《TCPIP协议-浙江工业大学12942》由会员分享，可在线阅读，更多相关《TCPIP协议-浙江工业大学12942（55页珍藏版）》请在金锄头文库上搜索。
1、网络安全补遗和网络安全补遗和TCP/IPTCP/IP 协议协议陈庆章陈庆章 20122012年年1111月月2727日日网络安全补遗网络安全补遗网络安全要解决的主要问题网络安全主要解决数据保密和认证的问 题。n数据保密就是采取复杂多样的措施对数据加以 保护，以防止数据被有意或无意地泄露给无关 人员。n认证分为信息认证和用户认证两个方面l信息认证是指信息从发送到接收整个通路中没有被第 三者修改和伪造，l用户认证是指用户双方都能证实对方是这次通信的合 法用户。通常在一个完备的保密系统中既要求信息认 证，也要求用户认证。网络安全包括OSI-RM各层 事实上，每一层都可以采取一定的措施来防 止某些类
2、型的网络入侵事件，在一定程度上 保障数据的安全。 物理层可以在包容电缆的密封套中充入高压的氖 气； 链路层可以进行所谓的链路加密，即将每个帧编 码后再发出，当到达另一端时再解码恢复出来； 网络层可以使用防火墙技术过滤一部分有嫌疑的 数据报； 在传输层上甚至整个连接都可以被加密。网络安全定义网络安全是指网络系统的硬件、软件及其系统 中的数据受到保护，不受偶然的或者恶意的原因 而遭到破坏、更改、泄露，系统连续可靠正常地 运行，网络服务不中断。 （1）运行系统安全，即保证信息处理和传输系统的安 全。 （2）网络上系统信息的安全。 （3）网络上信息传播的安全，即信息传播后果的安全 。 （4）网络上信息
3、内容的安全，即我们讨论的狭义的“信 息安全”。网络安全应具备四个特征 保密性：信息不泄露给非授权的用户、实体或过程，或供其 利用的特性； 完整性：数据未经授权不能进行改变的特性，即信息在存储 或传输过程中保持不被修改、不被破坏和丢失的特性； 可用性：可被授权实体访问并按需求使用的特性，即当需要 时应能存取所需的信息，网络环境下拒绝服务、破坏网络和 有关系统的正常运行等都属于对可用性的攻击； 可控性：对信息的传播及内容具有控制能力。主要的网络安全的威胁（1）非授权访问（Unauthorized Access）：一个非授权的人的入侵。 （2）信息泄露（Disclosure of Informati
4、on）：造成将有价值的和高度机密的信息暴露给无权访问该 信息的人的所有问题。 （3）拒绝服务（Denial of Service）：使得系统难以或不可能继续执行任务的所有问题。 安全威胁的常见现象 非授权访问 假冒合法用户 数据完整性受破坏 病毒 通信线路被窃听 干扰系统的正常运行，改变系统正常运行的方向， 以及延时系统的响应时间密码学点滴密码学点滴密码分析和密码学P=Dk（Ek（P） 破译密码的技术叫做密码分析 设计密码和破译密码的技术统称为密码 学 凯撒密码最古老的地带密码 凯撒密码，它用D表示a，用E表示b，用F表示c， ，用C表示z，也就是说密文字母相对明文字母 左移了3位。 更一般地
5、，可以让密文字母相对明文字母左移k位 ，这样k就成了加密和解密的密钥。缺点：容易破译，因为 最多只需尝试25次（ k=125）即可轻松破 译密码。记法约定： 用小写表示 明文，用大 写表示密文 单字母表替换：使明文字母和密文字母之间的 映射关系没有规律可循，比如将26个英文字 母随意映射到其他字母上。 破译者只要拥有很少一点密文，利用自然语言 的统计特征，很容易就可破译密码。破译的关键在于找 出各种字母或字母 组合出现的频率替代密码-单字母表替换换位密码 换位有时也称为排列，它不对明文字母进行变换 ，只是将明文字母的次序进行重新排列。 例： COMPUTER明文 pleaseexecuteth
