NET09_網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理ppt課件

1、第九章網(wǎng)絡(luò)平安及網(wǎng)絡(luò)管理 中 北 大 學 電 子 與 計 算 機 科 學 技 術(shù) 學 院School of Electronics and Computer Science and Technology . NUC 交換今日汗水，路由明朝輝煌9 網(wǎng)絡(luò)平安及網(wǎng)絡(luò)管理 本章內(nèi)容網(wǎng)絡(luò)平安概述容錯技術(shù)加密與認證網(wǎng)絡(luò)管理黑客文化與平安對策課程議題網(wǎng)絡(luò)平安概述網(wǎng)絡(luò)平安概述“平安一詞在字典中被定義為“遠離危險的形狀或特性和“為防備間諜活動或蓄意破壞、犯罪、攻擊或逃跑而采取的措施。隨著經(jīng)濟信息化的迅速開展，計算機網(wǎng)絡(luò)對平安要求越來越高，尤其自InternetIntranet運用開展以來，網(wǎng)絡(luò)的平安曾經(jīng)涉及到國

2、家主權(quán)等許多艱苦問題。隨著“黑客工具技術(shù)的日益開展，運用這些工具所需具備的各種技巧和知識在不斷減少，從而呵斥的全球范圍內(nèi)“黑客行為的泛濫，導致了一個全新戰(zhàn)爭方式的出現(xiàn)，即網(wǎng)絡(luò)平安技術(shù)的大戰(zhàn)。網(wǎng)絡(luò)平安的概念網(wǎng)絡(luò)平安從其本質(zhì)上來講就是網(wǎng)絡(luò)上的信息平安。它涉及的領(lǐng)域相當廣泛。這是由于在目前的公用通訊網(wǎng)絡(luò)中存在著各種各樣的平安破綻和要挾。從廣義來說，凡是涉及到網(wǎng)絡(luò)上信息的嚴密性、完好性、可用性、真實性和可控性的相關(guān)技術(shù)和實際，都是網(wǎng)絡(luò)平安所要研討的領(lǐng)域。下面給出網(wǎng)絡(luò)平安的一個通用定義： 網(wǎng)絡(luò)平安是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)遭到維護，不受偶爾的或者惡意的緣由而遭到破壞、更改、泄露，系統(tǒng)延續(xù)可

3、靠正常地運轉(zhuǎn)，網(wǎng)絡(luò)效力不中斷。網(wǎng)絡(luò)平安的定義計算機實體平安系統(tǒng)運轉(zhuǎn)平安信息平安對于網(wǎng)絡(luò)平安，目前國際上還沒有一個一致的定義，它經(jīng)常與計算平安和計算機信息系統(tǒng)平安兩個術(shù)語混淆。狹義上以為，計算機網(wǎng)絡(luò)平安是指經(jīng)過網(wǎng)絡(luò)的拓撲構(gòu)造，構(gòu)造和網(wǎng)絡(luò)協(xié)議來保證計算機網(wǎng)絡(luò)系統(tǒng)的可靠、穩(wěn)定和延續(xù)的正常任務(wù)。這一定義的重點在于計算機網(wǎng)絡(luò)系統(tǒng)的設(shè)計上，經(jīng)過技術(shù)手段提高網(wǎng)絡(luò)系統(tǒng)的平安性。廣義上的網(wǎng)絡(luò)平安，那么包含計算機平安和計算機信息系統(tǒng)平安。(1) 物理平安計算機實體平安設(shè)備、環(huán)境在一定的環(huán)境下，對網(wǎng)絡(luò)系統(tǒng)中的設(shè)備的平安維護。包括設(shè)備的防毀、防盜、防電磁輻射或干擾，以及電源維護。是網(wǎng)絡(luò)平安的前提(2) 系統(tǒng)運轉(zhuǎn)平安容

4、錯性、平安審計等網(wǎng)絡(luò)系統(tǒng)運轉(zhuǎn)平安是指計算機實體平安的前提下，保證網(wǎng)絡(luò)系統(tǒng)不受偶爾的和惡意的要挾的影響，可以正常延續(xù)任務(wù)。網(wǎng)絡(luò)系統(tǒng)的拓撲構(gòu)造、構(gòu)造硬件、OS和協(xié)議是影響網(wǎng)絡(luò)系統(tǒng)運轉(zhuǎn)平安的直接要素。計算機病毒、黑客入侵是影響網(wǎng)絡(luò)系統(tǒng)運轉(zhuǎn)平安的外在要素。采用有效的技術(shù)和管理手段，保證網(wǎng)絡(luò)系統(tǒng)運轉(zhuǎn)平安是網(wǎng)絡(luò)平安維護最重要的環(huán)節(jié)之一。(3) 信息平安計算機網(wǎng)絡(luò)信息平安是指防治網(wǎng)絡(luò)上的信息資源被故意的或偶爾的泄露、更改、破壞，確保信息的嚴密性、完好性和可用性。保密性 Confidentiality 指防止信息在未授權(quán)的方式下被泄露完整性 Integrity 指信息不能被非法（未授權(quán)）更改或破壞可用性 Av

