信息安全概念的歷史變化和含義

信息安全概念的歷史變化和含義.信息安全的含義(80-90年代)?信息安全的三個基本方面–保密性Confidentiality即保證信息為授權者享用而不泄漏給未經(jīng)授權者。–完整性Integrity?數(shù)據(jù)完整性，未被未授權篡改或者損壞?系統(tǒng)完整性，系統(tǒng)未被非授權操縱，按既定的功能運行–可用性Availability即保證信息和信息系統(tǒng)隨時為授權者提供服務，而不要出現(xiàn)非授權者濫用卻對授權者拒絕服務的情況。?信息安全的其他方面–信息的不可否認性Non-repudiation：要求無論發(fā)送方還是接收方都不能抵賴所進行的傳輸–鑒別Authentication鑒別就是確認實體是它所聲明的。適用于用戶、進程、系統(tǒng)、信息等–審計Accountability?確保實體的活動可被跟蹤–可靠性Reliability?特定行為和結果的一致性

導致信息安全問題的原因有哪些?計算機在網(wǎng)絡通信環(huán)境下進行信息交換所面臨的安全威脅有哪些?安全的信息交換應滿足哪些性質(zhì)?保密性:竊聽、業(yè)務流分析完整性:篡改、重放、旁路、木馬鑒別：冒充不可否認性：抵賴可用性：拒絕服務、蠕蟲病毒、中斷

ISO7498-2－1989確立了基于OSI參考模型的七層協(xié)議之上的信息安全體系結構，其中五大類安全服務分別是什么?1989.2.15頒布，確立了基于OSI參考模型的七層協(xié)議之上的信息安全體系結構–五大類安全服務(鑒別、訪問控制、保密性、完整性、抗否認）–八類安全機制(加密、數(shù)字簽名、訪問控制、數(shù)據(jù)完整性、鑒別交換、業(yè)務流填充、路由控制、公證)

1999年9月我國制定并頒布了《計算機信息系統(tǒng)安全保護等級劃分準則》,該準則將計算機系統(tǒng)分別劃分為哪幾個等級?－第一級：用戶自主保護級；（對應C1級）－第二級：系統(tǒng)審計保護級；（對應C2級）－第三級：安全標記保護級；（對應B1級）－第四級：結構化保護級；（對應B2級）－第五級：訪問驗證保護級。（對應B3級）

密碼算法的分類?按照保密的內(nèi)容分:－受限制的（restricted)算法:算法的保密性基于保持算法的秘密。?計數(shù)器模式CTR(Counter)

Feistel分組加密算法結構之思想?基本思想：用簡單算法的乘積來近似表達大尺寸的替換變換?乘積密碼就是以某種方式連續(xù)執(zhí)行兩個或多個密碼，以使得所得到的最后結果或乘積從密碼編碼的角度比其任意一個組成密碼都更強。?交替使用代替和置換(permutation)?混亂(confusion)和擴散(diffusion)概念的應用

數(shù)據(jù)長度不滿足分組長度整數(shù)倍時的處理辦法？對最后一個分組做填充。

雙重DES和三重DES的原理和安全性分析?C=EK2(EK1(P))＜＝＞P=DK1(DK2(C))

先進對稱分組加密算法的特點（了解）

DES和AES分別屬于Feistel結構和SP網(wǎng)絡結構.（了解）

鏈路方式和端到端的方式的優(yōu)缺點－端到端?Thesourcehostencryptsthedata.?Thedestinationhostdecryptsit.?Thepacketheadisintheclear.?Theuserdataaresecure.?Thetrafficpatternisinsecure.?Requireonekeyperuserpair?Adegreeofuserauthentication.?在較高的網(wǎng)絡層次上實現(xiàn)－鏈路方式?Dataexposedinsendingnode?Dataexposedinintermediatenode?Thepacketheadalmostinsecure.?Thetrafficpatternissecuretosomedgree.?Requireonekeyperhosttonodeandnodetonode?Adegreeofhostauthentication.?在較低的網(wǎng)絡層次上實現(xiàn)

