ch10-第10章網(wǎng)絡(luò)管理安全

第10章網(wǎng)絡(luò)管理與網(wǎng)絡(luò)安全本章內(nèi)容網(wǎng)絡(luò)管理網(wǎng)絡(luò)安全*密碼學(xué)防火墻代理服務(wù)網(wǎng)絡(luò)病毒的防治１０.1網(wǎng)絡(luò)管理為什么提出網(wǎng)絡(luò)管理？網(wǎng)絡(luò)的快速增長網(wǎng)絡(luò)系統(tǒng)的異構(gòu)性和復(fù)雜性什么是網(wǎng)絡(luò)管理網(wǎng)絡(luò)管理系統(tǒng)是一個軟硬件結(jié)合以軟件為主的分布式網(wǎng)絡(luò)應(yīng)用系統(tǒng)，其目的是管理網(wǎng)絡(luò)，使網(wǎng)絡(luò)高效正常運(yùn)行。網(wǎng)絡(luò)管理系統(tǒng)標(biāo)準(zhǔn)ISO公共管理信息協(xié)議（CommonManagementInformationProtocol,CMIP)公共管理信息服務(wù)（CommonManagementInformationService)因特網(wǎng)簡單網(wǎng)絡(luò)管理協(xié)議（SimpleNetworkManagementProtocol,SNMP)20世紀(jì)80年代初，網(wǎng)絡(luò)得到巨大的發(fā)展，當(dāng)各公司認(rèn)識到網(wǎng)絡(luò)給他們帶來的好處時，他們在引進(jìn)新的網(wǎng)絡(luò)技術(shù)和網(wǎng)絡(luò)產(chǎn)品的同時也不斷擴(kuò)充現(xiàn)有的網(wǎng)絡(luò)。到80年代中期，人們開始感受到這種無限制擴(kuò)充網(wǎng)絡(luò)所帶來的日復(fù)一日的網(wǎng)絡(luò)操作管理和網(wǎng)絡(luò)擴(kuò)充的規(guī)劃，尤其是對于每個新的網(wǎng)絡(luò)技術(shù)，均需要有自己的專家加以操作和管理。在80年代初，這些網(wǎng)絡(luò)增長的戰(zhàn)略規(guī)劃已是件十分困難的事。一個較大的網(wǎng)絡(luò)通?？缭綇V域網(wǎng)，連接不同類型的局域網(wǎng)，如令牌網(wǎng)，以太網(wǎng)、FDDI網(wǎng)等。網(wǎng)絡(luò)除計(jì)算機(jī)設(shè)備外還有大量網(wǎng)絡(luò)互連設(shè)備，如各類集線器、網(wǎng)橋、路由器、交換設(shè)備等。對于這種復(fù)雜分布式環(huán)境中的各類資源進(jìn)行”集中”管理就顯得十分必要，這種需求最終導(dǎo)致了網(wǎng)絡(luò)管理系統(tǒng)的誕生網(wǎng)絡(luò)管理體系結(jié)構(gòu)大部分網(wǎng)絡(luò)管理體系結(jié)構(gòu)具有同樣的基本結(jié)構(gòu)和關(guān)系集，由端接站（即被管設(shè)備，如計(jì)算機(jī)和其他網(wǎng)絡(luò)設(shè)備）上嵌入的代理軟件來搜集網(wǎng)絡(luò)的通信信息和網(wǎng)絡(luò)設(shè)備的統(tǒng)計(jì)數(shù)據(jù)，并把它們存入管理信息庫中。如果某個統(tǒng)計(jì)數(shù)據(jù)超過規(guī)定的閾值則向網(wǎng)管工作站上的管理實(shí)體發(fā)出告警。接收到這些告警后，管理實(shí)體將執(zhí)行一組動作，包括：①通知操作員；②寫入事件日志；③關(guān)閉系統(tǒng)；④自動恢復(fù)系統(tǒng)。除了設(shè)備上的代理軟件可以主動發(fā)出告警外，管理實(shí)體也可以向被管設(shè)備進(jìn)行輪詢，以檢查某個統(tǒng)計(jì)值。輪循可以是自動的，也可以是由用戶發(fā)起的，在被管設(shè)備中的代理負(fù)責(zé)對這些輪詢作出響應(yīng)代理（Agent）是駐留在被管設(shè)備中的軟件模塊，負(fù)責(zé)搜集被管設(shè)備的信息，將這些信息存儲到管理數(shù)據(jù)庫中，并通過網(wǎng)絡(luò)管理協(xié)議將這些信息提供給網(wǎng)絡(luò)管理系統(tǒng)（NMS）中的管理實(shí)體。ISO網(wǎng)絡(luò)管理體系ISO對網(wǎng)絡(luò)管理系統(tǒng)制定了三個標(biāo)準(zhǔn)：ISO7498-4定義了開放系統(tǒng)互聯(lián)管理的體系結(jié)構(gòu)，其中定義了系統(tǒng)管理、層管理和層操作三種不同的管理信息交換形式；ISO9596定義了公共管理信息協(xié)議（CMIP）；ISO9595定義了公共管理信息服務(wù)（CMIS），這是一個應(yīng)用層管理程序。管理功能在OSI管理體系結(jié)構(gòu)中，定義了五個管理功能：①性能管理（PerformanceManagement）；②配置管理（ConfigurationManagement）；③記賬（計(jì)費(fèi)）管理（AccountingManagement）；④故障管理（FaultManagement）；⑤安全管理（SecurityManagement）。1.性能管理

性能管理的目標(biāo)是衡量和呈現(xiàn)網(wǎng)絡(luò)性能的各個方面，使人們能在一個可接受的水平上維護(hù)網(wǎng)絡(luò)的性能。對一系列的性能變量實(shí)施連續(xù)監(jiān)控來實(shí)現(xiàn)的。性能變量的例子有網(wǎng)絡(luò)吞吐量、用戶響應(yīng)時間和線路利用率。性能管理包含以下幾個步驟：①收集網(wǎng)絡(luò)管理者感興趣的那些變量的數(shù)據(jù)；②分析這些數(shù)據(jù)，以判斷是否處于正常水平；③為每個重要的變量決定一個合適的性能閥值，超過該限值就意味著出現(xiàn)了值得注意的網(wǎng)絡(luò)故障，管理實(shí)體不斷地監(jiān)視性能變量，當(dāng)某個性能閥值被超過時，就產(chǎn)生一個報警，并將該報警發(fā)送到網(wǎng)絡(luò)管理系統(tǒng)。2.配置管理

配置管理的目標(biāo)是監(jiān)視網(wǎng)絡(luò)和系統(tǒng)配置信息，以便跟蹤和管理不同的軟、硬件單元的配置及其變化情況。配置信息對于維持一個穩(wěn)定運(yùn)行的網(wǎng)絡(luò)是十分重要的。每個網(wǎng)絡(luò)設(shè)備均有一系列不同版本的信息，例如，一臺工程工作站可能的配置如下有那些？為了便于訪問，配置管理子系統(tǒng)將上述信息存儲在數(shù)據(jù)庫中，當(dāng)發(fā)生故障時，可從該數(shù)據(jù)庫中查詢到解決故障所需的相關(guān)信息。①Windows操作系統(tǒng)，版本2003SP1；②以太網(wǎng)接口，版本5.4；③TCP/IP軟件，版本2.0；④Netware軟件，版本4.1；⑤串行通信控制器，版本1.1；⑥X.25軟件，版本1.0；⑦SNMP軟件，版本2.0。3.計(jì)費(fèi)管理計(jì)費(fèi)管理的目標(biāo)是衡量網(wǎng)絡(luò)的利用率，以便使一個或一組網(wǎng)絡(luò)用戶可以更有規(guī)則地利用網(wǎng)絡(luò)資源，這樣的規(guī)則使網(wǎng)絡(luò)故障率降低到最小，為什么？也可使所有用戶對網(wǎng)絡(luò)的訪問更加公平。為了達(dá)到計(jì)費(fèi)管理的目的，必須通過性能管理測量出所有重要的網(wǎng)絡(luò)資源的利用率，對其結(jié)果的分析就可以產(chǎn)生計(jì)費(fèi)信息和以及可用于資源利用率優(yōu)化的信息。因?yàn)榫W(wǎng)絡(luò)資源可以根據(jù)其能力大小而合理地分配，4.故障管理

