網(wǎng)絡(luò)安全原理與應(yīng)用 教學(xué)課件 作者 沈蘇彬 NetSec QA-支持高清瀏覽

網(wǎng)絡(luò)安全思考題與例題1沈蘇彬南京郵電大學(xué)信息網(wǎng)絡(luò)技術(shù)研究所網(wǎng)絡(luò)安全概述思考題(1)2什么是網(wǎng)絡(luò)安全？網(wǎng)絡(luò)安全技術(shù)需要防護(hù)的對象包括哪幾類？目前網(wǎng)絡(luò)上通常存在哪幾類網(wǎng)絡(luò)威脅，這些網(wǎng)絡(luò)威脅的特征是什么？網(wǎng)絡(luò)安全可以分解成為哪幾類可以評測的特性？這些特性可以分別針對網(wǎng)絡(luò)系統(tǒng)中哪幾類安全威脅？網(wǎng)絡(luò)安全概述思考題(2)3網(wǎng)絡(luò)安全技術(shù)可以由哪幾類安全技術(shù)組成？為什么說這些技術(shù)是網(wǎng)絡(luò)安全中的關(guān)鍵技術(shù)？如果忽略其中一項技術(shù)，是否還可以保證網(wǎng)絡(luò)的安全性？試列舉相應(yīng)的理由。為什么網(wǎng)絡(luò)安全技術(shù)必須是網(wǎng)絡(luò)系統(tǒng)中一項可選技術(shù)？例舉幾個網(wǎng)絡(luò)安全被破壞的實例，試用網(wǎng)絡(luò)安全風(fēng)險模型分析，是屬于哪種網(wǎng)絡(luò)安全威脅？密碼學(xué)基本概念思考題(1)4什么是明文？什么是密文？從明文轉(zhuǎn)換到密文還需要輸入什么數(shù)據(jù)？需要利用什么過程？通常有幾種破譯密碼的攻擊方式？一個安全的加密系統(tǒng)至少應(yīng)該防范何種密碼攻擊？最好能夠防范何種密碼攻擊？加密系統(tǒng)的安全性分成哪幾種類型？常用的是哪種安全的加密系統(tǒng)？為什么？密碼學(xué)基本概念思考題(2)5什么是塊加密算法？什么是流加密算法？實際應(yīng)用中，是否可以用塊加密算法替代流加密算法？試說明理由。什么是對稱密鑰加密算法？什么是不對稱密鑰加密算法？實際應(yīng)用中，是否可以采用不對稱密鑰算法替代對稱密鑰加密算法？試說明理由。密碼技術(shù)主要應(yīng)該防御哪幾類密碼破譯技術(shù)的攻擊？這幾類密碼攻擊技術(shù)有何特征？什么類型的密碼系統(tǒng)算是安全密碼系統(tǒng)？傳統(tǒng)密碼學(xué)概述思考題(1)6傳統(tǒng)的愷撒加密算法是否可以公開算法？通用愷撒加密算法是否可以公開算法？從密碼學(xué)角度進(jìn)行分析，愷撒加密算法是否安全？傳統(tǒng)加密算法的基本原理是什么？DES加密算法如何運(yùn)用這些基本原理構(gòu)成一個安全的加密算法？什么是三重DES算法？從密碼學(xué)角度分析，為什么三重DES算法可以改善DES加密算法的安全性？傳統(tǒng)密碼學(xué)概述思考題(2)7加密操作模式主要解決數(shù)據(jù)加密中的哪幾類問題？現(xiàn)在常用的有幾類加密操作模式？為什么說ECB模式不安全？為什么說CBC是一種塊加密操作模式？這種塊加密操作模式不適合于什么樣的網(wǎng)絡(luò)安全應(yīng)用環(huán)境？如何解決這方面的問題？公鑰密碼學(xué)概述思考題8公鑰密碼學(xué)最初是為了解決什么方面問題而提出的？公鑰密碼學(xué)基本原理是什么？公鑰密碼學(xué)相對于傳統(tǒng)密碼學(xué)最大的改進(jìn)在哪里？RSA公鑰加密算法包括哪兩個主要過程？它是如何保證滿足公鑰密碼系統(tǒng)中的4個基本特性？為什么說RAS公鑰加密算法是安全的？Diffie-Hellman密鑰生成算法主要可以解決什么問題？為什么通常在公鑰密碼學(xué)中介紹該算法？如何保證該算法在目前計算條件下是安全的？RSA加密算法舉例(1)9例題1:假定p=79，q=67，n=79×67=5293，78×66=5148，d＝127，求與d對應(yīng)的公鑰e5148＝40×127＋68，127＝1×68＋59，68＝1×59＋9，59＝6×9＋5，9＝1×5＋4，5＝1×4＋15148－40×127＝68，127－1×68＝59 127－(5148－40×127)＝59 41×127－5148＝59RSA加密算法舉例(1)續(xù)10 5148－40×127＝1×(41×127－5148)＋92×5148－81×127＝9 41×127－5148＝6×(2×5148－81×127)＋5527×127－13×5148＝5 2×5148－81×127＝527×127－13×5148＋415×5148－608×127＝4527×127－13×5148＝15×5148－608×127＋1 1135×127－28×5148＝1 e=1135 RSA密鑰的驗證:3211135(mod5293)=72，72127(mod5293)=321RSA加密算法舉例(2)11例題2:p=53，q=67，n=53×67＝3551，(n)=52×66＝3432如果私鑰d=131，求對應(yīng)的公鑰e3432=26×131＋26131＝5×26＋1131＝5×(3432－26×131)＋1131×131