基于密碼的隨機數(shù)的產(chǎn)生方式（了解）?隨機數(shù)用途，重要的角色，例如–認證過程中，避免重放攻擊–會話密鑰–RSA公鑰算法?產(chǎn)生方式（線性同余法，密碼編碼方法）–循環(huán)加密–DES輸出反饋方式–ANSIX.917偽隨機數(shù)產(chǎn)生器–BlumBlumShub(BBS)產(chǎn)生器

公鑰密碼的提出和應用范圍?密鑰管理：量的困難，分配的困難?數(shù)字簽名的問題：傳統(tǒng)加密算法無法實現(xiàn)抗抵賴的需求。?加密/解密?數(shù)字簽名(身份鑒別)?密鑰交換

公鑰密碼的基本思想和要求?基本思想：－加密與解密由不同的密鑰完成 加密:X－＞Y:Y=EKU(X) 解密:Y－＞X:X=DKR(Y)=DKR(EKU(X))－知道加密算法,從加密密鑰得到解密密鑰在計算上是不可行的－兩個密鑰中任何一個都可以用作加密而另一個用作解密(不是必須的) X=DKR(EKU(X))=EKU(DKR(X))?公鑰算法的條件：–產(chǎn)生一對密鑰是計算可行的–已知公鑰和明文，產(chǎn)生密文是計算可行的–接收方利用私鑰來解密密文是計算可行的–對于攻擊者，利用公鑰來推斷私鑰是計算不可行的–已知公鑰和密文，恢復明文是計算不可行的–(可選)加密和解密的順序可交換

三種重要的公鑰算法的名稱及其依據(jù)三類算法:RSA,ElGamal,ECC?RSA–基礎:IFP(IntegerFactorizationProblem)–加/解密、密鑰交換、數(shù)字簽名–使用最廣泛?ElGamal–基礎:DLP(DiscreteLogarithmProblem)–加/解密、密鑰交換、數(shù)字簽名?ECC–基礎:ECDLP(EllipticCurveDiscreteLogarithmProblem)–加/解密、密鑰交換、數(shù)字簽名–密鑰短,速度快–正在開始廣泛應用

對公鑰密鑰加密算法的常見誤解－公開密鑰密碼算法更安全（×）任何加密方案的安全程度都依賴于密鑰的長度和破譯密碼所包含的計算工作量。－公開密鑰密碼使對稱密鑰密碼過時了（×）由于當前公開密鑰加密在計算上的巨大開銷，只限于密鑰管理和數(shù)字簽名中使用。－公鑰的分發(fā)是簡單和一目了然的（×）仍然需要某種形式的協(xié)議，一般涉及到一個中心代理，整個過程比常規(guī)加密中的過程既不簡單也不更有效。

對稱及非對稱算法的優(yōu)缺點?對稱密碼算法–運算速度快、密鑰短、多種用途（隨機數(shù)產(chǎn)生、Hash函數(shù)）、歷史悠久–密鑰管理困難（分發(fā)、更換）?非對稱密碼算法–運算速度慢、密鑰尺寸大、歷史短–只需保管私鑰、可以相當長的時間保持不變、需要的密鑰數(shù)目較小?消息鑒別（MessageAuthentication)：?散列函數(shù)（HashFunctions)：?數(shù)字簽名（DigitalSignature）

消息鑒別的目的是一個證實收到的消息來自可信的源點且未被篡改的過程。?鑒別的主要目的有二：第一，驗證信息的發(fā)送者是真正的，而不是冒充的，此為信源識別；第二，驗證信息的完整性，在傳送或存儲過程中未被篡改，重放或延遲等。?鑒別(Authentication):真?zhèn)涡?認證(Certification)資格審查