故障管理的目標(biāo)是自動地檢測、記錄網(wǎng)絡(luò)故障并通知給用戶。故障管理是所有網(wǎng)絡(luò)管理的實(shí)施中首先被考慮的管理要素。為什么？故障管理包含幾個步驟：搜集故障信息判斷故障癥狀；修復(fù)、隔離該故障；記錄故障檢測信息及其修復(fù)結(jié)果。由于故障可以導(dǎo)致系統(tǒng)的癱瘓或不可接受的網(wǎng)絡(luò)降級。5.安全管理安全管理的目的是控制對網(wǎng)絡(luò)資源的安全訪問，以保證網(wǎng)絡(luò)不被侵害（有意識的或無意識的），并保證重要的信息不被未授權(quán)的用戶訪問。例如，管理子系統(tǒng)可以監(jiān)視用戶對網(wǎng)絡(luò)資源的登錄，而對那些具有不正確訪問代碼的用戶加以拒絕。安全管理子系統(tǒng)將網(wǎng)絡(luò)資源分為授權(quán)和未授權(quán)兩大類。對于某些用戶，不允許訪問所有的網(wǎng)絡(luò)資源（這樣的用戶通常是公司之外的），即使對一些公司內(nèi)部用戶，對某些敏感信息的訪問也應(yīng)該受到限制。例如，人事部門以外的用戶對人事資源的文件的訪問應(yīng)是限制級的。安全管理子系統(tǒng)執(zhí)行以下幾種功能：①標(biāo)識重要的網(wǎng)絡(luò)資源（包括系統(tǒng)、文件和其他實(shí)體）；②確定重要的網(wǎng)絡(luò)資源和用戶集間的映射關(guān)系；③監(jiān)視對重要網(wǎng)絡(luò)資源的訪問；④記錄對重要網(wǎng)絡(luò)資源的非法訪問。簡單網(wǎng)絡(luò)管理協(xié)議SNMP（SimpleNetworkManagementProtocol，簡單網(wǎng)絡(luò)管理協(xié)議）最初是為符合TCP/IP的網(wǎng)絡(luò)管理而開發(fā)的一個應(yīng)用層的協(xié)議。主導(dǎo)思想是盡可能簡潔、清晰，因此比OSI網(wǎng)絡(luò)管理體系要簡單的多。SNMP建立在TCP/IP傳輸層的UDP協(xié)議之上，提供的是不可靠的無連接服務(wù)，以保證信息的快速傳遞和減少對帶寬的消耗。SNMP協(xié)議到目前為止已有三個版本：SNMP1.0版本是初始版本；SNMP2.0版本增加了安全性方面的功能，并在操作性和管理體系結(jié)構(gòu)方面作了較大改進(jìn)。目前最新的版本是SNMP3.0。SNMP管理模型SNMP管理模型可以分成三大部分：SNMP網(wǎng)絡(luò)管理系統(tǒng)（NMS）SNMP被管理系統(tǒng)SNMP管理協(xié)議網(wǎng)絡(luò)管理系統(tǒng)是LAN上安裝有網(wǎng)管軟件的一臺工作站，該工作站稱為網(wǎng)管工作站。網(wǎng)管軟件中的管理者駐留在網(wǎng)管工作站上，經(jīng)過各類操作原語（Get,Set,Trap等）向上與網(wǎng)管應(yīng)用軟件通信，向下經(jīng)UDP/IP及物理網(wǎng)與被管理系統(tǒng)進(jìn)行通信。網(wǎng)管應(yīng)用程序?yàn)橛脩簦ňW(wǎng)絡(luò)管理員）提供良好的人機(jī)界面，通常提供的是基于標(biāo)準(zhǔn)的圖形用戶界面（GUI）。網(wǎng)絡(luò)管理員可以通過GUI來監(jiān)控網(wǎng)絡(luò)活動，進(jìn)行配置、故障、性能、計(jì)費(fèi)等管理。被管理系統(tǒng)被管理系統(tǒng)是被管理的所有網(wǎng)絡(luò)上的設(shè)備，包括主機(jī)、集線器、交換器、網(wǎng)橋、通信服務(wù)器、路由器等，它們廣泛分布在不同的地理位置。在各個可管理的網(wǎng)絡(luò)設(shè)備中都有一個特殊的軟件，稱為Agent（代理）。Agent能監(jiān)測所在網(wǎng)絡(luò)設(shè)備及其周圍的局部網(wǎng)絡(luò)的工作狀況，收集網(wǎng)絡(luò)運(yùn)行的有關(guān)信息。Agent響應(yīng)網(wǎng)絡(luò)管理系統(tǒng)（NMS）中來自管理者（Manager）的定期輪詢、接受管理者設(shè)置某個變量的指令以及在某些緊急事件發(fā)生時（例如設(shè)定的閾值超出時）主動向NMS發(fā)起Trap（陷阱）報警。MIB（管理信息庫）通常位于相應(yīng)的Agent上，所有相關(guān)的被管對象的網(wǎng)絡(luò)信息都放在MIB上。SNMP網(wǎng)管協(xié)議網(wǎng)絡(luò)管理協(xié)議規(guī)定在管理者和代理之間使用協(xié)議數(shù)據(jù)單元（PDU）進(jìn)行通信以實(shí)現(xiàn)被管設(shè)備與NMS間的協(xié)同管理操作。在SNMP1.0版本中共定義了五種PDU?；谝蛱鼐W(wǎng)標(biāo)準(zhǔn)的網(wǎng)絡(luò)管理結(jié)構(gòu)假定了一種遠(yuǎn)程檢測的范例，在該范例中，被管設(shè)備應(yīng)NMS要求，維護(hù)著一系列變量和報告。例如，一個被管設(shè)備可能跟蹤以下內(nèi)容：虛電路的狀態(tài)和數(shù)量、接收到特定類型的錯誤信息的數(shù)量、出入設(shè)備的報文個數(shù)和字節(jié)數(shù)、最大的輸出隊(duì)列長度（對于路由器和其他網(wǎng)絡(luò)互聯(lián)設(shè)備）、發(fā)送和接收的廣播信息以及活動的和不活動的網(wǎng)絡(luò)接口等等。SNMP協(xié)議操作命令類型

如果NMS想要控制一個被管理設(shè)備，它可以向被管理設(shè)備發(fā)出一個信息，并通過改變被管理設(shè)備的一個或多個變量的值來實(shí)現(xiàn)對被管設(shè)備的控制。被管理設(shè)備發(fā)起或響應(yīng)四種類型的命令:讀：NMS利用該命令來監(jiān)視被管理設(shè)備，NMS從被管設(shè)備中讀取變量。寫：NMS利用該命令來控制被管理設(shè)備，NMS將變量寫入被管設(shè)備中。移動操作：NMS利用該命令判定被管理設(shè)備支持哪些變量，并將信息收集到變量表中。陷阱（trap）：被管理設(shè)備用該命令來向NMS異步報告某種事件的發(fā)生。管理信息庫MIB所有的被管理對象包含在管理信息庫（MIB）中，MIB實(shí)際上就是一個有關(guān)對象的數(shù)據(jù)庫。MIB可描繪成一棵樹，其樹葉為不同的數(shù)據(jù)項(xiàng)。在該樹中，目標(biāo)標(biāo)識符惟一標(biāo)識了MIB的目標(biāo)。對象標(biāo)識符與電話號碼的編制方法類似，它們均是分級構(gòu)成的，不同的部分由不同的機(jī)構(gòu)來分配。對于MIB對象標(biāo)識也是這樣，頂級的MIB對象標(biāo)識符由國際標(biāo)準(zhǔn)化組織/國際電工聯(lián)盟來分配，而低級的對象標(biāo)識符則由相關(guān)的機(jī)構(gòu)分配。幾個MIB樹的主要分支如圖10.3所示。MIB樹可根據(jù)經(jīng)驗(yàn)和專用分枝進(jìn)行擴(kuò)展。例如，對于設(shè)備制造廠而言，他們可以為自己的產(chǎn)品定義專用的分枝，而那些未被標(biāo)準(zhǔn)化的MIB則通常處于經(jīng)驗(yàn)分枝上。每個網(wǎng)絡(luò)代理包含有一個MIB，代理通過MIB來保存所在網(wǎng)絡(luò)設(shè)備的各種配置信息和狀態(tài)信息。代理接受管理者的請求并予以響應(yīng)，讀取或修改MIB中相應(yīng)的變量值；代理也會監(jiān)測本地網(wǎng)絡(luò)設(shè)置或網(wǎng)絡(luò)狀態(tài)，在事件發(fā)生時發(fā)出Trap報文。NMS采用輪詢方法管理整個網(wǎng)絡(luò)上的各個網(wǎng)絡(luò)設(shè)備（主機(jī)、路由器、橋等）。在訪問某個網(wǎng)絡(luò)設(shè)備時，管理者經(jīng)該設(shè)備上的Agent訪問相應(yīng)的MIB可獲取該設(shè)備所有類型的變量值，即該設(shè)備的所有信息內(nèi)容。NMS通過輪詢訪問全部的網(wǎng)絡(luò)設(shè)備獲取所有MIB的內(nèi)容，對全部內(nèi)容進(jìn)行統(tǒng)計(jì)、綜合智能分析，從而實(shí)現(xiàn)對全網(wǎng)的基本管理。圖10.3MIB樹網(wǎng)絡(luò)管理平臺

引出了開放的統(tǒng)一的網(wǎng)絡(luò)管理平臺的原因網(wǎng)絡(luò)管理平臺向上為各類專用網(wǎng)管應(yīng)用程序提供了統(tǒng)一的標(biāo)準(zhǔn)應(yīng)用程序接口（API），各廠商的專用網(wǎng)管應(yīng)用程序經(jīng)API及平臺可直接管理各自的設(shè)備，而不同網(wǎng)管應(yīng)用程序可利用網(wǎng)管平臺的資源橫向得到集成和統(tǒng)一，并獲得更高層次的統(tǒng)一管理方案。此外，平臺廠商和用戶亦可用API接口擴(kuò)展網(wǎng)管功能。應(yīng)用1應(yīng)用2應(yīng)用3平臺廠商提供的網(wǎng)管軟件用戶開發(fā)的網(wǎng)管應(yīng)用網(wǎng)絡(luò)管理平臺網(wǎng)絡(luò)管理平臺本身是一個支持SNMP的提供網(wǎng)管基本服務(wù)的軟件，目前比較著名的平臺有：HP的OpenView，Sun的SunNetManager，IBM的NetView，3COM的Transcend，Novell的NMS和Cisco的CiscoWorks2000等。提供的圖形用戶界面（GUI）?；赨nix的環(huán)境基于Windows的環(huán)境比較？網(wǎng)管平臺功能可以通過對SNMP各代理的輪詢以及接受代理發(fā)來的事件報文創(chuàng)建和維護(hù)各種類型的數(shù)據(jù)庫。其內(nèi)容可包括網(wǎng)絡(luò)設(shè)備的設(shè)置、狀態(tài)、對象標(biāo)志符、對象名稱、IP地址、網(wǎng)絡(luò)拓?fù)錁?gòu)形圖等，還包括注冊事件在內(nèi)的各種事件、網(wǎng)絡(luò)通信狀態(tài)及歷史網(wǎng)絡(luò)通信量等記錄。還能利用網(wǎng)管平臺具有的圖形工具為用戶界面顯示網(wǎng)絡(luò)撲拓構(gòu)形圖。網(wǎng)管平臺對事件有過濾處理能力，對事件能以事件日志記入數(shù)據(jù)庫并經(jīng)過濾后對其中一些事件能經(jīng)API傳送給相應(yīng)的網(wǎng)絡(luò)管理應(yīng)用。網(wǎng)絡(luò)管理系統(tǒng)的各種實(shí)現(xiàn)結(jié)構(gòu)集中式網(wǎng)絡(luò)管理結(jié)構(gòu)集中式結(jié)構(gòu)的變形分布式結(jié)構(gòu)分層結(jié)構(gòu)集中式網(wǎng)絡(luò)管理結(jié)構(gòu)集中式體系結(jié)構(gòu)是最常用的一種網(wǎng)絡(luò)管理模式，它由一個單獨(dú)的管理者負(fù)責(zé)整個網(wǎng)絡(luò)的管理工作。該管理者處理與被管網(wǎng)絡(luò)單元的代理之間的通信，提供集中式的決策支持和控制，并維護(hù)管理者的管理數(shù)據(jù)庫。這種方式的主要不足是當(dāng)被管網(wǎng)絡(luò)規(guī)模擴(kuò)大或者結(jié)構(gòu)復(fù)雜性增大時自身的管理能力不能隨之進(jìn)行相應(yīng)的擴(kuò)充。但是在多數(shù)情況下首選的都是集中式控制。圖10.5

