物理与网络通信安全-V4.1

物理环境与网络通信安全版本：4.1讲师姓名机构名称课程内容2物理与网络通信安全知识域知识子域OSI模型典型网络攻击防范网络安全防护技术TCP/IP协议安全物理安全无线通信安全知识子域：物理与环境安全环境安全了解物理安全的重要性；了解场地和环境安全应关注的因素：包括场地选择、抗震及承重、防火、防水、供电、空气调节、电磁防护、雷击及静电等防护技术；3知识子域：物理与环境安全物理安全的重要性信息系统安全战略的一个重要组成部分物理安全面临问题•环境风险不确定性•人类活动的不可预知性典型的物理安全问题自然灾害（地震、雷击、暴雨、泥石流等）环境因素（治安、交通、人流及经营性设施风险）设备安全、介质安全、传输安全4场地选择区域：避开自然灾害高发区域环境：远离可能的危险因素治安、人流量等加油站、化工厂等示例：天津港爆炸事件•天河1A超级计算机暂时关闭（国家超级计算中心）•腾讯公司关闭了数据中心，造成视频服务中断•惠普公司，猎聘网，58.com，艾哈迈德科技公司等的数据中心都受到影响其他：消防、交通便利5抗震及承重抗震：国标《结构抗震设计规范》）特殊设防类重点设防类标准设防类承重考虑设计（建筑的设计是否考虑了应对可能的偶然事件）考虑时间因素（建筑有效期一般为50年）考虑使用因素（正常使用、正常维护）6火灾预防：防火设计及阻燃材料检测：火灾探测器感烟感温感光可燃气体探测抑制水（较少使用，通常做周边防护）气体：二氧化碳、七氟丙烷、三氟甲烷7知识子域：物理与环境安全防水远离水浸威胁（参考场地选择）检测：水浸探测器处置：在应急事件处置中要安排相应的处置流程供电双路供电发电机UPS空气调节8知识子域：物理与环境安全电磁防护解决电磁辐射产生的信息泄露问题•电磁屏蔽：屏蔽线、屏蔽机柜、屏蔽机房•信号干扰：避免信息还原•Tempest技术：对电磁泄漏信号中所携带的敏感信息进行分析、测试、接收、还原以及防护的一系列技术领域的总称雷击及静电直击雷：避雷针、法拉第笼感应雷：电涌保护器静电：放电、防静电服9知识子域：物理与环境安全设施安全了解安全区域的概念及相关防护要求；了解边界防护的概念及相关防护要求；理解审计及监控的概念及相关防护要求。传输安全理解同轴电缆、双绞线、光纤等有线传输技术及安全特点；理解无线安全传输技术及安全特点；10设施安全-安全区域与边界防护安全区域建立安全区域，明确物理安全边界对受控区域进行保护，建立屏蔽及访问控制机制边界防护所有物理出入通道的防护•门：锁、门禁•窗：铁栅栏•通风口11设施安全-审计及监控审计及监控对安全区域的出入行为进行记录对非法闯入进行检测实现方式出入记录（登记、门禁）闭路电视非法闯入探测（红外微波双鉴探头、玻璃破碎探测器等）安保人员12传输安全有线传输：同轴电缆、双绞线、光纤安全风险：非法接入、破坏防护措施：保护措施（深埋、套管）、标识无线传输安全风险：开放信道防护措施：加密13知识子域：OSI通信模型OSI模型理解OSI七层模型构成及每一层的作用；理解协议分层的作用。OSI模型通信过程理解OSI模型通信过程及数据封装、分用等概念OSI模型安全体系构成了解OSI模型安全体系的构成；了解OSI模型的五类安全服务、八种安全机制的概念。14ISO/OSI七层模型结构模型定义了网络中不同计算机系统进行通信的基本过程和方法底层协议偏重于处理实际的信息传输，负责创建网络通信连接的链路，包括物理层、数据链路层、网络层和传输层高层协议处理用户服务和各种应用请求，包括会话层、表示层和应用层15应用层表示层会话层传输层网络层数据链路层物理层OSI模型特点分层结构的优点各层间相互独立降低复杂性促进标准化工作协议开发模块化数据封装与分用（解封装）167.应用层2.数据链路层6.表示层5.会话层4.