《计算机网络安全知识讲座》由会员分享，可在线阅读，更多相关《计算机网络安全知识讲座（78页珍藏版）》请在金锄头文库上搜索。
1、网络安全知识讲座网络安全讲座之一：网络安全的重要性第一讲内容主要对于安全的发展以及其重要性作了简明的阐述，并介绍了一些国内外知名的网络安全相关网站，并对于如何建立有效的安全策略给出了很好的建议，并让大家了解几种安全标准。媒体经常报道一些有关网络安全威胁的令人震惊的事件，针对目前流行的Netscape Navigator和微软的IE浏览器程序对于复杂精密攻击（目标是摧毁电子商务服务器）存在的一些安全问题，因此计算机和网络管理员以及用户都必须应付不断复杂的安全环境。黑客和计算机病毒都是普遍的威胁，以至于某个具体的日期都与一个特别的安全问题相关。主要的在线电子商务都被证明是易受攻击的。例如，e-ba
2、y和Amazon. com都是恶性攻击的受害者。攻击事件本身，例如1988年的Robert Moms Internet Worm （蠕虫）都变得具有传奇色彩。Internet对于任何一个具有网络连接和ISP帐号的人都是开放的，事实上它本身被设计成了一个开放的网络。因此它本身并没有多少内置的能力使信息安全，从一个安全的角度看，Internet是天生不安全的。然而，商界和个人现在都想在Internet上应用一些安全的原则，在Internet发明人当初没有意识到的方式下有效的使用它。对于Internet用户一个新的挑战是如何在允许经授权的人在使用它的同时保护敏感信息。安全是什么？简单的说在网络环境里
3、的安全指的是一种能够识别和消除不安全因素的能力。安全的一般性定义也必须解决保护公司财产的需要，包括信息和物理设备（例如计算机本身）。安全的想法也涉及到适宜性和从属性概念。负责安全的任何一个人都必须决定谁在具体的设备上进行合适的操作，以及什么时候。当涉及到公司安全的时候什么是适宜的在公司与公司之间是不同的，但是任何一个具有网络的公司都必须具有一个解决适宜性、从属性和物理安全问题的安全策略。这节课将讨论与Internet有关的安全问题，伴随着现代的、先进的复杂技术例如局域网（LAN）和广域网（WAN）、Internet网以及VPN。安全的想法和实际操作已经变得比简单巡逻网络边界更加复杂。对于网络来
4、说一个人可以定义安全为一个持续的过程，在这个过程中管理员将确保信息仅仅被授权的用户所共享。本节课结束时，你将熟悉那些被你公司认为适宜的，用来建立和限制行为的过程和技术。你将集中精神在有关将你公司与互联网相连接的安全的问题上。Internet连接对于陌生用户连接到外露的资源上极为容易。你必须确保它们只能访问那些你想让他们访问的内容，这节课将学习一些控制用户和黑客访问，如何对事件做出反应，以及当有人规避那些控制时如何使损害最小化的方法。建立有效的安全矩阵尽管一个安全系统的成分和构造在公司之间是不同的，但某些特征是一致的，一个可行的安全矩阵是高度安全的和容易使用的，它实际上也需要一个合情合理的开销。
5、一个安全矩阵由单个操作系统安全特征、日志服务和其他的装备包括防火墙，入侵检测系统，审查方案构成。一个安全矩阵是灵活的可发展的，拥有很高级的预警和报告功能，表1-1概括了一个有效的安全矩阵系统最主要的几个方面。特点描述允许访问控制通过只允许合法用户访问来达到你的目的最大扩展通信的功能同时最小化黑客访问的可能性当黑客已经访问到你的资源时尽可能地减小破坏性容易使用如果一个安全系统很难使用，员工可能会想办法绕开它合理的花费你不仅要考虑初始的花费还要考虑以后升级所需要的费用，你还要考虑用于管理所要花的费用；需要多少员工，达到什么样的水平来成功的实施和维护系统。灵活性和伸缩性你的系统要能让你的公司按其想法
