网络设置8

第七章计算机网络的安全§7.1网络安全问题概述对互联网安全的挑战蠕虫或病毒的扩散全球每18秒收到一次蠕虫或病毒事件报告(CSI/FBIReport,03)垃圾邮件的泛滥平均每一员工每天发送22.9份邮件，接收81份邮件，其中19.5份为垃圾邮件。黑客全球潜在的黑客数将增加到几百万脆弱性Windows2000和WindowsXP的源代码估计分别约有3500万和4500万行。平均每1500行会有一个已知的bug或缺陷，Windows2000和WindowsXP的bug或缺陷将分别达到2.3万和3万个。有害消息的恶意传播§7.1网络安全问题概述在进行通信时，Internet用户的数据被拆成一个个数据包，然后经过若干结点辗转传递到终点。在Internet上，数据传递是靠TCP/IP实现的。但是TCP/IP在传递数据包时，并未对其加密。换言之，在数据包所经过的每个结点上，都可直接获取这些数据包，并可分析、存储。如果数据包内含有商业敏感数据或个人隐私信息，则任何人都可轻易解读。问题的根源——网络开放的设计§7.1网络安全问题概述一、计算机网络面临的安全性威胁计算机网络上的通信面临以下的4种威胁。（1）截获(interception)（2）中断(interruption)（3）篡改(modification)（4）伪造(fabrication)上述四种威胁可划分为两大类，即被动攻击和主动攻击。§7.1网络安全问题概述被动攻击攻击者只是观察和分析某个协议数据单元，而不干扰信息流。也称通信量分析。主动攻击攻击者对某个连接中的PDU进行各种处理。可以有选择地篡改、删除、延迟、复制数据，甚至在以后的时间中伪造、重放PDU。对付攻击的办法：检测、加密与鉴别三、计算机网络安全设计保密性、安全的协议、接入控制应用层安全(软件)应用层安全保护网络上的特定的服务器的应用。方案的例子:病毒防护、个人防火墙、嵌入安全的应用网络层解决方案(体系结构)例子:VPN,SSL,IPSec,ssh要求的认证:SecurID;SafeWord;客户侧证书安全设备（基础设施）提供前线保护和安全特征的专用设备:NAT;DHCP§7.1网络安全问题概述四、信息安全技术信息隐藏技术：密码学、隐文术数字签名：信息来源可靠性保证认证技术：保证信息传输的完整性、有效性§7.1网络安全问题概述§7.2密码体制密码编码学是密码体制的设计学，而密码分析学则是在未知密钥的情况下从密文推演出明文或密钥的技术。密码编码学与密码分析学合起来即为密码学(信息安全的核心技术)。密码学的发展历程：手工－机械－电子古典密码（手工、机械）：主要方法替代、置换现代密码（电子）：对称（常规）密码非对称（公钥）密码密码体制的决定因素：1.明文－密文的操作类型：取代/置换/求积2.使用密钥的数目：对称密钥/非对称密钥3.处理明文的方法：分块（组）加密/流（序列）密码§7.2密码体制攻击者安全信道明文X用加密算法E和密钥K得到密文YEK(X)。在传送过程中可能出现密文截取者。到了收端，利用解密算法D和密钥K，解出明文为DK(Y)DK(EK(X))X。截取者又称为攻击者或入侵者。序列：RC2；分组：DES、CAST、RC6(/5)、AES、IDEA、Blowfish/(Twofish)、常规（对称）密码：加解密密钥相同§7.2密码体制公钥加密过程（6个要素）§7.2密码体制公开密钥加密的过程：1.用户Alice生产一对不同的密钥：加密密钥PK（公钥）、解密密钥SK（私钥）；2.A将公钥PK放入一个公共寄存器或可任意访问的文件，私钥SK秘密保存；3.发送者Bob，用A的PK对明文X应用加密变换E；4.接收者Alice用私钥SK解密，即可恢复出明文，或写为：DSK(EPK(X))X。注：DSK和EPK的参数组合不能改变，顺序不能错。§7.2密码体制两权其美安全系统的目标：解决方案完整、加解密速度快、生成密文短、伸缩性好、密钥发布方便安全。实际应用中二者结合：1.对称密钥加密明文（密文短、速度快）2.数字信封封装1中的加解密密钥3.公钥体制传递数字信封（信封短，计算快）加密密文仍然慢，在无机密性要求时可使用数字签名§7.2密码体制三、数字签名：来源可信性认定数字签名必须保证以下三点：（1）接收者能够核实发送者对报文的签名(来源认定)；（2）发送者事后不能抵赖对报文的签名(非否认)；（3）接收者确信收到数据与来源的一致性(完整性)。