－

5×3432

＝

1e

=

131這個公鑰是否合理？為什么？RSA加密算法舉例(3)12例題3:已知p=53，q=67，n=53×67＝3551，(n)=52×66＝3432如果選擇d=137，求與該d對應(yīng)的公鑰d3432=25×137＋7137＝19×7＋47＝1×4＋34＝1×3＋13432－25×137＝7RSA加密算法舉例(3)13

137

＝

19×(3432－25×137)＋4

476×137－19×3432＝4

3432－25×137＝476×137－19×3432＋320×3432－501×137

＝

3476×137－19×3432＝20×3432－501×137＋1977×137－39×3432＝1e

=977920977(mod3551)=88,88137(mod3551)=920Diffie-Hellman算法舉例14對于Diffie-Hellman密鑰生成算法,假定q=71,=53,XA=21,XB=17,則YA

=

5321

(mod

71)

=

66YB

=

5317

(mod

71)

=

69KA,B

=

6921

(mod

71)

=

46KB,A

=

6617

(mod

71)

=

46

=

KA,B身份驗證技術(shù)基本概念15身份驗證技術(shù)可以分成哪幾類？這幾類身份驗證技術(shù)之間有什么關(guān)聯(lián)？通?？梢酝ㄟ^驗證哪幾類內(nèi)容進(jìn)行身份驗證？這些身份驗證方式具有哪些優(yōu)點(diǎn)和不足？這些身份驗證方式分別適用于哪些應(yīng)用環(huán)境？身份驗證可以分成哪幾種方式？為什么在電子商務(wù)環(huán)境下一定要使用三方身份驗證方式？報文身份驗證思考題(1)16報文身份驗證的目的是什么？目前有哪幾種報文身份驗證的方法？這些報文身份驗證方法具有什么優(yōu)點(diǎn)和不足？報文摘要是否等價于報文驗證碼？如果不等價，如何將報文摘要轉(zhuǎn)換成為報文驗證碼？是否可以不使用加密算法生成報文驗證碼？如果可以，如何生成？報文身份驗證思考題(2)17什么是MD5算法？為什么說MD5算法仍然會遭受“生日現(xiàn)象”攻擊？什么是數(shù)字簽名？為什么需要數(shù)字簽名？通常所說的報文身份驗證技術(shù)是否就是數(shù)字簽名技術(shù)？HMAC算法有何用途？它與MD5和SHA-1算法有什么關(guān)聯(lián)？為什么說HMAC算法中使用的密鑰不是通常意義上的密鑰？這種密鑰有什么作用？身份驗證協(xié)議思考題18什么是身份驗證協(xié)議？為什么需要在身份驗證協(xié)議中引入一次性數(shù)？為什么需要在身份驗證協(xié)議中引入身份驗證服務(wù)器？Needham-Schroeder身份驗證協(xié)議是如何進(jìn)行雙方身份驗證的？在什么情況下可以簡化Needham-Schroeder身份驗證協(xié)議？Needham-Schroeder身份驗證協(xié)議存在哪些安全隱患？如何才能改進(jìn)這些安全隱患？身份驗證協(xié)議例題(1)19假設(shè)已知A與C之間存在共享密鑰KA,C，B與C之間存在共享密鑰KB,C。試設(shè)計一個協(xié)議，使得A能夠向B驗證其真實身份，并且A能夠生成A與B之間的共享密鑰KA,B，安全地將KA,B傳遞給B。為了防范重播報文攻擊，應(yīng)該對以上協(xié)議進(jìn)行何種改進(jìn)？身份驗證協(xié)議例題(2)20 主要是改變NS協(xié)議,由A提出與B共同采用的密鑰KA,B。M1:

