信息安全總復(fù)習(xí)課件

1、 一、選擇題一、選擇題(單項(xiàng)，多項(xiàng)單項(xiàng)，多項(xiàng)) 10道道 二、填空題二、填空題 10空空 三、簡(jiǎn)答題三、簡(jiǎn)答題 5道道 三、計(jì)算題（密碼學(xué)）三、計(jì)算題（密碼學(xué)）2道道 四、問答及分析題四、問答及分析題 2道道 五、設(shè)計(jì)題五、設(shè)計(jì)題 1道道 課堂課堂ppt，所有的課后習(xí)題都要復(fù)習(xí)，所有的課后習(xí)題都要復(fù)習(xí) 第一章第一章 概論概論 1 信息安全的概念信息安全的概念 2 信息安全的目標(biāo)信息安全的目標(biāo) 3 信息安全的主要內(nèi)容信息安全的主要內(nèi)容 4 訪問控制訪問控制 靜態(tài)定義靜態(tài)定義采用國(guó)際標(biāo)準(zhǔn)化組采用國(guó)際標(biāo)準(zhǔn)化組織織ISO對(duì)對(duì)“計(jì)算機(jī)計(jì)算機(jī)安全安全”的定義：的定義：“為數(shù)據(jù)為數(shù)據(jù)處理系統(tǒng)建立和采用處理系

2、統(tǒng)建立和采用的技術(shù)上和管理上的安全保護(hù)，保護(hù)計(jì)算機(jī)硬的技術(shù)上和管理上的安全保護(hù)，保護(hù)計(jì)算機(jī)硬件、軟件數(shù)據(jù)不因偶然和惡意的原因而遭到破件、軟件數(shù)據(jù)不因偶然和惡意的原因而遭到破壞、更改和泄露壞、更改和泄露”。這個(gè)定義沒有考慮網(wǎng)絡(luò)的。這個(gè)定義沒有考慮網(wǎng)絡(luò)的因素，偏重于靜態(tài)信息保護(hù)。因素，偏重于靜態(tài)信息保護(hù)。 動(dòng)態(tài)定義動(dòng)態(tài)定義則增加了對(duì)信息系統(tǒng)能連續(xù)正常工作則增加了對(duì)信息系統(tǒng)能連續(xù)正常工作的要求。的要求。 本課程所述的信息系統(tǒng)是指計(jì)算機(jī)網(wǎng)絡(luò)信息系本課程所述的信息系統(tǒng)是指計(jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)，在不會(huì)發(fā)生歧義時(shí)，常將計(jì)算機(jī)網(wǎng)絡(luò)信息統(tǒng)，在不會(huì)發(fā)生歧義時(shí)，常將計(jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)安全簡(jiǎn)稱為信息安全系統(tǒng)安全簡(jiǎn)稱為信

3、息安全。 保密性保密性(Confidentiality) 完整性完整性(Integrity) 可用性可用性(Availability) 抗否認(rèn)性（抗否認(rèn)性（Non-repudiation） 可控性（可控性（Controllability） 保密性保密性(Confidentiality)信息不泄露給非授權(quán)用戶，不被非法利用，即使非授權(quán)用戶信息不泄露給非授權(quán)用戶，不被非法利用，即使非授權(quán)用戶得到信息也無(wú)法知曉信息的內(nèi)容。得到信息也無(wú)法知曉信息的內(nèi)容。阻止非授權(quán)用戶獲得機(jī)密信息阻止非授權(quán)用戶獲得機(jī)密信息訪問控制訪問控制非授權(quán)用戶獲知信息內(nèi)容非授權(quán)用戶獲知信息內(nèi)容加密技術(shù)阻止加密技術(shù)阻止 完整性完整性

4、(Integrity)一方面是指信息在生成、傳輸、存儲(chǔ)和使用過(guò)程中不被篡改、一方面是指信息在生成、傳輸、存儲(chǔ)和使用過(guò)程中不被篡改、丟失、缺損等丟失、缺損等另一方面是指信息處理的方法的正確性。另一方面是指信息處理的方法的正確性。 阻止篡改行為阻止篡改行為一般通過(guò)訪問控制一般通過(guò)訪問控制檢驗(yàn)信息是否被篡改檢驗(yàn)信息是否被篡改通過(guò)消息摘要算法來(lái)。通過(guò)消息摘要算法來(lái)。 可用性可用性(Availability)指信息及相關(guān)的信息資源在授權(quán)人需要的時(shí)候，指信息及相關(guān)的信息資源在授權(quán)人需要的時(shí)候，可以隨時(shí)獲得?？梢噪S時(shí)獲得。對(duì)可用性的攻擊對(duì)可用性的攻擊拒絕服務(wù)攻擊（拒絕服務(wù)攻擊（DoS）、）、分布式拒絕服（分

5、布式拒絕服（DDoS）目前要保證系統(tǒng)和網(wǎng)絡(luò)中能提供正常的服務(wù)，除目前要保證系統(tǒng)和網(wǎng)絡(luò)中能提供正常的服務(wù)，除了備份和冗余配置外，沒有特別有效的方法了備份和冗余配置外，沒有特別有效的方法。 抗否認(rèn)性（抗否認(rèn)性（Non-repudiation）指能保障用戶無(wú)法在事后否認(rèn)曾對(duì)信息進(jìn)行的生指能保障用戶無(wú)法在事后否認(rèn)曾對(duì)信息進(jìn)行的生成、簽發(fā)、接收等行為，是針對(duì)通信各方信息真實(shí)成、簽發(fā)、接收等行為，是針對(duì)通信各方信息真實(shí)同一性的安全要求。同一性的安全要求。一般將使用數(shù)字簽名和公證機(jī)制來(lái)保證不可否認(rèn)一般將使用數(shù)字簽名和公證機(jī)制來(lái)保證不可否認(rèn)性性。 可控性（可控性（Controllability）指可以控制授權(quán)

6、范圍內(nèi)的信息流向及行為方式，指可以控制授權(quán)范圍內(nèi)的信息流向及行為方式，對(duì)信息的傳播及內(nèi)容具有開展能力。對(duì)信息的傳播及內(nèi)容具有開展能力。為保證可控性，通常通過(guò)握手協(xié)議和認(rèn)證對(duì)用戶為保證可控性，通常通過(guò)握手協(xié)議和認(rèn)證對(duì)用戶進(jìn)行身份鑒別，通過(guò)訪問控制列表等方法來(lái)控制用進(jìn)行身份鑒別，通過(guò)訪問控制列表等方法來(lái)控制用戶的訪問方式，通過(guò)日志記錄用戶的所有活動(dòng)以便戶的訪問方式，通過(guò)日志記錄用戶的所有活動(dòng)以便于查詢和審計(jì)。于查詢和審計(jì)。 網(wǎng)絡(luò)信息系統(tǒng)安全包括三個(gè)主要的領(lǐng)域網(wǎng)絡(luò)信息系統(tǒng)安全包括三個(gè)主要的領(lǐng)域 物理安全物理安全 包括環(huán)境安全、設(shè)備安全和媒體安全包括環(huán)境安全、設(shè)備安全和媒體安全運(yùn)行安全運(yùn)行安全 提供一