1.数字签名实现发送者A用其私钥SKA对报文X进行运算，将结果DSKA(X)传送给接收者B。接收者B用已知的A的公钥PKA得出EPKA(DSKA(X))X。因为除A外没有别人能具有A的私钥SKA，所以除A外没有别人能产生密文DSKA(X)。这样，B就相信报文X是A签名发送的。§7.3公开密钥密码体制§7.4报文鉴别1.问题的引入：完整性保护回忆：网络攻击分主动、被动在信息的安全领域中，加密技术主要对抗被动攻击，但是不能有效对付在网络通信中，针对消息内容的以下主动攻击：伪造消息窜改消息内容改变消息顺序消息重放或者延迟对付主动攻击中的篡改和伪造则要用报文鉴别的方法。报文鉴别（MessageAuthentication）就是一种过程，它使得通信的接收方能够验证所收到的报文(发送者和报文内容、发送时间、序列等)的真伪。3、报文摘要算法§7.4报文鉴别-MD5（MessageDigest)是在Internet上广泛使用的散列算法，MD5生成的散列值为128bit。-SHA（SecureHashAlgorithm),SHA生成的散列值为160bit，较MD5安全，但速度慢。§7.4报文鉴别2.方法：§7.5密钥分配二、密钥分配技术随着用户的增多和通信量的增大，密钥更换频繁(密钥必须定期更换才能做到可靠)，派信使(网外分配方式)的办法将不再适用。这时应采用网内分配方式，即对密钥自动分配。①KDC②DH③公钥证书CA④使用公钥加密会话密钥§7.6因特网的安全协议1.网络层：IPSec2.运输层：SSL/TLS3.应用层：PGP、Kerberos、https、S/MIME、SET§7.7加密的位置一、链路加密网络中，每条通信链路上的加密是独立实现的通常对每条链路使用不同的加密密钥可防止各种形式的通信量分析密钥的分配管理较容易加密对用户透明，由通信子网提供在中间结点会暴露信息内容二、端到端加密在源结点和目的结点中对传送的PDU进行加密和解密报文的安全性不会因中间结点的不可靠而受到影响易受通信量分析的攻击需要全网范围内的密钥管理和分配§7.7加密的位置§7.8防火墙内联网(intranet):采用因特网技术的单位内部网络。内联网通常采用一定的安全措施与企业或机构外部的因特网用户相隔离，这个安全措施就是防火墙(firewall)。概念防火墙是用来连接两个网络并控制两个网络之间相互访问的系统。它包括用于网络连接的软件和硬件以及控制访问的方案。用于对进出的所有数据进行分析，并对用户进行认证，从而防止有害信息进入受保护网，为网络提供安全保障。Intranet防火墙Internet防火墙在互连的网络中的位置:一般都将防火墙内的网络称为“可信赖的网络”，而将外部的因特网称为“不可信赖的网络”。§7.8防火墙防火墙的三种类型1.网络级防火墙也称包过滤防火墙，通常由一部路由器或一部充当路由器的计算机组成。Internet/Intranet上的所有信息都是以IP数据包的形式传输的，两个网络之间的数据传送都要经过防火墙。包过滤路由器对所接收的每个数据包进行审查，以便确定其是否与某一条包过滤规则匹配。限制：包过滤防火墙是一种基于网络层的安全技术，对于应用层上的黑客行为无能为力。这一类的防火墙产品主要有防火墙路由器、在充当路由器的计算机上运行的防火墙软件等。§7.8防火墙2.应用级防火墙应用级防火墙通常指运行代理（Proxy）服务器软件的一部计算机主机。采用应用级防火墙时，Intranet与Internet间是通过代理服务器连接的，二者不存在直接的物理连接,代理服务器的工作就是把一个独立的报文拷贝从一个网络传输到另一个网络。优缺点：这种方式的防火墙把Intranet与Internet物理隔开，能够满足高安全性的要求。但由于该软件必须分析网络数据包并作出访问控制决定，从而影响网络的性能。§7.8防火墙§7.8防火墙3.电路级防火墙电路级防火墙也称电路层网关，是一个具有特殊功能的防火墙，它可以由应用层网关来完成.它就像电线一样，只是在内部连接和外部连接之间来回拷贝字节。但是由于连接要穿过防火墙，其隐藏了受保护网络的有关信息。特点：与应用级防火墙相似，电路级防火墙也是代理服务器，只是它不需要用户配备专门的代理客户应用程序。另外，电路级防火墙在客户与服务器间创建了一条电路，双方应用程序都不知道有关代理服务的信息。