6、elatestSche me14358726p1easeexecutethe密文 PELHEHSCEUTMLCAE ATEEXECDETTBSESA1atestschemeabcdXOR加密方法公开密钥算法 在公开密钥算法中，加密密钥和解密密钥是不同的， 并且从加密密钥不能得到解密密钥。为此，加密算法 E和解密算法D必须满足以下的三个条件： D（E（P）=P； 从E导出D非常困难； 使用“选择明文”攻击不能攻破E。 如果能够满足以上三个条件，则加密算法完全可以公 开。 著名算法： RSA算法公钥私钥体制 通信双方各有一对公钥和私钥 将自己公钥公布 发送方使用对方的公钥加密要发送的数据 接收方使
7、用自己私钥对收到的数据解密公开密钥算法的基本思想 如果某个用户希望接收秘密报文，他必须设计两个算法：加 密算法E和解密算法D，然后将加密算法放于任何一个公开 的文件中广而告知，这也是公开密钥算法名称的由来，他甚 至也可以公开他的解密方法，只要他妥善保存解密密钥即可 。 当两个完全陌生的用户A和B希望进行秘密通信时，各自可 以从公开的文件中查到对方的加密算法。 若A需要将秘密报文发给B， 则A用B的加密算法EB对报文进 行加密，然后将密文发给B，B使用解密算法DB进行解密， 而除B以外的任何人都无法读懂这个报文； 当B需要向A发送消息时，B使用A的加密算法EA对报文进行 加密，然后发给A，A利用
8、DA进行解密。用户认证用户认证用户认证概念定义：通信双方在进行重要的数据交换前， 常常需要验证对方的身份，这种技术称为用 户认证。 在实际的操作中，除了认证对方的身份外， 同时还要在双方间建立一个秘密的会话密钥 ，该会话密钥用于对其后的会话进行加密。 每次连接都使用一个新的随机选择的密钥基于共享秘密密钥的用户认证假设在A和B之 间有一个共享 的秘密密钥 KAB 。某个时 候A希望和B进 行通信，于是 双方采用如图 所示的过程进 行用户认证。使用共享秘密密钥进行用户认证使用密钥分发中心的用户认证 要求通信的双方具有共享的秘密密钥有时是做 不到的，另外如果某个用户要和n个用户进行 通信，就需要有n
9、个不同的密钥，这给密钥的 管理也带来很大的麻烦。 解决的办法是引进一个密钥分发中心（Key Distribution Center，KDC）。KDC是可以信 赖的，并且每个用户和KDC间有一个共享的秘 密密钥，用户认证和会话密钥的管理都通过 KDC来进行。KDC举例 如图所示，A希望和B进行通信一个用KDC进行用户认证的协议数字签名数字签名数字签名概念一个可以替代手迹签名的系统必须满足 以下三个条件： 接收方通过文件中的签名能认证发送方的 身份； 发送方以后不能否认发送过签名文件； 接收方不可能伪造文件内容。使用秘密密钥算法的数字签名 这种方式需要一个可以信赖的中央权威机构（Centra1 A
10、uthority，以下简称CA）的参与，每个用户事先选择 好一个与CA共享的秘密密钥并亲自交到CA，以保证 只有用户和CA知道这个密钥。 除此以外，CA还有一个对所有用户都保密的秘密密钥 KCA。使用秘密密钥算法的数字签名当A想向B发送一个签名的报文P 时，它向CA发出KA（B，RA，t， P），其中RA为报文的随机编号 ，t为时间戳； CA将其解密后，重新组织成一个 新的密文KB（A，RA，t，P，KCA （A，t，P）发给B，因为只有 CA知道密钥KCA，因此其他任何 人都无法产生和解开密文KCA（A ，t，P）； B用密钥KB解开密文后，首先将 KCA（A，t，P）放在一个安全的 地方，
11、然后阅读和执行P。验证当过后A试图否认给B发过报文P时，B可以出示KCA（A，t，P） 来证明A确实发过P，因为B自己无法伪造出KCA（A，t，P），它 是由CA发来的，而CA是可以信赖的，如果A没有给CA发过P， CA就不会将P发给B，这只要用KCA对KCA（A，t，P）进行解密 ，一切就可真相大白。 为了避免重复攻击，协议中使用了随机报文编号RA和时间戳t。B 能记住最近收到的所有报文编号，如果RA和其中的某个编号相同 ，则P就被当成是一个复制品而丢弃，另外B也根据时间戳t丢弃 旧报文，以防止攻击者经过很长一段时间后，再用旧报文来重复 攻击。加密技术应用案例IPIP地址回顾地址回顾IP地址
