計(jì)算機(jī)網(wǎng)絡(luò)第六章網(wǎng)絡(luò)安全

計(jì)算機(jī)網(wǎng)絡(luò)第6章

網(wǎng)絡(luò)安全1第6章

網(wǎng)絡(luò)安全6.1網(wǎng)絡(luò)安全問題概述6.1.1計(jì)算機(jī)網(wǎng)絡(luò)面臨的安全性威脅6.1.2計(jì)算機(jī)網(wǎng)絡(luò)安全的內(nèi)容6.1.3一般的數(shù)據(jù)加密模型6.2兩類密碼體制6.2.1對(duì)稱密鑰密碼體制6.2.2公鑰密碼體制2第6章

網(wǎng)絡(luò)安全（續(xù)）6.3數(shù)字簽名6.4因特網(wǎng)使用的安全協(xié)議6.4.1網(wǎng)絡(luò)層安全協(xié)議6.4.2運(yùn)輸層安全協(xié)議6.4.3應(yīng)用層的安全協(xié)議破6.5系統(tǒng)安全：防火墻與入侵檢測6.5.1防火墻6.5.2入侵檢測系統(tǒng)(IDS)3引言討論如何看待信息安全、網(wǎng)絡(luò)安全、云計(jì)算安全46.1網(wǎng)絡(luò)安全問題概述Recently~密碼學(xué)云計(jì)算安全國內(nèi)團(tuán)隊(duì)介紹國內(nèi)：西電、北郵、山大、中科院信息工程研究所等等5網(wǎng)絡(luò)安全進(jìn)階手冊(cè)傳送門：http:///article/h5/s?from=timeline&isappinstalled=0#cid=1001603917721929686532&from=1056193010&wm=3333_2001&ip=016研究實(shí)例攻擊實(shí)時(shí)顯示網(wǎng)址：/786.1網(wǎng)絡(luò)安全問題概述

6.1.1計(jì)算機(jī)網(wǎng)絡(luò)面臨的安全性威脅

計(jì)算機(jī)網(wǎng)絡(luò)上的通信面臨以下兩大類威脅：

一、被動(dòng)攻擊二、主動(dòng)攻擊9主動(dòng)攻擊和被動(dòng)攻擊圖演示：10被動(dòng)攻擊（亦稱流量分析）主要是截獲，即從網(wǎng)絡(luò)上竊聽他人的通信內(nèi)容在被動(dòng)攻擊中，攻擊者只是觀察和分析某一個(gè)協(xié)議數(shù)據(jù)單元PDU而不干擾信息流。攻擊者觀察PDU的協(xié)議控制信息部分，了解正在通信的協(xié)議實(shí)體的地址和信息，研究PDU的長度和傳輸?shù)钠醋x，以便了解所交換的數(shù)據(jù)的某種性質(zhì)。11主動(dòng)攻擊，主要有：

篡改——故意篡改網(wǎng)絡(luò)上傳送的報(bào)文。

惡意程序——包括計(jì)算機(jī)病毒、計(jì)算機(jī)蠕蟲、特洛伊木馬和邏輯炸彈等。

拒絕服務(wù)——包括分布式拒絕服務(wù)。12主動(dòng)攻擊，主要有：

篡改——故意篡改網(wǎng)絡(luò)上傳送的報(bào)文。（包括：徹底中斷傳送的報(bào)文，甚至把完全偽造的報(bào)文傳送給接收方）（“更改報(bào)文流”）