鑒別函數(shù)（理解）一個散列函數(shù)以一個變長的報文作為輸入，并產(chǎn)生一個定長的散列碼，有時也稱報文摘要，作為輸出。–消息加密函數(shù)用完整信息的密文作為對信息的鑒別。–消息鑒別碼MAC公開函數(shù)+密鑰產(chǎn)生一個固定長度的值作為鑒別標識1、接收者可以確信消息M未被改變。2、接收者可以確信消息來自所聲稱的發(fā)送者；3、如果消息中包含順序碼（如HDLC,X.25,TCP），則接收者可以保證消息的正常順序；–散列函數(shù)是一個公開的函數(shù)，它將任意長的信息映射成一個固定長度的信息。散列函數(shù)的特性這個散列值是消息M的所有位的函數(shù)并提供錯誤檢測能力：消息中的任何一位或多位的變化都將導致該散列值的變化。散列函數(shù)的構造方法（了解）

經(jīng)典的散列算法?MD5?SHA-1?RIPEMD-160?HMAC：HMAC=Hf[IV,So||f(IV,Si||M)]比較：MD5SHA-1RIPEMD-160摘要長度128位160位160位基本處理單位512位512位512位步數(shù)64(4of16)80(4of20)160(5pairedof16)最大消息長度無限264-1位264-1位基本邏輯函數(shù)445加法常數(shù)6449EndiannessLittle-endianBig-endianLittle-endian性能 32.4Mbps 14.4Mbps 13.6Mbps

數(shù)字簽名：特點、分類是一種防止源點或終點抵賴的鑒別技術。?必須能夠驗證作者及其簽名的日期時間；?必須能夠認證簽名時刻的內(nèi)容；?簽名必須能夠由第三方驗證，以解決爭議；因此，數(shù)字簽名功能包含了鑒別的功能分類：直接數(shù)字簽名directdigitalsignature；仲裁數(shù)字簽名arbitrateddigitalsignature

密鑰的生存期和密鑰管理的基本概念密鑰的生存期：授權使用該密鑰的周期，限制危險發(fā)生，降低密碼分析機會。產(chǎn)生、分配、使用、更新/替換、撤銷、銷毀密鑰類型：1）主密鑰（KKMs），通過手工分配；

2）密鑰加密密鑰（KKs），通過在線分配；

3）數(shù)據(jù)密鑰（KDs）。

密鑰分配－公開密鑰的分配 公開宣布 公開可以得到的目錄 需要可以信任的中央授權機構，若成功修改了目錄，則攻擊者可假冒用戶圖7，公開目錄 公開密鑰管理機構圖8，公開密鑰管理機構 公鑰證書：泄漏私鑰等價于丟失證書，證書的時間作為有效期圖9，公開密鑰證書的交換–基于對稱密碼體制的密鑰分配主密鑰需要通過安全信道傳輸：直接方式或分拆開來部分傳輸 靜態(tài)分配：由中心以脫線方式預分配 動態(tài)分配：在線的“請求－分發(fā)”， 集中式分配：引入一個KDC，該KDC與任何一個實體均共享一個密鑰，如Kerboros協(xié)議分步式分配：通過相同地位的主機間協(xié)商解決，如Diffie-Hellman密鑰交換圖1，帶鑒別與抗重放機制的密鑰分配方案（Needham/SchroederProtocol[1978]）圖2，一種透明的密鑰控制方案圖3，分散式密鑰控制–基于公開密碼體制的秘密密鑰分配圖4，簡單秘密密鑰分配 圖5，具有保密和鑒別能力的分配混合方案 ?仍然使用KDC?KDC與每個用戶都擁有{公鑰,私鑰}對?KDC與每個用戶共享主密鑰(對稱密鑰密碼)?會話密鑰的分發(fā)由主密鑰完成?主密鑰更新由公鑰完成

PKI基本概念PKI是一個用公鑰概念與技術來提供安全服務的普適性基礎設施；PKI是一種標準的密鑰管理平臺，能夠為所有網(wǎng)絡應用透明地提供采用加密和數(shù)字簽名等服務所需的密鑰和證書管理。 提供的基本服務：鑒別，完整性，保密性和不可否認性 注冊機構（RA）：是一個負責執(zhí)行和注冊一個主體有關的管理性工作實體。包括確認主體的身份和驗證主體確實有權擁有在證書中所請求的值 證書的注銷是通過CRL（證書吊銷列表）進行的 證書中最重要的信息為：個體名字、個體公鑰、機構簽名、算法、用途