7、套安全措施來(lái)保護(hù)信息處理過(guò)程的安全，其目的提供一套安全措施來(lái)保護(hù)信息處理過(guò)程的安全，其目的是保障系統(tǒng)功能的安全實(shí)現(xiàn)。是保障系統(tǒng)功能的安全實(shí)現(xiàn)。 訪問控制、加密、鑒別、病毒防護(hù)、操作系統(tǒng)安全、數(shù)訪問控制、加密、鑒別、病毒防護(hù)、操作系統(tǒng)安全、數(shù)據(jù)庫(kù)安全、網(wǎng)絡(luò)安全、備份與恢復(fù)、應(yīng)急、風(fēng)險(xiǎn)分析、據(jù)庫(kù)安全、網(wǎng)絡(luò)安全、備份與恢復(fù)、應(yīng)急、風(fēng)險(xiǎn)分析、審計(jì)跟蹤等。審計(jì)跟蹤等。管理和策略管理和策略 訪問控制機(jī)制決定用戶及代表一定用戶利益的訪問控制機(jī)制決定用戶及代表一定用戶利益的程序能做什么，及做到什么程度。程序能做什么，及做到什么程度。 訪問控制中的三個(gè)元素訪問控制中的三個(gè)元素訪問的發(fā)起者稱為主體，通常是進(jìn)程，程

8、序訪問的發(fā)起者稱為主體，通常是進(jìn)程，程序或用戶或用戶包括各種資源稱為客體如文件，設(shè)備，信號(hào)包括各種資源稱為客體如文件，設(shè)備，信號(hào)量，內(nèi)存，用戶量，內(nèi)存，用戶保護(hù)規(guī)則，定義了主體與客體的可能的相互保護(hù)規(guī)則，定義了主體與客體的可能的相互作用途徑。（安全模型）作用途徑。（安全模型） 強(qiáng)制訪問控制強(qiáng)制訪問控制(mandatory access control)用戶與資源都有一個(gè)用戶與資源都有一個(gè)固定的安全屬性固定的安全屬性。系統(tǒng)用該。系統(tǒng)用該安全屬性來(lái)決定一個(gè)用戶是否可以訪問某個(gè)文件。安全屬性來(lái)決定一個(gè)用戶是否可以訪問某個(gè)文件。安全屬性是強(qiáng)制性的規(guī)定，由安全管理員，或是操安全屬性是強(qiáng)制性的規(guī)定，由安全

9、管理員，或是操作系統(tǒng)根據(jù)限定的規(guī)則確定的，用戶或用戶的程序作系統(tǒng)根據(jù)限定的規(guī)則確定的，用戶或用戶的程序不能加以修改不能加以修改 自主訪問控制（自主訪問控制（discretionary access control）用戶可以按自己的意愿對(duì)系統(tǒng)的參數(shù)作適當(dāng)?shù)男抻脩艨梢园醋约旱囊庠笇?duì)系統(tǒng)的參數(shù)作適當(dāng)?shù)男薷囊詻Q定哪些用戶可以訪問他們的資源，亦即一個(gè)改以決定哪些用戶可以訪問他們的資源，亦即一個(gè)用戶可以有選擇的與其他用戶共享他的資源。用戶用戶可以有選擇的與其他用戶共享他的資源。用戶有自主的決定權(quán)。有自主的決定權(quán)。 1. BLP 保密性模型保密性模型 規(guī)則規(guī)則1 (不不)上讀上讀:主體不可讀安全級(jí)別高于它的

10、數(shù)據(jù)主體不可讀安全級(jí)別高于它的數(shù)據(jù)； 規(guī)則規(guī)則2 (不不)下寫下寫:主體不可寫安全級(jí)別低于它的數(shù)據(jù)主體不可寫安全級(jí)別低于它的數(shù)據(jù)。 五個(gè)安全等級(jí)：五個(gè)安全等級(jí)： （1）公開（）公開（Unclassified）；）； （2）受限（受限（Restricted）；）； （3）秘密（秘密（Confidential）；）； 課后習(xí)題課后習(xí)題 （4）機(jī)密（機(jī)密（Secret）；）； （5）高密（高密（Top Secret）。）。 2. BIBA 完整性模型完整性模型 規(guī)則規(guī)則1 (不不)下讀：主體不能讀取安全級(jí)別低于它的數(shù)據(jù)；下讀：主體不能讀取安全級(jí)別低于它的數(shù)據(jù)； 規(guī)則規(guī)則2 (不不)上寫：主體不能寫入

11、安全級(jí)別高于它的數(shù)據(jù)。上寫：主體不能寫入安全級(jí)別高于它的數(shù)據(jù)。 1 加密解密基本過(guò)程加密解密基本過(guò)程 2 古典密碼體制古典密碼體制 3 對(duì)稱密碼體制對(duì)稱密碼體制 4 公鑰密碼體制公鑰密碼體制 5 混合加密混合加密 包括密碼編碼學(xué)和密碼分析學(xué)兩部分包括密碼編碼學(xué)和密碼分析學(xué)兩部分 密碼體制的安全性依賴于什么？密碼體制的安全性依賴于什么？發(fā)送者發(fā)送者明文明文(M/P)加密加密密文密文(C)接受者接受者解密解密原始原始明文明文 古典密碼是基于字符替換的密碼古典密碼是基于字符替換的密碼 CaesarCaesar（愷撒）密碼愷撒）密碼 PlayfairPlayfair密碼密碼 HillHill密碼密碼

12、CaesarCaesar（愷撒）密碼愷撒）密碼 明文的發(fā)送方和接收方事先協(xié)商好一個(gè)密鑰。明文的發(fā)送方和接收方事先協(xié)商好一個(gè)密鑰。 用用k(1k(1k25)k25)表示密鑰，則通用的愷撒加密表示密鑰，則通用的愷撒加密算法表示為：算法表示為： C=E(p)=(p+k) mod 26C=E(p)=(p+k) mod 26 相應(yīng)的，解密算法可表示為：相應(yīng)的，解密算法可表示為： p=D(C)=(C-k) mod 26p=D(C)=(C-k) mod 26 PlayfairPlayfair密碼密碼 多字母加密密碼：將明文中的多字母加密密碼：將明文中的雙字母雙字母組合作為組合作為一個(gè)加密單元對(duì)待，并將這些單

13、元轉(zhuǎn)換為密文一個(gè)加密單元對(duì)待，并將這些單元轉(zhuǎn)換為密文雙字母組合。雙字母組合。 Playfair算法基于一個(gè)算法基于一個(gè)55的字母矩陣，該矩的字母矩陣，該矩陣使用陣使用一個(gè)關(guān)鍵詞一個(gè)關(guān)鍵詞構(gòu)造，方法是按構(gòu)造，方法是按從左到右、從左到右、從上到下順序，填入關(guān)鍵詞的字母（去除重復(fù)從上到下順序，填入關(guān)鍵詞的字母（去除重復(fù)字母）后，將字母表其余字母填入。字母）后，將字母表其余字母填入。 例如關(guān)鍵詞取為例如關(guān)鍵詞取為monarchy時(shí)，字母矩陣為時(shí)，字母矩陣為ZXWVUTSQPLKI/JGFEDBYHCRANOM加密方法是先將明文按加密方法是先將明文按兩個(gè)字母兩個(gè)字母一組進(jìn)行一組進(jìn)行分組，然后在矩陣中找對(duì)

14、應(yīng)的密文，取密分組，然后在矩陣中找對(duì)應(yīng)的密文，取密文的規(guī)則如下：文的規(guī)則如下：( (1 1）若明文分組出現(xiàn)相同字母在一組，則）若明文分組出現(xiàn)相同字母在一組，則在重復(fù)的明文字母中插入一個(gè)填充字母在重復(fù)的明文字母中插入一個(gè)填充字母（譬如（譬如k k）進(jìn)行分隔后重新分組）進(jìn)行分隔后重新分組（如（如balloonballoon被重新分組為被重新分組為ba lk lo onba lk lo on）；）；（2）若分組到最后一組時(shí)只有一個(gè)字母，則補(bǔ)充字母）若分組到最后一組時(shí)只有一個(gè)字母，則補(bǔ)充字母k；（3 3）若明文字母在矩陣中同行，則循環(huán)取其右邊字母為密文）若明文字母在矩陣中同行，則循環(huán)取其右邊字母為密文

