第三章防御技术PKI网络安全协议

复习《计算机网络》第七章网络安全之密码体制第7章网络安全7.1……7.2两类密码体制7.2.1对称密钥密码体制7.2.2公钥密码体制第7章网络安全（续）7.3数字签名7.4鉴别7.4.1报文鉴别7.4.2实体鉴别7.5密钥分配7.5.1对称密钥的分配7.5,2公钥的分配第7章网络安全（续）7.6因特网使用的安全协议7.6.1网络层安全协议7.6.2运输层安全协议7.6.3应用层的安全协议破7.7链路加密与端到端加密7.7.1链路加密7.7.2端到端加密明文X截获密文Y7.1.3一般的数据加密模型加密密钥K明文X密文Y截取者篡改ABE运算加密算法D运算解密算法因特网解密密钥K一些重要概念密码编码学(cryptography)是密码体制的设计学，密码分析学(cryptanalysis)是在未知密钥的情况下从密文推演出明文或密钥的技术。密码学(cryptology)是以上两者的合称。如果不论截取者获得了多少密文，但在密文中都没有足够信息来唯一地确定对应明文，这一密码体制称无条件安全的，或称理论上是不可破的。如果密码体制中的密码不能被可使用的计算资源破译，这一密码体制称在计算上是安全的。7.2两类密码体制7.2.1对称密钥密码体制常规密钥密码体制，即加密密钥与解密密钥是相同的密码体制。这种加密系统又称对称密钥系统。数据加密标准DES数据加密标准DES属于常规密钥密码体制，是一种分组密码。在加密前，先对整个明文进行分组。每组长为64位。然后对每一个64位二进制数据进行加密处理，产生一组64位密文数据。最后将各组密文串接起来，即得出整个密文。使用的密钥为64位（实际密钥长度为56位，有8位用于奇偶校验)。DES的保密性DES的保密性仅取决于对密钥的保密，而算法是公开的。DES是世界上第一个公认的实用密码算法标准。目前较为严重的问题是DES密钥的长度。现在已设计出搜索DES密钥的专用芯片。7.2.2公钥密码体制公钥密码体制使用不同的加密密钥与解密密钥，是一种“由已知加密密钥推导出解密密钥在计算上是不可行的”密码体制。公钥密码体制的产生主要是因为两个方面的原因，一是常规密钥密码体制的密钥分配问题，另一是对数字签名的需求。现有最著名的公钥密码体制是RSA体制，它基于数论中大数分解问题的体制，由美国三位科学家Rivest,Shamir和Adleman于1976年提出并在1978年正式发表的。加密密钥与解密密钥在公钥密码体制中，加密密钥(即公钥)PK是公开信息，而解密密钥(即私钥或秘钥)SK是需要保密的。加密算法E和解密算法D也都是公开的。虽然秘钥SK是由公钥PK决定的，但却不能根据PK计算出SK。注意公钥密码体制并不具有比传统加密体制更加优越之处由于目前公钥加密算法的开销较大，在可见的将来还看不出来要放弃传统的加密方法公钥算法的特点发送者A用B的公钥PKB对明文X加密（E运算）后，接收者B用自己的私钥SKB解密（D运算），即可恢复明文：解密密钥是接收者专用的秘钥，对其他人保密。加密密钥是公开的，但不能用它来解密，即XXEDYDPKSKSK))(()(BBBXXEDPKPK))((BB公钥算法的特点（续）加密和解密的运算可以对调，即在计算机上容易地产生成对的PK和SK。从已知的PK实际上不可能推导出SK，即从PK到SK是“计算上不可能的”。加密和解密算法都是公开的。XXEDXDEBBBBPKSKSKPK))(())((公钥密码体制密文YE运算加密算法D运算解密算法加密解密明文X明文XABB的私钥SKB密文Y因特网B的公钥PKB7.3数字签名数字签名必须保证以下三点：(1)报文鉴别——接收者能够核实报文发送者的真伪；(2)报文的完整性——接收者确信收到的数据未被篡改；(3)不可否认——发送者事后不能抵赖对报文的签名，即抵赖没有发送过该报文。采用公钥算法更容易实现数字签名的方法。