第4章45网络信息安全

4.5网络信息安全4.6.1概述4.6.2数据加密4.6.3数字签名4.6.4身份鉴别与访问控制4.6.5防火墙与入侵检测4.6.6计算机病毒防范24.5网络信息安全4.5.1概述34.5网络信息安全网络信息安全受到的威胁及对策篡改sd数据被破坏，失去完整性2保证数据完整性：所传输的交易信息中途不被篡改，一旦遭到篡改很快就能发现伪造sd数据(包括用户身份)被伪造，失去真实性3真实性鉴别：对交易双方的身份进行认证，保证交易双方的身份正确无误窃听sd数据被非法拷贝,危及数据的机密性1数据加密：即使数据在网络传输过程中被他人窃取，也不会泄露秘密4防止否认：交易完成后，应保证交易的任何一方无法否认已发生的交易44.5网络信息安全确保信息安全的技术措施（1）真实性鉴别：对通信双方的身份和所传送信息的真伪能准确地进行鉴别（2）访问控制：控制用户对信息等资源的访问权限，防止未经授权使用资源（3）数据加密：保护数据秘密，未经授权其内容不会显露（4）保证数据完整性：保护数据不被非法修改，使数据在传送前、后保持完全相同（5）保证数据可用性：保护数据在任何情况（包括系统故障）下不会丢失（6）防止否认：防止接收方或发送方抵赖（7）审计管理：监督用户活动、记录用户操作等54.5网络信息安全4.5.2数据加密64.5网络信息安全数据加密的基本概念加密前的原始数据加密后的数据只有收/发方知道的用于加密和解密的信息密码(cipher):将明文与密文进行相互转换的算法解密后恢复的数据目的：即使被窃取，也能保证数据安全重要性：数据加密是其他信息安全措施的基础基本概念：74.5网络信息安全加密算法的基本思想改变明文中符号的排列，或按照某种规律置换明文中的符号例1移位式‘helpme’变成‘ehplem’例2替代式(恺撒密码)：phhwphdiwhuwkhfodvv将文本中每个英文字母替换为字母表中排列在其后的第k1个字母meetmeaftertheclassk1=3meetmeaftertheclass将文本中每个英文字母替换为字母表中排列在其前的第k2个字母K2=3abcdefghijklmdefghijklmnopnopqrstuvwxyzqrstuvwxyzabcabcdefghijklmxyzabcdefghijnopqrstuvwxyzklmnopqrstuvw84.5网络信息安全对称密钥加密方法特点：加密的密钥也用于解密密钥越长，安全性越好计算量适中，速度快，适用于对大数据量消息加密明文明文密文加密解密密钥K1密钥K2（数据传输）密钥K1=K2对称密钥加密方法的标准DES算法（密钥长度56位）：共有256＝7.2×1016种可能，1998年使用穷举法仅花费了22小时15分钟就攻破DES现在广泛使用AES(高级加密标准)，其密钥长度为：128、192或256位计算安全性(Computationally)破解的代价超过了消息本身的价值破解的时间超过了消息本身的有效期94.5网络信息安全非对称密钥加密方法——公钥加密使用乙的公钥加密甲乙密文乙丙丁戊使用乙的私钥解密加密器解密器明文明文甲的公钥环使用一对不相同的密钥：私钥只有本人知道，公钥可让其他用户知道甲方使用乙的公钥进行加密乙方利用自己的私钥解密使用公钥无法恢复明文，也无法推断出私钥乙用私钥加密的消息，甲只有使用乙的公钥才能解密•只要密钥长度足够长，用RSA加密的信息目前还不能被破解•网上银行使用的RSA算法，其密钥长度为1024或2048位104.5网络信息安全选讲：公钥加密举例（RSA算法）产生密钥对：1.选择两个素数p和q,且pq2.计算：n=pq,z=(p-1)(q-1)3.选择一个比z小的整数e,使得e和z互质4.计算d，使得ed-1能被z整除5.