Diffie-Hellman密鑰交換協(xié)議及中間人攻擊及改進辦法?Diffie-Hellman密鑰交換協(xié)議:雙方選擇素數(shù)p以及p的一個原根a（1）U隨機選擇aU∈Zp,計算aaUmodp并發(fā)給V（2）V隨機選擇aV∈Zp,計算aaVmodp并發(fā)給U（3）U計算(aaVmodp)aUmodp=aaUaVmodp（4）V計算(aaUmodp)aVmodp=aaUaVmodp雙方獲得共享密鑰(aaUaVmodp)?Diffie-Hellman密鑰交換協(xié)議的中間人攻擊（1）U隨機選擇aU∈Zp,計算aaUmodp并發(fā)給V（2）W截獲,選擇a1∈Zp,計算aa1modp并發(fā)給V（3）V隨機選擇aV∈Zp,計算aaVmodp并發(fā)給U（4）W截獲,選擇a2∈Zp,計算aa2modp并發(fā)給U（5）U計算(aa1modp)aUmodp=aaUa1modp（6）V計算(aa2modp)aVmodp=aaVa2modp（7）W計算(aaUmodp)a1modp=aaUa1modp, (aaVmodp)a2modp=aaVa2modp?數(shù)字簽名可抵抗中間人攻擊的方法→STS協(xié)議（1）U隨機選擇aU∈Zp,計算aaUmodp并發(fā)給V（2）V隨機選擇aV∈Zp,計算aaVmodp以及 K=aaUaVmodp=(aaU)aVmodp, YV=SigV(aaUmodp||aaVmodp)并把(aaVmodp,YV)發(fā)給U（3）U計算K=aaUaVmodp=(aaV)aUmodp,解密YV后驗證SigV(aaUmodp||aaVmodp);然后計算YU=SigU(aaUmodp||aaVmodp),再把YU發(fā)給V（4）V解密YU并驗證SigU(aaUmodp||aaVmodp)?數(shù)字簽名使得中間人攻擊無法成人奏效?共享密鑰K(=aaUaVmodp)也得到了驗證

壓縮、編碼和加密壓縮和加密一起使用的原因：減少明文中的冗余，降低密碼分析成功的幾率，提高加密速度如果要加入糾錯碼的話，應在加密之后

鑒別的概念和兩種情形:鑒別就是確認實體是它所聲明的。實體(身份)鑒別：證實客戶的真實身份與其所聲稱的身份是否相符的過程。數(shù)據(jù)原發(fā)鑒別：鑒定某個指定的數(shù)據(jù)是否來源于某個特定的實體。

實現(xiàn)身份鑒別的途經(jīng)–Somethingtheuserknow(所知）?密碼、口令等–Somethingtheuserpossesses（擁有）?身份證、護照、密鑰盤等–Somethingtheuseris(orHowhebehaves個人特征)?指紋、筆跡、聲音、虹膜、DNA等

鑒別機制:(了解)–非密碼的鑒別機制–基于密碼算法的鑒別采用對稱密碼算法的機制采用公開密碼算法的機制采用密碼校驗函數(shù)的機制

重放攻擊的形式和對抗措施常見的消息重放攻擊形式有：1、簡單重放：攻擊者簡單復制一條消息，以后在重新發(fā)送它；2、可被日志記錄的復制品：攻擊者可以在一個合法有效的時間窗內(nèi)重放一個帶時間戳的消息；3、不能被檢測到的復制品：這種情況可能出現(xiàn)，原因是原始信息已經(jīng)被攔截，無法到達目的地，而只有重放的信息到達目的地。4、反向重放，不做修改。向消息發(fā)送者重放。當采用傳統(tǒng)對稱加密方式時，這種攻擊是可能的。因為消息發(fā)送者不能簡單地識別發(fā)送的消息和收到的消息在內(nèi)容上的區(qū)別。1）針對同一驗證者的重放：非重復值2）針對不同驗證者的重放：驗證者的標識符

