计算机网络技术-第9章_计算机网络安全

1第9章计算机网络安全问题原由计算机网络广泛应用，促进了社会的进步和繁荣,并为人类社会创造了巨大财富。但由于计算机及其网络自身的脆弱性以及人为的攻击破坏，也给社会带来了损失。因此，网络安全已成为重要研究课题。本章重点讨论网络安全技术措施：计算机密码技术、防火墙技术、虚拟专用网技术、网络病毒防治技术，以及网络管理技术。教学重点能力要求掌握：网络安全与管理的概念；网络安全与管理技术的应用。熟悉：计算机密码技术、防火墙技术、虚拟专用网技术、网络病毒防治技术。2§9.1网络安全问题概述§9.5网络管理§9.3网络安全的攻击与防卫§9.4防火墙的安装调试与设置§9.2计算机网络安全技术本章内容3知识结构计算机网络安全技术计算机网络安全防火墙的安装调试与设置网络安全的层次模型网络管理网络安全问题概述瑞星杀毒软件和个人防火墙的防治天网防火墙防火墙技术数字签名加密技术网络管理协议与网络管理工具网络管理功能网络管理概述网络安全的攻击与防卫病毒信息窃取邮件炸弹特洛伊木马网络所面临的安全威胁网络安全的内容访问控制技术实时监视技术自动解压缩技4§9.1网络安全问题概述随着计算机网络技术的发展，网络的安全性和可靠性成为各层用户所共同关心的问题。人们都希望自己的网络能够更加可靠地运行，不受外来入侵者的干扰和破坏，所以解决好网络的安全性和可靠性，是保证网络正常运行的前提和保障。Internet防火墙学生区InfoGateIIS服务Web服务DMZ区教工区安全垃圾邮内容审计件网关过滤数据库服务器群应用服务器群59.1.1网络所面临的安全威胁1、网络安全要求网络安全，是指网络系统的硬件、软件及其系统中的数据受到保护,不受偶然或者恶意的攻击而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不会中断。身份认证完整性保密性授权和访问控制可用性不可抵赖性62、网络安全威胁一般认为，黑客攻击、计算机病毒和拒绝服务攻击等3个方面是计算机网络系统受到的主要威胁。黑客攻击计算机病毒拒绝服务攻击黑客使用专用工具和采取各种入侵手段非法进入网络、攻击网络,并非法使用网络资源。计算机病毒侵入网络，对网络资源进行破坏，使网络不能正常工作，甚至造成整个网络的瘫痪。攻击者在短时间内发送大量的访问请求，而导致目标服务器资源枯竭，不能提供正常的服务。9.1.1网络所面临的安全威胁73、网路安全漏洞网络安全漏洞实际上是给不法分子以可乘之机的“通道”,大致可分为以下3个方面。网络的漏洞服务器的漏洞操作系统的漏洞包括网络传输时对协议的信任以及网络传输漏洞，比如IP欺骗和信息腐蚀就是利用网络传输时对IP和DNS的信任。利用服务进程的bug和配置错误,任何向外提供服务的主机都有可能被攻击。这些漏洞常被用来获取对系统的访问权。Windows和UNIX操作系统都存在许多安全漏洞,如Internet蠕虫事件就是由UNIX的安全漏洞引发的。9.1.1网络所面临的安全威胁84、网络安全攻击要保证运行在网络环境中的信息安全,首先要解决的问题是如何防止网络被攻击。根据SteveKent提出的方法,网络安全攻击可分为被动攻击和主动攻击两大类，如下图所示。网络安全攻击分类被动攻击截获(秘密)分析信息内容通信量分析主动攻击拒绝篡改伪造重放(可用性)(完整性)(真实性)(时效性)被动攻击不修改信息内容，所以非常难以检测，因此防护方法重点是加密。主动攻击是对数据流进行破坏、篡改或产生一个虚假的数据流。9.1.1网络所面临的安全威胁91中断（Interruption）：中断是对可利用性的威胁。例如破坏信息存储硬件、切断通信线路、侵犯文件管理系统等。2窃取（Interception）：入侵者窃取信息资源是对保密性的威胁。入侵者窃取线路上传送的数据，或非法拷贝文件和程序等。3篡改（Modification）：篡改是对数据完整性的威胁。例如改变文件中的数据，改变程序功能，修改网上传送的报文等。