系統(tǒng)互連安全體系結(jié)構(gòu)

第6章開放系統(tǒng)互連平安體系結(jié)構(gòu)6.1網(wǎng)絡(luò)體系結(jié)構(gòu)及協(xié)議6.2OSI平安體系結(jié)構(gòu)的5類平安效勞6.3OSI平安體系結(jié)構(gòu)的平安機(jī)制6.4OSI平安效勞與平安機(jī)制的關(guān)系6.5在OSI層中的平安效勞配置6.6OSI平安體系的平安管理6.7本章小結(jié)習(xí)題網(wǎng)絡(luò)體系結(jié)構(gòu)是計算機(jī)之間相互通信的層次，以及各層中的協(xié)議和層次之間接口的集合。網(wǎng)絡(luò)協(xié)議是計算機(jī)網(wǎng)絡(luò)和分布系統(tǒng)中互相通信的對等實體間交換信息時所必須遵守的規(guī)那么的集合。6.1網(wǎng)絡(luò)體系結(jié)構(gòu)及協(xié)議共享計算機(jī)網(wǎng)絡(luò)的資源，以及在網(wǎng)絡(luò)中交換信息，就需要實現(xiàn)不同系統(tǒng)中的實體的通信。實體包括用戶應(yīng)用程序、文件傳送包、數(shù)據(jù)庫管理系統(tǒng)、電子郵件設(shè)備以及終端等，系統(tǒng)包括計算機(jī)、終端和各種設(shè)備等。一般來說，實體是能發(fā)送和接收信息的任何東西，而系統(tǒng)是物理上明顯的物體，它包含一個或多個實體。兩個實體要想成功地通信，必須具有同樣的語言。交流什么，怎樣交流及何時交流，都必須遵從實體間都能接受的一些規(guī)那么，這些規(guī)那么的集合稱為協(xié)議。6.1.1分層和協(xié)議協(xié)議包含如下關(guān)鍵成分：〔1〕語法(syntax)，包括數(shù)據(jù)格式、編碼及信號電平等。〔2〕語義(semantics)，包括用于協(xié)調(diào)和過失處理的控制信息。〔3〕定時(timing)，包括速度匹配和排序。由于不同系統(tǒng)中的實體間通信的任務(wù)十分復(fù)雜，不可能作為一個整體來處理，否那么任何一方面發(fā)生變化，就要修改整個軟件包。一種替代的方法是使用結(jié)構(gòu)式的設(shè)計和實現(xiàn)技術(shù)，用分層或?qū)哟谓Y(jié)構(gòu)的協(xié)議集合。較低級別的、更原始的功能在較低級別的實體上實現(xiàn)，而它們又向較高級別的實體提供效勞。圖6.1表示一般的結(jié)構(gòu)或協(xié)議集合，并畫出了兩個站經(jīng)由多個交換網(wǎng)連接的情況。圖6.1通信協(xié)議之間的關(guān)系1號站和2號站都有一個或多個希望通信的應(yīng)用程序。在圖6.1中每一對通信協(xié)議之間的關(guān)系相似的實體中需要一種面向應(yīng)用的協(xié)議，以協(xié)調(diào)兩個應(yīng)用模塊的行動，并保證共同的語法和語義。這一協(xié)議無須知道有關(guān)中間通信網(wǎng)絡(luò)設(shè)施的情況，但是要利用網(wǎng)絡(luò)效勞實體所提供的效勞。網(wǎng)絡(luò)效勞實體與另一個站中的相應(yīng)實體要有一個進(jìn)程的協(xié)議，這一協(xié)議要處理諸如信息流控制和過失控制之類的事務(wù)。在1號站和A網(wǎng)之間以及2號站和B網(wǎng)之間也必須有協(xié)議。國際標(biāo)準(zhǔn)化組織ISO在1979年建立了一個分委員會來專門研究一種用于開放系統(tǒng)的體系結(jié)構(gòu)，提出了開放系統(tǒng)互連〔OpenSystemInterconnection，OSI〕模型，這是一個定義連接異種計算機(jī)的標(biāo)準(zhǔn)主體結(jié)構(gòu)。由于ISO組織的權(quán)威性，使OSI協(xié)議成為廣闊廠商努力遵循的標(biāo)準(zhǔn)。OSI為連接分布式應(yīng)用處理的“開放〞系統(tǒng)提供了根底，“開放〞這個詞表示能使任何兩個遵守參考模型的有關(guān)標(biāo)準(zhǔn)的系統(tǒng)進(jìn)行連接。6.1.2開放系統(tǒng)互連參考模型OSI采用了分層的結(jié)構(gòu)化技術(shù)。ISO分委員會的任務(wù)是定義一組層次和每層所完成的效勞。劃分層次時應(yīng)該從邏輯上對功能進(jìn)行分組。層次應(yīng)該足夠多，以使每一層小到易于管理，但是也不能太多，否那么聚集各層的處理開銷太大。OSI參考模型共有7層：物理層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層、傳輸層、會話層、表示層和應(yīng)用層。如圖6.2所示。圖6.2OSI參考模型OSI參考模型具有如下特性：它是一種將異構(gòu)系統(tǒng)互連的分層結(jié)構(gòu)；它提供了控制互連系統(tǒng)交互規(guī)那么的標(biāo)準(zhǔn)骨架；它定義了一種抽象結(jié)構(gòu)，而并非具體實現(xiàn)的描述；不同系統(tǒng)上的相同層的實體為同等層實體；同等層實體之間的通信由該層的協(xié)議管理；相鄰層間的接口定義了原語操作的低層向上層提供的效勞；它所提供的公共效勞是面向連接的或無連接的數(shù)據(jù)效勞；直接的數(shù)據(jù)傳送僅在最低層實現(xiàn)；每層完成所定義的功能，修改本層的功能并不影響其他層。