15、（如（如arar被加密為被加密為RMRM）；）；( (4 4）若明文字母在矩陣中同列，則循環(huán)取其下邊字母為密文）若明文字母在矩陣中同列，則循環(huán)取其下邊字母為密文（如（如umum被加密為被加密為MCMC）；）；( (5 5）若明文字母在矩陣中不同行不同列，則取其同行且與下一字母）若明文字母在矩陣中不同行不同列，則取其同行且與下一字母同列的字母為密文（如同列的字母為密文（如hshs被加密為被加密為BPBP，eaea被加密為被加密為IMIM或或JMJM）。）。明文明文we are discovered save yourself分組成為：分組成為：we ar ed is co ve re ds av

16、 ey ou rs el fk用上述矩陣加密后的密文為：用上述矩陣加密后的密文為：UG RM KC SX HM UF KM TB XO GC VM TA LU GE。ZXWVUTSQPLKI/JGFEDBYHCRANOM Hill密碼也是一種密碼也是一種多字母替代多字母替代密碼密碼 該密碼算法取該密碼算法取m個(gè)連續(xù)的明文字母，并用個(gè)連續(xù)的明文字母，并用m個(gè)個(gè)密文字母代替密文字母代替, ,用向量或矩陣表示為：用向量或矩陣表示為：321CCC333231232221131211kkkkkkkkk321PPP加密操作要執(zhí)行模加密操作要執(zhí)行模2626運(yùn)算。運(yùn)算。 例，加密密鑰例，加密密鑰 明文：明文：

17、pay more moneypay more money 先按三個(gè)字母一組分組（不足三個(gè)時(shí)補(bǔ)字母先按三個(gè)字母一組分組（不足三個(gè)時(shí)補(bǔ)字母x x） 然后對(duì)每組字母求密文然后對(duì)每組字母求密文 該明文的前三個(gè)字母表示為該明文的前三個(gè)字母表示為pay= pay= = (375 819 486) = (375 819 486) T T mod 26 = (11 mod 26 = (11 13 18)13 18) T T = LNS = LNS 如此類推，可得密文為：如此類推，可得密文為：LNS HDL EWM TRWLNS HDL EWM TRW。 1 502 4192221182151717k17 17

18、521 18 2122 191 502 4解密時(shí)使用逆矩陣，解密時(shí)使用逆矩陣，對(duì)密文對(duì)密文 (11 13 18)(11 13 18) T T，做運(yùn)算，做運(yùn)算K K -1 -1 (11 13 18) (11 13 18) T T mod 26 = (431 494 570 ) mod 26 = (431 494 570 ) T T = (15 0 = (15 0 24)24) T T = pay = payHillHill密碼的強(qiáng)度在于完全隱藏了單字母的頻率。密碼的強(qiáng)度在于完全隱藏了單字母的頻率。17024617151594K1- 加密密鑰能夠從解密密鑰中推算出來(lái)，反過(guò)來(lái)也成立。加密密鑰能夠從解

19、密密鑰中推算出來(lái)，反過(guò)來(lái)也成立。在大多數(shù)對(duì)稱算法中，加解密密鑰是相同的。在大多數(shù)對(duì)稱算法中，加解密密鑰是相同的。 這些算法也叫秘密密鑰算法或單密鑰算法，它要求發(fā)這些算法也叫秘密密鑰算法或單密鑰算法，它要求發(fā)送者和接收者在安全通信之前，商定一個(gè)密鑰。送者和接收者在安全通信之前，商定一個(gè)密鑰。明文明文加密加密密文密文解密解密明文明文密鑰密鑰密鑰密鑰 數(shù)據(jù)加密標(biāo)準(zhǔn)（數(shù)據(jù)加密標(biāo)準(zhǔn)（Data Encryption Standard，DES） 分組加密算法，分組加密算法，它以它以64位位為分組對(duì)數(shù)據(jù)進(jìn)行加密為分組對(duì)數(shù)據(jù)進(jìn)行加密 DES是一個(gè)對(duì)稱算法：加密和解密用的是同一算法是一個(gè)對(duì)稱算法：加密和解密用的是

20、同一算法 密鑰的密鑰的長(zhǎng)度為長(zhǎng)度為56位。位。所有的保密性依賴于密鑰。所有的保密性依賴于密鑰。 算法是混亂和擴(kuò)散的組合。算法是混亂和擴(kuò)散的組合。 DES算法原理算法原理 用作加密的密鑰不同于用作解密的密鑰，而且解密密用作加密的密鑰不同于用作解密的密鑰，而且解密密鑰不能根據(jù)加密密鑰計(jì)算出來(lái)鑰不能根據(jù)加密密鑰計(jì)算出來(lái)( (至少在合理假定的長(zhǎng)至少在合理假定的長(zhǎng)時(shí)間內(nèi)時(shí)間內(nèi)) )。 加密密鑰加密密鑰K1K1與相應(yīng)的解密密鑰與相應(yīng)的解密密鑰K2K2不同，函數(shù)表示為不同，函數(shù)表示為 E EK1K1（M M）=C D=C DK2K2（C C）=M=M明文明文加密加密密文密文解密解密明文明文公鑰公鑰私鑰私鑰

21、第一個(gè)完善的公開密鑰算法第一個(gè)完善的公開密鑰算法RSA 求一對(duì)大素?cái)?shù)的乘積很容易但是要做因式分解求一對(duì)大素?cái)?shù)的乘積很容易但是要做因式分解就難。因此可以把一對(duì)大素?cái)?shù)的乘積公開作為就難。因此可以把一對(duì)大素?cái)?shù)的乘積公開作為公鑰，而素?cái)?shù)作為私鑰。公鑰，而素?cái)?shù)作為私鑰。公開密鑰公開密鑰n：兩素?cái)?shù)兩素?cái)?shù)p和和q的乘積的乘積(p,q必須保密必須保密) e：與與(p-1)(q-1)互素互素私鑰私鑰d：ed mod (p-1)(q-1)=1(輾轉(zhuǎn)相除法輾轉(zhuǎn)相除法) 等價(jià)表示為等價(jià)表示為d=e-1 mod (p-1)(q-1)加密：加密：c=me mod n解密：解密：m=cd mod n 例例1：p=47 q=

22、71 則則n=pq=3337 (p-1)(q-1)=3220 隨機(jī)選取隨機(jī)選取e=79 則則79d mod 3220=1 d=1019 算法公開算法公開e和和n，保密保密d，丟棄丟棄p和和q 這樣對(duì)于待加密的消息這樣對(duì)于待加密的消息m=688 c=me mod n= 68879 mod 3337=1570 解密：解密： m=cd mod n=15701019 mod 3337=688 79d mod 3220=1 d=1019 輾轉(zhuǎn)相除法輾轉(zhuǎn)相除法 余數(shù)余數(shù) d 商商 3220 0 y 79 1 406011933613060=3220-79*40D1=0-1*40=-40D1 =-4019=