密文)(AXDSK数字签名的实现D运算明文X明文XABA的私钥SKA因特网签名核实签名E运算密文)(AXDSKA的公钥PKA数字签名的实现因为除A外没有别人能具有A的私钥，所以除A外没有别人能产生这个密文。因此B相信报文X是A签名发送的。若A要抵赖曾发送报文给B，B可将明文和对应的密文出示给第三者。第三者很容易用A的公钥去证实A确实发送了X给B。反之，若B将X伪造成X’，则B不能在第三者前出示对应的密文。这样就证明了B伪造了报文。具有保密性的数字签名)(AXDSK)(AXDSK核实签名解密加密签名E运算D运算明文X明文XABA的私钥SKA因特网E运算B的私钥SKBD运算加密与解密签名与核实签名))((ABXDESKPKB的公钥PKBA的公钥PKA密文7.4鉴别对付被动攻击的重要措施是加密，而对付主动攻击中的篡改和伪造则用鉴别(authentication)。报文鉴别使得通信的接收方能够验证所收到的报文（发送者和报文内容、发送时间等）真伪。使用加密就可达到报文鉴别的目的。但在网络的应用中，许多报文并不需要加密。应当使接收者能用很简单的方法鉴别报文的真伪。鉴别与授权(authorization)不同授权涉及到的问题是：所进行的过程是否被允许（如是否可以对某文件进行读或写）。7.4.1报文鉴别许多报文并不需要加密但却需要数字签名，以便让报文接收者鉴别报文的真伪。对很长的报文进行数字签名会使计算机增加很大的负担。当我们传送不需要加密的报文时，应使接收者能用很简单的方法鉴别报文真伪。报文摘要MD(MessageDigest)A将报文X经过报文摘要算法运算后得出很短的报文摘要H。然后用自己的私钥对H进行D运算，即进行数字签名。得出已签名的报文摘要D(H)后，并将其追加在报文X后面发送给B。B收到报文后首先把已签名的D(H)和报文X分离。然后再做两件事。用A的公钥对D(H)进行E运算，得出报文摘要H。对报文X进行报文摘要运算，看是否能够得出同样的报文摘要H。如一样，就能以极高的概率断定收到的报文是A产生的。否则就不是。报文摘要的优点仅对短得多的定长报文摘要H进行数字签名要比对整个长报文进行数字签名要简单得多，所耗费的计算资源也小得多。对鉴别报文X来说，效果是一样的。报文X和已签名的报文摘要D(H)合在一起是不可伪造的，是可检验的和不可否认的。报文摘要算法报文摘要算法就是一种散列函数。报文摘要算法是防止报文被人恶意篡改。报文摘要算法是精心选择的一种单向函数。很容易地计算出一个长报文X的报文摘要H，但要想从报文摘要H反过来找到原始的报文X，则实际上是不可能的。若想找到任意两个报文，使得它们具有相同的报文摘要，那么实际上也是不可能的。报文摘要的实现A比较签名核实签名报文XHD运算D(H)A的私钥报文XD(H)B报文摘要报文XD(H)发送E运算H签名的报文摘要H报文摘要运算A的公钥报文摘要运算报文摘要报文摘要因特网7.4.2实体鉴别实体鉴别和报文鉴别不同。报文鉴别是对每一个收到的报文都要鉴别报文的发送者，而实体鉴别是在系统接入的全部持续时间内对和自己通信的对方实体只需验证一次。最简单的实体鉴别过程A发送给B的报文被加密，使用的是对称密钥KAB。B收到此报文后，用共享对称密钥KAB进行解密，因而鉴别了实体A的身份。明显的漏洞：重放攻击ABA的身份,登录口令KAB使用不重数为了对付重放攻击，可以使用不重数(nonce)。不重数是一个不重复使用的大随机数，即“一次一数”。区分重复鉴别请求和新鉴别请求。ABA,RARBKABRARBKAB,时间中间人攻击AB我是A中间人C我是ARBRBSKC请把公钥发来PKCRBRBSKA请把公钥发来PKADATAPKCDATAPKA时间7.5密钥分配密钥管理包括：密钥产生、分配、注入、验证和使用。这里只讨论密钥的分配。密钥分配是密钥管理中最大的问题。密钥必须通过最安全的通路进行分配。