13惡意程序計(jì)算機(jī)病毒：一種會(huì)“傳染”其他程序的程序，“傳染”是通過修改其他程序把自身或其變種復(fù)制進(jìn)去完成的計(jì)算機(jī)蠕蟲：一種通過網(wǎng)絡(luò)的通信功能將自身從一個(gè)節(jié)點(diǎn)發(fā)送到另一個(gè)節(jié)點(diǎn)并自動(dòng)啟動(dòng)運(yùn)行的程序14特洛伊木馬：一種程序，它執(zhí)行的功能并非所聲稱的功能而是某種惡意功能。如：一個(gè)編譯程序除了執(zhí)行編譯任務(wù)以外，還把用戶的源程序偷偷地復(fù)制下來，則這種編譯程序就是一種特洛伊木馬邏輯炸彈：一種當(dāng)運(yùn)行環(huán)境滿足某種特定條件時(shí)執(zhí)行其他特殊功能的程序。如：一個(gè)編輯程序，平時(shí)運(yùn)行很好，但當(dāng)系統(tǒng)時(shí)間13日或者星期五，它刪除系統(tǒng)中所有的文件。15拒絕服務(wù)攻擊指攻擊者向某個(gè)服務(wù)器不停地發(fā)送大量分組，使因特網(wǎng)或服務(wù)器無法提供正常服務(wù)。(DoSDenialofService)也稱為：網(wǎng)絡(luò)帶寬攻擊或連通性攻擊分布式拒絕服務(wù)攻擊（DDoS）16分布式拒絕服務(wù)攻擊（DDoS）分布式拒絕服務(wù)（DistributedDenialofservice）簡稱DDOS，很多DOS攻擊源一起攻擊某臺(tái)服務(wù)器就組成了DDOS攻擊，攻擊指借助于客戶/服務(wù)器技術(shù)，將多個(gè)計(jì)算機(jī)聯(lián)合起來作為攻擊平臺(tái)，對(duì)一個(gè)或多個(gè)目標(biāo)發(fā)動(dòng)DoS攻擊，從而成倍地提高拒絕服務(wù)攻擊的威力。通常，攻擊者使用一個(gè)偷竊帳號(hào)將DDoS主控程序安裝在一個(gè)計(jì)算機(jī)上，在一個(gè)設(shè)定的時(shí)間主控程序?qū)⑴c大量代理程序通訊，代理程序已經(jīng)被安裝在Internet上的許多計(jì)算機(jī)上，代理程序收到指令時(shí)就發(fā)動(dòng)攻擊。17兩種攻擊的防御問題可以檢測主動(dòng)攻擊，但無法檢測被動(dòng)攻擊。18總結(jié)：計(jì)算機(jī)網(wǎng)絡(luò)的目標(biāo)（1）防止析出報(bào)文內(nèi)容和流量分析（2）防止惡意程序（3）檢測更改報(bào)文流和拒絕服務(wù)防御被動(dòng)攻擊->數(shù)據(jù)加密技術(shù)防御主動(dòng)攻擊->加密技術(shù)+其他鑒別技術(shù)19目前最難防御——APT攻擊高級(jí)持續(xù)性威脅(AdvancedPersistentThreat，APT)，威脅著企業(yè)的數(shù)據(jù)安全。APT是黑客以竊取核心資料為目的，針對(duì)客戶所發(fā)動(dòng)的網(wǎng)絡(luò)攻擊和侵襲行為，是一種蓄謀已久的“惡意商業(yè)間諜威脅”。這種行為往往經(jīng)過長期的經(jīng)營與策劃，并具備高度的

隱蔽性。APT的攻擊手法，在于隱匿自己，針對(duì)特定對(duì)象，長期、有計(jì)劃性和組織性地竊取數(shù)據(jù)，這種發(fā)生在數(shù)字空間的偷竊資料、搜集情報(bào)的行為，就是一種“網(wǎng)絡(luò)間諜”的行為。20360“海蓮花”病毒檢測2016網(wǎng)絡(luò)安全事件216.1.2計(jì)算機(jī)網(wǎng)絡(luò)安全的內(nèi)容保密性安全協(xié)議設(shè)計(jì)

訪問控制

實(shí)際>以上范圍22保密性為用戶提供安全可靠的保密通信是計(jì)算機(jī)網(wǎng)絡(luò)安全最為重要的內(nèi)容。這個(gè)是其他安全機(jī)制的基礎(chǔ)比如：訪問控制中登陸口令的設(shè)計(jì)、安全通信協(xié)議的設(shè)計(jì)，以及數(shù)字簽名的設(shè)計(jì)。23安全協(xié)議設(shè)計(jì)問題：網(wǎng)絡(luò)安全是不可判定的，目前安全協(xié)議設(shè)計(jì)主要針對(duì)具體的攻擊的。協(xié)議的安全性證明：用形式化方法證明用經(jīng)驗(yàn)來分析協(xié)議的安全性（用人工方法找漏洞）其他：可計(jì)算安全24訪問控制必須對(duì)接入網(wǎng)絡(luò)的權(quán)限加以控制，并規(guī)定每個(gè)用戶的接入權(quán)限。結(jié)合：密碼學(xué)25明文

