第7部分安全技術(shù)

2024/7/231內(nèi)容密碼技術(shù)及應(yīng)用安全協(xié)議訪問(wèn)控制網(wǎng)絡(luò)安全系統(tǒng)安全應(yīng)用安全2024/7/232密碼學(xué)歷史人類有記載的通信密碼始于公元前400年；公元前一世紀(jì)古羅馬皇帝凱撒使用有序的單表替換密碼；1881年世界上第一個(gè)電話保密專利出現(xiàn)；第二次世界大戰(zhàn)期間德國(guó)軍方的“恩尼格瑪”密碼機(jī)被盟軍成功破譯；太平洋戰(zhàn)爭(zhēng)中美軍破譯日本海軍的密碼機(jī)，在中途島徹底擊潰日本海軍，導(dǎo)致了太平洋戰(zhàn)爭(zhēng)的決定性轉(zhuǎn)折，不久還擊斃了日本司令官山本五十六。2024/7/233密碼學(xué)密碼學(xué)（Cryptography）是研究編制密碼和破譯密碼的技術(shù)科學(xué)；密碼學(xué)包括密碼編碼學(xué)和密碼分析學(xué)，兩者相互依存并相互支持；密碼是通信雙方按約定的法則進(jìn)行信息特殊變換的一種重要保密手段。變明文為密文稱為加密變換，變密文為明文稱為脫密變換。2024/7/234密碼技術(shù)密碼技術(shù)（例如加密技術(shù)和數(shù)字簽名技術(shù)）是實(shí)現(xiàn)所有安全服務(wù)的重要基礎(chǔ)主要包括對(duì)稱密碼體制、公鑰密碼體制、完整性檢驗(yàn)值或封裝（又稱消息認(rèn)證碼）、數(shù)字簽名、密鑰管理、密鑰分配和公鑰證書等。2024/7/235密碼體制密碼體制是密碼技術(shù)中最為核心的一個(gè)概念。密碼體制被定義為一對(duì)數(shù)據(jù)變換。EDMMC2024/7/236密碼體制加密過(guò)程：E（M）=C解密過(guò)程：D（C）=M先加密后再解密消息，原始的明文將恢復(fù)出來(lái)，下面的等式必須成立：D(E(M))=M

2024/7/237對(duì)稱密碼算法對(duì)稱算法有時(shí)又叫傳統(tǒng)密碼算法，就是加密密鑰能夠從解密密鑰中推算出來(lái)，反過(guò)來(lái)也成立。在大多數(shù)對(duì)稱算法中，加/解密密鑰是相同的。這些算法也叫秘密密鑰算法或單密鑰算法，它要求發(fā)送者和接收者在安全通信之前，商定一個(gè)密鑰。對(duì)稱算法的安全性依賴于密鑰，泄漏密鑰就意味著任何人都能對(duì)消息進(jìn)行加/解密。只要通信需要保密，密鑰就必須保密。2024/7/238對(duì)稱密碼的優(yōu)缺點(diǎn)對(duì)稱密碼的好處就是快速并且強(qiáng)健，這種特點(diǎn)允許加密大量的信息而只需要幾秒鐘；對(duì)稱密碼的缺點(diǎn)是有關(guān)密鑰的傳播，所有的發(fā)送者和接收者都必須持有相同的密鑰，因此所有的用戶必須尋求一種安全的方法來(lái)共享密鑰。2024/7/239對(duì)稱加密的一般性范式每種現(xiàn)代對(duì)稱加密算法都在兩種基本運(yùn)算中尋找工作方式：擴(kuò)散（diffusion）和替換（substitution）。也就是說(shuō)，密文的內(nèi)容用不同的位和字節(jié)代替了明文中的位和字節(jié)（替換），并在密文中將這些替換的位和字節(jié)移動(dòng)到不同的地方（擴(kuò)散）。2024/7/2310對(duì)稱算法種類對(duì)稱算法可分為兩類：一次只對(duì)明文中的單個(gè)比特（有時(shí)對(duì)字節(jié)）運(yùn)算的算法稱為序列算法或序列密碼另一類算法是對(duì)明文的一組比特進(jìn)行運(yùn)算，這些比特組稱為分組，相應(yīng)的算法稱為分組算法或分組密碼。2024/7/2311異或運(yùn)算加密算法中最廣泛使用也是最有用的運(yùn)算之一是異或（XOR）

XOR(1,1)

0XOR(0,0)

0

XOR(1,0)

1XOR(0,1)

1異或算法的優(yōu)勢(shì)是轉(zhuǎn)換的不可預(yù)測(cè)性和無(wú)損性，關(guān)鍵在于加密位的保密性異或算法無(wú)法防范頻率分析2024/7/2312子算法輪回許多現(xiàn)代對(duì)稱加密算法都是由多個(gè)相似的子算法“輪回”組成的。有時(shí)它們?cè)谶^(guò)程的開(kāi)始或結(jié)束部分有專門的運(yùn)算，但是大多數(shù)工作或多或少地由相同的更簡(jiǎn)單的子算法的重復(fù)迭代組成。每次輪回完全單獨(dú)執(zhí)行一點(diǎn)加密，但加密的程度通過(guò)對(duì)子算法的反復(fù)應(yīng)用，通常變得更加擴(kuò)散。在某些情況下，由于使用了不同的密鑰派生值或類似的值進(jìn)行索引，各輪回略有不同，但子算法的要點(diǎn)通常是相同的。2024/7/2313S-box對(duì)稱加密算法中子算法經(jīng)常使用S-box（“S”代表“替換”）。S-box實(shí)際上是一種函數(shù)，處理N位輸入并產(chǎn)生N位輸出，不是只在單個(gè)位上進(jìn)行運(yùn)算。S-box的優(yōu)點(diǎn)是可以手工進(jìn)行調(diào)整，使加密過(guò)程最大程度地非線性化，因?yàn)檩斎牒洼敵龅木€性關(guān)系可能會(huì)使密碼分析工作變得更加容易。2024/7/2314雪崩效果我們希望密文輸出中的每個(gè)位不僅依賴于密鑰，而且依賴于明文輸入中的每個(gè)位。即使使用相同的密鑰加密，只有1位不同的兩份明文仍將產(chǎn)生沒(méi)有可預(yù)料相似性的密文。加密算法必需在算法內(nèi)將輸入位當(dāng)作類似于密鑰的角色使用。每個(gè)輸入位以在整個(gè)密文內(nèi)擴(kuò)散的方式來(lái)?yè)?dān)當(dāng)這個(gè)類似于密鑰的角色。2024/7/2315數(shù)據(jù)加密標(biāo)準(zhǔn)（DES）美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)局(NIST)在1977年正式地采用了數(shù)據(jù)加密標(biāo)準(zhǔn)DES，作為聯(lián)邦信息處理標(biāo)準(zhǔn)FIPSPUB46。1981年，DES被美國(guó)商業(yè)組織所采納，作為美國(guó)國(guó)家標(biāo)準(zhǔn)數(shù)據(jù)加密算法，即DEA。

DES和TripleDES已經(jīng)成為許多公司和組織的加密標(biāo)準(zhǔn)。2024/7/2316DESDES算法使用長(zhǎng)度為56比特的密鑰加密長(zhǎng)度為64比特的明文，得到長(zhǎng)度為64比特的密文。DES算法的16輪運(yùn)算過(guò)程是相同的，但每一輪都使用不同的、從初始密鑰K導(dǎo)出的48比特密鑰Ki，K是一個(gè)長(zhǎng)度為64的比特串，但實(shí)際上只有56比特密鑰，其余8個(gè)比特用于校驗(yàn)。2024/7/2317DES算法DES的優(yōu)點(diǎn)是快速并易于實(shí)施。DES已經(jīng)提出并使用了超過(guò)25年，很多硬件和軟件都使用DES算法DES的安全性主要依賴于S-box，S-box是其唯一的非線性部分由于DES是對(duì)稱加密算法，因此密鑰的傳播和管理是關(guān)鍵問(wèn)題2024/7/2318DES算法的缺陷DES的密鑰長(zhǎng)度（僅為56比特）太短，不能抵抗窮盡密鑰搜索攻擊。1997年1月28日，RSA公司在RSA安全年會(huì)上公布了一項(xiàng)密鑰挑戰(zhàn)競(jìng)賽，懸賞1萬(wàn)美元破譯密鑰長(zhǎng)度為56比特的DES。美國(guó)克羅拉多州的程序員Verser從1997年3月13日起，用了96天的時(shí)間，在Internet上數(shù)萬(wàn)名志愿者的協(xié)同工作下，于6月17日成功地找到了DES的密鑰。這一事件表明依靠Internet的分布計(jì)算能力，用窮盡搜索方法破譯DES已成為可能。1998年7月17日電子邊境基金會(huì)（EFF）使用一臺(tái)價(jià)值25萬(wàn)美元的電腦在56小時(shí)內(nèi)破解了56比特的DES。1999年1月RSA數(shù)據(jù)安全會(huì)議期間，電子邊境基金會(huì)用22小時(shí)15分鐘就宣告完成RSA公司發(fā)起的DES的第三次挑戰(zhàn)。2024/7/2319Triple-DESDES的密鑰長(zhǎng)度可通過(guò)使用多重加密算法來(lái)增加。三重DES的工作過(guò)程如下：先使用密鑰a對(duì)64比特的組加密，然后使用密鑰b對(duì)其加密結(jié)果解密，最后再使用密鑰c加密（有時(shí)也取a=c），這樣算法的密鑰長(zhǎng)度最長(zhǎng)可以達(dá)到168bit。2024/7/2320DES算法的攻擊方法除了窮盡搜索之外，攻擊DES主要有兩種方法：差分密碼分析方法，計(jì)算量比窮盡搜索法要少得多，但需要247個(gè)選擇明密文對(duì)。因此并沒(méi)有真正對(duì)16輪DES構(gòu)成威脅；用線性密碼分析方法破譯DES比差分密碼分析方法更有效，需要243個(gè)明密文對(duì)。還有一些典型的分析方法，比如相關(guān)密鑰分析方法、推廣的差分密碼和線性密碼分析方法、與智能卡實(shí)現(xiàn)有關(guān)的能量攻擊和定時(shí)攻擊方法等。2024/7/2321RC2、RC5算法RC2是分組密碼，可以使用不同長(zhǎng)度的密鑰，它的密鑰長(zhǎng)度可以從零到無(wú)限大，并且加密的速度依賴于密鑰的長(zhǎng)度RC5類似于RC2，采用不同的分組大小和密鑰長(zhǎng)度。一般建議使用128位密鑰的RC5算法并有12到16輪。2024/7/2322高級(jí)加密標(biāo)準(zhǔn)（AES）1997年4月15日，NIST發(fā)起征集高級(jí)加密標(biāo)準(zhǔn)（AES）的活動(dòng)，并專門成立了AES工作組，目的是為了確定一個(gè)非密級(jí)的、全球免費(fèi)使用的數(shù)據(jù)加密標(biāo)準(zhǔn)。AES的基本要求是比Triple-DES快而且至少與Triple-DES一樣安全，分組長(zhǎng)度為128比特，密鑰長(zhǎng)度為128/192/256比特。2001年夏天，美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)協(xié)會(huì)將Rijndael作為下一代對(duì)稱密碼算法的標(biāo)準(zhǔn)。2024/7/2323Rijndael算法Rijndael算法在設(shè)計(jì)時(shí)考慮了3個(gè)原則抵抗已知的密碼攻擊方法；兼顧速度和代碼大小以適應(yīng)各種平臺(tái)的需求；設(shè)計(jì)思想簡(jiǎn)單。Rijndael

