搜索
第8章网络安全与网络管理8.1网络安全概述8.1.1网络安全事例8.1.2网络安全的概念与特征网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不会由于偶然或恶意的原因而遭到破坏、更改、泄露，系统可以连续地、可靠地、正常地运行，并提供相应的网络服务网络安全的特征（1）可靠性（2）完整性（3）可用性（4）保密性8.1.3威胁网络安全的原因1.网络的共享性2.网络的开放性3.系统的复杂性4.边界的不确定性5.路径的不确定性6.信息的高度聚集性网络安全的目标进不来拿不走看不懂改不了跑不掉可审计8.2网络的安全威胁1.网络安全威胁分类网络安全威胁被动攻击主动攻击中断篡改截获伪造恶意程序攻击计算机病毒计算机蠕虫特洛伊木马逻辑炸弹网络信息系统内部人员威胁拒绝服务攻击逻辑炸弹特洛伊木马黑客攻击计算机病毒信息泄漏、篡改、破坏后门、隐蔽通道蠕虫社会工程天灾系统Bug2.网络系统的脆弱性（1）操作系统的脆弱性（2）计算机系统本身的脆弱性（3）电磁泄漏（4）数据的可访问性（5）通信系统和通信协议的弱点（6）数据库系统的脆弱性（7）网络存储介质的脆弱8.3网络安全策略PDRR:保护（Protect）、检测（Detect）、响应（React）、恢复（Restore）1.防护防护是预先阻止攻击可以发生的条件产生，让攻击者无法顺利地入侵，防护可以减少大多数的入侵事件。(1)缺陷扫描安全缺陷分为两种，允许远程攻击的缺陷和只允许本地攻击的缺陷。(2)访问控制及防火墙访问控制限制某些用户对某些资源的操作。防火墙是基于网络的访问控制技术，工作在网络层、传输层和应用层，完成不同粒度的访问控制。(3)防病毒软件与个人防火墙个人防火墙是防火墙和防病毒的结合。它运行在用户的系统中，并控制其他机器对这台机器的访问。个人防火墙除了具有访问控制功能外，还有病毒检测，甚至有入侵检测的功能(4)数据加密加密技术保护数据在存储和传输中的保密性安全。(5)鉴别技术2.检测安全策略的第二个安全屏障是检测，即如果入侵发生就检测出来，这个工具是入侵检测系统（IDS）。防护主要修补系统和网络的缺陷，增加系统的安全性能，从而消除攻击和入侵的条件。检测并不是根据网络和系统的缺陷，而是根据入侵事件的特征去检测的。入侵检测系统（IDS）是一个硬件系统和软件程序，它的功能是检测出正在发生或已经发生的入侵事件。这些入侵已经成功地穿过防护战线。一个入侵检测系统有很多特征，其主要特征为：检测环境和检测算法。3.响应响应就是已知一个攻击（入侵）事件发生之后，进行处理。入侵事件的报警可以是入侵检测系统的报警，也可以是通过其他方式的汇报。响应的主要工作也可以分为两种。第一种是紧急响应；第二种是其他事件处理。紧急响应就是当安全事件发生时采取应对措施，其他事件主要包括咨询、培训和技术支持。4.恢复恢复是事件发生后，把系统恢复到原来的状态，或者比原来更安全的状态。恢复也可以分为两个方面：系统恢复：指修补该事件所利用的系统缺陷，不让黑客再次利用这样的缺陷入侵。系统恢复的另一个重要工作是除去后门。系统恢复都是根据检测和响应环节提供有关事件的资料进行的。信息恢复：包括系统升级、软件升级和打补丁等。8.4网络安全机制与措施1.安全机制网络安全机制（securitymechanisms）可分为两类：一类与安全服务有关，另一类与管理功能有关。ISO7498-2建议（1）加密机制（2）数字签名机制（3）访问控制机制（4）数据完整性机制（5）认证机制（6）信息流填充机制（7）路由控制机制（8）公证机制2.网络安全措施（1）安全立法（2）安全管理（3）网络实体安全保护（4）系统访问控制（5）数据加密保护8.5数据加密与数字认证8.5.1数据加密数据加密技术是以研究数据保密为目的，对存储或者传输的信息采取秘密的交换以防止第三者对信息的窃取。被交换的信息被称为明文（Plaintext），它可以是一段有意义的文字或者数据；变换过后的形式被称为密文（Ciphertext）。