rèn)和授權(quán)。理論上說，防火墻是穿不透的。通常，部署防火墻的理由包括：72內(nèi)部網(wǎng)需要防范的三種攻擊

間諜、試圖偷走敏感信息的黑客、入侵者和闖入者。盜竊，盜竊對象包括數(shù)據(jù)、Web表格、磁盤空間和CPU資源等。破壞系統(tǒng)：通過路由器或主機(jī)／服務(wù)器蓄意破壞文件系統(tǒng)或阻止授權(quán)用戶訪問內(nèi)部網(wǎng)（外部網(wǎng)）和服務(wù)器。內(nèi)部網(wǎng)需要防范的三種攻擊間諜、試圖偷走敏感信息的黑客、入侵73防火墻在因特網(wǎng)與內(nèi)部網(wǎng)中的位置

防火墻在因特網(wǎng)與內(nèi)部網(wǎng)中的位置74防火墻體系結(jié)構(gòu)1．雙重宿主主機(jī)體系結(jié)構(gòu)2．主機(jī)過濾體系結(jié)構(gòu)3．子網(wǎng)過濾體系結(jié)構(gòu)4.堡壘主機(jī)的安全防護(hù)防火墻體系結(jié)構(gòu)1．雙重宿主主機(jī)體系結(jié)構(gòu)75雙重宿主主機(jī)雙重宿主主機(jī)結(jié)構(gòu)是圍繞具有雙重宿主的計算機(jī)而構(gòu)筑的。該計算機(jī)至少有兩個網(wǎng)絡(luò)接口，這樣的主機(jī)可以充當(dāng)與之相連的網(wǎng)絡(luò)之間的路由器，并能夠在網(wǎng)絡(luò)之間轉(zhuǎn)發(fā)IP數(shù)據(jù)包。防火墻內(nèi)部的網(wǎng)絡(luò)系統(tǒng)能與雙重宿主主機(jī)通信，同時防火墻外部的網(wǎng)絡(luò)系統(tǒng)（在因特網(wǎng)上）也能與雙重宿主主機(jī)通信。通過雙重宿主主機(jī)，防火墻內(nèi)外的計算機(jī)便可進(jìn)行通信了，但是這些系統(tǒng)不能直接互相通信，它們之間的IP通信被完全阻止（這意味著雙重宿主主機(jī)具有兩個不同的IP地址，一個屬于外網(wǎng)，另一個屬于內(nèi)網(wǎng)）。雙重宿主主機(jī)雙重宿主主機(jī)結(jié)構(gòu)是圍繞具有雙重宿主的計算機(jī)而構(gòu)筑76雙重宿主主機(jī)防火墻結(jié)構(gòu)雙重宿主主機(jī)防火墻結(jié)構(gòu)是相當(dāng)簡單的，雙重宿主主機(jī)位于兩者之間，并且被連接到因特網(wǎng)和內(nèi)部的網(wǎng)絡(luò)。雙重宿主主機(jī)防火墻結(jié)構(gòu)雙重宿主主機(jī)防火墻結(jié)構(gòu)是相當(dāng)簡單的，雙77主機(jī)過濾體系結(jié)構(gòu)

在主機(jī)過濾體系結(jié)構(gòu)中提供安全保護(hù)的主機(jī)僅僅與內(nèi)部網(wǎng)相連。主機(jī)過濾結(jié)構(gòu)有一臺單獨(dú)的路由器（過濾路由器）。在這種體系結(jié)構(gòu)中，主要的安全能力由路由器的數(shù)據(jù)包過濾特性提供，其結(jié)構(gòu)雙重宿主主機(jī)防火墻結(jié)構(gòu)類似，只是雙重宿主主機(jī)由路由器替代。主機(jī)過濾體系結(jié)構(gòu)在主機(jī)過濾體系結(jié)構(gòu)中提供安全保護(hù)的主機(jī)僅僅78子網(wǎng)過濾結(jié)構(gòu)子網(wǎng)過濾體系結(jié)構(gòu)添加了額外的安全層到主機(jī)過濾體系結(jié)構(gòu)中，即通過添加參數(shù)網(wǎng)絡(luò)，更進(jìn)一步地把內(nèi)部網(wǎng)絡(luò)與因特網(wǎng)隔離開。子網(wǎng)過濾結(jié)構(gòu)子網(wǎng)過濾體系結(jié)構(gòu)添加了額外的安全層到主機(jī)過濾體系79參數(shù)網(wǎng)絡(luò)

參數(shù)網(wǎng)絡(luò)是在內(nèi)外部網(wǎng)之間另加的一層安全保護(hù)網(wǎng)絡(luò)層。如果入侵者成功地闖過外層保護(hù)網(wǎng)到達(dá)防火墻，參數(shù)網(wǎng)絡(luò)就能在入侵者與內(nèi)部網(wǎng)之間再提供一層保護(hù)。參數(shù)網(wǎng)絡(luò)參數(shù)網(wǎng)絡(luò)是在內(nèi)外部網(wǎng)之間另加的一層安全保護(hù)網(wǎng)絡(luò)層。80如果入侵者僅僅侵入到參數(shù)網(wǎng)絡(luò)的堡壘主機(jī)，他只能偷看到參數(shù)網(wǎng)絡(luò)的信息流，看不到內(nèi)部網(wǎng)的信息，而參數(shù)網(wǎng)絡(luò)的信息流僅從參數(shù)網(wǎng)絡(luò)往來于外部網(wǎng)或者從參數(shù)網(wǎng)絡(luò)往來于堡壘主機(jī)。因為沒有純粹的內(nèi)部信息流（內(nèi)部主機(jī)間互傳的重要和敏感的信息）在參數(shù)網(wǎng)絡(luò)中流動，所以即使堡壘主機(jī)受到損害也不會讓入侵者破壞內(nèi)部網(wǎng)的信息流。如果入侵者僅僅侵入到參數(shù)網(wǎng)絡(luò)的堡壘主機(jī)，他只能偷看到參數(shù)網(wǎng)絡(luò)81堡壘主機(jī)