4假冒（Fabrication）：入侵者在系统中加入伪造的内容，如像网络用户发送虚假的消息、在文件中插入伪造的记录等。5、网络安全破坏网络安全破坏的技术手段是多种多样的，了解最通常的破坏手段，有利于加强技术防患。9.1.1网络所面临的安全威胁109.1.2网络安全内容国际标准化组织（ISO）对网络安全的定义是：为数据处理系统建立和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。简单说，安全的目的是保证网络数据的三个特性：可用性、完整性和机密性。由此可以将计算机网络的安全理解为：通过采用各种技术和管理措施，使网络系统正常运行，从而确保网络数据的可用性、完整性和保密性。所以，建立网络安全保护措施的目的是确保经过网络传输和交换的数据不会发生增加、修改、丢失和泄露等。119.1.3网络安全的层次模型1、安全体系框架为了系统的、科学地分析网络安全所涉及的各种问题，我们从安全服务特性、系统单元、开放系统互连参考模型安全特性三个方面研究网络安全，并提出了一个三维的安全体系框架，如下图所示。三维安全框架体系129.1.3网络安全的层次模型2、安全服务特性（1）身份认证身份认证是访问控制的基础。身份认证必须做到准确无误地将对方辨别出来，同时还应该提供双向的认证，即互相证明自己的身份。（2）访问控制控制不同用户对信息资源访问的权限，防止非授权使用资源或以非授权的方式使用资源。（3）数据加密保证数据安全通信的手段，指在数据存储和传输时进行加密，防止数据在传输过程中被窃听。（4）数据的完整性指防止数据在传输过程中被篡改、删除、插入替换或重发，以保证合法用户接收和使用该数据的真实性。（5）不可否认性防止发送方企图否认所发送的信息，同时也防止接受方企图否认接收到信息。（6）安全审计设置安全、可靠的审计记录措施，便于事后的分析审计。139.1.3网络安全的层次模型3、系统单元（1）通信平台信息网络的通信设备、通信网络平台；（2）网络平台信息网络的网络系统；（3）系统平台信息网络的操作系统平台；（4）应用平台信息网络各种应用的开发、运行平台：（5）物理环境信息网络运行的物理环境及人员管理。149.1.3网络安全的层次模型4、层次模型（1）物理层在通信线路上采用电磁屏蔽技术、干扰及跳频等技术，来防止电磁辐射造成的信息外泄，保证在线路上不被搭线偷听，或者轻易的检测出信息。但由于网络分布广，物理层的安全很难保证。（2）数据链路层点对点的链路可以采用数据通信保密机制，对数据采用加密和解密，保证通信的安全。（3）网络层采用加密、路由控制、访问控制、审计、防火墙技术和IP加密传输信道技术，保证信息的机密性。防火墙被用来处理信息在内外网络边界的流动，它可以确定来自哪些地址的信息可以或者禁止访问哪些目的地址的主机。IP加密传输信道技术是在两个网络结点间建立透明的安全加密信道。这种技术对应用透明，提供主机对主机的安全服务。适用于在公共通信设施上建立虚拟的专用网。（4）应用层针对用户身份进行认证并建立起安全的通信信道。15§9.2数据加密与数字认证数据加密和数字签名是网络信息安全的核心技术。其中，数据加密是保护数据免遭攻击的一种主要方法；数字认证是解决网络通信过程中双方身份的认可，以防止各种敌手对信息进行篡改的一种重要技术。数据加密和数字签名的联合使用，是确保信息安全的有效措施。Internet加密数据流供应商采购单位SSL安全论证网关Web服务器9.2.1加密技术169.2.1加密技术1、密码学与密码技术计算机密码学是研究计算机信息加密、解密及其变换的新兴科学,密码技术是密码学的具体实现,它包括4个方面：保密(机密)、消息验证、消息完整和不可否认性。1保密（privacy）：在通信中消息发送方与接收方都希望保密，只有消息的发送者和接收者才能理解消息的内容。2验证（authentication）：安全通信仅仅靠消息的机密性是不够的，必须加以验证，即接收者需要确定消息发送者的身份。