下面簡要介紹各層的功能。1.物理層〔1〕提供為建立、維護(hù)和撤除物理鏈路所需要的機(jī)械的、電氣的、功能的和規(guī)程的特性?！?〕提供有關(guān)在物理鏈路上傳輸非結(jié)構(gòu)的位流以及故障檢測指示。2.數(shù)據(jù)鏈路層〔1〕在網(wǎng)絡(luò)層實體間提供數(shù)據(jù)發(fā)送和接收的功能和過程。〔2〕提供數(shù)據(jù)鏈路的流控。3.網(wǎng)絡(luò)層〔1〕控制分組傳送系統(tǒng)的操作、路由選擇、擁擠控制、網(wǎng)絡(luò)互聯(lián)等功能，它的作用是將具體的物理傳送對高層透明?！?〕根據(jù)傳輸層的要求選擇效勞質(zhì)量。〔3〕向傳輸層報告未恢復(fù)的過失。4.傳輸層〔1〕提供建立、維護(hù)和撤除傳送連接的功能?！?〕選擇網(wǎng)絡(luò)層提供最適宜的效勞?！?〕在系統(tǒng)之間提供可靠的、透明的數(shù)據(jù)傳送，提供端到端的錯誤恢復(fù)和流量控制。5.會話層〔1〕提供兩進(jìn)程之間建立、維護(hù)和結(jié)束會話連接的功能?！?〕提供交互會話的管理功能，如3種數(shù)據(jù)流方向的控制，即一路交互、兩路交替和兩路同時會話模式。6.表示層〔1〕代表應(yīng)用進(jìn)程協(xié)商數(shù)據(jù)表示?！?〕完成數(shù)據(jù)轉(zhuǎn)換、格式化和文本壓縮。7.應(yīng)用層提供OSI用戶效勞，例如事務(wù)處理程序、文件傳送協(xié)議和網(wǎng)絡(luò)管理等。開放系統(tǒng)互連參考模型的根本構(gòu)造技術(shù)是分層。每層的目的都是為上層提供某種效勞，把這些層與提供效勞的細(xì)節(jié)分開就形成結(jié)構(gòu)化模型。在互連的開放系統(tǒng)中，各子系統(tǒng)的同一層共同構(gòu)成開放系統(tǒng)中的一層，一般表示為N層——某一特定層；N+1層——相鄰的高層；N-1層——相鄰的低層。在OSI參考模型中，對等實體的通信必須通過相鄰低層以及下面各層通信來完成。從N+1實體看，對等N+1實體間的通信只能通過相鄰對等N實體完成。N實體向N+1實體提供相互通信的能力稱N效勞，即N+1實體通過請求N效勞完成對等實體通信。應(yīng)注意的是，N效勞同時也要使用較低層提供的效勞功能。OSI平安體系結(jié)構(gòu)的研究始于1982年，于1988年完成，其成果標(biāo)志是ISO發(fā)布了ISO7498-2標(biāo)準(zhǔn)，作為OSI根本參考模型的補(bǔ)充。這是基于OSI參考模型的七層協(xié)議之上的信息平安體系結(jié)構(gòu)。它定義了5類平安效勞、8種特定的平安機(jī)制、5種普遍性平安機(jī)制。它確定了平安效勞與平安機(jī)制的關(guān)系以及在OSI七層模型中平安效勞的配置。它還確定了OSI平安體系的平安管理。1.鑒別鑒別效勞提供對通信中的對等實體和數(shù)據(jù)來源的鑒別，分述如下。〔1〕對等實體鑒別確認(rèn)有關(guān)的對等實體是所需的實體。這種效勞由N層提供時，將使N+1層實體確信與之打交道的對等實體正是它所需要的N+1實體。6.2OSI平安體系結(jié)構(gòu)的5類平安效勞這種效勞在連接建立或在數(shù)據(jù)傳送階段的某些時刻提供使用，用以證實一個或多個連接實體的身份。使用這種效勞可以〔僅僅在使用時間內(nèi)〕確信：一個實體此時沒有試圖冒充〔一個實體偽裝為另一個不同的實體〕別的實體，或沒有試圖將先前的連接作非授權(quán)地重放〔出于非法的目的而重新發(fā)送截獲的合法通信數(shù)據(jù)項的拷貝〕；實施單向或雙向?qū)Φ葘嶓w鑒別也是可能的，可以帶有效期檢驗，也可以不帶。這種效勞能夠提供各種不同程度的鑒別保護(hù)?！?〕數(shù)據(jù)原發(fā)鑒別確認(rèn)接收到的數(shù)據(jù)的來源是所要求的。這種效勞當(dāng)由N層提供時，將使N+1實體確信數(shù)據(jù)來源正是所要求的對等N+1實體。數(shù)據(jù)原發(fā)鑒別效勞對數(shù)據(jù)單元的來源提供確認(rèn)。這種效勞對數(shù)據(jù)單元的重放或篡改不提供鑒別保護(hù)。2.訪問控制防止對資源的未授權(quán)使用，包括防止以未授權(quán)方式使用某一資源。這種效勞提供保護(hù)以對付開放系統(tǒng)互連可訪問資源的非授權(quán)使用。這些資源可以是經(jīng)開放系統(tǒng)互連協(xié)議訪問到的OSI資源或非OSI資源。這種保護(hù)效勞可應(yīng)用于對資源的各種不同類型的訪問〔例如，使用通信資源、讀寫或刪除信息資源、處理資源的操作〕，或應(yīng)用于對某種資源的所有訪問。這種訪問控制要與不同的平安策略協(xié)調(diào)一致。3.數(shù)據(jù)機(jī)密性這種效勞對數(shù)據(jù)提供保護(hù)，使之不被非授權(quán)地泄露。具體分為以下幾種：〔1〕連接機(jī)密性這種效勞為一次N連接上的全部N用戶數(shù)據(jù)保證其機(jī)密性。