23、79-60*1D2=1-(-40*1)=41D2=413=60-19*3D3=-40-(41*3)=-163D3=-1631=19-3*6D4=41-(-163*6)=1019D4=1019322079406079601196019331936131306032207940197960 136019311936319601193 619(60193)61960618 1919 1960619(7960 1)6061979196066019792560197925(32207940)197925 322025407910197925 3220 例例2 若用戶得公鑰為若用戶得公鑰為e5，n35，求

24、私鑰求私鑰 猜測(cè)猜測(cè)p5和和q7（只能猜測(cè)）（只能猜測(cè)） 5d mod 241公開密鑰公開密鑰n：兩素?cái)?shù)兩素?cái)?shù)p和和q的乘積的乘積(p,q必須保密必須保密) e：與與(p-1)(q-1)互素互素私鑰私鑰d：ed mod (p-1)(q-1)=1(輾轉(zhuǎn)相除法輾轉(zhuǎn)相除法) 等價(jià)表示為等價(jià)表示為d=e-1 mod (p-1)(q-1)加密：加密：c=me mod n解密：解密：m=cd mod n 5d mod 241 d=5余數(shù)余數(shù) d 商商24 0 y5 1 44 4 1 4=24-5*4 d1=0-1*4=-4 1 5 4 1=5-4*1 d2=1-(-4*1)=50 11d mod 17=1

25、 余數(shù)余數(shù) d 商商 17 0 y 11 1 1 6 -1 1 5 2 1 1 -3 5 0 d-31714 ELGamal體制的安全性基于有限域上求解離散體制的安全性基于有限域上求解離散對(duì)數(shù)的困難性。對(duì)數(shù)的困難性。 橢圓曲線上離散對(duì)數(shù)橢圓曲線上離散對(duì)數(shù)明文對(duì)稱密碼算法對(duì)稱密碼算法密文非對(duì)稱密碼算法非對(duì)稱密碼算法加密后加密后的密鑰的密鑰密鑰密鑰接受者的公鑰接受者的公鑰接受者接受者采用對(duì)稱密鑰對(duì)消息進(jìn)行加密，采用對(duì)稱密鑰對(duì)消息進(jìn)行加密，而用公鑰對(duì)密鑰本身進(jìn)行加密而用公鑰對(duì)密鑰本身進(jìn)行加密課后習(xí)題課后習(xí)題 1 報(bào)文鑒別報(bào)文鑒別 2 散列函數(shù)散列函數(shù) 3 數(shù)字簽名數(shù)字簽名 4 身份認(rèn)證身份認(rèn)證 主動(dòng)

26、攻擊和被動(dòng)攻擊主動(dòng)攻擊和被動(dòng)攻擊 報(bào)文源鑒別報(bào)文源鑒別 報(bào)文宿鑒別報(bào)文宿鑒別 時(shí)間性鑒別時(shí)間性鑒別 報(bào)文內(nèi)容鑒別：報(bào)文鑒別碼、報(bào)文加密、報(bào)文報(bào)文內(nèi)容鑒別：報(bào)文鑒別碼、報(bào)文加密、報(bào)文摘要摘要把任意長(zhǎng)度的報(bào)文（消息）把任意長(zhǎng)度的報(bào)文（消息）M，通過(guò)函數(shù)通過(guò)函數(shù)H，將其變換將其變換為一個(gè)固定長(zhǎng)度的散列碼為一個(gè)固定長(zhǎng)度的散列碼h，散列函數(shù)表示為散列函數(shù)表示為 h=H(M)，它生成報(bào)文所獨(dú)有的它生成報(bào)文所獨(dú)有的“指紋指紋”。惟一地對(duì)應(yīng)原始報(bào)文。惟一地對(duì)應(yīng)原始報(bào)文 。特點(diǎn)（性質(zhì)）：特點(diǎn)（性質(zhì)）：廣泛適用性廣泛適用性碼長(zhǎng)固定性碼長(zhǎng)固定性易計(jì)算性易計(jì)算性 單向不可逆性單向不可逆性 弱單向性弱單向性 對(duì)于任意給

27、定的數(shù)據(jù)對(duì)于任意給定的數(shù)據(jù)X X，要計(jì)算出另一要計(jì)算出另一個(gè)數(shù)據(jù)個(gè)數(shù)據(jù)Y Y，使使H H（X X）=H=H（Y Y），），這在計(jì)算上是不可行這在計(jì)算上是不可行的的強(qiáng)單向性強(qiáng)單向性 要尋找任何一對(duì)數(shù)據(jù)（要尋找任何一對(duì)數(shù)據(jù)（X X，Y Y），），使得使得H H（X X）=H=H（Y Y），），這在計(jì)算上是不可行的。這在計(jì)算上是不可行的。 用途用途 驗(yàn)證完整性驗(yàn)證完整性 口令認(rèn)證口令認(rèn)證一般的攻擊是碰撞攻擊：一般的攻擊是碰撞攻擊：尋找兩個(gè)輸入得到相尋找兩個(gè)輸入得到相同的輸出值同的輸出值(注意計(jì)算上的可行注意計(jì)算上的可行)摘要算法的用途決定了，它只要能找到碰撞就摘要算法的用途決定了，它只要能找到碰撞就

28、足以讓它失效，并不需要找到原文：就意味著足以讓它失效，并不需要找到原文：就意味著兩個(gè)不同的文件可以產(chǎn)生相同的兩個(gè)不同的文件可以產(chǎn)生相同的“指紋指紋”，這，這樣就可以偽造簽名。樣就可以偽造簽名。抵制碰撞攻擊的原因：抵制碰撞攻擊的原因：摘要算法的用途決定摘要算法的用途決定它只要能找到碰撞就足以讓它失效，并不需要找到它只要能找到碰撞就足以讓它失效，并不需要找到原文。原文?？诹羁诹頿wd=123456消息摘要算法消息摘要算法H口令口令摘要摘要h=abcpwd=%*#￥?。?！和存儲(chǔ)和存儲(chǔ)口令文口令文件比較件比較相同就相同就進(jìn)入系統(tǒng)進(jìn)入系統(tǒng) 數(shù)字簽名實(shí)質(zhì)就是把一個(gè)特定的數(shù)據(jù)與某個(gè)人數(shù)字簽名實(shí)質(zhì)就是把一個(gè)特

29、定的數(shù)據(jù)與某個(gè)人相關(guān)聯(lián)，該數(shù)據(jù)代表這個(gè)人。相關(guān)聯(lián)，該數(shù)據(jù)代表這個(gè)人。 包括兩個(gè)部分簽名和驗(yàn)證。包括兩個(gè)部分簽名和驗(yàn)證。消息消息(發(fā)送給接受者發(fā)送給接受者)摘要算法摘要算法消息摘要消息摘要簽名算法簽名算法數(shù)字簽名數(shù)字簽名(發(fā)送給接受者發(fā)送給接受者)發(fā)送者的私鑰發(fā)送者的私鑰消息和數(shù)字簽名是一起發(fā)給接受者。接受者通消息和數(shù)字簽名是一起發(fā)給接受者。接受者通過(guò)簽名來(lái)確定發(fā)送者的身份以及數(shù)據(jù)的完整性。過(guò)簽名來(lái)確定發(fā)送者的身份以及數(shù)據(jù)的完整性。消息消息(發(fā)送給接受者發(fā)送給接受者)數(shù)字簽名數(shù)字簽名(發(fā)送給接受者發(fā)送給接受者)簽名算法簽名算法發(fā)送者的公鑰發(fā)送者的公鑰消息摘要消息摘要摘要算法摘要算法消息摘要消息摘

