第7章 網(wǎng)絡(luò)安全

21世紀高等院校計算機專業(yè)規(guī)劃教材計算機網(wǎng)絡(luò)第7章網(wǎng)絡(luò)安全本章學(xué)習(xí)目標了解網(wǎng)絡(luò)面臨的安全威脅了解常用的加密算法理解公開密鑰密碼體制的加/解密過程掌握數(shù)字簽名和數(shù)據(jù)鑒別的基本原理了解防火墻和入侵檢測技術(shù)了解目前的網(wǎng)絡(luò)安全協(xié)議7.1網(wǎng)絡(luò)安全概述

由于計算機網(wǎng)絡(luò)所具有的開放性、互連性等特征，致使網(wǎng)絡(luò)容易受到各種攻擊和破壞，無論是在局域網(wǎng)還是廣域網(wǎng)中，都存在著自然的和人為的等諸多因素形成的潛在安全威脅，計算機網(wǎng)絡(luò)的安全問題日趨嚴重

當資源共享廣泛用于政治、軍事、經(jīng)濟以及科學(xué)等各個領(lǐng)域，網(wǎng)絡(luò)的用戶來自社會各個階層與部門時，大量在網(wǎng)絡(luò)中存儲和傳輸?shù)臄?shù)據(jù)就需要保護

針對各種不同的安全威脅，必須全方位地加強計算機網(wǎng)絡(luò)安全措施，以確保網(wǎng)絡(luò)信息的保密性、完整性和有效性網(wǎng)絡(luò)的脆弱性和面臨的安全威脅網(wǎng)絡(luò)的脆弱性安全的模糊性網(wǎng)絡(luò)的開放性產(chǎn)品的壟斷性技術(shù)的公開性人類的天性網(wǎng)絡(luò)的安全威脅無意產(chǎn)生的威脅人為惡意攻擊網(wǎng)絡(luò)系統(tǒng)漏洞和“后門”網(wǎng)絡(luò)安全體系結(jié)構(gòu)網(wǎng)絡(luò)安全服務(wù)定義了網(wǎng)絡(luò)各層可以提供的安全功能主要包括：數(shù)據(jù)保密性、數(shù)據(jù)完整性、鑒別、訪問控制、無否認網(wǎng)絡(luò)安全機制用于定義網(wǎng)絡(luò)安全服務(wù)的實現(xiàn)方法主要包括：數(shù)據(jù)加密、數(shù)字簽名、訪問控制、數(shù)據(jù)完整性、鑒別交換、流量填充、路由控制、公證網(wǎng)絡(luò)安全管理保證網(wǎng)絡(luò)系統(tǒng)的可用性目標分為：了解網(wǎng)絡(luò)和用戶的行為、進行安全性評估、確保安全管理政策的實施7.2數(shù)據(jù)加密7.2數(shù)據(jù)加密密碼體制分類根據(jù)密碼算法所使用的加密密鑰和解密密鑰是否相同，可將密碼體制分成對稱密碼體制和非對稱密碼體制

根據(jù)密碼算法對明文信息的加密方式進行分類，密碼體制可分為序列密碼體制和分組密碼體制

根據(jù)明文、密鑰與密文間的確定關(guān)系，密碼體制可分為確定型密碼體制和概率密碼體制

根據(jù)加密、解密過程是否可逆，密碼體制分為單向函數(shù)密碼體制和雙向函數(shù)密碼體制

7.2數(shù)據(jù)加密加密的基本方法替代密碼基本思想是改變明文內(nèi)容的表示形式，但內(nèi)容元素之間的排列次序保持不變愷撒密碼、同義替代密碼、密本式或辭典式密碼、插入式密碼、連鎖替代密碼置換密碼基本思想是改變明文內(nèi)容元素的排列次序，但保持內(nèi)容的表現(xiàn)形式不變7.2數(shù)據(jù)加密典型加密算法數(shù)據(jù)加密標準DES設(shè)計思想是：硬件實現(xiàn)高效而軟件實現(xiàn)效率低分組密碼體制將數(shù)據(jù)分為64比特的數(shù)據(jù)塊進行加密得到等長的密文密鑰長度也是64比特加解密鑰相同，屬于雙向變換對稱密碼體制典型加密算法國際數(shù)據(jù)加密算法IDEA加密過程為：將明文劃分為64比特的數(shù)據(jù)分組，經(jīng)過8次迭代和一次變換，輸出64比特的密文7.2數(shù)據(jù)加密7.2數(shù)據(jù)加密RSA公開密鑰密碼體制