在子網(wǎng)過濾結(jié)構(gòu)中，堡壘主機(jī)與參數(shù)網(wǎng)絡(luò)相連，而這臺主機(jī)是外部網(wǎng)服務(wù)于內(nèi)部網(wǎng)的主節(jié)點(diǎn)。它為內(nèi)部網(wǎng)服務(wù)的主要功能有：①它接收外來的電子郵件再分發(fā)給相應(yīng)的站點(diǎn)；②它接收外來的FTP，并連到內(nèi)部網(wǎng)的匿名FTP服務(wù)器；③它接收外來的有關(guān)內(nèi)部網(wǎng)站點(diǎn)的域名服務(wù)。向外的服務(wù)功能可用以下方法來實施：①在內(nèi)、外部路由器上建立包過濾，以便內(nèi)部網(wǎng)的用戶可直接操作外部服務(wù)器；②在主機(jī)上建立代理服務(wù)，在內(nèi)部網(wǎng)的用戶與外部的服務(wù)器之間建立間接的連接。堡壘主機(jī)在子網(wǎng)過濾結(jié)構(gòu)中，堡壘主機(jī)與參數(shù)網(wǎng)絡(luò)相連，而這臺主82內(nèi)部路由器內(nèi)部路由器的主要功能是保護(hù)內(nèi)部網(wǎng)免受來自外部網(wǎng)與參數(shù)網(wǎng)絡(luò)的侵?jǐn)_。內(nèi)部路由器完成防火墻的大部分包過濾工作，它允許某些站點(diǎn)的包過濾系統(tǒng)認(rèn)為符合安全規(guī)則的服務(wù)在內(nèi)外部網(wǎng)之間互傳。根據(jù)各站點(diǎn)的需要和安全規(guī)則，可允許的服務(wù)是以下這些外向服務(wù)中的若干種，如：Telnet、FTP、WAIS、Archie、Gopher或者其他服務(wù)。內(nèi)部路由器內(nèi)部路由器的主要功能是保護(hù)內(nèi)部網(wǎng)免受來自外部網(wǎng)與參83外部路由器外部路由器既可保護(hù)參數(shù)網(wǎng)絡(luò)又保護(hù)內(nèi)部網(wǎng)。實際上，在外部路由器上僅做一小部分包過濾，它幾乎讓所有參數(shù)網(wǎng)絡(luò)的外向請求通過，而外部路由器與內(nèi)部路由器的包過濾規(guī)則是基本上相同的。外部路由器的包過濾主要是對參數(shù)網(wǎng)絡(luò)上的主機(jī)提供保護(hù)。然而，一般情況下，因為參數(shù)網(wǎng)絡(luò)上主機(jī)的安全主要通過主機(jī)安全機(jī)制加以保障，所以由外部路由器提供的很多保護(hù)并非必要。外部路由器真正有效的任務(wù)就是阻斷來自外部網(wǎng)上偽造源地址進(jìn)來的任何數(shù)據(jù)包。這些數(shù)據(jù)包自稱是來自內(nèi)部網(wǎng)，而其實它是來自外部網(wǎng)。外部路由器外部路由器既可保護(hù)參數(shù)網(wǎng)絡(luò)又保護(hù)內(nèi)部網(wǎng)。實際上，在84堡壘主機(jī)的安全防護(hù)

堡壘主機(jī)目前一般有以下三種類型：無路由雙宿主主機(jī)犧牲主機(jī)內(nèi)部堡壘主機(jī)堡壘主機(jī)的安全防護(hù)堡壘主機(jī)目前一般有以下三種類型：85堡壘主機(jī)應(yīng)提供的服務(wù)類型（1）無風(fēng)險服務(wù)，僅僅通過包過濾便可實施的服務(wù)。（2）低風(fēng)險服務(wù)，在有些情況下這些服務(wù)運(yùn)行時有安全隱患，但加以一些安全控制措施便可消除安全問題。（3）高風(fēng)險服務(wù)，在使用這些服務(wù)時無法徹底消除安全隱患；這類服務(wù)一般應(yīng)被禁用，特別需要時也只能放置在主機(jī)上使用。（4）禁用服務(wù)，應(yīng)被徹底禁止使用的服務(wù)。堡壘主機(jī)應(yīng)提供的服務(wù)類型（1）無風(fēng)險服務(wù)，僅僅通過包過濾便可86壁壘主機(jī)應(yīng)提供的具體服務(wù)①FTP：文件傳輸服務(wù)；②WAIS：基于關(guān)鍵字的信息瀏覽服務(wù)；③HTTP：超文本方式的信息瀏覽服務(wù)；④NNTP：Usenet新聞組服務(wù)；⑤Gopher：菜單驅(qū)動的信息瀏覽服務(wù)；SMTP：電子郵件服務(wù)；DNS：域名服務(wù)。壁壘主機(jī)應(yīng)提供的具體服務(wù)①FTP：文件傳輸服務(wù)；87建立堡壘主機(jī)的步驟

（1）給堡壘主機(jī)一個安全的運(yùn)行環(huán)境。（2）關(guān)閉機(jī)器上所有不必要的服務(wù)軟件。（3）安裝或修改必需的服務(wù)軟件。（4）根據(jù)最終需要重新配置機(jī)器。（5）核查機(jī)器上的安全保障機(jī)制。（6）將堡壘主機(jī)連入網(wǎng)絡(luò)。建立堡壘主機(jī)的步驟（1）給堡壘主機(jī)一個安全的運(yùn)行環(huán)境。88建立堡壘主機(jī)應(yīng)該注意以下幾點(diǎn)：（1）要在機(jī)器上使用最小的、干凈的和標(biāo)準(zhǔn)的操作系統(tǒng)。（2）應(yīng)該認(rèn)真對待每一條從計算機(jī)緊急救援協(xié)作中心獲得的針對用戶目前工作平臺的安全建議。（3）要經(jīng)常使用檢查列表（Checklist）。（4）要保護(hù)好系統(tǒng)的日志。

建立堡壘主機(jī)應(yīng)該注意以下幾點(diǎn)：89對堡壘主機(jī)進(jìn)行監(jiān)測

主要的監(jiān)視內(nèi)容有：（l）一般在同一時刻大概會有幾個作業(yè)在運(yùn)行？（2）每個作業(yè)一般花費(fèi)多少CPU時間？（3）一天內(nèi)哪些時間是系統(tǒng)重載的時間？有條件還可采用專門的軟件對堡壘主機(jī)進(jìn)行自動監(jiān)測。對堡壘主機(jī)進(jìn)行監(jiān)測主要的監(jiān)視內(nèi)容有：90

防火墻類型

1）從軟、硬件形式上分為：軟件防火墻和硬件防火墻以及芯片級防火墻。2）從防火墻技術(shù)分為：“包過濾型”、“狀態(tài)檢測型”和“應(yīng)用代理型”三大類。3）從防火墻結(jié)構(gòu)分為：單一主機(jī)防火墻、路由器集成式防火墻和分布式防火墻三種。4）按防火墻的應(yīng)用部署位置分為：邊界防火墻、個人防火墻和混合防火墻三大類。5）按防火墻性能分為：百兆級防火墻和千兆級防火墻兩類。防火墻類型1）從軟、硬件形式上分為：軟件防火墻和硬件防火91包（分組）過濾型防火墻