算法的原形是Square算法，它的設(shè)計(jì)策略是寬軌跡策略(WideTrailStrategy)，這種策略是針對(duì)差分分析和線性分析提出的。Rijndael

是一個(gè)迭代分組密碼。為滿足AES的要求，限定明文分組長(zhǎng)度為128比特,密鑰長(zhǎng)度為128/192/256比特,相應(yīng)的輪數(shù)為10/12/14。2024/7/2324分組密碼的工作模式電碼本（ECB）模式：密碼分組鏈（CBC）模式：密碼反饋（CFB）模式：輸出反饋（OFB）模式：直接使用基本的分組密碼的模式。缺點(diǎn)是在給定密鑰的情況下，相同的明文總是產(chǎn)生相同的密文在加密當(dāng)前的一個(gè)分組之前，先將上一次加密的結(jié)果與當(dāng)前的明文組進(jìn)行異或，然后再加密，這樣就形成了一個(gè)密文鏈。先將明文流分成若干個(gè)k比特的字符，1≤k≤n,其中n表示所用的分組密碼的分組長(zhǎng)度。每個(gè)字符所對(duì)應(yīng)的密文可通過(guò)該字符和一個(gè)密鑰字符相異或獲得，該密鑰字符是通過(guò)加密密文的前n比特來(lái)獲得的。用分組密碼產(chǎn)生一個(gè)隨機(jī)密鑰流，將此密鑰流和明文流進(jìn)行異或得到密文流。2024/7/2325非對(duì)稱密碼非對(duì)稱密碼技術(shù)是由Diffe和Hellman于1976年首次提出的一種密碼技術(shù)。非對(duì)稱算法是這樣設(shè)計(jì)的：用作加密的密鑰不同于用作解密的密鑰，而且解密密鑰不能根據(jù)加密密鑰計(jì)算出來(lái)（至少在合理的假定時(shí)間內(nèi)）。加密密鑰能夠公開(kāi)，即陌生者能用加密密鑰加密信息，但只有用相應(yīng)的解密密鑰才能解密信息。2024/7/2326A加密B解密B的公鑰B的私鑰明文密文明文（a）加密模型A解密B加密A的私鑰A的公鑰明文明文密文（b）認(rèn)證模型公鑰密碼體制模型2024/7/2327公鑰密碼體制的數(shù)學(xué)基礎(chǔ)公鑰密碼體制的安全性基于復(fù)雜的數(shù)學(xué)難題。對(duì)某種數(shù)學(xué)難題，如果利用通用的算法計(jì)算出私鑰的時(shí)間越長(zhǎng)，那么基于這一數(shù)學(xué)難題的公鑰加密系統(tǒng)就被認(rèn)為越安全。根據(jù)所基于的數(shù)學(xué)難題來(lái)分類，有以下三類系統(tǒng)目前被國(guó)際公認(rèn)為是安全和有效的。整數(shù)因子分解系統(tǒng)(代表性的有RSA)；離散對(duì)數(shù)系統(tǒng)(代表性的有DSA)；橢園曲線離散對(duì)數(shù)系統(tǒng)(ECC)。2024/7/2328RSA體制迄今為止最流行的公鑰算法是RSA，由RonaldL.Rivest、Adi

Shamir

和LeonardM.Adleman創(chuàng)立。RSA算法基于大整數(shù)因子分解的數(shù)學(xué)難題，這至今仍是一條數(shù)學(xué)家相信存在但缺乏正式證明的未證定理。實(shí)踐告訴我們，尋找大素?cái)?shù)是相對(duì)容易的，而分解兩個(gè)大素?cái)?shù)的積是計(jì)算上不可行的。2024/7/2329RSA體制RSA體制的加密強(qiáng)度依賴于完成大素?cái)?shù)分解的設(shè)備的價(jià)格和所需的時(shí)間。隨著設(shè)備的價(jià)格的降低和計(jì)算能力的提高，RSA體制的模n必將隨之增大。目前可分解155位十進(jìn)制的大整數(shù)。人們建議使用模長(zhǎng)為1024比特以上的模。RSA體制的缺點(diǎn)是與對(duì)稱密碼體制相比，其加解密的速度太慢。應(yīng)用范圍是對(duì)速度要求不高的加密環(huán)境、數(shù)字簽名、密鑰管理和認(rèn)證等領(lǐng)域

2024/7/2330橢圓曲線密碼1985年N.Koblitz和V.Miller分別獨(dú)立提出了橢圓曲線密碼體制(ECC)，其依據(jù)就是定義在橢圓曲線點(diǎn)群上的離散對(duì)數(shù)問(wèn)題的難解性。橢圓曲線上的離散對(duì)數(shù)的計(jì)算要比有限域上的離散對(duì)數(shù)的計(jì)算更困難，能設(shè)計(jì)出密鑰更短的公鑰密碼體制。近年來(lái)，橢圓曲線作為公開(kāi)密碼體制的基礎(chǔ)，已引起了通信保密領(lǐng)域內(nèi)的廣泛關(guān)注，成為國(guó)內(nèi)外研究和應(yīng)用的熱點(diǎn)。2024/7/2331完整性校驗(yàn)密碼技術(shù)能夠?yàn)閿?shù)據(jù)完整性提供基礎(chǔ)和數(shù)據(jù)來(lái)源的認(rèn)證服務(wù)消息的發(fā)送者對(duì)所要發(fā)送的消息產(chǎn)生一個(gè)附件，并將該附件和消息傳輸給接收者。消息的接收者在將消息作為真實(shí)消息接收之前，檢查接收到的消息內(nèi)容和附件是否是一致的。為避免攻擊，需利用一個(gè)秘密密鑰來(lái)產(chǎn)生附件，只有知道密鑰的人才能產(chǎn)生附件，從而驗(yàn)證其真實(shí)性。完整性檢驗(yàn)也被稱為消息認(rèn)證，所產(chǎn)生的附件被稱為完整性校驗(yàn)值、消息認(rèn)證碼(MAC)或消息完整性碼(MIC)。2024/7/2332Hash函數(shù)Hash函數(shù)可以把不同長(zhǎng)度的信息轉(zhuǎn)化成雜亂的固定長(zhǎng)度的編碼使用Hash函數(shù)產(chǎn)生校驗(yàn)碼時(shí)，需要給消息前綴或后綴一個(gè)密鑰，然后對(duì)合成的消息進(jìn)行Hash運(yùn)算Hash運(yùn)算可以在不告知其它信息的前提下，比較兩個(gè)實(shí)體的值是否一樣Hash函數(shù)可以用于數(shù)字簽名。2024/7/2333MD2/MD4/MD5算法MD2,MD4和MD5是一組基于單向HASH函數(shù)的算法。這些操作采用一定長(zhǎng)度的字節(jié)流并產(chǎn)生信息摘要。這種過(guò)程是單向的，因?yàn)闊o(wú)法通過(guò)返同的摘要中產(chǎn)生原始信息，而且兩條不同的信息擁有相同HASH值的概率非常小?？梢允褂眯畔⒄惴▽?duì)e-mail信息、證書和其它一些想保證內(nèi)容完整性的消息產(chǎn)生唯一的單向消息摘要。通常消息摘要的長(zhǎng)度是128比特。2024/7/2334SHA算法安全HASH算法（SHA）是另一種HASH函數(shù)的應(yīng)用。它可以根據(jù)任意長(zhǎng)度的字串生成160位的HASH值。SHA在結(jié)構(gòu)上類似于MD4和MD5。盡管它比MD5的速度要慢25％，但它更加安全。它產(chǎn)生的信息摘要比MD5要長(zhǎng)25％，因此對(duì)于攻擊來(lái)說(shuō)更為安全。2024/7/2335數(shù)字簽名數(shù)字簽名是一段附加數(shù)據(jù)或者是數(shù)據(jù)單元的密碼變換結(jié)果，主要用于證實(shí)消息的真實(shí)來(lái)源可以使用基于對(duì)稱密碼體制的方法來(lái)實(shí)現(xiàn)數(shù)字簽名，但必須引入可信的第三方公鑰密碼體制可提供功能更強(qiáng)大的數(shù)字簽名方案，無(wú)需接收者秘密保存驗(yàn)證密鑰。2024/7/2336基本的數(shù)字簽名方案任何消息的接收者均可檢查其簽名，因?yàn)榻饷苊荑€即發(fā)送者的公鑰可以公開(kāi)，而不會(huì)危及方案的安全性。消息消息附件解密消息附件加密所期望的消息如果二者一樣，則簽名通過(guò)驗(yàn)證