公開密鑰密碼體制是一種非對稱密碼體制，其加密密鑰與解密密鑰不相同，而且由已知加密密鑰推導(dǎo)出解密密鑰在計算上是不可行的

基本原理：根據(jù)數(shù)論，尋求兩個大素數(shù)比較簡單，而將它們的乘積分解成兩個質(zhì)因子則是計算不可行的

密鑰產(chǎn)生過程發(fā)送方接收方加密算法E解密算法D密鑰對產(chǎn)生源密文Y＝EPK(X)解密密鑰SK加密密鑰PK明文X明文X7.2數(shù)據(jù)加密基于哈希函數(shù)的加密機制通常，單向哈希函數(shù)應(yīng)具有如下特點：

哈希函數(shù)能夠接受任意大小的數(shù)據(jù)塊作為輸入。

哈希函數(shù)能夠產(chǎn)生一個固定長度的輸出。

給定消息M，計算H(M)應(yīng)當是很容易的，不論硬件或軟件實現(xiàn)都要比加密的代價小。

對于任何給定的代碼m，要求找出x使得H(x)=m是計算上不可行的。

對于任何給定的數(shù)據(jù)塊x，要求找出y使得y≠x

但H(y)=H(x)是計算上不可行的。

找出任何一對(x,y)使得H(x)=H(y)是計算上不可行的。常用的單向哈希算法有MD5和SHA1。

簽名的目的是使報文的接收方能夠?qū)牡谌咦C明其報文內(nèi)容是真實的，而且是由指定的發(fā)送方發(fā)出的，而且，發(fā)送方事后不能根據(jù)自己的利益來否認報文的內(nèi)容，接收方也不能根據(jù)自己的利益來偽造報文的內(nèi)容

通常，數(shù)字簽名利用數(shù)據(jù)加密機制來實現(xiàn)利用公開密鑰算法實現(xiàn)數(shù)字簽名如圖具有保密性的數(shù)字簽名數(shù)字簽名技術(shù)相同點RSA簽名和RSA加密的異同點都使用一對密鑰：公鑰和私鑰不同點RSA加密：用公鑰加密，用私鑰解密RSA簽名：用私鑰簽名，用公鑰驗證數(shù)據(jù)鑒別數(shù)據(jù)鑒別是指在計算機網(wǎng)絡(luò)中，通信雙方對所接收到的數(shù)據(jù)信息進行驗證，以保證數(shù)據(jù)信息的真實性的過程。

數(shù)據(jù)內(nèi)容的鑒別報文鑒別碼單向散列函數(shù)

數(shù)據(jù)源的鑒別共享數(shù)據(jù)加密密鑰通信字網(wǎng)絡(luò)地址

數(shù)據(jù)順序的鑒別用于保證接收方所接收的報文順序同發(fā)送方發(fā)出的順序是一致的

7.3訪問控制

訪問控制是一種保護資源的合法使用者能夠正確訪問資源，同時杜絕非授權(quán)用戶對資源的非法訪問和破壞。

訪問控制實質(zhì)上是對資源使用的限制

系統(tǒng)訪問控制主要解決用戶身份認證的問題

口令驗證是目前應(yīng)用最為廣泛的身份鑒別機制口令的攻擊：脫機方式和聯(lián)機方式對口令的管理包括口令的保存、傳送和更換7.3訪問控制資源訪問控制用來解決用戶訪問資源的權(quán)限管理問題

兩種不同類型的資源訪問控制自主訪問控制強制訪問控制授權(quán)控制機制的表示與實現(xiàn)訪問控制表容量控制表授權(quán)關(guān)系訪問控制策略自主訪問控制策略強制訪問控制策略基于角色的訪問控制策略7.4網(wǎng)絡(luò)防火墻

網(wǎng)絡(luò)防火墻是一種由軟硬件構(gòu)成的、用于在網(wǎng)絡(luò)間實施訪問控制的特殊系統(tǒng)