包過濾（PacketFiltering）是防火墻最基本的實現(xiàn)形式，它控制哪些數(shù)據(jù)包可以進(jìn)出網(wǎng)絡(luò)而哪些數(shù)據(jù)包應(yīng)被網(wǎng)絡(luò)拒絕。包過濾防火墻通常是放置在因特網(wǎng)與內(nèi)部網(wǎng)絡(luò)之間的一個具備包過濾功能的簡單路由器，這是因為包過濾是路由器的固有屬性。包（分組）過濾型防火墻包過濾（PacketFilteri92包過濾可依據(jù)以下三類條件允許或阻止數(shù)據(jù)包通過路由器：包的源地址及源端口；包的目的地址及目的端口；包的傳送協(xié)議，如FTP、SMTP、rlogin等。包過濾可依據(jù)以下三類條件允許或阻止數(shù)據(jù)包通過路由器：93包過濾的優(yōu)點(diǎn)簡單、易于實現(xiàn)、對用戶透明、路由器免費(fèi)提供此功能。僅用一個放置在內(nèi)部網(wǎng)與因特網(wǎng)邊界上的包過濾路由器就可保護(hù)整個內(nèi)部網(wǎng)絡(luò)。包過濾的優(yōu)點(diǎn)簡單、易于實現(xiàn)、對用戶透明、路由器免費(fèi)提供此功能94包過濾的缺點(diǎn)編制邏輯上嚴(yán)密無漏洞的包過濾規(guī)則比較困難，對編制好的規(guī)則進(jìn)行測試維護(hù)也較麻煩。維護(hù)復(fù)雜的包過濾規(guī)則也是一件很麻煩的事情包過濾規(guī)則的判別會降低路由器的轉(zhuǎn)發(fā)速度對包中的應(yīng)用數(shù)據(jù)無法過濾它總是假定包頭部信息是合法有效的。以上這些缺點(diǎn)使得包過濾技術(shù)通常不單獨(dú)使用，而是作為其他安全技術(shù)的一種補(bǔ)充。包過濾的缺點(diǎn)編制邏輯上嚴(yán)密無漏洞的包過濾規(guī)則比較困難，對編制95包過濾規(guī)則在配置包過濾路由器時，首先要確定哪些服務(wù)允許通過而哪些服務(wù)應(yīng)被拒絕，并將這些規(guī)定翻譯成有關(guān)的包過濾規(guī)則（在路由器中，包過濾規(guī)則又被稱為訪問控制表（AccessList））。下面給出將有關(guān)服務(wù)翻譯成包過濾規(guī)則時非常重要的幾個概念。協(xié)議的雙向性“往內(nèi)”與“往外”的含義“默認(rèn)允許”與“默認(rèn)拒絕”包過濾規(guī)則在配置包過濾路由器時，首先要確定哪些服務(wù)允許通過而96包過濾處理流程

包過濾處理流程97包過濾規(guī)則設(shè)計示例假設(shè)網(wǎng)絡(luò)策略安全規(guī)則確定：從外部主機(jī)發(fā)來的因特網(wǎng)郵件由特定網(wǎng)關(guān)“Mail-GW”接收，并且要拒絕從不信任的主機(jī)“CREE-PHOST”發(fā)來的數(shù)據(jù)流。在這個例子中，SMTP使用的網(wǎng)絡(luò)安全策略必須翻譯成包過濾規(guī)則。為便于理解，把網(wǎng)絡(luò)安全規(guī)則翻譯成下列中文形式：[過濾器規(guī)則1]：不相信從CREE-PHOST來的連接。[過濾器規(guī)則2]：允許與郵件網(wǎng)關(guān)Mail-GW的連接。包過濾規(guī)則設(shè)計示例假設(shè)網(wǎng)絡(luò)策略安全規(guī)則確定：從外部主機(jī)發(fā)來的98以上規(guī)則被編成如下表的形式。其中星號（*）表明它可以匹配該列的任何值。這些規(guī)則應(yīng)用的順序與它們在表中的順序相同。如果一個包不與任何規(guī)則匹配，它就會遭到拒絕。序號動作內(nèi)部主機(jī)內(nèi)外部主機(jī)外說明1阻塞Cree-phost阻塞來自Cree-phost的流量2允許Mail-GW25允許郵件網(wǎng)關(guān)Mail-GW的連接3允許25允許輸出SMTP至遠(yuǎn)程郵件網(wǎng)關(guān)以上規(guī)則被編成如下表的形式。其中星號（*）表明它可以匹配該列99狀態(tài)監(jiān)測型防火墻

采用動態(tài)設(shè)置包過濾規(guī)則的方法，避免了靜態(tài)包過濾所具有的問題。采用這種技術(shù)的防火墻對通過其建立的每一個連接都進(jìn)行跟蹤，并且根據(jù)需要可動態(tài)地在過濾規(guī)則中增加或更新條目。狀態(tài)監(jiān)測型防火墻采用動態(tài)設(shè)置包過濾規(guī)則的方法，避免了靜態(tài)包100應(yīng)用代理型防火墻

應(yīng)用代理型防火墻是工作在OSI的最高層，即應(yīng)用層。其特點(diǎn)是完全“阻隔”了網(wǎng)絡(luò)通信流，通過對每種應(yīng)用服務(wù)編制專門的代理程序，實現(xiàn)監(jiān)視和控制應(yīng)用層通信流的作用。代理服務(wù)就是指定一臺有訪問因特網(wǎng)能力的主機(jī)作為網(wǎng)絡(luò)中客戶端的代理去與因特網(wǎng)中的主機(jī)進(jìn)行通信。

應(yīng)用代理型防火墻應(yīng)用代理型防火墻是工作在OSI的最高層，即101代理服務(wù)器的工作代理服務(wù)器判斷從客戶端來的請求并決定哪些請求允許傳送而哪些應(yīng)被拒絕。當(dāng)某個請求被允許時，代理服務(wù)器就代表客戶與真正的服務(wù)器進(jìn)行交談，并將從客戶端來的請求傳送給真實服務(wù)器，將真實服務(wù)器的回答傳送給客戶。代理服務(wù)器的工作代理服務(wù)器判斷從客戶端來的請求并決定哪些請求102代理的工作過程

代理的工作過程103代理型防火墻版本第一代：應(yīng)用網(wǎng)關(guān)型代理防火第二代：自適應(yīng)代理防火墻。代理型防火墻版本第一代：應(yīng)用網(wǎng)關(guān)型代理防火104代理類型防火墻優(yōu)缺點(diǎn)優(yōu)點(diǎn)：安全避免了入侵者使用數(shù)據(jù)驅(qū)動類型的攻擊方式入侵內(nèi)部網(wǎng)缺點(diǎn)：速度相對比較慢代理類型防火墻優(yōu)缺點(diǎn)優(yōu)點(diǎn)：105代理服務(wù)器特殊類型應(yīng)用級與電路級代理公共與專用代理服務(wù)器智能代理服務(wù)器代理服務(wù)器特殊類型應(yīng)用級與電路級代理106防火墻的應(yīng)用因特網(wǎng)應(yīng)用的代理特點(diǎn)

選擇防火墻的原則

防火墻的應(yīng)用因特網(wǎng)應(yīng)用的代理特點(diǎn)107電子郵件（E-mail）的代理特點(diǎn)

一個服務(wù)器，用來向外部主機(jī)發(fā)送郵件或從外部主機(jī)接收郵件。發(fā)信代理，用于將郵件正確地放入本地主機(jī)郵箱中。用戶代理，用于讓收信人閱讀郵件并編排出站郵件。電子郵件（E-mail）的代理特點(diǎn)一個服務(wù)器，用來向外部主108簡單郵件傳輸協(xié)議（SMTP）的代理特點(diǎn)

