《【大学课件】计算机网络安全的理论与实践》由会员分享，可在线阅读，更多相关《【大学课件】计算机网络安全的理论与实践（27页珍藏版）》请在金锄头文库上搜索。
1、计算机网络安全的理论与实践（第2版）. http:/ 实用的网络安全协议实用的网络安全协议Part I怪钾慷贡研烤蛛夸扇瞅滑敛若埃脉终曾吱贱漳嗜键锁髓旗七呛冬但治傅贴【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.第第5章章 内容概要内容概要l5.1 密码算法在网络各层中的部署l5.2 公钥密码基础设施l5.3 IPSec协议: 网络层的安全协议l5.4 SSL/TLS协议: 传输层的安全协议l5.5 PGP and S/MIME: 电子邮件安全协议l5.6 Kerberos: 认证
2、协议l5.7 SSH: 远程登录安全协议蓬坤芯苦娩格型免腹锣郊踪勿沾兹妒棠馏妮展吏厄步歼群基危歉殃狐境衰【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.网络安全协议的构造网络安全协议的构造l加密和认证算法是构造网络安全协议的基本模块l在不同的层次实施密码算法具有不同的效果l我们应该在网络体系的哪一个层次部署实施安全协议?畦瞪臂氛疾核船铺呕卿兜梳喜卞葵源腑冀鄂伞冲茸萎翠胳哩赛永乘神撬访【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践
3、（第2版）. 【美】王杰, 高等教育出版社, 2011年.TCP/IP 协议和协议和OSI模型模型户哈泻卉首仁签蛰簿淖念榷裹镐洪垒乒会蝇赠捻溃绞汀摹虾召阉垄惋仓眶【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.TCP/IP 协议层协议层l应用层网页, 电子邮件l传输层TCP, UDPl网络层IPl数据链路层以太网, 802.11l物理层逻辑的(软件)物理的(硬件)洱永戏网孔测乐屿钩父篆铁鲤贵卡银烈颐破负厚勇女濒碟求经裕壶怔膀凭【大学课件】计算机网络安全的理论与实践【大学课件】计算机网
4、络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.TCP/IP 包生成包生成汰后萄桂佐撰郝拦侠蜕摸平绅驰潞蛊贾善影汾嚏匀峨西倪夺船袖汽候鳞裤【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.不同层次实施的优缺点不同层次实施的优缺点?l应用层提供端对端安全保护不需要解密数据或验证签名攻击者能够分析流量以及修改报头l传输层提供TCP包的安全保护不需要修改应用程序攻击者可以通过IP包头分析网络流量素锈蹋寇董顽钞碉潮错凑槐网痒跃法境驼枝肝谎琵
5、卡汕腥细闹黔架株诽惋【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.l网络层提供链对链的安全保护l传输模式: 只加密载荷l隧道模式: 加密包头和载荷，需要网关不需要修改任何应用程序l数据链路层提供数据帧的安全保护不需要修改任何应用程序流量分析不会泄露太多信息辙觉雷尧舟刨奔线蝗聪砒旗荣豪慈豁镶辨体椎畦霍饼尝壹藐痉饥持豁揭栽【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.第第5
6、章章 内容概要内容概要l5.1 密码算法在网络各层中的部署l5.2 公钥密码基础设施l5.3 IPSec协议: 网络层的安全协议l5.4 SSL/TLS协议: 传输层的安全协议l5.5 PGP and S/MIME: 电子邮件安全协议l5.6 Kerberos: 认证协议l5.7 SSH: 远程登录安全协议戒欣氦种莉砧蛇乌姆妙招猎浚森帘樱益凭堕雾谨鞠加旧相吉暴蕊还斩匡捣【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.lPKI 是使用公钥密码体系的机制lPKI 负责签发、管理公钥证书:
7、确定用户的合法性根据用户的需求颁发公钥证书根据用户的需求延长证书的有效期根据用户的需求或当私钥泄露时，撤销证书存储和管理公钥证书防止签名者抵赖自己的签名支持CA 中心之间实现互相认证PKI公钥密码基础设施公钥密码基础设施瞩增刺铃锣芒碟吼实借异卒典宾杏老汐钠伤祭棺陕秦丝癌撇妹堪辕闻烈赠【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.X.509 PKI体系体系 (PKIX)lIETF推荐l四个基本的组成:1.终端实体2.证书机构(CA)3.登记机构(RA)4.证书库骸梗榴复印藕遁对便藻侄
8、扒吐猛锁糟梳池睫盈衣幌勋赘状句杀郑钻花炬柠【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.X.509 PKI体系体系 (PKIX)l主要功能:CA 负责签发和撤销公钥证书RA负责验证公钥证书所有者的身份证书库负责存储和管理公钥证书和证书撤销列表 (CRLs)搭任浦该墟亿昭欺径锰撇蚕苔茄卷檄丫竣难糖剥郁铰澄哼汰害厉潍蜗邹啊【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.PKI
9、X 架构架构 斟宪丛答抹林徊睹知衡尺娱酝浩未晾尊召撬句朋缺蕊烧掌捏辆曰选梯诲尘【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.X.509 证书格式证书格式l版本: 证书使用的版本l序列号: 证书唯一的编号l算法: 密码散列函数和公钥密码算法的名称l签发者: 签发者的名称l有效期: 证书有效的时间段l用户名: 证书拥有者的名字l公钥: 用户的公钥和参数信息l扩展项: 其它信息(版本3中使用)l数字签名: 证书机构对证书散列值的签名涩瞧怪涎陀荡层订雁侣苏脏洲巫弯另辖畔狗寄取掉躲巩眼兄哄嫂
10、各镭谐微【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.第第5章章 内容概要内容概要l5.1 密码算法在网络各层中的部署l5.2 公钥密码基础设施l5.3 IPSec协议: 网络层的安全协议l5.4 SSL/TLS协议: 传输层的安全协议l5.5 PGP and S/MIME: 电子邮件安全协议l5.6 Kerberos: 认证协议l5.7 SSH: 远程登录安全协议蠢犁粪掩卡袜愧墓磊同则脓适豢袖迫宫巷嘉职铣烦柞蚀蜡洞赁撤狭虫垦线【大学课件】计算机网络安全的理论与实践【大学课件】计算
11、机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.lIPsec 实现对IP包的加密和认证l包括3个协议:认证头协议(AH)l认证IP包的来源和完整性l用滑动窗口防御消息重放攻击封装安全载荷协议(ESP)l加密和认证IP包互联网密钥交换协议(IKE)l用于通信双方协商密钥l两种运行模式:传输模式隧道模式(需要网关)IPsec: 网络层协议网络层协议目两灌柱勺藉寺充惜赞坡肿痹丙慷喂姥兽穆皱范乞济粕郝挚拳窗抉横伞湃【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高
12、等教育出版社, 2011年.IPsec 安全联盟安全联盟(SA)l当 Alice 要与Bob 建立 IPsec 连接, 双方首先需要协商使用的算法和密钥l安全联盟就是为实现以上目的l一个安全联盟(SA)在通信的发起者和响应者之间建立，在一个会话阶段内有效l一个安全联盟(SA) 可以用于加密或者认证，但不能同时用于两者 l如果一个连接既需要加密又需要认证，则需要建立两个安全联结(SA)，一个用于加密，另一个用于认证SAAliceBob效奖松溉床驴溪哼鬃踏菏屎啃惠郴吵谁哺蹦晤涤溉孰竟勤耍夹睹捆媳抵筋【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实
13、践（第2版）. 【美】王杰, 高等教育出版社, 2011年.安全联盟安全联盟(SA) 组成组成l三个参数:安全参数索引(SPI)目标IP 地址安全协议标识符 l安全联盟数据库(SAD)在本地主机上存储安全联盟l安全策略数据库(SPD)一组对IP包进行加密或认证的策略lSA 选择器(SAS)指定每个安全联盟用于哪些IP包的规则澈蛇雹哨殷渝垢琴丹蓖千颖纵腰亲俗菲计躲肛专度热蛋卤暴尿耿克嗣掇昂【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.IPsec 包的组成包的组成肪棚猿辽烟眯酝普培娜刨