5、ailability 指在授權(quán)的任何情況下，信息必須是可用的，防止延時或拒絕訪問網(wǎng)絡(luò)面臨的平安風險與人有關(guān)的風險與硬件和網(wǎng)絡(luò)設(shè)計有關(guān)的風險與協(xié)議和軟件有關(guān)的風險與Internet訪問有關(guān)的風險網(wǎng)絡(luò)系統(tǒng)本身內(nèi)部要素系統(tǒng)外部外部要素(1)非授權(quán)訪問 (2)信息泄露 (3)回絕效力網(wǎng)絡(luò)平安措施容錯性和數(shù)據(jù)備份防火墻技術(shù)監(jiān)視、檢測程序加密和認證文件訪問限制對系統(tǒng)錯誤和性能趨勢跟蹤，發(fā)現(xiàn)處理問題堅持備份、引導盤及緊急修復盤制定實施平安管理的政策和災難恢復政策課程議題容錯技術(shù)容錯技術(shù)容錯技術(shù)是保證網(wǎng)絡(luò)系統(tǒng)平安運轉(zhuǎn)的關(guān)鍵技術(shù)之一。具有容錯性的系統(tǒng)可以做到部分系統(tǒng)缺點不影響整個系統(tǒng)的運轉(zhuǎn)。容錯性在實現(xiàn)的程度上

6、是不同的。對實施冗余容錯措施需求額外的網(wǎng)絡(luò)開銷，因此需求了解網(wǎng)絡(luò)中容易出錯的關(guān)鍵點以及它們的缺點對于整個網(wǎng)絡(luò)的影響是如何產(chǎn)生的。1、環(huán)境物理環(huán)境：溫度濕度自然災禍設(shè)備間：空調(diào)、溫度、濕度監(jiān)視2、供電常見供電問題：浪涌線擾電磁干擾電力缺乏徹底斷電功率、時間、線動搖、本錢參考目的：UPS 發(fā)電機 柴油、汽油、天然氣、蒸汽后備式交換式在線式繼續(xù)式3、拓撲構(gòu)造星型、總線、環(huán)型、網(wǎng)狀、層次FDDIAB缺點點ABCD缺點點4、銜接網(wǎng)絡(luò)設(shè)備：路由器、防火墻、網(wǎng)橋、交換機、Hub建立冗余的電源、冷卻風扇、接口以及I/O模塊提供熱切換才干 網(wǎng)絡(luò)銜接： 接入網(wǎng)、骨干網(wǎng)建立冗余鏈路思索負載平衡5、效力器廉價冗余磁盤

7、陣列 RAID所謂磁盤陣列是指一組硬盤或驅(qū)動器以RAID方式構(gòu)成的驅(qū)動器集合效力器鏡像效力事務(wù)和數(shù)據(jù)存儲互為副本，建立同步效力器集群 Cluster將多臺效力器連起來使它們像一臺效力器那樣任務(wù)的一種容錯技術(shù)RAIDRedundant Array of Inexpensive Disks6 levels redundancy, 0-5 RAID 0 Stripes data across multiple disks, no parity, so there is no redundancy. RAID 1 Disk mirroring (disk duplexing) writes data

8、to two identical partitions on separate hard disks. Disk duplexing uses two hard disk controller cardsRAID 2 Writes data across multiple hard disks, with error checking. RAID 3 Stripes data one byte at a time and has a dedicated parity drive. RAID 4 Stripes data one sector at a time and has a dedica

9、ted parity drive. RAID 5 Stripes data and parity across multiple disks (require a minimum of 3 drives). By mixing the parity across all of the disks, a separate parity disk is not required and yet full data redundancy is achieved.RAID0：磁盤條帶化192K64K64K64KDisk 1 Disk 2 Disk 3RAID1：磁盤鏡像Disk I/ODisk mir

10、roring softwareRAID5:帶奇偶校驗的磁盤條帶化Disk 1 Disk 2Disk 3 Disk 4 Disk 5Parityinformation課程議題加密與認證加密的歷史作為保證數(shù)據(jù)平安的一種方式，數(shù)據(jù)加密來源于公元前2000年。埃及人是最先運用特別的象形文字作為信息編碼的人。隨著時間推移，巴比倫、美索不達米亞和希臘都開場運用一些方法來維護他們的書面信息。密碼學的開展密碼學的開展可以分為兩個階段：第一個階段是計算機出現(xiàn)之前的四千年，這是傳統(tǒng)密碼學階段，根本上靠人工對音訊加密、傳輸和防破譯。第二階段是計算碼學階段：常規(guī)密鑰密碼體制 解密是加密的簡單逆過程，兩者所用的密鑰是可

11、以簡單地相互推導的，因此無論加密密鑰還是解密密鑰都必需嚴厲嚴密。公開密鑰密碼體制重要概念 密碼編碼學(cryptography)是密碼體制的設(shè)計學，而密碼分析學(cryptanalysis)那么是在未知密鑰的情況下從密文推上演明文或密鑰的技術(shù)。密碼編碼學與密碼分析學合起來即為密碼學(cryptology)。假設(shè)不論截取者獲得了多少密文，但在密文中都沒有足夠的信息來獨一地確定出對應(yīng)的明文，那么這一密碼體制稱為無條件平安的，或稱為實際上是不可破的。假設(shè)密碼體制中的密碼不能被可運用的計算資源破譯，那么這一密碼體制稱為在計算上是平安的。 普通的數(shù)據(jù)加密模型 E加密算法D解密算法加密密鑰 K解密密鑰 K

