信息安全引言

27五月2023信息安全引言目錄信息安全問題 ↓信息安全要素 ↓信息安全模型 ↓從算法到協(xié)議 ↓從原理到標準 ↓技術管理并重 ↓從竊聽與反竊聽開始竊聽和這些方面有關系國家情報公共安全商業(yè)機密個人隱私互聯(lián)網(wǎng)上的竊聽實驗環(huán)境準備PCWindows/Linux虛擬機軟件VMWare/VirtualPC/VirtualBoxNetworkLAN/InternetToolsSniffer/ssh/X-winDEV/IDEVisualStudio2003/5/8/Eclipse/JDK

PDUFormatFrom/To: MAC,IP,OSICTL: type,length,PRI,ACK, window,…Data: PaddingCHK: CRC，checksum

FromToCTLDataCHK協(xié)議調用關系

Protocol

Tree以太網(wǎng)的安全問題PacketcaptureEthernetfromHubtoSwitchARP

郵件安全郵件收發(fā)涉及兩個協(xié)議發(fā)送使用SMTP可以不需口令收看使用POP3，通常明文方式傳口令Web方式的郵件收發(fā)通過HTTP和SMTP假冒e-mail使用Telnet發(fā)送假冒郵件需要一個open-relay的SMTP假冒郵件效果Phishing以竊取帳號/口令為目的步驟設立假冒網(wǎng)站/域名/網(wǎng)頁，以及其他欺騙形式通過郵件/病毒/木馬等方式誘騙騙取輸入反釣魚Phishing/

Windows輸入法漏洞（登錄窗口被擋在后面了）

UnicodeHoleWin2kIIS5(beforeanypatch)利用該漏洞的request/responseWin98的共享目錄口令漏洞Google(“vredir.vxd”)MS08-067利用BoF

main(){ charpasswd[8]={"2e4rfe"}; charyourpasswd[8]={""};again: puts("pleaseinputpasswd?"); gets(yourpasswd); if(strcmp(yourpasswd,passwd)=

=0) gotook; puts("passwderror"); gotoagain; exit(-2);ok: puts("correct!"); //doworkyouwant return0;}程序的設計功能：輸入正確的口令后做某項工作(否則重復要求輸入口令)演示：輸入精心計劃好的字串打亂設計期望的執(zhí)行邏輯，從而繞過某些口令

Haha!密碼學和版權保護XPActivationECC序列號/鑰匙盤/卡流程控制和加密數(shù)字水印Cracktipsif(!isvalid(sn)) callisvalid E8???? abort(); cmpax,0 3D0000 goon(); jnz goon 75?? callabort E8???? goon:改75為7474/75實例NetSuper21>fc/bNetSuper.exeNetSuper破解版.exe 正在比較文件NetSuper.exe和NETSUPER破解版.EXE 00003503:7475 000038E8:7475 00007C12:7574 0000AF72:7475 0000AF89:7475NetSuper21>信息安全的層次和方面物理安全層運行安全層數(shù)據(jù)安全層信息內容的安全問題被文化、宣傳界所關注信息對抗的問題被電子對抗研究領域所關注CIATriad機密性、完整性、可用性（Confidentiality,Integrity,Availability）ParkerianHexad機密性、完整性、可用性 可控性、真實性、實用性（Possession/Control,Authenticity,Utility）ParkerianHexadCPIAuAvU信息安全的層次框架體系層次層面作用點安全屬性信息對抗信息熵對抗信息利用機密性、完整性、特殊性信息安全內容安全攻擊信息機密性、真實性、可控性、可用性、完整性、可靠性數(shù)據(jù)安全保護信息機密性、真實性、實用性、完整性、唯一性、不可否認性、生存性系統(tǒng)安全運行安全軟件真實性、可控性、可用性、合法性、唯一性、可追溯性、占有性、生存性、穩(wěn)定性、可靠性物理安全硬件機密性、可用性、完整性、生存性、穩(wěn)定性、可靠性信息安全四要素

機密性（Cf）真實性（Au） 可控性（Ct）可用性（Av）信息安全層次與屬性機密性真實性可控性可用性物理安全√√√運行安全√√√數(shù)據(jù)安全√√√內容安全√√√√信息對抗√√網(wǎng)絡傳輸安全模型

主機訪問安全模型

密碼學：密碼算法對稱加密算法：DES、AES、RC4非對稱(公鑰)加密算法：RSA、ElGamal認證算法：MAC/HMAC簽名算法：RSA、DSA、ECDSA散列算法：MD5/SH1/SHA2隨機數(shù)產生算法數(shù)學問題：密碼問題IF和DLP從算法到協(xié)議密鑰協(xié)商協(xié)議：DHetc實體鑒別對稱加密和認證消息安全應用層數(shù)據(jù)傳輸協(xié)議：SSL非否認零知識證明電子貨幣/電子現(xiàn)金//電子投票安全多方計算從原理到標準FIPSRFCPKCSIPSecSSLPGP/SMIMERADIUS/DiameterKerberosPKI/X509安全標準化組織ISONISTISOC/IETF（RFC）ISF（InformationSecurityForum）IBM/MS/RSA/Entrust/certicom