發(fā)送者接收者公鑰私鑰傳輸?shù)南?024/7/2337使用Hash函數(shù)的數(shù)字簽名方案

消息Hash函數(shù)摘要附件加密消息附件解密消息Hash函數(shù)實(shí)際要的摘要所期望的摘要如果二者一樣，則通過(guò)簽名驗(yàn)證

傳輸?shù)南l(fā)送者接受者私鑰為了提高數(shù)字簽名方案的有效性，一般在簽名前使用Hash函數(shù)先對(duì)要簽的消息進(jìn)行摘要。在消息的接收端，接收者需要計(jì)算消息摘要。2024/7/2338密碼分析密碼編碼學(xué)的主要目的是保持明文（或密鑰）的秘密，防止偷聽(tīng)者知曉。這里假設(shè)偷聽(tīng)者完全能夠截獲收發(fā)者之間的通信密碼分析學(xué)是在不知道密鑰的情況下恢復(fù)出明文的技術(shù)。成功的密碼分析能恢復(fù)出消息的明文或密鑰。密碼分析也可以發(fā)現(xiàn)密碼體制的弱點(diǎn)，最終得到上述結(jié)果。2024/7/2339密碼分析方法唯密文攻擊已知明文攻擊選擇明文攻擊選擇密文攻擊非技術(shù)手段的攻擊2024/7/2340內(nèi)容密碼技術(shù)及應(yīng)用安全協(xié)議訪問(wèn)控制網(wǎng)絡(luò)安全系統(tǒng)安全應(yīng)用安全2024/7/2341TLS協(xié)議TLS協(xié)議概述TLS記錄協(xié)議TLS握手協(xié)議密碼特性2024/7/2342TLS協(xié)議概述1994年，Netscape公司為了保護(hù)Web通信協(xié)議HTTP或S-HTTP，開(kāi)發(fā)了SSL（SecureSocketLayer）協(xié)議。SSL2.0版協(xié)議的出現(xiàn)基本上解決了Web通信協(xié)議的安全問(wèn)題。Microsoft公司對(duì)該協(xié)議進(jìn)行了一些修改，發(fā)布了PCT（PrivateCommunicationTechnology）協(xié)議。1996年，Netscape公司發(fā)布了SSL3.0，該版本增加了對(duì)除了RSA算法之外的其它算法的支持和一些新的安全特性，并且修改了前一個(gè)版本中存在的一些安全缺陷。1997年，IETF基于SSL3.0協(xié)議發(fā)布了TLS1.0（-SSL3.1）(TransportLayerSecurity)傳輸層安全協(xié)議草案。1999年，正式發(fā)布了RFC2246。2024/7/2343TLS——基本設(shè)計(jì)目標(biāo)和協(xié)議組件基本設(shè)計(jì)目標(biāo)：為兩個(gè)通信實(shí)體之間提供數(shù)據(jù)的機(jī)密性和完整性。協(xié)議組件TLS記錄協(xié)議：建立在其它可靠的傳輸協(xié)議之上（如TCP/IP），用于封裝高層的協(xié)議，例如TLS握手協(xié)議。TLS握手協(xié)議：用于客戶和服務(wù)器之間的相互認(rèn)證，并協(xié)商加密算法和密鑰。2024/7/2344TLS協(xié)議的結(jié)構(gòu)和層次2024/7/2345TLS握手協(xié)議概述握手：協(xié)商協(xié)議版本，選擇密碼算法，相互認(rèn)證（可選），使用公鑰密碼技術(shù)生成共享秘密。握手步驟：交換hello消息以協(xié)商密碼算法，交換隨機(jī)值并檢查會(huì)話是否可重用（會(huì)話ID）。交換必要的密碼參數(shù)，使客戶和服務(wù)器能夠協(xié)商premastersecret。交換證書和密碼信息，使客戶和服務(wù)器能夠進(jìn)行相互認(rèn)證。使用交換的隨機(jī)值和premastersecret生成主密碼mastersecret。為記錄協(xié)議提供安全參數(shù)。允許客戶和服務(wù)器校驗(yàn)對(duì)方是否計(jì)算出了相同的安全參數(shù)、以及校驗(yàn)上述握手過(guò)程是否被攻擊者竊聽(tīng)。2024/7/2346握手過(guò)程消息流程2024/7/2347會(huì)話重用的握手過(guò)程消息流程2024/7/2348TLS密碼特性記錄層主要使用了對(duì)稱密碼算法、MAC算法握手層主要使用了基于公開(kāi)密鑰技術(shù)的密鑰交換算法2024/7/2349內(nèi)容密碼技術(shù)及應(yīng)用安全協(xié)議訪問(wèn)控制網(wǎng)絡(luò)安全系統(tǒng)安全應(yīng)用安全2024/7/2350阻止非授權(quán)用戶訪問(wèn)目標(biāo)訪問(wèn)請(qǐng)求過(guò)濾器：當(dāng)一個(gè)發(fā)起者試圖訪問(wèn)一個(gè)目標(biāo)時(shí)，需要檢查發(fā)起者是否被準(zhǔn)予以請(qǐng)求的方式訪問(wèn)目標(biāo)；分離：防止非授權(quán)用戶有機(jī)會(huì)去訪問(wèn)敏感的目標(biāo)。2024/7/2351訪問(wèn)控制策略訪問(wèn)控制策略在系統(tǒng)安全策略級(jí)上表示授權(quán)。任何訪問(wèn)控制策略最終均可被模型化為訪問(wèn)矩陣形式：行對(duì)應(yīng)于用戶，列對(duì)應(yīng)于目標(biāo)，每個(gè)矩陣元素規(guī)定了相應(yīng)的用戶對(duì)應(yīng)于相應(yīng)的目標(biāo)被準(zhǔn)予的訪問(wèn)許可、實(shí)施行為。2024/7/2352訪問(wèn)控制策略的分類自主式策略強(qiáng)制式策略2024/7/2353具體策略基于身份的策略基于規(guī)則的策略基于角色的策略附加的控制目標(biāo)的粒度和策略的交互作用2024/7/2354基于身份的策略基于個(gè)人的策略根據(jù)哪些用戶可對(duì)一個(gè)目標(biāo)實(shí)施哪一種行為的列表來(lái)表示，等價(jià)于用一個(gè)目標(biāo)的訪問(wèn)矩陣列來(lái)描述。缺省策略、最小特權(quán)原則基于組的策略一些用戶被允許對(duì)一個(gè)目標(biāo)具有同樣的訪問(wèn)許可。多重用戶被組織在一起并賦予一個(gè)共同的識(shí)別標(biāo)識(shí)符。訪問(wèn)矩陣的多個(gè)行壓縮為一個(gè)行。表示和實(shí)現(xiàn)方面更容易和更有效。2024/7/2355基于規(guī)則的策略多級(jí)策略自動(dòng)控制執(zhí)行，用來(lái)防非法泄露，也支持完整性要求。分配給每個(gè)目標(biāo)一個(gè)密級(jí)，給用戶從相同的密級(jí)層次中分配一個(gè)許可級(jí)（clearance）。傳統(tǒng)規(guī)則：TCSEC；基礎(chǔ)數(shù)學(xué)模型：Bell-LaPadula模型；只讀訪問(wèn)規(guī)則（簡(jiǎn)單安全條件）：只能讀相同或更低密級(jí)的數(shù)據(jù)；只寫訪問(wèn)規(guī)則（*-特性）：只能向相同或更高密級(jí)的目標(biāo)寫數(shù)據(jù)。制定這個(gè)規(guī)則是為了防止非授權(quán)用戶無(wú)需授權(quán)就刪除有密級(jí)的數(shù)據(jù)和防止特洛伊木馬攻擊。有關(guān)完整性的相應(yīng)策略模型由Biba提出?；陂g隔的策略通過(guò)安全間隔來(lái)分離目標(biāo)。2024/7/2356基于角色的策略既具有基于身份的策略的特征，又具有基于規(guī)則的策略的特征。角色是主、客體及其授權(quán)子集。2024/7/2357附加的控制依賴于值的控制目標(biāo)數(shù)據(jù)項(xiàng)無(wú)論數(shù)據(jù)值存儲(chǔ)在哪兒，都有確定的訪問(wèn)控制許可。目標(biāo)的敏感性會(huì)根據(jù)當(dāng)前存儲(chǔ)的數(shù)據(jù)值而改變。多用戶控制當(dāng)多于一個(gè)用戶共同提出一個(gè)請(qǐng)求時(shí)，在訪問(wèn)目標(biāo)之前的訪問(wèn)控制策略。基于上下文的控制允許訪問(wèn)控制策略在確定訪問(wèn)一個(gè)目標(biāo)時(shí)依靠外部因素（時(shí)間、位置、通信路徑、認(rèn)證強(qiáng)度）?？蓴U(kuò)大基于身份的或基于規(guī)則的策略。目的在于保護(hù)訪問(wèn)控制機(jī)制，認(rèn)證機(jī)制或物理安全措施等防護(hù)措施的弱點(diǎn)。2024/7/2358目標(biāo)的粒度和策略的交互作用

