《网络安全技术内容辅导03》由会员分享，可在线阅读，更多相关《网络安全技术内容辅导03（157页珍藏版）》请在金锄头文库上搜索。
1、第三部分：网络安全之防御技术第三部分：网络安全之防御技术n第第8 8章章 安全操作系统基础：介绍安全操作系统基础：介绍UnixUnix、LinuxLinux和和WindowsWindows的特点，着重介绍安全操作的特点，着重介绍安全操作系统的原理，介绍系统的原理，介绍WindowsWindows操作系统的安全操作系统的安全配置方案。配置方案。n第第9 9章章 密码学与信息加密：介绍密码学的基密码学与信息加密：介绍密码学的基本概念，本概念，DESDES加密算法的概念以及如何利用加密算法的概念以及如何利用程序实现，程序实现，RSARSA加密算法的概念以及实现算加密算法的概念以及实现算法，法，PGP
2、PGP加密的原理和实现。加密的原理和实现。1第三部分：网络安全之防御技术第三部分：网络安全之防御技术n第第1010章章 防火墙与入侵检测：介绍防火墙的防火墙与入侵检测：介绍防火墙的基本概念、分类、实现模型以及如何利用软基本概念、分类、实现模型以及如何利用软件实现防火墙的规则集。介绍入侵检测系统件实现防火墙的规则集。介绍入侵检测系统的概念、原理以及如何利用程序实现简单的的概念、原理以及如何利用程序实现简单的入侵系统。入侵系统。n第第1111章章 IPIP安全与安全与WebWeb安全：介绍安全：介绍IPSecIPSec的必的必要性，要性，IPSecIPSec中的中的AHAH协议和协议和ESPESP
3、协议、密钥交协议、密钥交换协议换协议IKEIKE以及以及VPNVPN的解决方案等。的解决方案等。2第八章第八章 操作系统安全配置方案操作系统安全配置方案 知识点知识点n常用操作系统常用操作系统n安全操作系统的概念安全操作系统的概念n安全操作系统的机制安全操作系统的机制n代表性的安全模型代表性的安全模型n操作系统安全体系结构操作系统安全体系结构n操作系统安全配置方案操作系统安全配置方案4知识点知识点常用操作系统常用操作系统n目前服务器常用的操作系统有三类：目前服务器常用的操作系统有三类：nUnixUnixnLinuxLinuxnWindows NT/2000/2003 ServerWindows
4、 NT/2000/2003 Server。n这些操作系统都是符合这些操作系统都是符合C2C2级安全级别的级安全级别的操作系统。但是都存在不少漏洞，如果操作系统。但是都存在不少漏洞，如果对这些漏洞不了解，不采取相应的措施，对这些漏洞不了解，不采取相应的措施，就会使操作系统完全暴露给入侵者。就会使操作系统完全暴露给入侵者。5UNIX系统系统nUNIXUNIX操作系统诞生于操作系统诞生于2020世纪世纪6060年代末期，由年代末期，由美国贝尔实验室开发的一种多用户、多任务美国贝尔实验室开发的一种多用户、多任务的通用操作系统。它从一个实验室的产品发的通用操作系统。它从一个实验室的产品发展成为当前使用普
5、遍、影响深远的主流操作展成为当前使用普遍、影响深远的主流操作系统。系统。n主要特点：主要特点：n可靠性高可靠性高n极强的伸缩性极强的伸缩性n网络功能强网络功能强n强大的数据库支持功能强大的数据库支持功能n开放性好开放性好6Linux系统系统 nLinuxLinux是一套可以免费使用和自由传播的是一套可以免费使用和自由传播的类类UnixUnix操作系统，主要用于基于操作系统，主要用于基于Intel Intel x86x86系列系列CPUCPU的计算机上。这个系统是由全的计算机上。这个系统是由全世界各地的成千上万的程序员设计和实现世界各地的成千上万的程序员设计和实现的。的。nLinuxLinux是
6、一个免费的操作系统，用户可以是一个免费的操作系统，用户可以免费获得其源代码，并能够随意修改。免费获得其源代码，并能够随意修改。n它是在共用许可证它是在共用许可证GPL(General Public GPL(General Public License)License)保护下的自由软件，也有好几种保护下的自由软件，也有好几种版本，如版本，如Red Hat LinuxRed Hat Linux、SlackwareSlackware，以，以及国内的及国内的Xteam LinuxXteam Linux、红旗、红旗LinuxLinux等等。等等。7Linux系统系统nLinuxLinux的流行是因为它具
7、有许多优点，典的流行是因为它具有许多优点，典型的优点有型的优点有7 7个。个。n完全免费完全免费n完全兼容完全兼容POSIX 1.0POSIX 1.0标准标准n多用户、多任务多用户、多任务n良好的界面良好的界面n丰富的网络功能丰富的网络功能n可靠的安全、稳定性能可靠的安全、稳定性能 n支持多种平台支持多种平台 8Windows系统系统nWindows NTWindows NT（New TechnologyNew Technology）是微软）是微软公司第一个真正意义上的网络操作系统，公司第一个真正意义上的网络操作系统，发展经过发展经过NT3.0NT3.0、NT40NT40、NT5.0NT5.0
8、（Windows Windows 20002000）和）和NT6.0NT6.0（Windows 2003Windows 2003）等众多）等众多版本，并逐步占据了广大的中小网络操版本，并逐步占据了广大的中小网络操作系统的市场。作系统的市场。nWindows NTWindows NT众多版本的操作系统使用了众多版本的操作系统使用了与与Windows 9XWindows 9X完全一致的用户界面和完完全一致的用户界面和完全相同的操作方法，使用户使用起来比全相同的操作方法，使用户使用起来比较方便。与较方便。与Windows 9XWindows 9X相比，相比，Windows Windows NTNT的
9、网络功能更加强大并且安全。的网络功能更加强大并且安全。9Windows NT系列操作系统系列操作系统nWindows NTWindows NT系列操作系统具有以下三方面的系列操作系统具有以下三方面的优点。优点。n支持多种网络协议支持多种网络协议n内置内置InternetInternet功能功能n支持支持NTFSNTFS文件系统文件系统10知识点知识点安全操作系统的概念安全操作系统的概念 n安全操作系统涉及很多概念：安全操作系统涉及很多概念：n主体和客体主体和客体n安全策略安全策略n安全模型安全模型n访问监控器访问监控器n安全内核安全内核n可信计算基可信计算基11主体和客体主体和客体 n操作系统
10、中的每一个实体组件都必须是操作系统中的每一个实体组件都必须是主体或者是客体，或者既是主体又是客主体或者是客体，或者既是主体又是客体。体。n主体是一个主动的实体，它包括用户、用户主体是一个主动的实体，它包括用户、用户组、进程等。组、进程等。n客体是一个被动的实体。客体是一个被动的实体。12主体和客体主体和客体 n系统中最基本的主体应该是用户（包括系统中最基本的主体应该是用户（包括一般用户和系统管理员、系统安全员、一般用户和系统管理员、系统安全员、系统审计员等特殊用户）。系统审计员等特殊用户）。n每个进入系统的用户必须是惟一标识的，每个进入系统的用户必须是惟一标识的，并经过鉴别确定为真实的。系统中
11、的所并经过鉴别确定为真实的。系统中的所有事件要求，几乎全是由用户激发的。有事件要求，几乎全是由用户激发的。n进程是系统中最活跃的实体，用户的所进程是系统中最活跃的实体，用户的所有事件要求都要通过进程的运行来处理。有事件要求都要通过进程的运行来处理。在这里，进程作为用户的客体，同时又在这里，进程作为用户的客体，同时又是其访问对象的主体。是其访问对象的主体。13主体和客体主体和客体 n在操作系统中，客体可以是按照一定格在操作系统中，客体可以是按照一定格式存储在一定记录介质上的数据信息式存储在一定记录介质上的数据信息（通常以文件系统格式存储数据），也（通常以文件系统格式存储数据），也可以是操作系统中
12、的进程。可以是操作系统中的进程。n操作系统中的进程（包括用户进程和系操作系统中的进程（包括用户进程和系统进程）一般有着双重身份。当一个进统进程）一般有着双重身份。当一个进程运行时，它必定为某一用户服务程运行时，它必定为某一用户服务直接或间接的处理该用户的事件要求。直接或间接的处理该用户的事件要求。于是，该进程成为该用户的客体，或为于是，该进程成为该用户的客体，或为另一进程的客体（这时另一进程则是该另一进程的客体（这时另一进程则是该用户的客体）用户的客体） 14安全策略和安全模型安全策略和安全模型 n安全策略是指有关管理、保护和发布敏安全策略是指有关管理、保护和发布敏感信息的法律、规定和实施细则
13、。感信息的法律、规定和实施细则。n系统中的用户和信息被划分为不同的层次，系统中的用户和信息被划分为不同的层次，一些级别比另一些级别高；一些级别比另一些级别高；n如果主体能读访问客体，当且仅当主体的级如果主体能读访问客体，当且仅当主体的级别高于或等于客体的级别；别高于或等于客体的级别；n如果主体能写访问客体，当且仅当主体的级如果主体能写访问客体，当且仅当主体的级别低于或等于客体的级别。别低于或等于客体的级别。15安全策略和安全模型安全策略和安全模型 n安全模型则是对安全策略所表达的安全安全模型则是对安全策略所表达的安全需求的简单、抽象和无歧义的描述，它需求的简单、抽象和无歧义的描述，它为安全策略
14、和安全策略实现机制的关联为安全策略和安全策略实现机制的关联提供了一种框架。提供了一种框架。n安全模型描述了对某个安全策略需要用安全模型描述了对某个安全策略需要用哪种机制来满足；而模型的实现则描述哪种机制来满足；而模型的实现则描述了如何把特定的机制应用于系统中，从了如何把特定的机制应用于系统中，从而实现某一特定安全策略所需的安全保而实现某一特定安全策略所需的安全保护。护。16访问监控器访问监控器n访问控制机制的理论基础是访问监控器访问控制机制的理论基础是访问监控器（Reference MonitorReference Monitor），由），由J.P.AndersonJ.P.Anderson首次