AM2:

CM3:

AM4:

BM5:

AC:

A,

B,

NA,

KA,C

{KA,B}A:

K

A,C

{NA,

B,

KA,B,

K

B,C{KA,B,

A}}B:

K

B,C{KA,B,

A}A:

KA,B{NB}B:

KA,B{NB

–

1}身份驗證協(xié)議例題(3)21 為了防范在密鑰KA,B泄漏后的重播攻擊，引入時間戳T，對前三個報文的改進(jìn)如下:M1’:

AM2’:

CM3’:

AC:

A,

B,

KA,C

{KA,B}A

:

KA,C{T,

B,

KA,B,

KB,C{KA,B,

A,

T}}B:

KB,C{KA,B,

A,

T}Kerberos身份驗證系統(tǒng)思考題22Kerberos身份驗證系統(tǒng)有何用途？它與身份驗證協(xié)議有何關(guān)系？基本Kerberos身份驗證協(xié)議如何進(jìn)行身份驗證？在身份驗證之前需要協(xié)商哪些內(nèi)容？身份驗證過程中需要網(wǎng)絡(luò)用戶輸入何種信息？完全Kerberos身份驗證協(xié)議比基本Kerberos身份驗證協(xié)議多提供了哪些功能？公共密鑰基礎(chǔ)設(shè)施思考題23為什么需要構(gòu)建PKI？PKI通常采用什么結(jié)構(gòu)？在多個信任域環(huán)境中需要如何擴(kuò)展PKI結(jié)構(gòu)？根CA簽署自己的證書時，是否利用自己私鑰對整個證書進(jìn)行加密？試分析CA簽署證書的方法，并且說明其合理性。在傳統(tǒng)的作廢證書檢查方案中，端實體在進(jìn)行作廢證書檢查時，是否需要下載整個CRL？這樣會存在什么問題？如何解決這些問題？訪問控制策略與模型思考題(1)24什么是訪問控制策略？什么是訪問控制機(jī)制？什么是訪問控制模型？它們?nèi)咧g存在什么關(guān)系？什么是訪問控制的主體？什么是訪問控制的客體？托管監(jiān)控器具有哪3點(diǎn)基本要求？是否可以省略其中的一項安全特性要求？為什么？訪問控制策略與模型思考題(2)25什么是DAC控制策略？什么是MAC控制策略？這些控制策略主要應(yīng)用于哪些安全應(yīng)用環(huán)境？Bell-LaPadula模型主要支持什么類型的訪問控制策略？為什么說Bell-LaPadula模型中的星狀特征規(guī)則是必須的？商用安全策略與軍用安全策略有何本質(zhì)區(qū)別？Clark-Wilson模型是如何實現(xiàn)商用安全策略的？網(wǎng)絡(luò)防火墻思考題26網(wǎng)絡(luò)防火墻必須具備哪幾種特征？為什么？網(wǎng)絡(luò)層防火墻主要具有何種訪問控制能力？它具有哪些優(yōu)點(diǎn)？哪些不足？應(yīng)用層防火墻主要具有何種訪問控制能力？它具有哪些優(yōu)點(diǎn)？哪些不足？訪問控制模型練習(xí)27假設(shè)某網(wǎng)絡(luò)系統(tǒng)限定用戶A1可以“讀/寫”訪問目錄D1和D2中的文件，用戶A2可以“讀/寫”訪問目錄D2中的文件。問題：采用DAC策略實現(xiàn)以上訪問控制。采用MAC策略實現(xiàn)以上訪問控制。如果A1擁有目錄D1，A1是否可以將訪問權(quán)限傳遞給A2？如果可以，如何傳遞？訪問控制模型練習(xí)(續(xù)1)解答（1）:可以采用以下訪問控制列表實現(xiàn)滿足DAC策略的以上訪問控制:主體客體控制操作A1D1允許讀/寫A1D2允許讀/寫A2D2允許讀/寫28訪問控制模型練習(xí)(續(xù)2)29以上訪問控制列表也可以表述為:A1允許“讀/寫”D1；A1允許“讀/寫”D2；A2允許“讀/寫”D2。