第4章網(wǎng)絡安全2013

第四章網(wǎng)絡信息安全主講教師：徐永兵TelnetSMTPDNSFTPUDPTCPIP以太網(wǎng)無線網(wǎng)絡SATNETARPNET應用程序攻擊監(jiān)聽，拒絕服務系統(tǒng)漏洞利用硬件設備破壞電磁監(jiān)聽Windows*nix*BSDLinux每個層次都存在風險網(wǎng)絡安全網(wǎng)絡安全=網(wǎng)絡上的信息安全網(wǎng)絡安全問題可以被分為4個互相交織的領(lǐng)域：保密(Confidentiality)認證(Authentication)不可否認((Nonerepudiation)完整性控制(Integrity)清華大學移動數(shù)字圖書館TWIMS目錄4.1 密碼學及其應用4.2

通信安全4.3 web安全4.4 社會問題（自學）4.1密碼學及其應用

密碼技術(shù)是保障信息安全的核心技術(shù)密碼學(Cryptology)清華大學移動數(shù)字圖書館TWIMS密碼學(Cryptology)是數(shù)學和計算機科學結(jié)合的產(chǎn)物密碼編碼學(Cryptography)解決兩類安全問題：保密性(Privacy)和認證(Authentication)。密碼分析學(Cryptanalysis)研究加密信息的破譯或消息的偽造。加密系統(tǒng)要素密碼學并不能隱藏信息的存在，只能隱藏信息的涵義清華大學移動數(shù)字圖書館TWIMS明文(Plaintext)/密文(Ciphertext)密鑰（Key）加解密算法(EncryptionAlgorithm)將明文/密文與密鑰相結(jié)合產(chǎn)生密文/明文的步驟或一組規(guī)則將明文變換成密文的過程稱作加密(Encryption)由密文恢復出原明文的過程稱作解密(Decryption)；加密算法所有的現(xiàn)代密碼系統(tǒng)都建立在Kerckhoff原則的基礎(chǔ)上，即算法是公開的，但密鑰是保密的。清華大學移動數(shù)字圖書館TWIMS加密算法根據(jù)加解密算法中使用的加密密鑰與解密密鑰是否相同，加密算法分為兩大類：對稱密鑰算法(SymmetricKeyAlgorithm)公開密鑰算法(PublicKeyAlgorithm)清華大學移動數(shù)字圖書館TWIMS對稱密鑰算法加密密鑰和解密密鑰相同加密操作和解密操作完全相同密鑰K,加密操作E,明文P,密文CC=E(K,P)P=E(K,C)

清華大學移動數(shù)字圖書館TWIMSDES算法是最著名的對稱密碼算法，屬分組密碼體制，是IBM公司1972年研制成功的，后被美國國家標準局和國家安全局選為數(shù)據(jù)加密標準，并于1977年正式頒布使用。DES主要應用有：計算機網(wǎng)絡通信、電子資金傳送系統(tǒng)、保護用戶文件、用戶識別等。華中科技大學計算機基礎(chǔ)教研室11DES:對稱密碼算法DES華中科技大學計算機基礎(chǔ)教研室12DES華中科技大學計算機基礎(chǔ)教研室13分組加密算法:以64位為分組對數(shù)據(jù)加密在加密前，先對整個明文進行分組。每一個組長為64bit。然后對每一個64bit二進制數(shù)據(jù)進行加密處理，產(chǎn)生一組64bit密文數(shù)據(jù)。最后將各組密文串接起來，即得出整個的密文。使用的密鑰為64bit（實際密鑰長度為56bit，有8bit用于奇偶校驗)。華中科技大學計算機基礎(chǔ)教研室14DES的保密性僅取決于對密鑰的保密，而算法是公開的。盡管人們在破譯DES方面取得了許多進展，但至今仍未能找到比窮舉搜索密鑰更有效的方法。DES是世界上第一個公認的實用密碼算法標準，它曾對密碼學的發(fā)展做出了重大貢獻。目前較為嚴重的問題是DES的密鑰的長度?，F(xiàn)在已經(jīng)設計出來搜索DES密鑰的專用芯片。