集中式網(wǎng)絡(luò)管理結(jié)構(gòu)集中式結(jié)構(gòu)的變形集中式體系結(jié)構(gòu)的一種變形是平臺方案將管理者劃分成兩部分：管理平臺和各種管理應(yīng)用程序。管理平臺作為處理管理數(shù)據(jù)的第一級，主要涉及信息收集，提供諸如監(jiān)控、流量計(jì)算等關(guān)鍵管理服務(wù)，同時向應(yīng)用程序提供數(shù)據(jù)處理報告摘要。應(yīng)用程序運(yùn)行在數(shù)據(jù)處理的第二級，提供各種系統(tǒng)管理功能、處理決策支持等比信息收集和簡單計(jì)算更高級的功能。兩部分通過公共應(yīng)用程序接口（API）進(jìn)行通信。該體系結(jié)構(gòu)具有較方便的系統(tǒng)維護(hù)性和擴(kuò)展性，并簡化了在異種主機(jī)、多廠商、多管理協(xié)議環(huán)境中綜合程序的開發(fā)工作。異構(gòu)性和協(xié)議復(fù)雜性只在平臺級處理一次，不必在每個應(yīng)用程序中考慮。擴(kuò)展能力的有限性是集中式結(jié)構(gòu)所固有的。此外，實(shí)踐證明當(dāng)應(yīng)用程序的數(shù)量增加時，平臺是一個嚴(yán)重的瓶頸。圖10.6

集中式結(jié)構(gòu)的變形分布式結(jié)構(gòu)分布式結(jié)構(gòu)與管理域（按照地域、組織和其他方式定義的域）的概念相關(guān)，并且系統(tǒng)中使用了一個以上同等級別的管理者。因?yàn)樗鼮槊總€域設(shè)置一個管理者，因此很適合于多域的大型網(wǎng)絡(luò)結(jié)構(gòu)。當(dāng)需要另一個域的管理信息時，管理者通過與同級的系統(tǒng)通信來獲取。這種結(jié)構(gòu)的主要優(yōu)點(diǎn)是擴(kuò)展性好，通過建立更多的管理域以及增加相應(yīng)數(shù)量的管理者可以滿足更高的性能要求和擴(kuò)充性。圖10.7

分布式結(jié)構(gòu)分層結(jié)構(gòu)分層結(jié)構(gòu)也應(yīng)用了在每個管理域中配置管理者的模式。每個域管理者只負(fù)責(zé)本域的管理，不關(guān)心網(wǎng)絡(luò)內(nèi)的其他域的情況。所有管理者的管理系統(tǒng)（MoM）位于更高的層次，從各域管理者獲取管理信息。與分布式結(jié)構(gòu)不同，域管理者之間并不通信。這種結(jié)構(gòu)能很容易地?cái)U(kuò)展，并且可以增加一個以上的MoM?？梢圆捎迷诟鱾€MoM之上建立MoM形成多級分層組合。在這種結(jié)構(gòu)中可以較容易地開發(fā)綜合應(yīng)用程序，從多個域（可以是異構(gòu)的）獲取管理信息。圖10.8

分層結(jié)構(gòu)基于Web技術(shù)的網(wǎng)絡(luò)管理隨著網(wǎng)絡(luò)技術(shù)的發(fā)展和網(wǎng)絡(luò)規(guī)模的日益擴(kuò)大，要求網(wǎng)絡(luò)管理系統(tǒng)更加開放、可互操作及更加靈活?；赪eb技術(shù)的網(wǎng)絡(luò)管理，可獲得在任何操作系統(tǒng)平臺上使用的簡單而有效的管理界面，因而受到普遍重視。在現(xiàn)代的很多操作系統(tǒng)中往往也內(nèi)置了一些網(wǎng)絡(luò)管理功能，如WindowsNT/2000/XP操作系統(tǒng)能夠提供一些簡單的性能、配置、故障、安全等方面的管理功能，并能支持SNMP協(xié)議。１０．２網(wǎng)絡(luò)安全

提問：什么是網(wǎng)絡(luò)安全？網(wǎng)絡(luò)安全主要解決數(shù)據(jù)保密和認(rèn)證的問題。數(shù)據(jù)保密就是采取復(fù)雜多樣的措施對數(shù)據(jù)加以保護(hù)，以防止數(shù)據(jù)被有意或無意地泄露給無關(guān)人員。認(rèn)證分為信息認(rèn)證和用戶認(rèn)證兩個方面信息認(rèn)證是指信息從發(fā)送到接收整個通路中沒有被第三者修改和偽造，用戶認(rèn)證是指用戶雙方都能證實(shí)對方是這次通信的合法用戶。通常在一個完備的保密系統(tǒng)中既要求信息認(rèn)證，也要求用戶認(rèn)證。網(wǎng)絡(luò)安全并非只是OSI-RM某一層上的事情事實(shí)上，每一層都可以采取一定的措施來防止某些類型的網(wǎng)絡(luò)入侵事件，在一定程度上保障數(shù)據(jù)的安全。在物理層上，可以在包容電纜的密封套中充入高壓的氖氣，當(dāng)網(wǎng)絡(luò)入侵者刺破密封套進(jìn)行線路竊聽時，由于氣體泄露導(dǎo)致壓力下降，從而觸發(fā)告警裝置；在鏈路層上可以進(jìn)行所謂的鏈路加密，即將每個幀編碼后再發(fā)出，當(dāng)?shù)竭_(dá)另一端時再解碼恢復(fù)出來；在網(wǎng)絡(luò)層上可以使用防火墻技術(shù)過濾一部分有嫌疑的數(shù)據(jù)報；在傳輸層上甚至整個連接都可以被加密。但所有這些措施都只能對數(shù)據(jù)保密有所幫助，而不能解決認(rèn)證的問題，認(rèn)證是需要在網(wǎng)絡(luò)計(jì)算中解決的重大問題。網(wǎng)絡(luò)安全定義網(wǎng)絡(luò)安全從其本質(zhì)上來講就是網(wǎng)絡(luò)上的信息安全。它涉及的領(lǐng)域相當(dāng)廣泛。這是因?yàn)樵谀壳暗墓猛ㄐ啪W(wǎng)絡(luò)中存在著各種各樣的安全漏洞和威脅。從廣義來說，凡是涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真實(shí)性和可控性的相關(guān)技術(shù)和理論，都是網(wǎng)絡(luò)安全所要研究的領(lǐng)域。網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。（l）運(yùn)行系統(tǒng)安全，即保證信息處理和傳輸系統(tǒng)的安全。（2）網(wǎng)絡(luò)上系統(tǒng)信息的安全。（3）網(wǎng)絡(luò)上信息傳播的安全，即信息傳播后果的安全。（4）網(wǎng)絡(luò)上信息內(nèi)容的安全，即我們討論的狹義的“信息安全”。網(wǎng)絡(luò)安全應(yīng)具備四個特征保密性，信息不泄露給非授權(quán)的用戶、實(shí)體或過程，或供其利用的特性；完整性，數(shù)據(jù)未經(jīng)授權(quán)不能進(jìn)行改變的特性，即信息在存儲或傳輸過程中保持不被修改、不被破壞和丟失的特性；可用性，可被授權(quán)實(shí)體訪問并按需求使用的特性，即當(dāng)需要時應(yīng)能存取所需的信息，網(wǎng)絡(luò)環(huán)境下拒絕服務(wù)、破壞網(wǎng)絡(luò)和有關(guān)系統(tǒng)的正常運(yùn)行等都屬于對可用性的攻擊；可控性：對信息的傳播及內(nèi)容具有控制能力。主要的網(wǎng)絡(luò)安全的威脅（1）非授權(quán)訪問（unauthorizedaccess）：一個非授權(quán)的人的入侵。（2）信息泄露（disclosureofinformation）：造成將有價值的和高度機(jī)密的信息暴露給無權(quán)訪問該信息的人的所有問題。（3）拒絕服務(wù)（denialofservice）：使得系統(tǒng)難以或不可能繼續(xù)執(zhí)行任務(wù)的所有問題。網(wǎng)絡(luò)安全的關(guān)鍵技術(shù)主機(jī)安全技術(shù)身份認(rèn)證技術(shù)訪問控制技術(shù)密碼技術(shù)防火墻技術(shù)病毒防治技術(shù)安全審計(jì)技術(shù)安全管理技術(shù)。制定安全策略涉及四方面網(wǎng)絡(luò)用戶的安全責(zé)任：該策略可以要求用戶每隔一段時間改變其口令；使用符合一定準(zhǔn)則的口令；執(zhí)行某些檢查，以了解其賬戶是否被別人訪問過等。重要的是，凡是要求用戶做到的，都應(yīng)明確地定義。系統(tǒng)管理員的安全責(zé)任：該策略可以要求在每臺主機(jī)上使用專門的安全措施、登錄標(biāo)題報文、監(jiān)測和記錄過程等，還可列出在連接網(wǎng)絡(luò)的所有主機(jī)中不能運(yùn)行的應(yīng)用程序。正確利用網(wǎng)絡(luò)資源：規(guī)定誰可以使用網(wǎng)絡(luò)資源，他們可以做什么，他們不應(yīng)該做什么等。如果用戶的單位認(rèn)為電子郵件文件和計(jì)算機(jī)活動的歷史記錄都應(yīng)受到安全監(jiān)視，就應(yīng)該非常明確地告訴用戶，這是其政策。檢測到安全問題時的對策：當(dāng)檢測到安全問題時應(yīng)該做什么？應(yīng)該通知誰？這些都是在緊急的情況下容易忽視的事情。中國國家計(jì)算機(jī)安全規(guī)范計(jì)算機(jī)的安全大致可分為三類：1）實(shí)體安全。包括機(jī)房、線路、主機(jī)等；2）網(wǎng)絡(luò)安全。包括網(wǎng)絡(luò)的暢通、準(zhǔn)確以及網(wǎng)上信息的安全；3）應(yīng)用安全。包括程序開發(fā)運(yùn)行、I/O、數(shù)據(jù)庫等的安全。網(wǎng)絡(luò)安全分類分為基本安全類、管理與記賬類、網(wǎng)絡(luò)互聯(lián)設(shè)備安全類、連接控制類似類，基本安全類包括訪問控制、授權(quán)、認(rèn)證、加密以及內(nèi)容安全。管理與記賬類安全包括安全的策略的管理、實(shí)時監(jiān)控、報警以及企業(yè)范圍內(nèi)的集中管理與記賬。網(wǎng)絡(luò)互聯(lián)設(shè)備包括路由器、通信服務(wù)器、交換機(jī)等，網(wǎng)絡(luò)互聯(lián)設(shè)備安全正是針對上述這些互聯(lián)設(shè)備而言的，它包括路由安全管理、遠(yuǎn)程訪問服務(wù)器安全管理、通信服務(wù)器安全管理以及交換機(jī)安全管理等等。連接控制類包括負(fù)載均衡、可靠性以及流量管理等。由于網(wǎng)絡(luò)安全范圍的不斷擴(kuò)大；如今的網(wǎng)絡(luò)安全不再是僅僅保護(hù)內(nèi)部資源的安全，還必須提供附加的服務(wù)，例如，用戶確認(rèn)、通過保密、甚至于安全管理傳統(tǒng)的商務(wù)交易機(jī)制，如訂貨和記賬等。威脅網(wǎng)絡(luò)安全的因素從人類的生態(tài)環(huán)境的與網(wǎng)絡(luò)的生態(tài)環(huán)境進(jìn)行類比可到這樣的概念即網(wǎng)絡(luò)安全的生態(tài)環(huán)境：網(wǎng)絡(luò)是一個復(fù)雜的生態(tài)環(huán)境。具體體現(xiàn)在：在網(wǎng)絡(luò)安全防御與攻擊的斗爭中，防御能力正受到日益增強(qiáng)的挑戰(zhàn)；網(wǎng)絡(luò)安全的產(chǎn)業(yè)正發(fā)展成為一個復(fù)雜的，由多種角色構(gòu)成的生態(tài)環(huán)境；斗爭手段的不斷升級將促進(jìn)防御技術(shù)、防御系統(tǒng)的工作模式的不斷進(jìn)化。計(jì)算機(jī)網(wǎng)絡(luò)安全受到的威脅包括“黑客”的攻擊，計(jì)算機(jī)病毒，拒絕服務(wù)攻擊（DenialofServiceAttack）等方面。認(rèn)識網(wǎng)絡(luò)安全威脅的類型及計(jì)算機(jī)系統(tǒng)的本身的弱點(diǎn)是解決網(wǎng)絡(luò)安全問題的前提。安全威脅的類型非授權(quán)訪問，這主要的是指對網(wǎng)絡(luò)設(shè)備以及信息資源進(jìn)行非正常使用或超越權(quán)限使用。假冒合法用戶，主要指利用各種假冒或欺騙的手段非法獲得合法用戶的使用權(quán)，以達(dá)到占用合法用戶資源的目的。數(shù)據(jù)完整性受破壞。干擾系統(tǒng)的正常運(yùn)行，改變系統(tǒng)正常運(yùn)行的方向，以及延時系統(tǒng)的響應(yīng)時間。病毒通信線路被竊聽。計(jì)算機(jī)系統(tǒng)的本身的弱點(diǎn)計(jì)算機(jī)系統(tǒng)的設(shè)計(jì)當(dāng)初，對信息安全考慮不周，計(jì)算機(jī)系統(tǒng)自然在安全方面存在弱點(diǎn)，主要表現(xiàn)在操作系統(tǒng)、系統(tǒng)管理，網(wǎng)絡(luò)協(xié)議，數(shù)據(jù)庫系統(tǒng)等方面?，F(xiàn)行的操作系統(tǒng)的體系結(jié)構(gòu)本身就是不安全的一種因素，尤其是操作系統(tǒng)的創(chuàng)建進(jìn)程機(jī)制，即使在網(wǎng)絡(luò)的節(jié)點(diǎn)上同樣也可以進(jìn)行遠(yuǎn)程進(jìn)程的創(chuàng)建與激活，更令人不安的是被創(chuàng)建的進(jìn)程具有可以繼續(xù)創(chuàng)建過程的權(quán)力。網(wǎng)絡(luò)操作系統(tǒng)提供的遠(yuǎn)程過程調(diào)用（RPC）服務(wù)以及它所安排的無口令入口也是黑客的通道。計(jì)算機(jī)系統(tǒng)管理的脆弱性，存在超級用戶，如果入侵者得到了超級用戶口令，整個系統(tǒng)將完全受控于入侵者。計(jì)算機(jī)可能會因硬件或軟件故障而停止運(yùn)轉(zhuǎn)，或被入侵者利用并造成損失。協(xié)議安全的脆弱性表現(xiàn)在當(dāng)前計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)都使用的TCP／IP協(xié)議以及FTP、E-mail、NFS等都包含著許多影響網(wǎng)絡(luò)安全的因素，存在許多漏洞。眾所周知的是RobertMorries在VAX機(jī)上用C語言編寫的一個Guess軟件，它根據(jù)對用戶名的搜索猜測機(jī)器密碼口令，程序自在1988年11月開始在網(wǎng)絡(luò)上傳播以后，幾乎每年都給Internet造成上億美元的損失。黑客通常采用Sock、TCP預(yù)測或使用遠(yuǎn)程訪問（RPC）進(jìn)行直接掃描等方法對防火墻進(jìn)行攻擊。網(wǎng)絡(luò)安全解決方案