但對于某些使用中的數(shù)據(jù)，或在某些層次上，將所有數(shù)據(jù)〔例如加速數(shù)據(jù)或連接請求中的數(shù)據(jù)〕都保護(hù)起來反而是不適宜的。〔2〕無連接機(jī)密性這種效勞為單個無連接的NSDU(N層效勞數(shù)據(jù)單元)中的全部N用戶數(shù)據(jù)提供機(jī)密性保護(hù)。〔3〕選擇字段機(jī)密性這種效勞為那些被選擇的字段保證其機(jī)密性，這些字段或處于N連接的N用戶數(shù)據(jù)中，或為單個無連接的N-SDU中的字段。〔4〕通信業(yè)務(wù)流機(jī)密性這種效勞提供的保護(hù)，使得無法通過觀察通信業(yè)務(wù)流推斷出其中的機(jī)密信息。4.數(shù)據(jù)完整性這種效勞對付主動威脅。在一次連接上，連接開始時使用對某實體的鑒別效勞，并在連接的存活期使用數(shù)據(jù)完整性效勞就能聯(lián)合起來為在此連接上傳送的所有數(shù)據(jù)單元的來源提供確證，為這些數(shù)據(jù)單元的完整性提供確證，例如使用順序號，可為數(shù)據(jù)單元的重放提供檢測。數(shù)據(jù)完整性可分為以下幾種：〔1〕帶恢復(fù)的連接完整性這種效勞為N連接上的所有N用戶數(shù)據(jù)保證其完整性，并檢測整個SDU序列中的數(shù)據(jù)遭到的任何篡改、插入、刪除或同時進(jìn)行補(bǔ)救或恢復(fù)。(2)無恢復(fù)的連接完整性與上款的效勞相同，只是不做補(bǔ)救或恢復(fù)。(3)選擇字段的連接完整性這種效勞為在一次連接上傳送的NSDU的N用戶數(shù)據(jù)中的選擇字段保證其完整性，所取形式是確定這些被選字段是否遭受了篡改、插入、刪除或不可用。(4)無連接完整性這種效勞當(dāng)由N層提供時，對發(fā)出請求的那個N+1實體提供了完整保護(hù)。這種效勞為單個的無連接的SDU保證其完整性，所取形式可以是一個接收到的SDU是否遭受了篡改。此外，在一定程度上也能提供對連接重放的檢測。(5)選擇字段無連接完整性這種效勞為單個連接上的SDU中的被選字段保證其完整性，所取形式為被選字段是否遭受了篡改。5.抗否認(rèn)這種效勞可取如下兩種形式，或兩者之一：〔1〕有數(shù)據(jù)原發(fā)證明的抗否認(rèn)為數(shù)據(jù)的接收者提供數(shù)據(jù)的原發(fā)證據(jù)。這將使發(fā)送者不成認(rèn)未發(fā)送過這些數(shù)據(jù)或否認(rèn)其內(nèi)容的企圖不能得逞。〔2〕有交付證明的抗否認(rèn)為數(shù)據(jù)的發(fā)送者提供數(shù)據(jù)交付證據(jù)。這將使接收者事后不成認(rèn)收到過這些數(shù)據(jù)或否認(rèn)其內(nèi)容的企圖不能得逞。1.特定的平安機(jī)制本節(jié)所列的8種平安機(jī)制可以設(shè)置在適當(dāng)?shù)腘層上，以提供6.2中所述的某些平安效勞，分述如下?！?〕加密對數(shù)據(jù)進(jìn)行密碼變換以產(chǎn)生密文。加密可以是不可逆的，在這種情況下，相應(yīng)的解密過程便不能實現(xiàn)了。①加密既能為數(shù)據(jù)提供機(jī)密性，也能為通信業(yè)務(wù)流信息提供機(jī)密性，并且是其他平安機(jī)制中的一局部或?qū)ζ桨矙C(jī)制起補(bǔ)充作用。6.3OSI平安體系結(jié)構(gòu)的平安機(jī)制大多數(shù)應(yīng)用不要求在多個層加密，加密層的選取主要取決于以下幾個因素：如果要求全通信業(yè)務(wù)流機(jī)密性，那么將選取物理層加密，或傳輸平安手段〔例如，適當(dāng)?shù)臄U(kuò)頻技術(shù)〕。足夠的物理平安，可信任的路由選擇以及在中繼上的類似機(jī)制能夠滿足所有的機(jī)密性要求。如果要求細(xì)粒度保護(hù)〔即對不同應(yīng)用提供不同的密鑰〕，和抗否認(rèn)或選擇字段保護(hù)，那么將選取表示層加密。由于加密算法消耗大量的處理能力，所以選擇字段保護(hù)是很重要的。在表示層中的加密能提供不帶恢復(fù)的完整性、抗否認(rèn)以及所有的機(jī)密性。如果希望實現(xiàn)所有端系統(tǒng)到端系統(tǒng)通信的簡單塊保護(hù)，或希望有一個外部的加密設(shè)備〔例如，為了給算法和密鑰加物理保護(hù)，或防止錯誤軟件〕，那么將選取網(wǎng)絡(luò)層加密。這能夠提供機(jī)密性與不帶恢復(fù)的完整性。雖然在網(wǎng)絡(luò)層不提供恢復(fù)，但傳輸層的正常的恢復(fù)機(jī)制能夠恢復(fù)網(wǎng)絡(luò)層檢測到的攻擊。如果要求帶恢復(fù)的完整性，同時又具有細(xì)粒度保護(hù)，那么將選取傳輸層加密。這能提供機(jī)密性、帶恢復(fù)的完整性或不帶恢復(fù)的完整性。對于今后的實施，不推薦在數(shù)據(jù)鏈路層上加密。當(dāng)關(guān)系到這些主要因素中的兩項或多項時，可能需要在多個層上提供加密。②加密算法可以是可逆的，也可以是不可逆的?？赡婕用芩惴ㄓ袃纱箢悾簩ΨQ〔即秘密密鑰〕加密。對于這種加密，知道了加密密鑰也就意味著知道了解密密鑰，反之亦然。非對稱〔即公開密鑰〕加密。對于這種加密，知道了加密密鑰并不意味著也知道了解密密鑰，反之亦然。