12、明文 X明文 X密文 Y = EK(X)截取者截獲篡改密鑰源平安信道常規(guī)密鑰密碼體制 所謂常規(guī)密鑰密碼體制，即加密密鑰與解密密鑰是一樣的密碼體制。這種加密系統(tǒng)又稱為對稱密鑰系統(tǒng)。替代密碼替代密碼(substitution cipher)的原理可用一個例子來闡明。密鑰是 3 abcdefghijklmnopqrstuvwxyzDEFGHIJKLMNOPQRSTUVWXYZABCcaesar cipherFDHVDU FLSKHU明文密文明文 c 變成了密文 F替代密碼替代密碼(substitution cipher)的原理可用一個例子來闡明。密鑰是 3 abcdefghijklmnopqrstu

13、vwxyzDEFGHIJKLMNOPQRSTUVWXYZABCcaesar cipherFDHVDU FLSKHU明文密文明文 a 變成了密文 D替代密碼替代密碼(substitution cipher)的原理可用一個例子來闡明。密鑰是 3 abcdefghijklmnopqrstuvwxyzDEFGHIJKLMNOPQRSTUVWXYZABCcaesar cipherFDHVDU FLSKHU明文密文明文 e 變成了密文 H置換密碼置換密碼(transposition cipher)那么是按照某一規(guī)那么重新陳列音訊中的比特或字符順序。 根據(jù)英文字母在 26 個字母中的先后順序，我們可以得出密

14、鑰中的每一個字母的相對先后順序。由于密鑰中沒有 A 和 B，因此 C 為第 1。同理，E 為第 2，H 為第 3,，R 為第 6。于是得出密鑰字母的相對先后順序為 145326。 CIPHER145326attackbeginsatfour密鑰順序明文置換密碼置換密碼(transposition cipher)那么是按照某一規(guī)那么重新陳列音訊中的比特或字符順序。 根據(jù)英文字母在 26 個字母中的先后順序，我們可以得出密鑰中的每一個字母的相對先后順序。由于密鑰中沒有 A 和 B，因此 C 為第 1。同理，E 為第 2，H 為第 3,，R 為第 6。于是得出密鑰字母的相對先后順序為 145326。

15、 CIPHER145326attackbeginsatfour密鑰順序明文置換密碼置換密碼(transposition cipher)那么是按照某一規(guī)那么重新陳列音訊中的比特或字符順序。 根據(jù)英文字母在 26 個字母中的先后順序，我們可以得出密鑰中的每一個字母的相對先后順序。由于密鑰中沒有 A 和 B，因此 C 為第 1。同理，E 為第 2，H 為第 3,，R 為第 6。于是得出密鑰字母的相對先后順序為 145326。 CIPHER145326attackbeginsatfour密鑰順序明文置換密碼置換密碼(transposition cipher)那么是按照某一規(guī)那么重新陳列音訊中的比特或字

16、符順序。 根據(jù)英文字母在 26 個字母中的先后順序，我們可以得出密鑰中的每一個字母的相對先后順序。由于密鑰中沒有 A 和 B，因此 C 為第 1。同理，E 為第 2，H 為第 3,，R 為第 6。于是得出密鑰字母的相對先后順序為 145326。 CIPHER145326attackbeginsatfour密鑰順序明文置換密碼置換密碼(transposition cipher)那么是按照某一規(guī)那么重新陳列音訊中的比特或字符順序。 根據(jù)英文字母在 26 個字母中的先后順序，我們可以得出密鑰中的每一個字母的相對先后順序。由于密鑰中沒有 A 和 B，因此 C 為第 1。同理，E 為第 2，H 為第 3

17、,，R 為第 6。于是得出密鑰字母的相對先后順序為 145326。 CIPHER145326attackbeginsatfour密鑰順序明文置換密碼置換密碼(transposition cipher)那么是按照某一規(guī)那么重新陳列音訊中的比特或字符順序。 根據(jù)英文字母在 26 個字母中的先后順序，我們可以得出密鑰中的每一個字母的相對先后順序。由于密鑰中沒有 A 和 B，因此 C 為第 1。同理，E 為第 2，H 為第 3,，R 為第 6。于是得出密鑰字母的相對先后順序為 145326。 CIPHER145326attackbeginsatfour密鑰順序明文密文的得出先讀順序為 1 的明文列，即

18、 aba CIPHER145326attackbeginsatfour密鑰順序明文密文aba密文的得出先讀順序為 1 的明文列，即 cnu CIPHER145326attackbeginsatfour密鑰順序明文密文abacnu密文的得出先讀順序為 1 的明文列，即 aio CIPHER145326attackbeginsatfour密鑰順序明文密文abacnuaio密文的得出先讀順序為 1 的明文列，即 tet CIPHER145326attackbeginsatfour密鑰順序明文密文abacnuaiotet密文的得出先讀順序為 1 的明文列，即 tgf CIPHER145326attac

19、kbeginsatfour密鑰順序明文密文abacnuaiotettgf密文的得出先讀順序為 1 的明文列，即 ksr CIPHER145326attackbeginsatfour密鑰順序明文密文abacnuaiotettgfksr接納端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密鑰順序明文先寫下第 1 列密文 aba 接納端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密鑰順序明文先寫下第 1 列密文 aba 再寫下第 2 列密文 cnu 接納端的解密收到的