問題（2）采用MAC策略實現(xiàn)以上訪問控制。解答（2）:首先定義A1安全等級為S，A2安全等級為C，D1安全等級為S，D2安全等級為C，并且S>C。訪問控制模型練習(xí)(續(xù)2)根據(jù)B-L訪問控制模型可以得出實現(xiàn)滿足MAC策略的以上訪問控制的訪問控制列表:主體客體控制操作A1D1允許讀/寫A1D2允許讀A2D2允許讀/寫30訪問控制模型練習(xí)(續(xù)3)31以上訪問控制列表也可以表述為：A1允許“讀/寫”D1；A1允許“讀”D2；A2允許“讀/寫”D2。問題（3）如果A1擁有目錄D1，A1是否可以將訪問權(quán)限傳遞給A2？如果可以，如何傳遞？解答（3）：只有在DAC策略下，A1才能向A2傳遞對D1的訪問控制權(quán)限。訪問控制模型練習(xí)(續(xù)4)A1只需要在對D1的訪問控制列表中增加以下控制規(guī)則:主體客體控制操作A2D1允許讀/寫32網(wǎng)絡(luò)攻擊檢測思考題33網(wǎng)絡(luò)侵入是否一定是網(wǎng)絡(luò)攻擊？網(wǎng)絡(luò)攻擊是否一定需要進(jìn)行網(wǎng)絡(luò)侵入？為什么？網(wǎng)絡(luò)攻擊目前可以分成哪幾種類型？試對照網(wǎng)絡(luò)安全的3個特性，分析這幾類網(wǎng)絡(luò)攻擊的意圖有何不同。試列舉幾種典型的網(wǎng)絡(luò)攻擊，分析這些網(wǎng)絡(luò)攻擊的特征。目前有哪幾種網(wǎng)絡(luò)攻擊檢測方法？這些攻擊檢測方法各自有何優(yōu)點(diǎn)和不足？網(wǎng)絡(luò)數(shù)據(jù)安全思考題(1)34什么是安全I(xiàn)P技術(shù)？它由幾個部分構(gòu)成？安全I(xiàn)P協(xié)議簇由哪些部分構(gòu)成？什么是安全關(guān)聯(lián)？為什么說安全關(guān)聯(lián)是安全I(xiàn)P的基礎(chǔ)？安全關(guān)聯(lián)具有哪幾種操作模式？這幾種操作模式分別適用于哪些安全應(yīng)用環(huán)境？網(wǎng)絡(luò)數(shù)據(jù)安全思考題(2)35為什么需要組合多個安全關(guān)聯(lián)？安全I(xiàn)P中定義了哪幾種安全關(guān)聯(lián)組合模式？這些組合模式分別適用于哪些安全應(yīng)用環(huán)境？AH安全協(xié)議主要提供哪些安全功能？既然ESP也可以提供AH提供的功能，為什么還需要單獨(dú)設(shè)計一個AH安全協(xié)議？AH和ESP安全協(xié)議如何防范報文重播攻擊？網(wǎng)絡(luò)數(shù)據(jù)安全思考題(3)36ISAKMP協(xié)議是否是只適用于IP層的協(xié)議？為什么？這樣定義有何優(yōu)點(diǎn)？有何不足？ISAKMP協(xié)議定義了兩階段安全關(guān)聯(lián)協(xié)商的過程，兩個安全關(guān)聯(lián)的協(xié)商階段有何不同？這種階段劃分有何好處？ISAKMP定義了哪幾種交換類型？這些交換類型分別適用于哪些安全關(guān)聯(lián)協(xié)商過程？IKE協(xié)議與ISAKMP協(xié)議有何不同？IKE協(xié)議究竟提供了什么功能？基于IPsec的綜合應(yīng)用題37 例題1：假設(shè)某個銷售人員試圖在外地通過公共互聯(lián)網(wǎng)從公司網(wǎng)絡(luò)服務(wù)器中獲取銷售資料和文件。