一個完整的網(wǎng)絡(luò)信息安全系統(tǒng)至少包括三類措施：社會的法律政策，企業(yè)的規(guī)章制度及網(wǎng)絡(luò)安全教育等外部環(huán)境；技術(shù)方面的措施，如防火墻技術(shù)、防病毒。信息加密、身份確認(rèn)以及授權(quán)等；審計(jì)與管理措施，包括技術(shù)與社會措施。在制定網(wǎng)絡(luò)安全策略時應(yīng)當(dāng)考慮如下因素：對于內(nèi)部用戶和外部用戶分別提供哪些服務(wù)程序；初始投資額和后續(xù)投資額（新的硬件、軟件及工作人員）；方便程度和服務(wù)效率；復(fù)雜程度和安全等級的平衡以及網(wǎng)絡(luò)性能。網(wǎng)絡(luò)安全關(guān)鍵技術(shù)的主要有：信息包篩選（基于包過濾的防火墻）應(yīng)用中繼器（代理技術(shù)）加密技術(shù)為網(wǎng)絡(luò)安全系統(tǒng)提安全的常用方法

（1）用備份和鏡像技術(shù)提高數(shù)據(jù)完整性 （2）病毒檢查 （3）補(bǔ)丁程序，修補(bǔ)系統(tǒng)漏洞 （4）提高物理安全 （5）安裝因特網(wǎng)防火墻 （7）仔細(xì)閱讀日志 （8）加密 （9）執(zhí)行身份鑒別，口令守則 （10）捕捉闖入者網(wǎng)絡(luò)安全的評估是網(wǎng)絡(luò)安全的必不可少的工作，評估的內(nèi)容有：確定有關(guān)網(wǎng)絡(luò)安全的方案，對已有的網(wǎng)絡(luò)安全方案進(jìn)行審查；確定與網(wǎng)絡(luò)安全方案有關(guān)的人員，并確定對網(wǎng)絡(luò)資源可以直接存取的人或單位（部門）；確保所需要的技術(shù)能使網(wǎng)絡(luò)安全方案得以落實(shí)；評估步驟確定內(nèi)部網(wǎng)絡(luò)的類型。因?yàn)榫W(wǎng)絡(luò)類型的不同直接影響到安全方案接口的選擇；如果需要接入互聯(lián)網(wǎng)；則需要仔細(xì)檢查聯(lián)人互聯(lián)網(wǎng)后可能出現(xiàn)的影響網(wǎng)絡(luò)安全的事項(xiàng)；確定接入互聯(lián)網(wǎng)的方式，是拔號接入，還是低速的專線，是一條T1/E1中速專線，還是一條更高速的專線；確定單位內(nèi)部能提供互聯(lián)網(wǎng)訪問的用戶，并明確互聯(lián)網(wǎng)接入用戶是固定的還是移動的；是否需要加密，如果需要加密，必須說明要求的性質(zhì)，比如，是對國內(nèi)的還是對國外的，以便使安全系統(tǒng)的供應(yīng)商能夠做出正確的反應(yīng)。10.3密碼學(xué)欲加密的數(shù)據(jù)稱為明文明文經(jīng)某種加密算法的作用后轉(zhuǎn)換成密文加密算法中使用的參數(shù)稱為加密密鑰密文經(jīng)解密算法作用后形成明文輸出解密算法也有一個密鑰，它和加密密鑰可以相同也可以不同。公式C=Ek（P）表示明文P經(jīng)加密算法E和加密密鑰k作用后轉(zhuǎn)換成密文C，用公式P＝Dk（C）表示密文C經(jīng)解密算法D和解密密鑰k作用后轉(zhuǎn)換成明文P，關(guān)系：P=Dk（Ek（P））。加密方法解密方法C密文C=EK(P)加密密鑰接密密鑰圖10.9