传输层3.网络层1.物理层7.应用层2.数据链路层6.表示层5.会话层4.传输层3.网络层1.物理层层间的逻辑通信每一层执行功能并将信息送往下一层每一层执行功能并将信息送往上一层发送信息的进程接收信息的进程数据流的物理传输OSI安全体系结构目标保证异构计算机进程与进程之间远距离交换信息的安全五类安全服务鉴别服务、访问控制服务、数据完整性服务、数据保密性服务和抗抵赖服务八种安全机制加密、数据签名、访问控制、数据完整性、鉴别交换、业务流填充、路由控制和公正171234567物理层数据链路层网络层传输层会话层表示层应用层加密数字签名访问控制数据完整性鉴别交换业务流填充路由控制公证鉴别服务访问控制服务数据保密性服务数据完整性服务抗抵赖服务OSI参考模型安全机制安全服务知识子域：TCP/IP模型协议结构及安全问题了解TCP/IP协议的体系及每一层的作用；了解网络接口层的作用及面临的网络安全问题；了解IP协议的工作机制及面临的安全问题；了解传输层协议TCP和UDP的工作机制及面临的安全问题；了解应用层协议面临安全问题。安全解决方案了解基于TCP/IP协议簇的安全架构；了解IPv6对网络安全的价值。18TCP/IP协议结构19网络接口层主要协议ARPRARP安全问题损坏：自然灾害、动物破坏、老化、误操作干扰：大功率电器/电源线路/电磁辐射电磁泄漏：传输线路电磁泄漏欺骗：ARP欺骗嗅探：常见二层协议是明文通信的拒绝服务：macflooding，arpflooding等20典型攻击：ARP欺骗ARP协议实现特点ARP协议特点：无状态，无需请求可以应答ARP实现：ARP缓存21bb:bb:bb:bb:bbcc:cc:cc:cc:ccaa:aa:aa:aa:aa192.168.1.1192.168.1.2MACcc:cc:cc:cc:ccis192.168.1.1收到，我会缓存！192.168.1.3Internet地址物理地址192.168.1.1cc:cc:cc:cc:cc192.168.1.1HelloCC:CC:CC:CC:CCAA:AA:AA:AA:AA192.168.1.1Hello网络互联层核心协议-IP协议IP是TCP/IP协议族中最为核心的协议目前广泛使用的IPv4提供无连接不可靠的服务22版本包头长度服务类型数据包长度标识标记偏移生存期协议类型包头校验和源IP地址目的IP地址可选项用户数据网络互联层安全问题拒绝服务：分片攻击（teardrop）/死亡之ping欺骗：IP源地址欺骗窃听：嗅探伪造：IP数据包伪造23典型攻击：IP欺骗原理：两台主机之间经过认证产生信任关系后，在连接过程中就不会要求严格的认证IP欺骗是一系列步骤构成的攻击24确认攻击目标使要冒充主机无法响应目标主机猜正确的序数冒充受信主机进行会话IP欺骗实现25BACSYNflood攻击连接请求伪造B进行系列会话A的序数规则传输层协议-TCP（传输控制协议）提供面向连接的、可靠的字节流服务提供可靠性服务数据包分块、发送接收确认、超时重发、数据校验、数据包排序、控制流量……2616位源端口号16位目的端口号16位紧急指针16位校验和32位序号32位确认序号数据偏移量16位窗口指针保留位UAPRSF传输层协议-UDP（用户数据报协议）提供面向事务的简单不可靠信息传送服务特点无连接、不可靠协议简单、占用资源少，效率高……2716位源端口号16位目的端口号16位UDP报文长度16位校验和数据传输层安全问题拒绝服务：synflood/udpflood/Smurf欺骗：TCP会话劫持窃听：嗅探伪造：数据包伪造28典型攻击：SYNFlood原理：伪造虚假地址连接请求，消耗主机连接数29(syn)Hello,I’m2.2.2.2(syn+ack)I’mready?I’