DES的保密性華中科技大學計算機基礎(chǔ)教研室15其他對稱算法國際數(shù)據(jù)加密算法（IDEA）是瑞士的著名學者提出的，1990年正式公布并在以后得到增強。IDEA使用8輪運算，它的密鑰為128位。1997年4月15日，美國國家標準技術(shù)研究所向全世界征集高級加密標準AES（AdvancedEncryptionStandard）。1999年8月選定了5個算法做為預選算法。經(jīng)過諸多密碼研究機構(gòu)的參與分析和嚴格的性能測試后，最終選定了一個稱為Rijndael的算法，這是兩個比利時研究者發(fā)明的。RC系列算法是一類密鑰長度可變的流加密算法，其中最具代表性的是RC4算法。RC系列算法可以使用2048位的密鑰，該算法的速度可以達到DES加密的10倍左右。華中科技大學計算機基礎(chǔ)教研室16實現(xiàn)效率高、執(zhí)行速度快密鑰管理復雜如果任何一對發(fā)送方和接收方都有他們各自商議的密鑰，對于N個用戶，整個系統(tǒng)共有N×(N-1)個密鑰，每一個用戶要記住或保留N-1把密鑰，當N很大時，密鑰很難記憶，密鑰泄漏的可能性增大；密鑰的保存和使用也極為不方便。

對稱密鑰算法的優(yōu)勢與劣勢

在對稱密鑰體系中，通信雙方要求共享一個密鑰。如何分發(fā)密鑰？清華大學移動數(shù)字圖書館TWIMS密鑰分配中心KDC(KeyDistributionCenter)，由它向通信雙方分發(fā)密鑰公開密鑰算法公開密鑰PK（PublicKey）: 加密私有密鑰SK（SecreteKey）：解密清華大學移動數(shù)字圖書館TWIMS從一個密鑰推導出另一個密鑰在計算上是不可行的公開密鑰PK,私有密鑰SK;明文P,密文C加密操作E;解密操作DC=E(PK,P);P=D(SK,C)C=E(SK,P);P=D(PK,C)

RSA：典型的公鑰密碼算法RSA公鑰加密算法1977年由RonRivest、AdiShamirh和LenAdleman在MIT（美國麻省理工學院）開發(fā)的，1978年首次公布。RSA是目前最有影響的公鑰加密算法，它能夠抵抗到目前為止已知的所有密碼攻擊，已被ISO推薦為公鑰數(shù)據(jù)加密標準華中科技大學計算機基礎(chǔ)教研室19RSA:選擇密鑰1.

選取兩個大質(zhì)數(shù)p,q.(e.g.,每個1024bit)

2.

計算n=pq,z=(p-1)(q-1)3.

選擇一個e(e<n)

并且與z沒有公約數(shù).(e,z

互質(zhì)).4.

找到一個數(shù)d

并且ed-1可以為

z整除.(換言之:edmodz=1).5.

則公鑰數(shù)對為(n,e).密鑰數(shù)對為(n,d).RSA:加密,解密0.

假設(n,e)和(n,d)如前述方法計算1.

則加密過程為,設加密的位流為

m,則可計算出c=mmodne(i.e.,也就是m為n除后所得余數(shù))e2.

若對接收到的位流

c進行解密,則可計算出m=cmodnddm=(mmodn)e

modndMagichappens!(i.e.,也就是c

為n除后所得余數(shù))RSA舉例:Bob選擇p=5,q=7.Thenn=35,z=24.e=5(e,z

互質(zhì)).d=29(且ed-1

可為z整除)

字母mmec=mmodnel12152483217cm=cmodnd1748196857210675091509141182522307200012cd字母l加密:解密:RSA:原理m=(mmodn)e

modnd(mmodn)e

modn=mmodnded數(shù)論結(jié)果:如果p,q

互質(zhì),n=pq,那么xmodn=xmodnyymod(p-1)(q-1)=mmodnedmod(p-1)(q-1)=mmodn1=m(使用上述數(shù)論結(jié)果)(由于我們