鑒別和交換協(xié)議的核心問題–保密性：為了防止偽裝和防止暴露會話密鑰，基本鑒別與會話密碼信息必須以保密形式通信。–時效性：防止消息重放攻擊。

傳統(tǒng)加密方法–Needham/SchroederProtocol[1978]1、AKDC：IDA||IDB||N12、KDCA：EKa[Ks||IDB||N1||EKb[Ks||IDA]]3、AB：EKb[Ks||IDA]4、BA：EKs[N2]5、AB：EKs[f(N2)]–DenningProtocol[1982]1、AKDC：IDA||IDB2、KDCA：EKa[Ks||IDB||T||EKb[Ks||IDA||T]]3、AB：EKb[Ks||IDA||T]4、BA：EKs[N1]5、AB：EKs[f(N1)]–KEHN921、AB：IDA||Na2、BKDC：IDB||Nb||EKb[IDA||Na||Tb]3、KDCA：EKa[IDB||Na||Ks||Tb]||EKb[IDA||Ks||Tb]||Nb4、AB：EKb[IDA||Ks||Tb]||EKs[Nb]Kerberos?特點–基于口令的鑒別協(xié)議–利用對稱密碼技術建立起來的鑒別協(xié)議–可伸縮性——可適用于分布式網(wǎng)絡環(huán)境–環(huán)境特點：User-to-serverauthentication?SummaryofKerberosVersion4MessageExchanges(a)AuthenticationServiceExchange:toobtainticket-grantingticket(1)CAS:IDC||IDtgs||TS1(2)ASC:EKC[Kc,tgs||IDtgs||TS2||Lifetime2||Tickettgs] Tickettgs=EKtgs[Kc,tgs||IDC||ADC||IDtgs||TS2||Lifetime2](b)Ticket-grantingServiceExchange:toobtainservice-grantingticket(3)CTGS:IDV||Tickettgs||Authenticatorc(4)TGSC:EKc,tgs[Kc,v||IDV||TS4||Ticketv] Tickettgs=EKtgs[Kc,tgs||IDC||ADC||IDtgs||TS2||Lifetime2] Ticketv=EKV[Kc,v||IDC||ADC||IDv||TS4||Lifetime4] Authenticatorc=EKc,tgs[IDc||ADc||TS3](c)Client/ServerAuthenticationExchange:Toobtainservice(5)CV:Ticketv||Authenticatorc(6)VC:EKc,v[TS5+1](formutualauthentication) Ticketv=EKV[Kc,v||IDc||ADc||IDv||TS4||Lifetime4] Authenticatorc=EKc,v[IDc||ADc||TS5]?RationalefortheElementsoftheKerberosVersion4Protocol(a)AuthenticationServiceExchangeMessage(1) Client請求ticket-grantingticketIDC: 告訴AS本client端的用戶標識；IDtgs: 告訴AS用戶請求訪問TGS；TS1: 讓AS驗證client端的時鐘是與AS的時鐘同步的；Message(2) AS返回ticket-grantingticketEKC: 基于用戶口令的加密，使得AS和client可以驗證口令，并保護Message(2)。Kc,tgs:sessionkey的副本，由AS產(chǎn)生，client可用于在AS與client 之間信息的安全交換，而不必共用一個永久的key。IDtgs: 確認這個ticket是為TGS制作的。TS2: 告訴client該ticket簽發(fā)的時間。Lifetime2: 告訴client該ticket的有效期；(b)Ticket-grantingServiceExchangeMessage(3) client請求service-grantingticketIDv: 告訴TGS用戶要訪問服務器V；Tickettgs: 向TGS證實該用戶已被AS認證；Authenticatorc:由client生成，用于驗證ticket；Message(4) TGS返回service-grantingticketEKc,tgs: 僅由C和TGS共享的密鑰；用以保護Message(4)；Kc,tgs: sessionkey的副本，由TGS生成，供client和server之間信息的安全交換，而無須共用一個永久密鑰。IDv: 確認該ticket是為serverV簽發(fā)的；TS4: 告訴client該ticket簽發(fā)的時間；TicketV: client用以訪問服務器V的ticket；Tickettgs: 可重用，從而用戶不必重新輸入口令；EKtgs: ticket用只有AS和TGS才知道的密鑰加密，以預防篡改；Kc,tgs: TGS可用的sessionkey副本，用于解密authenticator,從而 鑒別ticket；