6、做一些商业上的事情你的系统要随着公司的增长而加强优秀的警报和报告当一个安全破坏发生时，系统要能快速地通知管理员足够详细的内容要配置系统尽可能正确地对你发出警告。可以通过Email,计算机屏幕，pager等等来发出通知。安全机制根据ISO提出的，安全机制是一种技术，一些软件或实施一个或更多安全服务的过程。ISO把机制分成特殊的和普遍的。一个特殊的安全机制是在同一时间只对一种安全服务上实施一种技术或软件。加密就是特殊安全机制的一个例子。尽管你可以通过使用加密来保证数据的保密性,数据的完整性和不可否定性，但实施在每种服务时你需要不同的加密技术。一般的安全机制都列出了在同时实施一个或多个安全服务的执行
7、过程。特殊安全机制和一般安全机制不同的另一个要素是一般安全机制不能应用到0SI参考模型的任一层上。普通的机制包括：信任的功能性：指任何加强现有机制的执行过程。例如，当你升级你的TCP/IP堆栈或运行一些软件来加强你的Novell, NT, UNIX系统认证功能时，你使用的就是普遍的机制。 事件检测：检查和报告本地或远程发生的事件 审计跟踪：任何机制都允许你监视和记录你网络上的活动 安全恢复：对一些事件作出反应，包括对于己知漏洞创建短期和长期的解决方案，还包括对受危害系统的修复。额外的安全标准除了 ISO 7498-2还存在一些其它政府和工业标准。主要包括 British Standard 77
8、99：概括了特殊的“控制”，如系统访问控制和安全策略的使用以及物理安全措施。目的为了帮助管理者和IT专家建立程序来保持信息的安全性。 公共标准 桔皮书（美国）桔皮书为了标准化安全的级别，美国政府发表了一系列的标准来定义一般安全的级别。这些标准发表在一系列的书上通常叫做“彩虹系列”，因为每本书的封面的颜色都是不同的。由为重要的是桔皮书。它定义了一系列的标准，从D级别开始（最低的级别）一直到A1（最安全）级。网络安全讲座之二：加密的应用加密可以保证数据的保密性，也可用于验证用户，它是在实现网络安全的重要手段之一。在本课中，你将学到如何使用对称加密，非对称加密和HASH加密来建立一个信任关系。加密的
9、优势加密提供以下四种服务，见表服务解释数据保密性这是使用加密的通常的原因。通过小心使用数学方程式，你可以保证只有你打算接收的人才能查看它。数据完整性对需要更安全来说数据保密是不够的。数据仍能够被非法破解并修改。一种叫HASH的运算方法能确定数据是否被修改过。认证数字签名提供认证服务。不可否定性数字签名允许用户证明一条信息交换确实发生过。金融组织尤其依赖于这种方式的加密，用于电子货币交易。加密强度加密文件一个常被讨论但又经常被误解的方面是加密强度。什么构成了加密的强度？什么是被美国出口法保护的？哪种级别的加密是被不同的安全需要所要求的？如何确定加密的有效强度？加密强度取决于三个主要因素：首先是算
10、法的强度，包括几个因素，例如，除了尝试所有可能的密钥组合之外的任何方法都不能数学的使信息被解密。从我们的角度而言，我们应该使用工业标准的算法，它们已经被加密学专家测试过无数次，任何一个新的或个体的配方将不被信任直到它被商业的认证。第二个因素是密钥的保密性，一个合乎逻辑但有时被忽略了的方面，没有算法能够发挥作用如果密钥受到损害，因此，数据的保密程度直接与密钥的保密程度相关，注意区分密钥和算法，算法不需要保密，被加密的数据是先与密钥共同使用，然后再通过加密算法。第三个因素是密钥程度，这是最为人所知的一个方面，根据加密和解密的应用程序，密钥的长度是由“位”为单位，在密钥的长度上加上一位则相当于把可能
11、的密钥的总数乘以二倍,简单的说构成一个任意给定长度的密钥的位的可能组合的个数可以被表示为2的n次方,这儿的n是一个密钥长度，因此，一个40位密钥长度的配方将是2的40次方或1099511627776种可能的不同的钥，与之形成鲜明对比的是现代计算机的速度。尽管可能加密的密钥的总数是非常大的，专门的计算机现在可以在不到一天时间内试验许多种密钥的组合，在一九三三年，Michael wiener研制出一种专门的计算机，专门破译 DES （一种使用56一位密钥的算法）o在研制的过程中他发现设计所需要的费用是呈直线型的，考虑到他的结果和Moore的法则的因子（此法则指出计算力大约每18个月增长一倍）.其实