20、密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密鑰順序明文先寫下第 1 列密文 aba 再寫下第 2 列密文 cnu 再寫下第 3 列密文 aio 接納端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密鑰順序明文先寫下第 1 列密文 aba 再寫下第 2 列密文 cnu 再寫下第 3 列密文 aio 再寫下第 4 列密文 tet 接納端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密鑰順序明文先寫下第 1 列密

21、文 aba 再寫下第 2 列密文 cnu 再寫下第 3 列密文 aio 再寫下第 4 列密文 tet 再寫下第 5 列密文 tgf 接納端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密鑰順序明文先寫下第 1 列密文 aba 再寫下第 2 列密文 cnu 再寫下第 3 列密文 aio 再寫下第 4 列密文 tet 再寫下第 5 列密文 tgf 最后寫下第 6 列密文 ksr 接納端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密鑰順序明文最后按行讀出明文明文att

22、ackbeginsatfour接納端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密鑰順序明文最后按行讀出明文明文attackbeginsatfour接納端的解密收到的密文abacnuaiotettgfksrCIPHER145326attackbeginsatfour密鑰順序明文最后按行讀出明文明文attackbeginsatfour序列密碼序列碼體制是將明文 X 看成是延續(xù)的比特流(或字符流) x1x2 ，并且用密鑰序列K k1k2中的第 i 個元素 ki對明文中的xi進展加密，即 序列密碼體制 密鑰序列產(chǎn)生器種子 I0發(fā)端k

23、i密鑰序列產(chǎn)生器種子 I0收端ki密文序列明文序列明文序列xixiyiyi在開場任務(wù)時種子 I0 對密鑰序列產(chǎn)生器進展初始化。按照模 2加 進展運算，得出： 序列密碼體制 密鑰序列產(chǎn)生器種子 I0發(fā)端ki密鑰序列產(chǎn)生器種子 I0收端ki密文序列明文序列明文序列xixiyiyi序列密碼又稱為密鑰流密碼在收端，對 yi 的解密算法為：序列密碼體制的嚴密性 序列密碼體制的嚴密性完全在于密鑰的隨機性。假設(shè)密鑰是真正的隨機數(shù)，那么這種體制就是實際上不可破的。這也可稱為一次一密亂碼本體制。嚴厲的一次一密亂碼本體制所需的密鑰量不存在上限，很難適用化。密碼學家試圖模擬這種一次一密亂碼本體制。目前常運用偽隨機序

24、列作為密鑰序列。關(guān)鍵是序列的周期要足夠長，且序列要有很好的隨機性這很難尋覓。 分組密碼它將明文劃分成固定的 n 比特的數(shù)據(jù)組，然后以組為單位，在密鑰的控制下進展一系列的線性或非線性的變化而得到密文。這就是分組密碼。分組密碼一次變換一組數(shù)據(jù)。分組密碼算法的一個重要特點就是：當給定一個密鑰后，假設(shè)明文分組一樣，那么所變換出密文分組也一樣。分組密碼的一個重要優(yōu)點是不需求同步 分組密碼體制 輸入輸出加密算法密鑰明文輸入輸出解密算法密鑰明文n bitn bitn bitn bit密文密文數(shù)據(jù)加密規(guī)范 DES數(shù)據(jù)加密規(guī)范 DES 屬于常規(guī)密鑰密碼體制，是一種分組密碼。在加密前，先對整個明文進展分組。每一個

25、組長為 64 bit。然后對每一個 64 bit 二進制數(shù)據(jù)進展加密處置，產(chǎn)生一組 64 bit 密文數(shù)據(jù)。最后將各組密文串接起來，即得出整個的密文。運用的密鑰為 64 bit實踐密鑰長度為 56 bit，有 8 bit 用于奇偶校驗)。 數(shù)據(jù)加密規(guī)范 DESDES 的明顯缺陷 DES 實踐上就是一種單字符替代，而這種字符的長度是 64 bit。也就是說，對于 DES 算法，一樣的明文就產(chǎn)生一樣的密文。這對 DES 的平安性來說是不利的。為了提高 DES 的平安性，可采用加密分組鏈接的方法。 加密分組的鏈接 X0Y0X1Y1X2Y2X3Y3X0Y0X1Y1X2Y2X3Y3初始向量初始向量密鑰密

26、鑰明文明文密文密文加密解密EEEEDDDDDES 的嚴密性DES 的嚴密性僅取決于對密鑰的嚴密，而算法是公開的。雖然人們在破譯 DES 方面獲得了許多進展，但至今仍未能找到比窮舉搜索密鑰更有效的方法。DES 是世界上第一個公認的適用密碼算法規(guī)范，它曾對密碼學的開展做出了艱苦奉獻。目前較為嚴重的問題是 DES 的密鑰的長度。如今曾經(jīng)設(shè)計出來搜索 DES 密鑰的公用芯片。 三重 DES (Triple DES) 三重 DES 運用兩個密鑰，執(zhí)行三次 DES 算法。以下圖中的方框 E 和 D 分別表示執(zhí)行加密和解密算法。因此加密時是 E-D-E，解密時是 D-E-D。EDEK1K2K1明文密文DED