30、要是否相同是否相同 協(xié)議協(xié)議 Kerberos基于私鑰加密算法的，需要可信任的第三方作為基于私鑰加密算法的，需要可信任的第三方作為認(rèn)證服務(wù)器的網(wǎng)絡(luò)認(rèn)證系統(tǒng)。認(rèn)證服務(wù)器的網(wǎng)絡(luò)認(rèn)證系統(tǒng)。 X.509：公開密鑰密碼：公開密鑰密碼 CA KerberosKerberos的認(rèn)證方案的認(rèn)證方案以第四版說(shuō)明處理過(guò)程以第四版說(shuō)明處理過(guò)程服務(wù)器服務(wù)器ASTGSKerberos KDC客戶機(jī)客戶機(jī)124365數(shù)據(jù)數(shù)據(jù)共享共享Kerberos協(xié)議運(yùn)作步驟協(xié)議運(yùn)作步驟認(rèn)證服務(wù)器（認(rèn)證服務(wù)器（ASAS），），用于在登陸用于在登陸時(shí)驗(yàn)證用戶的身份；與每個(gè)用戶時(shí)驗(yàn)證用戶的身份；與每個(gè)用戶共享一個(gè)秘密口令。共享一個(gè)秘密口令。

31、 授予許可證服務(wù)器授予許可證服務(wù)器（TGSTGS），），發(fā)放發(fā)放“身份證明許可證身份證明許可證”；與；與ASAS共享一個(gè)秘密口令共享一個(gè)秘密口令K Ktgstgs 服務(wù)器服務(wù)器（ServerServer），），客戶請(qǐng)客戶請(qǐng)求工作的實(shí)際執(zhí)行者。求工作的實(shí)際執(zhí)行者。Kerberos有一個(gè)所有客戶和自己安全通信所需的秘密密鑰數(shù)據(jù)有一個(gè)所有客戶和自己安全通信所需的秘密密鑰數(shù)據(jù)庫(kù)庫(kù)(KDC).Kerberos知道每個(gè)人的秘密密鑰知道每個(gè)人的秘密密鑰，所以能產(chǎn)生消息向每個(gè)實(shí)體，所以能產(chǎn)生消息向每個(gè)實(shí)體證實(shí)另一個(gè)實(shí)體的身份。證實(shí)另一個(gè)實(shí)體的身份。同時(shí)還能同時(shí)還能產(chǎn)生會(huì)話密鑰產(chǎn)生會(huì)話密鑰，只供一個(gè)客戶機(jī)和一個(gè)

32、服務(wù)器使用，只供一個(gè)客戶機(jī)和一個(gè)服務(wù)器使用，會(huì)話密鑰用來(lái)加密雙方的通信消息，通信完畢，即被銷毀。會(huì)話密鑰用來(lái)加密雙方的通信消息，通信完畢，即被銷毀。服務(wù)器服務(wù)器sASTGSKerberos KDC客戶機(jī)客戶機(jī)c124365數(shù)據(jù)數(shù)據(jù)共享共享Kerberos協(xié)議運(yùn)作步驟協(xié)議運(yùn)作步驟相關(guān)符號(hào)相關(guān)符號(hào)c c：用戶用戶C C身份碼身份碼s s：應(yīng)用服務(wù)器應(yīng)用服務(wù)器S S身份碼身份碼ADxADx：x x的網(wǎng)絡(luò)地址的網(wǎng)絡(luò)地址tgstgs：TGSTGS身份碼身份碼KxKx：x x的密鑰的密鑰Kx,yKx,y：x x與與y y的會(huì)話密鑰的會(huì)話密鑰 KxKx：以以KxKx加密擴(kuò)號(hào)中的加密擴(kuò)號(hào)中的信息信息life：

33、生存周期生存周期 TS:時(shí)間戳?xí)r間戳Ac:Ac:身份驗(yàn)證器身份驗(yàn)證器( (自己生成自己生成) )T Tx,yx,y:x:x與與y y間的憑據(jù)間的憑據(jù)服務(wù)器服務(wù)器sASTGSKerberos KDC客戶機(jī)客戶機(jī)c124365數(shù)據(jù)數(shù)據(jù)共享共享Kerberos協(xié)議運(yùn)作步驟協(xié)議運(yùn)作步驟客戶客戶C C從從ASAS處申請(qǐng)?zhí)幧暾?qǐng)( (步驟步驟1 1) )及取得初始憑據(jù)及取得初始憑據(jù)( (步驟步驟2 2) )；認(rèn)證業(yè)務(wù)交換過(guò)程認(rèn)證業(yè)務(wù)交換過(guò)程：完成客戶向：完成客戶向KDCKDC請(qǐng)求與請(qǐng)求與TGSTGS通通信時(shí)使用的信時(shí)使用的憑據(jù)憑據(jù)以及以及會(huì)話密鑰會(huì)話密鑰的過(guò)程。的過(guò)程。( (步驟步驟1 1):):C-AS:

34、c,TS1C-AS:c,TS1( (步驟步驟2 2):):AS-C:AS-C:K c,tgs, tgs, TS2,TS2,life1, Tc,tgsKKc c初始憑據(jù)初始憑據(jù)Tc,tgsK c,tgs, c, ADc, tgs, TS2,TS2,life1Ktgs “憑據(jù)憑據(jù)”類似常規(guī)密鑰分配協(xié)議中的類似常規(guī)密鑰分配協(xié)議中的EKB(A, R1)階段階段1 1服務(wù)器服務(wù)器sASTGSKerberos KDC客戶機(jī)客戶機(jī)c124365數(shù)據(jù)數(shù)據(jù)共享共享Kerberos協(xié)議運(yùn)作步驟協(xié)議運(yùn)作步驟客戶客戶C C從從TGSTGS處申請(qǐng)?zhí)幧暾?qǐng)( (步驟步驟3)3)及取得應(yīng)用服務(wù)器及取得應(yīng)用服務(wù)器S S的的票票

35、( (步驟步驟4 4) )；授權(quán)憑據(jù)業(yè)務(wù)交換過(guò)程授權(quán)憑據(jù)業(yè)務(wù)交換過(guò)程( (步驟步驟3)3)C-TGS:s,C-TGS:s,Tc,tgs, ,AcAc Ac Acc,ADc,ADc c,TS3,TS3 K Kc,tgsc,tgs初始票初始票Tc,tgsK c,tgs, c, ADc, tgs, TS2,TS2,life1KtgsTGSTGS可以檢查身份驗(yàn)證器可以檢查身份驗(yàn)證器Ac來(lái)證明客戶的名稱和地來(lái)證明客戶的名稱和地址是否與憑據(jù)中的名稱和接受消息的地址一致。址是否與憑據(jù)中的名稱和接受消息的地址一致。階段階段2 2：服務(wù)器服務(wù)器ASTGSKerberos KDC客戶機(jī)客戶機(jī)124365數(shù)據(jù)數(shù)據(jù)共

36、享共享Kerberos協(xié)議運(yùn)作步驟協(xié)議運(yùn)作步驟客戶客戶C C從從TGSTGS處申請(qǐng)?zhí)幧暾?qǐng)( (步驟步驟3)3)及取得應(yīng)用服務(wù)器及取得應(yīng)用服務(wù)器S S的的票票( (步驟步驟4 4) )；( (步驟步驟4)4)TGS-C:s,TGS-C:s,Kc,s,TS4,TS4,T Tc,sc,s K Kc,tgsc,tgs T Tc,sc,sKKc,sc,s,c,AD,c,ADc c,s,s,TS4,TS4,life2Klife2Ks s授權(quán)憑據(jù)業(yè)務(wù)交換過(guò)程授權(quán)憑據(jù)業(yè)務(wù)交換過(guò)程，是客戶方，是客戶方C C向向TGSTGS請(qǐng)求與請(qǐng)求與最終的最終的應(yīng)用服務(wù)器應(yīng)用服務(wù)器進(jìn)行通信所需要的進(jìn)行通信所需要的憑據(jù)憑據(jù)和和會(huì)