由于任何一個SMTP服務(wù)器都有可能為其它站點(diǎn)進(jìn)行郵件轉(zhuǎn)發(fā)，因而很少將它設(shè)置成一個單獨(dú)的代理。大多數(shù)站點(diǎn)將輸入的SMTP連接到一臺安全運(yùn)行SMTP服務(wù)的堡壘主機(jī)上，該堡壘主機(jī)就是一個代理。簡單郵件傳輸協(xié)議（SMTP）的代理特點(diǎn)由于任何一個SMTP109郵局協(xié)議（POP）的代理特點(diǎn)

郵局協(xié)議（POP）對于代理系統(tǒng)來說非常簡單，因為它采用單個連接。內(nèi)置的支持代理的POP客戶程序還很少，主要原因是POP多用于局域網(wǎng)，而很少用于因特網(wǎng)。郵局協(xié)議（POP）的代理特點(diǎn)郵局協(xié)議（POP）對于代理系統(tǒng)110文件傳輸FTP兩個端口反向方式文件傳輸FTP兩個端口111遠(yuǎn)程登錄（Telnet）、存儲轉(zhuǎn)發(fā)協(xié)議（NNTP）、超文本傳輸協(xié)議（HTTP）都可以很好的支持代理的方案。

遠(yuǎn)程登錄（Telnet）、存儲轉(zhuǎn)發(fā)協(xié)議（NNTP）、超文本傳112域名服務(wù)（DNS）

DNS具有這樣的結(jié)構(gòu)：可以使服務(wù)器充當(dāng)客戶程序的代理。利用DNS能夠轉(zhuǎn)發(fā)自身的特點(diǎn)，可以使一個DNS服務(wù)器成為另一個DNS服務(wù)器的代理。在真正的實現(xiàn)時，大多數(shù)情況可以修改DNS庫來使用修改的客戶程序代理。在不支持動態(tài)連接的機(jī)器上，使用DNS的修改客戶程序的代理需要重新編譯網(wǎng)絡(luò)中使用的每個程序。域名服務(wù)（DNS）DNS具有這樣的結(jié)構(gòu)：可以使服務(wù)器充當(dāng)客113選擇防火墻的原則

選擇防火墻的原則如下：1.防火墻自身的安全性2.考慮特殊的需求（1）IP地址轉(zhuǎn)換（IPAddressTranslation）。（2）雙重DNS。（3）虛擬企業(yè)網(wǎng)絡(luò)（VPN）。（4）病毒掃描功能。（5）特殊控制需求。選擇防火墻的原則選擇防火墻的原則如下：114第10章網(wǎng)絡(luò)安全本章內(nèi)容網(wǎng)絡(luò)安全基本概念信息安全技術(shù)防火墻技術(shù)網(wǎng)絡(luò)病毒第10章網(wǎng)絡(luò)安全本章內(nèi)容115網(wǎng)絡(luò)病毒什么是計算機(jī)病毒?計算機(jī)病毒是一種“計算機(jī)程序”，它不僅能破壞計算機(jī)系統(tǒng)，而且還能夠傳播、感染到其他系統(tǒng)。它通常隱藏在其它看起來無害的程序中，能復(fù)制自身并將其插入其他的程序中，執(zhí)行惡意的行動。網(wǎng)絡(luò)病毒什么是計算機(jī)病毒?116計算機(jī)病毒分類（1）文件病毒（2）引導(dǎo)扇區(qū)病毒（3）多裂變病毒（4）秘密病毒（5）變異病毒（6）宏病毒計算機(jī)病毒分類（1）文件病毒117宏病毒及網(wǎng)絡(luò)病毒宏病毒宏是軟件設(shè)計者為了在使用軟件工作時，避免一再的重復(fù)相同的動作而設(shè)計出來的一種工具。它利用簡單的語法，把常用的動作寫成宏，當(dāng)再工作時，就可以直接利用事先寫好的宏自動運(yùn)行，去完成某項特定的任務(wù)，而不必再重復(fù)相同的動作。“宏病毒”，就是利用宏命令編寫成的具有復(fù)制、傳染能力的宏。宏病毒是一種新形態(tài)的計算機(jī)病毒，也是一種跨平臺的計算機(jī)病毒，可以在Windows9X、WindowsNT、OS/2和MacintoshSystem7等操作系統(tǒng)上執(zhí)行病毒行為。宏病毒及網(wǎng)絡(luò)病毒宏病毒118宏病毒特征

①宏病毒會感染.doc文檔和.dot模板文件。②宏病毒的傳染通常是Word在打開一個帶宏病毒的文檔或模板時，激活宏病毒。病毒宏將自身復(fù)制到Word通用（Normal）模板中，以后在打開或關(guān)閉文件時宏病毒就會把病毒復(fù)制到該文件中。③多數(shù)宏病毒包含AutoOpen、AutoClose、AutoNew和AutoExit等自動宏，通過這些自動宏病毒取得文檔（模板）操作權(quán)。宏病毒特征①宏病毒會感染.doc文檔和.dot模板文件。119宏病毒特征④宏病毒中總是含有對文檔讀寫操作的宏命令。⑤宏病毒在.doc文檔、.dot模板中以.BFF（BinaryFileFormat）格式存放，這是一種加密壓縮格式，不同Word版本格式可能不兼容。宏病毒特征④宏病毒中總是含有對文檔讀寫操作的宏命令。120宏病毒的防治和清除方法

（1）使用選項“提示保存Normal模板”（2）不要通過Shift鍵來禁止運(yùn)行自動宏（3）查看宏代碼并刪除（4）使用DisableAutoMacros宏（5）使用Word的報警設(shè)置（6）設(shè)置Normal.dot的只讀屬性（7）Normal.dot的密碼保護(hù)

宏病毒的防治和清除方法（1）使用選項“提示保存Normal121病毒入侵網(wǎng)絡(luò)的途徑病毒入侵網(wǎng)絡(luò)的途徑主要有兩種：局域網(wǎng)因特網(wǎng)病毒入侵網(wǎng)絡(luò)的途徑病毒入侵網(wǎng)絡(luò)的途徑主要有兩種：122局域網(wǎng)方面

病毒入侵局域網(wǎng)的主要途徑是通過工作站傳播到服務(wù)器硬盤，再由服務(wù)器的共享目錄傳播到其他工作站。還有很多病毒可以通過特殊的網(wǎng)絡(luò)協(xié)議在局域網(wǎng)內(nèi)傳播，如ARP病毒。局域網(wǎng)方面病毒入侵局域網(wǎng)的主要途徑是通過工作站傳播到服務(wù)器123因特網(wǎng)方面

主要有以下四類：1）木馬病毒（Trojanhorsevirus）2）蠕蟲病毒（Wormvirus）3）惡意軟件（Malicioussoftware）4）電子郵件病毒因特網(wǎng)方面主要有以下四類：124防治辦法通過采取技術(shù)上和管理上的措施，計算機(jī)病毒是完全可以防范的。目前最有效的防治辦法是購買商業(yè)化的病毒防御解決方案及其服務(wù)，享受專業(yè)公司提供的不斷升級的防病毒產(chǎn)品及服務(wù)。較為成熟的方案和產(chǎn)品有諾頓多層次病毒防御方案、KV系列防病毒軟件、金山系列防病毒軟件和瑞星系列防病毒軟件等。防治辦法通過采取技術(shù)上和管理上的措施，計算機(jī)病毒是完全可以防125小結(jié)