X.509鑒別服務與Kerberos協(xié)議相比，X.509鑒別交換協(xié)議有一個很大的優(yōu)點：X.509不需要物理上安全的在線服務器，因為一個證書包含了一個認證授權機構的簽名。公鑰證書可通過使用一個不可信的目錄服務被離線地分配。X.509雙向交換擁有Kerberos的缺陷，即依賴于時戳，而X.509三向交換克服了這一缺陷。

訪問控制的有關概念?是針對越權使用資源的防御措施。–非法用戶進入系統(tǒng)。–合法用戶對系統(tǒng)資源的非法使用。?主體、客體和授權–主體（Subject）：或稱為發(fā)起者(Initiator)，是一個主動的實體，規(guī)定可以訪問該資源的實體，（通常指用戶或代表用戶執(zhí)行的程序）。–客體（Object）：規(guī)定需要保護的資源，又稱作目標（target）。–授權（Authorization）：規(guī)定可對該資源執(zhí)行的動作（例如讀、寫、執(zhí)行或拒絕訪問）。

訪問控制的策略–自主訪問控制：基于身份的訪問控制IBAC(IdentityBasedAccessControl)–強制訪問控制：基于規(guī)則的訪問控制RBAC（RuleBasedAccessControl）–基于角色的訪問控制

訪問控制的機制–基于訪問控制屬性:訪問控制表/矩陣–基于用戶和資源分級（“安全標簽”）:多級訪問控制

舉例說明訪問控制表和訪問能力表聯(lián)系和區(qū)別。?按列看是訪問控制表內(nèi)容?按行看是訪問能力表內(nèi)容

訪問控制策略分為幾類,各有何特點。

在訪問控制機制中，角色是什么？與“組”的概念有何區(qū)別？?每個角色與一組用戶和有關的動作相互關聯(lián)，角色中所屬的用戶可以有權執(zhí)行這些操作?Arolecanbedefinedasasetofactionsandresponsibilitiesassociatedwithaparticularworkingactivity.?角色與組的區(qū)別–組：一組用戶的集合–角色：一組用戶的集合+一組操作權限的集合

TCP/IP協(xié)議–需求：身份鑒別、數(shù)據(jù)完整性和保密性–好處：對于應用層透明–彌補IPv4在協(xié)議設計時缺乏安全性考慮的不足?缺乏對通信雙方身份真實性的鑒別能力?缺乏對傳輸數(shù)據(jù)的完整性和機密性保護的機制?由于IP地址可軟件配置以及基于源IP地址的鑒別機制，IP層存在：業(yè)務流被監(jiān)聽和捕獲、IP地址欺騙、信息泄露和數(shù)據(jù)項篡改等攻擊

IPSec提供的安全服務功能–定義了兩個協(xié)議AH和ESP?訪問控制?無連接完整性?數(shù)據(jù)源鑒別?拒絕重放分組?機密性?有限通信量的機密性

鑒別與機密性組合?傳輸鄰接：同一分組應用多種協(xié)議，不形成隧道?循環(huán)嵌套：通過隧道實現(xiàn)多級安全協(xié)議的應用

SSL協(xié)議目標：SSL被設計用來使用TCP提供一個可靠的端到端安全服務，為兩個通訊個體之間提供保密性和完整性(身份鑒別)。?SSL記錄協(xié)議–建立在可靠的傳輸協(xié)議(如TCP)之上–它提供連接安全性，有兩個特點?保密性，使用了對稱加密算法?完整性，使用HMAC算法–用來封裝高層的協(xié)議?SSL握手協(xié)議–客戶和服務器之間相互鑒別–協(xié)商加密算法和密鑰–它提供連接安全性，有三個特點?身份鑒別，至少對一方實現(xiàn)鑒別，也可以是雙向鑒別?協(xié)商得到的共享密鑰是安全的，中間人不能夠知道?協(xié)商過程是可靠的