——多重策略實(shí)例主體許可集公司外部的人空集審計(jì)員讀D.Feng讀、修改、管理組員讀其他人空集2024/7/2359

訪問(wèn)控制機(jī)制訪問(wèn)控制列表能力安全標(biāo)簽一般的信息模型基于口令的機(jī)制2024/7/2360訪問(wèn)控制列表訪問(wèn)控制列表是目標(biāo)對(duì)象的屬性表。它給定每個(gè)用戶對(duì)給定目標(biāo)的訪問(wèn)權(quán)限。訪問(wèn)控制列表反映了一個(gè)目標(biāo)對(duì)應(yīng)于訪問(wèn)矩陣列中的內(nèi)容。訪問(wèn)控制列表實(shí)例：身份類型認(rèn)可的允許拒絕的允許時(shí)間限制位置限制D.Feng個(gè)人讀、修改、管理組員組讀審計(jì)員角色讀修改、管理ContractorXYZInc.組讀、修改管理8:00-18:00Mon~Fri只有本地終端2024/7/2361訪問(wèn)控制列表機(jī)制的優(yōu)點(diǎn)最適合于有相對(duì)少的需要被區(qū)分的用戶，并且這些用戶中的絕大多數(shù)是穩(wěn)定的情況。如果訪問(wèn)控制列表太大或經(jīng)常改變，維護(hù)訪問(wèn)控制列表會(huì)成為最主要的問(wèn)題。不同于其它的機(jī)制，對(duì)于大范圍的目標(biāo)粒度訪問(wèn)控制列表均適用，包括非常好的粒度。一個(gè)目標(biāo)的擁有者或管理者可以很容易地廢除以前授予的許可。2024/7/2362能力能力是發(fā)起者擁有的一個(gè)有效標(biāo)簽，它授權(quán)持有者能以特定的方式訪問(wèn)特定的目標(biāo)。能力可從一個(gè)用戶傳遞給另一個(gè)用戶，但任何人不能擺脫責(zé)任機(jī)構(gòu)而進(jìn)行修改和偽造。從發(fā)起者的環(huán)境中根據(jù)一個(gè)關(guān)于用戶的訪問(wèn)許可存儲(chǔ)表產(chǎn)生能力。即運(yùn)用訪問(wèn)矩陣中用戶包含的每行信息產(chǎn)生能力。能力機(jī)制適合于目標(biāo)聯(lián)系相對(duì)少，對(duì)發(fā)起者訪問(wèn)控制決策容易實(shí)現(xiàn)的情況。能力機(jī)制的實(shí)施主要依賴于在系統(tǒng)間安全傳遞能力的方法。能力的缺點(diǎn)是目標(biāo)的擁有者和管理者不容易廢除以前授予的許可。2024/7/2363安全標(biāo)簽安全標(biāo)簽是限制在目標(biāo)上的一組安全屬性信息項(xiàng)。在訪問(wèn)控制中，一個(gè)安全標(biāo)簽隸屬于一個(gè)用戶、一個(gè)目標(biāo)、一個(gè)訪問(wèn)請(qǐng)求或傳輸中的一個(gè)訪問(wèn)控制信息。最通常的用途是支持多級(jí)訪問(wèn)控制策略。在處理一個(gè)訪問(wèn)請(qǐng)求時(shí)，目標(biāo)環(huán)境比較請(qǐng)求上的標(biāo)簽和目標(biāo)上的標(biāo)簽，應(yīng)用策略規(guī)則（如BellLapadula規(guī)則）決定是允許還是拒絕訪問(wèn)。2024/7/2364一般的信息模型訪問(wèn)控制機(jī)制的范圍2024/7/2365基于口令的機(jī)制一個(gè)口令就像一個(gè)簡(jiǎn)單的能力，它構(gòu)成了對(duì)一個(gè)目標(biāo)的入場(chǎng)券。任何人出示了與一個(gè)目標(biāo)或訪問(wèn)類型結(jié)合的口令都被準(zhǔn)予用該種獨(dú)特的訪問(wèn)類型訪問(wèn)目標(biāo)。當(dāng)這種機(jī)制廣泛地應(yīng)用于大型計(jì)算機(jī)操作系統(tǒng)時(shí)，它也暴露了一些嚴(yán)重的問(wèn)題?？诹畹臋C(jī)密性保護(hù)、管理問(wèn)題、還有當(dāng)口令共享時(shí)的弱點(diǎn)都是非常困難的事情?？诹顚?duì)于只要求認(rèn)證是一種好的機(jī)制，但把它們用作訪問(wèn)控制為目的的機(jī)制是不可取的。2024/7/2366網(wǎng)絡(luò)訪問(wèn)控制組件的分布開(kāi)放系統(tǒng)訪問(wèn)控制框架（ISO/IEC10181-3）介紹了一個(gè)處理組件分布問(wèn)題的體系結(jié)構(gòu)基礎(chǔ)?；镜脑L問(wèn)控制功能組件2024/7/2367訪問(wèn)控制決策組件采用的資源信息訪問(wèn)請(qǐng)求（包含隸屬于發(fā)起者或隸屬于目標(biāo)的信息）；從以前的訪問(wèn)請(qǐng)求中保留下來(lái)的信息；可應(yīng)用的策略規(guī)則；上下文信息。2024/7/2368輸入、輸出、插入訪問(wèn)控制通常的做法是在同一系統(tǒng)中為目標(biāo)或發(fā)起者固定一個(gè)實(shí)施組件。對(duì)目標(biāo)實(shí)施輸入訪問(wèn)控制。對(duì)發(fā)起者實(shí)施輸出訪問(wèn)控制。在訪問(wèn)請(qǐng)求穿越安全區(qū)域邊界時(shí)和區(qū)域授權(quán)機(jī)構(gòu)要過(guò)濾訪問(wèn)請(qǐng)求時(shí)，一般采用在中介點(diǎn)設(shè)置實(shí)施組件的辦法，即插入訪問(wèn)控制。2024/7/2369輸入、輸出訪問(wèn)控制配置實(shí)例2024/7/2370插入訪問(wèn)控制的實(shí)例配置2024/7/2371訪問(wèn)控制轉(zhuǎn)發(fā)在分布式系統(tǒng)環(huán)境中，一個(gè)用戶或系統(tǒng)為了自己的利益經(jīng)常需要請(qǐng)求另一個(gè)系統(tǒng)執(zhí)行某些命令。發(fā)起者A為了自己的利益想要系統(tǒng)B去訪問(wèn)一個(gè)在系統(tǒng)X上的目標(biāo)。為了達(dá)到這一目的，A需要轉(zhuǎn)發(fā)他的訪問(wèn)權(quán)利給B。由于不同的策略，有許多種排列。這樣的排列需要仔細(xì)研究，因?yàn)樗赡茉试S一個(gè)未被直接許可的訪問(wèn)來(lái)訪問(wèn)。訪問(wèn)控制傳遞可以采用代理令牌的概念。2024/7/2372訪問(wèn)控制轉(zhuǎn)發(fā)的一個(gè)簡(jiǎn)單情況2024/7/2373內(nèi)容密碼技術(shù)及應(yīng)用安全協(xié)議訪問(wèn)控制網(wǎng)絡(luò)安全系統(tǒng)安全應(yīng)用安全2024/7/2374網(wǎng)絡(luò)安全技術(shù)防火墻技術(shù)：在不同的網(wǎng)絡(luò)安全域的邊界上安裝基于訪問(wèn)控制策略的防火墻，并實(shí)施相應(yīng)的安全策略控制。入侵檢測(cè)技術(shù)：入侵檢測(cè)系統(tǒng)提供實(shí)時(shí)的入侵檢測(cè)及采取相應(yīng)的防護(hù)手段，如發(fā)現(xiàn)違規(guī)訪問(wèn)、阻斷網(wǎng)絡(luò)連接、內(nèi)部越權(quán)訪問(wèn)等，發(fā)現(xiàn)更為隱蔽的攻擊。VPN技術(shù)：為保證數(shù)據(jù)傳輸?shù)臋C(jī)密性和完整性，采用VPN技術(shù)建立虛擬私有網(wǎng)絡(luò)。2024/7/2375防火墻技術(shù)防火墻是一個(gè)或一組實(shí)施訪問(wèn)控制策略的系統(tǒng)。通常安放在內(nèi)部網(wǎng)和外部網(wǎng)之間，是一種網(wǎng)絡(luò)訪問(wèn)控制技術(shù)，目的是控制網(wǎng)絡(luò)傳輸。主要作用：限制某些用戶或信息進(jìn)入一個(gè)被嚴(yán)格控制的站點(diǎn)；防止進(jìn)攻者接近其它防御工具；限制某些用戶或信息離開(kāi)一個(gè)被嚴(yán)格控制的站點(diǎn)。2024/7/2376第一代防火墻1991年，ANSInterlockService包過(guò)濾路由器（PacketFiltersRouter），實(shí)質(zhì)上是一個(gè)檢查通過(guò)它的數(shù)據(jù)包的路由器，在下三層協(xié)議實(shí)現(xiàn)。特點(diǎn)：利用路由器本身對(duì)數(shù)據(jù)包的分析能力，設(shè)置訪問(wèn)控制列表實(shí)施對(duì)數(shù)據(jù)包的過(guò)濾；實(shí)施過(guò)濾的技術(shù)基礎(chǔ)是數(shù)據(jù)包中包含的IP地址、端口號(hào)、IP標(biāo)識(shí)和其它網(wǎng)絡(luò)特征。2024/7/2377第一代防火墻優(yōu)勢(shì)：價(jià)格相對(duì)便宜；適合于在安全要求低、小型、不復(fù)雜的場(chǎng)所使用。缺陷：配置復(fù)雜，易出錯(cuò)；路由協(xié)議不能有效過(guò)濾使用FTP協(xié)議從20號(hào)以上端口對(duì)內(nèi)部網(wǎng)的探查；攻擊者可使用假冒地址進(jìn)行欺騙；靜態(tài)的過(guò)濾規(guī)則難以適應(yīng)動(dòng)態(tài)的安全要求；沒(méi)有審計(jì)跟蹤功能。2024/7/2378第二代防火墻基于軟件的用戶化應(yīng)用網(wǎng)關(guān)工具套件，采用應(yīng)用協(xié)議代理服務(wù)的工作方式實(shí)施安全策略。功能特點(diǎn)：功能范圍覆蓋到應(yīng)用層，實(shí)施了代理服務(wù)；過(guò)濾功能從路由器獨(dú)立出來(lái)；可以針對(duì)用戶需要提供模塊化軟件包。2024/7/2379第二代防火墻優(yōu)勢(shì)：具有審計(jì)跟蹤和報(bào)警功能；軟件可以經(jīng)網(wǎng)絡(luò)發(fā)送；比第一代防火墻安全功能有所提高。缺陷：軟件實(shí)現(xiàn)，限制了處理速度；配置維護(hù)復(fù)雜，對(duì)用戶有較高的技術(shù)要求；出錯(cuò)的幾率高。2024/7/2380第三代防火墻在通用操作系統(tǒng)上建立的防火墻產(chǎn)品優(yōu)勢(shì)：形成了批量生產(chǎn)上市供應(yīng)的專用產(chǎn)品；兼有包過(guò)濾功能；設(shè)置了專用代理服務(wù)系統(tǒng)，監(jiān)控各種協(xié)議的數(shù)據(jù)和指令；提供了用戶編程空間和配置參數(shù)的保護(hù)；速度和安全性都有所提高。不足：用戶的安全依賴于防火墻廠商和操作系統(tǒng)廠商兩個(gè)方面；操作系統(tǒng)本身的安全性成為安全的制約因素。2024/7/2381第四代防火墻綜合采用包過(guò)濾技術(shù)、代理服務(wù)技術(shù)、可信信息系統(tǒng)技術(shù)、計(jì)算機(jī)病毒檢測(cè)防護(hù)技術(shù)和密碼技術(shù)。特點(diǎn)：具有安全操作系統(tǒng)的源代碼，可實(shí)現(xiàn)安全內(nèi)核；對(duì)安全內(nèi)核進(jìn)行加固可以強(qiáng)化安全保護(hù)；對(duì)每個(gè)子系統(tǒng)所實(shí)施的安全處理可隔離黑客攻擊于子系統(tǒng)內(nèi)部，不致造成對(duì)其它部分的威脅；具備了包過(guò)濾、應(yīng)用網(wǎng)關(guān)、電路級(jí)網(wǎng)關(guān)的功能；具有識(shí)別、認(rèn)證、完整性校驗(yàn)和加密等多種密碼功能；具有計(jì)算機(jī)病毒檢測(cè)防護(hù)功能；具有較完善的審計(jì)跟蹤和報(bào)警功能。2024/7/2382防火墻包過(guò)濾技術(shù)包過(guò)濾防火墻將對(duì)每一個(gè)接收到的包進(jìn)行允許或拒絕的決定。針對(duì)每一個(gè)數(shù)據(jù)報(bào)的包頭，按照包過(guò)濾規(guī)則進(jìn)行判定，與規(guī)則相匹配的包依據(jù)路由信息繼續(xù)轉(zhuǎn)發(fā)，否則就丟棄。與服務(wù)相關(guān)的過(guò)濾，是指基于特定的服務(wù)進(jìn)行包過(guò)濾，由于絕大多數(shù)服務(wù)的監(jiān)聽(tīng)都駐留在特定TCP/UDP端口，因此，阻塞所有進(jìn)入特定服務(wù)的連接，防火墻只需將所有包含特定TCP/UDP目標(biāo)端口的包丟棄即可。2024/7/2383防火墻狀態(tài)檢測(cè)技術(shù)包過(guò)濾技術(shù)容易受到IP地址欺騙和針對(duì)開(kāi)放應(yīng)用端口的攻擊狀態(tài)檢測(cè)（StatefulInspection）防火墻直接對(duì)分組里的數(shù)據(jù)進(jìn)行處理，并且結(jié)合前后分組里的關(guān)系進(jìn)行綜合判斷決定是否允許該數(shù)據(jù)包通過(guò)。狀態(tài)檢測(cè)防火墻之所以能夠完成這個(gè)過(guò)程，是因?yàn)樵诜阑饓?nèi)部除了有一個(gè)需要人為配置的訪問(wèn)控制規(guī)則表外，還有一個(gè)不需配置而由防火墻自動(dòng)產(chǎn)生的狀態(tài)表。2024/7/2384防火墻應(yīng)用代理技術(shù)防火墻代理服務(wù)在確認(rèn)客戶端連接請(qǐng)求有效后接管連接，代為向服務(wù)器發(fā)出連接請(qǐng)求，代理服務(wù)器應(yīng)根據(jù)服務(wù)器的應(yīng)答，決定如何響應(yīng)客戶端請(qǐng)求。代理服務(wù)進(jìn)程應(yīng)當(dāng)建立兩個(gè)連接（客戶端與代理服務(wù)進(jìn)程間的連接、代理服務(wù)進(jìn)程與服務(wù)器端的連接），為確認(rèn)連接的唯一性與時(shí)效性，代理進(jìn)程應(yīng)當(dāng)維護(hù)代理連接表或相關(guān)數(shù)據(jù)庫(kù)。因?yàn)楣ぷ鲬?yīng)用層，應(yīng)用代理防火墻提供了包過(guò)濾防火墻和狀態(tài)檢測(cè)防火墻無(wú)法提供的諸多功能，可以進(jìn)行一些復(fù)雜的訪問(wèn)控制，例如