網(wǎng)絡(luò)管理網(wǎng)絡(luò)安全密碼學(xué)防火墻代理服務(wù)網(wǎng)絡(luò)病毒的防治小結(jié)網(wǎng)絡(luò)管理126演講完畢，謝謝觀看！演講完畢，謝謝觀看！127第10章網(wǎng)絡(luò)安全本章內(nèi)容網(wǎng)絡(luò)安全的基本概念信息安全技術(shù)防火墻技術(shù)網(wǎng)絡(luò)病毒第10章網(wǎng)絡(luò)安全本章內(nèi)容128網(wǎng)絡(luò)安全的基本概念什么是網(wǎng)絡(luò)安全？網(wǎng)絡(luò)安全主要解決數(shù)據(jù)保密和認(rèn)證的問題。網(wǎng)絡(luò)安全的基本概念129數(shù)據(jù)保密就是采取復(fù)雜多樣的措施對數(shù)據(jù)加以保護(hù)，以防止數(shù)據(jù)被有意或無意地泄露給無關(guān)人員。認(rèn)證分為信息認(rèn)證和用戶認(rèn)證兩個方面信息認(rèn)證是指信息從發(fā)送到接收整個通路中沒有被第三者修改和偽造，用戶認(rèn)證是指用戶雙方都能證實對方是這次通信的合法用戶。通常在一個完備的保密系統(tǒng)中既要求信息認(rèn)證，也要求用戶認(rèn)證。數(shù)據(jù)保密就是采取復(fù)雜多樣的措施對數(shù)據(jù)加以保護(hù)，以防止數(shù)據(jù)被有130網(wǎng)絡(luò)安全包括OSI-RM各層事實上，每一層都可以采取一定的措施來防止某些類型的網(wǎng)絡(luò)入侵事件，在一定程度上保障數(shù)據(jù)的安全。物理層——可以在包容電纜的密封套中充入高壓的氖氣；鏈路層——可以進(jìn)行所謂的鏈路加密，即將每個幀編碼后再發(fā)出，當(dāng)?shù)竭_(dá)另一端時再解碼恢復(fù)出來；網(wǎng)絡(luò)層——可以使用防火墻技術(shù)過濾一部分有嫌疑的數(shù)據(jù)報；在傳輸層上甚至整個連接都可以被加密。網(wǎng)絡(luò)安全包括OSI-RM各層事實上，每一層都可以采取一定的措131網(wǎng)絡(luò)安全定義網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。（1）運(yùn)行系統(tǒng)安全，即保證信息處理和傳輸系統(tǒng)的安全。（2）網(wǎng)絡(luò)上系統(tǒng)信息的安全。（3）網(wǎng)絡(luò)上信息傳播的安全，即信息傳播后果的安全。（4）網(wǎng)絡(luò)上信息內(nèi)容的安全，即我們討論的狹義的“信息安全”。網(wǎng)絡(luò)安全定義網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)132網(wǎng)絡(luò)安全應(yīng)具備四個特征保密性：信息不泄露給非授權(quán)的用戶、實體或過程，或供其利用的特性；完整性：數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變的特性，即信息在存儲或傳輸過程中保持不被修改、不被破壞和丟失的特性；網(wǎng)絡(luò)安全應(yīng)具備四個特征保密性：信息不泄露給非授權(quán)的用戶、實體133可用性：可被授權(quán)實體訪問并按需求使用的特性，即當(dāng)需要時應(yīng)能存取所需的信息，網(wǎng)絡(luò)環(huán)境下拒絕服務(wù)、破壞網(wǎng)絡(luò)和有關(guān)系統(tǒng)的正常運(yùn)行等都屬于對可用性的攻擊；可控性：對信息的傳播及內(nèi)容具有控制能力?？捎眯裕嚎杀皇跈?quán)實體訪問并按需求使用的特性，即當(dāng)需要時應(yīng)能存134主要的網(wǎng)絡(luò)安全的威脅（1）非授權(quán)訪問（UnauthorizedAccess）：一個非授權(quán)的人的入侵。（2）信息泄露（DisclosureofInformation）：造成將有價值的和高度機(jī)密的信息暴露給無權(quán)訪問該信息的人的所有問題。（3）拒絕服務(wù)（DenialofService）：使得系統(tǒng)難以或不可能繼續(xù)執(zhí)行任務(wù)的所有問題。主要的網(wǎng)絡(luò)安全的威脅（1）非授權(quán)訪問（Unauthorize135網(wǎng)絡(luò)安全的關(guān)鍵技術(shù)主機(jī)安全技術(shù)身份認(rèn)證技術(shù)訪問控制技術(shù)密碼技術(shù)防火墻技術(shù)病毒防治技術(shù)安全審計技術(shù)安全管理技術(shù)網(wǎng)絡(luò)安全的關(guān)鍵技術(shù)主機(jī)安全技術(shù)136制定安全策略涉及四方面網(wǎng)絡(luò)用戶的安全責(zé)任系統(tǒng)管理員的安全責(zé)任正確利用網(wǎng)絡(luò)資源檢測到安全問題時的對策制定安全策略涉及四方面網(wǎng)絡(luò)用戶的安全責(zé)任137計算機(jī)安全的分類根據(jù)中國國家計算機(jī)安全規(guī)范，計算機(jī)的安全大致可分為三類：1）實體安全。包括機(jī)房、線路、主機(jī)等；2）網(wǎng)絡(luò)安全。包括網(wǎng)絡(luò)的暢通、準(zhǔn)確以及網(wǎng)上信息的安全；3）應(yīng)用安全。包括程序開發(fā)運(yùn)行、I/O、數(shù)據(jù)庫等的安全。計算機(jī)安全的分類根據(jù)中國國家計算機(jī)安全規(guī)范，計算機(jī)的安全大致138網(wǎng)絡(luò)安全分類基本安全類：包括訪問控制、授權(quán)、認(rèn)證、加密以及內(nèi)容安全。管理與記賬類安全：包括安全的策略的管理、實時監(jiān)控、報警以及企業(yè)范圍內(nèi)的集中管理與記賬。網(wǎng)絡(luò)互聯(lián)設(shè)備包括路由器、通信服務(wù)器、交換機(jī)等，網(wǎng)絡(luò)互聯(lián)設(shè)備安全正是針對上述這些互聯(lián)設(shè)備而言的，它包括路由安全管理、遠(yuǎn)程訪問服務(wù)器安全管理、通信服務(wù)器安全管理以及交換機(jī)安全管理等等。連接控制類包括負(fù)載均衡、可靠性以及流量管理等。網(wǎng)絡(luò)安全分類基本安全類：包括訪問控制、授權(quán)、認(rèn)證、加密以及內(nèi)139安全威脅的類型非授權(quán)訪問假冒合法用戶數(shù)據(jù)完整性受破壞病毒通信線路被竊聽干擾系統(tǒng)的正常運(yùn)行，改變系統(tǒng)正常運(yùn)行的方向，以及延時系統(tǒng)的響應(yīng)時間安全威脅的類型非授權(quán)訪問140計算機(jī)系統(tǒng)本身的弱點(diǎn)操作系統(tǒng)的創(chuàng)建進(jìn)程機(jī)制遠(yuǎn)程過程調(diào)用（RPC）服務(wù)以及它所安排的無口令入口存在超級用戶硬件或軟件故障協(xié)議安全的脆弱性數(shù)據(jù)庫管理系統(tǒng)安全的脆弱性