加密模型密文在網(wǎng)絡(luò)中傳輸時會被網(wǎng)絡(luò)入侵者竊聽，但由于他們不知道解密的方法，破譯起來比較困難。網(wǎng)絡(luò)入侵者分為消極入侵者和積極入侵者兩種消極入侵者只是竊聽而已，并不對數(shù)據(jù)造成破壞；而積極入侵者會截獲密文，篡改數(shù)據(jù)甚至偽造假數(shù)據(jù)送入網(wǎng)中。破譯密碼的技術(shù)叫做密碼分析，設(shè)計(jì)密碼和破譯密碼的技術(shù)統(tǒng)稱為密碼學(xué)基本假設(shè)密碼學(xué)的一條基本原則是，必須假定破譯者知道通用的加密方法，也就是說加密算法E是公開的。為什么？這種假設(shè)是合理的也是必要的，因?yàn)槭聦?shí)上任何一種加密算法都不可能做到完全保密，其次一個加密算法在被公開之后仍能經(jīng)得起攻擊才稱得上是一個強(qiáng)壯的算法。既然加密算法是公開的，那么真正的秘密就在于密鑰了，密鑰是必須保密的，它通常是一個字符串或位串，并且可以按需要頻繁更換。注意：在這里密鑰的長度很重要，因?yàn)檎业搅私饷苊荑€也就破譯了密碼，而密鑰長度越長，密鑰空間就越大，遍歷密鑰空間所花的時間就越多，破譯的可能性就越小。基本假設(shè)：加密算法是公開的和相對穩(wěn)定的，而作為參數(shù)的密鑰是保密的，并且是易于更換的。破譯-密碼分析從破譯者的角度來看，密碼分析所面對的問題有三種主要的變型：當(dāng)僅有密文而無明文時，稱為”只有密文”問題；當(dāng)已擁有了一批相匹配的明文和密文時，稱為”已知明文”問題；當(dāng)能夠加密自己所選的一些明文時，稱為”選擇明文”問題。一個密碼系統(tǒng)僅能經(jīng)得起”只有密文”的攻擊還不能算是安全的，因?yàn)槠谱g者完全可以從一般的通信規(guī)律中猜測出一部分的明文，從而就會擁用一些匹配的明文和密文，這對破譯工作將大為有用。真正安全的密碼系統(tǒng)應(yīng)是，即使破譯者能夠加密任意數(shù)量的明文，也無法破譯密文。密碼學(xué)的歷史非常悠久，傳統(tǒng)的加密方法可以分成兩類：替代密碼和換位密碼。替代密碼-凱撒密碼替代密碼就用一組密文字母來代替一組明文字母以隱藏明文，但保持明文字母的位置不變。凱撒密碼，它用D表示a，用E表示b，用F表示c，……，用C表示z，也就是說密文字母相對明文字母左移了3位。計(jì)法約定：用小寫表示明文，用大寫表示密文這樣明文的“cipher”就變成了密文的“FLSKHU”。更一般地，可以讓密文字母相對明文字母左移k位，這樣k就成了加密和解密的密鑰。容易破譯，因?yàn)樽疃嘀恍鑷L試25次（k=1～25）即可輕松破譯密碼。替代密碼-單字母表替換使明文字母和密文字母之間的映射關(guān)系沒有規(guī)律可循，比如將26個英文字母隨意映射到其他字母上密鑰是對應(yīng)于整個字母表的26個字母串。雖然初看起來這個方法是很安全的，因?yàn)槿粢嚤樗?6！種可能的密鑰、即使計(jì)算機(jī)每微秒試一個密鑰，也需要1013年。但事實(shí)上完全不需要這么做，破譯者只要擁有很少一點(diǎn)密文，利用自然語言的統(tǒng)計(jì)特征，很容易就可破譯密碼。破譯的關(guān)鍵在于找出各種字母或字母組合出現(xiàn)的頻率比如經(jīng)統(tǒng)計(jì)發(fā)現(xiàn)，英文中字母e出現(xiàn)的頻率最高，其次是t、o、a、n、i最常見的兩字母組合依次為th、in、er、re和an，最常見的三字母組合依次為the、ing、and和ion。因此破譯者首先可將密文中出現(xiàn)頻率最高的字母定為e，頻率次高的字母定為t，……；然后猜測最常見的兩字母組、三字母組，比如密文中經(jīng)常出現(xiàn)tXe，就可以推測X很可能就是h，如經(jīng)常出現(xiàn)thYt，則Y很可能就是a等。采用這種合理的推測，破譯者就可以逐字逐句組織出一個試驗(yàn)性的明文。替代密碼-多張密碼字母表對明文中不同位置上的字母用不同的密碼字母表來加密。比如任意選擇26張不同的單字母密碼表，相互間排定一個順序，然后選擇一個簡短易記的單詞或短語作為密鑰，在加密一條明文時，將密鑰重復(fù)寫在明文的上面，則每個明文字母上的密鑰字母即指出該明文字母用哪一張單字母密碼表來加密。舉例比如要加密明文“pleaseexecutethelatestscheme”，密鑰為“computer”，則將“computer”重復(fù)寫在報文上面于是第1個明文字母p用第3張（假設(shè)a～z分別表示順序1～26）單字母密碼表加密，第2個明文字母l用第12張單字母密碼表加密，……。顯然，同一個明文字母因位置不同而在密文中可能用不同的字母來表示，從而消除了各種字母出現(xiàn)的頻率特征。破譯雖然破譯多字母密碼表要困難一些，但如果破譯者手頭有較多的密文，仍然是可以破譯的。破譯的訣竅在于猜測密鑰的長度。首先破譯者假設(shè)密鑰的長度為止，然后將密文按每行k個字母排成若干行，如果猜測正確，那么同一列的密文字母應(yīng)是用同一單字母密碼表加密的，因此同一列中各密文字母的頻率分布應(yīng)與英文相同，即最常用的字母（對應(yīng)明文字母e）頻率為13％，次常用的字母（對應(yīng)明文字母t）頻率為9％等等。如果猜測不正確，則換一個k進(jìn)行重試，一旦猜測正確，即可逐列使用破譯單字母表密碼的方法進(jìn)行破譯。換位密碼換位有時也稱為排列，它不對明文字母進(jìn)行變換，只是將明文字母的次序進(jìn)行重新排列。下圖是一種常用的換位密碼，它的密鑰必須是一個不含重復(fù)字母的單詞或短語，加密時將明文按密鑰長度截成若干行排在密鑰下面，按照密鑰字母在英文字母表中的先后順序給各列進(jìn)行編號，然后按照編好的序號按列輸出明文即成密文。破譯第一步是判斷密碼類型，檢查密文中E、T、O、A、N、I等字母的出現(xiàn)頻率，如果符合自然語言特征，則說明密文是用換位密碼寫的。第二步是猜測密鑰的長度，也即列數(shù)。在許多情況下，破譯者根據(jù)消息的上下文，常?？梢圆聹y出消息中可能包含的單詞或短語，選擇的單詞或短語最好比較長一些，使其至少可能跨越兩行，如“l(fā)atestscheme”。將選擇的單詞或短語按照假定的長度k截成幾行，由于同一列上相鄰的字母在密文中必是相鄰的，因此可以將各列上的各種字母組合記下來，在密文中搜索。比如將“l(fā)atestscheme”按照假設(shè)的長度8截成兩行，則相鄰的字母組合有l(wèi)h，ae，tm和ee。假如設(shè)想的k是正確的，則大部分設(shè)想的字母組合在密文中都會出現(xiàn)；如果搜索不到，則換一個k再試。通過尋找各種可能性，破譯者常常能夠確定密鑰的長度。第三步是確定各列的順序。如果列數(shù)比較少的話，可以逐個檢查（k（k－1））個列對，查看它們的二字母組的頻率是否符合英文統(tǒng)計(jì)特征，與特征符合最好的列對認(rèn)為其位置正確。然后從剩下的列中尋找這兩列的后繼列，如果某列和這兩列組合后，二字母組和三字母組的頻率都很好地符合英文統(tǒng)計(jì)特征，那么該列就是正確的后繼列。通過同構(gòu)法也可以找到它們的前趨列，直至最終將所有的列序全部找到。密鑰算法在密碼學(xué)中，加密和解密的密鑰有兩種截然不同的實(shí)現(xiàn)方法，這就是秘密密鑰算法和公開密鑰算法。秘密密鑰算法現(xiàn)代密碼學(xué)也使用替代密碼和換位密碼的思想，但和傳統(tǒng)密碼學(xué)的側(cè)重點(diǎn)不同。傳統(tǒng)密碼學(xué)的加密算法比較簡單，主要通過加長密鑰長度來提高保密程度；而現(xiàn)代密碼學(xué)正好相反，它使用極為復(fù)雜的加密算法，即使破譯者能夠?qū)θ我鈹?shù)量的選擇明文進(jìn)行加密，他也無法找出破譯密文的方法。電路實(shí)現(xiàn)換位密碼和替代密碼可以用簡單的電路來實(shí)現(xiàn)。圖（a）是一個實(shí)現(xiàn)換位密碼的基本部件，稱為P盒（P-box），它將輸入順序映射到某個輸出順序上，只要適當(dāng)改變盒內(nèi)的連線，它就可以實(shí)現(xiàn)任意的排列。圖（b）是一個實(shí)現(xiàn)替代密碼的基本部件，稱為S盒（S-box），它由一個3-8譯碼器、一個P盒和一個8-3編碼器組成。一個3比特的輸入將選擇3-8譯碼器的一根輸出線，該線經(jīng)P盒換位后從另一根線上輸出，再經(jīng)8-3編碼器轉(zhuǎn)換成一個新的3比特序列。將P盒和S盒相復(fù)合構(gòu)成乘積密碼系統(tǒng)，就可以實(shí)現(xiàn)非常復(fù)雜的加密算法。圖（c）是一個乘積密碼系統(tǒng)的例子。一個12比特的明文經(jīng)第一個P盒排列后，按3比特一組分成4組，分別進(jìn)入4個不同的S盒進(jìn)行替代，替代后的輸出又經(jīng)第二個P盒排列，然后再進(jìn)入4個S盒進(jìn)行替代，這個過程重復(fù)進(jìn)行直至最后輸出密文。只要級聯(lián)的級數(shù)足夠大，算法就可以設(shè)計(jì)得非常復(fù)雜。密鑰分發(fā)問題秘密密鑰的一個弱點(diǎn)是解密密鑰必須和加密密鑰相同，這就產(chǎn)生了如何安全地分發(fā)密鑰的問題。傳統(tǒng)上是由一個中心密鑰生成設(shè)備產(chǎn)生一個相同的密鑰對，并由人工信使將其傳送到各自的目的地。對于一個擁有許多部門的組織來說，這種分發(fā)方式是不能令人滿意的，尤其是出于安全方面的考慮需要經(jīng)常更換密鑰時更是如此。兩個完全陌生的人要想秘密地進(jìn)行通信，就必須通過實(shí)際會面來商定密鑰，否則別無它法。公開密鑰算法在公開密鑰算法提出之前，所有密碼系統(tǒng)的解密密鑰和加密密鑰都有很直接的聯(lián)系，即從加密密鑰可以很容易地導(dǎo)出解密密鑰，因此所有的密碼學(xué)家理所當(dāng)然地認(rèn)為應(yīng)對加密密鑰進(jìn)行保密。Diffle和Hellman提出了一種完全不同的設(shè)想，從根本上改變了人們研究密碼系統(tǒng)的方式。在Diffie和Hel1man提出的方法中，加密密鑰和解密密鑰是不同的，并且從加密密鑰不能得到解密密鑰。為此，加密算法E和解密算法D必須滿足以下的三個條件：①D（E（P））=P；②從E導(dǎo)出D非常困難；③使用”選擇明文”攻擊不能攻破E。第一個條件是指將解密算法D作用于密文E（P）后就可獲得明文P第二個條件是說不可能從E導(dǎo)出D第三個條件是指破譯者即使能加密任意數(shù)量的選擇明文，也無法破譯密碼。如果能夠滿足以上三個條件，則加密算法完全可以公開。Diffie和Hel1man算法的基本思想如果某個用戶希望接收秘密報文，他必須設(shè)計(jì)兩個算法：加密算法E和解密算法D，然后將加密算法放于任何一個公開的文件中廣而告知，這也是公開密鑰算法名稱的由來，他甚至也可以公開他的解密方法，只要他妥善保存解密密鑰即可。當(dāng)兩個完全陌生的用戶A和B希望進(jìn)行秘密通信時，各自可以從公開的文件中查到對方的加密算法。若A需要將秘密報文發(fā)給B，則A用B的加密算法EB對報文進(jìn)行加密，然后將密文發(fā)給B，B使用解密算法DB進(jìn)行解密，而除B以外的任何人都無法讀懂這個報文；當(dāng)B需要向A發(fā)送消息時，B使用A的加密算法EA對報文進(jìn)行加密，然后發(fā)給A，A利用DA進(jìn)行解密。在這種算法中，每個用戶都使用兩個密鑰，其中加密密鑰是供其他人向他發(fā)送報文用的，這是公開的，解密密鑰是用于對收到的密文進(jìn)行解密的，這是保密的。通常用公開密鑰和私人密鑰分別稱呼公開密鑰算法中的加密密鑰和解密密鑰，以同傳統(tǒng)密碼學(xué)中的秘密密鑰相區(qū)分。由于私人密鑰只由用戶自己掌握，不需要分發(fā)給別人，也就不用擔(dān)心在傳輸?shù)倪^程中或被其他用戶泄密，因而是極其安全的。用公開密鑰算法解決密鑰分發(fā)問題：中心密鑰生成設(shè)備產(chǎn)生一個密鑰后，用各個用戶公開的加密算法對之進(jìn)行加密，然后分發(fā)給各用戶，各用戶再用自己的私人密鑰進(jìn)行解密，既安全又省事。兩個完全陌生的用戶之間，也可以使用這種方法很方便地商定一個秘密的會話密鑰。RSA算法RSA算法基于了一些數(shù)論的原理，在此不對它做理論上的推導(dǎo)，只說明如何使用這種算法。①選擇兩個大素?cái)?shù)p和q（典型值為大于10100）；②計(jì)算n＝p×q和z＝（p－1）×（q－1）；③選擇一個與z互質(zhì)的數(shù)，令其為d；④找到一個e使其滿足e×d=1（modz）。計(jì)算了以上參數(shù)后，就可以開始對明文加密。首先將明文看成是一個比特串，將其劃分成一個個的數(shù)據(jù)塊P且有0≤P＜n。要做到這一點(diǎn)并不難，只需先求出滿足2k＜n的最大k值，然后使得每個數(shù)據(jù)塊長度不超過k即可。對數(shù)據(jù)塊P進(jìn)行加密，計(jì)算C=Pe（modn），C即為P的密文；對C進(jìn)行解密，計(jì)算P=Cd（modn）?？梢宰C明，對于指定范圍內(nèi)的所有P，其加密函數(shù)和解密函數(shù)互為反函數(shù)。進(jìn)行加密需要參數(shù)e和n，進(jìn)行解密需要參數(shù)d和n。所以公開密鑰由（e，n）組成，私人密鑰由（d，n）組成。RSA算法舉例假設(shè)取p=3，q＝11計(jì)算出n＝p×q=33和z＝(p-1)×(q-1)=20。由于7和20沒有公因子，因此可取d=7；解方程7e=1（mod20）可以得到e=3。由此公開密鑰為（3，33），私人密鑰為（7，33）。假設(shè)要加密的明文為M=4，則C=Me（modn）=43（mod33）＝31，于是對應(yīng)的密文為C＝31。接收方收到密文后進(jìn)行解密，計(jì)算M=Cd（modn）＝317（mod33）=4，恢復(fù)出原文。應(yīng)該指出的是，雖然RSA算法具有安全方便的特點(diǎn)，但它的運(yùn)行速度太慢，因而通常只用來進(jìn)行用戶認(rèn)證、數(shù)字簽名或發(fā)送一次性的秘密密鑰，數(shù)據(jù)的加密仍使用秘密密鑰算法。RSA算法的安全性建立在難以對大數(shù)提取因子的基礎(chǔ)上，如果破譯者能對已知的n提取出因子p和q就能求出z，知道了z和e，就能求出d。所幸的是，300多年來雖然數(shù)學(xué)家們已對大數(shù)的因式分解問題作了大量研究，但并沒有取得什么進(jìn)展，到目前為止這仍是一個極其困難的問題。據(jù)Rivest等人的推算，用最好的算法和指令時間為1微秒的計(jì)算機(jī)對一個200位的十進(jìn)制數(shù)作因式分解需要40億年的機(jī)器時間，而對一個500位的數(shù)作因式分解需要1025年。即使計(jì)算機(jī)的速度每10年提高一個數(shù)量級，能作500位數(shù)的因式分解也是在若干世紀(jì)之后，然而到那時，人們只要選取更大的p和q就行了。用戶認(rèn)證通信雙方在進(jìn)行重要的數(shù)據(jù)交換前，常常需要驗(yàn)證對方的身份，這種技術(shù)稱為用戶認(rèn)證。在實(shí)際的操作中，除了認(rèn)證對方的身份外，同時還要在雙方間建立一個秘密的會話密鑰，該會話密鑰用于對其后的會話進(jìn)行加密。每次連接都使用一個新的隨機(jī)選擇的密鑰，其目的在于防止網(wǎng)絡(luò)入侵者收集足夠數(shù)量的密文進(jìn)行破譯。使用共享秘密密鑰進(jìn)行用戶認(rèn)證