2024/7/2385防火墻應(yīng)用代理技術(shù)身份認(rèn)證機(jī)制內(nèi)容過(guò)濾應(yīng)用層日志缺陷：所有的連接請(qǐng)求在代理網(wǎng)關(guān)上都要經(jīng)過(guò)軟件的接受、分析、轉(zhuǎn)換、轉(zhuǎn)發(fā)等工作防火墻所能代理的服務(wù)（協(xié)議）必須在防火墻出廠之前進(jìn)行設(shè)定2024/7/2386防火墻典型配置2024/7/2387防火墻的缺陷無(wú)法防范內(nèi)部攻擊無(wú)法防范針對(duì)開(kāi)放端口的攻擊無(wú)法防范端口反彈木馬的攻擊無(wú)法防范非法通道的漏洞內(nèi)容過(guò)濾與系統(tǒng)效率的矛盾2024/7/2388P2DR安全模型保護(hù)(Protection)檢測(cè)(Detection)響應(yīng)(Response)備份(Recovery)策略(Policy)時(shí)間Time2024/7/2389入侵檢測(cè)技術(shù)入侵檢測(cè)： “對(duì)計(jì)算機(jī)或網(wǎng)絡(luò)系統(tǒng)中發(fā)生的事件進(jìn)行監(jiān)視和分析，檢查其中是否包含入侵的跡象?！?/p>

——NISTSpecialPublicationonIDS2024/7/2390入侵檢測(cè)的優(yōu)勢(shì)彌補(bǔ)其它安全產(chǎn)品或措施的缺陷傳統(tǒng)安全產(chǎn)品的出發(fā)點(diǎn)認(rèn)證機(jī)制防止未經(jīng)授權(quán)的使用者登錄用戶的系統(tǒng)加密技術(shù)防止第三者接觸到機(jī)密的文件防火墻防止未經(jīng)許可的數(shù)據(jù)流進(jìn)入用戶內(nèi)部網(wǎng)絡(luò)2024/7/2391入侵檢測(cè)的優(yōu)勢(shì)幫助發(fā)現(xiàn)和處理攻擊的企圖網(wǎng)絡(luò)或系統(tǒng)探查（Probe）主機(jī)探測(cè)、信息收集端口掃描漏洞掃描提供已發(fā)生入侵過(guò)程的詳細(xì)信息幫助確定系統(tǒng)存在的問(wèn)題為系統(tǒng)恢復(fù)和修正提供參考2024/7/2392入侵檢測(cè)的優(yōu)勢(shì)提供攻擊行為的證據(jù)追查入侵的來(lái)源產(chǎn)生心理威懾力你有權(quán)保持沉默，如果你放棄這個(gè)權(quán)利，你所做的一切都將成為呈堂證供?。。?024/7/2393入侵檢測(cè)的問(wèn)題影響網(wǎng)絡(luò)或主機(jī)系統(tǒng)的效率交換環(huán)境下的網(wǎng)絡(luò)型IDS主機(jī)型 IDS檢測(cè)能力與檢測(cè)效率的矛盾虛警（FalsePositive）漏警（FalseNegative）2024/7/2394入侵檢測(cè)的問(wèn)題入侵的實(shí)時(shí)檢測(cè)、報(bào)告及響應(yīng)如何看待入侵檢測(cè)的實(shí)時(shí)性問(wèn)題“入侵檢測(cè)的一個(gè)最大商業(yè)謊言是實(shí)時(shí)性”？ 實(shí)時(shí)性是一個(gè)相對(duì)的概念實(shí)時(shí)性與系統(tǒng)效率的矛盾 入侵檢測(cè)與防火墻的合并？2024/7/2395入侵檢測(cè)基本原理2024/7/2396功能模塊信息源

分析引擎

響應(yīng)模塊2024/7/2397入侵檢測(cè)信息源網(wǎng)絡(luò)數(shù)據(jù)包、連接記錄、訪問(wèn)記錄主機(jī)系統(tǒng)日志、審計(jì)記錄應(yīng)用程序的日志其它相關(guān)信息2024/7/2398入侵檢測(cè)分析引擎規(guī)則匹配、模式匹配系統(tǒng)狀態(tài)分析行為統(tǒng)計(jì)、事件統(tǒng)計(jì)神經(jīng)網(wǎng)絡(luò)、人工智能…

…2024/7/2399入侵檢測(cè)響應(yīng)模塊報(bào)警、通知管理員阻止進(jìn)一步的入侵行為追查入侵來(lái)源恢復(fù)受損系統(tǒng)網(wǎng)絡(luò)反擊2024/7/23100信息源的角度

Network-Based,Host-Based分析引擎的角度

MisuseDetection,AnomalyDetection響應(yīng)方式的角度

ActiveResponse,PassiveResponseIDS分類2024/7/23101VPNVPN（VirtualPrivateNetwork虛擬專用網(wǎng)）是通過(guò)在兩臺(tái)計(jì)算機(jī)之間建立一條專用連接從而達(dá)到在共享或者公共網(wǎng)絡(luò)（一般是指Internet）上傳輸私有數(shù)據(jù)的目的。整個(gè)VPN網(wǎng)絡(luò)的任意兩個(gè)節(jié)點(diǎn)之間的連接并沒(méi)有傳統(tǒng)專網(wǎng)所需的端到端的物理鏈路，而是架構(gòu)在公用網(wǎng)絡(luò)服務(wù)商所提供的網(wǎng)絡(luò)平臺(tái)（Internet、ATM、FrameRelay等）之上的邏輯網(wǎng)絡(luò)，用戶數(shù)據(jù)在邏輯鏈路中傳輸。通過(guò)采用相應(yīng)的加密和認(rèn)證技術(shù)來(lái)保證用內(nèi)部網(wǎng)絡(luò)數(shù)據(jù)在公網(wǎng)上安全傳輸，從而真正實(shí)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)的專用性。2024/7/23102VPN的功能VPN可以幫助遠(yuǎn)程和移動(dòng)用戶、公司分支機(jī)構(gòu)、商業(yè)合作伙伴及供應(yīng)商與公司的內(nèi)部網(wǎng)建立可信的安全連接，并保證數(shù)據(jù)的安全傳輸。VPN應(yīng)該提供如下功能：加密數(shù)據(jù)信息完整性保護(hù)和身份認(rèn)證訪問(wèn)控制機(jī)制針對(duì)用戶的帶寬控制機(jī)制2024/7/23103VPN在協(xié)議層次模型中的位置

VPN在OSI的模型中屬于網(wǎng)絡(luò)層的安全機(jī)制，在INTERNET的模型中屬于IP層，可以與防火墻技術(shù)有效結(jié)合，提供一種對(duì)于上層應(yīng)用透明的安全控制。2024/7/23104VPN技術(shù)