不可逆加密算法可以使用密鑰，也可以不使用。假設(shè)使用密鑰，密鑰可以是公開的，也可以是秘密的。③除了某些不可逆加密算法的情況外，加密機(jī)制的存在便意味著要使用密鑰管理機(jī)制。密鑰管理方法上的一些準(zhǔn)那么將在第18章中給出?！?〕數(shù)字簽名機(jī)制數(shù)字簽名是附加在數(shù)據(jù)單元上的一些數(shù)據(jù)，或是對數(shù)據(jù)單元所作的密碼變換，這種數(shù)據(jù)或變換允許數(shù)據(jù)單元的接收者確認(rèn)數(shù)據(jù)單元來源和數(shù)據(jù)單元的完整性，并保護(hù)數(shù)據(jù)，防止被人〔例如接收者〕偽造。數(shù)字簽名機(jī)制確定兩個過程：對數(shù)據(jù)單元簽名；驗證簽過名的數(shù)據(jù)單元。第一個過程使用簽名者所私有的〔即獨(dú)有的和機(jī)密的〕信息。第二個過程所用的規(guī)程與信息是公之于眾的，但不能從它們推斷出該簽名者的私有信息。數(shù)字簽名機(jī)制具有如下特點：①簽名過程使用簽名者的私有信息作為私鑰，或?qū)?shù)據(jù)單元進(jìn)行加密，或產(chǎn)生出該數(shù)據(jù)單元的一個密碼校驗值。②驗證過程使用公開的規(guī)程與信息來決定該簽名是否是用簽名者的私有信息產(chǎn)生的。③簽名機(jī)制的本質(zhì)特征為該簽名只有使用簽名者的私有信息才能產(chǎn)生出來。因而，當(dāng)該簽名得到驗證后，它能在事后的任何時候向第三方〔例如法官或仲裁人〕證明只有那個私有信息的惟一擁有者才能產(chǎn)生這個簽名?！?〕訪問控制機(jī)制為了決定和實施一個實體的訪問權(quán)，訪問控制機(jī)制可以使用該實體已鑒別的身份，或使用有關(guān)該實體的信息〔例如它與一個的實體集的附屬關(guān)系〕，或使用該實體的權(quán)利。如果這個實體試圖使用非授權(quán)的資源，或者以不正當(dāng)方式使用授權(quán)資源，那么訪問控制功能將拒絕這一企圖，另外還可能產(chǎn)生一個報警信號或記錄它作為平安審計跟蹤的一個局部來報告這一事件。對于無連接數(shù)據(jù)傳輸，發(fā)給發(fā)送者的拒絕訪問的通知只能作為強(qiáng)加于原發(fā)的訪問控制結(jié)果而被提供。訪問控制機(jī)制可以使用以下一種或多種手段。①訪問控制信息庫：保存對等實體的訪問權(quán)限。信息可以由授權(quán)中心保存，或由正被訪問的那個實體保存。信息的形式可以是一個訪問控制表，或是等級結(jié)構(gòu)的矩陣。使用這一手段要預(yù)先假定對等實體的鑒別已得到保證。②鑒別信息：例如口令，對這一信息的占有和出示便證明正在進(jìn)行訪問的實體已被授權(quán)。③權(quán)利：對它的占有和出示便證明有權(quán)訪問由該權(quán)利所規(guī)定的實體或資源，權(quán)利應(yīng)是不可偽造的并以可信賴的方式進(jìn)行運(yùn)送。④平安標(biāo)記：當(dāng)與一個實體相關(guān)聯(lián)時，這種平安標(biāo)記可用來表示同意或拒絕訪問，通常根據(jù)平安策略而定。訪問控制機(jī)制可應(yīng)用于通信聯(lián)系中的端點，或應(yīng)用于任一中間點。涉及原發(fā)點或任一中間點的訪問控制，是用來決定發(fā)送者是否被授權(quán)與指定的接收者進(jìn)行通信，或是否被授權(quán)使用所要求的通信資源。在無連接數(shù)據(jù)傳輸目的端上的對等級訪問控制機(jī)制的要求在原發(fā)點必須事先知道，還必須記錄在平安管理信息庫中?！?〕數(shù)據(jù)完整性機(jī)制數(shù)據(jù)完整性有兩個方面：單個數(shù)據(jù)單元或字段的完整性和數(shù)據(jù)單元流或字段流的完整性。一般來說，用來提供這兩種類型完整性效勞的機(jī)制是不相同的。決定單個數(shù)據(jù)單元的完整性涉及兩個過程，一個在發(fā)送實體上，一個在接收實體上。發(fā)送實體給數(shù)據(jù)單元附加一個量，這個量為該數(shù)據(jù)的函數(shù)。這個量可以是分組校驗碼那樣的補(bǔ)充信息，或是一個密碼校驗值，而且它本身可以被加密。接收實體產(chǎn)生一個相應(yīng)的量，確定這個量中的數(shù)據(jù)是否在傳送中被篡改正。單靠這種機(jī)制不能防止單個數(shù)據(jù)單元的重放。在網(wǎng)絡(luò)體系結(jié)構(gòu)的適當(dāng)層上，操作檢測可能在本層或較高層上起到恢復(fù)作用〔例如，重傳或糾錯〕。對于連接方式數(shù)據(jù)傳送，保護(hù)數(shù)據(jù)單元序列的完整性〔即防止亂序、數(shù)據(jù)的喪失、重放、插入或篡改〕還另外需要某種明顯的排序形式，例如，順序號、時間標(biāo)記或密碼鏈。對于無連接數(shù)據(jù)傳送，時間標(biāo)記可以用來在一定程度上提供保護(hù)，防止個別數(shù)據(jù)單元的重放。〔5〕鑒別交換機(jī)制可用于鑒別交換的一些技術(shù)是：使用鑒別信息，例如口令，由發(fā)送實體提供而由接收實體驗證；密碼技術(shù)；使用該實體的特征或占有物。