計(jì)算機(jī)網(wǎng)絡(luò)安全 第2章

1、計(jì)算機(jī)網(wǎng)絡(luò)安全 與應(yīng)用技術(shù) 總 目 錄 第1章計(jì)算機(jī)網(wǎng)絡(luò)安全的基礎(chǔ)知識 第2章密碼技術(shù) 第3章防火墻技術(shù) 第4章計(jì)算機(jī)及網(wǎng)絡(luò)系統(tǒng)的安全性 第5章Windows NT/2000的安全與保護(hù)措施 第6章黑客原理與防范措施 第7章網(wǎng)絡(luò)病毒與防治 第8章Internet的安全性 第9章計(jì)算機(jī)網(wǎng)絡(luò)安全的實(shí)訓(xùn)問題 第1章計(jì)算機(jī)網(wǎng)絡(luò)安全的基礎(chǔ)知識 1.1計(jì)算機(jī)網(wǎng)絡(luò)基礎(chǔ)知識 1.2計(jì)算機(jī)網(wǎng)絡(luò)存在的安全問題 1.3網(wǎng)絡(luò)安全體系結(jié)構(gòu) 1.4網(wǎng)絡(luò)安全技術(shù) 1.5實(shí)現(xiàn)網(wǎng)絡(luò)安全的策略問題 1.6計(jì)算機(jī)網(wǎng)絡(luò)安全立法 1.7網(wǎng)絡(luò)安全的發(fā)展方向 1.8本章小結(jié) 練習(xí)題 隨著計(jì)算機(jī)技術(shù)的飛速發(fā)展，信息和網(wǎng)絡(luò)已經(jīng)成為社 會(huì)發(fā)展的

2、重要保證。信息與網(wǎng)絡(luò)涉及到國家的政府、 軍事、文教等諸多領(lǐng)域，在計(jì)算機(jī)網(wǎng)絡(luò)中存儲(chǔ)、傳輸 和處理的信息有許多是政府宏觀調(diào)控決策、商業(yè)經(jīng)濟(jì) 信息、銀行資金轉(zhuǎn)賬、股票證券、能源資源數(shù)據(jù)、科 研數(shù)據(jù)等重要信息，其中有很多是敏感信息甚至是國 家機(jī)密，所以難免會(huì)吸引來自世界各地的各種人為攻 擊(例如，信息泄漏、信息竊取、數(shù)據(jù)刪除與添加、 計(jì)算機(jī)病毒等)。因此計(jì)算機(jī)網(wǎng)絡(luò)安全是一個(gè)關(guān)系國 家安全和主權(quán)、社會(huì)的穩(wěn)定、民族文化的繼承和發(fā)揚(yáng) 的重要問題，其重要性正隨著全球信息化步伐的加快 而變得越來越重要。 計(jì)算機(jī)網(wǎng)絡(luò)安全主要涉及網(wǎng)絡(luò)信息的安全和網(wǎng)絡(luò)系 統(tǒng)本身的安全。在計(jì)算機(jī)網(wǎng)絡(luò)中存在著各種資源 設(shè)施，隨時(shí)存儲(chǔ)和傳

3、輸?shù)拇罅繑?shù)據(jù)；這些設(shè)施可能遭 到攻擊和破壞，數(shù)據(jù)在存儲(chǔ)和傳輸過程中可能被盜用、 暴露或篡改。另外，計(jì)算機(jī)網(wǎng)絡(luò)本身可能存在某些不 完善之處，網(wǎng)絡(luò)軟件也有可能遭受惡意程序的攻擊而 使整個(gè)網(wǎng)絡(luò)陷于癱瘓。同時(shí)網(wǎng)絡(luò)實(shí)體還要經(jīng)受諸如水 災(zāi)、火災(zāi)、地震、電磁輻射等方面的考驗(yàn)。 本章介紹計(jì)算機(jī)網(wǎng)絡(luò)安全的基本知識，主要包括以下 內(nèi)容： 計(jì)算機(jī)網(wǎng)絡(luò)基礎(chǔ)知識； 計(jì)算機(jī)網(wǎng)絡(luò)存在的安全問題； 網(wǎng)絡(luò)安全的體系結(jié)構(gòu)； 網(wǎng)絡(luò)安全技術(shù)； 網(wǎng)絡(luò)安全的策略及實(shí)現(xiàn)； 計(jì)算機(jī)網(wǎng)絡(luò)安全立法； 計(jì)算機(jī)網(wǎng)絡(luò)安全的發(fā)展方向。 1.1計(jì)算機(jī)網(wǎng)絡(luò)基礎(chǔ)知識 為了更好地學(xué)習(xí)網(wǎng)絡(luò)安全知識，掌握網(wǎng)絡(luò)的攻防策略， 學(xué)習(xí)一些相關(guān)的計(jì)算機(jī)網(wǎng)絡(luò)基礎(chǔ)知識是非常必要

4、的。 1.1.1計(jì)算機(jī)網(wǎng)絡(luò)體系結(jié)構(gòu) 1. 計(jì)算機(jī)網(wǎng)絡(luò) 計(jì)算機(jī)網(wǎng)絡(luò)，可以用一句簡單的話概括：“通過通信 線路連接起來的自治的計(jì)算機(jī)集合”。這句話包括以 下3個(gè)方面的含義。 (1) 必須有兩臺(tái)或兩臺(tái)以上的具有獨(dú)立功能的計(jì)算機(jī) 系統(tǒng)相互連接起來，以達(dá)到共享資源為目的，才能構(gòu) 成網(wǎng)絡(luò)。這里所指的兩臺(tái)計(jì)算機(jī)系統(tǒng)的位置要 有一定的距離，且每個(gè)計(jì)算機(jī)系統(tǒng)能夠獨(dú)立地工作， 能夠自行處理數(shù)據(jù)，而無需其他系統(tǒng)的幫助。并行機(jī) 雖然有多個(gè)處理器，但它不屬于兩個(gè)具有獨(dú)立功能的 計(jì)算機(jī)系統(tǒng)互連在一起，因此也不屬于網(wǎng)絡(luò)。 (2) 兩臺(tái)或兩臺(tái)以上的計(jì)算機(jī)連接，互相通信交換信 息，必須有一條通道。這條通道的連接是物理的，由 物

5、理介質(zhì)和通信設(shè)備實(shí)現(xiàn)。它們可以是銅線、光纜等 “有線”介質(zhì)，也可以是微波、紅外線或衛(wèi)星等“無 線”介質(zhì)。 (3) 計(jì)算機(jī)系統(tǒng)之間交換信息，必須有某種約定和規(guī) 則，這就是協(xié)議。這些協(xié)議可以由硬件或軟件來完成。 綜合以上3個(gè)方面的內(nèi)容，可以把計(jì)算機(jī)網(wǎng)絡(luò)歸納為： 把分布在不同地點(diǎn)且具有獨(dú)立功能的多個(gè)計(jì)算機(jī)系統(tǒng) 通過通信設(shè)備和線路連接起來，在功能完善的網(wǎng)絡(luò)軟 件和協(xié)議的管理下，以實(shí)現(xiàn)網(wǎng)絡(luò)中資源共享為目標(biāo)的 系統(tǒng)。 2. 計(jì)算機(jī)網(wǎng)絡(luò)協(xié)議 在計(jì)算機(jī)網(wǎng)絡(luò)中不同系統(tǒng)的兩個(gè)實(shí)體之間只有在通信 的基礎(chǔ)上，才有可能相互交換信息，并共享網(wǎng)絡(luò)資源。 一般來說，實(shí)體是能發(fā)送和接收信息的任何東西，可 以指用戶應(yīng)用程序、文件

6、傳送包、數(shù)據(jù)庫管理系統(tǒng)、 電子郵件設(shè)備和終端等。系統(tǒng)可包含一個(gè)或多個(gè)實(shí)體 (如主機(jī)和終端等)。兩個(gè)實(shí)體之間若要能通信，就必 須能夠相互理解，共同遵守有關(guān) 實(shí)體的某種互相能接受的規(guī)則。這些規(guī)則的集合 稱為協(xié)議。因此協(xié)議可被定義為實(shí)體之間控制數(shù)據(jù)交 換的規(guī)則的集合。簡單說，協(xié)議就是通信雙方的約定。 一個(gè)網(wǎng)絡(luò)協(xié)議主要由以下3個(gè)要素組成。 (1) 語法： 即數(shù)據(jù)與控制信息的結(jié)構(gòu)或格式； (2) 語義： 即需要發(fā)出何種控制信息，完成何種動(dòng)作 以及做出何種應(yīng)答； (3) 同步： 即實(shí)體通信實(shí)現(xiàn)順序的詳細(xì)說明。 由此可見，網(wǎng)絡(luò)協(xié)議是計(jì)算機(jī)網(wǎng)絡(luò)不可缺少的組成部 分。 3. 通信子網(wǎng)及子網(wǎng)信道類型 計(jì)算機(jī)網(wǎng)絡(luò)主