7.5.1对称密钥的分配目前常用的密钥分配方式是设立密钥分配中心KDC(KeyDistributionCenter)。KDC是大家都信任的机构，其任务就是给需要进行秘密通信的用户临时分配一个会话密钥（仅使用一次）。用户A和B都是KDC的登记用户，并已经在KDC的服务器上安装了各自和KDC进行通信的主密钥（masterkey）KA和KB。“主密钥”可简称为“密钥”。对称密钥的分配AB密钥分配中心KDCA,B,KABKB……用户专用主密钥用户主密钥AKABKBA,B,KABKABKBKA,时间A,BABKerberosAASTGSTKAB,A,KABKBT+1KABA,KSTKS,B,KTGA,KABKB,B,KABKSKTGKAA,KSKS,AS：鉴别服务器TGS：票据授权服务器KA：A的对称密钥KTG：TGS的对称密钥KS：A和TGS通信的会话密钥T：时间戳7.5.2公钥的分配需要一个值得信赖的机构——认证中心CA(CertificationAuthority)，将公钥与其对应的实体（人或机器）进行绑定(binding)。CA一般由政府出资建立。每个实体都有CA发来的证书(certificate)，里面有公钥及其拥有者的标识信息。此证书被CA进行了数字签名。任何用户都可从可信的地方获得认证中心CA的公钥，此公钥用来验证某个公钥是否为某个实体所拥有。有的大公司也提供认证中心服务。证书的结构公钥基础设施PKI定义（P215）狭义：证书管理的工具广义：P216PKI的组成最终试题EE（持有数字证书的用户或依赖方）认证中心CA（负责颁发、管理和吊销EE的证书）注册中心RA（对最终用户的注册管理，被CA信任，可选实体）证书库Repository（公开数字证书和证书注销列表CRL）PKI的功能注册（EE向CA或RA告知自身信息）初始化（安装一些密钥信息，初始化可信CA的公钥，对自己的密钥进行初始化）颁发证书（对于通过验证的用户，CA签发数字证书）密钥生成（用户公私钥对的生成）密钥的恢复（备份密钥，如用户的私钥）密钥的更新（密钥到期或泄露）证书吊销（签发CRL或在线查询）交叉认证（一个CA颁发给另一个CA的公钥证书，相互之间应建立信任关系）7.6因特网使用的安全协议7.6.1网络层安全协议1.IPsec与安全关联SA网络层保密是指所有在IP数据报中的数据都是加密的。IPsec中最主要的两个部分鉴别首部AH(AuthenticationHeader)：AH鉴别源点和检查数据完整性，但不能保密。封装安全有效载荷ESP(EncapsulationSecurityPayload)：ESP比AH复杂得多，它鉴别源点、检查数据完整性和提供保密。安全关联SA(SecurityAssociation)在使用AH或ESP之前，先要从源主机到目的主机建立一条网络层的逻辑连接。此逻辑连接叫做安全关联SA。IPsec就把传统的因特网无连接的网络层转换为具有逻辑连接的层。安全关联的特点安全关联是一个单向连接。它由一个三元组唯一地确定，包括：(1)安全协议（使用AH或ESP）的标识符(2)此单向连接的源IP地址(3)一个32位的连接标识符，称为安全参数索引SPI(SecurityParameterIndex)对于一个给定的安全关联SA，每一个IPsec数据报都有一个存放SPI的字段。通过此SA的所有数据报都使用同样的SPI值。2.鉴别首部协议AH在使用鉴别首部协议AH时，把AH首部插在原数据报数据部分的前面，同时把IP首部中的协议字段置为51。在传输过程中，中间的路由器都不查看AH首部。当数据报到达终点时，目的主机才处理AH字段，以鉴别源点和检查数据报的完整性。IP首部AH首部TCP/UDP报文段协议=51AH首部(1)下一个首部(8位)。标志紧接着本首部的下一个首部的类型（如TCP或UDP）。(2)有效载荷长度(8位)，即鉴别数据字段的长度，以32位字为单位。(3)安全参数索引SPI(32位)。标志安全关