這種機(jī)制可設(shè)置在N層以提供對等實體鑒別。如果在鑒別實體時，這一機(jī)制得到否認(rèn)的結(jié)果，就會導(dǎo)致連接的拒絕或終止，也可能使在平安審計跟蹤中增加一個記錄，或給平安管理中心一個報告。當(dāng)采用密碼技術(shù)時，這些技術(shù)可以與“握手〞協(xié)議結(jié)合起來以防止重放〔即確保存活期〕。鑒別交換技術(shù)的選用取決于使用它們的環(huán)境。在許多場合，它們必須與以下各項結(jié)合使用：時間標(biāo)記與同步時鐘；雙方握手和三方握手〔分別對應(yīng)于單方鑒別和相互鑒別〕；由數(shù)字簽名和公證機(jī)制實現(xiàn)的抗否認(rèn)效勞。〔6〕通信業(yè)務(wù)填充機(jī)制通信業(yè)務(wù)填充機(jī)制能用來提供各種不同級別的保護(hù)，對抗通信業(yè)務(wù)分析。這種機(jī)制只有在通信業(yè)務(wù)填充受到機(jī)制效勞保護(hù)時才是有效的?！?〕路由選擇控制機(jī)制路由選擇控制機(jī)制具有以下特點：①路由能動態(tài)地或預(yù)定地選取，以便只使用物理上平安的子網(wǎng)絡(luò)、中繼站或鏈路。②在檢測到持續(xù)的操作攻擊時，端系統(tǒng)可以指示網(wǎng)絡(luò)效勞的提供者經(jīng)不同的路由建立連接。③帶有某些平安標(biāo)記的數(shù)據(jù)可能被平安策略禁止通過某些子網(wǎng)絡(luò)、中繼站或鏈路。連接的發(fā)起者〔或無連接數(shù)據(jù)單元的發(fā)送者〕可以指定路由選擇說明，由它請求回避某些特定的子網(wǎng)絡(luò)、中繼站或鏈路?！?〕公證機(jī)制有關(guān)在兩個或多個實體之間通信的數(shù)據(jù)的性質(zhì)，如它的完整性、原發(fā)、時間和目的地等能夠借助公證機(jī)制得到確保。這種保證是由第三方公證人提供的。公證人為通信實體所信任，并掌握必要信息以一種可證實方式提供所需的保證。每個通信事例可使用數(shù)字簽名、加密和完整性機(jī)制以適應(yīng)公證人提供的那種效勞。當(dāng)這種公證機(jī)制被用到時，數(shù)據(jù)便在參與通信的實體之間經(jīng)由受保護(hù)的通信實體和公證方進(jìn)行通信。2.普遍性平安機(jī)制普遍性平安機(jī)制不是為任何特定的效勞而特設(shè)的，因此在任一特定的層上，對它們都不作明確的說明。某些普遍性平安機(jī)制可認(rèn)為屬于平安管理方面。普遍性平安機(jī)制可分為以下幾種?！?〕可信功能度可信功能度可以擴(kuò)充其他平安機(jī)制的范圍，或建立這些平安機(jī)制的有效性；可以保證對硬件與軟件寄托信任的手段已超出本標(biāo)準(zhǔn)的范圍，而且在任何情況下，這些手段隨已覺察到的威脅的級別和被保護(hù)信息的價值而改變。一般說來，這些手段的代價高而且難于實現(xiàn)。解決方法是選取一個體系結(jié)構(gòu)，它允許平安功能在一些模塊中實現(xiàn)，這些模塊能與非平安功能分開來制作，并由非平安功能來提供。應(yīng)用于一個層而對該層之上的聯(lián)系所作的任何保護(hù)必須由另外的手段來提供，例如通過適當(dāng)?shù)目尚殴δ芏?。?〕平安標(biāo)記平安標(biāo)記是與某一資源〔可以是數(shù)據(jù)單元〕密切相關(guān)聯(lián)的標(biāo)記，為該資源命名或指定平安屬性〔這種標(biāo)記或約束可以是明顯的，也可以是隱含的〕。包含數(shù)據(jù)項的資源可能具有與這些數(shù)據(jù)相關(guān)聯(lián)的平安標(biāo)記，例如指明數(shù)據(jù)敏感性級別的標(biāo)記。常常必須在傳送中與數(shù)據(jù)一起運(yùn)送適當(dāng)?shù)钠桨矘?biāo)記。平安標(biāo)記可能是與被傳送的數(shù)據(jù)相連的附加數(shù)據(jù)，也可能是隱含的信息。例如，使用一個特定密鑰加密數(shù)據(jù)所隱含的信息，或由該數(shù)據(jù)的上下文所隱含的信息。明顯的平安標(biāo)記必須是清晰可辨的，以便對它們作適當(dāng)?shù)尿炞C。此外，它們還必須平安可靠地依附于與之關(guān)聯(lián)的數(shù)據(jù)。(3)事件檢測與平安有關(guān)的事件檢測包括對平安明顯事件的檢測，也可以包括對“正常〞事件的檢測，例如，一次成功的訪問〔或注冊〕。與平安有關(guān)的事件的檢測可由OSI內(nèi)部含有平安機(jī)制的實體來做。構(gòu)成一個事件的技術(shù)標(biāo)準(zhǔn)由事件處置管理來維護(hù)。對各種平安事件的檢測，可能引起一個或多個如下動作：在本地報告這一事件；遠(yuǎn)程報告這一事件；對事件作記錄；進(jìn)行恢復(fù)。這種平安事件的例子為：特定的平安侵害；特定的選擇事件；對事件發(fā)生次數(shù)計數(shù)的溢出。這一領(lǐng)域的標(biāo)準(zhǔn)化將考慮對事件報告與事件記錄有關(guān)信息的傳輸，以及為了傳輸事件報告與事件記錄所使用的語法和語義的定義。