第九章 网络安全与管理

第九章网络安全与管理第九章网络安全与管理网络安全的主要威胁加密技术数字签名防火墙网络故障与诊断一、网络安全的主要威胁计算机网络上的通信面临以下的四种威胁：截获——从网络上窃听他人的通信内容。中断——有意中断他人在网络上的通信。篡改——故意篡改网络上传送的报文。伪造——伪造信息在网络上传送。截获信息的攻击称为被动攻击，而更改信息和拒绝用户使用资源的攻击称为主动攻击。对网络的被动攻击和主动攻击截获篡改伪造中断被动攻击主动攻击目的站源站源站源站源站目的站目的站目的站计算机病毒—会“传染”其他程序的程序，“传染”是通过修改其他程序来把自身或其变种复制进去完成的。计算机蠕虫—通过网络的通信功能将自身从一个结点发送到另一个结点并启动运行的程序。特洛伊木马—一种程序，它执行的功能超出所声称的功能。逻辑炸弹—一种当运行环境满足某种特定条件时执行其他特殊功能的程序。恶意程序明文X二、加密技术截获密文Y加密密钥K明文X密文Y截取者篡改ABE运算加密算法D运算解密算法因特网解密密钥K一般的数据加密模型解密算法是加密算法的逆运算在进行解密运算时如果不事先约定好密钥就无法解出明文例如：1.A想发送“HELLOWORLD”给B，我们可以将每个明文字母用00（A）到25（Z）的数字代替，26代表空格。HELLOWORLD转换成070401111142622141711032.ace：024计算ace中的每个字母从字母a移位算起的位移量。这样a的位移量是0，c的位移量是2，e的位移量是4加密前文本：thisisasecretmessage位移：02402402402402402402加密后文本：tjmsjwauictitoisuegg密码编码学是密码体制的设计学。密码分析学则是在未知密钥的情况下从密文推演出明文或密钥的技术。密码编码学与密码分析学合起来即为密码学。密码学对称密钥密码体制加密密钥与解密密钥是相同的密码体制。数据加密标准DESDES属于常规密钥密码体制，是一种分组密码。加密前，先对整个明文进行分组。每一个组长为64位。然后对每一个64位二进制数据进行加密处理，产生一组64位密文数据。最后将各组密文串接起来，即得出整个的密文。使用的密钥为64位国际数据加密算法IDEA使用128位密钥，因而更不容易被攻破。计算指出，当密钥长度为128位时，若每微秒可搜索一百万次，则破译IDEA密码要花费5.4*1018年，这显然比较安全。非对称密钥密码体制使用不同的加密密钥与解密密钥。在公钥密码体制中，加密密钥(即公钥)PK是公开信息，而解密密钥(即私钥或秘钥)SK是需要保密的。加密算法和解密算法也都是公开的。虽然密钥SK是由公钥PK决定的，但却不能根据PK计算出SK。公钥密码体制密文YE运算加密算法D运算解密算法加密解密明文X明文XABB的私钥SKB密文Y因特网B的公钥PKB任何加密方法的安全性取决于密钥的长度，以及攻破密文所需的计算量。三、数字签名报文鉴别——接收者能够核实发送者对报文的签名；报文的完整性——接收者不能伪造对报文的签名；不可否认——发送者事后不能抵赖对报文的签名。现在已有多种实现各种数字签名的方法。但采用公钥算法更容易实现。数字签名必须保证以下三点：数字签名的实现密文)(AXDSKD运算明文X明文XABA的私钥SKA因特网签名核实签名E运算密文)(AXDSKA的公钥PKA(1)除A外没有别人能具有A的私钥，所以除A外没有别人能产生这个密文。因此B相信报文X是A签名发送的。(2)若A要抵赖曾发送报文给B，B可将明文和对应的密文出示给第三者。第三者很容易用A的公钥去证实A确实发送X给B。(3)反之，若B将X伪造成X’，则B不能在第三者前出示对应的密文。这样就证明了B伪造了报文。具有保密性的数字签名)(AXDSK)(AXDSK核实签名解密加密签名E运算D运算明文X明文XABA的私钥SKA因特网E运算B的私钥SKBD运算加密与解密签名与核实签名))((ABXDESKPKB的公钥PKBA的公钥PKA密文四、防火墙(firewall)防火墙是由软件、硬件构成的系统，是一种特殊编程的路由器，用来在两个网络之间实施接入控制策略。防火墙内的网络称为“可信赖的网络”，而将外部的因特网称为“不可信赖的网络”。防火墙可用来解决内联网和外联网的安全问题。概念防火墙在互连网络中的位置G内联网可信赖的网络不可信赖的网络分组过滤路由器R分组过滤路由器R应用网关外局域网内局域网防火墙因特网防火墙的功能防火墙的功能有两个：阻止和允许。“阻止”就是阻止某种类型的通信量通过防火墙。“允许”的功能与“阻止”恰好相反。防火墙必须能够识别通信量的各种类型。不过在大多数情况下防火墙的主要功能是“阻止”。防火墙技术一般分为两类网络级防火墙用来防止整个网络出现外来非法的入侵。应用级防火墙从应用程序来进行接入控制。通常使用应用网关或代理服务器来区分各种应用。网络故障与诊断ipconfig/allnbtstat-AIPARP-SIPMACping本机IP地址或ping127.0.0.1ping外网IP地址nslookup