《《网络安全技术 》PPT课件》由会员分享，可在线阅读，更多相关《《网络安全技术 》PPT课件（53页珍藏版）》请在金锄头文库上搜索。
1、第12章 网络安全技术&本章任务网络安全概述 数据加密技术 身份认证和密钥分发 数字签名和报文摘要 防火墙技术 入侵检测 12.1 网络安全概述网络安全是指保护网络系统中的软件、硬件及信息资源，网络安全是指保护网络系统中的软件、硬件及信息资源，使之免受偶然或恶意的破坏、篡改和泄露，保证网络系统使之免受偶然或恶意的破坏、篡改和泄露，保证网络系统的正常运行、网络服务不中断。的正常运行、网络服务不中断。在美国国家信息基础设施（在美国国家信息基础设施（NIINII）的文献中，给出了安全的）的文献中，给出了安全的五个属性：可用性、机密性、完整性、可靠性和不可抵赖五个属性：可用性、机密性、完整性、可靠性和
2、不可抵赖性。性。 （1 1）可用性）可用性 可用性是指得到授权的实体在需要时可以得到所需要的网可用性是指得到授权的实体在需要时可以得到所需要的网络资源和服务。络资源和服务。 （2 2）机密性）机密性 机密性是指网络中的信息不被非授权实体（包括用户和进机密性是指网络中的信息不被非授权实体（包括用户和进程等）获取与使用。程等）获取与使用。 （3 3）完整性）完整性 完整性是指网络信息的真实可信性，即网络中的信息不会完整性是指网络信息的真实可信性，即网络中的信息不会被偶然或者蓄意地进行删除、修改、伪造、插入等破坏，被偶然或者蓄意地进行删除、修改、伪造、插入等破坏，保证授权用户得到的信息是真实的。保证
3、授权用户得到的信息是真实的。 （4 4）可靠性）可靠性 可靠性是指系统在规定的条件下和规定的时间内，完成规可靠性是指系统在规定的条件下和规定的时间内，完成规定功能的概率。定功能的概率。 （5 5）不可抵赖）不可抵赖不可抵赖性也称为不可否认性。是指通信的双方在通信过不可抵赖性也称为不可否认性。是指通信的双方在通信过程中，对于自己所发送或接收的消息不可抵赖。程中，对于自己所发送或接收的消息不可抵赖。 12.1.1 主要的网络安全威胁所谓的网络安全威胁是指某个实体（人、事件、程序等）对某一网络资源的机密性、完整性、可用性及可靠性等可能造成的危害。通信过程中的四种攻击方式：通信过程中的四种攻击方式：截
4、获：截获：截获：截获：两个实体通过网络进行通信时，如果不采两个实体通过网络进行通信时，如果不采取任何保密措施，第三者可能偷听到通信内容。取任何保密措施，第三者可能偷听到通信内容。中断：中断：中断：中断：用户在通信中被有意破坏者中断通信。用户在通信中被有意破坏者中断通信。篡改：篡改：篡改：篡改：信息在传递过程中被破坏者修改，导致接信息在传递过程中被破坏者修改，导致接收方收到错误的信息。收方收到错误的信息。伪造：伪造：伪造：伪造：破坏者通过传递某个实体特有的信息，伪破坏者通过传递某个实体特有的信息，伪造成这个实体与其它实体进行信息交换，造成真造成这个实体与其它实体进行信息交换，造成真实实体的损失。
5、实实体的损失。其它构成威胁的因素其它构成威胁的因素（1）环境和灾害因素：地震、火灾、磁场变化造成通信中断或异常；（2）人为因素：施工造成通信线路中断；（3）系统自身因素：系统升级、更换设备等。12.1.2 12.1.2 网络安全策略网络安全策略安全策略是指在某个安全区域内，所有与安全活安全策略是指在某个安全区域内，所有与安全活动相关的一套规则。动相关的一套规则。网络安全策略包括对企业的各种网络服务的安全网络安全策略包括对企业的各种网络服务的安全层次和用户的权限进行分类，确定管理员的安全层次和用户的权限进行分类，确定管理员的安全职责，如何实施安全故障处理、网络拓扑结构、职责，如何实施安全故障处理