隧道技術(shù)加密技術(shù)（DES，3DES，IDEA等）完整性保護(hù)（MD5，SHA-1）身份認(rèn)證技術(shù)（口令，證書）密鑰管理技術(shù)2024/7/23105VPN隧道協(xié)議介紹第二層隧道協(xié)議PPTPL2FL2TP第三層隧道協(xié)議IPSEC2024/7/23106隧道協(xié)議隧道技術(shù)是將分組封裝（encapsulate）的技術(shù)，它是VPN實(shí)現(xiàn)以內(nèi)部網(wǎng)地址通信以及多協(xié)議通信的基礎(chǔ)。在VPN設(shè)備間建立的封裝數(shù)據(jù)的IP通信路徑，邏輯上被稱作隧道。2024/7/23107第二層隧道技術(shù)有一類隧道協(xié)議，包括PPTP，L2F和L2TP，它們以PPP的幀為封裝對(duì)象，即定義了利用公共網(wǎng)絡(luò)設(shè)施（如IP網(wǎng)絡(luò)、ATM和幀中繼網(wǎng)絡(luò)）封裝傳輸鏈路層PPP幀的方法，由于PPP協(xié)議在網(wǎng)絡(luò)協(xié)議層次模型中位于第二層數(shù)據(jù)鏈路層，所以這類隧道協(xié)議被稱為第二層隧道協(xié)議，即LAYER2TUNNELING。優(yōu)點(diǎn)多協(xié)議支持多通道支持缺點(diǎn)缺乏強(qiáng)加密和認(rèn)證手段2024/7/23108PPTP（point-to-pointtunnelingprotocol）PPTP是microsoft公司提出的windows平臺(tái)上的第二層隧道協(xié)議，使用IP包封裝PPP幀，PPTP使用CHAP等協(xié)議提供認(rèn)證機(jī)制，使用MPPE協(xié)議提供數(shù)據(jù)加密，算法采用RSARC4，分別支持128bits和40bits。優(yōu)點(diǎn)協(xié)議本身被集成到windows系統(tǒng)，操作非常簡(jiǎn)便支持多種上層協(xié)議有流量控制機(jī)制缺點(diǎn)只支持windows平臺(tái)只對(duì)載荷數(shù)據(jù)進(jìn)行加密2024/7/23109L2F（layer2forwarding)L2F是由CISCO公司提出的第二層隧道協(xié)議，它和PPTP的最顯著的區(qū)別是，PPTP只能依靠IP包來(lái)封裝PPP幀，而L2F則可以利用一些第二層的協(xié)議數(shù)據(jù)包，例如FRAME-RELAY和ATM，來(lái)進(jìn)行封裝。優(yōu)點(diǎn)支持多種上層協(xié)議有流量控制機(jī)制缺點(diǎn)只是一個(gè)隧道協(xié)議，不涉及加密需要NSP的網(wǎng)絡(luò)設(shè)備支持2024/7/23110L2TP（LayerTwoTunnelingProtocol）L2TP是L2F和PPTP兩個(gè)協(xié)議進(jìn)行綜合后的產(chǎn)物，繼承了兩個(gè)協(xié)議的優(yōu)點(diǎn)，目前作為第二層隧道協(xié)議的標(biāo)準(zhǔn)化工作正在進(jìn)行。優(yōu)點(diǎn)L2TP繼承了L2F和PPTP的優(yōu)點(diǎn)，將成為第二層隧道協(xié)議的標(biāo)準(zhǔn)缺點(diǎn)仍然沒(méi)有對(duì)數(shù)據(jù)加密的規(guī)定，所以目前一個(gè)解決方式是和IPSEC一起應(yīng)用，由IPSEC負(fù)責(zé)數(shù)據(jù)的加密2024/7/23111第三層隧道協(xié)議（layer3tunneling)另一類隧道協(xié)議以IP數(shù)據(jù)包為隧道封裝對(duì)象，由于隧道中處理的數(shù)據(jù)在網(wǎng)絡(luò)層次模型中屬于第三層網(wǎng)絡(luò)層，所以這類隧道協(xié)議被稱為第三層隧道協(xié)議，其中的代表就是IPSEC協(xié)議。2024/7/23112IPSEC（InternetProtocolSecurity）IPSEC是由IETF提出的一個(gè)在IP層提供安全控制的協(xié)議族，包括校驗(yàn)頭AH，封裝安全負(fù)載ESP，以及密鑰管理協(xié)議ISAKMP，IPSEC對(duì)密鑰交換，身份認(rèn)證和數(shù)據(jù)加密都作了明確的規(guī)定。優(yōu)點(diǎn)定義了一套用于認(rèn)證，保護(hù)私有性和完整性的標(biāo)準(zhǔn)協(xié)議適用于固定網(wǎng)關(guān)之間的VPN連接缺點(diǎn)不支持多協(xié)議，只支持TCP/IP不支持客戶端是動(dòng)態(tài)IP地址的情況2024/7/23113內(nèi)容密碼技術(shù)及應(yīng)用安全協(xié)議訪問(wèn)控制網(wǎng)絡(luò)安全系統(tǒng)安全應(yīng)用安全2024/7/23114系統(tǒng)安全操作系統(tǒng)安全機(jī)制Windows安全技術(shù)Unix安全技術(shù)數(shù)據(jù)庫(kù)安全技術(shù)漏洞掃描2024/7/23115操作系統(tǒng)安全機(jī)制操作系統(tǒng)作為計(jì)算機(jī)系統(tǒng)的基礎(chǔ)軟件是用來(lái)管理計(jì)算機(jī)資源的，它直接利用計(jì)算機(jī)硬件并為用戶提供使用和編程接口。在網(wǎng)絡(luò)環(huán)境中，網(wǎng)絡(luò)系統(tǒng)的安全性依賴于網(wǎng)絡(luò)中各主機(jī)系統(tǒng)的安全性，而主機(jī)系統(tǒng)的安全性正是由其操作系統(tǒng)的安全性所決定的。2024/7/23116TCSEC操作系統(tǒng)的安全級(jí)別必須經(jīng)過(guò)國(guó)際專門機(jī)構(gòu)的嚴(yán)格評(píng)測(cè)和認(rèn)定。國(guó)外從20世紀(jì)70年代起就開(kāi)展了建立安全保密準(zhǔn)則的工作，美國(guó)國(guó)防部于1983年提出并于1985年批準(zhǔn)的“可信計(jì)算機(jī)系統(tǒng)安全評(píng)估準(zhǔn)則（TCSEC）”，為計(jì)算機(jī)安全產(chǎn)品的評(píng)測(cè)提供了測(cè)試準(zhǔn)則和方法，指導(dǎo)信息安全產(chǎn)品的制造和應(yīng)用，并建立了關(guān)于網(wǎng)絡(luò)系統(tǒng)、數(shù)據(jù)庫(kù)等的安全解釋。2024/7/23117操作系統(tǒng)安全級(jí)別安全級(jí)別描述D最低的級(jí)別。如MS-DOS計(jì)算機(jī)，沒(méi)有安全性可言。C1靈活的安全保護(hù)。系統(tǒng)不需要區(qū)分用戶?？商峁┗镜脑L問(wèn)控制。C2較完善的自主訪問(wèn)控制。系統(tǒng)不僅要識(shí)別用戶還要考慮唯一性。系統(tǒng)級(jí)的保護(hù)主要存在于資源、數(shù)據(jù)、文件和操作上。Windows2000和Linux屬于C2級(jí)的系統(tǒng)B1提供強(qiáng)制訪問(wèn)控制和更多的保護(hù)措施。如AT＆T的SYSTEMV和UNIXwithMLS以及IBMMVS/ESAB2良好的結(jié)構(gòu)化設(shè)計(jì)和形式化安全模型，支持硬件保護(hù)。內(nèi)容區(qū)被虛擬分割并嚴(yán)格保護(hù)。如TrustedXENIXandHoneywellMULTICSB3全面的訪問(wèn)控制、可信恢復(fù)和安全域，提供數(shù)據(jù)隱藏和分層，阻止層之間的交互。如HoneywellXTS-200A形式化認(rèn)證，系統(tǒng)需要經(jīng)過(guò)嚴(yán)格的、準(zhǔn)確的證明，而且提供所有低級(jí)別的因素。如HoneywellSCOMP2024/7/23118C2級(jí)系統(tǒng)流行的WindowsNT/2000、Linux、Solaris系統(tǒng)均屬于C2級(jí)別安全系統(tǒng)。C2級(jí)分類的關(guān)鍵是一個(gè)系統(tǒng)需要具備這樣幾個(gè)主要方面：自主的訪問(wèn)控制屬主對(duì)對(duì)象訪問(wèn)的控制權(quán)對(duì)象重用標(biāo)識(shí)和認(rèn)證審計(jì)2024/7/23119安全要素Windows2000內(nèi)置有支持用戶驗(yàn)證、訪問(wèn)控制、管理和審計(jì)的功能。一個(gè)基本的安全定義就是：僅允許合法的用戶做他們想做的事。2024/7/23120WindowsNT/2000安全功能自主訪問(wèn)控制對(duì)象重用強(qiáng)制登錄審計(jì)控制對(duì)象的訪問(wèn)2024/7/23121面向?qū)ο蟮腤indowsNT/2000Windows2000把系統(tǒng)所有類型的資源處理成特殊的對(duì)象，這些對(duì)象包括資源本身、機(jī)制和需要訪問(wèn)的程序。微軟安全主要是基于下列對(duì)象規(guī)則：所有的資源都以對(duì)象表示；只有Windows2000能夠直接訪問(wèn)那些對(duì)象；對(duì)象包括數(shù)據(jù)和功能；所有的對(duì)象在被訪問(wèn)之前都要經(jīng)過(guò)Windows2000的安全子系統(tǒng)驗(yàn)證；存在不同類型的對(duì)象，每種對(duì)象確定了這些對(duì)象能夠做些什么。Windows2000的對(duì)象類別包括：文件、目錄、輸入輸出設(shè)備、線程、進(jìn)程、內(nèi)存等2024/7/23122WindowsNT/2000安全組件安全標(biāo)識(shí)符訪問(wèn)令牌安全描述符訪問(wèn)控制列表訪問(wèn)控制條目2024/7/23123安全標(biāo)識(shí)符安全標(biāo)識(shí)符（SID）是統(tǒng)計(jì)上唯一的數(shù)，分配給所有的用戶、組和計(jì)算機(jī)。