7、要由計(jì)算機(jī)系統(tǒng)(包括計(jì)算機(jī)和終端)、 網(wǎng)絡(luò)節(jié)點(diǎn)(通信處理機(jī))和通信鏈路(通信線路和網(wǎng) 絡(luò)設(shè)備)等網(wǎng)絡(luò)單元組成。從功能上可以將計(jì)算機(jī)網(wǎng) 絡(luò)分為資源子網(wǎng)和通信子網(wǎng)，網(wǎng)絡(luò)上的每一個(gè)連接稱 為節(jié)點(diǎn)，節(jié)點(diǎn)有兩類：一類是轉(zhuǎn)接節(jié)點(diǎn)，主要承擔(dān)通 信子網(wǎng)的信息傳輸和轉(zhuǎn)接的作用；另一類是訪問節(jié)點(diǎn)， 是資源子網(wǎng)中的計(jì)算機(jī)或終端，主要是信息資源的來 源和發(fā)送信息的目的地。 不同類型的網(wǎng)絡(luò)，其通信子網(wǎng)的物理組成各不相同。 局域網(wǎng)最簡單，它的通信子網(wǎng)由物理傳媒介質(zhì)和主機(jī) 網(wǎng)絡(luò)接板(網(wǎng)卡)組成。而廣域網(wǎng)，除物理傳媒介質(zhì)和 主機(jī)網(wǎng)絡(luò)接板(網(wǎng)卡)外，必須靠通信子網(wǎng)的轉(zhuǎn)接節(jié)點(diǎn) 傳遞信息。 對于通信子網(wǎng)的設(shè)計(jì)，如果從通信信道類型分

8、 類有兩種類型：點(diǎn)對點(diǎn)通信方式和廣播式通信 子網(wǎng)。 (1) 點(diǎn)對點(diǎn)通信，如圖1.1所示。在該種類型網(wǎng) 中，任何一段物理鏈路，都惟一連接一對節(jié)點(diǎn)。 如果不在同一段物理鏈路的一對節(jié)點(diǎn)中通信， 必須通過其他節(jié)點(diǎn)轉(zhuǎn)接。采用點(diǎn)對點(diǎn)通信的基 本拓?fù)浣Y(jié)構(gòu)有：星形、樹形、環(huán)形及不規(guī)則形 和全部互連等。 圖圖1.1 (2) 廣播式通信，如圖1.2所示。在該種通信子 網(wǎng)中只有一個(gè)公共通信信道，為所有節(jié)點(diǎn)共享 使用，任一時(shí)刻只允許一個(gè)節(jié)點(diǎn)使用公用信道。 當(dāng)一個(gè)節(jié)點(diǎn)利用公共通信信道發(fā)送數(shù)據(jù)時(shí)，必 須攜帶目的地址，只有地址符合的那個(gè)節(jié)點(diǎn)， 才能接收到數(shù)據(jù)，其他節(jié)點(diǎn)都不能收到數(shù)據(jù)。 圖圖1.2 4. 計(jì)算機(jī)網(wǎng)絡(luò)體系結(jié)構(gòu)

9、為了簡化問題、減少協(xié)議設(shè)計(jì)的復(fù)雜性，大多數(shù)網(wǎng)絡(luò) 都采用一種層次結(jié)構(gòu)，按層或級的方式來組織。因此， 協(xié)議也是分層次的。每一層都建立在下層之上，每一 層的目的都是為上層提供一定的服務(wù)，并對上層屏蔽 其服務(wù)的實(shí)現(xiàn)細(xì)節(jié)。各層協(xié)議互相協(xié)作，構(gòu)成一個(gè)整 體。常稱之為協(xié)議簇(protocol family)或協(xié)議套 (protocol suite)。 網(wǎng)絡(luò)分層體系結(jié)構(gòu)模型的概念，為計(jì)算機(jī)網(wǎng)絡(luò)協(xié)議的 設(shè)計(jì)和實(shí)現(xiàn)提供了很大的方便。在體系結(jié)構(gòu)中最著名 的是國際標(biāo)準(zhǔn)化組織(ISO)于1981年頒布的開放系統(tǒng) 互連參考模型(open system interconnection reference model，OSI

10、)。OSI定義了異種互聯(lián)網(wǎng)標(biāo) 準(zhǔn)的框架結(jié)構(gòu)，受到計(jì)算機(jī)和通信行業(yè)的極大關(guān) 注。OSI不斷發(fā)展，得到了國際上的承認(rèn)，成為其他 各計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)結(jié)構(gòu)靠攏的標(biāo)準(zhǔn)，大大地推動(dòng)了計(jì) 算機(jī)網(wǎng)絡(luò)和計(jì)算機(jī)通信的發(fā)展。 在這里“系統(tǒng)”是指一臺(tái)或多臺(tái)計(jì)算機(jī)，外部設(shè)備、 終端、信息傳輸設(shè)備、操作員及相應(yīng)軟件的集合。 “開放”是指按照OSI參考模型建立的任意兩系統(tǒng)之 間的連接或操作。當(dāng)一個(gè)系統(tǒng)能按照OSI標(biāo)準(zhǔn)與另一 個(gè)系統(tǒng)進(jìn)行通信時(shí)，就稱該系統(tǒng)為開放系統(tǒng)?？梢?， 開放系統(tǒng)要求建立一整套能保證全部級別都能進(jìn)行通 信的標(biāo)準(zhǔn)。 OSI開放系統(tǒng)互連參考模型，如圖1.3所示。它采用 結(jié)構(gòu)描述方法，即分層描述的方法，將整個(gè)網(wǎng)絡(luò)的

11、 通信功能劃分成7個(gè)部分(也叫7個(gè)層次)，每 層各自完成一定的功能。由低層至高層分別稱 為物理層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層、傳輸層、會(huì) 話層、表示層和應(yīng)用層。這種劃分使每一層都 能執(zhí)行本層所承擔(dān)的具體任務(wù)，且功能相對獨(dú) 立，通過接口與其相鄰層連接。這里接口指相 鄰層之間的連接，依靠各層之間的接口或功能 的組合，實(shí)現(xiàn)兩系統(tǒng)間、各結(jié)點(diǎn)間信息的傳輸。 圖圖1.3 (1) 物理層(physical layer) 物理層涉及到通信在信道上傳輸?shù)脑急忍亓?，主?處理與物理傳輸介質(zhì)有關(guān)的機(jī)械的、電氣的、功能的 和規(guī)程的接口。物理層與具體設(shè)備有關(guān)，如光纖及收 發(fā)器、網(wǎng)卡和集線器等。 (2) 數(shù)據(jù)鏈路層(data

12、link layer) 數(shù)據(jù)鏈路層的主要任務(wù)是加強(qiáng)物理層傳輸原始比特的 功能，使之對網(wǎng)絡(luò)層顯現(xiàn)為一條無差錯(cuò)的鏈路。它通 過將傳輸?shù)臄?shù)據(jù)增加同步信息、校驗(yàn)信息及地址信息 封裝成數(shù)據(jù)幀;同時(shí)提供數(shù)據(jù)幀傳輸順序的控制、差 錯(cuò)檢測與控制和數(shù)據(jù)流量控制以保證數(shù)據(jù)傳輸?shù)恼_ 性。 (3) 網(wǎng)絡(luò)層(network layer) 確定數(shù)據(jù)分組從源端到目的端如何選擇路由。即通過 路徑選擇將信息從最合適的路徑由發(fā)送端傳送到接收 端，防止通信子網(wǎng)信息流量過大造成網(wǎng)絡(luò)阻塞及數(shù)據(jù) 丟失。 (4) 傳輸層(transport layer ) 傳輸層的基本功能是從會(huì)話層接收數(shù)據(jù)，并且在必要 時(shí)把它分成較小的單元，傳遞給網(wǎng)絡(luò)

13、層，并確保到達(dá) 對方的各段信息正確無誤，從某種意義上講，傳輸層 使會(huì)話層不受硬件技術(shù)變化的影響。 傳輸層也要決定向會(huì)話層，最終向網(wǎng)絡(luò)用戶提供什么 樣的服務(wù)。最流行的傳輸連接是一條無錯(cuò)的、按發(fā)送 順序傳輸報(bào)文或字節(jié)的點(diǎn)到點(diǎn)的信道。 傳輸層是真正的從源到目標(biāo)(端-端)的層。也就是說， 源端機(jī)上的某程序，利用報(bào)文頭和控制報(bào)文與目標(biāo)機(jī) 上的類似程序進(jìn)行對話。在傳輸層以下的各層中，協(xié) 議是每臺(tái)機(jī)器和它直接相鄰的機(jī)器間的協(xié)議，而不是 最終的源端機(jī)與目標(biāo)機(jī)之間的協(xié)議，在它們中間可能 還有多個(gè)路由器。 傳輸層主要完成的功能如下： 分割和重組報(bào)文； 提供可靠的“端-端”的服務(wù)； 傳輸層的流量控制； 提供面向連接

