网路安全管理及防火墙

第五章網路安全管理及防火牆22019/10/2摘要本章探討網際網路的安全問題，包括安全的作業系統、IP與電子郵件等主題。並介紹網路防火牆的基本概念與安全防火牆的組成元件，說明封包過濾器（PacketFilter）和應用閘道（ApplicationGateway）等技術。32019/10/2目錄5.1網際網路安全5.2安全的作業系統5.3安全的IP5.4安全的電子郵件5.5安全的網際網路服務5.6防火牆5.7代理服務的建置5.8防火牆的代價5.9建立安全的防火牆42019/10/25.1網際網路安全連結上網際網路對資訊的存取有無數的優點，但是對於低安全考量的主機，冒然連上網際網路就不一定是好處了，將未妥善保護的私有網路暴露於公眾網路上，所引發的安全威脅是難以預測的。52019/10/25.1.1TCP/IP通訊協定62019/10/2Cont..一、應用層（ApplicationLayer）是一些高層協定組成，直接支援使用者溝通介面，或者提供應用程式間溝通的協定。二、傳輸層（TransportLayer）由傳輸控制協定（TransmissionControlProtocol，簡稱TCP）、使用者資料流協定（UserDatagramProtocol，簡稱UDP）組成，提供主機間的資料傳送服務，並且確定資料已被送達並接收。1.TCP：此協定適用於可信賴及無錯誤的傳輸環境，應用彼此之間的訊息傳送。2.UDP：是一種非連結(Connectionless)協定，在沒有額外的流量控制、可靠性(Reliability)及錯誤回復的考量下，允許基本的資料交換。72019/10/2Cont..三、網際層（InternetLayer）網際層由網際網路協定（InternetProtocol，簡稱IP）和網際網路控制訊息協定（InternetControlMessageProtocol，簡稱ICMP）組成，負責安排資料封包的傳送，讓每一個封包都能順利傳送到達目的端主機。四、網路介面層（NetworkInterfaceLayer）網路介面層負責提供實質網路媒體的驅動程式，定義如何使用網路實體來傳送資料。82019/10/25.1.2利用TCP/IP傳送訊息TCP負責將訊息切割成適合傳送的小塊資料包（Datagram），在遠端主機重新按順序組合起資料包，並且要負責重送遺失的資料包。IP負責為資料包找到一條可達接收端主機的適當路徑。92019/10/2一、TCP資料頭格式102019/10/2二、IP資料頭格式112019/10/2三、Ethernet資料頭格式122019/10/25.1.3網際網路服務與協定SMTP：簡易電子郵件傳輸協定，用於電子郵件的發送和接收。TELNET：遠端(Remote)登入協定，用於連接並登入遠端主機系統，讓使用者可由遠端登入網路的主機，使用其資源。FTP：檔案傳輸協定，用來處理網路上檔案的傳送和儲存，使用者透過FTP可在網路上的兩部主機間進行檔案傳輸。132019/10/2Cont..DNS：網域名稱伺服器，提供給TELNET、FTP與其它服務使用，將主機名稱轉換成IP位址。SNMP：簡易網路管理協定，使用者透過SNMP可管理網路上的主機系統。142019/10/2Cont..以資訊為基礎的服務1.Gopher2.WAIS3.以遠端程序呼叫（RemoteProcedureCall）為基礎的服務1.NFS2.NIS152019/10/25.1.4網際網路安全架構162019/10/25.2安全的作業系統本節將探討作業系統（OperatingSystem）在網路安全中扮演的角色及其重要性。網路安全是植基於安全的作業系統上，不安全的作業系統可能將系統內部的資源暴露給侵入者，或提供蓄意破壞者入侵的管道。任何用來保護網路安全的方法，多少都會用到作業系統提供的各種服務。172019/10/25.2.1美國受信賴電腦系統評量標準TCSEC將電腦系統的安全性由高而低劃分為A、B、C、D四大等級，並且較高等級的安全範疇涵蓋較低等級的安全範疇，每一等級的系統有不同的安全條件、基準、規則必須要滿足。182019/10/25.2.1.1評量基準TCSEC的評量基準分成四大類：1.安全性策略（SecurityPolicy）：2.帳戶辨識記錄能力（Accountability）：3.可靠度（Assurance）：4.說明文件（Documentation）：192019/10/25.2.1.2安全等級TCSEC將電腦系統的安全性由高而低劃分為A、B、C、D四大等級：Ａ等級：可驗證之保護(VerifiedProtection)。Ｂ等級：強制式保護(MandatoryProtection)。Ｃ等級：自定式保護(DiscretionaryProtection)。Ｄ等級：最低保護(MinimalProtection)。202019/10/25.2.2歐洲資訊技術安全評量標準歐洲共同體在1991年出版資訊技術安全評量標準（InformationTechnologySecurityEvaluationCriteria，簡稱ITSEC）ITSEC也規範七個安全等級，大致分別對應到TCSEC的七個等級（A、B3、B2、B1、C2、C1及D）。212019/10/25.3安全的IP從網路安全的觀點來考量，IP協定並不保證資料封包的來源位址的確實性，因為來源位址可能已在傳輸過程中被路徑上的中間節點篡改，或者原始主機並未填入正確的IP位址。常見的攻擊方式是：企圖攻擊的主機可能冒用某一合法主機的位址來傳輸資料，藉以誤導目的地主機。這類型的攻擊稱為來源位址欺騙攻擊（SourceAddressSpoofingAttack）。222019/10/2Cont..IP層的網路安全技術，包括IPAH(AuthenticationHeader)及IPESP(EncapsulatingSecurePayload)等方法。