選擇

ed

可為(p-1)(q-1)所除且余數(shù)為1)華中科技大學計算機基礎(chǔ)教研室24RSA：典型的公鑰密碼算法RSA公開密鑰密碼體制所根據(jù)的原理是：根據(jù)數(shù)論，尋求兩個大素數(shù)比較簡單，而將它們的乘積分解開則極其困難RSA的算法涉及三個參數(shù)，n、e、d。每個用戶有兩個密鑰：加密密鑰PK{e,n}和解密密鑰SK{d,n}。用戶把加密密鑰公開，使得系統(tǒng)中任何其他用戶都可使用，而對解密密鑰中的d則保密。N為兩個大素數(shù)p和q之積（素數(shù)p和q一般為100位以上的十進數(shù)），e和d滿足一定的關(guān)系。當敵手已知e和n時并不能求出d。非對稱加密的通信過程清華大學移動數(shù)字圖書館TWIMSA生成一對密鑰(PKA,SKA)，并將其中的PKA作為公鑰向其它方公開任何一個人想與A進行保密通信，只需要使用PKA加密信息并發(fā)送給A只有SKA能解密PKA加密的信息

在非對稱密鑰體系中，通信雙方如何分發(fā)密鑰？清華大學移動數(shù)字圖書館TWIMS收發(fā)雙方不共享密鑰,加密的密鑰匙是公開的,解碼密鑰是保密的，只有接收方知道公開密鑰算法的優(yōu)勢與劣勢運算速度較慢密鑰的管理和使用方便，易于實現(xiàn)更適合網(wǎng)絡環(huán)境中密碼技術(shù)應用需求華中科技大學計算機基礎(chǔ)教研室27在實際應用中，一般將對稱加密和公開加密結(jié)合使用公開密碼體系完成通信密碼的交換用對稱密碼體系進行保密通信更合理的通信方案清華大學移動數(shù)字圖書館TWIMSA生成臨時通信密鑰KTA用B的公開密鑰PKB對KT加密后發(fā)送給BB用自己的私有密鑰SKB解密，得到KT,通信密鑰交換完成數(shù)字簽名的作用相當于手寫簽名可供鑒定,不可否認發(fā)送方對文件進行數(shù)字簽名，確定他是文件的擁有者和創(chuàng)建者.接受方可以確認這的確是發(fā)送方發(fā)送的文件.對報文進行簡單的數(shù)字簽名:Bob使用其私鑰SKB對m加密,創(chuàng)建了簽過名的報文dB(m).Bob將原始報文m和數(shù)字簽名dB(m)發(fā)給Alice.數(shù)字簽名數(shù)字簽名的鑒別假設Alice收到了原始報文m和數(shù)字簽名dB(m)Alice使用Bob的公鑰PKB

對數(shù)字簽名檔dB(m)進行解密，然后確認是否PKB(dB(m))=m.如果PKB(dB(m))=m,那么無論是誰簽署了原始報文m，必定使用了Bob的私鑰。Alice即可確認:Bob簽署了原始報文m.不會是他人簽署的m.Bob簽署的就是m而不是m’.Bob不可否認:Alice可以將原始報文m,和數(shù)字簽名dB(m)提交法庭作為Bob簽署了報文m的證據(jù).數(shù)字簽名的鑒別私鑰簽名，公鑰驗證數(shù)字簽名的簽名算法滿足以下條件：簽名者事后不能否認；接收者只能驗證；任何人不能偽造簽名（包括接收者）；雙方對簽名的真?zhèn)伟l(fā)生爭執(zhí)時，由權(quán)威第三方進行仲裁;報文摘要理想散列函數(shù)的特點:多對一(Many-to-1)產(chǎn)生固定長度的報文摘要(指紋)假設有一個報文摘要x,但是如果想通過計算得到報文m的摘要并使x=H(m)是不可能的使用計算方法想找出兩個報文m和m’并使得H(m)=H(m’)也是不可能的對長報文進行公鑰加密計算成本非常昂貴應用散列函數(shù)可以對報文m進行處理,得到固定長度的報文摘要

H(m)