14、的和面向無連接數(shù)據(jù)傳輸服務(wù)。 (5) 會(huì)話層(session layer) 會(huì)話層允許不同機(jī)器上的用戶建立會(huì)話(session)關(guān)系。 會(huì)話層服務(wù)之一是管理對話。會(huì)話層允許信息同時(shí)雙 向傳輸或任一時(shí)刻只能單向傳輸。若屬于后者，則類 似半雙工通信，會(huì)話層將記錄此時(shí)該輪到哪一方了。 與會(huì)話有關(guān)的服務(wù)是令牌管理(token management) 和同步(synchronization)。 (6) 表示層(presentation layer) 表示層主要完成以下特定的功能： 對數(shù)據(jù)編碼格式進(jìn)行轉(zhuǎn)換； 數(shù)據(jù)壓縮與恢復(fù)； 建立數(shù)據(jù)交換格式； 數(shù)據(jù)的安全與保密； 其他特殊服務(wù)。 (7) 應(yīng)用層(appl

15、ication layer) 應(yīng)用層包含大量人們普遍需要的協(xié)議和提供許多應(yīng)用 軟件包。例如FTP、E-mail等程序及應(yīng)用軟件包。 應(yīng)用層完成的主要功能如下： 作為用戶應(yīng)用程序與網(wǎng)絡(luò)間的接口; 使用戶的應(yīng)用程序能夠與網(wǎng)絡(luò)進(jìn)行交互式聯(lián)系。 在OSI 7層模型中，每一層都提供一些明確的網(wǎng)絡(luò)功 能。 一般數(shù)據(jù)通信子網(wǎng)中的交換節(jié)點(diǎn)只包含OSI模型的下 3層，表示節(jié)點(diǎn)的這3個(gè)層次又稱為中繼開放系統(tǒng)。 若從功能角度看，下面4層主要提供通信傳輸功能， 以節(jié)點(diǎn)到節(jié)點(diǎn)之間的通信為主；高層協(xié)議(會(huì)話層、 表示層和應(yīng)用層)則以提供用戶與應(yīng)用程序之間的處 理功能為主。簡而言之，低4層協(xié)議屬于通信功能， 高3層屬于處理

16、功能。 若從產(chǎn)品看，低3層協(xié)議一般由硬件完成，高層協(xié)議 由軟件完成。例如，網(wǎng)卡和網(wǎng)橋完成物理層和數(shù)據(jù)鏈 路層的功能，路由器完成網(wǎng)絡(luò)層的功能，而電子郵件 軟件完成應(yīng)用層的功能。 在實(shí)際網(wǎng)絡(luò)系統(tǒng)中，OSI中的會(huì)話層和表示層很少使 用。 1.1.2 Internet網(wǎng)絡(luò) 1. Internet物理結(jié)構(gòu) Internet連接了不同國家與地區(qū)無數(shù)不同類型的電腦, 可能是某個(gè)校園網(wǎng)的大型主機(jī)，也可能是某個(gè)辦公室 的個(gè)人電腦。硬件千差萬別，使用的操作系統(tǒng)與軟件 也各不相同，要保證這些電腦之間能夠暢通無阻地交 換信息，必須有相通的語言，即統(tǒng)一的通信協(xié)議。 Internet是一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)的網(wǎng)絡(luò)或叫做網(wǎng)間網(wǎng)(把

17、全 世界各種各樣的網(wǎng)絡(luò)都聯(lián)接到一起所形成的網(wǎng)絡(luò))， 那么Internet是怎么把這些網(wǎng)絡(luò)連接到一起的呢? Internet是用一種稱為路由器的專用計(jì)算機(jī)將網(wǎng)絡(luò)互 聯(lián)在一起的，如圖1.4所示。當(dāng)然，單純將計(jì)算機(jī)硬 件互聯(lián)在一起并不能形成Internet，互聯(lián)的計(jì)算機(jī)還 需要在軟件的指揮下才能正常地工作。 圖圖1.4 2. TCP/IP協(xié)議 在Internet中使用的一個(gè)關(guān)鍵的協(xié)議是網(wǎng)與網(wǎng)之間的 協(xié)議，也叫做網(wǎng)際協(xié)議(IP)，IP精確地定義了分組必 須怎樣組成，以及路由器必須怎樣將每一個(gè)分組遞交 到其目的地。連接到Internet上的每臺(tái)計(jì)算機(jī)都必須 遵守網(wǎng)際協(xié)議 IP的約定。每臺(tái)發(fā)送信息的計(jì)算機(jī)

18、必 須按IP定義的格式產(chǎn)生分組。接收信息的計(jì)算機(jī)也需 按IP的約定從中提取信息。由此可見，實(shí)現(xiàn)該操作的 軟件(IP軟件)是最基本的軟件，所有Internet服務(wù)都使 用IP來發(fā)送或接收分組，所以通常每臺(tái)計(jì)算機(jī)在通信 時(shí)都必須使 IP軟件駐留在內(nèi)存中，以便時(shí)刻準(zhǔn)備發(fā) 送或接收分組。IP分組也稱為 IP數(shù)據(jù)包。IP分組的 發(fā)送就像電報(bào)局處理電報(bào) 一樣，一旦發(fā)送方準(zhǔn)備好一個(gè)數(shù)據(jù)包并且將其發(fā) 送到Internet上后，發(fā)送者就可以處理其他事務(wù)。 TCP協(xié)議的主要作用是使 Internet工作得比較可靠。 連接到Internet上的所有計(jì)算機(jī)都運(yùn)行IP軟件，并且 其中的絕大多數(shù)還運(yùn)行TCP軟件。 事實(shí)上

19、，由于 TCP和IP在 Internet網(wǎng)絡(luò)中的重要地位以及兩者在一 起工作得很好，因此，把Internet中所使用的整個(gè)通 信協(xié)議組稱為TCP/IP協(xié)議組。 TCP/IP協(xié)議也采用了層次體系結(jié)構(gòu)，所涉及的層次 包括網(wǎng)絡(luò)接口層、傳輸層、網(wǎng)間網(wǎng)層和應(yīng)用層。每一 層都實(shí)現(xiàn)特定的網(wǎng)絡(luò)功能，其中TCP負(fù)責(zé)提供傳輸層 的服務(wù)，IP協(xié)議實(shí)現(xiàn)網(wǎng)間網(wǎng)層的功能。這種層次結(jié)構(gòu) 系統(tǒng)遵循著對等實(shí)體通信原則，即 Internet上兩臺(tái)主機(jī)之間傳送數(shù)據(jù)時(shí)，都以 使用相同功能通信為前提，這也是在Internet 上主機(jī)之間地位平等的一個(gè)體現(xiàn)。TCP/IP協(xié) 議模型如圖1.5所示。 圖圖1.5 下面介紹TCP/IP協(xié)議各層

20、實(shí)現(xiàn)的具體功能和作用。 (1) 網(wǎng)絡(luò)接口層 TCP/IP協(xié)議對這一層的描述很少，一般網(wǎng)絡(luò)接口層 提供了TCP/IP協(xié)議與各種物理網(wǎng)絡(luò)的接口，為數(shù)據(jù) 包的傳送和校驗(yàn)提供了可能。這些物理網(wǎng)絡(luò)包括各種 局域網(wǎng)和廣域網(wǎng)，如Ethernet，Token Ring，X.25公 共分組交換網(wǎng)等。網(wǎng)絡(luò)接口層也為在其之上的網(wǎng)間網(wǎng) 層提供服務(wù)。 (2) 網(wǎng)間網(wǎng)層(internet layer) 網(wǎng)絡(luò)接口層只提供了簡單的數(shù)據(jù)流傳送服務(wù)，而在 Internet中網(wǎng)絡(luò)與網(wǎng)絡(luò)之間的數(shù)據(jù)傳輸主要依賴網(wǎng)間 網(wǎng)層中的IP協(xié)議(internet protocol)。 IP是構(gòu)成網(wǎng)間網(wǎng)層的一個(gè)主要部分。IP負(fù)責(zé)Internet 上