从明文到密文的交换过程被称为加密（Encryption），该变换本身是一个以加密密钥k为参数的函数，记作Ek（P）。密文经过数据信道传输到达目的地后需要还原成有意义的明文才能被通信接收方理解，将密文C还原为明文P的变换过程称为解密（Decryption）为什么要进行数据加密?篡改:重放:窃听:“我们下午5点老地方见!”“嘿嘿嘿…”“我们下午5点老地方见!”“我们下午三点老地方见!”“我们今天下午三点钟见面!”一天以后:“我们今天下午三点钟见面!”举例第18/45页采用数据加密技术以后数据加密•将明文转换成一种加密的密文，如果没有通信双方共享的密钥，则无法理解密文。•通过对不知道密钥的人隐藏信息达到保密的目的。“我们下午5点老地方见!”“???…”“我们下午5点老地方见!”fojfejk;ladfjj093i2j3kj0gjklacnma./1.对称密钥加密技术美国数据加密标准DESAES(高级加密标准)欧洲数据加密标准IDEA。优点：•当前加密算法非常强大，仅凭密文不掌握密钥几乎不可能解密。•加密方法的安全性依赖于密钥的保密性，而不是算法的保密性。•加密解密速度快•标准：美国数据加密标准(AES)和欧洲数据加密标准（IDEA）缺点：•密钥的分发和管理非常复杂、代价高昂如果有n个用户的网络，需要n(n－1)/2个密钥，对于用户数目很大的大型网络，密钥的分配和保存就成了很大的问题。联邦数据加密标准DESDES（DataEncryptionStandard，数据加密标准）是由IBM公司研制的一种加密算法，美国国家标准局于1977年把它作为非机要部门使用的数据加密标准。DES是一个分组加密算法，它以64位为分组对数据加密。同时DES也是一个对称算法，即加密和解密用的是同一个算法。它的密钥长度是56位。DES算法64位明文M置换计算32位L032位R0f(R0,k1)密钥K1R1=L0Åf(R0,k1)L1=R0Å再经过15轮迭代R16=L15Åf(R15,k16)L16=R15逆置换计算64位密文DES对64位的明文分组M进行操作，M经过一个初始转置被分成左半部分和右半部分M=(L0,R0)，两部分都是32位长。然后使用函数f对两部分进行16轮完全相同的迭代运算，在运算过程中将数据与密钥相结合。经过16轮迭代运算后，再将左、右两部分合在一起经过一个末置换，就产生了密文。2.公开密钥（非对称）加密技术特点：•公共密钥加密系统的密钥分配和管理比较简单。对于有n个用户的网络，就只需要n个私有密钥和n个公共密钥•安全性更高•公共密钥加密系统计算非常复杂，它的速度远赶不上对称密钥加密系统实际应用：公共密钥加密系统通常被用来加密关键性的、核心的机密数据，而对称密钥加密系统通常被用来加密大量的数据RSA简介RSA公钥加密算法是1977年由RonRivest、AdiShamirh和LenAdleman在MIT（美国麻省理工学院）开发的，1978年首次公布。RSA是目前最有影响的公钥加密算法，它能够抵抗到目前为止已知的所有密码攻击，已被ISO推荐为公钥数据加密标准。RSA算法中，每个通信主体都有两个钥匙，一个公钥一个私钥。权威数字认证机构（CA）给所有通信主体（个人或组织）颁发公钥和私钥，彼此配对，分别唯一。私钥好比数字指纹，同时具有解密和加密功能。个人保管，不公开。公钥好比安全性极高的挂号信箱地址，公开。公开密钥密码体制，是由WhitfieldDiffie和MartinHellman1976年在国际计算机会议上首次提出来的，并进一步阐述了非对称密钥的思路：加密使用专门的加密密钥，解密使用专门的解密密钥；从其中一个密钥不可能导出另外一个密钥；使用选择明文攻击不能破解出加密密钥。（1）公私钥生成①随机选定两个大素数p,q②计算公钥和私钥的公共模数n=pq.③计算模数n的欧拉函数φ(n).④选定一个正整数e,使1eφ(n),且e与φ(n)互质.⑤计算d,满足de≡1(modφ(n)),(k为某个正整数).⑥n与e决定公钥,n与d决定私钥.