假設(shè)在A和B之間有一個共享的秘密密鑰KAB

。某個時候A希望和B進(jìn)行通信，于是雙方采用圖10.13所示的過程進(jìn)行用戶認(rèn)證。首先A向B發(fā)送自己的身份標(biāo)識；B收到后，為了證實(shí)確實(shí)是A發(fā)出的，于是選擇一個隨機(jī)的大數(shù)RB，用明文發(fā)給A；A收到后用共享的秘密密鑰KAB對RB進(jìn)行加密，然后將密文發(fā)回給B，B收到密文后確信對方就是A，因?yàn)槌艘酝鉄o人知道密鑰KAB；但這時A尚無法確定對方是否為B，所以A也選擇了一個隨機(jī)的大數(shù)RA，用明文發(fā)給B；B收到后用KAB對RA進(jìn)行加密，然后將密文發(fā)回給A，A收到密文后也確信對方就是B；至此用戶認(rèn)證完畢。如果這時A希望和B建立一個秘密的會話密鑰，它可以選擇一個密鑰KS，然后用KAB對其進(jìn)行加密后發(fā)送給B，此后雙方即可使用KS進(jìn)行會話。圖10.13

使用共享秘密密鑰進(jìn)行用戶認(rèn)證使用密鑰分發(fā)中心的用戶認(rèn)證協(xié)議要求通信的雙方具有共享的秘密密鑰有時是做不到的，比如在兩個陌生人之間。另外如果某個用戶要和n個用戶進(jìn)行通信，就需要有n個不同的密鑰，這給密鑰的管理也帶來很大的麻煩。解決的辦法是引進(jìn)一個密鑰分發(fā)中心（KeyDistributionCenter，KDC）。KDC是可以信賴的，并且每個用戶和KDC間有一個共享的秘密密鑰，用戶認(rèn)證和會話密鑰的管理都通過KDC來進(jìn)行。KDC舉例如圖10.14所示。A希望和B進(jìn)行通信A選擇一個會話密鑰KS然后用與KDC共享的密鑰KA對KS和B的標(biāo)識進(jìn)行加密，并將密文和A的標(biāo)識一起發(fā)給KDC；KDC收到后，用與A共享的密鑰KA

，將密文解開，此時KDC可以確信這是A發(fā)來的，因?yàn)槠渌藷o法用KA來加密報文；然后KDC重新構(gòu)造一個報文，放入A的標(biāo)識和會話密鑰KS

，并用與B共享的密鑰KB，加密報文，將密文發(fā)給B；B用密鑰KB將密文解開，此時B可以確信這是KDC發(fā)來的，并且獲知了A希望用KS與它進(jìn)行會話。圖10.14

一個用KDC進(jìn)行用戶認(rèn)證的協(xié)議重復(fù)攻擊問題：假如有個C，當(dāng)他為A提供了一定的服務(wù)后，希望A用銀行轉(zhuǎn)賬的方式支付他的酬金，于是A和B（銀行）建立一個會話，指令B將一定數(shù)量的金額轉(zhuǎn)至C的賬上。這時C將KDC發(fā)給B的密文和隨后A發(fā)給B的報文復(fù)制了下來，等會話結(jié)束后，C將這些報文依次重發(fā)給B，而B無法區(qū)分這是一個新的指令還是一個老指令的副本，因此又將相同數(shù)量的金額轉(zhuǎn)至C的賬上，這個問題稱為重復(fù)攻擊問題。為解決這個問題，可以在每個報文中放一個一次性的報文號，每個用戶都記住所有已經(jīng)用過的報文號，并將重復(fù)編號的報文丟棄。另外還可以在報文上加一個時間戳，并規(guī)定一個有效期，當(dāng)接收方收到一個過期的報文時就將它丟棄。使用公開密鑰算法的用戶認(rèn)證協(xié)議

如圖10.15所示。A選擇一個隨機(jī)數(shù)RA，用B的公開密鑰EB，對A的標(biāo)識符和RA進(jìn)行加密，將密文發(fā)給B，B解開密文后不能確定密文是否真的來自A，于是它選擇一個隨機(jī)數(shù)RB和一個會話密鑰KS，用A的公開密鑰EA對RA

，RB和KS進(jìn)行加密，將密文發(fā)回給A；A解開密文，看到其中的RA正是自己剛才發(fā)給B的，于是知道該密文一定發(fā)自B，因?yàn)槠渌瞬豢赡艿玫絉RA

，并且這是一個最新的報文而不是一個復(fù)制品，于是A用KS對RB進(jìn)行加密表示確認(rèn)；B解開密文，知道這一定是A發(fā)來的，因?yàn)槠渌藷o法知道KS和RB

。圖10.15

使用公開密鑰進(jìn)行用戶認(rèn)證數(shù)字簽名

在許多情況下，文件是否真實(shí)有效要取決于是否有授權(quán)人的親筆簽名，但在使用計(jì)算機(jī)進(jìn)行信息處理時，手跡簽名顯然是行不通的，必須使用數(shù)字形式的簽名來解決。一個可以替代手跡簽名的系統(tǒng)必須滿足以下三個條件：①接收方通過文件中的簽名能認(rèn)證發(fā)送方的身份；②發(fā)送方以后不能否認(rèn)發(fā)送過簽名文件；③接收方不可能偽造文件內(nèi)容。三個條件是必需假設(shè)一個股民委托他的股票經(jīng)紀(jì)人代為炒股，并指令當(dāng)他所持的股票達(dá)到某個價位時，立即全部拋出。股票經(jīng)紀(jì)人首先必須認(rèn)證該指令確實(shí)是由該客戶發(fā)出的，而不是其他什么人在偽造指令，這就需要第一個條件。假定股票剛一賣出，股價立即猛升，該客戶后悔不己，如果該客戶是不誠實(shí)的，他可能會控告股票經(jīng)紀(jì)人，宣稱他從未發(fā)出過任何賣出股票的指令，這時股票經(jīng)紀(jì)人可以拿出有他自己簽名的委托書作為最有力的證據(jù)，所以第二個條件也是必需的。另一種可能是股票經(jīng)紀(jì)人玩忽職守，當(dāng)股票價位合適時沒有立即拋出，不料此后股價一路下跌，客戶損失慘重，為了推卸責(zé)任，股票經(jīng)紀(jì)人可能試圖修改委托書，修改成客戶要求在某一個更高價位上（實(shí)際上該價位不可能達(dá)到）賣出股票，否則不賣等等，為了保障客戶的權(quán)益，需要第三個條件。