S/MIME：簽名和加密，利用PKI(不要求)

PGP(PrettyGoodPrivacy)–PGP消息的處理：?數(shù)字簽名–DSS/SHA或RSA/SHA?完整性：–RSA、MD5?消息加密–CAST-128或IDEA或3DES+Diffie-Hellman或RSA?數(shù)據(jù)壓縮–ZIP?郵件兼容–Radix64?數(shù)據(jù)分段–PGP密鑰的管理，以個人為中心的信任模型：PGP使用四種類型的密鑰：一次性會話常規(guī)密鑰，公鑰，私鑰，基于口令短語的常規(guī)密鑰。需求：1、需要一種生成不可預知的會話密鑰的手段2、需要某種手段來標識具體的密鑰。–一個用戶擁有多個公鑰/私鑰對。（更換，分組）3、每個PGP實體需要維護一個文件保存其公鑰私鑰對，和一個文件保存通信對方的公鑰。

防火墻的基本概念與體系結構?雙宿/多宿主機模式(Dual-Homed/Multi-HomedHostFirewall)它是一種擁有兩個或多個連接到不同網(wǎng)絡上的網(wǎng)絡接口的防火墻，通常用一臺裝有兩塊或多塊網(wǎng)卡的堡壘主機做防火墻，兩塊或多塊網(wǎng)卡各自與受保護網(wǎng)和外部網(wǎng)相連。?屏蔽主機模式(ScreenedHostFirewall)屏蔽主機防火墻由包過濾路由器和堡壘主機組成。在這種方式的防火墻中，堡壘主機安裝在內(nèi)部網(wǎng)絡上，通常在路由器上設立過濾規(guī)則，并使這個堡壘主機成為從外部網(wǎng)絡唯一可直接到達的主機，這確保了內(nèi)部網(wǎng)絡不受未被授權的外部用戶的攻擊。屏蔽主機防火墻實現(xiàn)了網(wǎng)絡層和應用層的安全，因而比單獨的包過濾或應用網(wǎng)關代理更安全。在這一方式下，過濾路由器是否配置正確是這種防火墻安全與否的關鍵，如果路由表遭到破壞，堡壘主機就可能被越過，使內(nèi)部網(wǎng)完全暴露。?屏蔽子網(wǎng)模式(ScreenedSubnetmode)采用了兩個包過濾路由器和一個堡壘主機，在內(nèi)外網(wǎng)絡之間建立了一個被隔離的子網(wǎng)，定義為“非軍事區(qū)（de-militarizedzone）”網(wǎng)絡，有時也稱作周邊網(wǎng)(perimeternetwork)?網(wǎng)絡管理員將堡壘主機，WEB服務器、Mail服務器等公用服務器放在非軍事區(qū)網(wǎng)絡中。內(nèi)部網(wǎng)絡和外部網(wǎng)絡均可訪問屏蔽子網(wǎng)，但禁止它們穿過屏蔽子網(wǎng)通信。在這一配置中，即使堡壘主機被入侵者控制，內(nèi)部網(wǎng)仍受到內(nèi)部包過濾路由器的保護。?堡壘主機運行各種代理服務

防火墻相關技術:包過濾?根據(jù)流經(jīng)該設備的數(shù)據(jù)包地址信息，決定是否允許該數(shù)據(jù)包通過?判斷依據(jù)有(只考慮IP包)：–數(shù)據(jù)包協(xié)議類型：TCP、UDP、ICMP、IGMP等–源、目的IP地址–源、目的端口：FTP、HTTP、DNS等–IP選項：源路由、記錄路由等–TCP選項：SYN、ACK、FIN、RST等–其它協(xié)議選項：ICMPECHO、ICMPECHOREPLY等–數(shù)據(jù)包流向：in或out–數(shù)據(jù)包流經(jīng)網(wǎng)絡接口：eth0、eth1

Internet服