X

截獲密文

Y6.1.3一般的數(shù)據(jù)加密模型

加密密鑰

K明文

X密文

Y截取者篡改ABE

運(yùn)算加密算法D運(yùn)算解密算法因特網(wǎng)解密密鑰

K26一些重要概念

密碼編碼學(xué)(cryptography)是密碼體制的設(shè)計(jì)學(xué)，而密碼分析學(xué)(cryptanalysis)則是在未知密鑰的情況下從密文推演出明文或密鑰的技術(shù)。密碼編碼學(xué)與密碼分析學(xué)合起來即為密碼學(xué)(cryptology)。如果不論截取者獲得了多少密文，但在密文中都沒有足夠的信息來唯一地確定出對(duì)應(yīng)的明文，則這一密碼體制稱為無條件安全的，或稱為理論上是不可破的。如果密碼體制中的密碼不能被可使用的計(jì)算資源破譯，則這一密碼體制稱為在計(jì)算上是安全的。

276.2兩類密碼體制

6.2.1對(duì)稱密鑰密碼體制

所謂常規(guī)密鑰密碼體制，即加密密鑰與解密密鑰是相同的密碼體制。這種加密系統(tǒng)又稱為對(duì)稱密鑰系統(tǒng)。28數(shù)據(jù)加密標(biāo)準(zhǔn)DES數(shù)據(jù)加密標(biāo)準(zhǔn)DES屬于常規(guī)密鑰密碼體制，是一種分組密碼。在加密前，先對(duì)整個(gè)明文進(jìn)行分組。每一個(gè)組長為64位。然后對(duì)每一個(gè)64位二進(jìn)制數(shù)據(jù)進(jìn)行加密處理，產(chǎn)生一組64位密文數(shù)據(jù)。最后將各組密文串接起來，即得出整個(gè)的密文。使用的密鑰為64位（實(shí)際密鑰長度為56位，有8位用于奇偶校驗(yàn))。

29DES

的保密性DES

的保密性僅取決于對(duì)密鑰的保密，而算法是公開的。DES是世界上第一個(gè)公認(rèn)的實(shí)用密碼算法標(biāo)準(zhǔn)，它曾對(duì)密碼學(xué)的發(fā)展做出了重大貢獻(xiàn)。目前較為嚴(yán)重的問題是DES的密鑰的長度?，F(xiàn)在已經(jīng)設(shè)計(jì)出來搜索DES密鑰的專用芯片。面臨：暴力破解問題30補(bǔ)充：密鑰管理問題(1)如果n個(gè)人中的每一個(gè)人需要和其他n-1個(gè)人通信，通常需要n(n-1)密鑰，但每兩個(gè)人共享一個(gè)密鑰，因此密鑰數(shù)是n(n-1)/2(2)通信雙方怎樣安全地得到共享的密鑰。316.2.2公鑰密碼體制公鑰密碼體制使用不同的加密密鑰與解密密鑰，是一種“由已知加密密鑰推導(dǎo)出解密密鑰在計(jì)算上是不可行的”密碼體制。

公鑰密碼體制的產(chǎn)生主要是因?yàn)閮蓚€(gè)方面的原因，一是由于常規(guī)密鑰密碼體制的密鑰分配問題，另一是由于對(duì)數(shù)字簽名的需求?，F(xiàn)有最著名的公鑰密碼體制是RSA體制，它基于數(shù)論中大數(shù)分解問題的體制，由美國三位科學(xué)家Rivest,Shamir和Adleman于1966年提出并在1968年正式發(fā)表的。32加密密鑰與解密密鑰

在公鑰密碼體制中，加密密鑰(即公鑰)PK

是公開信息，而解密密鑰(即私鑰或密鑰)SK

是需要保密的。加密算法

E

和解密算法

D

也都是公開的。雖然密鑰

SK

是由公鑰

PK

決定的，但卻不能根據(jù)