12、任何密码都能破解而无论它的长度，想像一下这样的密钥利用现代的机器去破解是多么的快速。简单的说，一个人或组织在密钥破解的装备上花的钱越多，则密钥就会被越快的破解，这种断言最近已经得到证实。Electronic Frontier Foundation建造的专门的计算机最近在不到三天的时间内破译了一个64位基础的密码。尽管有相对的缺点，美国政府把使用超过40位的密钥的加密规为强加密，这种加密出口相关的法律已经获得通过。美国国内公司想要出口使用强加密的产品，首先要获得美国国务院的许可。例如，Pretty Good Privacy （PGP）加密工具的国际版本，虽然这些法律可能会变得日益宽松，但是一些公
13、司和组织将毫无疑问继续遵守它。尽管公司和政府用现代化的计算机可以去击败40位的加密，但是耗费的成本超过了信息本身的价值。事实上，决定需要密钥的长度的一个因素是被保护信息的价值。尽管40位的密钥对于金融交易来说并不总是合适的，但对于个人用户的需要已经足够了。目前美国出口法对于40位密钥长度的限制已取消。建立信任关系应用加密指的是在主机之间建立一个信任关系。在最基本的级别上，一个信任关系包括一方加密的信息，并只有另一方的合作伙伴可以解密这个信息。这种任务是利用公钥加密来完成的。这种类型的加密要求你建立一个私钥和一个公钥。一旦你已经产生了一对密钥，你可以把公钥发布给任何人。你可以通过以下两种方法来发
14、布你的公钥：手动:你首先必须和接收方交换公钥,然后用接收方的公钥来加密信息。PGP和S/MIME 需要使用这种方法。自动：SSL和IPSec通过一系列的握手可以安全地交换信息（包括私钥）。在本课你将学到有关这方面更多的知识。下面是在加密中一些术语的简单介绍：I I I I I I对称加密在对称加密（或叫单密钥加密）中，只有一个密钥用来加密和解密信息。尽管单密钥加密是一个简单的过程，但是双方都必须完全的相信对方，并都持有这个密钥的备份。但要达到这种信任的级别并不是想像中的那么简单。当双方试图建立信任关系时可能一个安全破坏已经发生了。首先密钥的传输就是一个重要问题，如果它被截取，那么这个密钥以及相
15、关的重要信息就没有什么安全可言了。但是，如果用户要在公共介质（如互联网）上传递信息，他需要一种方法来传递密钥，当然物理的发送和接收密钥是最安全的，但有时这是不可能的。一种解决方法就是通过电子邮件来发送，但这样的信息很容易的被截取到，从而击破了加密的目的。用户不能加密包含密钥的邮件，因为他们必须共享另一个用来加密含有密钥邮件的密钥。这种困境就产生了问题：如果对称密钥用它们自己来加密，那为什么不直接用相同的方法在第一步就使用？一个解决方案就是用非对称加密，我们将在本课的后面提到。所有类型加密的一个主题就是破解。一种减少使用对称加密所造成的威胁的反措施就是改变密钥的规律性。然而，定期改变密钥经常是困
16、难的，尤其是你的公司里有很多用户。另外，黑客可以使用字典程序，password sniffing来危及对称密钥的安全，或者通过搜翻办公桌，钱包以及公文包。对称加密也很容易被暴力攻击的手段击败。非对称加密非对称加密在加密的过程中使用一对密钥，而不像对称加密只使用一个单独的密钥。-对密钥中一个用于加密，另一个用来解密。如用A加密，则用B解密；如果用B加密，则要用A解密。重要的概念是在这对密钥中一个密钥用来公用，另一个作为私有的密钥；用来向外公布的叫做公钥，另一半需要安全保护的是私钥。非对称加密的一个缺点就是加密的速度非常慢,因为需要强烈的数学运算程序。如果一个用户需要使用非对称加密，那么即使比较少量的信息可以也要花上几个小时的时间。非对称加密的另一个名称叫公钥加密。麻省里工