15、提出。首次提出。n访问监控器的具体实现称为引用验证机访问监控器的具体实现称为引用验证机制，它是实现访问监控器思想的硬件和制，它是实现访问监控器思想的硬件和软件的组合。软件的组合。 17安全内核安全内核 n安全内核是实现访问监控器概念的一安全内核是实现访问监控器概念的一种技术。种技术。n它的理论依据是在一个大型操作系统它的理论依据是在一个大型操作系统中，只有其中的一小部分软件用于安中，只有其中的一小部分软件用于安全目的。全目的。n在重新生成操作系统过程中，可用其在重新生成操作系统过程中，可用其中安全相关的软件来构成操作系统的中安全相关的软件来构成操作系统的一个可信内核，称之为安全内核。一个可信内
16、核，称之为安全内核。18可信计算基可信计算基 n操作系统的安全依赖于一些具体实施安操作系统的安全依赖于一些具体实施安全策略的可信的软件和硬件。全策略的可信的软件和硬件。n这些软件、硬件和负责系统安全管理的这些软件、硬件和负责系统安全管理的人员一起组成了系统的可信计算基人员一起组成了系统的可信计算基（Trusted Computing BaseTrusted Computing Base，TCBTCB）。）。19可信计算基可信计算基 n可信计算基由以下可信计算基由以下7 7个部分组成：个部分组成：n操作系统的安全内核。操作系统的安全内核。n具有特权的程序和命令。具有特权的程序和命令。n处理敏感信
17、息的程序，如系统管理命令等。处理敏感信息的程序，如系统管理命令等。n与与TCBTCB实施安全策略有关的文件。实施安全策略有关的文件。n其它有关的固件、硬件和设备。其它有关的固件、硬件和设备。 n负责系统管理的人员。负责系统管理的人员。 n保障固件和硬件正确的程序和诊断软件。保障固件和硬件正确的程序和诊断软件。20知识点知识点安全操作系统的机制安全操作系统的机制 n安全操作系统的机制包括：安全操作系统的机制包括：n硬件安全机制硬件安全机制n操作系统的安全操作系统的安全标识与鉴别标识与鉴别n访问控制访问控制n最小特权管理最小特权管理n可信通路可信通路n安全审计安全审计21硬件安全机制硬件安全机制
18、n计算机硬件安全的目标是，保证其自身计算机硬件安全的目标是，保证其自身的可靠性和为系统提供基本安全机制。的可靠性和为系统提供基本安全机制。其中基本安全机制包括其中基本安全机制包括n存储保护存储保护n运行保护运行保护nI/OI/O保护保护22标识与鉴别标识与鉴别 n标识与鉴别是涉及系统和用户的一个过标识与鉴别是涉及系统和用户的一个过程。程。n标识就是系统要标识用户的身份，并为每个标识就是系统要标识用户的身份，并为每个用户取一个系统可以识别的内部名称用户取一个系统可以识别的内部名称用用户标识符。户标识符。n将用户标识符与用户联系的过程称为鉴别，将用户标识符与用户联系的过程称为鉴别，鉴别过程主要用以
19、识别用户的真实身份。鉴别过程主要用以识别用户的真实身份。23访问控制访问控制 n在安全操作系统领域中，访问控制一般在安全操作系统领域中，访问控制一般都涉及都涉及n自主访问控制（自主访问控制（Discretionary Access Discretionary Access ControlControl，DACDAC）n强制访问控制（强制访问控制（Mandatory Access ControlMandatory Access Control，MACMAC）两种形式）两种形式24 自主访问控制自主访问控制 n自主访问控制是最常用的一类访问控制自主访问控制是最常用的一类访问控制机制，用来决定一个用
20、户是否有权访问机制，用来决定一个用户是否有权访问一些特定客体的一种访问约束机制。一些特定客体的一种访问约束机制。n一个用户可以自主地说明他所拥有的资源允一个用户可以自主地说明他所拥有的资源允许系统中哪些用户以何种权限进行共享。许系统中哪些用户以何种权限进行共享。n对其他具有授予某种访问权力的用户能够自对其他具有授予某种访问权力的用户能够自主地（可能是间接的）将访问权或访问权的主地（可能是间接的）将访问权或访问权的某个子集授予另外的用户。某个子集授予另外的用户。25强制访问控制强制访问控制MAC MAC n在强制访问控制机制下，系统中的每个在强制访问控制机制下，系统中的每个进程、每个文件、每个进
21、程、每个文件、每个 IPC IPC 客体客体( ( 消息消息队列、信号量集合和共享存贮区队列、信号量集合和共享存贮区) )都被赋都被赋予了相应的安全属性，这些安全属性是予了相应的安全属性，这些安全属性是不能改变的。不能改变的。n它由管理部门（如安全管理员）或由操它由管理部门（如安全管理员）或由操作系统自动地按照严格的规则来设置，作系统自动地按照严格的规则来设置，不像访问控制表那样由用户或他们的程不像访问控制表那样由用户或他们的程序直接或间接地修改。序直接或间接地修改。26强制访问控制和自主访问控制强制访问控制和自主访问控制n强制访问控制和自主访问控制是两种不强制访问控制和自主访问控制是两种不同
22、类型的访问控制机制，它们常结合起同类型的访问控制机制，它们常结合起来使用。来使用。n仅当主体能够同时通过自主访问控制和仅当主体能够同时通过自主访问控制和强制访问控制检查时，它才能访问一个强制访问控制检查时，它才能访问一个客体。客体。27最小特权管理最小特权管理 n最小特权管理的思想是系统不应给用户最小特权管理的思想是系统不应给用户超过执行任务所需特权以外的特权，如超过执行任务所需特权以外的特权，如将超级用户的特权划分为一组细粒度的将超级用户的特权划分为一组细粒度的特权，分别授予不同的系统操作员特权，分别授予不同的系统操作员/ /管理管理员，使各种系统操作员员，使各种系统操作员/ /管理员只具有
23、完管理员只具有完成其任务所需的特权，从而减少由于特成其任务所需的特权，从而减少由于特权用户口令丢失或错误软件、恶意软件、权用户口令丢失或错误软件、恶意软件、误操作所引起的损失。误操作所引起的损失。28可信通路可信通路 n在计算机系统中，用户是通过不可信的在计算机系统中，用户是通过不可信的中间应用层和操作系统相互作用的。中间应用层和操作系统相互作用的。n需要一个机制保障用户和内核的通信，需要一个机制保障用户和内核的通信，这种机制就是由可信通路提供的。这种机制就是由可信通路提供的。29安全审计安全审计 n一个系统的安全审计就是对系统中有关一个系统的安全审计就是对系统中有关安全的活动进行记录、检查及
24、审核。安全的活动进行记录、检查及审核。n它的主要目的就是检测和阻止非法用户它的主要目的就是检测和阻止非法用户对计算机系统的入侵，并显示合法用户对计算机系统的入侵，并显示合法用户的误操作。的误操作。n审计作为一种事后追查的手段来保证系审计作为一种事后追查的手段来保证系统的安全，它对涉及系统安全的操作做统的安全，它对涉及系统安全的操作做一个完整的记录。一个完整的记录。30知识点知识点代表性的安全模型代表性的安全模型 n安全模型的特点安全模型的特点n代表性的安全模型代表性的安全模型31安全模型的特点安全模型的特点 n安全模型的目的就在于明确地表达系统安全模型的目的就在于明确地表达系统的安全需求，为设
25、计开发安全系统提供的安全需求，为设计开发安全系统提供方针。方针。n安全模型有以下安全模型有以下4 4个特点：个特点：n精确的、无歧义的；精确的、无歧义的；n简易和抽象的，所以容易理解；简易和抽象的，所以容易理解；n一般性的：只涉及安全性质，而不过度地牵一般性的：只涉及安全性质，而不过度地牵扯系统的功能或其实现；扯系统的功能或其实现；n安全策略的明显表现。安全策略的明显表现。32安全模型的特点安全模型的特点 n安全模型一般分为两种：形式化的安全安全模型一般分为两种：形式化的安全模型和非形式化的安全模型。模型和非形式化的安全模型。n非形式化安全模型仅模拟系统的安全功能非形式化安全模型仅模拟系统的安
26、全功能n形式化安全模型则使用数学模型，精确地描形式化安全模型则使用数学模型，精确地描述安全性及其在系统中使用的情况。述安全性及其在系统中使用的情况。33主要安全模型主要安全模型nBLPBLP机密性安全模型机密性安全模型nBibaBiba完整性安全模型完整性安全模型nClark-WilsonClark-Wilson完整性安全模型完整性安全模型n信息流模型信息流模型nRBACRBAC安全模型安全模型nDTEDTE安全模型安全模型n无干扰安全模型等。无干扰安全模型等。34知识点知识点操作系统安全体系结构操作系统安全体系结构n安全体系结构的定义安全体系结构的定义n安全体系结构的类型安全体系结构的类型3
27、5 安全体系结构的含义安全体系结构的含义 n一个计算机系统（特别是安全操作系统）一个计算机系统（特别是安全操作系统）的安全体系结构，主要包含如下的安全体系结构，主要包含如下4 4方面的方面的内容：内容：n详细描述系统中安全相关的所有方面。详细描述系统中安全相关的所有方面。n在一定的抽象层次上描述各个安全相关模块在一定的抽象层次上描述各个安全相关模块之间的关系。之间的关系。n提出指导设计的基本原理。提出指导设计的基本原理。n提出开发过程的基本框架及对应于该框架体提出开发过程的基本框架及对应于该框架体系的层次结构。系的层次结构。36 安全体系结构的类型安全体系结构的类型 n在美国国防部的在美国国防
