《计算机网络与通信 中国通信学会普及与教育工作委员会推荐教材 教学课件 ppt 作者 邢彦辰 第9章网络安全》由会员分享，可在线阅读，更多相关《计算机网络与通信 中国通信学会普及与教育工作委员会推荐教材 教学课件 ppt 作者 邢彦辰 第9章网络安全（45页珍藏版）》请在金锄头文库上搜索。
1、第9章 网络安全,9.1 网络安全概述 9.2 加密技术 9.3 防火墙技术 9.4 常见的黑客工具及攻击方法 9.5 远程攻击 9.6 网络病毒与防治,第9章 网络安全,【本章内容简介】计算机网络安全是保障计算机正常工作的基础。本章主要介绍了计算机网络安全的概念和内容，并对黑客常用的工具及其攻击方法进行较详细的介绍，分析黑客远程攻击的原理。在介绍网络安全的同时又系统的讨论网络病毒的防治方法。 【本章重点难点】重点掌握计算机网络安全的概念、黑客工具的攻击方法及其抵御方法、计算机的远程攻击及网络病毒的防治。,9.1 网络安全概述,简单地说在网络环境里的安全指的是一种能够识别和消除不安全因素的能力
2、。,9.1.1 什么是安全,安全的一般性定义也必须解决保护财产的需要，包括信息和物理设备（例如计算机本身）。,9.1.2 网络安全潜在的威胁,1信息泄密 主要表现为网络上的信息被窃听，这种仅窃听而不破 坏网络中传输信息的网络侵犯者被称为消极侵犯者。 2信息被篡改 这就是纯粹的信息破坏。这样的网络侵犯者被称为积 极侵犯者。积极侵犯者截取网上的信息包,并对之进行更 改使之失效,或者故意添加一些有利于自己的信息起到信 息误导的作用。积极侵犯者的破坏作用最大。,9.1.2 网络安全潜在的威胁,3传输非法信息流 用户可能允许自己同其他用户进行某些类型的通信, 但禁止其它类型的通信。如允许电子邮件传输而禁
3、止文件 传送。 4网络资源的错误使用 如果不合理地设定资源访问控制,一些资源有可能被偶然或故意地破坏。,9.1.2 网络安全潜在的威胁,5非法使用网络资源 非法用户登录进入系统使用网络资源,造成资源的 消耗,损害合法用户的利益。 6计算机病毒已经成为威胁网络安全的最大威胁。,9.1.3 主要的网络安全服务,1保密性 2认证 3数据完整性 4防抵赖 5访问控制,9.1.4 网络安全服务与网络层次关系,图9-1 网络安全层次模型,9.1.5 安全策略的重要性,安全策略的目的是决定一个组织机构怎样来保护自 己。一般来说，策略包括两个部分：总体的策略和具体的规则。总体的策略用于阐明公司安全政策的总体思
4、想，而具体的规则用于说明什么活动是被允许的，什么活动是被禁止的。,首先，须对资源进行评估，包括硬件、软件、数据、文档等分出安全等级。 然后，对可能的威胁进行分析，包括非授权访问、信息泄漏和内部缺陷等等。 安全策略还应提出一般性的安全防护措施：存取控制、认证、密码技术、防火墙系统、操作系统安全、数据库系统安全、计算机病毒防护、审计和恢复等。,安全策略制定安全策略的依据如下：,9.1.6 目前网络安全的主要技术,1加密 加密是使某些东西只能是某些特定的接收者可以知道的过程。 2认证 认证过程试图验证一个用户，系统或系统进程的身份在这种验证发生时，依据系统管理员制定的参数而使真正的用户或系统能够获得
5、相应的权限。 3访问控制 每个系统都要确保只有它们想要的个体，系统才允许他们访问。这种机制叫访问控制。 4审计 审计是整个安全计划中的一个特征。,9.2 加密技术,数据加密是计算机网络安全很重要的一个部分。由于因特网本身的不安全性，我们不仅对口令进行加密，有时也对在网上传输的文件进行加密。为了保证电子邮件的安全，人们采用了数字签名这样的加密技术，并提供基于加密的身份认证技术。数据加密也使电子商务成为可能。 9.2.1 密码学的基本概念 密码学是保密学的一部分。保密学是研究密码系统或通信安全的科学，它包含两个分支：密码学和密码分析学。,(1)按将明文转换成密文的操作类型可分为：置换密码和易位密码