統(tǒng)計(jì)上的唯一指的是兩個(gè)數(shù)發(fā)生重復(fù)的可能性是極為罕見(jiàn)的。每次當(dāng)一個(gè)新用戶或組被建立的時(shí)候，它們都會(huì)接收到一個(gè)唯一的SID。每當(dāng)Windows2000安裝完畢并啟動(dòng)時(shí)，也會(huì)有一個(gè)新的SID分配給這臺(tái)計(jì)算機(jī)。SID標(biāo)識(shí)了用戶、組和計(jì)算機(jī)的唯一性，這種唯一性不僅僅是在某臺(tái)特定的電腦上，還包括和其它計(jì)算機(jī)交互的時(shí)候。2024/7/23124訪問(wèn)令牌登錄過(guò)程的目的之一是在用戶被驗(yàn)證之后分配訪問(wèn)令牌。訪問(wèn)令牌是由用戶的SID、用戶所屬組的SID、用戶名、用戶所在組的組名構(gòu)成的。訪問(wèn)令牌就好比用戶能夠訪問(wèn)計(jì)算機(jī)資源的電子鑰匙。無(wú)論何時(shí)用戶企圖進(jìn)行訪問(wèn)，都要向Windows系統(tǒng)出示訪問(wèn)令牌。訪問(wèn)令牌只有在登錄的過(guò)程中才會(huì)發(fā)布，所以一旦對(duì)用戶的訪問(wèn)權(quán)限作了改動(dòng)的話就要重新登錄后才能收到一個(gè)更新后的訪問(wèn)令牌。2024/7/23125安全描述符WindowsNT/2000內(nèi)的每個(gè)對(duì)象都有一個(gè)安全描述符作為它們屬性的一部分。安全描述符持有對(duì)象的安全設(shè)置。安全描述符是由對(duì)象屬主的SID、組SID、自主訪問(wèn)控制列表以及計(jì)算機(jī)訪問(wèn)控制列表組成的。2024/7/23126訪問(wèn)控制列表自主訪問(wèn)控制列表里記錄用戶和組以及它們的相關(guān)權(quán)限，要么允許，要么拒絕。自主訪問(wèn)控制列表列出每個(gè)用戶和組的特定權(quán)限。系統(tǒng)訪問(wèn)控制列表包含為對(duì)象審計(jì)的事件。當(dāng)沒(méi)有特殊指定訪問(wèn)控制列表的類型時(shí)，通常是自主訪問(wèn)控制列表。2024/7/23127訪問(wèn)控制條目每個(gè)訪問(wèn)控制條目（ACE）包含用戶或組的SID及對(duì)對(duì)象所持有的權(quán)限。對(duì)象分配的每個(gè)權(quán)限都有一個(gè)ACE。訪問(wèn)控制條目有兩種類型：允許訪問(wèn)或拒絕訪問(wèn)。在訪問(wèn)控制列表里拒絕訪問(wèn)ACE優(yōu)先于允許訪問(wèn)。當(dāng)使用管理工具列出一個(gè)對(duì)象的訪問(wèn)權(quán)限時(shí)，按照字母順序由用戶開(kāi)始，然后是組。2024/7/23128WindowsNT/2000安全機(jī)制帳號(hào)安全在一個(gè)網(wǎng)絡(luò)中，用戶和計(jì)算機(jī)都是網(wǎng)絡(luò)的主體，兩者缺一不可。擁有計(jì)算機(jī)帳戶是計(jì)算機(jī)接入WindowsNT/2000網(wǎng)絡(luò)的基礎(chǔ)，擁有用戶帳戶是用戶登錄到網(wǎng)絡(luò)并使用網(wǎng)絡(luò)資源的基礎(chǔ)，因此用戶和計(jì)算機(jī)帳戶管理是WindowsNT/2000網(wǎng)絡(luò)管理中最必要且最經(jīng)常的工作。2024/7/23129WindowsNT/2000安全機(jī)制計(jì)算機(jī)帳戶每個(gè)加入域的WindowsNT/2000計(jì)算機(jī)都具有計(jì)算機(jī)帳戶，否則無(wú)法進(jìn)行域連接，實(shí)現(xiàn)域資源的訪問(wèn)。與用戶帳戶類似，計(jì)算機(jī)帳戶也提供驗(yàn)證和審核計(jì)算機(jī)登錄到網(wǎng)絡(luò)以及訪問(wèn)域資源的方法。一個(gè)計(jì)算機(jī)系統(tǒng)要加入到域中，只能使用一個(gè)計(jì)算機(jī)帳戶，而一個(gè)用戶可擁有多個(gè)用戶帳戶，且可在不同的計(jì)算機(jī)（指已經(jīng)連接到域中的計(jì)算機(jī)）上使用自己的用戶帳戶進(jìn)行網(wǎng)絡(luò)登錄。2024/7/23130WindowsNT/2000安全機(jī)制活動(dòng)目錄用戶帳戶用戶帳戶用來(lái)記錄用戶的用戶名、口令、隸屬的組、可以訪問(wèn)的網(wǎng)絡(luò)資源，以及用戶的個(gè)人文件和設(shè)置。每個(gè)用戶都應(yīng)在域控制器中有一個(gè)用戶帳戶，才能訪問(wèn)服務(wù)器，使用網(wǎng)絡(luò)上的資源。用戶帳戶由一個(gè)用戶名和一個(gè)口令來(lái)標(biāo)識(shí)，二者都需要用戶在登錄時(shí)鍵入?；顒?dòng)目錄用戶帳戶使用已經(jīng)驗(yàn)證和授權(quán)訪問(wèn)域資源的身份登錄到計(jì)算機(jī)和域。用戶帳戶也可作為某些應(yīng)用程序的服務(wù)帳戶。2024/7/23131WindowsNT/2000安全機(jī)制文件系統(tǒng)安全NTFSNTFS文件系統(tǒng)只能由WindowsNT/2000使用。它使用關(guān)系型數(shù)據(jù)庫(kù)、事務(wù)處理以及對(duì)象技術(shù)，以提供數(shù)據(jù)安全以及文件可靠性的特性。它還支持文件系統(tǒng)恢復(fù)、大型存儲(chǔ)介質(zhì)、POSIX子系統(tǒng)以及面向?qū)ο蟮膽?yīng)用程序。NTFS的新特性包括對(duì)分層存儲(chǔ)管理的支持，這是通過(guò)使用重新解析點(diǎn)、磁盤配額、加密、稀疏文件、分布式鏈接跟蹤、分布式文件系統(tǒng)、NTFS目錄連接、卷裝配點(diǎn)、索引服務(wù)以及更改日志來(lái)實(shí)現(xiàn)的。2024/7/23132WindowsNT/2000安全機(jī)制Kerberos5認(rèn)證Kerberos系統(tǒng)是美國(guó)麻省理工學(xué)院為Athena工程而設(shè)計(jì)的，為分布式計(jì)算環(huán)境提供一種對(duì)用戶雙方進(jìn)行驗(yàn)證的認(rèn)證方法。Kerberos是一種被證明為非常安全的雙向身份認(rèn)證技術(shù)，其身份認(rèn)證強(qiáng)調(diào)了客戶機(jī)對(duì)服務(wù)器的認(rèn)證，而別的身份認(rèn)證技術(shù)往往只解決了服務(wù)器對(duì)客戶機(jī)的認(rèn)證。Kerberos有效地防止了來(lái)自服務(wù)器端身份假冒的欺騙。2024/7/23133WindowsNT/2000安全機(jī)制NTLM認(rèn)證Windows2000中仍然保留NT-LanMan(NTLM)認(rèn)證，以便向后兼容。它與WindowsNT4.0完全相同。在未來(lái)的一段時(shí)間內(nèi)，運(yùn)行DOS、Windows3.x、Windows95、Windows98、WindowsNT3.5和WindowsNT4.0的客戶仍然需要LM和NTLM支持。LanManager所使用的哈希算法有漏洞，l0pht組織已經(jīng)發(fā)布用于破解NT系統(tǒng)中SAM文件的工具l0phtcrack?，F(xiàn)在，Windows2000已支持新的更安全的認(rèn)證協(xié)議NTLM2。2024/7/23134WindowsNT/2000安全機(jī)制活動(dòng)目錄除了查看磁盤的文件夾和文件的傳統(tǒng)目錄樹(shù)外，管理員還可以瀏覽活動(dòng)目錄，對(duì)域用戶、用戶組和網(wǎng)絡(luò)資源進(jìn)行管理?；顒?dòng)目錄能夠把域劃分為不同的組織單元。域的樹(shù)顯示多個(gè)對(duì)象進(jìn)行劃分后的結(jié)果，每一部分都有自己的安全性、委托關(guān)系和用戶許可證等特性。系統(tǒng)管理員還可以通過(guò)活動(dòng)目錄指定局部管理員，每人以自己的安全性及許可權(quán)限進(jìn)行管理分類。局部管理員有能力建立自己的組織單元并把對(duì)用戶的分配權(quán)力直接拖放到目錄的域中，這時(shí)所指定的帳號(hào)信息及許可權(quán)將得到自動(dòng)復(fù)制。2024/7/23135Linux內(nèi)核進(jìn)程調(diào)度內(nèi)存管理虛擬文件系統(tǒng)網(wǎng)絡(luò)接口進(jìn)程間通信2024/7/23136Linux系統(tǒng)的問(wèn)題超級(jí)用戶可能濫用權(quán)限：超級(jí)用戶可以做任何事情，包括刪除不該刪除的系統(tǒng)文檔、殺死系統(tǒng)進(jìn)程以及改變權(quán)限等等系統(tǒng)文檔可以被任意地修改：在Linux系統(tǒng)中有許多的重要文件（比如/bin/login），如果入侵者修改該文件，就可以輕易地再次登錄系統(tǒng)內(nèi)核可以輕易插入模塊：系統(tǒng)內(nèi)核允許插入模塊，使用戶擴(kuò)展Linux操作系統(tǒng)的功能，這種做法從安全性的角度來(lái)看是非常危險(xiǎn)的。模塊插入內(nèi)核后就成為內(nèi)核的一部分，可以做內(nèi)核所能做的任何事情進(jìn)程不受保護(hù)如何解決？2024/7/23137Linux啟動(dòng)和登錄安全性BIOS安全用戶口令帳號(hào)安全口令文件禁止Ctrl+Alt+Delete重新啟動(dòng)機(jī)器命令限制su命令，防止任何人都可以用su命令成為root用戶刪減登錄信息2024/7/23138Linux系統(tǒng)配置“/etc/exports”