28、部的“目标安全体系目标安全体系”中，中，把安全体系划分为四种类型：把安全体系划分为四种类型：n抽象体系抽象体系(Abstract Architecture)(Abstract Architecture)。n通用体系通用体系(Generic Architecture)(Generic Architecture)。n逻辑体系逻辑体系(Logical Architecture)(Logical Architecture)。n特殊体系特殊体系(Specific Architecture)(Specific Architecture)。37知识点知识点操作系统安全配置方案操作系统安全配置方案n初级初级1
29、212条条n中级中级1010条条n高级高级38安全配置方案初级篇安全配置方案初级篇 n常规的操作系统安全配置：常规的操作系统安全配置：n物理安全物理安全n停止停止GuestGuest帐号帐号n限制用户数量限制用户数量n创建多个管理员帐号创建多个管理员帐号n管理员帐号改名管理员帐号改名n陷阱帐号陷阱帐号n更改默认权限更改默认权限n设置安全密码设置安全密码n屏幕保护密码屏幕保护密码n使用使用NTFSNTFS分区分区n运行防毒软件运行防毒软件n确保备份盘安全确保备份盘安全39安全配置方案中级篇安全配置方案中级篇n操作系统的安全策略配置：操作系统的安全策略配置：n操作系统安全策略操作系统安全策略n关闭
30、不必要的服务关闭不必要的服务n关闭不必要的端口关闭不必要的端口n开启审核策略开启审核策略n开启密码策略开启密码策略n开启帐户策略开启帐户策略n备份敏感文件备份敏感文件n不显示上次登陆名不显示上次登陆名n禁止建立空连接禁止建立空连接n下载最新的补丁下载最新的补丁40安全配置方案高级篇安全配置方案高级篇n操作系统安全信息通信配置：操作系统安全信息通信配置：n关闭关闭DirectDrawDirectDrawn关闭默认共享关闭默认共享n禁用禁用Dump FileDump Filen文件加密系统文件加密系统n加密加密TempTemp文件夹文件夹n关机时清除文件关机时清除文件n禁止软盘光盘启动禁止软盘光盘
31、启动n使用智能卡使用智能卡n使用使用IPSecIPSecn禁止判断主机类型禁止判断主机类型n抵抗抵抗DDOSDDOSn禁止禁止GuestGuest访问日访问日志志n数据恢复软件数据恢复软件41第九章第九章 密码学与信息加密密码学与信息加密 知识点知识点n密码学的基本概念密码学的基本概念nDESDES加密加密nRSARSA加密加密nPGPPGP加密技术加密技术43知识点知识点密码学概述密码学概述n密码学发展密码学发展n消息和加密消息和加密n密码的功能密码的功能n算法和密钥算法和密钥n对称算法对称算法n公开密钥算法公开密钥算法44密码学的发展密码学的发展 n两千多年前，罗马国王两千多年前，罗马国王
32、Julius Julius CaesareCaesare（恺撒）就开始使用目前称为（恺撒）就开始使用目前称为“恺撒密码恺撒密码”的密码系统。的密码系统。n密码学三个方向：密码学三个方向：n密码学：研究信息系统的安全保密的科学密码学：研究信息系统的安全保密的科学n密码编码学：研究对信息编码，实现对信息密码编码学：研究对信息编码，实现对信息的隐藏的隐藏n密码分析学：研究加密消息的破译或消息的密码分析学：研究加密消息的破译或消息的伪造伪造45消息和加密消息和加密n消息被称为明文。消息被称为明文。n用某种方法伪装消息以隐藏它的内容的用某种方法伪装消息以隐藏它的内容的过程称为加密，加了密的消息称为密文。
33、过程称为加密，加了密的消息称为密文。n把密文转变为明文的过程称为解密。把密文转变为明文的过程称为解密。46密码的功能密码的功能 n除了提供机密性外，密码学需要提供三除了提供机密性外，密码学需要提供三方面的功能：方面的功能：n鉴别：消息的接收者应该能够确认消息的来鉴别：消息的接收者应该能够确认消息的来源；入侵者不可能伪装成他人。源；入侵者不可能伪装成他人。n完整性：消息的接收者应该能够验证在传送完整性：消息的接收者应该能够验证在传送过程中消息没有被修改；入侵者不可能用假过程中消息没有被修改；入侵者不可能用假消息代替合法消息。消息代替合法消息。n抗抵赖性：发送消息者事后不可能虚假地否抗抵赖性：发送
34、消息者事后不可能虚假地否认他发送的消息。认他发送的消息。47算法和密钥算法和密钥 n密码算法也叫密码函数，是用于加密和密码算法也叫密码函数，是用于加密和解密的数学函数。解密的数学函数。n如果算法本身是保密的，这种算法成为如果算法本身是保密的，这种算法成为受限算法。受限制的密码算法不可能进受限算法。受限制的密码算法不可能进行质量控制和标准化。行质量控制和标准化。n现代密码学用密钥解决了这个问题，密现代密码学用密钥解决了这个问题，密钥用钥用K K表示。表示。K K可以是很多数值里的任意可以是很多数值里的任意值，密钥值，密钥K K的可能值的范围叫做密钥空间。的可能值的范围叫做密钥空间。48对称算法对
35、称算法n基于密钥的算法通常有两类：对称算法基于密钥的算法通常有两类：对称算法和公开密钥算法（非对称算法）。和公开密钥算法（非对称算法）。n对称算法有时又叫传统密码算法，加密对称算法有时又叫传统密码算法，加密密钥能够从解密密钥中推算出来，反过密钥能够从解密密钥中推算出来，反过来也成立。来也成立。n在大多数对称算法中，加解密的密钥是在大多数对称算法中，加解密的密钥是相同的。对称算法要求发送者和接收者相同的。对称算法要求发送者和接收者在安全通信之前，协商一个密钥。在安全通信之前，协商一个密钥。n对称算法的安全性依赖于密钥，泄漏密对称算法的安全性依赖于密钥，泄漏密钥就意味着任何人都能对消息进行加解钥就
36、意味着任何人都能对消息进行加解密。密。49公开密钥算法公开密钥算法n公开密钥算法（非对称算法）的加密的密钥公开密钥算法（非对称算法）的加密的密钥和解密的密钥不同，而且解密密钥不能根据和解密的密钥不同，而且解密密钥不能根据加密密钥计算出来，或者至少在可以计算的加密密钥计算出来，或者至少在可以计算的时间内不能计算出来。时间内不能计算出来。n之所以叫做公开密钥算法，是因为加密密钥之所以叫做公开密钥算法，是因为加密密钥能够公开，即陌生者能用加密密钥加密信息，能够公开，即陌生者能用加密密钥加密信息，但只有用相应的解密密钥才能解密信息。加但只有用相应的解密密钥才能解密信息。加密密钥叫做公开密钥（简称公钥）
37、，解密密密密钥叫做公开密钥（简称公钥），解密密钥叫做私人密钥（简称私钥）。钥叫做私人密钥（简称私钥）。50知识点知识点DESDES对称加密技术对称加密技术n算法目的算法目的n算法原理算法原理n算法的程序实现算法的程序实现51DESDES对称加密技术对称加密技术nDES(Data Encryption Standard)DES(Data Encryption Standard)算法，算法，于于19771977年得到美国政府的正式许可，是年得到美国政府的正式许可，是一种用一种用5656位密钥来加密位密钥来加密6464位数据的方法。位数据的方法。52DESDES算法目的算法目的n加密算法要达到的目的
38、有四点。加密算法要达到的目的有四点。n提供高质量的数据保护，防止数据未提供高质量的数据保护，防止数据未经授权的泄露和未被察觉的修改；经授权的泄露和未被察觉的修改；n具有相当高的复杂性，使得破译的开具有相当高的复杂性，使得破译的开销超过可能获得的利益，同时又要便销超过可能获得的利益，同时又要便于理解和掌握；于理解和掌握；nDESDES密码体制的安全性应该不依赖于算密码体制的安全性应该不依赖于算法的保密，其安全性仅以加密密钥的法的保密，其安全性仅以加密密钥的保密为基础；保密为基础；n实现经济，运行有效，并且适用于多实现经济，运行有效，并且适用于多种完全不同的应用。种完全不同的应用。53DESDES
39、算法的原理算法的原理 nDESDES算法的入口参数有三个：算法的入口参数有三个：KeyKey、DataData、ModeMode。nKeyKey为为8 8个字节共个字节共6464位，是位，是DESDES算法的工作密算法的工作密钥钥nDataData也为也为8 8个字节个字节6464位，是要被加密或被解位，是要被加密或被解密的数据密的数据nModeMode为为DESDES的工作方式有两种：加密或解密。的工作方式有两种：加密或解密。54DESDES算法的原理算法的原理 n如如ModeMode为加密，则用为加密，则用KeyKey去把数据去把数据DataData进进行加密，生成行加密，生成DataDa
40、ta的密码形式（的密码形式（6464位）位）作为作为DESDES的输出结果的输出结果n如如ModeMode为解密，则用为解密，则用KeyKey去把密码形式的去把密码形式的数据数据DataData解密，还原为解密，还原为DataData的明码形式的明码形式（6464位）作为位）作为DESDES的输出结果。的输出结果。55RSARSA算法算法n算法原理算法原理nRSARSA体制描述体制描述n算法的安全性算法的安全性n算法的速度算法的速度56RSARSA算法的原理算法的原理nRSARSA算法是一种基于大数不可能质因数分算法是一种基于大数不可能质因数分解假设的公钥体系。解假设的公钥体系。n找到两个很大
41、的质数，一个公开给世界，找到两个很大的质数，一个公开给世界，称之为称之为“公钥公钥”，另一个不告诉任何人，另一个不告诉任何人，称之为称之为“私钥私钥”。n两把密钥互补：用公钥加密的密文可以两把密钥互补：用公钥加密的密文可以用私钥解密，反过来也一样。用私钥解密，反过来也一样。n常用的公钥加密算法包括：常用的公钥加密算法包括：RSARSA密码体制、密码体制、ElGamalElGamal密码体制和散列函数密码体制密码体制和散列函数密码体制（MD4MD4、MD5MD5等）。等）。57RSA体制体制nRSARSA体制可以简单描述如下：体制可以简单描述如下：n生成两个大素数生成两个大素数p p和和q q。