6、。 (2)按明文的处理方法可分为：分组密码和序列密码。 (3)按密钥的使用个数可分为：对称密码体制和非对称密码体制。,密码系统通常从3个独立的方面进行分类：,1置换密码和易位密码,在置换密码(substation cipher)中，每个或每组字母由另一个或另一组伪装字母所替换。 易位密码(transposition cipher)只对明文字母重新排序，但不隐藏它们。列易位密码是一种常用的易位密码，如图9.2所示。,密码： 列序号: 明文： pleasetransferonemilliondollarsto myswissbankaccountsixtwotwo 密文： AFLLSKSOSELA
7、WAIATOOSSCTCLNMOMANT ESILYNTWRNNTSOWDPAEDOBUOERIRICXB 图9-2 一种易位密码,2分组密码和序列密码,分组密码的加密方式是首先将明文序列以固定长度进行分组，每一组明文用相同的密钥和加密函数进行运算。 分组密码的优点是：明文信息良好的扩散性；对插入的敏感性；不需要密钥同步；较强的适用性，适合作为加密标准。 分组密码的缺点是：加密速度慢；错误扩散和传播。 序列密码的加密过程是把报文、话音、图像、数据等原始信息转换成明文数据序列，然后将它同密钥序列进行逐位模2加（即异或运算），生成密文序列发送给接收者。 序列密码的优点是：处理速度快，实时性好；错误
8、传播小；不易被破译；适用于军事、外交等保密信道。 序列密码的缺点是：明文扩散性差；插入信息的敏感性差；需要密钥同步。,3加密技术概述,数据加密技术可以分为3类，即对称型加密、不对称型加密和不可逆加密。 加密技术用于网络安全通常有两种形式，即面向网络或面向应用服务。 从通信网络的传输方面，数据加密技术还可分为以下3类：链路加密方式、节点到节点方式和端到端方式。,4密码分析,密码分析的过程通常包括：分析(统计所截获的消息材料)、假设、推断和证实等步骤。 另外两种类型的攻击：选择密文和选择文本。它们很少作为密码分析技术，但仍是一种可能的攻击方法。 如果加密方案生成的密文符合以下两个条件之一，则加密方
9、案是计算安全的： (1)破译密文的成本超过了加密信息本身的价值。 (2)破译密文所要的时间超过了信息的有效期。,9.2.2 对称加密技术,对称加密也叫做常规加密、保密密钥或单密钥加密。 1对称加密的模型,目前经常使用的一些对称加密算法有：,(1)数据加密标准(Data Encryption Standard，DES)； (2)三重DES(3DES，或称TDEA)； (3)Rivest Cipher 5(RC-5)； (4)国际数据加密算法(International Data Encryption Algorithm, IDEA)。,2对称加密的要求,对称加密有两个安全要求： (1)需要强大的
10、加密算法。 (2)发送方和接收方必须用安全的方式来获得保密密钥的副本，必须保证密钥的安全。 3一些常用的对称加密算法 最常用的加密方案是美国国家标准和技术局(NIST)在1977年采用的数据加密标准（DES），它作为联邦信息处理第46号标准（FIPS PUB 46）。,9.2.3 公钥加密技术,公开密钥加密又叫做非对称加密。 1公钥加密体制的模型 公钥密码体制有两种基本的模型，一种是加密模型，另一种是认证模型。如图9-4所示。,图9-4 公钥密码体制模型,图9-5 公钥加密算法的演示,公钥加密方案由6个部分组成，如图9-5所示。,麦克的 公共密钥,泰德的 公共密钥,公钥加密技术的基本步骤如下：
11、,每个用户都生成一对加密和解密时使用的密钥。 每个用户都在公共寄存器或其他访问的文件中放置一个密钥，这个就是公钥。另一个密钥为私钥。每个用户都要保持从他人那里得到的公钥集合。 如果鲍伯想要向爱丽斯发送私有消息，鲍伯可以用爱丽斯的公钥加密消息。 当爱丽斯收到消息时，她可以用自己的私钥进行解密。其他接收方不能解密消息，因为只有爱丽斯知道她自己的私钥。 常规加密使用的密钥通常叫做保密密钥。公钥加密使用的密钥对叫做公钥或私钥。而私钥总是保密的。之所以叫做私钥，而不是保密密钥，就是为了避免与常规加密混淆。,2一些常用的公钥体制,RSA公钥体制是1978年由Rivest、Shamir和Adleman提出的