IPAH：確保資料的真確性（Integrity）和鑑別（Authentication），但無法作到資料保密。IPESP：可確保資料的隱密性（Confidentiality）、真確性和鑑別性。232019/10/25.3.1安全聯合（SecurityAssociation）安全聯合負責協調兩個通訊實體之間所使用的安全機制，每一安全聯合會有一個安全參數索引（SecureParameterIndex，簡稱SPI）與目的地位址，可用來識別其唯一性。242019/10/2Cont..一般而言，安全聯合包括下列重要資訊。1.用來提供IPAH鑑別的鑑別演算法與模式，以及鑑別演算法的金鑰。2.用來提供IPESP的加密演算法、模式與加密金鑰，以及與加密演算法有關的相關資訊。3.金鑰與安全聯合的生命週期。4.安全聯合的來源位址。5.隱密性資料的敏感程度（極機密、機密、非機密等）。252019/10/25.3.2IPAH方法IPAH方法讓兩個或多個支援IPAH的主機與閘道（Gateway）之間的安全有保障。在此閘道是指介於可信賴的私有網路與不可信賴的公眾網路之間的設備及軟體，用來提供通訊的管道。雖然IPAH可確保資料的真確性並提供鑑別，但卻無法作到資料保密。262019/10/25.3.3IPESP方法IPESP方法可確保資料的隱密性，並可選擇附加資料真確性與資料鑑別性等更功能。如圖6.4所示IPESP技術是將大部份的ESP資料加密，然後在加密過的資料前加上一明文的資料頭I，此資料頭I是用來決定資料封包在網路上的傳遞路徑。272019/10/2Cont..282019/10/2Cont..一般IPESP協定的運作可分成兩種模式：1.隧道式（Tunnel-mode）2.運輸式（Transport-mode）292019/10/25.4安全的電子郵件電子郵件是網際網路最普遍的應用之一，為了確保通訊安全，電子郵件應用應考量保護其內容的安全性與提供訊息鑑別的功能。302019/10/25.4.1電子郵件的安全需求一般電子郵件的安全必須考量下列的安全需求：1.隱密性（Confidentiality）2.資料來源鑑別（DataOriginAuthentication）3.訊息真確性（MessageIntegrity）4.不可否認性（Nonrepudiation）312019/10/25.4.2PEM郵件技術PEM是一種應用廣泛的電子郵件安全防護標準，規範訊息來源鑑別、真確性與加解密的過程，一般與簡易電子郵件傳輸協定（SMTP）結合使用。322019/10/2Cont..(訊息型式)因應各種電子郵件的安全需求，PEM採用訊息真確性查核（MessageIntegrityCheck，簡稱）技術並提供三種不同的訊息型式：1.MIC-Clear：2.MIC-Only：3.MIC-Encrypted：332019/10/2Cont..PEM訊息處理包括下列四個步驟：1.標準化（Canonicalization）2.訊息真確性及數位簽章，PEM規範使用RSA與MD2或MD5作為訊息真確性的演算法。3.加密；採用CBC模式的DES加密演算法。4.傳送編碼，PEM將訊息轉換成6位元的文字編碼模式，此種編碼和SMTP的標準化格式相容。342019/10/2Cont..(訊息傳送步驟)PEM訊息處理包括下列四個步驟：1.標準化（Canonicalization）2.訊息真確性及數位簽章PEM規範使用RSA與MD2或MD5作為訊息真確性的演算法。3.加密：採用CBC模式的DES加密演算法。4.傳送編碼PEM將訊息轉換成6位元的文字編碼模式，此種編碼和SMTP的標準化格式相容。352019/10/2Cont..(接收PEM訊息)接收PEM訊息時的處理步驟如下：1.編碼轉換檢查訊息型式，如果訊息型式是MIC-Encrypted（或MIC-Only）則先將6位元的編碼轉換成8位元的密文（或標準格式的明文）。2.解密如果訊息型式是MIC-Encrypted則將加密的訊息解密。3.訊息真確性及來源的鑑別訊息真確性及來源的鑑別。若訊息型式是MIC-Clear或MIC-Only，則使用MIC與數位簽章演算法，進行訊息來源鑑別及真確性檢查。4.格式轉換將訊息格式轉換成與收方主機相容的格式。362019/10/2Cont..372019/10/25.4.3PGP郵件技術PGP是1991年PhilipZimmermann設計，以公開金鑰演算法為基礎所發展出來的電子郵件傳送工具。此方法結合傳統對稱式與公開金鑰密碼演算法，應用下列技術提供電子郵件安全服務。382019/10/2Cont..1.隱密性：採用CBC模式的IDEA加密演算法將要傳送的資料加密，在此IDEA金鑰長度是128位元。2.金鑰管理：應用RSA長度384、512或1024位元的金鑰管理技術，來對隨機選取的交談金鑰（SessionKey）加密。3.訊息真確性及數位簽章：PGP使用RSA與MD5作為判斷訊息真確與鑑別安全的演算法。4.壓縮：訊息在加密前先用ZIP2.0壓縮，可減少資料量和明文資料的重複性（Redundancies），以提高破密的困難度。392019/10/25.5安全的網際網路服務網際網路服務與應用軟體的安全，可透過呼叫通用安全服務之應用程式介面（GenericSecurityServiceApplicationProgramInterface，簡稱GSSAPI）所提供的服務來達到安全需求。402019/10/2Cont..GSSAPI的概念1993被提出來的，GSSAPI是一般用途的應用介面，網際服務或應用軟體可透過GSSAPI呼叫安全服務，然後GSSAPI將應用軟體的安全需求交由底層的服務程式負責處理及回應，最後GSSAPI再將處理結果傳回。412019/10/2Cont..GSSA