42、n计算这两个素数的乘积计算这两个素数的乘积n=pqn=pq。n计算小于计算小于n n并且与并且与n n互质的整数的个数，即欧拉函互质的整数的个数，即欧拉函数数(n)=(p-1)(q-1)(n)=(p-1)(q-1)。n选择一个随机数选择一个随机数b b满足满足1b(n)1b(n)，并且，并且b b和和(n)(n)互质，即互质，即gcd(b, (n)=1gcd(b, (n)=1。n计算计算ab=1 mod (n)ab=1 mod (n)。n保密保密a a，p p和和q q，公开，公开n n和和b b。58RSA算法的安全性算法的安全性 nRSARSA的安全性依赖于大数分解，但是否等的安全性依赖于
43、大数分解，但是否等同于大数分解一直未能得到理论上的证同于大数分解一直未能得到理论上的证明。明。n目前，目前， RSA RSA 的一些变种算法已被证明等的一些变种算法已被证明等价于大数分解。价于大数分解。n现在，人们已能分解多个十进制位的大现在，人们已能分解多个十进制位的大素数。因此，模数素数。因此，模数n n必须选大一些，因具必须选大一些，因具体适用情况而定体适用情况而定 59RSA算法的速度算法的速度 n由于进行的都是大数计算，使得由于进行的都是大数计算，使得RSARSA最快最快的情况也比的情况也比DESDES慢上倍。慢上倍。n一般来说只用于少量数据加密。一般来说只用于少量数据加密。nRSA
44、RSA算法是第一个能同时用于加密和数字算法是第一个能同时用于加密和数字签名的算法。签名的算法。nRSARSA是普遍认为是目前最优秀的公钥方案是普遍认为是目前最优秀的公钥方案之一。之一。60知识点知识点PGP加密技术加密技术n原理原理n操作操作61PGP加密技术加密技术nPGPPGP（Pretty Good PrivacyPretty Good Privacy）加密技术）加密技术是一个基于是一个基于RSARSA公钥加密体系的邮件加密公钥加密体系的邮件加密软件，提出了公共钥匙或不对称文件的软件，提出了公共钥匙或不对称文件的加密技术。加密技术。n把把把把RSARSA公钥体系和传统加密体系的结合公钥体
45、系和传统加密体系的结合起来，并且在数字签名和密钥认证管理起来，并且在数字签名和密钥认证管理机制上有巧妙的设计，因此机制上有巧妙的设计，因此PGPPGP成为目前成为目前几乎最流行的公钥加密软件包。几乎最流行的公钥加密软件包。62PGP加密技术操作加密技术操作n使用使用PGPPGP产生密钥产生密钥n使用使用PGPPGP加密文件加密文件n使用使用PGPPGP加密邮件加密邮件63第十章第十章 防火墙与入侵检测防火墙与入侵检测 知识点知识点n防火墙的基本概念防火墙的基本概念n防火墙的分类防火墙的分类n常见防火墙系统模型常见防火墙系统模型n创建防火墙步骤创建防火墙步骤n入侵检测系统基本概念入侵检测系统基本
46、概念n入侵检测的方法入侵检测的方法n入侵检测的步骤入侵检测的步骤65知识点知识点防火墙基本概念防火墙基本概念n防火墙的定义防火墙的定义n防火墙的功能防火墙的功能n防火墙的局限性防火墙的局限性66防火墙的定义防火墙的定义 n防火墙的本义原是指古代人们房屋之间防火墙的本义原是指古代人们房屋之间修建的墙，这道墙可以防止火灾发生的修建的墙，这道墙可以防止火灾发生的时候蔓延到别的房屋。时候蔓延到别的房屋。n防火墙是指隔离在本地网络与外界网络防火墙是指隔离在本地网络与外界网络之间的一道防御系统。之间的一道防御系统。n在互联网上，防火墙是一种非常有效的在互联网上，防火墙是一种非常有效的网络安全系统，通过它可
47、以隔离风险区网络安全系统，通过它可以隔离风险区域（域（InternetInternet或有一定风险的网络）与或有一定风险的网络）与安全区域（局域网）的连接，同时不会安全区域（局域网）的连接，同时不会妨碍安全区域对风险区域的访问妨碍安全区域对风险区域的访问67防火墙的功能防火墙的功能 n根据不同的需要，防火墙的功能有比较根据不同的需要，防火墙的功能有比较大差异，但是一般都包含以下三种基本大差异，但是一般都包含以下三种基本功能。功能。n可以限制未授权的用户进入内部网络，可以限制未授权的用户进入内部网络，过滤掉不安全的服务和非法用户过滤掉不安全的服务和非法用户n防止入侵者接近网络防御设施防止入侵者接
48、近网络防御设施n限制内部用户访问特殊站点限制内部用户访问特殊站点68防火墙的功能防火墙的功能 n由于防火墙假设了网络边界和服务，因由于防火墙假设了网络边界和服务，因此适合于相对独立的网络，例如此适合于相对独立的网络，例如IntranetIntranet等种类相对集中的网络。等种类相对集中的网络。nInternetInternet上的上的WebWeb网站中，超过三分之一网站中，超过三分之一的站点都是有某种防火墙保护的，任何的站点都是有某种防火墙保护的，任何关键性的服务器，都应该放在防火墙之关键性的服务器，都应该放在防火墙之后。后。69防火墙的局限性防火墙的局限性 n防火墙有以下三方面的局限：防火
49、墙有以下三方面的局限：n防火墙不能防范网络内部的攻击。比如：防防火墙不能防范网络内部的攻击。比如：防火墙无法禁止变节者或内部间谍将敏感数据火墙无法禁止变节者或内部间谍将敏感数据拷贝到软盘上。拷贝到软盘上。n防火墙也不能防范那些伪装成超级用户或诈防火墙也不能防范那些伪装成超级用户或诈称新雇员的黑客们劝说没有防范心理的用户称新雇员的黑客们劝说没有防范心理的用户公开其口令，并授予其临时的网络访问权限。公开其口令，并授予其临时的网络访问权限。n防火墙不能防止传送己感染病毒的软件或文防火墙不能防止传送己感染病毒的软件或文件，不能期望防火墙去对每一个文件进行扫件，不能期望防火墙去对每一个文件进行扫描，查出
50、潜在的病毒。描，查出潜在的病毒。70知识点知识点防火墙的分类防火墙的分类 n常见的放火墙有三种类型：常见的放火墙有三种类型：n分组过滤防火墙；分组过滤防火墙；n应用代理防火墙；应用代理防火墙；n状态检测防火墙。状态检测防火墙。71分组过滤防火墙分组过滤防火墙n分组过滤（分组过滤（Packet FilteringPacket Filtering）：作用）：作用在协议组的网络层和传输层，根据分组在协议组的网络层和传输层，根据分组包头源地址、目的地址和端口号、协议包头源地址、目的地址和端口号、协议类型等标志确定是否允许数据包通过，类型等标志确定是否允许数据包通过，只有满足过滤逻辑的数据包才被转发到只
51、有满足过滤逻辑的数据包才被转发到相应的目的地的出口端，其余的数据包相应的目的地的出口端，其余的数据包则从数据流中丢弃。则从数据流中丢弃。72分组过滤防火墙分组过滤防火墙n数据包过滤可以在网络层截获数据。数据包过滤可以在网络层截获数据。使用一些规则来确定是否转发或丢使用一些规则来确定是否转发或丢弃所各个数据包。弃所各个数据包。n通常情况下，如果规则中没有明确通常情况下，如果规则中没有明确允许指定数据包的出入，那么数据允许指定数据包的出入，那么数据包将被丢弃包将被丢弃 73分组过滤防火墙分组过滤防火墙n一个可靠的分组过滤防火墙依赖于一个可靠的分组过滤防火墙依赖于规则集。规则集。组序号动作源IP目的
52、IP源端口目的端口协议类型1允许10.1.1.1*TCP2允许*10.1.1.120*TCP3禁止*10.1.1.1201024TCP74分组过滤防火墙分组过滤防火墙n第一条规则：主机第一条规则：主机10.1.1.110.1.1.1任何端口访任何端口访问任何主机的任何端口，基于问任何主机的任何端口，基于TCPTCP协议的协议的数据包都允许通过。数据包都允许通过。n第二条规则：任何主机的第二条规则：任何主机的2020端口访问主端口访问主机机10.1.1.110.1.1.1的任何端口，基于的任何端口，基于TCPTCP协议的协议的数据包允许通过。数据包允许通过。n第三条规则：任何主机的第三条规则：任
53、何主机的2020端口访问主端口访问主机机10.1.1.110.1.1.1小于小于10241024的端口，如果基于的端口，如果基于TCPTCP协议的数据包都禁止通过。协议的数据包都禁止通过。75分组过滤防火墙分组过滤防火墙nWinRouteWinRoute目前应用比较广泛，既可以作目前应用比较广泛，既可以作为一个服务器的防火墙系统，也可以作为一个服务器的防火墙系统，也可以作为一个代理服务器软件。为一个代理服务器软件。n操作操作n用用WinRouteWinRoute创建包过滤规则创建包过滤规则n用用WinRouteWinRoute禁用禁用FTPFTP访问访问n用用WinRouteWinRoute禁
54、用禁用HTTPHTTP访问访问76应用代理防火墙应用代理防火墙n应用代理（应用代理（Application ProxyApplication Proxy）：也叫）：也叫应用网关（应用网关（Application GatewayApplication Gateway），它），它作用在应用层，其特点是完全作用在应用层，其特点是完全“阻隔阻隔”网络通信流，通过对每种应用服务编制网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用专门的代理程序，实现监视和控制应用层通信流的作用。实际中的应用网关通层通信流的作用。实际中的应用网关通常由专用工作站实现。常由专用工作站实现。77应用代理防火
55、墙应用代理防火墙n应用代理（应用代理（Application ProxyApplication Proxy）是运行）是运行在防火墙上的一种服务器程序，防火墙在防火墙上的一种服务器程序，防火墙主机可以是一个具有两个网络接口的双主机可以是一个具有两个网络接口的双重宿主主机，也可以是一个堡垒主机。重宿主主机，也可以是一个堡垒主机。代理服务器被放置在内部服务器和外部代理服务器被放置在内部服务器和外部服务器之间，用于转接内外主机之间的服务器之间，用于转接内外主机之间的通信，它可以根据安全策略来决定是否通信，它可以根据安全策略来决定是否为用户进行代理服务。代理服务器运行为用户进行代理服务。代理服务器运行在