“/etc/inetd.conf”文件“/etc/aliases”文件“/etc/host.conf”文件“/etc/services”文件“/etc/securetty”文件“/etc/lilo.conf”文件GRUB多重啟動(dòng)管理器“/etc/sysctl.conf”文件syslog

系統(tǒng)日志工具/etc/sysconfig/network-scripts//etc/sysconfig/network2024/7/23139現(xiàn)有的數(shù)據(jù)庫(kù)安全策略依靠操作系統(tǒng)的訪問(wèn)控制功能：現(xiàn)代的主流操作系統(tǒng)都有完善的用戶認(rèn)證機(jī)制，每個(gè)登錄系統(tǒng)的用戶通過(guò)自己的權(quán)限（即訪問(wèn)控制表ACL）來(lái)訪問(wèn)系統(tǒng)資源。這樣數(shù)據(jù)庫(kù)擁有者或管理者可以通過(guò)設(shè)置用戶權(quán)限來(lái)控制他人對(duì)數(shù)據(jù)庫(kù)文件的讀取、寫入、復(fù)制及刪除。采用用戶身份認(rèn)證實(shí)現(xiàn)：在用戶試圖打開(kāi)數(shù)據(jù)庫(kù)時(shí)要求用戶輸入用戶名和口令。通過(guò)對(duì)數(shù)據(jù)庫(kù)加密來(lái)實(shí)現(xiàn)：采用用戶的密碼對(duì)數(shù)據(jù)庫(kù)文件中的二進(jìn)制數(shù)據(jù)流進(jìn)行移位變換等處理來(lái)實(shí)現(xiàn)安全。2024/7/23140現(xiàn)有策略的缺陷數(shù)據(jù)庫(kù)文件的安全完全依賴于操作系統(tǒng)，當(dāng)系統(tǒng)配置不當(dāng)時(shí)，安全根本得不到保證；數(shù)據(jù)庫(kù)文件的安全完全依賴于基于密碼校驗(yàn)的身份認(rèn)證。如果用戶以正常方式打開(kāi)數(shù)據(jù)庫(kù)文件，身份認(rèn)證無(wú)疑是個(gè)不錯(cuò)的安全措施，但如果用戶以二進(jìn)制文件方式打開(kāi)文件時(shí)，身份認(rèn)證過(guò)程會(huì)被輕易跳過(guò)；對(duì)大型數(shù)據(jù)庫(kù)進(jìn)行加解密會(huì)影響訪問(wèn)系統(tǒng)的訪問(wèn)性能和效率。2024/7/23141數(shù)據(jù)庫(kù)安全新策略安全性不受操作系統(tǒng)平臺(tái)影響加密內(nèi)容的適量采用先進(jìn)的加密技術(shù)加密和數(shù)據(jù)壓縮結(jié)合身份認(rèn)證陷阱數(shù)據(jù)庫(kù)文件反復(fù)制2024/7/23142異構(gòu)數(shù)據(jù)庫(kù)的安全性客戶機(jī)/服務(wù)器通過(guò)開(kāi)放的網(wǎng)絡(luò)環(huán)境，跨不同硬件和軟件平臺(tái)進(jìn)行通信，數(shù)據(jù)庫(kù)的安全問(wèn)題在異構(gòu)環(huán)境下變得更加復(fù)雜。異構(gòu)環(huán)境的系統(tǒng)具有可擴(kuò)展性，每個(gè)節(jié)點(diǎn)服務(wù)器還能自治實(shí)行集中式安全管理和訪問(wèn)控制，對(duì)自己創(chuàng)建的用戶、規(guī)則、客體進(jìn)行安全管理。如由DBA或安全管理員執(zhí)行本部門、本地區(qū)、或整體的安全策略，授權(quán)特定的管理員管理各組應(yīng)用程序、用戶、規(guī)則和數(shù)據(jù)庫(kù)。因此訪問(wèn)控制和安全管理尤為重要。2024/7/23143異構(gòu)環(huán)境的數(shù)據(jù)庫(kù)安全策略全局范圍的身份驗(yàn)證;全局的訪問(wèn)控制，以支持各類局部訪問(wèn)控制（自主和強(qiáng)制訪問(wèn)控制）全局完整性控制網(wǎng)絡(luò)安全管理，包括網(wǎng)絡(luò)信息加密、網(wǎng)絡(luò)入侵防護(hù)和檢測(cè)等審計(jì)技術(shù)數(shù)據(jù)庫(kù)及應(yīng)用系統(tǒng)安全，如自動(dòng)的應(yīng)用系統(tǒng)集成、對(duì)象管理等。開(kāi)發(fā)者能定義各個(gè)對(duì)象的安全性。根據(jù)定義的數(shù)據(jù)庫(kù)安全性，DBA能迅速準(zhǔn)確地通過(guò)應(yīng)用系統(tǒng)給所有數(shù)據(jù)庫(kù)對(duì)象授權(quán)和回收權(quán)限。2024/7/23144漏洞掃描入侵者首先總是通過(guò)尋找安全漏洞來(lái)尋找入侵點(diǎn)，有必要進(jìn)行網(wǎng)絡(luò)系統(tǒng)自身的脆弱性檢查，先于入侵者發(fā)現(xiàn)漏洞并及時(shí)彌補(bǔ)；漏洞檢測(cè)的原理主要是通過(guò)查找安全漏洞庫(kù)及采用一些模擬攻擊的方法來(lái)發(fā)現(xiàn)漏洞。因?yàn)榫W(wǎng)絡(luò)是動(dòng)態(tài)變化的，所以對(duì)于脆弱性檢查應(yīng)該定期執(zhí)行，而在結(jié)構(gòu)發(fā)生變化或安裝了新的軟硬件后也應(yīng)該執(zhí)行脆弱性檢查系統(tǒng)級(jí)掃描工具主要有：主機(jī)系統(tǒng)掃描器和數(shù)據(jù)庫(kù)掃描器2024/7/23145內(nèi)容密碼技術(shù)及應(yīng)用安全協(xié)議訪問(wèn)控制網(wǎng)絡(luò)安全系統(tǒng)安全應(yīng)用安全2024/7/23146應(yīng)用安全身份認(rèn)證技術(shù)：公開(kāi)密鑰基礎(chǔ)設(shè)施（PKI）是一種遵循標(biāo)準(zhǔn)的密鑰管理平臺(tái)，能夠?yàn)樗芯W(wǎng)絡(luò)應(yīng)用透明地提供采用加密和數(shù)字簽名等密碼服務(wù)所必需的密鑰和證書管理。應(yīng)用服務(wù)安全性：Web服務(wù)器、郵件服務(wù)器等的安全增強(qiáng)，使用S-HTTP、SSH、PGP等技術(shù)提高Web數(shù)據(jù)、遠(yuǎn)程登錄、電子郵件的安全性。網(wǎng)絡(luò)防病毒技術(shù)：病毒是系統(tǒng)中最常見(jiàn)的威脅來(lái)源。建立全方位的病毒防范系統(tǒng)是計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)建設(shè)的重要任務(wù)。2024/7/23147身份認(rèn)證分類單因素認(rèn)證雙因素認(rèn)證挑戰(zhàn)/應(yīng)答機(jī)制認(rèn)證時(shí)間同步機(jī)制認(rèn)證2024/7/23148認(rèn)證手段知道某事或某物擁有某事或某物擁有某些不變特性在某一特定場(chǎng)所（或特定時(shí)間）提供證據(jù)通過(guò)可信的第三方進(jìn)行認(rèn)證2024/7/23149非密碼認(rèn)證機(jī)制口令機(jī)制一次性口令機(jī)制挑戰(zhàn)/應(yīng)答機(jī)制基于地址的機(jī)制基于個(gè)人特征的機(jī)制個(gè)人認(rèn)證令牌2024/7/23150基于密碼的認(rèn)證機(jī)制基本原理是使驗(yàn)證者信服聲稱者所聲稱的，因?yàn)槁暦Q者知道某一秘密密鑰?；趯?duì)稱密碼技術(shù)基于公鑰密碼技術(shù)2024/7/23151零知識(shí)認(rèn)證零知識(shí)認(rèn)證技術(shù)可使信息的擁有者無(wú)需泄露任何信息就能夠向驗(yàn)證者或任何第三方證明它擁有該信息。在網(wǎng)絡(luò)認(rèn)證中，已經(jīng)提出了零知識(shí)技術(shù)的一些變形，例如，F(xiàn)FS方案，F(xiàn)S方案和GQ方案。一般情況下，驗(yàn)證者頒布大量的詢問(wèn)給聲稱者，聲稱者對(duì)每個(gè)詢問(wèn)計(jì)算一個(gè)回答，而在計(jì)算中使用了秘密信息。2024/7/23152典型的認(rèn)證協(xié)議Kerberos系統(tǒng)Kerberos系統(tǒng)為工作站用戶（客戶）到服務(wù)器以及服務(wù)器到工作站用戶提供了認(rèn)證方法，Kerberos系統(tǒng)使用了對(duì)稱密碼技術(shù)和在線認(rèn)證服務(wù)器。缺陷：需要具有很高利用率的可信（物理上安全的）在線服務(wù)器；重放檢測(cè)依賴于時(shí)戳，意味著需要同步和安全的時(shí)鐘；如果認(rèn)證過(guò)程中的密鑰受到威脅，那么傳遞在使用該密鑰進(jìn)行認(rèn)證的任何會(huì)話過(guò)程中的所有被保護(hù)的數(shù)據(jù)將受到威脅。2024/7/23153典型的認(rèn)證協(xié)議X.509認(rèn)證交換協(xié)議與Kerberos協(xié)議相比，X.509認(rèn)證交換協(xié)議有一個(gè)很大的優(yōu)點(diǎn)：不需要物理上安全的在線服務(wù)器，因?yàn)橐粋€(gè)證書包含了一個(gè)認(rèn)證授權(quán)機(jī)構(gòu)的簽名。公鑰證書可通過(guò)使用一個(gè)不可信的目錄服務(wù)被離線地分配。X.509雙向交換同樣依賴于時(shí)戳，而X.509三向交換則克服了這一缺陷。但X.509認(rèn)證交換協(xié)議仍存在Kerberos的第3個(gè)缺陷。2024/7/23154典型的認(rèn)證協(xié)議認(rèn)證Diffie-Hellman交換協(xié)議Diffie,van

Oorschot和Wiener于1992年將基于公鑰的互認(rèn)證和Diffie-Hellman密鑰交換相結(jié)合提出了一個(gè)三向認(rèn)證交換?？梢詫⒃摻粨Q協(xié)議視作X.509三向交換的一個(gè)變形，但交換的數(shù)據(jù)項(xiàng)不同。認(rèn)證Diffie-Hellman交換協(xié)議與Kerberos和X.509認(rèn)證交換協(xié)議相比有一個(gè)優(yōu)點(diǎn)：如果使用在認(rèn)證過(guò)程中的簽名密鑰受到威脅，那么不會(huì)危及到結(jié)合于認(rèn)證而推導(dǎo)出的主密鑰的秘密性。2024/7/23155公鑰基礎(chǔ)設(shè)施（PKI）PKI技術(shù)采用證書管理公鑰，通過(guò)第三方的可信任機(jī)構(gòu)，即認(rèn)證中心CertificateAuthority（CA）把用戶的公鑰和其它標(biāo)識(shí)信息（如名稱、e-mail、身份證號(hào)等）捆綁在一起，在Internet網(wǎng)上驗(yàn)證用戶的身份。目前，通用的辦法是采用建立在PKI基礎(chǔ)之上的數(shù)字證書，通過(guò)把要傳輸?shù)臄?shù)字信息進(jìn)行加密和簽名，保證信息傳輸?shù)臋C(jī)密性、真實(shí)性、完整性和不可否認(rèn)性，從而保證信息的安全傳輸。2024/7/23156PKI的組成PKI主要包括四個(gè)部分X.509格式的證書（X.509V3）和證書撤銷列表CRL（X.509V2）CA/RA操作協(xié)議CA管理協(xié)議CA政策制定典型PKI系統(tǒng)：認(rèn)證中心CA、X.500目錄服務(wù)器、Web安全通信平臺(tái)、完整的PKI認(rèn)證政策的制定2024/7/23157PKI典型構(gòu)成2024/7/23158典型的CA系統(tǒng)結(jié)構(gòu)2024/7/23159認(rèn)證中心的功能接收驗(yàn)證最終用戶數(shù)字證書的申請(qǐng)；確定是否接受最終用戶數(shù)字證書的申請(qǐng)-證書的審批；向申請(qǐng)者頒發(fā)、拒絕頒發(fā)數(shù)字證書-證書的發(fā)放；接收、處理最終用戶的數(shù)字證書更新請(qǐng)求-證書的更新；接收最終用戶數(shù)字證書的查詢、撤銷；產(chǎn)生和發(fā)布證書撤銷列表（CRL）；數(shù)字證書的歸檔；密鑰歸檔；歷史數(shù)據(jù)歸檔。2024/7/23160Web服務(wù)器安全Web服務(wù)是應(yīng)用最廣泛的Internet服務(wù)，其流量占整個(gè)Internet流量的50%以上，如何有效解決其安全性問(wèn)題，是實(shí)施Internet和Intranet安全的重要環(huán)節(jié)。針對(duì)Web服務(wù)器的攻擊主要是利用服務(wù)器的漏洞，特別是在大量使用腳本的系統(tǒng)上，利用這些可執(zhí)行的腳本程序，入侵者可以很容易地獲得系統(tǒng)的控制權(quán)。2024/7/23161常見(jiàn)的Web服務(wù)器漏洞Web服務(wù)器存在的主要漏洞包括物理路