27、K1K2K1密文明文加密解密公開密鑰密碼體制公開密鑰密碼體制運用不同的加密密鑰與解密密鑰，是一種“由知加密密鑰推導出解密密鑰在計算上是不可行的密碼體制。 公開密鑰密碼體制的產(chǎn)生主要是由于兩個方面的緣由，一是由于常規(guī)密鑰密碼體制的密鑰分配問題，另一是由于對數(shù)字簽名的需求?，F(xiàn)有三種公開密鑰密碼體制，其中最著名的是RSA 體制，它基于數(shù)論中大數(shù)分解問題的體制，由美國三位科學家 Rivest, Shamir 和 Adleman 于 1976 年提出并在 1978 年正式發(fā)表的。加密密鑰與解密密鑰 在公開密鑰密碼體制中，加密密鑰(即公開密鑰) PK 是公開信息，而解密密鑰(即密鑰) SK 是需求嚴密的。

28、加密算法 E 和解密算法 D 也都是公開的。雖然密鑰 SK 是由公開密鑰 PK 決議的，但卻不能根據(jù) PK 計算出 SK。 明文密文加密私鑰加密程序明文解密公鑰解密程序該當留意 任何加密方法的平安性取決于密鑰的長度，以及攻破密文所需的計算量。在這方面，公開密鑰密碼體制并不具有比傳統(tǒng)加密體制更加優(yōu)越之處。 由于目前公開密鑰加密算法的開銷較大，在可見的未來還看不出來要放棄傳統(tǒng)的加密方法。公開密鑰還需求密鑰分配協(xié)議，詳細的分配過程并不比采用傳統(tǒng)加密方法時更為簡單。 加密算法按照密鑰和相關(guān)加密程序的類型可以把加密分為三類：散列編碼散列編碼是用散列算法求出某個消息的散列值的過程。散列值相當于消息的指紋，

29、因而對于每條消息都是唯一的。具有不可逆性。非對稱（公開密鑰）加密用兩個數(shù)學上相關(guān)的密鑰對信息進行處理。在此系統(tǒng)中，其中一個為公開密鑰，可以發(fā)給期望進行安全通信的人，另一個為私有密鑰，屬于密鑰持有人。1977年，麻省理工學院，RSA。對稱（共享密鑰）加密只用一個密鑰對信息進行加密和解密。由于加密和解密使用統(tǒng)一密鑰，所以發(fā)送者和接收者必須都知道該密鑰。美國政府信息標準DES/國際數(shù)據(jù)加密IDEA。信息在傳輸中能夠泄密數(shù)據(jù)被黑客竊聽總 部分支機構(gòu)挪動用戶A黑 客我的密碼是CAF我的密碼是CAF數(shù)據(jù)性維護挪動用戶BInternet信息在傳輸中能夠失真總 部分支機構(gòu)挪動用戶A黑 客贊同2000元成交數(shù)據(jù)

30、完好性維護挪動用戶BInternet黑客篡改數(shù)據(jù)贊同 5000 元成交信息的來源能夠偽造的總 部分支機構(gòu)黑 客買賣效力器數(shù)據(jù)源發(fā)性維護挪動用戶Internet誰是真的Bob？我是Bob，懇求買賣“我是Bob，懇求買賣數(shù)據(jù)性維護的實現(xiàn)1100111001010001010010101001000100100100000100000011001110010100010100101010010001001001000001000000明文加密解密明文保證數(shù)據(jù)在傳輸途中不被竊取發(fā)起方接受方密文#￥&(%#%$%&*(!#$%*(_%$#$%*&*)%$#數(shù)據(jù)完好性維護的實現(xiàn)發(fā)起方接受方10010001

31、01010010100001000000110110001010100010101001000101010010100001000000110110001010HashHash100010101001000101010010100001000000110110001010能否一樣？防止數(shù)據(jù)被篡改100010101001000101010010100001000000110110001010數(shù)據(jù)源發(fā)性維護的實現(xiàn)BobAlice冒充的“Bob冒充VPNInternet101011011110100110010100驗證簽名，證明數(shù)據(jù)來源私鑰簽名私鑰簽名10101101111010011001010

32、0平安傳輸私有密鑰共享密鑰明文私有密鑰摘要算法加密算法加密算法簽名算法已加密的密鑰已簽名的摘要密文組 包緊縮解 包 解緊縮網(wǎng)絡(luò)傳輸已加密的密鑰已簽名的摘要密文解密算法簽名算法公開密鑰共享密鑰明文公開密鑰摘要算法摘要比解密算法用戶驗證和證明權(quán)威如何知道在每次通訊或買賣中所運用的密鑰對實踐上就是用戶的密鑰對呢？這就需求一種驗證公用密鑰和用戶之間的關(guān)系的方法。處理這一問題的方法是引入一種叫做證書或憑證的特種簽名信息。證書包含識別用戶的信息：特異的名字、公用密鑰和有效期，全都由一個叫做證明權(quán)威CA的可靠網(wǎng)絡(luò)實體進展數(shù)字簽名。數(shù)字證書首先，用戶產(chǎn)生密鑰對，并把該密鑰對的公用部分以及其它識別信息提交給CA

33、。當CA一旦對用戶的身份人員、機構(gòu)或主計算機表示稱心，就取下用戶的公用密鑰，并對它制造信息摘要。然后，信息摘要用CA的公用密鑰進行加密，制造用戶公用密鑰的CA簽名。最后，用戶的公用密鑰和驗證用戶公用密鑰的CA簽名組合在一同制造證書。CA構(gòu)造證明權(quán)威，即CA，它簽發(fā)并管理正式運用公用密鑰與用戶相關(guān)聯(lián)的證書。證書只在某一時間內(nèi)有效，因此CA保管一份有效證書及其有效期清單。有時，證書或許要求及早廢除，因此CA保管一份廢除的證書以及有效證書的清單。CA把其有效證書、廢除證書或過期證書的清單提供應(yīng)任何一個要獲得這種清單的人。證書有兩種常用的方法：CA的分級系統(tǒng)和信任網(wǎng)。在分級證明中，頂部即根CA，它驗證