（2）加解密该过程为小张给小李发消息，公钥为小李的公钥(n&e),私钥为小李的私钥(n&d).小张欲给小李发一个消息M,他先把M转换为一个大数mn,然后用小李的公钥(n&e)把m加密为另一个大数:c=memodn小李收到小张发来的大数c,着手解密.通过自己的私钥(n&d),得到原来的大数m:m=cdmodn再把m转换为M,小李即得到小张的原始消息.对称加密，双方具有共享的密钥,只有在双方都知道密钥的情况下才能使用，通常应用于孤立的环境之中，比如在使用自动取款机（ATM）时，用户需要输入用户识别号码（PIN），银行确认这个号码后，双方在获得密码的基础上进行交易，如果用户数目过多，超过了可以管理的范围时，这种机制并不可靠。非对称加密，也称为公开密钥加密，密钥是由公开密钥和私有密钥组成的密钥对，用私有密钥进行加密，利用公开密钥可以进行解密，但是由于公开密钥无法推算出私有密钥，所以公开的密钥并不会损害私有密钥的安全，公开密钥无须保密，可以公开传播，而私有密钥必须保密，丢失时需要报告鉴定中心及数据库。8.5.2数字认证技术1.一次性口令身份认证技术OTP：在登录过程中加入不确定因素，使每次登录过程中传送的信息都不相同，以提高登录过程的安全性2.数字签名技术是公开密钥加密技术的一种应用,是指用发送方的私有密钥加密报文摘要,然后将其与原始的信息附加在一起,合称为数字签名。这种数据或变换允许数据单元的接收者用以确认数据单元的来源和数据单元的完整性并保护数据,防止被人进行伪造。为使数字签名能代替传统的签名，必须满足下面三个条件：（1）接收者能够核实发送者对报文的签名；（2）发送者事后不能抵赖对其报文的签名；（3）接收者无法伪造对报文的签名。发送方通过使用自己的私有密钥对消息加密，实现签名；接收方通过使用发送方的公共密钥对消息解密，完成验证消息正文摘要加密器加密器比较解密器hashinghashing签名解密器摘要A：B：私钥A公钥B私钥B公钥A数据加密和数字签名的区别数据加密的作用保证信息的机密性数字签名的作用保证信息的完整性保证信息的真实性保证信息的不可否认性8.6防火墙8.6.1防火墙的基本概念防火墙（firewall）是设置在被保护网络和外部网络之间的一道屏障，以防止发生不可预测的、潜在破坏性的侵入。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，它有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全。8.6.2防火墙的基本类型防火墙的基本思想不是对每台主机系统进行保护，而是让所有对系统的访问通过某一点，并且保护这一点，并尽可能地对外界屏蔽保护网络的信息和结构。过滤掉不安全服务和非法用户；控制对特殊站点的访问；提供监视Internet安全和预警的方便端点。防火墙的技术已经经历了三个阶段:1.包过滤技术2.代理技术3.状态监视技术1.包过滤防火墙数据包过滤用在内部主机和外部主机之间，过滤系统是一台路由器或是一台主机。过滤系统根据过滤规则来决定是否让数据包通过。通过屏蔽特定的端口可以禁止特定的服务。包过滤系统可以阻塞内部主机和外部主机或另外一个网络之间的连接，例如，可以阻塞一些被视为是有敌意的或不可信的主机或网络连接到内部网络中。2.应用网关常称为代理防火墙，过滤OSI参考模型第3、4、5和7层的信息。优点－－安全性比较高。缺点(1)该方法对每一个请求都必须建立两个连接，一个从客户端到防火墙系统，另一个从防火墙系统到服务器，这会严重影响性能。(2)防火墙网关暴露在攻击者之中。(3)对每一个代理需要有一个独立的应用进程或daemon来处理，这样扩展性和支持新应用方面存在问题。3.状态检测技术引入了OSI全七层监测能力，同时对用户访问是透明的。防火墙能保护、限制其他用户对防火墙网关本身的访问。状态检测技术在网络层截获数据包后交给INSPECTEngine,通过INSPECTEngine可以从数据包中