計算機(jī)系統(tǒng)本身的弱點(diǎn)操作系統(tǒng)的創(chuàng)建進(jìn)程機(jī)制141網(wǎng)絡(luò)信息安全系統(tǒng)組成一個完整的網(wǎng)絡(luò)信息安全系統(tǒng)至少包括三類措施：社會的法律政策，企業(yè)的規(guī)章制度及網(wǎng)絡(luò)安全教育等外部環(huán)境；技術(shù)方面的措施，如防火墻技術(shù)、防病毒。信息加密、身份確認(rèn)以及授權(quán)等；審計與管理措施，包括技術(shù)與社會措施。

網(wǎng)絡(luò)信息安全系統(tǒng)組成一個完整的網(wǎng)絡(luò)信息安全系統(tǒng)至少包括三類措142網(wǎng)絡(luò)信息安全系統(tǒng)組成網(wǎng)絡(luò)信息安全系統(tǒng)組成143網(wǎng)絡(luò)安全策略考慮因素對于內(nèi)部用戶和外部用戶分別提供哪些服務(wù)程序；初始投資額和后續(xù)投資額（新的硬件、軟件及工作人員）；方便程度和服務(wù)效率；復(fù)雜程度和安全等級的平衡以及網(wǎng)絡(luò)性能。網(wǎng)絡(luò)安全策略考慮因素對于內(nèi)部用戶和外部用戶分別提供哪些服務(wù)程144網(wǎng)絡(luò)安全關(guān)鍵技術(shù)信息包篩選（基于包過濾的防火墻）網(wǎng)絡(luò)安全關(guān)鍵技術(shù)信息包篩選（基于包過濾的防火墻）145網(wǎng)絡(luò)安全關(guān)鍵技術(shù)應(yīng)用中繼器（代理技術(shù)）網(wǎng)絡(luò)安全關(guān)鍵技術(shù)應(yīng)用中繼器（代理技術(shù)）146網(wǎng)絡(luò)安全關(guān)鍵技術(shù)加密技術(shù)網(wǎng)絡(luò)安全關(guān)鍵技術(shù)加密技術(shù)147網(wǎng)絡(luò)安全系統(tǒng)提供安全的常用方法用備份和鏡像技術(shù)提高數(shù)據(jù)完整性病毒檢查補(bǔ)丁程序，修補(bǔ)系統(tǒng)漏洞提高物理安全安裝因特網(wǎng)防火墻廢品處理守則仔細(xì)閱讀日志加密執(zhí)行身份鑒別，口令守則捕捉闖入者網(wǎng)絡(luò)安全系統(tǒng)提供安全的常用方法用備份和鏡像技術(shù)提高數(shù)據(jù)完整性148從計算機(jī)系統(tǒng)可靠性方面可以采取的網(wǎng)絡(luò)安全性措施有：1）選擇性能優(yōu)良的服務(wù)器。2）采用服務(wù)器備份。3）對重要網(wǎng)絡(luò)設(shè)備、通信線路備份。從計算機(jī)系統(tǒng)可靠性方面可以采取的網(wǎng)絡(luò)安全性措施有：149網(wǎng)絡(luò)安全的評估網(wǎng)絡(luò)安全評估是網(wǎng)絡(luò)安全的必不可少的工作，評估的內(nèi)容有：確定有關(guān)網(wǎng)絡(luò)安全的方案；對已有的網(wǎng)絡(luò)安全方案進(jìn)行審查；確定與網(wǎng)絡(luò)安全方案有關(guān)的人員，并確定對網(wǎng)絡(luò)資源可以直接存取的人或單位（部門）；確保所需要的技術(shù)能使網(wǎng)絡(luò)安全方案得以落實；網(wǎng)絡(luò)安全的評估網(wǎng)絡(luò)安全評估是網(wǎng)絡(luò)安全的必不可少的工作，評估的150確定內(nèi)部網(wǎng)絡(luò)的類型確定接入互聯(lián)網(wǎng)的方式；確定單位內(nèi)部能提供互聯(lián)網(wǎng)訪問的用戶，并明確互聯(lián)網(wǎng)接入用戶是固定的還是移動的；是否需要加密，如果需要加密，必須說明要求的性質(zhì)。網(wǎng)絡(luò)安全培訓(xùn)課件151第10章網(wǎng)絡(luò)安全本章內(nèi)容網(wǎng)絡(luò)安全基本概念信息安全技術(shù)防火墻技術(shù)網(wǎng)絡(luò)病毒第10章網(wǎng)絡(luò)安全本章內(nèi)容152信息安全技術(shù)數(shù)據(jù)加密用戶認(rèn)證數(shù)字簽名加密技術(shù)應(yīng)用案例153信息安全技術(shù)數(shù)據(jù)加密26數(shù)據(jù)加密P=Dk（Ek（P））數(shù)據(jù)加密P=Dk（Ek（P））154網(wǎng)絡(luò)入侵網(wǎng)絡(luò)入侵者分為消極入侵者和積極入侵者兩種消極入侵者只是竊聽而已，并不對數(shù)據(jù)造成破壞；積極入侵者會截獲密文，篡改數(shù)據(jù)甚至偽造假數(shù)據(jù)送入網(wǎng)中。網(wǎng)絡(luò)入侵網(wǎng)絡(luò)入侵者分為消極入侵者和積極入侵者兩種155密碼分析和密碼學(xué)破譯密碼的技術(shù)叫做密碼分析設(shè)計密碼和破譯密碼的技術(shù)統(tǒng)稱為密碼學(xué)