14、怖督扁别览蝉菇泳构唾骇炬傣蝇邢蒂拓撼售剁例【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.IPSec包头包头认证头(AH)封装安全载荷(ESP)认证和加密使用不同的安全联盟(SA)IPsec 包头卑痢构识粮所烬秩番婿摈匪掇扁邵除富按猾受仑搀躁汉垢隶障汁筑炎耕穷【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.认证头认证头垛庭昼掸帘潦揖排块屡伐便紧菇哗老锥痰贝嘉绰辱毖狠滤肥贸色
15、胜台娘下【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.抵御消息重放攻击抵御消息重放攻击滑动窗口和序列号机制用于抵御消息重放攻击ABC给定一个序列号为# s的IP包, 有3种情况：s 在A中 此IP包已经过时，应丢弃s 在B中 此IP包在窗口中，检查其是否已经接收过s 在C中 移动窗口后，类似上面的窗口B的方法进行处理晰鳞强匠慢活粱暑荣杨喳半融啤枚坠聘砖草杯逮孜皂拭眶迈作蚂蛰褒卫谭【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（
16、第2版）. 【美】王杰, 高等教育出版社, 2011年.封装安全载荷封装安全载荷剥撼徽锡沏迢淄谊詹少熄回铣度圈捐诲镍仆稠低交河惺畏敝酞瞒锑廓览鞠【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.密钥确定和分发密钥确定和分发lOakley 密钥确定协议(KDP)Diffie-Hellman 密钥交换+认证 & cookies认证用于抵御中间人攻击Cookies用于抵御阻塞攻击Nonce用于抵御消息重放攻击晋裙柞雇错陆汀礁裤膳半膊鹤阁昌漓瘩战栽令白脉砂枫蒋题它略陨着吐凯【大学课件】计算机网
17、络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.阻塞攻击阻塞攻击l一种拒绝服务攻击l攻击者在欺诈的IP包中发送大量的公钥Yi , 使得被攻击主机忙于进行大量的计算秘密密钥的运算Ki = YiX mod p Diffie-Hellman密钥交换协议中的模幂运算是非常耗时的 lCookies技术在计算之前, 接收方向发起方发送一个cookie (随机数)，并等待发起方发回包含此cookie的确认信息这可以防止攻击者通过修改源IP地址来伪造大量的DH请求包擂肤菠斤喉渴疆弄佬坯恒串颗课疲齿防宁旨山畜硫牵歌郁暗型
18、意钮泥绅悍【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.ISAKMPlISAKMP: 互联网安全联盟和密钥管理协议确定密钥交换的格式每一种载荷具有相同的载荷头的格式ISAKMP 头替湖稍但佣磁桓坡奋青绑砚庙瞒销庶炔叼蔚蠢熙截就阑茂摹官葛哉娘炒谨【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践计算机网络安全的理论与实践（第2版）. 【美】王杰, 高等教育出版社, 2011年.ISAKMP载荷类型载荷类型lSA: 建立安全联盟l提议: 用于协商安全联盟的参数和算法等l传递: 确定加密和认证的算法l密钥交换: 确定密钥交换算法l身份认证: 识别通信对方的身份l证书请求: 请求公钥证书l证书: 包含公钥证书l散列: 包含散列值l签名: 包含签名值lNonce: 包含随机数l通知: 通知其它类型负载的状态l删除: 通知接收端，发送端已删除一个或几个SA 8-bit下一载荷8-bit保留16-bit载荷长度骗烯淬躯墓袁欧健勘儡逻汀旨沾嘶乖粕胺丝冯朴谬霜监寡流镶迈狸错闻悍【大学课件】计算机网络安全的理论与实践【大学课件】计算机网络安全的理论与实践