PK

計(jì)算出

SK。

33公鑰密碼體制

密文Y

E

運(yùn)算加密算法D運(yùn)算解密算法加密解密明文

X明文

X

ABB的私鑰

SKB密文Y

因特網(wǎng)B的公鑰

PKB346.3數(shù)字簽名數(shù)字簽名必須保證以下三點(diǎn)：(1)報(bào)文鑒別——接收者能夠核實(shí)發(fā)送者對(duì)報(bào)文的簽名；(2)報(bào)文的完整性——發(fā)送者事后不能抵賴對(duì)報(bào)文的簽名；(3)不可否認(rèn)——接收者不能偽造對(duì)報(bào)文的簽名。35密文

數(shù)字簽名的實(shí)現(xiàn)

D運(yùn)算明文

X明文X

ABA的私鑰SKA因特網(wǎng)簽名

核實(shí)簽名E運(yùn)算密文

A的公鑰

PKA366.4因特網(wǎng)使用的安全協(xié)議

6.4.1網(wǎng)絡(luò)層安全協(xié)議

1.IPsec協(xié)議

網(wǎng)絡(luò)層保密是指所有在

IP數(shù)據(jù)報(bào)中的數(shù)據(jù)都是加密的。

37IPsec中最主要的兩個(gè)部分

鑒別首部AH(AuthenticationHeader)：AH鑒別源點(diǎn)和檢查數(shù)據(jù)完整性，但不能保密。封裝安全有效載荷ESP(EncapsulationSecurityPayload)：ESP比AH復(fù)雜得多，它鑒別源點(diǎn)、檢查數(shù)據(jù)完整性和提供保密。

38安全關(guān)聯(lián)SA

(SecurityAssociation)

在使用AH或ESP之前，先要從源主機(jī)到目的主機(jī)建立一條網(wǎng)絡(luò)層的邏輯連接。此邏輯連接叫做安全關(guān)聯(lián)SA。IPsec

就把傳統(tǒng)的因特網(wǎng)無連接的網(wǎng)絡(luò)層轉(zhuǎn)換為具有邏輯連接的層。

39路由器R1到R2的安全關(guān)聯(lián)SA公司總部分公司因特網(wǎng)SAR1R2IPsec數(shù)據(jù)報(bào)H1H240安全關(guān)聯(lián)的特點(diǎn)安全關(guān)聯(lián)是一個(gè)單向連接。它由一個(gè)三元組唯一地確定，包括：(1)安全協(xié)議（使用AH或ESP）的標(biāo)識(shí)符(2)此單向連接的源IP地址(3)一個(gè)32位的連接標(biāo)識(shí)符，稱為安全參數(shù)索引SPI(SecurityParameterIndex)對(duì)于一個(gè)給定的安全關(guān)聯(lián)SA，每一個(gè)IPsec數(shù)據(jù)報(bào)都有一個(gè)存放SPI的字段。通過此SA的所有數(shù)據(jù)報(bào)都使用同樣的SPI值。

41IPsec數(shù)據(jù)報(bào)有以下

兩種不同的工作方式

一、運(yùn)輸方式(transportmode)：在整個(gè)運(yùn)輸層報(bào)文段的后面和前面分別添加一些控制字段，構(gòu)成IPsec數(shù)據(jù)報(bào)，把整個(gè)運(yùn)輸層報(bào)文段都保護(hù)起來，很適合于主機(jī)到主機(jī)之間的安全傳送，但這需要使用IPsec的主機(jī)都運(yùn)行IPsec協(xié)議。

二、隧道方式(tunnelmode)：在IP數(shù)據(jù)報(bào)的后面和前面分別添加一些控制字段，構(gòu)成IPsec數(shù)據(jù)報(bào)。

這需要在IPsec數(shù)據(jù)報(bào)所經(jīng)過的所有路由器都運(yùn)行IPsec協(xié)議。隧道方式常用來實(shí)現(xiàn)虛擬專用網(wǎng)VPN。426.4.2運(yùn)輸層安全協(xié)議出現(xiàn)動(dòng)機(jī)：

源于：電子商務(wù)（1）顧客在線購物，需要確保服務(wù)器屬于真正的銷售商（2）顧客與銷售商需要確保內(nèi)容報(bào)文的內(nèi)容在傳輸中沒有被更改（3）顧客與銷售商需要確保諸如信用卡號(hào)之類的敏感信息不被冒充者竊聽436.4.2運(yùn)輸層安全協(xié)議現(xiàn)在廣泛使用的有以下兩個(gè)協(xié)議：