(4)平安審計跟蹤平安審計就是對系統(tǒng)的記錄與行為進(jìn)行獨(dú)立的評估考查，目的是測試系統(tǒng)的控制是否恰當(dāng)，保證與既定策略和操作的協(xié)調(diào)一致，有助于做出損害評估，以及對在控制、策略與規(guī)程中指明的改變做出評價。其目的在于：①平安審計跟蹤提供了一種不可無視的平安機(jī)制，它的潛在價值在于經(jīng)事后的平安審計可以檢測和調(diào)查平安的漏洞。平安審計要求在平安審計跟蹤中記錄有關(guān)平安的信息，分析和報告從平安審計跟蹤中得來的信息。這種日志或記錄被認(rèn)為是一種平安機(jī)制并予以描述，而把分析和報告視為一種平安管理功能。②搜集審計跟蹤的信息，通過列舉被記錄的平安事件的類別〔例如對平安要求的明顯違反或成功操作的完成〕，能適應(yīng)各種不同的需要。平安審計可對某些潛在的侵犯平安的攻擊源起到威懾作用。③OSI平安審計跟蹤將考慮要選擇記錄什么信息、在什么條件下記錄信息，以及為了交換平安審計跟蹤信息所采用的語法和語義定義。(5)平安恢復(fù)平安恢復(fù)處理來自諸如事件處置與管理功能等機(jī)制的請求，并把恢復(fù)動作當(dāng)作是應(yīng)用一組規(guī)那么的結(jié)果?；謴?fù)動作可能有3種：立即動作，可能造成操作的立即放棄，如斷開；暫時動作，可能使一個實體暫時無效；長期動作，可能是把一個實體記入“黑名單〞，或改變密鑰。對于標(biāo)準(zhǔn)化的課題包括恢復(fù)動作的協(xié)議，以及平安恢復(fù)管理的協(xié)議。ISO7498-2標(biāo)準(zhǔn)說明了實現(xiàn)哪些平安效勞應(yīng)該采用哪種機(jī)制，參見表6-1。這張表只是說明性的，而不是確定性的。〔見書中表6-1OSI平安效勞與平安機(jī)制的關(guān)系〕6.4OSI平安效勞與平安機(jī)制的關(guān)系OSI平安體系結(jié)構(gòu)最重要的奉獻(xiàn)是它總結(jié)了各項平安效勞在OSI七層中的適當(dāng)配置位置，參見表6-2。在標(biāo)準(zhǔn)中這張表起到了“航標(biāo)〞作用，因為它說明了參考模型中的各個層次應(yīng)提供哪些平安效勞?！惨姇?-2平安效勞與層之間的關(guān)系〕6.5在OSI層中的平安效勞配置1.平安分層及效勞配置原那么為了決定平安效勞對層的分配以及伴隨而來的平安機(jī)制在這些層上的配置，用到了以下原那么：實現(xiàn)一種效勞的不同方法越少越好；在多個層上提供平安來建立平安系統(tǒng)是可取的；為平安所需的附加功能不應(yīng)該不必要地重復(fù)OSI的現(xiàn)有功能；防止破壞層的獨(dú)立性；可信功能度的總量應(yīng)盡量少；只要一個實體依賴于由位于較低層的實體提供的平安機(jī)制，那么任何中間層應(yīng)該按不違反平安的方式構(gòu)作；只要可能，應(yīng)以不排除作為自容納模塊起作用的方法來定義一個層的附加平安功能；本標(biāo)準(zhǔn)被認(rèn)定應(yīng)用于由包含所有七層的端系統(tǒng)組成的開放系統(tǒng)，以及中繼系統(tǒng)。各層上的效勞定義可能需要修改以便滿足平安效勞的請求，不管所要求的平安效勞是由該層提供還是由下層提供。2.在OSI各層中的平安效勞配置有關(guān)各層提供的主要平安效勞如下。物理層：提供連接機(jī)密性和〔或〕業(yè)務(wù)流機(jī)密性效勞〔這一層沒有無連接效勞〕。數(shù)據(jù)鏈路層：提供連接機(jī)密性和無連接機(jī)密性效勞〔物理層以上不能提供完全的業(yè)務(wù)流機(jī)密性〕。網(wǎng)絡(luò)層：可以在一定程度上提供認(rèn)證、訪問控制、機(jī)密性〔除了選擇字段機(jī)密性〕和完整性〔除了可恢復(fù)的連接完整性、選擇字段的連接完整性〕效勞。運(yùn)輸層：可以提供認(rèn)證、訪問控制、機(jī)密性〔除了選擇字段機(jī)密性、業(yè)務(wù)流機(jī)密性〕和完整性〔除了選擇字段的連接完整性〕效勞。會話層：不提供平安效勞。表示層：本身不提供完全效勞。但其提供的設(shè)施可支持應(yīng)用層向應(yīng)用程序提供平安效勞。所以，規(guī)定表示層的設(shè)施支持根本的數(shù)據(jù)機(jī)密性效勞，支持認(rèn)證、完整性和抗否認(rèn)效勞。應(yīng)用層：必須提供所有的平安效勞，它是惟一能提供選擇字段效勞和抗否認(rèn)效勞的一層。OSI平安管理涉及與OSI有關(guān)的平安管理以及OSI管理的平安兩個方面。OSI平安管理與這樣一些操作有關(guān)，它們不是正常的通信情況但卻為支持與控制這些通信的平安所必需。由分布式開放系統(tǒng)的行政管理設(shè)定的平安策略可以是各種各樣的，OSI平安管理標(biāo)準(zhǔn)應(yīng)該支持這些策略。附屬于單一的平安策略、受單個授權(quán)機(jī)構(gòu)管理的多個實體構(gòu)成的集合稱之為“平安域〞。平安域以及它們的相互作用是有待進(jìn)一步研究的重要領(lǐng)域。6.6OSI平安體系的平安管理OSI平安管理包括OSI平安效勞的管理與平安機(jī)制的管理。這樣的管理要求給這些效勞與機(jī)制分配管理信息，并搜集與這些效勞和機(jī)制的操作有關(guān)的信息。例如，密鑰的分配，設(shè)置行政管理設(shè)定的平安選擇參數(shù)，報告正常的與異常的平安事件〔審計跟蹤〕，以及效勞的激活與停止。