在H(m)上產(chǎn)生固定長度、容易計算的數(shù)字簽名報文摘要的數(shù)字簽名過程AB保密性數(shù)字簽名清華大學移動數(shù)字圖書館TWIMS華中科技大學計算機基礎(chǔ)教研室35

公鑰密碼體制彌補了對稱密碼體制在應用中的局限性，那么如何管理公鑰、如何使用公鑰、如何應用公鑰密碼體制呢？公鑰基礎(chǔ)設施PKI（PublicKeyInfrastructure），其主要任務是管理密鑰和證書，并能為網(wǎng)絡用戶建立安全通信信任機制。證書與公鑰基礎(chǔ)設施

清華大學移動數(shù)字圖書館TWIMS采用公開加密體系能夠確保發(fā)送信息的保密性、完整性和不可抵賴性。但是有個前提，那就是公開密鑰必須和其主體綁定公鑰基礎(chǔ)設施公鑰基礎(chǔ)設施PKI(PublicKeyInfrastructure)是對數(shù)字證書和密碼進行管理的平臺。公鑰證書管理（密鑰產(chǎn)生、證書生成等）；證書撤銷、發(fā)布和管理；密鑰備份與恢復；密鑰更新；歷史密鑰管理；支持交叉認證。清華大學移動數(shù)字圖書館TWIMS權(quán)威認證中心（CA）數(shù)字證書庫密鑰備份及恢復系統(tǒng)證書撤銷系統(tǒng)應用接口公鑰基礎(chǔ)設施與證書證書的頒發(fā)如果用戶想得到一份屬于自己的證書，他應先向RA提出申請在RA判明申請者的身份后，CA就把用戶的公鑰和用戶的身份標識信息綁定，并用自己的私鑰簽名，形成數(shù)字證書發(fā)放給申請者。公鑰可以由用戶自己提供，也可以由CA為用戶生成公鑰和私鑰。如果是后者，CA會將用戶證書和私鑰一起頒發(fā)給用戶。證書的鑒別CA也擁有一個數(shù)字證書，任何人都可以得到CA的證書，用證書上提供的CA公鑰驗證CA所簽發(fā)的證書。清華大學移動數(shù)字圖書館TWIMS華中科技大學計算機基礎(chǔ)教研室39數(shù)字證書的一般格式

數(shù)字證書是一個經(jīng)授權(quán)中心數(shù)字簽名的包含公鑰擁有者信息以及公鑰的文件。一般地，證書的格式遵循ITU-TX.509國際標準。使用證書的通信數(shù)字證書權(quán)威地證明了證書持有者和公鑰的唯一匹配關(guān)系，保證證書中列出的用戶合法擁有證書中列出的公開密鑰，供驗證證書用戶身份使用。CA機構(gòu)的數(shù)字簽名使得攻擊者不能偽造和篡改證書。清華大學移動數(shù)字圖書館TWIMS4.2 通信安全截獲篡改偽造中斷被動攻擊主動攻擊目的站源站源站源站源站目的站目的站目的站截獲信息的攻擊稱為被動攻擊;更改信息和拒絕用戶使用資源的攻擊稱為主動攻擊網(wǎng)絡上的主動攻擊和被動攻擊網(wǎng)絡上的主動攻擊和被動攻擊安全威脅攻擊種類對應策略截獲被動攻擊加密傳輸中斷主動攻擊信道冗余，防火墻篡改主動攻擊報文鑒別偽造主動攻擊身份認證，報文鑒別發(fā)送“洪水”分組將接受方“淹死”分布式DOS(DDOS):多個協(xié)調(diào)的信源向接受端發(fā)起攻擊e.g.,C和遠程主機同步攻擊AABCSYNSYNSYNSYNSYNSYNSYN拒絕服務(Denialofservice,DOS):正常的三次握手建立通訊的過程SYN（我可以連接嗎？）ACK（可以）/SYN（請確認?。〢CK（確認連接）發(fā)起方應答方SYNFlood原理拒絕服務(Denialofservice,DOS)