37、話會(huì)話密鑰密鑰的過(guò)程。的過(guò)程。階段階段2 2：服務(wù)器服務(wù)器ASTGSKerberos KDC客戶機(jī)客戶機(jī)124365數(shù)據(jù)數(shù)據(jù)共享共享Kerberos協(xié)議運(yùn)作步驟協(xié)議運(yùn)作步驟客戶客戶C C向應(yīng)用服務(wù)器向應(yīng)用服務(wù)器S S請(qǐng)求服務(wù)請(qǐng)求服務(wù)( (步驟步驟5,6)5,6)。 用戶用戶/ /服務(wù)器雙向認(rèn)證交換過(guò)程，服務(wù)器雙向認(rèn)證交換過(guò)程，客戶方通過(guò)遞交服務(wù)器客戶方通過(guò)遞交服務(wù)器憑據(jù)證明自己的身份的同時(shí)，通過(guò)一個(gè)典型的挑戰(zhàn)憑據(jù)證明自己的身份的同時(shí)，通過(guò)一個(gè)典型的挑戰(zhàn)/ /響應(yīng)響應(yīng)消息交換服務(wù)器向客戶證明自己的身份。消息交換服務(wù)器向客戶證明自己的身份。 ( (步驟步驟5)5)C-S:Ac,C-S:Ac,T T

38、c,sc,s T Tc,sc,sKKc,sc,s,c,AD,c,ADc c,s,s,TS4,TS4,life2Klife2Ks sAcAcc,ADc,ADc c,TS5,TS5 K Kc,sc,s 階段階段3 3：服務(wù)器服務(wù)器ASTGSKerberos KDC客戶機(jī)客戶機(jī)124365數(shù)據(jù)數(shù)據(jù)共享共享Kerberos協(xié)議運(yùn)作步驟協(xié)議運(yùn)作步驟客戶客戶C C向應(yīng)用服務(wù)器向應(yīng)用服務(wù)器S S請(qǐng)求服務(wù)請(qǐng)求服務(wù)( (步驟步驟5,6)5,6)。若要互相驗(yàn)證身份，服務(wù)器可執(zhí)行若要互相驗(yàn)證身份，服務(wù)器可執(zhí)行6 6 ( (步驟步驟6)6)S-C:TS5+1S-C:TS5+1K Kc,sc,s服務(wù)器返回身份驗(yàn)證碼中的

39、時(shí)間戳加服務(wù)器返回身份驗(yàn)證碼中的時(shí)間戳加1 1，再用會(huì)話，再用會(huì)話密鑰加密，密鑰加密，C C可以解密，說(shuō)明可以解密，說(shuō)明C C可以保證只有可以保證只有s s才能才能創(chuàng)建它。消息的內(nèi)容向創(chuàng)建它。消息的內(nèi)容向C C保證它不是以前的應(yīng)答。保證它不是以前的應(yīng)答。 階段階段3 3： KerberosKerberos的認(rèn)證方案的認(rèn)證方案 1和和2在用戶首次登錄系統(tǒng)時(shí)使用在用戶首次登錄系統(tǒng)時(shí)使用 3和和4在用戶每次申請(qǐng)某個(gè)特定的應(yīng)用服務(wù)器的服務(wù)使用在用戶每次申請(qǐng)某個(gè)特定的應(yīng)用服務(wù)器的服務(wù)使用 5用于特定的服務(wù)器中每一個(gè)服務(wù)的認(rèn)證用于特定的服務(wù)器中每一個(gè)服務(wù)的認(rèn)證 6可選，只用于相互認(rèn)證可選，只用于相互認(rèn)證服

40、務(wù)器服務(wù)器ASTGSKerberos KDC客戶機(jī)客戶機(jī)124365數(shù)據(jù)數(shù)據(jù)共享共享Kerberos協(xié)議運(yùn)作步驟協(xié)議運(yùn)作步驟 X.509 密鑰及證書管理密鑰及證書管理 X.509認(rèn)證協(xié)議認(rèn)證協(xié)議密鑰及證書管理密鑰及證書管理 公鑰系統(tǒng)中的問題網(wǎng)絡(luò)上公鑰的確認(rèn)公鑰系統(tǒng)中的問題網(wǎng)絡(luò)上公鑰的確認(rèn) 防止上述攻擊的機(jī)制是大家信任的防止上述攻擊的機(jī)制是大家信任的認(rèn)證中心認(rèn)證中心(CA)以數(shù)字簽名技術(shù)，將每個(gè)用戶的公鑰與個(gè)以數(shù)字簽名技術(shù)，將每個(gè)用戶的公鑰與個(gè)人的身份數(shù)據(jù)簽成人的身份數(shù)據(jù)簽成數(shù)字證書數(shù)字證書。Alice的公鑰BobAliceCherryAlice的公鑰 X.509認(rèn)證協(xié)議認(rèn)證協(xié)議密鑰及證書管理密

41、鑰及證書管理 用戶收到證書后通過(guò)驗(yàn)證程序，確信證書無(wú)誤，用戶收到證書后通過(guò)驗(yàn)證程序，確信證書無(wú)誤，所含公鑰、身份數(shù)據(jù)及其他內(nèi)容確是證書上聲所含公鑰、身份數(shù)據(jù)及其他內(nèi)容確是證書上聲稱的主體的。稱的主體的。Alice的公鑰BobAliceCherry X.509認(rèn)證協(xié)議認(rèn)證協(xié)議密鑰及證書管理密鑰及證書管理認(rèn)證中心以自己的私鑰為用戶簽發(fā)證書，用戶可以使認(rèn)證中心以自己的私鑰為用戶簽發(fā)證書，用戶可以使用用認(rèn)證中心的公鑰認(rèn)證中心的公鑰驗(yàn)證所獲證書的正確性。驗(yàn)證所獲證書的正確性。Alice的身份信息的身份信息Alice的公鑰的公鑰CA1私鑰簽發(fā)私鑰簽發(fā)CA1的身份信息的身份信息CA1的公鑰的公鑰CA2私鑰簽

42、發(fā)私鑰簽發(fā)CA2的身份信息的身份信息CA2的公鑰的公鑰Root CA私鑰簽發(fā)私鑰簽發(fā) 認(rèn)證機(jī)構(gòu)認(rèn)證機(jī)構(gòu)(CA)是核心，信任的發(fā)源地是核心，信任的發(fā)源地 CA系統(tǒng)結(jié)構(gòu)系統(tǒng)結(jié)構(gòu) 證書鏈構(gòu)造證書鏈構(gòu)造 CA的層次結(jié)構(gòu)可被映射為證書鏈的層次結(jié)構(gòu)可被映射為證書鏈Root CAAsia CAEu CACN CAsales CAmarketing CAengineering CA驗(yàn)證證書程序驗(yàn)證證書程序自己簽發(fā)自己簽發(fā)Root簽發(fā)簽發(fā)CN簽發(fā)簽發(fā)Engineering CA簽發(fā)簽發(fā)信任授權(quán)信任授權(quán)信任授權(quán)信任授權(quán)不信任授權(quán)不信任授權(quán)圖中最下面的待驗(yàn)證書通過(guò)兩級(jí)圖中最下面的待驗(yàn)證書通過(guò)兩級(jí)子子CA到達(dá)根到達(dá)根