平安管理并不強(qiáng)調(diào)在調(diào)用特定的平安效勞的協(xié)議中〔例如連接請求的參數(shù)中〕傳遞與平安有關(guān)的信息。平安管理信息庫〔SMIB〕是一個概念上的集存地，存儲開放系統(tǒng)所需的與平安有關(guān)的全部信息。這一概念對信息的存儲形式與實施方式不提出要求。但是每個端系統(tǒng)必須包含必需的本地信息，使它能執(zhí)行某個適當(dāng)?shù)钠桨膊呗浴MIB對于在端系統(tǒng)的一個〔邏輯的或物理的〕組中執(zhí)行一種協(xié)調(diào)的平安策略是必不可少的，在這一點上，SMIB是一個分布式信息庫。而在實際中，SMIB的某些局部可以與MIB〔管理信息庫〕結(jié)合成一體，也可以分開。SMIB有多種實現(xiàn)方法，例如，數(shù)據(jù)表、文卷、嵌入開放系統(tǒng)軟件或硬件中的數(shù)據(jù)或規(guī)那么。管理協(xié)議特別是平安管理協(xié)議，以及傳送這些管理信息的通信信道，潛在著抗攻擊的脆弱性。所以應(yīng)加以特別關(guān)心以確保管理協(xié)議與信息受到保護(hù)，不致削弱為通常的通信實體提供的平安保護(hù)。平安管理可以要求在不同系統(tǒng)的行政管理機(jī)構(gòu)之間交換與平安有關(guān)的信息，以便使SMIB得以建立或擴(kuò)充。在某些情況下，與平安有關(guān)的信息將經(jīng)由非OSI通信通路傳遞，局部系統(tǒng)的管理者也將采用非OSI標(biāo)準(zhǔn)化方法來修改SMIB。在另外一些情況下，可能希望在一個OSI通信通路上交換這樣的信息，這時這些信息將在運(yùn)行于開放系統(tǒng)中的兩個平安管理應(yīng)用之間傳遞。該平安管理應(yīng)用將使用這些通信信息來修改SMIB。SMIB的這種修改可以要求事先給適當(dāng)?shù)钠桨补芾碚呤跈?quán)。應(yīng)用協(xié)議將為在OSI通信信道上交換與平安有關(guān)的信息作出規(guī)定。OSI平安管理活動有3類：系統(tǒng)平安管理、平安效勞管理和平安機(jī)制管理。此外，還必須考慮到OSI管理本身的平安。對這幾類平安管理所執(zhí)行的主要功能概述如下。1.系統(tǒng)平安管理系統(tǒng)平安管理涉及總的OSI環(huán)境平安方面的管理。屬于這一類平安管理的典型活動有：〔1〕總體平安策略的管理，包括一致性的修改與維護(hù)?！?〕與別的OSI管理功能的相互作用?！?〕與平安效勞管理和平安機(jī)制管理的交互作用?！?〕事件處理管理，包括遠(yuǎn)程報告那些違反系統(tǒng)平安的明顯企圖，以及對用來觸發(fā)事件報告的閾值的修改。〔5〕平安審計管理，包括選擇將被記錄和被遠(yuǎn)程搜集的事件，授予或取消對所選事件進(jìn)行審計跟蹤日志記錄的能力，審計記錄的遠(yuǎn)程搜集，準(zhǔn)備平安審計報告?！?〕平安恢復(fù)管理，包括維護(hù)那些用來對實有的或可疑的平安事故做出反響的規(guī)那么，遠(yuǎn)程報告對系統(tǒng)平安的明顯違規(guī)，平安管理者的交互作用。2.平安效勞管理平安效勞管理涉及特定平安效勞的管理。在管理一種特定平安效勞時可能執(zhí)行的典型活動有：〔1〕為該效勞決定與指派平安保護(hù)的目標(biāo)?！?〕指定與維護(hù)選擇規(guī)那么〔存在可選情況時〕，用以選取為提供所需的平安效勞而使用的特定的平安機(jī)制?！?〕對那些需要事先取得管理者同意的可用平安機(jī)制進(jìn)行協(xié)商?！?〕通過適當(dāng)?shù)钠桨矙C(jī)制管理功能調(diào)用特定的平安機(jī)制?！?〕與其他的平安效勞管理功能和平安機(jī)制管理功能的交互作用。3.平安機(jī)制管理平安機(jī)制管理涉及特定平安機(jī)制的管理。典型的平安機(jī)制管理功能有：〔1〕密鑰管理包括間歇性地產(chǎn)生與所要求的平安級別相稱的適宜密鑰；根據(jù)訪問控制的要求，對于每個密鑰決定哪個實體應(yīng)該接受密鑰的拷貝；用可靠方法使這些密鑰對開放系統(tǒng)中的實體是可用的，或?qū)⑦@些密鑰分配給它們；上述密鑰管理功能將在OSI環(huán)境之外執(zhí)行，其中包括用可靠手段對密鑰進(jìn)行物理的分配。用于一次聯(lián)系中的工作密鑰的交換是一種正常的層協(xié)議功能。工作密鑰的選取通過訪問密鑰分配中心來完成，或經(jīng)管理協(xié)議作事先的分配?！?〕加密管理包括與密鑰管理的交互作用；建立密碼參數(shù)；密碼同步。密碼機(jī)制的存在意味著使用密碼管理和采用共同的方式調(diào)用密碼算法。由加密提供的保護(hù)的區(qū)分能力決定于OSI環(huán)境中哪些實體獨(dú)立地使用密鑰。一般說來，這反過來又決定于平安體系結(jié)構(gòu)，特別是由密鑰管理機(jī)制決定。為獲得對加密算法的共同調(diào)用，可使用密碼算法存放器或在實體間進(jìn)行事前的協(xié)商?！?〕數(shù)字簽名管理包括與密鑰管理的交互作用；建立密碼參數(shù)與密碼算法；在通信實體與可能有的第三方之間使用協(xié)議。一般說來，數(shù)字簽名管理與加密管理極為類似。