34、它下面的CA，第二級CA再驗證用戶和它下屬的CA，依此類推?？诹詈蜋?quán)限控制NO ACCESSREADREADEXECUTEWRITEDELETENO ACCESSUser 3User 2User 1用戶名/口令用戶名/口令方式最常見的訪問控制方法用戶名：明文口令：密文時間段登錄總時間源地址不勝利登錄次數(shù)關(guān)于口令維護不要將口令通知他人，也不要幾個人共享一個口令，不要把它記在本子上或計算機周圍。不要用系統(tǒng)指定的口令，如 root、demo和test等，第一次進入系統(tǒng)就修正口令，不要沿用系統(tǒng)給用戶的缺省口令，封鎖掉隨操作系統(tǒng)配備的一切缺省賬號，這個操作也要在每次系統(tǒng)晉級或系統(tǒng)安裝之后來進展。最好不要

35、用電子郵件傳送口令，假設(shè)一定需求這樣做，那么最好對電子郵件進展加密處置。假設(shè)賬戶長期不用，管理員應(yīng)將其暫停。假設(shè)雇員分開公司，那么管理員應(yīng)及時把他的賬戶消除，不要保管一些不用的賬號，這是很危險的。關(guān)于口令維護管理員也可以限制用戶的登錄時間，比如說只需在任務(wù)時間，用戶才干登錄到計算機上。限制登錄次數(shù)。為了防止對賬戶多次嘗試口令以闖入系統(tǒng)，系統(tǒng)可以限制登記企圖的次數(shù)，這樣可以防止有人不斷地嘗試運用不同的口令和登錄名。最后一次登錄，該方法報告最后一次系統(tǒng)登錄的時間、日期，以及在最后一次登錄后發(fā)生過多少次未勝利的登錄企圖。這樣可以提供線索了解能否有人非法訪問。經(jīng)過運用TFTP獲取口令文件。為了檢驗系統(tǒng)

36、的平安性，經(jīng)過TFTP命令銜接到系統(tǒng)上，然后獲取/etc/passwd文件。假設(shè)用戶可以完成這種操作，那么網(wǎng)絡(luò)上的任何人都能獲取用戶的passwd文件。關(guān)于口令維護定期地查看日志文件，以便檢查登錄勝利和不勝利的運用，一定要定期地查看登錄末勝利的音訊日志文件。根據(jù)場所平安戰(zhàn)略，確保除了必要之外沒有任何公共的用戶賬號。也就是說，一個賬號不能被兩個或兩個以上的用戶知道。去掉guest賬號，或者更平安的方法是，根本就不創(chuàng)建guest賬號。 身份鑒別身份鑒別是對網(wǎng)絡(luò)中的主體進展驗證的過程，通常有三類方法：只需該主體了解的，如口令、密鑰。一次密碼、基于時間的密碼等主體攜帶的物品，如智能卡和令牌卡。 只需該

37、主體具有的獨一無二的特征或能 力，如指紋、聲音、視網(wǎng)膜或簽字等。課程議題防火墻技術(shù)防火墻防火墻位于內(nèi)部網(wǎng)絡(luò)和Internet之間，阻斷來自外部經(jīng)過網(wǎng)絡(luò)對本網(wǎng)絡(luò)的要挾和入侵， 提供扼守本網(wǎng)絡(luò)的平安和審計的關(guān)卡。一切來自和去往Internet的信息都必需經(jīng)過防火墻，接受防火墻的檢查；防火墻必需只允許授權(quán)的數(shù)據(jù)經(jīng)過，并且防火墻本身也必需可以免于浸透；內(nèi)部網(wǎng)外部網(wǎng)防火墻防火墻的根本功能從邏輯上講，防火墻是分別器、限制器和分析器。從物理角度看，各站點防火墻物理實現(xiàn)的方式有所不同。通常防火墻是一組硬件設(shè)備，即路由器、主計算機或者是路由器、計算機和配有適當軟件的網(wǎng)絡(luò)的多種組合。防火墻可以強化平安戰(zhàn)略防火墻能

38、有效地記錄因特網(wǎng)上的活動防火墻限制暴露用戶點防火墻是一個平安戰(zhàn)略的檢查站網(wǎng)絡(luò)戰(zhàn)略 防火墻的功能實現(xiàn)功能分類為：包過濾路由器代理效力運用級網(wǎng)關(guān) 一切未被允許的就是制止的防火墻封鎖一切信息流，然后對希望提供的效力逐項開放 一切未被制止的就是允許的 防火墻就轉(zhuǎn)發(fā)一切信息流，然后逐項屏蔽能夠有害的效力 包過濾每個數(shù)據(jù)包都包含有特定信息的一組報頭，其主要信息是：1IP協(xié)議類型TCP、UDP，ICMP等；2IP源地址；3IP目的地址；4IP選擇域的內(nèi)容；5TCP或UDP源端口號；6TCP或UDP目的端口號；7ICMP音訊類型。路由器也會得到一些在數(shù)據(jù)包頭部信息中沒有得到的關(guān)于數(shù)據(jù)包的其他信息。代理效力代理