mwaiting……(syn)Hello,I’m2.2.2.2?I’mwaiting……(syn)Hello,I’m3.3.3.3……I’mwaiting……I’mwaiting……I’mwaiting……1.1.1.11.1.1.12.2.2.2应用层协议定义了运行在不同端系统上的应用程序进程如何相互传递报文典型的应用层协议域名解析：DNS电子邮件：SMTP/POP3文件传输：FTP网页浏览：HTTP……30应用层协议应用层协议安全问题拒绝服务：超长URL链接欺骗：跨站脚本、钓鱼式攻击、cookie欺骗窃听：数据泄漏伪造：应用数据篡改暴力破解：应用认证口令暴力破解等……31典型攻击：DNS欺骗32我不知道，我问问其他DNS服务器OtherDNS收到，我会缓存！我缓存中有记录，我告诉你！2.2.2.21.1.1.1攻击者DNS服务器DNS服务器客户机=222.2.2.2Qid=22基于TCP/IP协议簇的安全架构33网络用户SNMPE-MAILE-MAILPGPS/MIMEPEMSETIKESSHS-HTTPSFTPX.509DNS安全扩展TCPUDPSSLTLSIPIPSEC（AH）IPSEC（ESP）设备驱动与接入协议PPTPL2TPPPPL2F物理介质（物理安全防护）应用层应用层传输层传输层网络层网络层链路层链路层知识子域：无线通信安全无线局域网安全了解无线局域网安全协议WEP、WPA2、WAPI等工作机制及优缺点；理解无线局域网安全防护策略。蓝牙通信安全了解蓝牙技术面临的保密性、完整性、非授权连接、拒绝服务等安全威胁；理解使用蓝牙的安全措施。RFID通信安全了解RFID的概念及针对标签、针对读写器和针对信道的攻击方式；理解RFID安全防护措施。34无线局域网安全协议-WEP提供功能传输加密接入认证（开放式认证、共享密钥认证）开放式认证系统通过易于伪造的SSID识别，无保护、任意接入MAC、IP地址控制易于伪造共享密钥认证弱密钥问题不能防篡改没有提供抵抗重放攻击机制35无线局域网安全协议-WPA、WPA2802.11iWPA（802.11i草案）WPA2(802.11i正式)802.11i运行四阶段发现AP阶段802.11i认证阶段密钥管理阶段安全传输阶段36发现AP阶段802.1x认证阶段密钥管理阶段安全传输阶段SupplicantAuthenticatorAuthenticationServer（AS）WAPI无线安全协议WAPI的构成WAI，用于用户身份鉴别WPI，用于保护传输安全WAPI的安全优势双向三鉴别（服务器、AP、STA）高强度鉴别加密算法37STAAPAS鉴别激活接入鉴别请求证书鉴别请求接入鉴别响应密钥协商请求密钥协商响应组播密钥通告组播密钥响应证书鉴别密钥协商数据通信无线局域网应用安全策略管理措施组织机构安全策略中包含无线局域网安全管理策略结合业务对无线局域网应用进行评估，制定使用和管理策略技术措施加密、认证及访问控制访客隔离安全检测措施38近距离无线通信安全-蓝牙安全威胁保密性威胁：密钥生成基于配对的PIN完整性威胁：未授权设备实施的中间人攻击可用性威胁：拒绝服务非授权连接蓝牙安全应用蓝牙设备选择：技术上应具备抵抗以上威胁的能力蓝牙设备使用：企业应用应建立管理要求39近距离无线通信安全-RFID安全威胁针对标签攻击：数据窃取、标签破解及复制针对读写器的攻击：拒绝服务、恶意代码针对无线信道的攻击：干扰、嗅探安全防护重要的RFID标签（例如用于身份鉴别），支持Kill和休眠的标签使用高安全加密算法的标签涉及资金的应用使用在线核查方式40知识子域：典型网络攻击与防范欺骗攻击了解IP欺骗、ARP欺骗、DNS欺骗等电子欺骗攻击的实现方式及防护措施。拒绝服务攻击了解SYNFlood、UDPFl