〔4〕訪問控制管理包括平安屬性〔包括口令〕的分配；對訪問控制表或權(quán)利表進(jìn)行修改；在通信實體與其他提供訪問控制效勞的實體之間使用協(xié)議。〔5〕數(shù)據(jù)完整性管理包括與密鑰管理的交互作用；建立密碼參數(shù)與密碼算法；在通信的實體間使用協(xié)議。當(dāng)對數(shù)據(jù)完整性使用密碼技術(shù)時，數(shù)據(jù)完整性管理便與加密管理極為類似?！?〕鑒別管理包括將說明信息、口令或密鑰〔使用密鑰管理〕分配給要求執(zhí)行鑒別的實體；在通信的實體與其他提供鑒別效勞的實體之間使用協(xié)議?！?〕通信業(yè)務(wù)填充管理包括維護(hù)那些用作通信業(yè)務(wù)填充的規(guī)那么，例如，預(yù)定的數(shù)據(jù)率；指定隨機(jī)數(shù)據(jù)率；指定報文特性，例如長度；可能按時間或日歷來改變這些規(guī)定?！?〕路由選擇控制管理包括確定那些按特定準(zhǔn)那么被認(rèn)為是平安可靠或可信任的鏈路或子網(wǎng)絡(luò)?！?〕公證管理包括分配有關(guān)公證的信息；在公證方與通信的實體之間使用協(xié)議；與公證方的交互作用。4.OSI管理的平安所有OSI管理功能的平安以及OSI管理信息的通信平安是OSI平安的重要局部。這一類平安管理將借助對上面所列的OSI平安效勞與機(jī)制作適當(dāng)?shù)倪x取，以確保OSI管理協(xié)議與信息獲得足夠的保護(hù)。例如，在管理信息庫的管理實體之間的通信一般將要求某種形式的保護(hù)。5.特定的系統(tǒng)平安管理活動特定的系統(tǒng)平安管理活動包括以下幾類：〔1〕事件處理管理包括遠(yuǎn)程報告那些違反系統(tǒng)平安的明顯企圖；對用來觸發(fā)事件報告的閾值的修改。〔2〕平安審計管理包括選擇將被記錄和被遠(yuǎn)程搜集的事件；授予或取消對所選事件進(jìn)行審計跟蹤日志記錄的能力；所選審計記錄的遠(yuǎn)程搜集；準(zhǔn)備平安審計報告。〔3〕平安恢復(fù)管理包括維護(hù)那些用來對實有的或可疑的平安事故作出反響的規(guī)那么；遠(yuǎn)程報告對系統(tǒng)平安的明顯違反；平安管理者的交互作用。網(wǎng)絡(luò)體系結(jié)構(gòu)是計算機(jī)之間相互通信的層次，以及各層中的協(xié)議和層次之間接口的集合。網(wǎng)絡(luò)協(xié)議是計算機(jī)網(wǎng)絡(luò)和分布系統(tǒng)中互相通信的對等實體間交換信息時所必須遵守的規(guī)那么的集合。開放系統(tǒng)互連參考模型是國際標(biāo)準(zhǔn)化組織ISO定義的開放系統(tǒng)體系結(jié)構(gòu)，是一種將異構(gòu)系統(tǒng)互連的七層分層結(jié)構(gòu)，提供了控制互連系統(tǒng)交互規(guī)那么的標(biāo)準(zhǔn)框架。6.7本章小結(jié)開放系統(tǒng)互連平安體系結(jié)構(gòu)〔ISO7498-2〕是基于OSI參考模型的七層協(xié)議之上的信息平安體系結(jié)構(gòu)。它定義了5類平安效勞、8種特定的平安機(jī)制、5種普遍性平安機(jī)制。確定了平安效勞與平安機(jī)制的關(guān)系以及在OSI七層模型中平安效勞的配置。它還確定了OSI平安體系的平安管理。5類平安效勞是鑒別、訪問控制、數(shù)據(jù)機(jī)密性、數(shù)據(jù)完整性以及抗否認(rèn)。8種特定的平安機(jī)制是加密、數(shù)字簽名、訪問控制、數(shù)據(jù)完整性、鑒別交換、通信業(yè)務(wù)填充、路由選擇控制以及公證。5種普遍性平安機(jī)制是可信功能度、平安標(biāo)記、事件檢測、平安審計跟蹤以及平安恢復(fù)。各項平安效勞在OSI七層中都有適當(dāng)?shù)呐渲梦恢?。OSI平安體系的平安管理涉及與OSI有關(guān)的平安管理以及OSI管理的平安兩個方面。OSI平安管理包括系統(tǒng)平安管理〔OSI環(huán)境平安〕、OSI平安效勞的管理與平安機(jī)制的管理。OSI管理的平安包括所有OSI管理功能的平安以及OSI管理信息的通信平安。6-1網(wǎng)絡(luò)協(xié)議的關(guān)鍵成分是〔〕。A.硬件、軟件與數(shù)據(jù)B.語法、語義、體系結(jié)構(gòu)C.語法、定時、層次結(jié)構(gòu)D.語法、語義、定時6-2如果網(wǎng)絡(luò)協(xié)議定義數(shù)據(jù)的傳輸率是100Mbps，這是〔〕問題。A.語法B.語義C.定時D.上面3項都不是6-3一個報文的端到端傳遞由OSI模型的〔〕層負(fù)責(zé)處理。A.網(wǎng)絡(luò)B.傳輸C.會話D.表示習(xí)題6-4在開放系統(tǒng)互連環(huán)境中，兩個N層實體進(jìn)行通信，它們可能用到的效勞是〔〕。A.N-1層提供的效勞B.N層提供的效勞C.N+1層提供的效勞D.以上3項都不是6-5在某個網(wǎng)絡(luò)上的兩臺機(jī)器之間傳輸2小時的文件，而網(wǎng)絡(luò)每隔1小時崩潰一次，這時可以考慮在數(shù)據(jù)流中參加一個校驗點，使得在網(wǎng)絡(luò)崩潰后，只是最后一個校驗點之后的數(shù)據(jù)