43、CA。一條證書鏈為一條證書鏈為一條始于層次分支，終止于層次一條始于層次分支，終止于層次頂部的路徑。頂部的路徑。課后習(xí)題課后習(xí)題 1 位置位置 2采用公開密鑰體制和采用公開密鑰體制和x.509x.509數(shù)字證書技術(shù)。數(shù)字證書技術(shù)。 3 3提供服務(wù)器認(rèn)證、消息完整性、通信數(shù)據(jù)加密和可提供服務(wù)器認(rèn)證、消息完整性、通信數(shù)據(jù)加密和可選的客戶端認(rèn)證服務(wù)。選的客戶端認(rèn)證服務(wù)。 4 4提供一個(gè)安全的提供一個(gè)安全的“握手握手”來(lái)初始化一個(gè)來(lái)初始化一個(gè)TCPTCPIPIP連接，連接，完成客戶端和服務(wù)器之間關(guān)于安全等級(jí)、密碼算完成客戶端和服務(wù)器之間關(guān)于安全等級(jí)、密碼算法通信密鑰的協(xié)商，以及執(zhí)行對(duì)連接端身份的認(rèn)證法通

44、信密鑰的協(xié)商，以及執(zhí)行對(duì)連接端身份的認(rèn)證工作。工作。SMTPIPSSLTCPHTTPFTP 5 協(xié)議棧協(xié)議棧SSL握手協(xié)議握手協(xié)議SSL記錄協(xié)議記錄協(xié)議SSL告警協(xié)議告警協(xié)議SSL修改密文協(xié)修改密文協(xié)議議 1 基本情況：開放的加密和安全標(biāo)準(zhǔn)、保護(hù)在線基本情況：開放的加密和安全標(biāo)準(zhǔn)、保護(hù)在線信用卡交易信用卡交易 2 基于基于X.509v3 數(shù)字簽名數(shù)字簽名 3 了解基于了解基于SET構(gòu)造的電子商務(wù)系統(tǒng)和交互過(guò)程構(gòu)造的電子商務(wù)系統(tǒng)和交互過(guò)程 4 雙向簽名雙向簽名消費(fèi)者想要將訂購(gòu)信息消費(fèi)者想要將訂購(gòu)信息( (OI)OI)發(fā)送給商家，將支付信發(fā)送給商家，將支付信息息( (PI)PI)發(fā)送給銀行。發(fā)送給

45、銀行。 商家不必知道消費(fèi)者的信用卡號(hào)碼商家不必知道消費(fèi)者的信用卡號(hào)碼 銀行也不必知道消費(fèi)者訂單的細(xì)節(jié)銀行也不必知道消費(fèi)者訂單的細(xì)節(jié) 消費(fèi)者可以證明這個(gè)支付是用于這次訂購(gòu)而不是用于其他消費(fèi)者可以證明這個(gè)支付是用于這次訂購(gòu)而不是用于其他某種貨物或服務(wù)。某種貨物或服務(wù)。SET消息消息PI雙向簽名雙向簽名OIMDDES加密加密RSA加密加密KsKUb請(qǐng)求報(bào)文請(qǐng)求報(bào)文數(shù)字信封數(shù)字信封SET密文密文PIMDOI持卡人證書持卡人證書雙向簽名雙向簽名PIPI支付信息支付信息OIOI訂購(gòu)信息訂購(gòu)信息PIMDPIMDPIPI報(bào)文摘要報(bào)文摘要OIMDOIMDOIOI報(bào)文摘要報(bào)文摘要KsKs臨時(shí)的對(duì)稱密鑰臨時(shí)的對(duì)稱密

46、鑰KUbKUb銀行的公開密鑰交換的密鑰銀行的公開密鑰交換的密鑰與購(gòu)買相關(guān)的信息。這個(gè)信息將被商家轉(zhuǎn)發(fā)給支付網(wǎng)關(guān)與購(gòu)買相關(guān)的信息。這個(gè)信息將被商家轉(zhuǎn)發(fā)給支付網(wǎng)關(guān) 與訂購(gòu)有關(guān)的信息。商家需要這個(gè)信息與訂購(gòu)有關(guān)的信息。商家需要這個(gè)信息 持卡人的證書。持卡人的證書。 為為IPIP及上層協(xié)議提供安全保障。及上層協(xié)議提供安全保障。 IPSecIPSec提供認(rèn)證、數(shù)據(jù)完整性驗(yàn)證、保密提供認(rèn)證、數(shù)據(jù)完整性驗(yàn)證、保密 IPSec由三個(gè)基本要素來(lái)提供以上三種保護(hù)形式由三個(gè)基本要素來(lái)提供以上三種保護(hù)形式驗(yàn)證頭驗(yàn)證頭(AH)封裝安全載荷封裝安全載荷(ESP)互聯(lián)網(wǎng)密鑰管理協(xié)議互聯(lián)網(wǎng)密鑰管理協(xié)議(IKMP)。 AH和和

47、ESP兩種工作模式：傳輸模式、隧道模式兩種工作模式：傳輸模式、隧道模式 SA 課后習(xí)題課后習(xí)題 安全和可信的內(nèi)部網(wǎng)絡(luò)與一個(gè)被認(rèn)為是不那么安全和安全和可信的內(nèi)部網(wǎng)絡(luò)與一個(gè)被認(rèn)為是不那么安全和可信的外部網(wǎng)絡(luò)可信的外部網(wǎng)絡(luò)(通常是通常是Internet)之間的一個(gè)封鎖工具，之間的一個(gè)封鎖工具，阻斷來(lái)自外部通過(guò)網(wǎng)絡(luò)對(duì)本網(wǎng)絡(luò)的威脅和入侵，提供阻斷來(lái)自外部通過(guò)網(wǎng)絡(luò)對(duì)本網(wǎng)絡(luò)的威脅和入侵，提供扼守本網(wǎng)絡(luò)的安全和審計(jì)的唯一關(guān)卡。扼守本網(wǎng)絡(luò)的安全和審計(jì)的唯一關(guān)卡。 1 包過(guò)濾器根據(jù)每個(gè)包頭部?jī)?nèi)的信息來(lái)決定是包過(guò)濾器根據(jù)每個(gè)包頭部?jī)?nèi)的信息來(lái)決定是否要將包繼續(xù)傳輸，從而增強(qiáng)安全性否要將包繼續(xù)傳輸，從而增強(qiáng)安全性 2

48、根據(jù)各類包的特性學(xué)會(huì)寫包過(guò)濾規(guī)則，注意根據(jù)各類包的特性學(xué)會(huì)寫包過(guò)濾規(guī)則，注意對(duì)對(duì)ACK的理解的理解 ACKACK為為1 1表示確認(rèn)號(hào)合法，為表示確認(rèn)號(hào)合法，為0 0表示數(shù)據(jù)段表示數(shù)據(jù)段不包含確認(rèn)信息。不包含確認(rèn)信息。 TCPTCP的啟動(dòng)連接請(qǐng)求包中的啟動(dòng)連接請(qǐng)求包中的的ACKACK位為位為0 0，而其他的數(shù)據(jù)包，而其他的數(shù)據(jù)包ACKACK位為位為1 1所有的所有的TCP/IPTCP/IP客戶程序都使用大于客戶程序都使用大于10231023的隨機(jī)分配端口號(hào)。的隨機(jī)分配端口號(hào)。10241024以下的端以下的端口保留為服務(wù)器上的服務(wù)所用?？诒Ａ魹榉?wù)器上的服務(wù)所用。不允許反向建立連接不允許反向建立連