21、主機(jī)與主機(jī)之間的通信，即將數(shù)據(jù)包由一臺(tái)主機(jī)傳 輸?shù)搅硪慌_(tái)主機(jī)。 具體地講，IP包括如下功能。 管理Internet中的地址： 由于IP負(fù)責(zé)將數(shù)據(jù)包由源 方發(fā)送到目的方，因此要對數(shù)據(jù)包中的地址，即所謂 Internet上的IP地址進(jìn)行管理。而IP地址名稱的由來 就是“符合IP協(xié)議的地址”的簡稱。 IP地址具有固定、規(guī)范的格式。它由32位(bit)二進(jìn)制 數(shù)組成，分成4段，其中每8位構(gòu)成一段，一般用十 進(jìn)制數(shù)表示，段與段之間用小數(shù)點(diǎn)號“.”隔開。例如， 某臺(tái)計(jì)算機(jī)的IP地址為：5。 IP地址根據(jù)適用范圍的不同分為3類： A類地址、B 類地址和C類地址，主要依據(jù)網(wǎng)絡(luò)號和主機(jī)號的

22、數(shù)量 劃分，如圖1.6所示。其中1.x.y.z126.x.y.z格式的IP 地址，屬于A類地址，A類IP地址通常用于大型網(wǎng)絡(luò) 的管理；128.x.y.z191.x.y.z格式的IP地址，屬于B類 地址，B類地址適應(yīng)中等規(guī)模的網(wǎng)絡(luò)； 192.x.y.z223.x.y.z格式的IP地址，屬于C類地址， 這種編址適用于一些小公司或研究機(jī)構(gòu)； 224.x.y.z239.x.y.z格式的IP地址，用于特殊用途， 如多目廣播；240.x.y.z255.x.y.z格式的IP地址，暫 時(shí)保留，用于某些實(shí)驗(yàn)和將來使用。 圖圖1.6 IP地址中的“主機(jī)號”字段，可繼續(xù)劃分為“子網(wǎng)號” 字段和“主機(jī)號” 字段。一般

23、來說，在一個(gè)單位分 配到的IP地址中，當(dāng)主機(jī)數(shù)量很大時(shí)(例如：一個(gè)B類 地址，最多可以有216-2=65 534臺(tái)主機(jī))，為了便于 隔離和管理本單位的網(wǎng)絡(luò)，同時(shí)防止網(wǎng)絡(luò)內(nèi)由于主機(jī) 數(shù)量太多以至出現(xiàn)廣播風(fēng)暴問題而采用子網(wǎng)劃分。如 圖1.7所示，判斷兩臺(tái)主機(jī)是否在同一個(gè)子網(wǎng)中，需 要用到子網(wǎng)掩碼或子網(wǎng)模，子網(wǎng)掩碼同IP地址一樣是 一個(gè)32位的二進(jìn)制數(shù)，只是網(wǎng)絡(luò)部分(包括IP網(wǎng)絡(luò)和 子網(wǎng))全為“1”，主機(jī)部分全為“0”。判斷兩個(gè)IP地址 是否在同一個(gè)子網(wǎng)中，只需判斷這兩個(gè)IP地址與子網(wǎng) 掩碼做邏輯“與”運(yùn)算的結(jié)果是否相同，相同則說明 在同一個(gè)子網(wǎng)中。如C類地址的子網(wǎng)掩碼為

24、。 圖圖1.7 路由選擇功能： 數(shù)據(jù)包在傳輸過程中要由IP通過 路由選擇算法，在源方與目的方之間選擇一條最佳的 路徑。 數(shù)據(jù)包的分片與重組： 數(shù)據(jù)包在傳輸過程中要經(jīng) 過多個(gè)網(wǎng)絡(luò)，因?yàn)槊糠N網(wǎng)絡(luò)所規(guī)定的分組長度不等， 當(dāng)數(shù)據(jù)包經(jīng)過只能傳輸長度較小的分組的網(wǎng)絡(luò)時(shí)，就 需要將數(shù)據(jù)包分割成小段才能通過。當(dāng)數(shù)據(jù)包全部到 達(dá)目的方后，還需要由IP將它們重新組裝。 綜上所述，IP協(xié)議規(guī)定了Internet上的計(jì)算機(jī)之間通 信所必須遵守的規(guī)則。IP定義了Internet上IP地址的 格式，并通過路由選擇，將數(shù)據(jù)包由一臺(tái)計(jì)算機(jī)傳遞 到另一臺(tái)計(jì)算機(jī)。但I(xiàn)P只負(fù)責(zé)傳送數(shù)據(jù)包，而不考慮 傳輸?shù)目煽啃?、?shù)據(jù)包的流量控制等

25、安全因素。 與IP配合使用的還有以下3個(gè)協(xié)議： Internet控制報(bào)文協(xié)議ICMP(Internet control message protocol)，用于報(bào)告差錯(cuò)和傳輸控制信息； 地址轉(zhuǎn)換協(xié)議ARP(address resolution protocol)， 用于將IP地址轉(zhuǎn)換成物理地址; 反向地址轉(zhuǎn)換協(xié)議RARP(reverse address resolution protocol)，用于將物理地址轉(zhuǎn)換成IP地址。 (3) 傳輸層(transport layer) 傳輸層中的TCP協(xié)議提供了一種可靠的傳輸方法，解 決了IP協(xié)議的不安全因素，為數(shù)據(jù)包正確、安全地到 達(dá)目的地提供了保障。

26、這里定義了兩個(gè)“端-端”的 協(xié)議：TCP和UDP。 第一個(gè)是傳輸控制協(xié)議TCP(transmission control protocol)。它是一個(gè)面向連接的協(xié)議，允許從一臺(tái)機(jī) 器發(fā)出的字節(jié)流無差錯(cuò)地發(fā)往Internet上的其他機(jī)器。 TCP把輸入的字節(jié)流分成報(bào)文段并傳給網(wǎng)間網(wǎng)層。在 接收端，TCP接收進(jìn)程把收到的報(bào)文再組裝成輸出流。 TCP還要處理流量控制，以避免高速發(fā)送方向低速接 收方發(fā)送過多報(bào)文而使接收方無法處理。 第二個(gè)協(xié)議是用戶數(shù)據(jù)報(bào)協(xié)議UDP(user datagram protocol)。它是一個(gè)不可靠的、無連接協(xié)議，用于不 需要TCP的排序和流量控制功能而是自己完成這些功 能

27、的應(yīng)用程序。它也被廣泛地應(yīng)用于只有一次的客戶 機(jī)/服務(wù)器模式的請求-應(yīng)答查詢，以及快 速遞交比準(zhǔn)確遞交更重要的應(yīng)用程序，如傳輸語音 或影像等。自從這個(gè)模型出現(xiàn)以來，IP已經(jīng)在很多其 他網(wǎng)絡(luò)上實(shí)現(xiàn)了。 TCP和UDP都使用了端口(port)進(jìn)行尋址。一個(gè)主機(jī) 里往往有多個(gè)進(jìn)程在運(yùn)行，為區(qū)分是哪一個(gè)進(jìn)程在進(jìn) 行通信，就必須在傳輸層上設(shè)置一些端口。一個(gè)端口 是一個(gè)16位的地址。對于一些最常用的應(yīng)用層服務(wù)， 都各有一個(gè)對應(yīng)的端口號，這種端口號叫做數(shù)字端口， 數(shù)字為0255，如應(yīng)用層提供的FTP服務(wù)端口為21、 WWW服務(wù)端口為80等。 (4) 應(yīng)用層(application layer) TCP/IP

28、協(xié)議設(shè)有會(huì)話層和表示層。傳輸層的上面是 應(yīng)用層，它包含所有的高層協(xié)議。最早引入的是 虛擬終端協(xié)議(Telnet)、文件傳輸協(xié)議(FTP)和電子 郵件協(xié)議(SMTP)，虛擬終端協(xié)議允許一臺(tái)機(jī)器上的 用戶登錄到遠(yuǎn)程機(jī)器上并且進(jìn)行工作。文件傳輸協(xié)議 提供了有效地把數(shù)據(jù)從一臺(tái)機(jī)器傳輸?shù)搅硪慌_(tái)機(jī)器的 方法。電子郵件協(xié)議最初僅是一種文件傳輸，但是后 來為它提出了專門的協(xié)議。這些年來又增加了不少新 的協(xié)議，例如域名系統(tǒng)服務(wù)DNS(domain name server)，用于把主機(jī)名映射到網(wǎng)絡(luò)地址；NMTP協(xié)議， 用于傳遞新聞文章；還有HTTP協(xié)議，用于在萬維網(wǎng) (WWW)上獲取主頁等。從應(yīng)用開發(fā)角度出發(fā)，在

29、 Internet 上已經(jīng)開發(fā)出許多實(shí)用程序，如Netscape、 Internet Explorer瀏覽器等。這些實(shí)用程序通過 Socket套接接口與各種應(yīng)用協(xié)議相連接。例如， TCP/IP基于Windows 的應(yīng)用程序接口為Winsock。 3. Internet的服務(wù) Internet發(fā)展迅猛，其提供的服務(wù)在不斷增加，應(yīng)用 領(lǐng)域也迅速擴(kuò)大，而且日益滲透到人們的生活和工作 之中，成為日常交流中不可缺少的組成部分。這里所 列出的只是一些基本服務(wù)與應(yīng)用的概括。Internet所 提供的服務(wù)都采用客戶機(jī)/服務(wù)器的模式。 (1) 電子郵件 E-mail(電子郵件)是Internet提供的一項(xiàng)最基本