SSL(SecureSocketLayer)TLS(TransportLayerSecurity)。

44SSL/TLS的位置

在發(fā)送方，SSL接收應(yīng)用層的數(shù)據(jù)（如HTTP或IMAP報(bào)文），對(duì)數(shù)據(jù)進(jìn)行加密，然后把加了密的數(shù)據(jù)送往TCP套接字。在接收方，SSL從TCP套接字讀取數(shù)據(jù)，解密后把數(shù)據(jù)交給應(yīng)用層。

因特網(wǎng)IP應(yīng)用層（HTTP）網(wǎng)絡(luò)接口層TCPSSL/TLSIP應(yīng)用層（HTTP）網(wǎng)絡(luò)接口層TCPSSL/TLS45SSL提供的安全服務(wù)可歸納為以下三種（1）SSL服務(wù)鑒別，允許用戶證實(shí)服務(wù)器的身份。支持SSL的客戶端通過驗(yàn)證來自服務(wù)器的證書，來鑒別服務(wù)器的真實(shí)身份并獲得服務(wù)器的公鑰；（2）SSL客戶鑒別，SSL的可選安全服務(wù)，允許服務(wù)器證實(shí)客戶的身份；（3）加密的SSL會(huì)話，對(duì)客戶和服務(wù)器間發(fā)送的所有報(bào)文進(jìn)行加密，并檢測報(bào)文是否篡改。46SSL安全會(huì)話建立過程如下瀏覽器A服務(wù)器BA支持的加密算法B選定的加密算法B的數(shù)字證書

用B的公鑰加密的秘密數(shù)會(huì)話密鑰的產(chǎn)生完成數(shù)據(jù)傳輸（用會(huì)話密鑰加密）協(xié)商加密算法用CA的公鑰鑒別B的證書產(chǎn)生秘密數(shù)用秘密數(shù)產(chǎn)生會(huì)話密鑰用秘密數(shù)產(chǎn)生會(huì)話密鑰協(xié)商加密算法tt顧客銷售商476.4.3應(yīng)用層的安全協(xié)議

PGP(PrettyGoodPrivacy)以電子郵件為例，介紹單向報(bào)文安全問題。問題描述數(shù)據(jù)加密如何解密密鑰的安全性486.4.3應(yīng)用層的安全協(xié)議

PGP(PrettyGoodPrivacy)

PGP是一個(gè)完整的電子郵件安全軟件包，包括加密、鑒別、電子簽名和壓縮等技術(shù)。PGP并沒有使用什么新的概念，它只是將現(xiàn)有的一些算法如MD5，RSA，以及IDEA等綜合在一起而已。49用PGP進(jìn)行加密A的私鑰X散列H加密摘要報(bào)文鑒別碼MACX一次性密鑰加密B的公鑰加密A郵件發(fā)送A有三個(gè)密鑰：

自己的私鑰、B的公鑰

和自己生成的一次性密鑰。B有兩個(gè)密鑰：

自己的私鑰和A的公鑰。50用PGP進(jìn)行解密A的公鑰散列X一次性密鑰B的私鑰加密的郵件及其摘要解密加密的密鑰解密解密H摘要H摘要比較接收MAC516.5系統(tǒng)安全：

防火墻與入侵檢測6.5.1防火墻

防火墻是由軟件、硬件構(gòu)成的系統(tǒng)，是一種特殊編程的路由器，用來在兩個(gè)網(wǎng)絡(luò)之間實(shí)施接入控制策略。接入控制策略是由使用防火墻的單位自行制訂的，為的是可以最適合本單位的需要。防火墻內(nèi)的網(wǎng)絡(luò)稱為“可信的網(wǎng)絡(luò)”(trustednetwork)，而將外部的因特網(wǎng)稱為“不可信的網(wǎng)絡(luò)”(untrustednetwork)。防火墻可用來解決內(nèi)聯(lián)網(wǎng)和外聯(lián)網(wǎng)的安全問題。

52防火墻在互連網(wǎng)絡(luò)中的位置

內(nèi)聯(lián)網(wǎng)可信的