12、类别 IP地址划分为四类1.0.0.0 to 126.255.255.255128.0.0.0 to 191.255.255.255192.0.0.0 to 223.255.255.255224.0.0.0 to 239.255.255.255Range0NetID10110NetID1110Multicast AddressHostIDNetIDHostIDHostIDABCD8 bits8 bits8 bits8 bits最大网络数 = 27-2 = 126最大主机数 = 224-2 = 16777214最大网络数 = 214 = 16384最大主机数 = 216-2 = 65534最大网
13、络数 = 221 = 2097152最大主机数 = 28-2 = 254ClassIP地址范围一览类类范围围最高位网络络ID 位数网络络数 量主机ID 位数主机数量A1127081262416777214B1281911016163841665534C1922231102420971528254D2242391110无E2402551111无IP地址解剖，以C类为例保留IP地址 某些地址已经被Internet放置一边，保留用于 专用。如果想在自己内部网上走TCP/IP,一般 使用保留地址。保留地址段如下： 10.0.0.0-10.255.255.255 172.16.0.0-172.31.25
14、5.255 192.168.0.0-192.168.255.255 （当内部网要访问Internet时，可以使用 NAT技术将保留地址转换到有效IP地址。）子网和划分子网和划分子网 无论是A、B、C哪类网络，为了方便我们管理 网络以及合理使用IP地址，我们都可以将其进 行分割，使其成为规模更小或业务特性更集中 的网络，这种网络成为子网。 例如从业务处理角度看，我们可以将一个大学 的网络分为一个个学院网络，或分为教务网、 财务网、人事网等等，这样划分肯定有助于管 理。而划分的方法之一就是按照IP地址进行。为什么要划分n 节约IP地址空间如果一个单位申请到一个B类地址，该网络将 可以容纳65534
15、台主机，该单位又没有如此之 多的入网设备，那就出现网络地址浪费问题， 同时，即便有如此之多设备入网，要把这些设 备放在同一个网络进行管理也是非常复杂的。n 提高性能n 加强安全如何划分 一般所说的子网划分，就是在最初的IP地址划分方案 基础上，加入一个子网等级层次。这种子网划分方案 对单位外部的网络没有影响，也就是说，在这个单位 外部的一台主机仍然只看到原来的具有两个等级的地 址结构。在单位内部，本地网络管理员可以为子网ID 和主机ID自由地选择任意的长度组合。例子 思考：使用2个bit作为子网位，可以划分多少 子网呢？ 例如： 原来的网络：10.5.0.0 借用2位划分子网后：10.5.64
16、.0和10.5.128.0 00001010 00000101 xxxxxxxx xxxxxxxx 网络号 主机号子网1： 00001010 00000101 01 xxxxxx xxxxxxxx 网络号 子网号 主机号 子网2： 00001010 00000101 10 xxxxxx xxxxxxxx 网络号 子网号 主机号划分后对外仍是一个网络网络 10.5.0.0所有目的地址为 10.5.x.x 的分组均 到达此路由器.64.1.64.2.64.3.128.1 .128.2 .128.3 .128.4.1.2.3子网10.5.64.0.1.2.3子网10.5.128.0.4子网划分的计算子网划分的计算子