39、效力是運轉(zhuǎn)在防火墻主機上的一些特定的運用程序或者效力程序。防火墻主機可以是有一個內(nèi)部網(wǎng)絡(luò)接口和一個外部網(wǎng)絡(luò)接口的雙重宿主主機，也可以是一些可以訪問因特網(wǎng)并可被內(nèi)部主機訪問的堡壘主機。防火墻體系構(gòu)造參數(shù)網(wǎng)絡(luò)中介子網(wǎng)堡壘主機代理效力器雙重宿主主機內(nèi)部路由器外部路由器雙重宿主主機雙重宿主主機的防火墻體系構(gòu)造是相當簡單的，雙重宿主主機位于兩者之間，并且被銜接到因特網(wǎng)和內(nèi)部的網(wǎng)絡(luò)。主機過濾體系構(gòu)造在主機過濾體系構(gòu)造中提供平安維護的主機僅僅與內(nèi)部網(wǎng)相連；在這種體系構(gòu)造中，主要的平安由數(shù)據(jù)包過濾提供子網(wǎng)過濾體系構(gòu)造子網(wǎng)過濾體系構(gòu)造添加了額外的平安層到主機過濾體系構(gòu)造中，即經(jīng)過添加參數(shù)網(wǎng)絡(luò)，更進一步地把內(nèi)部網(wǎng)

40、絡(luò)與因特網(wǎng)隔分開。子網(wǎng)過濾體系構(gòu)造的最簡單的方式為兩個過濾路由器，每一個都銜接到參數(shù)網(wǎng)，一個位于參數(shù)網(wǎng)與內(nèi)部的網(wǎng)絡(luò)之間，另一個位于參數(shù)網(wǎng)與外部網(wǎng)絡(luò)之間。防火墻的缺乏之處由軟件和硬件組成的防火墻應(yīng)該具有以下功能：一切進出網(wǎng)絡(luò)的信息流都應(yīng)該經(jīng)過防火墻；一切穿過防火墻的信息流都必需有平安戰(zhàn)略和方案確實認和授權(quán)；實際上防火墻是穿不透的，但實踐中存在如下問題：不能防備惡意的知情者防火墻不能防備不經(jīng)過它的銜接防火墻不能防備全部的要挾防火墻不能防備病毒課程議題網(wǎng)絡(luò)管理網(wǎng)絡(luò)管理的定義按照國際規(guī)范化組織ISO的定義，網(wǎng)絡(luò)管理是指規(guī)劃、監(jiān)視、設(shè)計和控制網(wǎng)絡(luò)資源的運用和網(wǎng)絡(luò)的各種活動，以使網(wǎng)絡(luò)的性能到達最優(yōu)。通俗的

41、講，網(wǎng)絡(luò)管理就是經(jīng)過某種方式對網(wǎng)絡(luò)形狀進展調(diào)整，使網(wǎng)絡(luò)可以正常、高效地運轉(zhuǎn)，使網(wǎng)絡(luò)中的各種資源得到更高效的利用，當網(wǎng)絡(luò)出現(xiàn)缺點時能及時做出報告和處置，并協(xié)調(diào)、堅持網(wǎng)絡(luò)的高效運轉(zhuǎn)。網(wǎng)絡(luò)管理的目的網(wǎng)絡(luò)管理的根本目的就是滿足運營者及用戶對網(wǎng)絡(luò)的有效性、可靠性、開放性、綜合性、平安性和經(jīng)濟性的要求。 有效性 網(wǎng)絡(luò)要能準確而及時地傳送信息，并且網(wǎng)絡(luò)的效力要有質(zhì)量保證?？煽啃?網(wǎng)絡(luò)必需保證可以穩(wěn)定地運轉(zhuǎn)，不能時斷時續(xù)，要對各種缺點以及自然災禍有較強的抵御才干和有一定的自愈才干。開放性 網(wǎng)絡(luò)要可以接受多廠商消費的異種設(shè)備。網(wǎng)絡(luò)管理的目的網(wǎng)絡(luò)管理的根本目的就是滿足運營者及用戶對網(wǎng)絡(luò)的有效性、可靠性、開放性、綜

42、合性、平安性和經(jīng)濟性的要求。 綜合性 網(wǎng)絡(luò)業(yè)務(wù)不能單一化。平安性 網(wǎng)絡(luò)傳輸信息的平安性要高。經(jīng)濟性 網(wǎng)絡(luò)管理者而言，網(wǎng)絡(luò)的建立、運營、維護等費用要求盡能夠少。網(wǎng)絡(luò)管理的規(guī)范化進程ISO網(wǎng)絡(luò)管理規(guī)范公共管理信息效力CMIS：支持管理進程和管理代理之間的通訊要求公共管理信息協(xié)議CMIP：提供管理信息傳輸效力的運用層協(xié)議 IETF的網(wǎng)絡(luò)管理規(guī)范 簡單網(wǎng)絡(luò)管理協(xié)議SNMPv1/v2/v3電信網(wǎng)絡(luò)管理規(guī)范網(wǎng)絡(luò)管理的體系構(gòu)造網(wǎng)絡(luò)管理者網(wǎng)管代理模型網(wǎng)絡(luò)管理的五大功能國際規(guī)范化組織在ISO/IEC7498- 4文檔中定義了網(wǎng)絡(luò)管理的五大功能：缺點管理計費管理配置管理性能管理平安管理 缺點管理缺點管理的主要義務(wù)