56、应用层，因此又被称为在应用层，因此又被称为“应用网关应用网关”。78状态检测防火墙状态检测防火墙n状态检测（状态检测（Status DetectionStatus Detection）：直接）：直接对分组里的数据进行处理，并且结合前对分组里的数据进行处理，并且结合前后分组的数据进行综合判断，然后决定后分组的数据进行综合判断，然后决定是否允许该数据包通过。是否允许该数据包通过。79知识点知识点常见防火墙系统模型常见防火墙系统模型 n常见防火墙系统一般按照四种模型构建：常见防火墙系统一般按照四种模型构建：n筛选路由器模型筛选路由器模型n单宿主堡垒主机（屏蔽主机防火墙）模型单宿主堡垒主机（屏蔽主机防
57、火墙）模型n双宿主堡垒主机模型（屏蔽防火墙系统模型）双宿主堡垒主机模型（屏蔽防火墙系统模型）n屏蔽子网模型。屏蔽子网模型。80筛选路由器模型筛选路由器模型 n筛选路由器模型是网络的第一道防线，筛选路由器模型是网络的第一道防线，功能是实施包过滤。功能是实施包过滤。n创建相应的过滤策略时对工作人员的创建相应的过滤策略时对工作人员的TCP/IPTCP/IP的知识有相当的要求，如果筛选的知识有相当的要求，如果筛选路由器被黑客攻破那么内部网络将变的路由器被黑客攻破那么内部网络将变的十分的危险。十分的危险。n该防火墙不能够隐藏你的内部网络的信该防火墙不能够隐藏你的内部网络的信息、不具备监视和日志记录功能。
58、息、不具备监视和日志记录功能。81单宿主堡垒主机模型单宿主堡垒主机模型 n单宿主堡垒主机（屏蔽主机防火墙）模单宿主堡垒主机（屏蔽主机防火墙）模型由包过滤路由器和堡垒主机组成。型由包过滤路由器和堡垒主机组成。n该防火墙系统提供的安全等级比包过滤该防火墙系统提供的安全等级比包过滤防火墙系统要高，因为它实现了网络层防火墙系统要高，因为它实现了网络层安全（包过滤）和应用层安全（代理服安全（包过滤）和应用层安全（代理服务）。务）。n入侵者在破坏内部网络的安全性之前，入侵者在破坏内部网络的安全性之前，必须首先渗透两种不同的安全系统。必须首先渗透两种不同的安全系统。82双宿主堡垒主机模型双宿主堡垒主机模型
59、n双宿主堡垒主机模型（屏蔽防火墙系统）双宿主堡垒主机模型（屏蔽防火墙系统）可以构造更加安全的防火墙系统。可以构造更加安全的防火墙系统。n双宿主堡垒主机有两种网络接口但是主双宿主堡垒主机有两种网络接口但是主机在两个端口之间直接转发信息的功能机在两个端口之间直接转发信息的功能被关掉了。被关掉了。n在物理结构上强行将所有去往内部网络在物理结构上强行将所有去往内部网络的信息经过堡垒主机。的信息经过堡垒主机。83屏蔽子网模型屏蔽子网模型n屏蔽子网模型用了两个包过滤路由器和屏蔽子网模型用了两个包过滤路由器和一个堡垒主机。一个堡垒主机。n它是最安全的防火墙系统之一，因为在它是最安全的防火墙系统之一，因为在定
60、义了定义了“中立区中立区”(DMZ(DMZ，Demilitarized Demilitarized Zone)Zone)网络后，它支持网络层和应用层安网络后，它支持网络层和应用层安全功能。全功能。n网络管理员将堡垒主机、信息服务器、网络管理员将堡垒主机、信息服务器、ModemModem组，以及其它公用服务器放在组，以及其它公用服务器放在DMZDMZ网络中。如果黑客想突破该防火墙那么网络中。如果黑客想突破该防火墙那么必须攻破以上三个单独的设备，模型如必须攻破以上三个单独的设备，模型如84知识点知识点创建防火墙的步骤创建防火墙的步骤 n成功的创建一个防火墙系统一般需要六成功的创建一个防火墙系统一般
61、需要六步：步：n制定安全策略制定安全策略n搭建安全体系结构搭建安全体系结构n制定规则次序制定规则次序n落实规则集落实规则集n注意更换控制注意更换控制n做好审计工作做好审计工作85知识点知识点入侵检测系统的概念入侵检测系统的概念 n定义定义n误报误报n入侵检测系统的类型和性能比较入侵检测系统的类型和性能比较86入侵检测系统的定义入侵检测系统的定义n入侵检测系统入侵检测系统IDSIDS（Intrusion Intrusion Detection SystemDetection System）指的是一种硬件或）指的是一种硬件或者软件系统，该系统对系统资源的非授者软件系统，该系统对系统资源的非授权使用
62、能够做出及时的判断、记录和报权使用能够做出及时的判断、记录和报警。警。 87误报误报n一个有效的入侵检测系统应限制误报出一个有效的入侵检测系统应限制误报出现的次数，但同时又能有效截击。现的次数，但同时又能有效截击。n误报是指被入侵检测系统测报警的是正误报是指被入侵检测系统测报警的是正常及合法使用受保护网络和计算机的访常及合法使用受保护网络和计算机的访问。问。n误报是入侵检测系统最头疼的问题，攻误报是入侵检测系统最头疼的问题，攻击者可以而且往往是利用包的结构伪造击者可以而且往往是利用包的结构伪造无威胁的无威胁的“正常正常”假警报，而诱导没有假警报，而诱导没有警觉性的管理员人把入侵检测系统关掉。警
63、觉性的管理员人把入侵检测系统关掉。88误报误报n误报原因主要有四个方面。误报原因主要有四个方面。n缺乏共享数据的机制缺乏共享数据的机制 n缺乏集中协调的机制缺乏集中协调的机制n缺乏揣摩数据在一段时间内变化的能力缺乏揣摩数据在一段时间内变化的能力n缺乏有效的跟踪分析缺乏有效的跟踪分析89入侵检测系统的类型和性能比较入侵检测系统的类型和性能比较 n根据入侵检测的信息来源不同，可以将根据入侵检测的信息来源不同，可以将入侵检测系统分为两类入侵检测系统分为两类n基于主机的入侵检测系统基于主机的入侵检测系统n基于网络的入侵检测系统。基于网络的入侵检测系统。90入侵检测系统的类型和性能比较入侵检测系统的类型
64、和性能比较 n基于主机的入侵检测系统：基于主机的入侵检测系统：n主要用于保护运行关键应用的服务器主要用于保护运行关键应用的服务器n通过监视与分析土机的审计记录和日通过监视与分析土机的审计记录和日志文件：来检测入侵。志文件：来检测入侵。n基于网络的入侵检测系统基于网络的入侵检测系统n主要用于实时监控网络关键路径的信主要用于实时监控网络关键路径的信息息n监听网络上的所有分组来采集数据，监听网络上的所有分组来采集数据，分析可疑现象。分析可疑现象。91知识点知识点入侵检测的方法入侵检测的方法 n静态配置分析静态配置分析n异常性检测方法异常性检测方法n基于行为的检测方法基于行为的检测方法92入侵检测的方
65、法入侵检测的方法 n目前入侵检测方法有三种分类依据：目前入侵检测方法有三种分类依据：n根据物理位置进行分类。根据物理位置进行分类。n根据建模方法进行分类。根据建模方法进行分类。n根据时间分析进行分类。根据时间分析进行分类。n常用的方法有三种：静态配置分析、异常用的方法有三种：静态配置分析、异常性检测方法和基于行为的检测方法。常性检测方法和基于行为的检测方法。93静态配置分析静态配置分析 n静态配置分析通过检查系统的配置，诸静态配置分析通过检查系统的配置，诸如系统文件的内容，来检查系统是否已如系统文件的内容，来检查系统是否已经或者可能会遭到破坏。静态是指检查经或者可能会遭到破坏。静态是指检查系统
66、的静态特征（比如，系统配置信息）。系统的静态特征（比如，系统配置信息）。n采用静态分析方法主要有以下几方面的采用静态分析方法主要有以下几方面的原因：入侵者对系统攻击时可能会留下原因：入侵者对系统攻击时可能会留下痕迹，可通过检查系统的状态检测出来。痕迹，可通过检查系统的状态检测出来。94静态配置分析静态配置分析n网络入侵者都会连接到主机的某个非法网络入侵者都会连接到主机的某个非法端口，通过检查出与端口关联应用程序，端口，通过检查出与端口关联应用程序，可以进行入侵检测，这种方法属于静态可以进行入侵检测，这种方法属于静态配置分析。配置分析。n利用工具软件利用工具软件fport.exefport.ex
67、e可以检查与每一可以检查与每一端口关联的应用程序。端口关联的应用程序。95异常性检测方法异常性检测方法 n异常性检测技术是一种在不需要操作系异常性检测技术是一种在不需要操作系统及其安全性缺陷的专门知识的情况下，统及其安全性缺陷的专门知识的情况下，就可以检测入侵者的方法。就可以检测入侵者的方法。n它也是检测冒充合法用户的入侵者的有它也是检测冒充合法用户的入侵者的有效方法。效方法。n但是，为用户建立正常行为模式的特征但是，为用户建立正常行为模式的特征轮廓以及对用户活动的异常性进行报警轮廓以及对用户活动的异常性进行报警的门限值的确定都是比较困难的事。的门限值的确定都是比较困难的事。96基于行为的检测
68、方法基于行为的检测方法 n基于行为的检测方法通过检测用户行为基于行为的检测方法通过检测用户行为中的那些与某些已知的入侵行为模式类中的那些与某些已知的入侵行为模式类似的行为或那些利用系统中缺陷或者是似的行为或那些利用系统中缺陷或者是间接地违背系统安全规则的行为，来检间接地违背系统安全规则的行为，来检测系统中的入侵活动。测系统中的入侵活动。n如果检测器的入侵特征模式库中包含一如果检测器的入侵特征模式库中包含一个已知入侵行为的特征模式，就可以保个已知入侵行为的特征模式，就可以保证系统在受到这种入侵行为攻击时能够证系统在受到这种入侵行为攻击时能够把它检测出来。把它检测出来。97知识点知识点入侵检测的步
69、骤入侵检测的步骤 n信息收集信息收集n数据分析数据分析n响应响应n操作操作n入侵检测工具入侵检测工具98入侵检测的步骤入侵检测的步骤 n入侵检测系统的作用是实时地监控计算入侵检测系统的作用是实时地监控计算机系统的活动，发现可疑的攻击行为，机系统的活动，发现可疑的攻击行为，以避免攻击的发生，或减少攻击造成的以避免攻击的发生，或减少攻击造成的危害。危害。n入侵检测的三个基本步骤：入侵检测的三个基本步骤：n信息收集信息收集n数据分析数据分析n响应响应99信息收集信息收集 n收集的内容包括整个计算机网络中系统、收集的内容包括整个计算机网络中系统、网络、数据及用户活动的状态和行为。网络、数据及用户活动的