請問：如果該銷售人員不采用任何安全技術(shù)直接從公司服務(wù)器取數(shù)據(jù)會遇到哪幾種安全威脅？該銷售人員考慮采用安全技術(shù)，則他至少應(yīng)該從哪幾個方面考慮安全技術(shù)？如果他選擇安全I(xiàn)P技術(shù)(IPsec)作為安全防范技術(shù)，他如何進(jìn)行身份驗證？基于IPsec的綜合應(yīng)用題(續(xù)1)38如果他試圖保密地傳遞客戶訂單，他應(yīng)該選用何種IPsec中的安全協(xié)議？如果他試圖完整地傳遞客戶促銷計劃，他最好選用哪種IPsec中的安全協(xié)議？如果公司服務(wù)器提供了訪問控制機(jī)制，需要根據(jù)用戶標(biāo)識控制對公司服務(wù)器的訪問權(quán)限，這是他應(yīng)該選擇哪種類型的安全關(guān)聯(lián)建立協(xié)議？假定用戶已經(jīng)獲得的公鑰，試具體描述這種用于身份驗證和安全關(guān)聯(lián)建立的協(xié)議的主要步驟?；贗Psec的綜合應(yīng)用題(續(xù)2)39如果該銷售人員不采用任何安全技術(shù)直接從公司服務(wù)器取數(shù)據(jù)會遇到哪幾種安全威脅？答：如果不采取安全防范技術(shù)，他獲取的銷售資料可能被竊取，可能被更改，可以被假冒，可能無法訪問到公司的服務(wù)器。該銷售人員考慮采用安全技術(shù)，則他至少應(yīng)該從哪幾個方面考慮安全技術(shù)？答：他至少應(yīng)該從身份驗證、訪問控制和攻擊檢測三個方面考慮對安全技術(shù)的選擇?；贗Psec的綜合應(yīng)用題(續(xù)3)40（3）如果他選擇安全I(xiàn)P技術(shù)(IPsec)作為安全防范技術(shù)，他如何進(jìn)行身份驗證？答：他為了進(jìn)行身份驗證，必須首先通過其他安全途徑（例如在離開公司之前，直接到公司人力資源部）獲得與他相關(guān)的用戶標(biāo)識和密鑰（可以是公鑰也可以是共享密鑰）等個人身份數(shù)據(jù)，然后，在第一次網(wǎng)絡(luò)連接過程中輸入相關(guān)個人身份數(shù)據(jù)?；贗Psec的綜合應(yīng)用題(續(xù)4)41如果他試圖保密地傳遞客戶訂單，他應(yīng)該選用何種IPsec中的安全協(xié)議？答：為了保密地傳遞數(shù)據(jù)，應(yīng)用IPsec技術(shù)時，必須采用ESP協(xié)議。如果他試圖完整地傳遞客戶促銷計劃，他最好選用哪種IPsec中的安全協(xié)議？答：為了完整的傳遞數(shù)據(jù)，應(yīng)用IPsec技術(shù)時，最好采用AH協(xié)議?；贗Psec的綜合應(yīng)用題(續(xù)5)42（6）如果公司服務(wù)器提供了訪問控制機(jī)制，需要根據(jù)用戶標(biāo)識控制對公司服務(wù)器的訪問權(quán)限，這是他應(yīng)該選擇哪種類型的安全關(guān)聯(lián)建立協(xié)議？答：由于用戶標(biāo)識是系統(tǒng)進(jìn)行訪問控制的依據(jù)，所以，在應(yīng)用IPsec技術(shù)創(chuàng)建安全關(guān)聯(lián)時，必須采用具有用戶標(biāo)識保護(hù)功能的安全關(guān)聯(lián)創(chuàng)建協(xié)議?；贗Psec的綜合應(yīng)用題(續(xù)6)43（7）假定用戶已經(jīng)獲得的公鑰，試具體描述這種用于身份驗證和安全關(guān)聯(lián)建立的