使用秘密密鑰算法的數(shù)字簽名

這種方式需要一個可以信賴的中央權(quán)威機(jī)構(gòu)（Centra1Authority，以下簡稱CA）的參與，每個用戶事先選擇好一個與CA共享的秘密密鑰并親自交到CA，以保證只有用戶和CA知道這個密鑰。除此以外，CA還有一個對所有用戶都保密的秘密密鑰KCA。當(dāng)A想向B發(fā)送一個簽名的報文P時，它向CA發(fā)出KA（B，RA，t，P），其中RA為報文的隨機(jī)編號，t為時間戳；CA將其解密后，重新組織成一個新的密文KB（A，RA，t，P，KCA（A，t，P））發(fā)給B，因?yàn)橹挥蠧A知道密鑰KCA，因此其他任何人都無法產(chǎn)生和解開密文KCA（A，t，P）；B用密鑰KB解開密文后，首先將KCA（A，t，P）放在一個安全的地方，然后閱讀和執(zhí)行P。驗(yàn)證當(dāng)過后A試圖否認(rèn)給B發(fā)過報文P時，B可以出示KCA（A，t，P）來證明A確實(shí)發(fā)過P，因?yàn)锽自己無法偽造出KCA（A，t，P），它是由CA發(fā)來的，而CA是可以信賴的，如果A沒有給CA發(fā)過P，CA就不會將P發(fā)給B，這只要用KCA對KCA（A，t，P）進(jìn)行解密，一切就可真相大白。為了避免重復(fù)攻擊，協(xié)議中使用了隨機(jī)報文編號RA和時間戳t。B能記住最近收到的所有報文編號，如果RA和其中的某個編號相同，則P就被當(dāng)成是一個復(fù)制品而丟棄，另外B也根據(jù)時間戳t丟棄舊報文，以防止攻擊者經(jīng)過很長一段時間后，再用舊報文來重復(fù)攻擊。使用公開密鑰算法的數(shù)字簽名

使用秘密密鑰算法的數(shù)字簽名，需要一個大家共同信賴的中央授權(quán)機(jī)構(gòu)，而在實(shí)際中要找到這樣一個機(jī)構(gòu)是比較困難的，所幸的是使用公開密鑰算法的數(shù)字簽名可不受此條件的限制。使用公開密鑰算法的數(shù)字簽名，其加密算法和解密算法除了要滿足D（E（P））=P外，還必須滿足E（D（P））=P，這個假設(shè)是可能的，因?yàn)镽SA算法就具有這樣的特性。數(shù)字簽名的過程如圖10.17所示，當(dāng)A想向B發(fā)送簽名的報文P時，它向B發(fā)送EB（DA（P）），由于A知道自己的私人密鑰DA和B的公開密鑰EB，因而這是可能的；B收到密文后，先用私人密鑰DB解開密文，將DA（P）復(fù)制一份放于安全的地方，然后用A的公開密鑰EA將DA（P）解開，取出P。EB（DA（P））驗(yàn)證當(dāng)A過后試圖否認(rèn)給B發(fā)過P時，B可以出示DA（P）作為證據(jù)，因?yàn)锽沒有A的私人密鑰DA，除非A確實(shí)發(fā)過DA（P），否則B是不會有這樣一份密文的，只要用A的公開密鑰EA解開DA（P），就可以知道B說的是真話。這種數(shù)字簽名看上去很好，但在實(shí)際的使用中也存在一些問題，這些問題不是算法本身的問題，而是和算法的使用環(huán)境有關(guān)。首先只有DA仍然是秘密的，B才能證明A確實(shí)發(fā)送過DA（P），如果A試圖否認(rèn)這一點(diǎn)，他只需公開他的私人密鑰，并聲稱他的私人密鑰被盜了，這樣任何人包括B都有可能發(fā)送DA（P）；其次是A改變了他的私人密鑰，出于安全因素的考慮，這種做法顯然是無可非議的，但這時如果發(fā)生糾紛的話，裁決人用新的EA去解老的DA（P），就會置B于非常不利的地位。因此在實(shí)際的使用中，還需要有某種集中控制機(jī)制記錄所有密鑰的變化情況及變化日期。報文摘要有人對以上的簽名方法提出批評，認(rèn)為它們將認(rèn)證和保密兩種截然不同的功能混在了一起，有些報文只需要簽名而不需要保密，將報文全部進(jìn)行加密速度太慢也不必要。為此有人提出一個新的方案，該方案使用一個單向的哈希（Hash）函數(shù)，將任意長的明文轉(zhuǎn)換成一個固定長度的比特串，然后僅對該比特串進(jìn)行加密。這樣的方法通常稱為報文摘要（MessageDigest，MD），它必須滿足以下三個條件：①給定P，很容易計(jì)算出MD（P）；②給出MD（P），很難計(jì)算出P；③任何人不可能產(chǎn)生出具有相同報文摘要的兩個不同的報文。為滿足條件3，MD（P）至少必須達(dá)到128位，實(shí)際上有很多函數(shù)符合以上三個條件。報文摘要-CA考慮圖10.16的例子，CA解開密文后，首先計(jì)算出MD（P），然后著手組織一個新的密文，在新的密文中它不是發(fā)送KCA（A，t，P），而是發(fā)送KCA（A，t，MD（P）），B解開密文后將KCA（A，t，MD（P））保存起來。如果發(fā)生糾紛，B可以出示P和KCA（A，t，MD（P））作為證據(jù)。因?yàn)镵CA（A，t，MD（P））是由CA送來的，B無法偽造。CA用KCA解開密文取出MD（P）后，可將哈希函數(shù)作用于B提供的明文P，然后判斷報文摘要是否和MD（P）相同。因?yàn)闂l件3保證了不可能偽造出另一個報文使得其報文摘要同MD（P）一樣，因此只要兩個報文摘要相同，就證明了B確實(shí)收到了P。KCA（A，t，MD（P））報文摘要-公開密鑰密碼系統(tǒng)在公開密鑰密碼系統(tǒng)中，使用報文摘要進(jìn)行數(shù)字簽名的過程如圖10.18所示。A首先對明文P，計(jì)算出MD（P），然后用私人密鑰對MD（P）進(jìn)行加密，連同明文P一起發(fā)送給B；B將DA（MD（P））復(fù)制一份放于安全的地方，然后用A的公開密鑰解開密文取出MD（P）。為防止途中有人更換報文P，B對P計(jì)算報文摘要，如果結(jié)果同MD（P）相同，則將P接收下來。當(dāng)A試圖否認(rèn)發(fā)送過P時，B可以出示P和DA（MD（P））來證明自己確實(shí)收到過P。圖10.18使用報文摘要的數(shù)字簽名 P,DA（MD（P））10.4防火墻防火墻（Firewall）是在兩個網(wǎng)絡(luò)之間執(zhí)行訪問控制策略的硬件或軟件系統(tǒng)，目的是保護(hù)網(wǎng)絡(luò)不被他人侵?jǐn)_。本質(zhì)上，它遵循的是一種數(shù)據(jù)進(jìn)行過濾的網(wǎng)絡(luò)通信安全機(jī)制，只允許授權(quán)的通信，而禁止非授權(quán)的通信。通常，防火墻就是位于內(nèi)部網(wǎng)或Web站點(diǎn)與因特網(wǎng)之間的一臺路由器或計(jì)算機(jī)。通常，部署防火墻的理由包括：防止入侵者干擾內(nèi)部網(wǎng)絡(luò)的正常運(yùn)行；防止入侵者刪除或修改存儲再內(nèi)部網(wǎng)絡(luò)中的信息；防止入侵者偷竊內(nèi)部的秘密信息。部署防火墻應(yīng)該滿足以下規(guī)則：所有進(jìn)出網(wǎng)絡(luò)的通信流都應(yīng)該通過防火墻。所有穿過防火墻的通信流都必須有安全策略和計(jì)劃的確認(rèn)和授權(quán)。理論上說，防火墻是不會被攻破的。防火墻不是萬能的，它不能防范惡意的知情者和不通過它的連接，不能防止內(nèi)部人員的攻擊，也不能防范病毒。防火墻體系結(jié)構(gòu)1．雙重宿主主機(jī)雙重宿主主機(jī)結(jié)構(gòu)是圍繞具有雙重宿主的計(jì)算機(jī)而構(gòu)筑的。該計(jì)算機(jī)至少有兩個網(wǎng)絡(luò)接口，這樣的主機(jī)可以充當(dāng)與之相連的網(wǎng)絡(luò)之間的路由器，并能夠在網(wǎng)絡(luò)之間轉(zhuǎn)發(fā)IP數(shù)據(jù)包。防火墻內(nèi)部的網(wǎng)絡(luò)系統(tǒng)能與雙重宿主主機(jī)通信，同時防火墻外部的網(wǎng)絡(luò)系統(tǒng)（在因特網(wǎng)上）也能與雙重宿主主機(jī)通信。通過雙重宿主主機(jī)，防火墻內(nèi)外的計(jì)算機(jī)便可進(jìn)行通信了，但是這些系統(tǒng)不能直接互相通信，它們之間的IP通信被完全阻止（這意味著雙重宿主主機(jī)具有兩個不同的IP地址，一個屬于外網(wǎng)，另一個屬于內(nèi)網(wǎng)）。雙重宿主主機(jī)防火墻結(jié)構(gòu)是相當(dāng)簡單的，雙重宿主主機(jī)位于兩者之間，并且被連接到因特網(wǎng)和內(nèi)部的網(wǎng)絡(luò)。圖10.20顯示了這種結(jié)構(gòu)。有時雙重宿主主機(jī)也可以由一臺路由器實(shí)現(xiàn)，由路由器的數(shù)據(jù)包過濾特性提供安全防護(hù)。圖10.20