43、是發(fā)現(xiàn)和排除網(wǎng)絡(luò)缺點 。典型功能包括：1維護并檢查錯誤日志2接受錯誤檢測報告并做出呼應(yīng)3跟蹤、識別錯誤4執(zhí)行診斷測試5糾正錯誤Fault Management缺點管理的普通步驟1發(fā)現(xiàn)網(wǎng)絡(luò)缺點；2查找、分析和分別缺點緣由；3如有能夠，自動排除缺點，或者給管理者提供排除缺點的協(xié)助。缺點管理系統(tǒng)功能組成缺點監(jiān)測缺點報警缺點信息過濾及關(guān)聯(lián)檢索、分析缺點信息排錯支持工具缺點管理配置 配置管理配置管理主要用于配置網(wǎng)絡(luò)、優(yōu)化網(wǎng)絡(luò)，包括區(qū)分、定義、控制和監(jiān)視詳細網(wǎng)絡(luò)對象的相關(guān)措施。配置管理包括：1設(shè)置開放系統(tǒng)中有關(guān)路由操作的參數(shù)2被管對象和被管對象組名字的管理3初始化或封鎖被管對象4根據(jù)要求搜集系統(tǒng)當前形狀的

44、有關(guān)信息5獲取系統(tǒng)重要變化的信息6更改系統(tǒng)的配置Configuration Management網(wǎng)絡(luò)配置信息網(wǎng)絡(luò)設(shè)備的拓撲關(guān)系存在性和聯(lián)接關(guān)系網(wǎng)絡(luò)設(shè)備的域名、IP地址設(shè)備標識，尋址信息網(wǎng)絡(luò)設(shè)備的運轉(zhuǎn)特性運轉(zhuǎn)參數(shù)設(shè)備的備份操作條件能否有備份、備份啟用條件設(shè)備的配置更改條件配置管理子系統(tǒng)總體構(gòu)造 性能管理性能管理的目的是維護網(wǎng)絡(luò)效力質(zhì)量QoS和網(wǎng)絡(luò)運營效率。典型功能包括：1搜集統(tǒng)計信息；2維護并檢查系統(tǒng)形狀日志；3確定自然和人工情況下系統(tǒng)的性能4改動系統(tǒng)操作方式以進展系統(tǒng)性能管理的操作Performance Management性能管理的任務(wù)搜集網(wǎng)絡(luò)管理者感興趣的那些變量的性能數(shù)據(jù)；分析這些數(shù)據(jù)，

45、以判別能否處于正?；€程度并產(chǎn)生相應(yīng)的報告；為每個重要的變量確定一個適宜的性能閾值，超越該閾值就意味著出現(xiàn)了應(yīng)該留意的網(wǎng)絡(luò)缺點；性能管理衡量和呈現(xiàn)網(wǎng)絡(luò)特性的各個方面，使網(wǎng)絡(luò)性能維持在一個可以被接受的程度上。性能管理子系統(tǒng)總體構(gòu)造 平安管理網(wǎng)絡(luò)平安管理應(yīng)包括對授權(quán)機制、訪問控制、加密和加密關(guān)鍵字的管理，另外還要維護和檢查平安日志。詳細包括以下3項內(nèi)容：1創(chuàng)建、刪除、控制平安效力和機制；2分布與平安相關(guān)的信息；3報告與平安相關(guān)的事件。Security Management平安管理的普經(jīng)過程確定要維護的敏感信息找出網(wǎng)絡(luò)訪問點對有關(guān)設(shè)備和主機進展相應(yīng)的配置，維護訪問點；對涉及網(wǎng)絡(luò)平安的訪問點進展定期檢

46、查，維護網(wǎng)絡(luò)平安性維護訪問點平安的技術(shù)數(shù)據(jù)加密技術(shù)包過濾技術(shù)主機認證用戶認證密鑰認證 計費管理計費管理包括以下幾個主要功能：1計算網(wǎng)絡(luò)建立及運營本錢，主要本錢包括網(wǎng)絡(luò)設(shè)備器材本錢、網(wǎng)絡(luò)效力本錢、人工費用等2統(tǒng)計網(wǎng)絡(luò)及其所包含的資源的利用率。為確定各種業(yè)務(wù)在不同時間段的計費規(guī)范提供根據(jù)3聯(lián)機搜集計費數(shù)據(jù)。這是向用戶收取網(wǎng)絡(luò)效力費用的根據(jù)4計算用戶應(yīng)支付的網(wǎng)絡(luò)效力費用5賬單管理。保管收費賬單及必要的原始數(shù)據(jù)，以備用戶查詢和置疑Accounting Management網(wǎng)絡(luò)管理技術(shù)的開展趨勢網(wǎng)絡(luò)管理正在向智能化、綜合化、規(guī)范化的方向開展。WBMWebBased Management是網(wǎng)絡(luò)開展的產(chǎn)物，是基于Web的網(wǎng)絡(luò)管理方式：1基于代理的處理方案2嵌入式處理方案 智能化網(wǎng)絡(luò)管理：1基于專家系統(tǒng)的網(wǎng)絡(luò)管理2基于智能agent的網(wǎng)絡(luò)管理3基于計算智能的寬帶網(wǎng)絡(luò)管理課程議題黑