30、服務(wù)， 它基于客戶機(jī)/服務(wù)器的模式，如圖1.8所示，是用戶 使用最為廣泛的Internet服務(wù)之一。電子郵件的最大 特點(diǎn)是快速、方便，通常發(fā)送一封郵件只需幾分鐘就 能被對方接收到，并且費(fèi)用低廉，特別適合遠(yuǎn)距離用 戶之間的相互聯(lián)系。Internet的電子郵件 系統(tǒng)模仿普通的郵政業(yè)務(wù)，通過在一些特定的 網(wǎng)點(diǎn)(如ISP的主機(jī))設(shè)定“郵局”，提供“郵 局”的主機(jī)又叫郵件服務(wù)器。用戶可以在該 “郵局”上租用一個(gè)“電子信箱”(mail box)， 當(dāng)用戶向ISP申請“電子信箱”時(shí)，ISP在郵 件服務(wù)器上建立該用戶的電子郵件賬戶，它包 括用戶名(user name)和用戶密碼(password)。 當(dāng)需要進(jìn)

31、行郵件的收發(fā)處理時(shí)，用戶可以在任 何時(shí)間、任何地點(diǎn)與自己的“郵局”連接，輸 入自己信箱的用戶名和密碼打開電子信箱，進(jìn) 行郵件的收發(fā)或存檔處理等。 圖圖1.8 每個(gè)電子信箱都有一個(gè)郵箱地址，稱為電子郵件地址 (E-mail address)。電子郵件地址的格式是固定的， 并且在全球范圍內(nèi)是惟一的。用戶的郵件地址格式為： 用戶名主機(jī)名，其中“”符號讀作“at”。主機(jī)名 指的是擁有獨(dú)立IP地址的計(jì)算機(jī)的名字，用戶名是指 在該計(jì)算機(jī)上為用戶建立的電子郵件賬號。例如，在 “”主機(jī)上，有一個(gè)名為“jzyuan”的用戶， 那么該用戶的E-mail地址為。 目前，平均每天有5000萬份電子郵件在Interne

32、t上傳 輸，處于世界不同角落的人們均可通過這種方式來進(jìn) 行彼此間的交流。電子郵件有著電話、傳真所無法比 擬的優(yōu)點(diǎn)，例如可以將一份電子郵件同時(shí)發(fā) 送給多個(gè)收件人；可以把收到的郵件立即轉(zhuǎn)發(fā) (forward)出去；可以即時(shí)答復(fù)等。目前，已有越來越 多的人將自己的電子郵件賬號同聯(lián)系電話一樣印在名 片上向外分發(fā)，可見它具有廣泛的通信聯(lián)系作用。 在使用傳統(tǒng)的電子郵件軟件時(shí)，用戶需要登錄到一個(gè) 多用戶系統(tǒng)上，如UNIX系統(tǒng)(一種主流網(wǎng)絡(luò)操作系統(tǒng))， 該系統(tǒng)通常是一天24小時(shí)都連接在Internet上，用戶 可以隨時(shí)編寫、發(fā)送、接收電子郵件，這種方式就是 通常所說的終端方式。隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，出現(xiàn)了 大量

33、的基于Windows環(huán)境下的各種客戶端電子郵件軟 件，這些電子郵件軟件允許用戶脫機(jī)閱讀、撰寫電子 郵件的內(nèi)容，大大減少了用戶的聯(lián)機(jī)費(fèi)用，而且界面 友好，因此受到廣大用戶的歡迎。 (2) 文件傳送(FTP) FTP(file transfer protocol)是在Internet上進(jìn)行文件傳 輸?shù)囊环N協(xié)議，其工作原理如圖1.9所示。目前FTP 多用于將遠(yuǎn)程 FTP服務(wù)器上的一些共享軟件或資料 文件傳輸?shù)奖镜貦C(jī)上，這一過程稱為下載(download)。 FTP的工作方式遵循客戶機(jī)/服務(wù)器模式，使用FTP首 先要有一個(gè)FTP的客戶端軟件。用戶通過FTP網(wǎng)點(diǎn)進(jìn) 行連接，連接成功后查找到所需要的文件進(jìn)

34、行下載。 圖圖1.9 對于網(wǎng)絡(luò)上眾多的信息，用戶在進(jìn)行FTP傳送時(shí)多是 用匿名(anonymous FTP)方式，即遠(yuǎn)程FTP服務(wù)器允 許任何用戶訪問該網(wǎng)點(diǎn)并可從該網(wǎng)點(diǎn)上免費(fèi)下載文件。 但通常情況下，用戶在登錄某一臺(tái)FTP網(wǎng)點(diǎn)時(shí)，多是 以Anonymous或Guest作為用戶名，以電子郵件地址 作為口令來進(jìn)行身份注冊。 (3) WWW(world wide web)瀏覽 在Internet提供的眾多服務(wù)中，WWW是最受歡迎的 一種服務(wù)，特別是對于初學(xué)者。目前訪問WWW的用 戶正在與日俱增。WWW提供的不僅是文字信息，而 且包括了圖像、聲音、動(dòng)畫等多媒體信息。因此，訪 問WWW會(huì)使用戶感受到In

35、ternet更加直觀、具體、 生動(dòng)和形象。 WWW提供的信息量是非常豐富的，其范圍包括了科 技、教育、政治、軍事、娛樂、商業(yè)等各個(gè)領(lǐng)域，可 以說，不論你從事何種行業(yè)的工作，都可以在WWW 上找到相關(guān)的內(nèi)容，并且有些甚至是最前沿的信息。 特別值得指出的是WWW在商業(yè)貿(mào)易方面具有巨大的 潛力，目前些在線的商品訂購、金融投資、商業(yè)合 作等已占相當(dāng)數(shù)量的比例，并且日趨增長；同電視、 報(bào)紙、雜志等廣告宣傳媒體相比，WWW更有無可比 擬的作用和效果。 從技術(shù)角度講，WWW提供的是一種基于頁面檢索的 信息服務(wù)。頁面的組織方式拋開了傳統(tǒng)的連續(xù)性，而 采用了符合人腦思維習(xí)慣的具有跳躍性的超鏈接 (hyper l

36、ink)技術(shù)。在其頁面中經(jīng)常有一些字、詞或 圖片是以高亮、下劃線或變色等特殊方式顯示的， 表明這些內(nèi)容是可作為進(jìn)一步查詢的超鏈接，用鼠標(biāo) 單擊它就可以進(jìn)入下一頁面的內(nèi)容。這種超鏈接技術(shù) 使得全球的WWW信息都有機(jī)地聯(lián)系起來，用戶可以 輕松地從一幅頁面跳轉(zhuǎn)到另一幅頁面上，從一臺(tái)Web 服務(wù)器跳轉(zhuǎn)到另外一臺(tái)Web服務(wù)器上。 這些具有超鏈接的頁面文件在全球Internet上是一種 通用格式，稱作Web頁面。Web頁面的編寫是通過 HTML(hyper text markup language)超文本置標(biāo)語言 來實(shí)現(xiàn)的，該語言是一種類似于排版用的置標(biāo)語言， 通過加一些特定的標(biāo)記，能夠?qū)⑽淖?、圖像、聲音

37、、 表格等信息有機(jī)地組織起來，使Web頁面看上去圖文 并茂。 WWW服務(wù)也采用基于客戶機(jī)/服務(wù)器的工作模式， 如圖1.10所示?？蛻舳艘\(yùn)行WWW客戶程序，它提 供良好的用戶界面，將用戶的查詢請求送給服務(wù)器。 Web服務(wù)器上存儲(chǔ)大量Web頁面并連接后臺(tái)數(shù)據(jù)庫， 隨時(shí)等待響應(yīng)客戶端發(fā)來的請求，執(zhí)行查詢后將結(jié)果 返回給客戶端?？蛻舳伺cWeb服務(wù)器的交互是通過超 文本傳輸協(xié)議 (hyper text transfer protocol,HTTP)來 完成的，而用戶要查詢某一臺(tái)Web服務(wù)器是通過URL (uniform resource locator)統(tǒng)一資源定位符來指定的， URL地址既可以是本地

38、硬盤上的某個(gè)文件也可以是 Internet上的網(wǎng)點(diǎn)。例如下面URL所示： http:/www.M 其中http： 為所使用的傳輸協(xié)議，“/”后面跟 著的是Internet上Web網(wǎng)點(diǎn)的域名。如果在 URL地址中將 http換成FTP或Gopher協(xié)議，并 在“/”后面跟上相應(yīng)的FTP站點(diǎn)或Gopher站點(diǎn)， 這樣就可以在WWW客戶端程序上執(zhí)行FTP服 務(wù)或Gopher服務(wù)。目前，WWW客戶端程序使 用較廣泛的是Netscape公司的Netscape Navigator和Microsoft公司的Internet Explorer 兩種瀏覽器。 圖圖1.10 (4) 遠(yuǎn)程登錄(telnet) 追溯