引入防火墻的主要目的是為了在不可靠的互連網(wǎng)絡(luò)中建立一個可靠的子網(wǎng)

防火墻可以提供兩個功能：阻止和允許

防火墻類別7.4網(wǎng)絡(luò)防火墻防火墻的使用(防火墻的體系結(jié)構(gòu))路由器過濾方式防火墻雙穴網(wǎng)關(guān)方式防火墻主機過濾方式防火墻子網(wǎng)過濾方式防火墻

7.5入侵檢測系統(tǒng)

入侵檢測是指對計算機和網(wǎng)絡(luò)資源上的惡意使用行為進行識別和相應(yīng)處理的過程，它不僅可以檢測到來自外部的入侵行為，同時也可以監(jiān)控內(nèi)部用戶的非授權(quán)行為，是動態(tài)安全防護的核心技術(shù)之一。

入侵檢測系統(tǒng)（IntrusionDetectionSystem，IDS）是完成入侵檢測功能的獨立系統(tǒng)，是一個軟、硬件的組合體，能夠檢測未授權(quán)對象（人或程序）針對系統(tǒng)的入侵企圖或行為，同時監(jiān)控授權(quán)對象對系統(tǒng)資源的非法操作。入侵檢測系統(tǒng)的作用①監(jiān)測并分析用戶和系統(tǒng)的活動。②核查系統(tǒng)配置和漏洞。③評估系統(tǒng)關(guān)鍵資源和數(shù)據(jù)文件的完整性。④識別已知的攻擊行為。⑤統(tǒng)計分析異常行為。⑥管理操作系統(tǒng)日志，識別違反安全策略的用戶活動。入侵檢測系統(tǒng)的組成

信息收集收集主機、網(wǎng)絡(luò)的數(shù)據(jù)及用戶活動的狀態(tài)和行為，并且需要在不同主機和網(wǎng)絡(luò)上進行主要有分布式數(shù)據(jù)收集和集中式數(shù)據(jù)收集，以及基于主機的數(shù)據(jù)收集和基于網(wǎng)絡(luò)的數(shù)據(jù)收集

信息分析對收集到的信息進行分析常用的方法有模式匹配、統(tǒng)計分析、完整性分析

響應(yīng)處理在信息分析基礎(chǔ)上綜合安全策略和檢測結(jié)果對發(fā)現(xiàn)的入侵行為做出響應(yīng)響應(yīng)動作包括記錄、告警、攔截、阻斷和反追蹤等入侵檢測系統(tǒng)的分類根據(jù)數(shù)據(jù)來源

基于主機的入侵檢測系統(tǒng)

基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)根據(jù)采用的分析技術(shù)

基于異常檢測的入侵檢測系統(tǒng)

基于誤用檢測的入侵檢測系統(tǒng)入侵檢測響應(yīng)機制①主動響應(yīng)：是指在發(fā)現(xiàn)異常事件時，主動采取某些手段阻塞攻擊的進程或者改變受攻擊的環(huán)境配置，如阻斷網(wǎng)絡(luò)的連接、增加安全日志、殺死可疑進程等，從而達到阻止入侵危害的發(fā)生或盡可能減少入侵危害的目的。響應(yīng)的手段有對入侵采取反擊、修正系統(tǒng)環(huán)境、設(shè)置網(wǎng)絡(luò)陷阱等。②被動響應(yīng)：是指入侵檢測系統(tǒng)僅僅報告和記錄所檢測到的異常、可疑活動的信息，依靠用戶去采取下一步行動的響應(yīng)機制。被動響應(yīng)的手段有告警和通知、與網(wǎng)絡(luò)管理工具聯(lián)動、存檔和報告等。

無論是主動響應(yīng)還是被動響應(yīng)，對于完成入侵檢測任務(wù)都是必需的，關(guān)鍵是根據(jù)用戶部署入侵檢測系統(tǒng)的目的和實際網(wǎng)絡(luò)運行環(huán)境來選擇適當?shù)捻憫?yīng)手段。7.6因特網(wǎng)安全協(xié)議IETF的各個工作小組從不同角度解決因特網(wǎng)安全問題，形成一些RFC和草案

IPSec針對當前IP協(xié)議的脆弱性；設(shè)計目標是