49、接 例：第一，例：第一，TelnetTelnet服務(wù)服務(wù)假設(shè)一個(gè)網(wǎng)絡(luò)假設(shè)一個(gè)網(wǎng)絡(luò)1161161111114 40 0，認(rèn)為站點(diǎn)，認(rèn)為站點(diǎn)上有黃上有黃色的色的BBSBBS，所以希望阻止網(wǎng)絡(luò)中的用戶訪問該站的所以希望阻止網(wǎng)絡(luò)中的用戶訪問該站的BBSBBS；再假再假設(shè)這個(gè)站點(diǎn)的設(shè)這個(gè)站點(diǎn)的BBSBBS服務(wù)是通過(guò)服務(wù)是通過(guò)TelnetTelnet方式提供的，那么需要阻方式提供的，那么需要阻止到那個(gè)站點(diǎn)的出站止到那個(gè)站點(diǎn)的出站TelnetTelnet服務(wù)，服務(wù)，對(duì)于對(duì)于InternetInternet的其他站點(diǎn)，允許內(nèi)部網(wǎng)用戶通過(guò)的其他站點(diǎn)，允許內(nèi)部網(wǎng)用戶通過(guò)

50、TelnetTelnet方式方式訪問，訪問，但不允許其他站點(diǎn)以但不允許其他站點(diǎn)以TelnetTelnet方式訪問內(nèi)部網(wǎng)絡(luò)。方式訪問內(nèi)部網(wǎng)絡(luò)。 第二，郵件服務(wù)第二，郵件服務(wù)允許允許SMTPSMTP出站入站服務(wù)，郵件服務(wù)器是出站入站服務(wù)，郵件服務(wù)器是IPIP地址為地址為 第三，對(duì)于第三，對(duì)于WWWWWW服務(wù)服務(wù)允許內(nèi)部網(wǎng)用戶訪問允許內(nèi)部網(wǎng)用戶訪問InternetInternet上任何網(wǎng)絡(luò)和站點(diǎn)上任何網(wǎng)絡(luò)和站點(diǎn)但只允許一個(gè)公司的網(wǎng)絡(luò)但只允許一個(gè)公司的網(wǎng)絡(luò)訪問內(nèi)部訪問內(nèi)部WWWWWW服務(wù)器，內(nèi)服務(wù)器，內(nèi)部部WWWWWW

51、服務(wù)器的服務(wù)器的IPIP址為址為 分析：分析：假設(shè)一個(gè)網(wǎng)絡(luò)假設(shè)一個(gè)網(wǎng)絡(luò)116116. .111111. .4 4. .0 0，認(rèn)為站點(diǎn)，認(rèn)為站點(diǎn)上有黃色上有黃色的的BBSBBS，所以希望阻止網(wǎng)絡(luò)中的用戶訪問該站的所以希望阻止網(wǎng)絡(luò)中的用戶訪問該站的BBSBBS；再假設(shè)再假設(shè)這個(gè)站點(diǎn)的這個(gè)站點(diǎn)的BBSBBS服務(wù)是通過(guò)服務(wù)是通過(guò)TelnetTelnet方式提供的，那么需要阻方式提供的，那么需要阻止到那個(gè)站點(diǎn)的出站止到那個(gè)站點(diǎn)的出站TelnetTelnet服務(wù)，服務(wù)，對(duì)于對(duì)于InternetInternet的其他站

52、點(diǎn)，允許內(nèi)部網(wǎng)用戶通過(guò)的其他站點(diǎn)，允許內(nèi)部網(wǎng)用戶通過(guò)TelnetTelnet方式方式訪問，訪問，但不允許其他站點(diǎn)以但不允許其他站點(diǎn)以TelnetTelnet方式訪問內(nèi)部網(wǎng)絡(luò)。方式訪問內(nèi)部網(wǎng)絡(luò)。116116. .111111. .4 4. .0:0:應(yīng)用程序端口應(yīng)用程序端口:23:23116116. .111111. .4 4. .0:0:應(yīng)用程序端口應(yīng)用程序端口其它站點(diǎn)其它站點(diǎn):23:23不允許反向主不允許反向主動(dòng)建立連接動(dòng)建立連接ACK=1ACK=1116116. .111111. .4 4. .0:0:2323其它站點(diǎn)其它站點(diǎn): :應(yīng)用程序端口應(yīng)

53、用程序端口116116. .111111. .4 4. .0:0:應(yīng)用程序端口應(yīng)用程序端口:23:23規(guī)規(guī)則則方向方向源地址源地址目的地址目的地址協(xié)議協(xié)議源端源端口口目的端目的端口口ACK設(shè)置設(shè)置動(dòng)作動(dòng)作A出出TCP1023 23任意任意拒絕拒絕B入入TCP231023是是拒絕拒絕116116. .111111. .4 4. .0:0:應(yīng)用程序端口應(yīng)用程序端口其它站點(diǎn)其它站點(diǎn):23:23不允許反向主不允許反向主動(dòng)建立連接動(dòng)建立連接ACK=1ACK=1規(guī)規(guī)則則方向方

54、向源地址源地址目的地址目的地址協(xié)議協(xié)議源端源端口口目的端目的端口口ACK設(shè)置設(shè)置動(dòng)作動(dòng)作C出出任意任意TCP1023 23任意任意允許允許D入入任意任意TCP231023是是允許允許規(guī)規(guī)則則方向方向源地址源地址目的地址目的地址協(xié)議協(xié)議源端源端口口目的端目的端口口ACK設(shè)置設(shè)置動(dòng)作動(dòng)作A入入任意任意TCP1023 23任意任意拒絕拒絕B出出任意任意TCP231023任意任意拒絕拒絕116116. .111111. .4 4. .0:0:2323其它站點(diǎn)其它站點(diǎn): :應(yīng)用程序端口應(yīng)用程序端口 第二，郵件服務(wù)第二

55、，郵件服務(wù)允許允許SMTPSMTP出站入站服務(wù)，郵件服務(wù)器是出站入站服務(wù)，郵件服務(wù)器是IPIP地址為地址為116116. .111111. .4 4. .1:1:應(yīng)用程序端口應(yīng)用程序端口其它站點(diǎn)其它站點(diǎn):25:25116116. .111111. .4 4. .1:1:2525其它站點(diǎn)其它站點(diǎn): :應(yīng)用程序端口應(yīng)用程序端口規(guī)規(guī)則則方向方向源地址源地址目的地址目的地址協(xié)議協(xié)議源端源端口口目的端目的端口口ACK設(shè)置設(shè)置動(dòng)作動(dòng)作E出出任意任意TCP1023 25任意任意允許允許F入入任意任意TCP251023是是允許允許規(guī)規(guī)則則方向方向源地址源地址目的地址目的地址協(xié)議協(xié)議源端源端口口目的端目的端口口ACK設(shè)置設(shè)置動(dòng)作動(dòng)作G入入任意任意TCP1023 25任意任意允許允許H出出任意任意TCP251023任意任意允許允許 第三，對(duì)于第三，對(duì)于WWWWWW服務(wù)服務(wù)允許內(nèi)部網(wǎng)用戶訪問允許內(nèi)部網(wǎng)用戶訪問InternetInternet上任何網(wǎng)絡(luò)和站點(diǎn)上任何網(wǎng)絡(luò)和站點(diǎn)但只允許一個(gè)公司的網(wǎng)絡(luò)但只允許一個(gè)公司的網(wǎng)絡(luò)