雙重宿主主機(jī)防火墻的結(jié)構(gòu)2．內(nèi)網(wǎng)過濾結(jié)構(gòu)內(nèi)網(wǎng)過濾結(jié)構(gòu)添加了額外的過濾路由器和應(yīng)用網(wǎng)關(guān)，更進(jìn)一步地把企業(yè)網(wǎng)絡(luò)與因特網(wǎng)隔離開。內(nèi)網(wǎng)過濾結(jié)構(gòu)包含兩個過濾路由器，每一個都連接到內(nèi)部網(wǎng)絡(luò)，一個位于內(nèi)部網(wǎng)絡(luò)與企業(yè)網(wǎng)絡(luò)之間，另一個位于內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間。如果需要，還可以在內(nèi)部網(wǎng)絡(luò)上安裝一個或多個針對某些特殊應(yīng)用的應(yīng)用網(wǎng)關(guān)（ApplicationGateway）。過濾路由器的作用是檢查每個進(jìn)來或出去的分組，，只有滿足某種準(zhǔn)則的分組才被轉(zhuǎn)發(fā)，不滿足條件的分組責(zé)備丟棄。應(yīng)用網(wǎng)關(guān)的主要功能是：接收進(jìn)入（inbound）和出去（outbound）的應(yīng)用層數(shù)據(jù)，對其內(nèi)容進(jìn)行分析，然后再根據(jù)安全策略決定是否將其送往指定的目的地。應(yīng)用網(wǎng)關(guān)與過濾路由器相結(jié)合能夠大大提高網(wǎng)絡(luò)的安全性，但也犧牲了部分性能和使用的便利性。包過濾包過濾是防火墻最基本的實(shí)現(xiàn)方法，它控制哪些數(shù)據(jù)包可以進(jìn)出網(wǎng)絡(luò)而哪些數(shù)據(jù)包應(yīng)被網(wǎng)絡(luò)拒絕。包過濾防火墻通常是放置在因特網(wǎng)與內(nèi)部網(wǎng)絡(luò)之間的一個具備包過濾功能的簡單路由器，這是因?yàn)榘^濾是路由器的固有屬性。路由器能夠打開數(shù)據(jù)包獲得有關(guān)網(wǎng)絡(luò)層的信息。根據(jù)這些信息和預(yù)先定義的規(guī)則，路由器就能對流經(jīng)過它數(shù)據(jù)包進(jìn)行過濾。包過濾可依據(jù)以下幾類條件允許或阻止數(shù)據(jù)包通過路由器：包的源地址及源端口；包的目的地址及目的端口；ICMP消息類型；包的傳送協(xié)議，如FTP、SMTP、rlogin等；使用TCPSYN或ACK位建立連接時的數(shù)據(jù)報。例如，包過濾能讓我們實(shí)施類似以下情況的控制：不讓任何用戶從外部網(wǎng)使用Telnet登錄內(nèi)部服務(wù)器；允許任何外部網(wǎng)絡(luò)用戶使用SMTP協(xié)議往內(nèi)部網(wǎng)發(fā)電子郵件；只允許外部網(wǎng)絡(luò)用戶訪問內(nèi)部網(wǎng)的WWW服務(wù)器，而不允許訪問數(shù)據(jù)庫服務(wù)器。包過濾不能對包中的應(yīng)用數(shù)據(jù)進(jìn)行過濾。例如，下述操作是包過濾所不能實(shí)現(xiàn)的：允許某個用戶從外部網(wǎng)用Telnet登錄而不允許其它用戶進(jìn)行這種操作。允許用戶傳送MSWord文件而不允許用戶傳送MP3文件。禁止傳輸含有公司機(jī)密信息的JPEG圖像文件。包過濾的優(yōu)缺點(diǎn)優(yōu)點(diǎn)：簡單、易于實(shí)現(xiàn)、對用戶透明、路由器免費(fèi)提供此功能。僅用一個放置在內(nèi)部網(wǎng)與因特網(wǎng)邊界上的包過濾路由器就可保護(hù)整個內(nèi)部網(wǎng)絡(luò)。缺點(diǎn)：編制邏輯上嚴(yán)密無漏洞的包過濾規(guī)則比較困難，對編制好的規(guī)則進(jìn)行測試也較麻煩。維護(hù)復(fù)雜的包過濾規(guī)則也是一件很麻煩的事情，網(wǎng)絡(luò)管理員必須根據(jù)防火墻的包過濾規(guī)則理解和評估網(wǎng)絡(luò)每天的變化。如果網(wǎng)絡(luò)中增加了一臺服務(wù)器又沒有加入保護(hù)它的包過濾規(guī)則，可能它就會成為黑客的攻破點(diǎn)。包過濾規(guī)則的判別會降低路由器的轉(zhuǎn)發(fā)速度，規(guī)則集越大，判別過程花的時間就越多，何況隨著時間的推移，規(guī)則集還會不斷增長。它總是假定包頭部信息是合法有效的。實(shí)際上包頭部信息很容易被精通網(wǎng)絡(luò)的人篡改，使得包過濾器認(rèn)為包是來自合法的用戶。例如，入侵者總是把他們偽裝成來自于內(nèi)部網(wǎng)。以上這些缺點(diǎn)使得包過濾技術(shù)通常不單獨(dú)使用，而是作為其他安全技術(shù)的一種補(bǔ)充。包過濾規(guī)則在配置包過濾路由器時，首先要確定哪些服務(wù)允許通過而哪些服務(wù)應(yīng)被拒絕，并將這些規(guī)定翻譯成有關(guān)的包過濾規(guī)則（在路由器中，包過濾規(guī)則又被稱為訪問控制表（AccessList））。下面給出將有關(guān)服務(wù)翻譯成包過濾規(guī)則時非常重要的幾個概念。協(xié)議的雙向性。協(xié)議總是雙向的，協(xié)議包括一方發(fā)送一個請求而另一方返回一個應(yīng)答。在制定包過濾規(guī)則時，要注意包是從兩個方向來到路由器的。“往內(nèi)”與“往外”的含義。在制定包過濾規(guī)則時，必須準(zhǔn)確理解“往內(nèi)”與“往外”的包和“往內(nèi)”與“往外”的服務(wù)這幾個詞的語義?！澳J(rèn)允許”與“默認(rèn)拒絕”。網(wǎng)絡(luò)的安全策略中的有兩種方法：默認(rèn)拒絕（沒有明確地被允許就應(yīng)被拒絕）與默認(rèn)允許（沒有明確地被拒絕就應(yīng)被允許）。從安全角度來看，用默認(rèn)拒絕應(yīng)該更合適。包過濾處理流程設(shè)計(jì)示例假設(shè)網(wǎng)絡(luò)策略安全規(guī)則確定：從外部主機(jī)發(fā)來的因特網(wǎng)郵件由特定網(wǎng)關(guān)“Mail-GW”接收，并且要拒絕從不信任的主機(jī)“CREE-PHOST”發(fā)來的數(shù)據(jù)流。在這個例子中，SMTP使用的網(wǎng)絡(luò)安全策略必須翻譯成包過濾規(guī)則。為便于理解，把網(wǎng)絡(luò)安全規(guī)則翻譯成下列中文形式：[過濾器規(guī)則1]：不相信從CREE-PHOST來的連接。[過濾器規(guī)則2]：允許與郵件網(wǎng)關(guān)Mail-GW的連接。這些規(guī)則被編成表10.1的形式。其中星號（*）表明它可以匹配該列的任何值。 對于過濾器規(guī)則1，阻塞任何（*）從CREE-PHOST來的到本地任意（*）主機(jī)的任意（*）端口的連接。對于過濾器規(guī)則2，允許任意（*）外部主機(jī)從其任意（*）端口到Mail-GW主機(jī)端口的連接。對于過濾器規(guī)則3，表示允許任意內(nèi)部主機(jī)發(fā)送郵件到任意外部主機(jī)的端口25。討論這些規(guī)則應(yīng)用的順序與它們在表中的順序相同。如果一個包不與任何規(guī)則匹配，它就會遭到拒絕。從以上示例可知過濾辦法有依據(jù)地址進(jìn)行過濾和依據(jù)服務(wù)進(jìn)行過濾。最簡單的方法是依據(jù)地址進(jìn)行過濾。用地址進(jìn)行過濾可以不管使用什么協(xié)議，僅根據(jù)源地址/目的地址對流動的包進(jìn)行過濾。我們可用這種方法只讓某些被指定的外部主機(jī)與某些被指定的內(nèi)部主機(jī)進(jìn)行交互。還可以防止黑客偽裝成來自某臺合法主機(jī)，而其實(shí)并非來自于那臺主機(jī)，對網(wǎng)絡(luò)進(jìn)行侵?jǐn)_。依據(jù)服務(wù)進(jìn)行過濾主要是依據(jù)源端口來過濾，依據(jù)源端口來過濾必須有個前提，提供端口號的機(jī)器必須是真實(shí)的。如果入侵者已經(jīng)具有最高權(quán)限，完全控制了這臺機(jī)器，那他就可隨意在這臺機(jī)器上做任何事情，也就等于在能夠在包過濾規(guī)則的端口上運(yùn)行任意的客戶程序或服務(wù)器程序。所以，源主機(jī)提供的源地址有時是不可信的，因?yàn)槟桥_主機(jī)很可能就是偽裝的入侵者。選擇防火墻的原則設(shè)計(jì)和選用防火墻首先要明確哪些數(shù)據(jù)是必須保護(hù)的，這些數(shù)據(jù)的被侵入會導(dǎo)致什么樣的后果及網(wǎng)絡(luò)不同區(qū)域需要什么等級的安全級別。不管采用原始設(shè)計(jì)還是使用現(xiàn)成的防火墻產(chǎn)品，對于防火墻的安全標(biāo)準(zhǔn)，首先需根據(jù)安全級別確定。其次，設(shè)計(jì)或選用防火墻必須與網(wǎng)絡(luò)接口匹配，要防止你所能想到的威脅。防火墻可以是軟件或硬件模塊，并能集成于路由器和網(wǎng)關(guān)等設(shè)備之中。選擇防火墻的原則如下：1．防火墻自身的安全性大多數(shù)人在選擇防火墻時都將注意力放在防火墻如何控制連接以及防火墻支持多少種服務(wù)上，但往往忽略一點(diǎn)，防火墻也是網(wǎng)絡(luò)上的主機(jī)設(shè)備，也可能存在安全問題。防火墻如果不能確保自身安全，則防火墻的控制功能再強(qiáng)，也終究不能完全保護(hù)內(nèi)部網(wǎng)絡(luò)。2．考慮特殊的需求

（1）IP地址轉(zhuǎn)換（IPAddressTranslation）。進(jìn)行IP地址轉(zhuǎn)換有兩個好處：其一是隱藏內(nèi)部網(wǎng)絡(luò)真正的IP，這可以使黑客無法直接攻擊內(nèi)部網(wǎng)絡(luò)，但這要建立在防火墻自身安全性的基礎(chǔ)上；另一個好處是可以讓內(nèi)部用戶使用保留的IP，這對許多IP不足的企業(yè)是非常重要的。（2）雙重DNS。當(dāng)內(nèi)部網(wǎng)絡(luò)使用沒有注冊的IP地址，或是防火墻進(jìn)行IP轉(zhuǎn)換時，DNS也必須經(jīng)過轉(zhuǎn)換。因?yàn)椋瑯拥囊粋€主機(jī)在內(nèi)部的IP