密碼分析和密碼學(xué)破譯密碼的技術(shù)叫做密碼分析156密碼學(xué)的一條基本原則是：必須假定破譯者知道通用的加密方法，也就是說加密算法E是公開的。基本加密模型：加密算法是公開的和相對穩(wěn)定的，而作為參數(shù)的密鑰是保密的，并且是易于更換的。基本加密模型密碼學(xué)的一條基本原則是：必須假定破譯者知道通用的加密方法，也157從破譯者的角度來看，密碼分析所面對的問題有三種主要的變型：當(dāng)僅有密文而無明文時，稱為“只有密文”問題；當(dāng)已擁有了一批相匹配的明文和密文時，稱為“已知明文”問題；當(dāng)能夠加密自己所選的一些明文時，稱為“選擇明文”問題。密碼分析問題分類從破譯者的角度來看，密碼分析所面對的問題有三種主要的變型：密158一個密碼系統(tǒng)僅能經(jīng)得起“只有密文”的攻擊還不能算是安全的，因為破譯者完全可以從一般的通信規(guī)律中猜測出一部分的明文，從而就會擁用一些匹配的明文和密文，這對破譯工作將大為有用。真正安全的密碼系統(tǒng)應(yīng)是，即使破譯者能夠加密任意數(shù)量的明文，也無法破譯密文。安全的密碼系統(tǒng)一個密碼系統(tǒng)僅能經(jīng)得起“只有密文”的攻擊還不能算是安全的，因159密碼學(xué)的歷史非常悠久，傳統(tǒng)的加密方法可以分成兩類：替代密碼換位密碼傳統(tǒng)加密技術(shù)密碼學(xué)的歷史非常悠久，傳統(tǒng)的加密方法可以分成兩類：傳統(tǒng)加密技160

定義：替代密碼就用一組密文字母來代替一組明文字母以隱藏明文，但保持明文字母的位置不變。替代密碼定義：替代密碼就用一組密文字母來代替一組明文字母以隱161凱撒密碼——最古老的地帶密碼凱撒密碼，它用D表示a，用E表示b，用F表示c，……，用C表示z，也就是說密文字母相對明文字母左移了3位。更一般地，可以讓密文字母相對明文字母左移k位，這樣k就成了加密和解密的密鑰。缺點(diǎn)：容易破譯，因為最多只需嘗試25次（k=1～25）即可輕松破譯密碼。記法約定：用小寫表示明文，用大寫表示密文凱撒密碼——最古老的地帶密碼凱撒密碼，它用D表示a，用E表示162單字母表替換：使明文字母和密文字母之間的映射關(guān)系沒有規(guī)律可循，比如將26個英文字母隨意映射到其他字母上。破譯者只要擁有很少一點(diǎn)密文，利用自然語言的統(tǒng)計特征，很容易就可破譯密碼。破譯的關(guān)鍵在于找出各種字母或字母組合出現(xiàn)的頻率替代密碼-單字母表替換單字母表替換：使明文字母和密文字母之間的映射關(guān)系沒有規(guī)律可循163替代密碼-多張密碼字母表

對明文中不同位置上的字母用不同的密碼字母表來加密。如：雖然破譯多字母密碼表要困難一些，但如果破譯者手頭有較多的密文，仍然是可以破譯的。破譯的訣竅在于猜測密鑰的長度。替代密碼-多張密碼字母表對明文中不同位置上的字母用不同的密164換位密碼換位有時也稱為排列，它不對明文字母進(jìn)行變換，只是將明文字母的次序進(jìn)行重新排列。例：COMPUTER明文pleaseexecutethelatestScheme14358726明文pleaseexecutethelatestSchemep1easeex明文pleaseexecutethelatestSchemeecutethe密文PELHEHSCEUTMLCAEATEEXECDETTBSESA1atestsc密文PELHEHSCEUTMLCAEATEEXECDETTBSESAhemeabcd密文PELHEHSCEUTMLCAEATEEXECDETTBSESA換位密碼換位有時也稱為排列，它不對明文字母進(jìn)行變換，只是將明165換位密碼的破譯第一步是判斷密碼類型是否為換位密碼。第二步是猜測密鑰的長度，也即列數(shù)。第三步是確定各列的順序。換位密碼的破譯第一步是判斷密碼類型是否為換位密碼。166秘密密鑰算法在傳統(tǒng)加密算法的基礎(chǔ)上，充分利用計算機(jī)的處理能力，將算法內(nèi)部的變換過程設(shè)計的非常復(fù)雜，并使用較長的密鑰，使得攻擊者對密文的破譯變得非常困難。甚至，在攻擊者即使掌握了加密算法的本身，也會由于不知道密鑰而得不到明文。由于這種體制將算法和密鑰進(jìn)行了分離，并且算法的保密性完全依賴于密鑰的安全性，因此，被稱為秘密密鑰加密體制。秘密密鑰算法在傳統(tǒng)加密算法的基礎(chǔ)上，充分利用計算機(jī)的處理能力167電路實現(xiàn)換位密碼和替代密碼可以用簡單的電路來實現(xiàn)。圖（a）是一個實現(xiàn)換位密碼的基本部件，稱為P盒（P-box），它將輸入順序映射到某個輸出順序上，只要適當(dāng)改變盒內(nèi)的連線，它就可以實現(xiàn)任意的排列。圖（b）是一個實現(xiàn)替代密碼的基本部件，稱為S盒（S-box），它由一個3-8譯碼器、一個P盒和一個8-3編碼器組成。一個3比特的輸入將選擇3-8譯碼器的一根輸出線，該線經(jīng)P盒換位后從另一根線上輸出，再經(jīng)8-3編碼器轉(zhuǎn)換成一個新的3比特序列。將P盒和S盒相復(fù)合構(gòu)成乘積密碼系統(tǒng)，就可以實現(xiàn)非常復(fù)雜的加密算法。圖（c）是一個乘積密碼系統(tǒng)的例子。一個12比特的明文經(jīng)第一個P盒排列后，按3比特一組分成4組，分別進(jìn)入4個不同的S盒進(jìn)行替代，替代后的輸出又經(jīng)第二個P盒排列，然后再進(jìn)入4個S盒進(jìn)行替代，這個過程重復(fù)進(jìn)行直至最后輸出密文。只要級聯(lián)的級數(shù)足夠大，算法就可以設(shè)計得非常復(fù)雜。電路實現(xiàn)換位密碼和替代密碼可以用簡單的電路來實現(xiàn)。圖（a）是168密鑰分發(fā)問題秘密密鑰的一個弱點(diǎn)是解密密鑰必須和加密密鑰相同，這就產(chǎn)生了如何安全地分發(fā)密鑰的問題。傳統(tǒng)上是由一個中心密鑰生成設(shè)備產(chǎn)生一個相同的密鑰對，并由人工信使將其傳送到各自的目的地。對于一個擁有許多部門的組織來說，這種分發(fā)方式是不能令人滿意的，尤其是出于安全方面的考慮需要經(jīng)常更換密鑰時更是如此。密鑰分發(fā)問題秘密密鑰的一個弱點(diǎn)是解密密鑰必須和加密密鑰相同，169公開密鑰算法在公開密鑰算法中，加密密鑰和解密密鑰是不同的，并且從加密密鑰不能得到解密密鑰。為此，加密算法E和解密算法D必須滿足以下的三個條件：①D（E（P））=P；②從E導(dǎo)出D非常困難；③使用“選擇明文”攻擊不能攻破E。如果能夠滿足以上三個條件，則加密算法完全可以公開。將解密算法D作用于密文E（P）后就可獲得明文P不可能從E導(dǎo)出D破譯者即使能加密任意數(shù)量的選擇明文，也無法破譯密碼。公開密鑰算法在公開密鑰算法中，加密密鑰和解密密鑰是不同的，并170公開密鑰算法的基本思想如果某個用戶希望接收秘密報文，他必須設(shè)計兩個算法：加密算法E和解密算法D，然后將加密算法放于任何一個公開的文件中廣而告知，這也是公開密鑰算法名稱的由來，他甚至也可以公開他的解密方法，只要他妥善保存解密密鑰即可。公開密鑰算法的基本思想如果某個用戶希望接收秘密報文，他必須設(shè)171當(dāng)兩個完全陌生的用戶A和B希望進(jìn)行秘密通信時，各自可以從公開的文件中查到對方的加密算法。若A需要將秘密報文發(fā)給B，則A用B的加密算法EB對報文進(jìn)行加密，然后將密文發(fā)給B，B使用解密算法DB進(jìn)行解密，而除B以外的任何人都無法讀懂這個報文；當(dāng)B需要向A發(fā)送消息時，B使用A的加密算法EA對報文進(jìn)行加密，然后發(fā)給A，A利用DA進(jìn)行解密。當(dāng)兩個完全陌生的用戶A和B希望進(jìn)行秘密通信時，各自可以從公開172在這種算法中，每個用戶都使用兩個密鑰：加密密鑰是供其他人向他發(fā)送報文用的，這是公開的；解密密鑰是用于對收到的密文進(jìn)行解密的，這是保密的。通常用公開密鑰和私人密鑰分別稱呼公開密鑰算法中的加密密鑰和解密密鑰，以同傳統(tǒng)密碼學(xué)中的秘密密鑰相區(qū)分。由于私人密鑰只由用戶自己掌握，不需要分發(fā)給別人，也就不用擔(dān)心在傳輸?shù)倪^程中或被其他用戶泄密，因而是極其安全的。在這種算法中，每個用戶都使用兩個密鑰：加密密鑰是供其他人向他173用公開密鑰算法解決密鑰分發(fā)問題：中心密鑰生成設(shè)備產(chǎn)生一個密鑰后，用各個用戶公開的加密算法對之進(jìn)行加密，然后分發(fā)給各用戶，各用戶再用自己的私人密鑰進(jìn)行解密，既安全又省事。兩個完全陌生的用戶之間，也可以使用這種方法很方便地商定一個秘密的會話密鑰。用公開密鑰算法解決密鑰分發(fā)問題：174RSA算法參數(shù)計算：選擇兩個大素數(shù)p和q（典型值為大于10100）；計算n＝p×q和z＝（p－1）×（q－1）；選擇一個與z互質(zhì)的數(shù)，令其為d；找到一個e使其滿足e×d=1（modz）。RSA算法參數(shù)計算：175RSA加密過程首先將明文看成是一個比特串，將其劃分成一個個的數(shù)據(jù)塊P且有0≤P＜n。對數(shù)據(jù)塊P進(jìn)行加密，計算C=Pe（modn），C即為P的密文；對C進(jìn)行解密，計算P=Cd（modn）。公開密鑰由（e，n）組成，私人密鑰由（d，n）組成。RSA加密過程首先將明文看成是一個比特串，將其劃分成一個個的176例題假設(shè)取p=3，q＝11