SYN（我可以連接嗎？）ACK（可以）/SYN（請確認?。┕粽呤芎φ邆卧斓刂愤M行SYN請求為何還沒回應就是讓你白等不能建立正常的連接SYNFlood原理拒絕服務(Denialofservice,DOS)正常tcpconnect攻擊者受害者大量的tcpconnect這么多需要處理？不能建立正常的連接正常tcpconnect正常tcpconnect正常tcpconnect正常tcpconnect正常用戶正常tcpconnect連接耗盡SYNFlood原理拒絕服務(Denialofservice,DOS)

系統(tǒng)漏洞攻擊漏洞在硬件、軟件、協(xié)議的具體實現(xiàn)或系統(tǒng)安全策略上存在的缺陷，從而可以使攻擊者能夠在未授權(quán)的情況下訪問或破壞系統(tǒng)。漏洞是網(wǎng)絡攻防中非常關(guān)鍵的資源漏洞產(chǎn)生是不可避免的一臺染毒的主機拖跨整個網(wǎng)絡??！整個網(wǎng)絡癱瘓了

系統(tǒng)漏洞攻擊：ARP病毒

IP地址解析為MAC地址主機想發(fā)送數(shù)據(jù)給主機，檢查緩存，發(fā)現(xiàn)沒有的MAC地址ARPCacheInternetAdressPhysicalAdressType

ARP協(xié)議

IP地址解析為MAC地址主機發(fā)送ARP廣播我需要的MAC地址ARP協(xié)議

IP地址解析為MAC地址所有主機都接收到的ARP廣播，但只有給它一個單播回復，并緩存的MAC地址我的MAC地址是0800.0020.1111

ARP協(xié)議

IP地址解析為MAC地址主機將的MAC地址保存到緩存中，發(fā)送數(shù)據(jù)ARPCacheInternetAdressPhysicalAdressType

0800.0020.1111DynamicARP協(xié)議在Windows操作系統(tǒng)中：ARP緩存的查詢ARP的缺陷ARP建立在信任局域網(wǎng)內(nèi)所有結(jié)點的基礎(chǔ)上。優(yōu)點是高效，但不安全。無狀態(tài)的協(xié)議，不檢查是否發(fā)過請求或是否是合法的應答，不只在發(fā)送請求后才接收應答。只要收到目標MAC是自己的ARP請求包或ARP應答包，就接受并緩存。這樣，便為ARP欺騙提供了可能，惡意節(jié)點可以發(fā)布虛假的ARP報文從而影響網(wǎng)內(nèi)結(jié)點的通信，甚至可以做“中間人”。什么是ARP欺騙ARP攻擊ARP攻擊主要是指ARP欺騙ARP攻擊也包括ARP掃描（或稱請求風暴）即在網(wǎng)絡中產(chǎn)生大量ARP請求廣播包，嚴重占用網(wǎng)絡帶寬資源，使網(wǎng)絡阻塞。ARP掃描一般為ARP攻擊的前奏。ARP攻擊主要是存在于局域網(wǎng)中ARP攻擊一般通過木馬感染計算機欺騙主機作為“中間人”，被欺騙主機的數(shù)據(jù)都經(jīng)它中轉(zhuǎn)，以竊取被欺騙主機間的通訊數(shù)據(jù)典型ARP欺騙類型之一典型ARP欺騙類型之二截獲網(wǎng)關(guān)數(shù)據(jù)，欺騙路由器的ARP表。它通知路由器一系列錯誤的內(nèi)網(wǎng)MAC地址，并按照一定的頻率不斷進行，使真實的地址信息無法通過更新保存在路由器中，結(jié)果路由器的所有數(shù)據(jù)只能發(fā)送給錯誤的MAC地址，造成正常的計算機無法收到信息。典型ARP欺騙類型之三偽造網(wǎng)關(guān)，欺騙內(nèi)網(wǎng)計算機，造成斷網(wǎng)建立假網(wǎng)關(guān)，讓被它欺騙的計算機向該假網(wǎng)關(guān)發(fā)數(shù)據(jù)，而不是發(fā)給路由器。這樣無法通過正常的路由器途徑上網(wǎng)，在計算機看來，就是上不了網(wǎng)，即網(wǎng)絡掉線或斷網(wǎng)了。返回目錄Arp欺騙時現(xiàn)象arp–dpinggateway;arp–s網(wǎng)關(guān)IPMACARP欺騙的防護局域網(wǎng)內(nèi)可采用靜態(tài)ARPCache在網(wǎng)絡內(nèi)部將主機和網(wǎng)關(guān)做IP和MAC靜態(tài)綁定。是預防ARP欺騙攻擊的最有效的方法之一。靜態(tài)綁定的IP和MAC地址條目不會被ARP請求和響應改變。缺點是需要極高的管理維護成本。ARPCache設置超時ARPCache表項一般有超時值，可以適當縮短。新型態(tài)病毒攻擊方式病毒郵件的大量涌進,傳遞病毒與阻絕郵件服務