12、一个公开密钥密码体制，RSA就是以其发明者的首字母命名的。RSA体制被认为是迄今为止理论上最为成熟完善的一种公钥密码体制。 与对称密码体制如DES相比，RSA的缺点是加密、解密的速度太慢。因此，RSA体制很少用于数据加密，而多用在数字签名、密钥管理和认证等方面。 目前许多商业产品采用的公钥算法还有：Dime-Hellman密钥交换、数据签名标准DSS和椭圆曲线密码术等。,9.2.4 密钥管理,1密钥的生存周期 所有的密钥都有生存期。这主要由于以下两个原因： (1)拥有大量的密文有助于密码分析；一个密钥使用得太多了，会给攻击者增大收集密文的机会。 (2)假定一个密钥受到危及或用一个特定密钥的加密
13、解密过程被分析，则限定密钥的使用期限就相当于限制危险的发生。 所谓一个密钥的生存周期是指授权使用该密钥的周期。密钥从产生到终结的整个生存期中，都需要加强保护。,通常情况下，一个密钥的生存周期主要经历以下几个阶段： (1)密钥的产生，也可能需要登记。 (2)密钥分发 (3)启用密钥停用密钥 (4)替换密钥或更新密钥 (5)撤销密钥 (6)销毁密钥,2保密密钥的分发,密钥分发技术是指将密钥发送到数据交换的两方，而其他人无法看到的方法。密钥分发技术的实现方法有很多种，对交换双方A和B来讲： (1)可以由A选择密钥并实际传送到B； (2)由第三方选择密钥，并实际传送到A和B； (3)如果A和B已经在使
14、用密钥了，则一方可以用旧密钥加密新密钥，然后再传送给另一方； (4)如果A和B都与第三方C有加密连接，则C就可以通过对A和B的加密连接将密钥传送给A和B。,系统的配置由以下部分构成：,(1)密钥分发中心（KDC）：密钥分发中心确定哪些系统能够互相通信。当允许两个系统建立连接时，密钥分发中心就成为连接提供临时的会话密钥。 (2)前端处理机：前端处理机执行端一端加密，并代表主机或终端得到会话密钥。,图9-5 面向连接协议的自动密钥分发,3公钥的分发,(1)数字证书 数字证书是一条数字签名的消息，它通常用于证明某个实体的公钥的有效性。数字证书的类型有很多种，它们包括： X.509公钥证书； 简单PK
15、I(Simple Public Key Infrastructure)证书； PGP(Pretty Good Privacy)证书； 属性(attributel证书。,（a） 证书格式,Version number:3 Serial number:0000123 Issuing algorithm:SHA,DH,3837829 Issued by:Me Valid from/to:1/1/93 to12/31/98 Subject name:Alice Smith Subject Publish key information:DH,3813710 Signature:2393702347,（
16、b）证书样式 图9-6 x.509版本3的证书结构,下面介绍证书格式中的各个字段：,版本号：表示证书的版本(如版本1，版本2，或版本3)。 序列号：由证书颁发者分配的本证书的惟一标识符。 签名算法：签名算法是由对象标识符加上相关参数组成的标识符，用于说明本证书所用的数字签名算法。 颁发者：证书颁发者的可识别名。这是必须说明的。 有效期：证书有效的时问段。 主体：证书拥有者的可识别名，此字段必须非空。 主体公钥信息：主体的公钥以及算法标识符，这是必须说明的。 颁发者惟一标识符：证书颁发者的惟一标识符，仅在版本2和版本3中要求，属于可选项。 主体惟一标识符：证书拥有者的惟一标识符，仅在版本2和版本3中要求，属于可选项。 扩展：可选的标准和专用功能字段。 签名：认证机构的数字签名。,(2)证书权威机构,证书权威机