n＝p×q=33

z＝(p-1)×(q-1)=20取d=7，解方程7e=1（mod20）

e=3公開密鑰為（3，33）私人密鑰為（7，33）例題假設(shè)取p=3，q＝11177例題假設(shè)明文：M=4C=Me（modn）=43（mod33）＝31即密文為C＝31。對密文解密：M=Cd（modn）＝317（mod33）=4即可恢復(fù)出原文。例題假設(shè)明文：M=4178RSA算法的安全性RSA算法的安全性建立在難以對大數(shù)提取因子的基礎(chǔ)上，如果破譯者能對已知的n提取出因子p和q就能求出z，知道了z和e，就能求出d。所幸的是，300多年來雖然數(shù)學(xué)家們已對大數(shù)的因式分解問題作了大量研究，但并沒有取得什么進(jìn)展，到目前為止這仍是一個極其困難的問題。RSA算法的安全性RSA算法的安全性建立在難以對大數(shù)提取因子179用戶認(rèn)證定義：通信雙方在進(jìn)行重要的數(shù)據(jù)交換前，常常需要驗證對方的身份，這種技術(shù)稱為用戶認(rèn)證。在實際的操作中，除了認(rèn)證對方的身份外，同時還要在雙方間建立一個秘密的會話密鑰，該會話密鑰用于對其后的會話進(jìn)行加密。每次連接都使用一個新的隨機(jī)選擇的密鑰用戶認(rèn)證定義：通信雙方在進(jìn)行重要的數(shù)據(jù)交換前，常常需要驗證對180基于共享秘密密鑰的用戶認(rèn)證協(xié)議

假設(shè)在A和B之間有一個共享的秘密密鑰KAB

。某個時候A希望和B進(jìn)行通信，于是雙方采用如圖所示的過程進(jìn)行用戶認(rèn)證。使用共享秘密密鑰進(jìn)行用戶認(rèn)證基于共享秘密密鑰的用戶認(rèn)證協(xié)議假設(shè)在A和B之間有一個181使用密鑰分發(fā)中心的用戶認(rèn)證協(xié)議要求通信的雙方具有共享的秘密密鑰有時是做不到的，另外如果某個用戶要和n個用戶進(jìn)行通信，就需要有n個不同的密鑰，這給密鑰的管理也帶來很大的麻煩。解決的辦法是引進(jìn)一個密鑰分發(fā)中心（KeyDistributionCenter，KDC）。KDC是可以信賴的，并且每個用戶和KDC間有一個共享的秘密密鑰，用戶認(rèn)證和會話密鑰的管理都通過KDC來進(jìn)行。使用密鑰分發(fā)中心的用戶認(rèn)證協(xié)議要求通信的雙方具有共享的秘密密182KDC舉例如圖所示，A希望和B進(jìn)行通信一個用KDC進(jìn)行用戶認(rèn)證的協(xié)議重復(fù)攻擊問題：假如有個C，當(dāng)他為A提供了一定的服務(wù)后，希望A用銀行轉(zhuǎn)賬的方式支付他的酬金，于是A和B（銀行）建立一個會話，指令B將一定數(shù)量的金額轉(zhuǎn)至C的賬上。這時C將KDC發(fā)給B的密文和隨后A發(fā)給B的報文復(fù)制了下來，等會話結(jié)束后，C將這些報文依次重發(fā)給B，而B無法區(qū)分這是一個新的指令還是一個老指令的副本，因此又將相同數(shù)量的金額轉(zhuǎn)至C的賬上，這個問題稱為重復(fù)攻擊問題。為解決這個問題，可以在每個報文中放一個一次性的報文號，每個用戶都記住所有已經(jīng)用過的報文號，并將重復(fù)編號的報文丟棄。另外還可以在報文上加一個時間戳，并規(guī)定一個有效期，當(dāng)接收方收到一個過期的報文時就將它丟棄。KDC舉例如圖所示，A希望和B進(jìn)行通信一個用KD183使用公開密鑰算法的用戶認(rèn)證協(xié)議使用公開密鑰進(jìn)行用戶認(rèn)證使用公開密鑰算法的