利用IE的漏洞自動從internet下載病毒程序

利用網(wǎng)絡共享,散播病毒文件

利用系統(tǒng)或應用程序的安全性漏洞,直接從遠程進行攻擊

修改系統(tǒng)ini文件或建立開機服務項目,使病毒程序會在每次開機時自動執(zhí)行

信道安全鏈路加密方式節(jié)點對節(jié)點加密端對端加密方式（面向協(xié)議加密）清華大學移動數(shù)字圖書館TWIMS防火墻技術(shù)包過濾型防火墻根據(jù)事先建立的安全訪問控制策略（源IP地址、目的IP地址、端口號等），對數(shù)據(jù)包進行獨立篩選，允許或是禁止其通過清華大學移動數(shù)字圖書館TWIMS防火墻技術(shù)狀態(tài)監(jiān)測防火墻將屬于同一會話的數(shù)據(jù)包看做一個整體的數(shù)據(jù)流，并試圖跟蹤會話的狀態(tài)，從數(shù)據(jù)包之間的相互聯(lián)系上去發(fā)現(xiàn)和抵御入侵攻擊清華大學移動數(shù)字圖書館TWIMS防火墻技術(shù)應用程序代理防火墻應用級網(wǎng)關(guān)(Application-levelGateway)工作在應用層，作為在客戶機與真實的服務器的中間人對于每一個特定的網(wǎng)絡應用，代理防火墻上都必須要有特定的代理服務程序與之相對應，如果某一項網(wǎng)絡服務，防火墻中沒有它的代理程序，那么該項服務將不被支持清華大學移動數(shù)字圖書館TWIMS防火墻的缺陷清華大學移動數(shù)字圖書館TWIMS已授權(quán)訪問中的攻擊行為訪問控制策略本身就存在漏洞攻擊行為是從內(nèi)網(wǎng)發(fā)起的如果內(nèi)部網(wǎng)絡中存在后門，數(shù)據(jù)包可以不經(jīng)過防火墻而直接進入到內(nèi)網(wǎng)虛擬專用網(wǎng)VPNVPN通過加密和認證機制提供安全性保障，彌補了TCP/IP協(xié)議在安全性方面的不足。清華大學移動數(shù)字圖書館TWIMS虛擬專用網(wǎng)VPN(VirtualprivateNetwork)是一種在不安全的公用網(wǎng)絡上建立安全傳輸通道，使地理位置獨立分散的用戶從邏輯上連接起來的一種類似于專用網(wǎng)絡的安全服務安全隧道技術(shù)(SecureTunneling)就是利用一種網(wǎng)絡協(xié)議來傳輸另一種網(wǎng)絡協(xié)議的技術(shù)封裝：在隧道的一端給數(shù)據(jù)加上隧道協(xié)議頭解封傳輸：被封裝的數(shù)據(jù)能都在某網(wǎng)絡中傳輸解封：在隧道的另一端去掉該數(shù)據(jù)攜帶的隧道協(xié)議頭清華大學移動數(shù)字圖書館TWIMS虛擬專用網(wǎng)VPNIP協(xié)議傳輸協(xié)議Udp/TCP封裝協(xié)議原始數(shù)據(jù)PPTPSSLL2TPIPSec清華大學移動數(shù)字圖書館TWIMSIPSec是因特網(wǎng)工程任務組（IETF）定義的一種協(xié)議套件，由一系列協(xié)議組成。對Internet的安全業(yè)務提供低層的支持。