70、状态和行为。n入侵检测在很大程度上依赖于收集信息入侵检测在很大程度上依赖于收集信息的可靠性、正确性和完备性。的可靠性、正确性和完备性。n因此，要确保采集、报告这些信息的软因此，要确保采集、报告这些信息的软件工具的可靠性，这些软件本身应具有件工具的可靠性，这些软件本身应具有相当强的坚固性，能够防止被篡改而收相当强的坚固性，能够防止被篡改而收集到错误的信息。否则，黑客对系统的集到错误的信息。否则，黑客对系统的修改可能使入侵检测系统功能失常但看修改可能使入侵检测系统功能失常但看起来却跟正常的系统一样。起来却跟正常的系统一样。100数据分析数据分析n数据分析（数据分析（Analysis Schemes
71、Analysis Schemes）是入侵）是入侵检测系统的核心，它的效率高低直接决检测系统的核心，它的效率高低直接决定了整个入侵检测系统的性能。定了整个入侵检测系统的性能。n根据数据分析的不同方式可将入侵检测根据数据分析的不同方式可将入侵检测系统分为两类：系统分为两类： n异常入侵检测异常入侵检测n误用入侵检测误用入侵检测101响应响应 n数据分析发现入侵迹象后，入侵检测系数据分析发现入侵迹象后，入侵检测系统的下一步工作就是响应。统的下一步工作就是响应。n响应并不局限于对可疑的攻击者。响应并不局限于对可疑的攻击者。n目前的入侵检测系统一般采取下列响应。目前的入侵检测系统一般采取下列响应。n将分
72、析结果记录在日志文件中，并产生相应将分析结果记录在日志文件中，并产生相应的报告。的报告。n触发警报。触发警报。n修改入侵检测系统或目标系统，如终止进程、修改入侵检测系统或目标系统，如终止进程、切断攻击者的网络连接，或更改防火墙配置切断攻击者的网络连接，或更改防火墙配置等。等。102入侵检测工具：冰之眼入侵检测工具：冰之眼 n“冰之眼冰之眼”网络入侵检测系统是网络入侵检测系统是NSFOCUSNSFOCUS系列安全软件中一款专门针对网络遭受系列安全软件中一款专门针对网络遭受黑客攻击行为而研制的网络安全产品。黑客攻击行为而研制的网络安全产品。n使用使用“冰之眼冰之眼”，系统管理人员可以自，系统管理人
73、员可以自动地监控网络的数据流、主机的日志等，动地监控网络的数据流、主机的日志等，对可疑的事件给予检测和响应对可疑的事件给予检测和响应, ,在内联网在内联网和外联网的主机和网络遭受破坏之前阻和外联网的主机和网络遭受破坏之前阻止非法的入侵行为止非法的入侵行为103第第11章章 IP安全与安全与Web安全安全 知识点知识点nIPIP安全概述安全概述n密钥交换协议密钥交换协议IKEIKEnVPNVPN技术技术nWebWeb安全性的安全性的3 3个方面个方面nSSLSSL和和TLSTLS安全协议安全协议n安全电子交易安全电子交易SETSET简介简介105知识点知识点IP安全概述安全概述nIPIP安全的必
74、要性安全的必要性nIPSecIPSec的实现方式的实现方式nAHAH协议协议nESPESP协议协议106IP安全的必要性安全的必要性 n大型网络系统内运行多种网络协议大型网络系统内运行多种网络协议（TCP/IPTCP/IP、IPX/SPXIPX/SPX和和NETBEUANETBEUA等），这等），这些网络协议并非为安全通信设计。些网络协议并非为安全通信设计。n而其而其IPIP协议维系着整个协议维系着整个TCP/IPTCP/IP协议的体协议的体系结构，除了数据链路层外，系结构，除了数据链路层外，TCP/IPTCP/IP的的所有协议的数据都是以所有协议的数据都是以IPIP数据报的形式数据报的形式传
75、输的，传输的，TCP/IPTCP/IP协议簇有两种协议簇有两种IPIP版本：版本：版本版本4 4（IPv4IPv4）和版本）和版本6 6（IPv6IPv6）。）。nIPv6IPv6是是IPv4IPv4的后续版本，的后续版本，IPv6IPv6简化了简化了IPIP头，其数据报更加灵活，同时头，其数据报更加灵活，同时IPv6IPv6还增还增加了对安全性的考虑。加了对安全性的考虑。107IP安全的必要性安全的必要性n目前占统治地位的是目前占统治地位的是IPv4IPv4，IPv4IPv4在设计在设计之初没有考虑安全性，之初没有考虑安全性，IPIP包本身并不具包本身并不具备任何安全特性，导致在网络上传输的
76、备任何安全特性，导致在网络上传输的数据很容易受到各式各样的攻击。数据很容易受到各式各样的攻击。n为了加强因特网的安全性，制定了一套为了加强因特网的安全性，制定了一套用于保护用于保护IPIP通信的通信的IPIP安全协议（安全协议（IP IP SecuritySecurity，IPSecIPSec）。）。nIPSecIPSec是是IPv6IPv6的一个组成部分，是的一个组成部分，是IPv4IPv4的的一个可选扩展协议。一个可选扩展协议。IPSecIPSec弥补了弥补了IPv4IPv4在在协议设计时缺乏安全性考虑的不足。协议设计时缺乏安全性考虑的不足。108IP安全的必要性安全的必要性nIPSecI
77、PSec定义了一种标准的、健壮的以及包容广定义了一种标准的、健壮的以及包容广泛的机制，可用它为泛的机制，可用它为IPIP以及上层协议（比如以及上层协议（比如TCPTCP或者或者UDPUDP）提供安全保证。）提供安全保证。nIPSecIPSec的目标是为的目标是为IPv4IPv4和和IPv6IPv6提供具有较强的提供具有较强的互操作能力、高质量和基于密码的安全功能，互操作能力、高质量和基于密码的安全功能，在在IPIP层实现多种安全服务，包括访问控制、层实现多种安全服务，包括访问控制、数据完整性、机密性等。数据完整性、机密性等。nIPSecIPSec通过支持一系列加密算法如通过支持一系列加密算法如
78、DESDES、三重、三重DESDES、IDEAIDEA和和AESAES等确保通信双方的机密性。等确保通信双方的机密性。109IP安全的必要性安全的必要性nIPSecIPSec协议簇包括两个安全协议：协议簇包括两个安全协议：nAHAH协议（协议（Authentication HeaderAuthentication Header，验证头），验证头）：可以证明数据的起源地、保障数据的完：可以证明数据的起源地、保障数据的完整性以及防止相同数据包在因特网重播。整性以及防止相同数据包在因特网重播。nESPESP协议（协议（Encapsulating Security Encapsulating Secu
79、rity PayloadPayload，封装安全载荷）：具有所有，封装安全载荷）：具有所有AHAH的的功能，还可以利用加密技术保障数据机密功能，还可以利用加密技术保障数据机密性。性。110IP安全的必要性安全的必要性nAHAH和和ESPESP都可以提供身份认证，但它们有都可以提供身份认证，但它们有2 2点点区别：区别：nESPESP要求使用高强度的加密算法，会受到许要求使用高强度的加密算法，会受到许多限制。多限制。n多数情况下，使用多数情况下，使用AHAH的认证服务已能满足的认证服务已能满足要求，相对来说，要求，相对来说，ESPESP开销较大。开销较大。n有两套不同的安全协议意味着可以对有两套
80、不同的安全协议意味着可以对IPSecIPSec网网络进行更细粒度的控制，选择安全方案可以络进行更细粒度的控制，选择安全方案可以有更大的灵活度。有更大的灵活度。111知识点知识点IPSec的实现方式的实现方式 nIPSecIPSec的实现方式有两种。都可用于保护的实现方式有两种。都可用于保护通信。通信。n传输模式传输模式n隧道模式隧道模式112IPSec的实现方式的实现方式 n传输模式用于两台主机之间，保护传输传输模式用于两台主机之间，保护传输层协议头，实现端到端的安全性。当数层协议头，实现端到端的安全性。当数据包从传输层传送给网络层时，据包从传输层传送给网络层时，AHAH和和ESPESP会进行
81、拦截，在会进行拦截，在IPIP头与上层协议之间需头与上层协议之间需插入一个插入一个IPSecIPSec头。当同时应用头。当同时应用AHAH和和ESPESP到传输模式时，应该先应用到传输模式时，应该先应用ESPESP，再应用，再应用AHAH。 113IPSec的实现方式的实现方式n隧道模式用于主机与路由器或两部路由隧道模式用于主机与路由器或两部路由器之间，保护整个器之间，保护整个IPIP数据包。将整个数据包。将整个IPIP数据包进行封装（称为内部数据包进行封装（称为内部IPIP头），然头），然后增加一个后增加一个IPIP头（称为外部头（称为外部IPIP头），并头），并在外部与内部在外部与内部IP
82、IP头之间插入一个头之间插入一个IPSecIPSec头。头。114验证头验证头AH协议协议 nAHAH为为IPIP报文提高能够数据完整性校验和报文提高能够数据完整性校验和身份验证，还具备可选择的重放攻击保身份验证，还具备可选择的重放攻击保护，但不提供数据加密保护。护，但不提供数据加密保护。nAHAH不对受保护的不对受保护的IPIP数据报的任何部分进数据报的任何部分进行加密，除此之外，行加密，除此之外，AHAH具有具有ESPESP的所有其的所有其他功能。他功能。nAHAH和和ESPESP同时保护数据，在顺序上，同时保护数据，在顺序上，AHAH在在ESPESP之后。之后。 115封装安全有效载荷封