39、到一臺(tái)小型計(jì)算機(jī)相當(dāng)于3、4個(gè)冷凍柜(更大的 計(jì)算機(jī)還要用自己的空調(diào)系統(tǒng))大小的時(shí)代，對科學(xué) 家和工程師來說，最初對Internet感興趣的原因是 Internet使他們能得到本地得不到的計(jì)算機(jī)資源，并 使他們更容易與其他城市的同行們合作?，F(xiàn)在，具有 Internet賬號的用戶可利用自己的辦公室或?qū)嶒?yàn)室的 終端與網(wǎng)絡(luò)中任何其他計(jì)算機(jī)建立起連接，只需使用 UNIX的telnet命令來建立一個(gè)遠(yuǎn)程終端連接，這種連 接只需在telnet 后面注上遠(yuǎn)處計(jì)算機(jī)的地址即可。 通過telnet進(jìn)行遠(yuǎn)程操作有兩項(xiàng)較普遍的應(yīng)用：第一， 許多系統(tǒng)都允許用guest為用戶名免費(fèi)訪問該 站點(diǎn)。第二，其他一些系統(tǒng)支持I

40、nternet的用戶在 他們的系統(tǒng)上建立個(gè)人賬號。例如，許多圖書館都用 聯(lián)機(jī)系統(tǒng)取代了原來傳統(tǒng)的卡片目錄。只要圖書館的 計(jì)算機(jī)接在Internet網(wǎng)中，便可通過遠(yuǎn)程訪問查詢需 要的目錄。 (5) Internet的其他服務(wù) Internet還提供了基于目錄方式的信息檢索查詢工具 Gopher分類目錄服務(wù)。例如：用戶可通過網(wǎng)絡(luò)新聞 (News)服務(wù)參與某個(gè)方面主題的討論；利用在線交 談(IRC)服務(wù)進(jìn)行交談和網(wǎng)絡(luò)的實(shí)時(shí)會(huì)議；通過網(wǎng)絡(luò) 電話(web phone)服務(wù)用市話費(fèi)用撥打國際長途；虛 擬時(shí)空(virtual reality)服務(wù)在電腦世界里創(chuàng)造一個(gè)越 來越逼真的現(xiàn)實(shí)環(huán)境，形成另一個(gè)時(shí)空 觀

41、念，在這里交友、購物、玩游戲、旅游觀 光等，從事著現(xiàn)實(shí)生活中存在的或虛擬出的各 項(xiàng)活動(dòng)。Internet提供的遠(yuǎn)程教育與科研 (remote education)服務(wù)將徹底改變?nèi)藗儌鹘y(tǒng) 的教學(xué)方式，學(xué)生可以分布在世界各地，教學(xué) 資料可以擱放在任何地方，這種教學(xué)方式的改 變，可以大大提高教學(xué)的靈活性，降低教學(xué)和 學(xué)習(xí)成本。 Internet上提供的各種服務(wù)已達(dá)到上萬種，其 中大多數(shù)服務(wù)是免費(fèi)的。隨著Internet商業(yè)化 的發(fā)展趨勢，它提供的服務(wù)將會(huì)進(jìn)一步增多。 1.2 計(jì)算機(jī)網(wǎng)絡(luò)存在的安全問題 迅速發(fā)展的Internet給人們的生活、工作帶來了巨大 的方便，人們可以坐在家里通過Internet

42、收發(fā)電子郵 件、打電話、進(jìn)行網(wǎng)上購物、銀行轉(zhuǎn)賬等，一個(gè)網(wǎng)絡(luò) 化社會(huì)的雛形已經(jīng)展現(xiàn)在我們的面前。但是，在網(wǎng)絡(luò) 給人們帶來巨大便利的同時(shí)，也帶來了一些不容忽視 的問題，網(wǎng)絡(luò)信息的安全保密問題就是其中之一。 1.2.1 什么使網(wǎng)絡(luò)通信不安全 隨著網(wǎng)絡(luò)特別是Internet的迅速發(fā)展，給網(wǎng)絡(luò)帶來的 安全問題，向認(rèn)為Internet已經(jīng)完全勝任商務(wù)活動(dòng)的 人們潑了一盆冷水，也延緩和阻礙了Internet作為國 家信息基礎(chǔ)或全球信息基礎(chǔ)設(shè)施成為大眾媒 體的發(fā)展進(jìn)程。一些調(diào)查研究表明，許多個(gè)人和公 司之所以對加入Internet持觀望態(tài)度，其主要原因就 是出于安全的考慮。盡管眾說紛紜，但大家一致認(rèn)為 網(wǎng)絡(luò)需

43、要更多更好的安全機(jī)制。 生活中人們經(jīng)常聽說，某黑客(黑客指未經(jīng)授權(quán)而獲 取網(wǎng)絡(luò)資源的非法用戶)入侵了某一網(wǎng)絡(luò)，使該網(wǎng)絡(luò) 服務(wù)全部癱瘓；某黑客利用網(wǎng)絡(luò)從某一銀行盜取了大 量錢財(cái)?shù)?。這說明世界上沒有絕對安全的網(wǎng)絡(luò)，只要 用戶使用計(jì)算機(jī)、聯(lián)網(wǎng)以及網(wǎng)絡(luò)連接了Internet，它 就存在危險(xiǎn)，就必須考慮它的安全問題。此外，人為 因素和自然因素也影響網(wǎng)絡(luò)的安全性。自然因素是一 些意外事故，如服務(wù)器突然斷電和發(fā)大水沖壞了網(wǎng)絡(luò) 等。自然因素并不可怕，可怕的是人為因素，即人為 的入侵和破壞。 網(wǎng)絡(luò)的開放性以及黑客的攻擊是造成網(wǎng)絡(luò)不安全的主 要原因?？茖W(xué)家在設(shè)計(jì)Internet之初就缺乏對安全性 的總體構(gòu)想和設(shè)計(jì)

44、，所用的TCP/IP協(xié)議是建立在可 信的環(huán)境之下，主要考慮的是網(wǎng)絡(luò)互聯(lián)，在安全方面 則缺乏考慮。這種基于地址的TCP/IP協(xié)議本身就會(huì) 泄露口令，而且該協(xié)議是完全公開的，遠(yuǎn)程訪問使許 多攻擊者無須到現(xiàn)場就能夠得手，連接的主機(jī)基于互 相信任的原則等等，這一些性質(zhì)使網(wǎng)絡(luò)更加不安全。 1.2.2 影響計(jì)算機(jī)網(wǎng)絡(luò)安全的因素 隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的發(fā)展和應(yīng)用，一方面網(wǎng)絡(luò)提供 了資源共享性、系統(tǒng)的可靠性、工作的效率和系統(tǒng)的 可擴(kuò)充性；同時(shí)也正是這些特點(diǎn)，增加了網(wǎng)絡(luò)安全的 脆弱性和復(fù)雜性，資源共享和分布增加了網(wǎng)絡(luò)受威脅 和攻擊的可能性。 對網(wǎng)絡(luò)的威脅，主要有以下4個(gè)方面： 網(wǎng)絡(luò)硬件設(shè)備和線路的安全問題； 網(wǎng)絡(luò)

45、系統(tǒng)和軟件的安全問題； 網(wǎng)絡(luò)管理人員的安全意識問題； 環(huán)境的安全因素。 1. 網(wǎng)絡(luò)硬件設(shè)備和線路的安全問題 (1) Internet的脆弱性，系統(tǒng)的易欺騙性和易被監(jiān)控性，加 上薄弱的認(rèn)證環(huán)節(jié)以及局域網(wǎng)服務(wù)的缺陷和系統(tǒng)主機(jī)的復(fù) 雜設(shè)置與控制，使得計(jì)算機(jī)網(wǎng)絡(luò)容易遭受到威脅和攻擊。 (2) 電磁泄露： 網(wǎng)絡(luò)端口、傳輸線路和處理機(jī)都有可能因 屏蔽不嚴(yán)或未屏蔽而造成電磁泄露。目前，大多數(shù)機(jī)房屏 蔽和防輻射設(shè)施都不健全，通信線路也同樣容易出現(xiàn)信息 泄露。 (3) 搭線竊聽： 隨著信息傳遞量的不斷增加，傳遞數(shù) 據(jù)的密級也在不斷提高，犯罪分子為了獲取大量情報(bào)， 可能在監(jiān)聽通信線路，非法接收信息。 (4) 非法