3完整（integrity）：保密与认证只是安全通信中的两个基本要素，还必须保持消息的完整,即消息在传送过程中不发生改变。4不可否认（nonrepudiation）：安全通信的一个基本要素就是不可否认性，防止发送者抵赖（否定）。172、加密和解密密码技术包括数据加密和解密两部分。加密是把需要加密的报文按照以密码钥匙（简称密钥）为参数的函数进行转换，产生密码文件；解密是按照密钥参数进行解密,还原成原文件。数据加密和解密过程是在信源发出与进入通信之间进行加密，经过信道传输,到信宿接收时进行解密,以实现数据通信保密。数据加密和解密过程如下图所示。加密密钥报文解密原报文加密解密模型明文密文传输明文信源加密单元解密单元信宿9.2.1加密技术183、密钥体系加密和解密是通过密钥来实现的。如果把密钥作为加密体系标准，则可将密码系统分为单钥密码（又称对称密码或私钥密码）体系和双钥密码（又称非对称密码或公钥密码）体系。在单钥密码体制下，加密密钥和解密密钥是一样的。在这种情况下，由于加密和解密使用同一密钥（密钥经密钥信道传给对方），所以密码体制的安全完全取决于密钥的安全。双钥密码体制是1976年W.Diffie和M.E.Heilinan提出的一种新型密码体制。1977年Rivest,Shamir和Adleman提出RSA密码体制。在双钥密码体制下,加密密钥与解密密钥是不同的,它不需要安全信道来传送密钥，可以公开加密密钥，仅需保密解密密钥。9.2.1加密技术19传统加密方法1、代换密码法⑴单字母加密方法：是用一个字母代替另一个字母,它把A变成E，B变成F，C变为G，D变为H。⑵多字母加密方法：密钥是简短且便于记忆的词组。2、转换密码法保持明文的次序，而把明文字符隐藏起来。转换密码法不是隐藏它们，而是靠重新安排字母的次序。3、变位加密法把明文中的字母重新排列,字母本身不变，但位置变了。常见的有简单变位法、列变位法和矩阵变位法。4、一次性密码簿加密法就是用一页上的代码来加密一些词，再用另一页上的代码加密另一些词，直到全部的明文都被加密。9.2.1加密技术20现代加密方法1、DES加密算法DES加密算法是一种通用的现代加密方法,该标准是在56位密钥控制下,将每64位为一个单元的明文变成64位的密码。采用多层次复杂数据函数替换算法，使密码被破译的可能性几乎没有。2、IDEA加密算法相对于DES的56位密钥，它使用128位的密钥，每次加密一个64位的块。这个算法被加强以防止一种特殊类型的攻击,称为微分密码密钥。IDEA的特点是用了混乱和扩散等操作,主要有三种运算：异或、模加、模乘，并且容易用软件和硬件来实现。IDEA算法被认为是现今最好的、最安全的分组密码算法，该算法可用于加密和解密。9.2.1加密技术21邮件内容CH=MDS(C)S=ENRSA(H)KSM=C+S随机加密密钥E1=ENIDEA(M)E2=ENRSA(K)KRP将E1+E2寄出发送邮件收到E1+E2K=DERSA(E2)KRSM=DEIDEA(E1)K将M分离成C和SH1=MD5(C)取得收信人的分开密钥KPS1=DERSA(H1)KPS1=S?NoYes接收此邮件拒绝此邮件接收邮件3、RSA公开密钥算法RSA是屹今为止最著名、最完善、使用最广泛的一种公匙密码体制。RSA算法的要点在于它可以产生一对密钥,一个人可以用密钥对中的一个加密消息，另一个人则可以用密钥对中的另一个解密消息。任何人都无法通过公匙确定私匙，只有密钥对中的另一把可以解密消息。取得收信人的分开密钥KRP9.2.1加密技术224、Hash－MD5加密算法Hash函数又名信息摘要（MessageDigest）函数，是基于因子分解或离散对数问题的函数，可将任意长度的信息浓缩为较短的固定长度的数据。这组数据能够反映源信息的特征，因此又可称为信息指纹（MessageFingerprint)。Hash函数具有很好的密码学性质,且满足Hash函数的单向、无碰撞基本要求。5、量子加密系统量子加密系统是加密技术的新突破。量子加密法的先进之处在于这种方法依赖的是量子