6、、网络拓扑结构、入侵和攻击的防御和检测、备份和灾难恢复等内入侵和攻击的防御和检测、备份和灾难恢复等内容。我们通常所说的安全策略主要指系统安全策容。我们通常所说的安全策略主要指系统安全策略，主要涉及四个大的方面：物理安全策略、访略，主要涉及四个大的方面：物理安全策略、访问控制策略、信息加密策略、安全管理策略。问控制策略、信息加密策略、安全管理策略。12.1.3 网络安全模型 1P2DR安全模型 P2DR模型是由美国国际互联网安全系统公司提出的一个可适应网络安全模型（Adaptive Network Security Model）。P2DR包括四个主要部分，分别是：Policy策略，Protect
7、ion保护，Detection检测，Response响应。从P2DR模型的示意图我们也可以看出，它强调安全是一个在安全策略指导下的保护、检测、响应不断循环的动态过程，系统的安全在这个动态的过程中不断得到加固。因此称之为可适应的安全模型。P2DR模型对安全的描述可以用下面的公式来表示：安全=风险分析+执行策略+系统实施+漏洞监测+实时响应2PDRR安全模型PDRR模型是美国国防部提出的“信息安全保护体系”中的重要内容，概括了网络安全的整个环节。PDRR表示Protection（防护）、Detection（检测）、Response（响应）、Recovery（恢复）。这四个部分构成了一个动态的信息安
8、全周期。12.2 数据加密技术12.2.1 数据加密方法在传统上有几种方法来加密数据流。所有这些方法都可以用软件很容易的实现，但是当只知道密文的时候，是不容易破译这些加密算法的（当同时有原文和密文时，破译加密算法虽然也不是很容易，但已经是可能的了）。最好的加密算法对系统性能几乎没有影响，并且还可以带来其他内在的优点。 比较简单的加密算法就是比较简单的加密算法就是“ “置换表置换表” ”算法，这种算法也能算法，这种算法也能很好达到加密的需要。每一个数据段（总是一个字节）对很好达到加密的需要。每一个数据段（总是一个字节）对应着应着“ “置换表置换表” ”中的一个偏移量，偏移量所对应的值就输中的一个
9、偏移量，偏移量所对应的值就输出成为加密后的文件，加密程序和解密程序都需要一个这出成为加密后的文件，加密程序和解密程序都需要一个这样的样的“ “置换表置换表” ”。比如，可以将单词的每一个字母顺延。比如，可以将单词的每一个字母顺延3 3个，将单词个，将单词HELLOHELLO变换成变换成KHOORKHOOR，接收方再反向解密。，接收方再反向解密。明文：明文：A B C D E F G H I J K L M N O P Q R S T U V W A B C D E F G H I J K L M N O P Q R S T U V W X Y Z X Y Z 暗文：暗文：D E F G H I
10、 J K L M N O P Q R S T U V W X Y Z D E F G H I J K L M N O P Q R S T U V W X Y Z A B CA B C这种加密算法比较简单，加密解密速度都很快，但是一旦这种加密算法比较简单，加密解密速度都很快，但是一旦这个这个“ “置换表置换表” ”被对方获得，那这个加密方案就完全被识被对方获得，那这个加密方案就完全被识破了。更进一步讲，这种加密算法对于破了。更进一步讲，这种加密算法对于黑客黑客破译来讲是相破译来讲是相当直接的，只要找到一个当直接的，只要找到一个“ “置换表置换表” ”就可以了。就可以了。 12.3 12.3 身份
11、认证和密钥分发身份认证和密钥分发认证即认证即“ “验明正身验明正身” ”，用于确认某人或某物的身份。，用于确认某人或某物的身份。在网络上，需要确认身份的对象大致可分为人类用户和物在网络上，需要确认身份的对象大致可分为人类用户和物理设备两类。本节只介绍与人类用户身份认证有关的基本理设备两类。本节只介绍与人类用户身份认证有关的基本知识。知识。 传统的认证，凭据一般是名称和一组秘密字符组合。前者传统的认证，凭据一般是名称和一组秘密字符组合。前者称为标识（称为标识（IDID），后者称为密码（），后者称为密码（passwordpassword）。进行认）。进行认证时，被认证者需要提供标识（一般为用户名）