46、終端： 有可能在現(xiàn)有終端上并接一個(gè)終端或 合法用戶從網(wǎng)上斷開時(shí)，非法用戶乘機(jī)接入，并操縱 該計(jì)算機(jī)通信接口或由于某種原因使信息傳到非法終 端。 (5) 非法入侵： 非法分子通過技術(shù)滲透或利用電話線 侵入網(wǎng)絡(luò)，非法使用、破壞或獲取數(shù)據(jù)或系統(tǒng)資源。 目前的網(wǎng)絡(luò)系統(tǒng)大都采用口令驗(yàn)證機(jī)制來防止非法訪 問，一旦口令被竊，就無安全可言。美國國防部對計(jì) 算網(wǎng)絡(luò)安全問題進(jìn)行過測試，對在10個(gè)月內(nèi)美國軍 用網(wǎng)絡(luò)Milnet網(wǎng)上的450臺(tái)計(jì)算機(jī)受入侵 的情況進(jìn)行統(tǒng)計(jì)，其結(jié)果表明：有2%的攻擊者能 攻入網(wǎng)絡(luò)并進(jìn)入節(jié)點(diǎn)主機(jī)，得到系統(tǒng)管理員的權(quán)限； 有4%的攻擊者能侵入網(wǎng)絡(luò)并進(jìn)入節(jié)點(diǎn)主機(jī)，侵入編 程環(huán)境；有13%的攻擊

47、者可以注冊侵入節(jié)點(diǎn)主機(jī)。在 這些人中，95%的攻擊者企圖聯(lián)網(wǎng)，遭到網(wǎng)絡(luò)拒絕； 有13%的攻擊者通過注冊賬號和口令侵入第3層，其 成功的原因之一是使用主機(jī)系統(tǒng)固有的默認(rèn)名-口令 組合，另一原因是查詢網(wǎng)絡(luò)用戶名目錄竊取用戶名和 口令；有9%的攻擊者注冊入侵，取得部分權(quán)限，進(jìn) 入系統(tǒng)第4層；有些攻擊者能進(jìn)入第5層，存取電子 郵件和通用數(shù)據(jù)庫，不少入侵者還可取得諸如核戰(zhàn)爭 和生物戰(zhàn)爭的有關(guān)信息；有2%的攻擊者能侵入第6層， 進(jìn)入編程環(huán)境；還有2%的攻擊者能進(jìn)入系統(tǒng)管理員 權(quán)限。 (6) 注入非法信息： 通過電話線有預(yù)謀地注入非法信 息，截獲所傳信息，再刪除原有信息或注入非法信息 后再發(fā)出，使接收者收到

48、錯(cuò)誤信息。 (7) 線路干擾： 當(dāng)公共轉(zhuǎn)接載波設(shè)備陳舊和通信線路 質(zhì)量低劣時(shí)，會(huì)產(chǎn)生線路干擾。如調(diào)制解調(diào)器會(huì)隨著 傳輸速率的上升，錯(cuò)誤迅速增加。 (8) 意外原因： 包括人為地對網(wǎng)絡(luò)設(shè)備進(jìn)行破壞、設(shè) 備偶然出現(xiàn)故障。如在處理非預(yù)期中斷過程中，通信 方式留在內(nèi)存中未被保護(hù)的信息段在通信方式意外出 錯(cuò)時(shí)，被傳到別的終端上。 (9) 病毒入侵： 計(jì)算機(jī)病毒能以多種方式侵入計(jì)算機(jī) 網(wǎng)絡(luò)，并不斷繁殖，然后擴(kuò)散到網(wǎng)上的計(jì)算機(jī)來破壞 系統(tǒng)。輕者使系統(tǒng)出錯(cuò)，重者可使整個(gè)系統(tǒng)癱瘓或崩 潰。 (10) 黑客攻擊： 黑客采用種種手段，對網(wǎng)絡(luò)及其計(jì) 算機(jī)系統(tǒng)進(jìn)行攻擊，侵占系統(tǒng)資源或?qū)W(wǎng)絡(luò)和計(jì)算機(jī) 設(shè)備進(jìn)行破壞，竊取或

49、破壞數(shù)據(jù)和信息。從攻擊者與 計(jì)算機(jī)系統(tǒng)的距離來劃分，攻擊可分為超距攻擊、遠(yuǎn) 距攻擊和近距攻擊。超距攻擊是利用Internet進(jìn)行攻 擊的，其攻擊方式具有極大的隱蔽性，必須嚴(yán)加防范； 特別要警惕外國情報(bào)機(jī)關(guān)利用這種攻擊方式進(jìn)行竊密 和破壞。近距攻擊，即同一單位的人利用合法身份越 權(quán)存取計(jì)算機(jī)中的數(shù)據(jù)或干擾其他用戶使用；要注意 內(nèi)部人員進(jìn)行的非法攻擊。遠(yuǎn)距攻擊是通過電話線進(jìn) 入計(jì)算機(jī)網(wǎng)絡(luò)，注冊登錄到網(wǎng)內(nèi)某一主機(jī)，進(jìn)行非法 存??；要注意外部人員，尤其是“黑客”和國外敵對 分子進(jìn)行的攻擊。 2. 網(wǎng)絡(luò)系統(tǒng)和軟件的安全問題 (1) 網(wǎng)絡(luò)軟件的漏洞及缺陷被利用，使網(wǎng)絡(luò)遭到入侵 和破壞。 (2) 網(wǎng)絡(luò)軟件安

50、全功能不健全或被安裝了“特洛伊木 馬”軟件。 (3) 應(yīng)加安全措施的軟件可能未給予標(biāo)識和保護(hù)；要 害的程序可能沒有安全措施，使軟件非法使用或破壞 或產(chǎn)生錯(cuò)誤結(jié)果。 (4) 未對用戶進(jìn)行分類和標(biāo)識，使數(shù)據(jù)的存取未受限 制和控制，因而被非法用戶竊取數(shù)據(jù)或非法處理用戶 數(shù)據(jù)。 (5) 錯(cuò)誤地進(jìn)行路由選擇，為一個(gè)用戶與另一個(gè)用戶 之間的通信選擇了不合適的路徑。 (6) 拒絕服務(wù)，中斷或妨礙通信，延誤對時(shí)間要求較高 的操作。 (7) 信息重播，即把信息收錄下來準(zhǔn)備過一段時(shí)間重播。 (8) 對軟件更改的要求沒有充分理解，導(dǎo)致軟件缺陷。 (9) 沒有正確的安全策略和安全機(jī)制，缺乏先進(jìn)的安全 工具和手段。 (

51、10) 不妥當(dāng)?shù)臉?biāo)定或資料，導(dǎo)致所修改的程序出現(xiàn)版 本錯(cuò)。如程序員沒有保存程序變更的記錄；沒有做拷 貝；未建立保存記錄的業(yè)務(wù)。 3. 網(wǎng)絡(luò)管理人員的安全意識問題 (1) 保密觀念不強(qiáng)或不懂保密規(guī)則，隨便泄露機(jī)密。例 如，打印、復(fù)制機(jī)密文件；隨便打印出系統(tǒng)保密字或 向無關(guān)人員泄露有關(guān)機(jī)密信息。 (2) 業(yè)務(wù)不熟練，因操作失誤使文件出錯(cuò)或誤發(fā)或因 未遵守操作規(guī)程而造成泄密。 (3) 因規(guī)章制度不健全造成人為泄密事故。如網(wǎng)絡(luò)上 的規(guī)章制度不嚴(yán)；對機(jī)密文件管理不善；各種文件存 放混亂；違章操作等造成不良后果。 (4) 素質(zhì)差，缺乏責(zé)任心，沒有良好的工作態(tài)度，明 知故犯或有意破壞網(wǎng)絡(luò)系統(tǒng)和設(shè)備。 (5)

52、 熟悉系統(tǒng)的工作人員故意改動(dòng)軟件或用非法手段 訪問系統(tǒng)或通過竊取他人的口令字和用戶標(biāo)識碼來非 法獲取信息。 (6) 身份證被竊取，發(fā)現(xiàn)一個(gè)或多個(gè)參與通信的用戶 身份證被別人竊取非法使用。 (7) 否認(rèn)或冒充，否認(rèn)參與過某一次通信或冒充別的 用戶獲得信息或額外的權(quán)力。 (8) 擔(dān)任系統(tǒng)操作的人員以超越權(quán)限的非法行為來獲 取或篡改信息。 (9) 利用硬件的故障部位和軟件的錯(cuò)誤非法訪問系統(tǒng) 或?qū)ο到y(tǒng)各部分進(jìn)行破壞。 (10) 利用竊取系統(tǒng)的磁盤、磁帶或紙帶等記錄載體 或利用廢棄的打印紙、復(fù)寫紙來竊取系統(tǒng)或用戶的信 息。 4. 環(huán)境的安全因素 除了上述因素之外，還有環(huán)境因素威脅著網(wǎng)絡(luò)的安全， 如地震、