83、装安全有效载荷ESP nESPESP为为IPIP报文提供数据完整性校验、身份验证、报文提供数据完整性校验、身份验证、数据加密以及重放攻击保护等。数据加密以及重放攻击保护等。n除了除了AHAH提供的所有服务外，还提供机密性服务。提供的所有服务外，还提供机密性服务。ESPESP可在传输模式以及隧道模式下使用。可在传输模式以及隧道模式下使用。nESPESP头可以位于头可以位于IPIP头与上层协议之间，或者用头与上层协议之间，或者用它封装整个它封装整个IPIP数据报。数据报。116知识点知识点密钥交换协议密钥交换协议IKE nIKEIKE协议的组成协议的组成nISAKMPISAKMP协议协议nIKEI
84、KE的两个阶段的两个阶段117密钥交换协议密钥交换协议IKE n对对IPIP包使用包使用IPSecIPSec保护之前，必须建立一保护之前，必须建立一个安全关联个安全关联SASA，SASA可以手工创建或者动可以手工创建或者动态建立。态建立。n采用手工增加密钥的方式会大大降低扩采用手工增加密钥的方式会大大降低扩展能力，利用因特网密钥交换展能力，利用因特网密钥交换（Internet Key Exchange, IKEInternet Key Exchange, IKE）可以）可以动态地验证动态地验证IPSecIPSec参与各方的身份。参与各方的身份。nIKEIKE的主要用途是在的主要用途是在IPSe
85、cIPSec通信双方之间通信双方之间建立起共享安全参数以及验证过的密钥，建立起共享安全参数以及验证过的密钥，也就是建立也就是建立“安全关联安全关联”关系。关系。118IKE协议的组成协议的组成 n整个整个IKEIKE协议规范主要由协议规范主要由3 3个文档定义：个文档定义：RFC2407RFC2407、RFC2408RFC2408和和RFC2409RFC2409。nRFC2407RFC2407定义了因特网定义了因特网IPIP安全解释域。安全解释域。nRFC2408RFC2408描述了因特网安全关联和密钥管理描述了因特网安全关联和密钥管理协议（协议（Internet Security Assoc
86、iation Internet Security Association and Key Manangement Protocoland Key Manangement Protocol，KSAKMPKSAKMP）。）。nRFC2409RFC2409描述了描述了IKEIKE协议如何利用协议如何利用OakleyOakley，SKEMESKEME和和ISAKMPISAKMP进行安全关联的协商。进行安全关联的协商。119IKE协议的组成协议的组成 nOakleyOakley是一种基于是一种基于Diffie-HellmanDiffie-Hellman算法算法的密钥交换协议，并提供附加的安全性。的密钥交
87、换协议，并提供附加的安全性。nSKEMESKEME是另外一种密钥交换协议，该协议是另外一种密钥交换协议，该协议定义了验证密钥交换的一种类型，其中定义了验证密钥交换的一种类型，其中通信各方利用公钥加密实现相互的验证。通信各方利用公钥加密实现相互的验证。nISAKMPISAKMP为认证和密钥交换提供了一个框为认证和密钥交换提供了一个框架，可实现多种密钥交换。架，可实现多种密钥交换。120IKE协议的组成协议的组成 nIKEIKE基于基于ISAKMPISAKMP，OakleyOakley和和SKEMESKEME，是一，是一种种“混合型混合型”协议。协议。n它建立在由它建立在由ISAKMPISAKMP
88、定义的一个框架上，定义的一个框架上，同时实现了同时实现了OakleyOakley和和SKEMESKEME协议的一部分。协议的一部分。n它沿用了它沿用了ISAKMPISAKMP的基础、的基础、OakleyOakley的模式的模式以及以及SKEMESKEME的共享和密钥更新技术。的共享和密钥更新技术。121ISAKMP协议协议 nISAKMPISAKMP定义了整套加密通信语言，目的是为定义了整套加密通信语言，目的是为了通信双方建立安全关联并初始化密钥。了通信双方建立安全关联并初始化密钥。nISAKMPISAKMP提供了对身份进行验证的方法和对安提供了对身份进行验证的方法和对安全服务进行协商的方法，
89、还规定了通信双方全服务进行协商的方法，还规定了通信双方实体的身份验证，安全关联的建立管理，实体的身份验证，安全关联的建立管理，密钥产生的方法以及安全威胁等。密钥产生的方法以及安全威胁等。nISAKMPISAKMP消息的构造方法是：在一个消息的构造方法是：在一个ISAKMPISAKMP报报头后链接一个或者多个有效载荷。头后链接一个或者多个有效载荷。122IKE的两个阶段的两个阶段 nIKEIKE基于两个阶段的基于两个阶段的ISAKMPISAKMP来建立安全关来建立安全关联联SASAn第一阶段建立第一阶段建立IKE SAIKE SAn第二阶段利用第二阶段利用IKE SAIKE SA建立建立IPSe
90、cIPSec的的SASA。123IKE的两个阶段的两个阶段 n对于第一阶段，对于第一阶段，IKEIKE交换基于两种模式：交换基于两种模式：主模式（主模式（Main ModeMain Mode）和野蛮模式）和野蛮模式（Aggressive ModeAggressive Mode）。）。n主模式是一种身份保护交换主模式是一种身份保护交换n野蛮模式基于野蛮模式基于ISAKMPISAKMP的野蛮交换方法。的野蛮交换方法。n在第二阶段中，在第二阶段中，IKEIKE提供一种快速交换提供一种快速交换（Quick ModeQuick Mode），作用是为除），作用是为除IKEIKE之外的之外的协议协商安全服务
91、。协议协商安全服务。124IKE的第一阶段的第一阶段n第一阶段的主要任务是建立第一阶段的主要任务是建立IKE SAIKE SA，为，为后面的交换提供一个安全通信信道。后面的交换提供一个安全通信信道。n主模式交换和野蛮模式交换都可以建立主模式交换和野蛮模式交换都可以建立SASA，两者的区别在于野蛮模式只用到主，两者的区别在于野蛮模式只用到主模式一半的消息，因此野蛮模式的协商模式一半的消息，因此野蛮模式的协商能力受到限制的，而且它不提供身份保能力受到限制的，而且它不提供身份保护。护。n野蛮模式可以有一些特殊用途，比如远野蛮模式可以有一些特殊用途，比如远程访问等。程访问等。125IKE的第一阶段的第
92、一阶段n主模式和野蛮模式都允许主模式和野蛮模式都允许4 4中不同的验证中不同的验证方法：方法：n预共享密钥预共享密钥nDSSDSS数字签名数字签名nRSARSA数字签名数字签名n交换加密交换加密126IKE的第二阶段的第二阶段n快速模式交换主要是为通信双方协商快速模式交换主要是为通信双方协商IPSec SAIPSec SA的具体参数，并生成相关密钥。的具体参数，并生成相关密钥。IKE SAIKE SA通过数据加密、消息验证来保护通过数据加密、消息验证来保护快速模式交换。快速模式交换。n快速模式交换和第一阶段交换相互关联，快速模式交换和第一阶段交换相互关联，来产生密钥材料和协商来产生密钥材料和协
93、商IPSecIPSec的共享策略。的共享策略。快速模式交换的信息由快速模式交换的信息由IKE SAIKE SA保护，即保护，即除了除了ISA KMPISA KMP报头外，所有的载荷都需要报头外，所有的载荷都需要加密，并且还要对消息进行验证。加密，并且还要对消息进行验证。127知识点知识点VPN技术技术 n定义定义n功能功能n解决方案解决方案128VPN技术定义技术定义 n虚拟专用网（虚拟专用网（Virtual Private NetworkVirtual Private Network，VPNVPN）指通过一个公用网络（通常是因）指通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，特
94、网）建立一个临时的、安全的连接，是一条穿过公用网络的安全、稳定的隧是一条穿过公用网络的安全、稳定的隧道，是对企业内部网的扩展。道，是对企业内部网的扩展。 129 VPN技术功能技术功能 n虚拟专用网络可以实现不同网络的组件和资虚拟专用网络可以实现不同网络的组件和资源之间的相互连接。虚拟专用网络能够利用源之间的相互连接。虚拟专用网络能够利用InternetInternet或其它公共互联网络的基础设施为或其它公共互联网络的基础设施为用户创建隧道，并提供与专用网络一样的安用户创建隧道，并提供与专用网络一样的安全和功能保障。虚拟专用网至少应能提供全和功能保障。虚拟专用网至少应能提供3 3个方面功能：个
95、方面功能： n加密数据，以保证通过公网传输的信息即加密数据，以保证通过公网传输的信息即使被他人截获也不会泄露。使被他人截获也不会泄露。 n信息认证和身份认证，保证信息的完整性、信息认证和身份认证，保证信息的完整性、合法性，并能鉴别用户的身份。合法性，并能鉴别用户的身份。 n提供访问控制，不同的用户有不同的访问提供访问控制，不同的用户有不同的访问权限。权限。 130VPN技术的解决方案技术的解决方案 nVPNVPN作为一种组网技术的概念，有作为一种组网技术的概念，有3 3种应种应用方式：用方式：n远程访问虚拟专网（远程访问虚拟专网（Access VPNAccess VPN）n企业内部虚拟专网（企
96、业内部虚拟专网（Intranet VPNIntranet VPN）n扩展的企业内部虚拟专网（扩展的企业内部虚拟专网（Extranet VPNExtranet VPN）。）。131VPN技术的解决方案技术的解决方案 nVPNVPN主要采用主要采用4 4种技术来保证安全种技术来保证安全n隧道技术隧道技术n加解密技术加解密技术n密钥管理技术密钥管理技术n身份认证技术身份认证技术n其中隧道技术是其中隧道技术是VPNVPN的基本技术。的基本技术。132隧道技术隧道技术n隧道是由隧道协议形成的，分成第二、隧道是由隧道协议形成的，分成第二、三层隧道协议。三层隧道协议。n在网络层实现数据封装的协议叫第三层隧道