AH（AuthenticationHeader，認證頭）協(xié)議認證ESP（EncapsulateSecurityPayload，封裝安全載荷）協(xié)議加密IPSec的傳輸模式清華大學移動數(shù)字圖書館TWIMSIP協(xié)議包頭AH協(xié)議ESP協(xié)議傳輸協(xié)議UDP/TCP原始數(shù)據(jù)發(fā)送方將IP包頭、高層的數(shù)據(jù)、公共密鑰這三部分通過某種散列算法進行計算，得出AH包頭中的驗證數(shù)據(jù)，并將AH包頭加入數(shù)據(jù)包中；當數(shù)據(jù)傳輸?shù)浇邮辗綍r，接收方將收到的IP包頭、數(shù)據(jù)、公共密鑰以相同的散列算法進行運算，并把得出的結(jié)果同收到數(shù)據(jù)包中的AH包頭進行比較；如果結(jié)果相同則表明數(shù)據(jù)在傳輸過程中沒有被修改，并且是從真正的信息源處發(fā)出的。ESP把需要保護的用戶數(shù)據(jù)進行加密，并放到IP包中，正常傳輸時，只有高層協(xié)議（TCP、UDP、ICMP等)及數(shù)據(jù)進行加密。源地址、目的地址以及所有IP包頭的內(nèi)容都不加密。IPSec實現(xiàn)安全隧道技術(shù)清華大學移動數(shù)字圖書館TWIMS新的IP協(xié)議包頭AH協(xié)議ESP協(xié)議IP協(xié)議頭傳輸協(xié)議UDP/TCP原始數(shù)據(jù)IPSec隧道方式：整個用戶的IP數(shù)據(jù)包被用來計算ESP包頭整個IP包被加密并和ESP包頭一起被封裝在一個新的IP包內(nèi)當數(shù)據(jù)在Internet上傳送時，真正的源地址和目的地址被隱藏起來4.3Web安全

主要集中于對網(wǎng)絡連接和傳輸層的保護SSL協(xié)議與電子商務雙向認證，安全傳輸為了向客戶機證明身份，服務器需提供CA發(fā)放的服務器證書通過對CA在該證書公鑰的簽名認證可知該服務器的商家是否是一個合法公司。驗證后，瀏覽器中的SSL隨機產(chǎn)生一個數(shù)作為傳輸密鑰，用服務器證書中已經(jīng)驗證過的服務器公鑰加密后傳給服務器，于是開始了基于HTTP的通信。在SSL中，為防止客戶欺詐，服務器也可以要求提供瀏覽器用戶的證書，但這需要給所有用戶都頒發(fā)證書清華大學移動數(shù)字圖書館TWIMSSSL不是專門為支付卡交易設計的，缺少電子商務協(xié)議中要求的許多功能Ex：在涉及多方的電子交易中，只能提供交易中客戶與服務器間的雙方認證，而電子商務往往是客戶、網(wǎng)站、銀行三家協(xié)作完成,SSL協(xié)議并不能協(xié)調(diào)各方間的安全傳輸和信任關(guān)系；SSL協(xié)議運行的基點是商家對客戶信息保密的承諾。在交易流程中SSL協(xié)議有利于商家而不利于客戶。Ex：客戶的信息首先傳到商家，商家閱讀后再傳到銀行，這樣，客戶資料的安全性便受到威脅。清華大學移動數(shù)字圖書館TWIMSSSL協(xié)議的局限性SSL的局限性SSL比較簡單而且發(fā)展較早,應用廣泛SSL為付帳卡交易提供了一個通用平臺SSL不是專門為支付卡交易設計的SSL缺少電子商務協(xié)議中要求的許多功能SET協(xié)議

SET(Secureelectronictransactions)安全電子交易協(xié)議為在因特網(wǎng)上使用信用卡業(yè)務專門設計.在交易的三方間客戶、商家、商家的結(jié)算銀行（三方都必須具備證書）提供安全服務SET定義了各類證書的法律含義