53、火災(zāi)、水災(zāi)、風(fēng)災(zāi)等自然災(zāi)害或掉電、停電 等事故。 從以上4個(gè)方面來看，影響網(wǎng)絡(luò)安全的因素，究其原 因，主要有以下幾個(gè)方面： (1) 局域網(wǎng)存在的缺陷和Internet的脆弱性; (2) 網(wǎng)絡(luò)軟件的缺陷和Internet服務(wù)中的漏洞; (3) 薄弱的網(wǎng)絡(luò)認(rèn)證環(huán)節(jié); (4) 沒有正確的安全策略和安全機(jī)制; (5) 缺乏先進(jìn)的網(wǎng)絡(luò)安全技術(shù)和工具; (6) 沒有對網(wǎng)絡(luò)安全引起足夠的重視，沒有采取得力 的措施，以致造成重大經(jīng)濟(jì)損失。這是最重要的一個(gè) 原因。 因此，為了保證計(jì)算機(jī)網(wǎng)絡(luò)的安全，必須高度重視， 從法律保護(hù)和技術(shù)上采取一系列安全和保護(hù)措施。 1.2.3 Internet網(wǎng)絡(luò)存在的安全缺陷 Int

54、ernet會(huì)受到嚴(yán)重的與安全有關(guān)問題的損害。忽視 這些問題的站點(diǎn)將面臨被闖入者攻擊的危險(xiǎn)，而且可 能給闖入者攻擊其他網(wǎng)絡(luò)提供了基地。即使那些有著 良好的安全措施的站點(diǎn)也面臨著存在于新的網(wǎng)絡(luò)軟件 中的弱點(diǎn)和一些闖入者持久攻擊帶來的問題。一些問 題是由于服務(wù)(以及服務(wù)所用的協(xié)議)的漏洞、弱點(diǎn)造 成的；另一些則是由于主機(jī)的配置和訪問控制的實(shí)現(xiàn) 不好或?qū)芾韱T來說過于復(fù)雜等原因造成的。另外， 系統(tǒng)管理的任務(wù)和重要性經(jīng)常發(fā)生變化，以致使許多 管理員的工作是臨時(shí)性的，而且沒有很好的準(zhǔn)備， Internet的巨大增長使這種情況進(jìn)一步惡化。許多機(jī) 構(gòu)現(xiàn)在依賴于Internet(往往比他們意識到的更多)進(jìn)行 通

55、信和研究，一旦他們的站點(diǎn)遭受攻擊，損失將會(huì)更 大。 下面介紹Internet上的安全問題以及導(dǎo)致這些問題的 原因。 1. 薄弱的認(rèn)證環(huán)節(jié) Internet的許多事故的起源是因?yàn)槭褂昧吮∪醯摹㈧o 態(tài)的口令。Internet上的口令可以通過許多方法破譯。 其中最常用的兩種方法是把加密的口令解密和通過監(jiān) 視信道竊取口令。UNIX操作系統(tǒng)通常把加密的口令 保存在一個(gè)文件中，而該文件普通用戶即可讀取。這 個(gè)口令文件可以通過簡單的拷貝或其他方法得到。一 旦口令文件被闖入者得到，他們就可以使用解密程序。 如果口令是薄弱的，比如說少于8個(gè)字符或是英語單 詞，就可能被破譯，然后用來獲取對系統(tǒng)的訪問權(quán)。 另外一個(gè)

56、與認(rèn)證有關(guān)的問題是由如下原因引起的：一 些TCP或UDP(用戶數(shù)據(jù)包協(xié)議)服務(wù)只能對主機(jī)地址 進(jìn)行認(rèn)證，而不能對指定的用戶進(jìn)行認(rèn)證。例如，一 個(gè)NFS(netware file system 網(wǎng)絡(luò)文件系統(tǒng))服務(wù)器不 能做到只給一個(gè)主機(jī)上的某些特定用戶訪問權(quán)，它只 能給整個(gè)主機(jī)訪問權(quán)。在該系統(tǒng)中，假如一個(gè)服務(wù)器 的管理員也許只信任某一主機(jī)的某一特定用戶，并希 望給該用戶訪問權(quán)；但是管理員無法控制該主機(jī)上的 其他用戶，也就是說他只能給所有的用戶訪問權(quán)(或 者誰也不給)。 2. 系統(tǒng)的易被監(jiān)視性 當(dāng)用戶使用Telnet或FTP連接在遠(yuǎn)程主機(jī)上的賬戶時(shí)， 在Internet上傳輸?shù)目诹钍菦]有加密的，那

57、么 侵入系統(tǒng)的一個(gè)方法就是通過監(jiān)視攜帶用戶名和口 令的IP包獲取，然后使用這些用戶名和口令通過正常 渠道登錄到系統(tǒng)。如果被截獲的是管理員的口令，那 么獲取特權(quán)級訪問就變得更為容易了，當(dāng)前有成百上 千的系統(tǒng)已經(jīng)被這種方法侵入。 大多數(shù)用戶不加密郵件，而且許多人認(rèn)為電子郵件是 安全的，所以用它來傳送敏感的內(nèi)容。因此電子郵件 或者Telnet和FTP的內(nèi)容，可以被監(jiān)視從而了解一個(gè) 站點(diǎn)的情況。 X Windows系統(tǒng)是一個(gè)逐漸流行起來的系統(tǒng)，但是， 它同樣也存在易被監(jiān)視的弱點(diǎn)。 X Windows系統(tǒng)允 許在一臺(tái)工作站上打開多重窗口來顯示圖形或多媒體 應(yīng)用。闖入者有時(shí)可以在另外的系統(tǒng)上打開窗口來讀

58、取可能含有口令或其他敏感信息的擊鍵序列。 3. 網(wǎng)絡(luò)系統(tǒng)易被欺騙性 主機(jī)的IP地址被假定為是可用的，TCP和UDP服務(wù)相 信這個(gè)地址。問題在于，如果使用了“IP source routing”，那么攻擊者的主機(jī)就可以冒充一個(gè)被信任 的主機(jī)或客戶。簡單地說，“IP source routing”是一 個(gè)用來指定一條源地址和目的地址之間的直接路徑的 選項(xiàng)。這條路徑可以包括通常不被用來向前傳送數(shù)據(jù) 包的主機(jī)或路由器。 下面的例子說明了如何使用“IP source routing”來把 攻擊者的系統(tǒng)假扮成某一特定服務(wù)器的可信任的客戶。 (1) 攻擊者要使用那個(gè)被信任的客戶的IP地址取代自 己的地址。

59、(2) 攻擊者構(gòu)造一條要攻擊的服務(wù)器和其主機(jī)間的直 接路徑，把被信任的客戶作為通向服務(wù)器路徑的最后 節(jié)點(diǎn)。 (3) 攻擊者用這條路徑向服務(wù)器發(fā)出客戶申請。 (4) 服務(wù)器接收客戶申請，就好像是從可信任客戶直 接發(fā)出的一樣，然后返回響應(yīng)。 (5) 可信任客戶使用這條路徑將數(shù)據(jù)包向前傳送給攻 擊者的主機(jī)。許多UNIX主機(jī)接收到這種包后將繼續(xù) 把它們向指定地方傳送；路由器也一樣，但有些路由 器可以配置以阻塞這種包。 一個(gè)更簡單的方法是等客戶系統(tǒng)關(guān)機(jī)后來模仿該系統(tǒng)。 在許多組織中，經(jīng)常使用UNIX主機(jī)作為局域網(wǎng)服務(wù) 器，職員用個(gè)人計(jì)算機(jī)和TCP/IP網(wǎng)絡(luò)軟件 來連接和使用它們。個(gè)人計(jì)算機(jī)一般使用NFS

60、來對 服務(wù)器的目錄和文件進(jìn)行訪問(NFS僅僅使用IP地址 來驗(yàn)證客戶)。一個(gè)攻擊者在幾小時(shí)內(nèi)就可以設(shè)置好 一臺(tái)與別人使用相同的名字和IP地址的個(gè)人計(jì)算機(jī)， 然后與UNIX主機(jī)建立連接，就好像他是“真的”客 戶。這是非常容易實(shí)現(xiàn)的攻擊手段，但一般應(yīng)該是內(nèi) 部人員所為。 Internet的電子郵件是最容易被欺騙的，因此沒有被 保護(hù)(例如使用數(shù)字簽名)的電子郵件是不可信的。舉 一個(gè)簡單的例子，考慮到當(dāng)UNIX主機(jī)發(fā)生電子郵件 交換時(shí)的情形，交換過程是通過一些由ASCII字符命 令組成的協(xié)議進(jìn)行的。闖入者可以用Telnet直接連到 系統(tǒng)的SMTP端口上，手工鍵入這些命令， 接收的主機(jī)相信發(fā)送的主機(jī)(它