于是公钥为：{e,n}私钥为：{d,n}使用：加密:C=Memodn解密:M=Cdmodn选择:p=5,q=7计算：n=35,z=24选择:e=5,5和24互质选择：d=29,(因为(5x29-1)/24=0)于是公钥为：{5,35}私钥为：{29,35}使用举例：设明文中的字母为L，即M=12加密:C=125mod35=17解密:M=1729mod35=12z称为n的Euler数由于n=pq是公开的，所以，为了防止攻击者利用n推算出p和q，必须选择足够大的素数p和q，使n达到1024位以上，才能不被破解n为6bits114.5网络信息安全4.5.3数字签名用于认证消息的真实性124.5网络信息安全消息认证(MessageAuthentication)在通信过程中，应防止发生：伪造消息（无中生有）■窜改消息内容消息认证：对收到的消息进行验证，验证它确实来自声称的发送方(消息的真实性)，且没有被修改过(消息的完整性)常规解决方案：签字盖章，人工检验有无涂改迹象与被签文件在物理上不可分割签名者不能否认自己的签名签名不能被伪造计算机网络的解决方案：数字签名144.5网络信息安全数字签名的处理过程hashing摘要消息正文私钥加密数字签名添加至正文附有数字签名的消息数字签名①②③传送对原始消息的正文进行散列处理生成消息的摘要使用消息发送人的私钥对摘要进行加密而得到数字签名接收方使用发送方的公钥对数字签名解密恢复出消息摘要对收到的原始消息正文进行散列处理得到一个新的摘要对比附有数字签名的消息数字签名网络传送给接收方将数字签名添加到原始消息④⑤⑥⑦数字签名正确消息未被篡改154.5网络信息安全数字签名中的双重加密用接收方的公钥对已添加了数字签名的消息再进行加密用接收方的私钥对接收的消息解密并取出数字签名用发送方的私钥加密信息摘要，得到数字签名用发送方的公钥解密数字签名，得到信息摘要164.5网络信息安全4.5.4身份鉴别与访问控制174.5网络信息安全身份鉴别(认证)身份鉴别的含义:证实某人的真实身份是否与其所声称的身份相符,以防止欺诈和假冒什么时候进行?在用户登录某个系统，或者在访问/传送重要消息时进行身份鉴别的依据(方法):鉴别对象本人才知道的信息(如口令、私钥、身份证号等)鉴别对象本人才具有的信物(例如磁卡、IC卡、USB钥匙等)鉴别对象本人才具有的生理特征(例如指纹、手纹等)通常在注册时记录在案•口令（密码）容易被猜、被盗、被偷窥，电脑中植入的木马程序会记录操作者的键入数据，发送给黑客进行分析，以查找密码•双因素认证（口令+磁卡，口令+U盾）大大提高了安全性！184.5网络信息安全选讲：例：网上银行的身份认证/信息安全网上银行：使用因特网完成银行的各种金融服务，如账户查询、转账、网上支付等网上银行的组成：客户端：电脑(手机)，以及USBKey、口令卡等通信网络：使用HTTPS协议保证传输过程中不被窃听服务器：高效和安全地处理各种网上银行业务网上银行用户身份认证的3种方式：用户名+口令（仅适合账户查询）用户名+口令+文件证书（数字证书在浏览器中）用户名+口令+USB证书（数字证书在U盾中）204.5网络信息安全选讲：U盾(USBKey)U盾外形像U盘，它包含有嵌入式处理器与数字证书等嵌入式处理器负责进行数据加密/解密和数字签名处理，采用1024位非对称RSA加密算法，它为为用户产生一个私钥(唯一序列号)U盾使用前需把权威机构(CA中心)颁发的数字证书下载到U盾中，数字证书包含有客户身份信息及相应的公钥U盾在使用网上银行进行交易时的2个作用：使用U盾中的数字证书进行用户身份认证借助嵌入式处理器对交易数据进行数字签名，确保信息不被篡改和交易不可抵赖214.5网络信息安全选讲：例：网上银行交易过程1客户输入本人账号、口令，登录网上银行，选择汇款操作2输入收款人账号、姓名、开户行名称、汇款金额等数据（明文）3插入U盾，输入U盾口令启动U盾工作，银行服务器验证U盾中的证书，确认客户身份（需查询证书有效期和是否列入黑名单），取得客户的公钥4U盾使用客户的