12、和密码。证时，被认证者需要提供标识（一般为用户名）和密码。这种认证方式是不可靠的，因为不能确保密码不外泄。这种认证方式是不可靠的，因为不能确保密码不外泄。 比较可靠的认证方式为加密认证。在这种方式下，被认证比较可靠的认证方式为加密认证。在这种方式下，被认证者不需要出示其秘密信息，而是采用迂回、间接的方式证者不需要出示其秘密信息，而是采用迂回、间接的方式证明自己的身份。明自己的身份。 12.3.1 密码和加密认证1. 密码认证密码认证密码认证（Password Based）方式普遍存在于各种操作系统中，例如在登录系统或使用系统资源前，用户需先出示其用户名与密码，以通过系统的认证。2. 加密认证加
13、密认证加密认证（Cryptographic）可弥补密码认证的不足之处。在这种认证方式中，双方使用请求与响应（Challenge & Response）技巧来识别对方。 l利用秘密钥匙的认证方式。假定利用秘密钥匙的认证方式。假定A A、B B两方持有两方持有同一密钥同一密钥K K，其认证过程如图，其认证过程如图12121 1所示：所示： l其中，其中，R R为请求值，为请求值，X X为响应值。上述步骤也可修为响应值。上述步骤也可修改为先将改为先将R R加密为加密为X X，然后发给，然后发给B B，再由，再由B B解出解出R R ，回传给，回传给A A。 利用公用钥匙进行认证的过程与秘密钥匙相似，
14、假设B的公用、私有钥匙分别为KB、Kb，认证过程如图122所示， 其中，R为请求值，X为响应值。 网络发证机关（CA，Certificate Authority）是专门负责颁发公用钥匙持有证书的机构。 其与网络用户的关系如图126所示密钥产生及管理概述密钥产生及管理概述 一个密钥在生存期内一般要经历以下几个阶段：一个密钥在生存期内一般要经历以下几个阶段：密钥的产生密钥的产生密钥的分配密钥的分配启用密钥启用密钥/ /停有密钥停有密钥替换密钥或更新密钥替换密钥或更新密钥撤销密钥撤销密钥销毁密钥销毁密钥 12.3.2 12.3.2 数据完整性验证数据完整性验证 消息的发送者用要发送的消息和一定的算法
15、生成消息的发送者用要发送的消息和一定的算法生成一个附件，并将附件与消息一起发送出去；一个附件，并将附件与消息一起发送出去；消息的接收者收到消息和附件后，用同样的算法消息的接收者收到消息和附件后，用同样的算法与接收到的消息生成一个新的附件；与接收到的消息生成一个新的附件；把新的附件与接收到的附件相比较，如果相同，把新的附件与接收到的附件相比较，如果相同，则说明收到的消息是正确的，否则说明消息在传则说明收到的消息是正确的，否则说明消息在传送中出现了错误送中出现了错误（1）使用对称密钥体制产生消息认证码发送者把消息m分成若干个分组（m1,m2.mi），利用分组密密码算法来产生MAC，其过程如图128
16、所示。 （2 2）使用散列函数来产生消息认证码）使用散列函数来产生消息认证码散列函数可以将任意长度的输入串转化成固定长度的输出散列函数可以将任意长度的输入串转化成固定长度的输出串，将定长的输出串来做消息的认证码。串，将定长的输出串来做消息的认证码。 单向散列函数单向散列函数单向散列函数（单向散列函数（one-way hash functionone-way hash function），也叫压缩函数、），也叫压缩函数、收缩函数，它是现代密码学的中心，是许多协议的另一个收缩函数，它是现代密码学的中心，是许多协议的另一个结构模块。结构模块。散列函数长期以来一直在计算机科学中使用，散列函数是散列函数长期以来一直在计算机科学中使用，散列函数是把可变长度的输入串（叫做预映射，把可变长度的输入串（叫做预映射，pre-imagepre-image）转换成）转换成固定长度的输出串（叫做散列值）的一种函数固定长度的输出串（叫做散列值）的一种函数单向散列函数是在一个方向上工作的散列函数，即从预映单向散列函数是在一个方向上工作的散列函数，即从预映射的值很容易计算出散列值，但要从一个特定的散列值得射的值很容易