私钥对上述汇款信息进行数字签名，附加于汇款信息5U盾随机产生一个密钥，使用对称密钥加密算法对汇款信息和数字签名进行加密，形成交易密文6U盾使用银行的公钥对随机产生的密钥进行加密，然后随同交易密文一起发送给银行7银行接收到信息后使用银行自己的私钥进行解密，得到客户端随机产生的对称密钥8银行使用对称密钥对交易密文解密，得到汇款数据的明文和附加的数字签名9银行使用客户的公钥对数字签名进行验证，若正确则进行汇款处理，否则拒绝交易，通知客户224.5网络信息安全选讲：使用网银安全须知1、尽量使用各大银行提供的安全系数高的方式进行网银操作2、采用文件证书时，证书文件不要备份存在电脑中3、U盾网银用户，在每次完成网银操作后，要尽快拔下U盾4、安装安全软件并定期进行打补丁和查杀，封堵住木马入侵的通道，确保电脑中没有木马。5、避免在网吧等公用电脑上使用网银6、为网银设置专门的密码，不使用简单密码7、切勿通过链接或网上搜索引擎登录网上银行8、登入网上银行前，先关闭其他所有浏览器窗口保护好银行卡号、登录密码、U盾和U盾密码，千万不能同时丢失！234.5网络信息安全选讲：无线路由器的信息安全避免他人“蹭网”：身份认证，使用有一定强度的口令（密码）关闭SSID广播使用“MAC地址过滤”来限制他人连接增强数据通信安全：WEP加密WPA加密WPA2加密个人模式（WPA-PSK/WPA2-PSK）企业模式（WPA/WPA2）修改设置路由器的默认口令弱强244.5网络信息安全什么是访问控制?访问控制的含义:计算机对系统内的每个信息资源规定各个用户(组)对它的操作权限（是否可读、是否可写、是否可修改等）访问控制是在身份鉴别的基础上进行的访问控制的任务:对所有信息资源进行集中管理对信息资源的控制没有二义性（各种规定互不冲突）有审计功能（记录所有访问活动,事后可以核查）254.5网络信息安全文件的访问控制举例用户功能读写编辑删除转发打印复制董事长√√√√√√√总经理√√√√科长√√√组长√√√√···264.5网络信息安全4.5.5防火墙与入侵检测274.5网络信息安全网络会遭受多种攻击网络内部、外部泄密拒绝服务攻击逻辑炸弹特洛伊木马黑客攻击计算机病毒后门、隐蔽通道蠕虫284.5网络信息安全因特网防火墙什么是因特网防火墙(Internetfirewall)?用于将因特网的子网（最小子网是1台计算机）与因特网的其余部分相隔离,以维护网络信息安全的一种软件或硬件设备防火墙的原理:防火墙对流经它的信息进行扫描，确保进入子网和流出子网的信息的合法性，它还能过滤掉黑客的攻击，关闭不使用的端口，禁止特定端口流出信息,等等防火墙因特网包过滤器内部网294.5网络信息安全入侵检测入侵检测（IntrusionDetection）是主动保护系统免受攻击的一种网络安全技术原理：通过在网络若干关键点上监听和收集信息并对其进行分析，从中发现问题，及时进行报警、阻断和审计跟踪入侵检测是防火墙的有效补充：可检测来自内部的攻击和越权访问，防火墙只能防外可以有效防范利用防火墙开放的服务进行的入侵304.5网络信息安全4.5.6计算机病毒防范314.5网络信息安全什么是计算机病毒?计算机病毒是有人蓄意编制的一种具有自我复制能力的、寄生性的、破坏性的计算机程序计算机病毒能在计算机中生存，通过自我复制进行传播，在一定条件下被激活，从而给计算机系统造成损害甚至严重破坏系统中的软件、硬件和数据资源病毒程序的特点:破坏性隐蔽性传染性和传播性潜伏性木马病毒能偷偷记录用户的键盘操作，盗窃用户账号（如游戏账号,股票账号,网上银行账号）、密码和关键数据，甚至使“中马”的电脑被别有用心者所操控，安全和隐私完全失去保证324.5网络信息安全计算机病毒的表现和危害破坏文件内容，造成磁盘上的数据破坏或丢失删除系统中一些重要的程序，使系统无法正常工作，甚至无法启动修改或破坏系统中的数据，造成不可弥补的损失盗用用户的账号、