97、在网络层实现数据封装的协议叫第三层隧道协议，协议，IPSecIPSec就属于这种协议类型就属于这种协议类型n在数据链路层实现数据封装的协议叫第二层在数据链路层实现数据封装的协议叫第二层隧道协议，常用的有隧道协议，常用的有PPTPPPTP、L2TPL2TP等。等。133隧道技术隧道技术n此外还有两种此外还有两种VPNVPN的解决方案：的解决方案：n在链路层上基于虚拟电路的在链路层上基于虚拟电路的VPNVPN技术技术nSOCKSSOCKS同同SSLSSL（Secure Socket LayerSecure Socket Layer）协议）协议配合使用在应用层上构造配合使用在应用层上构造VPNVPN
98、，其中，其中SOCKSSOCKS有有SOCK v4SOCK v4和和SOCK v5SOCK v5两个版本。两个版本。134隧道技术隧道技术n基于虚拟电路的基于虚拟电路的VPNVPN通过在公共的路由来通过在公共的路由来传送传送IPIP服务。电信运营商或者电信部门服务。电信运营商或者电信部门就是采用这种方法，直接利用其现有的就是采用这种方法，直接利用其现有的帧交换或信元交换（如帧交换或信元交换（如ATMATM网）基础设施网）基础设施提供提供IP VPNIP VPN服务。服务。n它的它的QoSQoS能力由能力由CIRCIR（Committed Committed Information RateIn
99、formation Rate）和）和ATMATM的的QoSQoS来确保，来确保，另外它具有虚拟电路拓扑的弹性。但是另外它具有虚拟电路拓扑的弹性。但是它的路由功能不够灵活，构建的相对费它的路由功能不够灵活，构建的相对费用比用比IPIP隧道技术高，而且还缺少隧道技术高，而且还缺少IPIP的多的多业务能力，比如：业务能力，比如：VOIPVOIP（Voice Over Voice Over IPIP）。）。135知识点知识点Web安全概述安全概述 n实现实现WebWeb安全的方法很多，从安全的方法很多，从TCP/IPTCP/IP协议协议的角度可以分成的角度可以分成3 3种种n网络层安全性网络层安全性n
100、传输成安全性传输成安全性n应用层安全性。应用层安全性。136网络层安全性网络层安全性 n传统的安全体系一般都建立在应用层上。传统的安全体系一般都建立在应用层上。这些安全体系虽然具有一定的可行性，这些安全体系虽然具有一定的可行性，但也存在着巨大的安全隐患。但也存在着巨大的安全隐患。nIPSecIPSec可提供端到端的安全性机制，可在可提供端到端的安全性机制，可在网络层上对数据包进行安全处理。网络层上对数据包进行安全处理。IPSecIPSec可以在路由器、防火墙、主机和通信链可以在路由器、防火墙、主机和通信链路上配置，实现端到端的安全、虚拟专路上配置，实现端到端的安全、虚拟专用网络和安全隧道技术等
101、。用网络和安全隧道技术等。137传输层安全性传输层安全性 n在在TCPTCP传输层之上实现数据的安全传输是传输层之上实现数据的安全传输是另一种安全解决方案，安全套接层另一种安全解决方案，安全套接层SSLSSL和和TLSTLS（Transport Layer SecurityTransport Layer Security）通常）通常工作在工作在TCPTCP层之上，可以为更高层协议提层之上，可以为更高层协议提供安全服务。供安全服务。138应用层安全性应用层安全性 n将安全服务直接嵌入在应用程序中，从将安全服务直接嵌入在应用程序中，从而在应用层实现通信安全。而在应用层实现通信安全。nSETSET（
102、Secure Electronic TransactionSecure Electronic Transaction，安全电子交易）是一种安全交易协议，安全电子交易）是一种安全交易协议，S/MIMES/MIME、PGPPGP是用于安全电子邮件的一种是用于安全电子邮件的一种标准。它们都可以在相应的应用中提供标准。它们都可以在相应的应用中提供机密性、完整性和不可抵赖性等安全服机密性、完整性和不可抵赖性等安全服务务 139知识点知识点SSL/TLSSSL/TLS技术技术 n定义及功能定义及功能n体系结构体系结构n会话与连接会话与连接nOpenSSLOpenSSL140SSLSSL技术定义及功能技术定
103、义及功能 n19941994年年NetscapeNetscape开发了安全套接层协议开发了安全套接层协议Secure Socket LayerSecure Socket Layer，专门用于保护，专门用于保护WebWeb通通讯。讯。nSSLSSL是在网络传输层之上提供的一种基于是在网络传输层之上提供的一种基于RSARSA和保密密钥的安全连接技术。和保密密钥的安全连接技术。nSSLSSL在两个结点间建立安全的在两个结点间建立安全的TCPTCP连接，基于连接，基于进程对进程的安全服务和加密传输信道，通进程对进程的安全服务和加密传输信道，通过数字签名和数字证书可实现客户端和服务过数字签名和数字证书可
104、实现客户端和服务器双方的身份验证，安全强度高。器双方的身份验证，安全强度高。 141SSLSSL体系结构体系结构 nSSLSSL协议的目标就是在通信双方利用加密协议的目标就是在通信双方利用加密的的SSLSSL信道建立安全的连接。它不是一个信道建立安全的连接。它不是一个单独的协议，而是两层协议，结构如图单独的协议，而是两层协议，结构如图 142SSLSSL的会话与连接的会话与连接 nSSLSSL会话由握手协议创建，定义了一系列会话由握手协议创建，定义了一系列相应的安全参数，最终建立客户机和服相应的安全参数，最终建立客户机和服务器之间的一个关联。务器之间的一个关联。n对于每个对于每个SSLSSL连
105、接，可利用连接，可利用SSLSSL会话避免会话避免对新的安全参数进行代码繁多协商。对新的安全参数进行代码繁多协商。143SSLSSL的会话与连接的会话与连接 nSSLSSL会话状态参数包括：会话状态参数包括：n会话标志符（会话标志符（Session IdentifierSession Identifier）用来确）用来确定活动或可恢复的会话状态；定活动或可恢复的会话状态；n对等实体证书（对等实体证书（Peer CertificatePeer Certificate），是对），是对等实体等实体X.509 v3X.509 v3证书；证书；n压缩方法（压缩方法（Compression MethodC
106、ompression Method）；）；n加密规范（加密规范（Cipher SpecCipher Spec）n主密码（主密码（Master SecretMaster Secret），由客户机和服），由客户机和服务器共享的密码；务器共享的密码；n是否可恢复（是否可恢复（is Resumableis Resumable）会话是否可用）会话是否可用于初始化新连接的标志。于初始化新连接的标志。144SSLSSL的会话与连接的会话与连接nSSLSSL连接是一个双向连接，每个连接都和一连接是一个双向连接，每个连接都和一个个SSLSSL会话相关。会话相关。SSLSSL连接成功后，可以进连接成功后，可以进行
107、安全保密通信。行安全保密通信。nSSLSSL连接状态的参数包括连接状态的参数包括7 7个：个：n（1 1）服务器和客户机随机数（）服务器和客户机随机数（Server and Server and Client RandomClient Random）：）：Server Server 和和Client Client 为每一为每一个连接所选择的字节序列。个连接所选择的字节序列。n（2 2）服务器写）服务器写MACMAC秘密（秘密（Server Write MAC Server Write MAC SecretSecret）：一个密钥，用来对）：一个密钥，用来对Server Server 送出的送出
108、的数据进行数据进行MACMAC操作。操作。145SSLSSL的会话与连接的会话与连接n（3 3）客户机写）客户机写MACMAC秘密（秘密（Client Write MAC Client Write MAC SecretSecret）：一个密钥，用来对）：一个密钥，用来对ClientClient送出的数据送出的数据进行进行MACMAC操作。操作。n（4 4）服务器写密钥（）服务器写密钥（Server Write KeyServer Write Key）：用）：用于于Server Server 进行数据加密，进行数据加密，ClientClient进行数据解密进行数据解密的对称保密密钥。的对称保密密
109、钥。n（5 5）客户机写密钥（）客户机写密钥（Client Write KeyClient Write Key）：用）：用于于Client Client 进行数据加密，进行数据加密，ServerServer进行数据解密进行数据解密的对称保密密钥；的对称保密密钥；146SSLSSL的会话与连接的会话与连接n（6 6）初始化向量（）初始化向量（Initialization VectorsInitialization Vectors）：）：当数据加密采用当数据加密采用CBCCBC方式时，每一个密钥保持一方式时，每一个密钥保持一个个IVIV。该字段首先由。该字段首先由SSL Handshake Pro
110、tocolSSL Handshake Protocol，以后保留每次最后的密文数据块作为以后保留每次最后的密文数据块作为IVIV。n（7 7）序列号（）序列号（Sequence NumberSequence Number）：每一方为每）：每一方为每一个连接的数据发送与接收维护单独的顺序号。一个连接的数据发送与接收维护单独的顺序号。当一方发送或接收一个改变的当一方发送或接收一个改变的cipher spec cipher spec messagemessage时，序号置为时，序号置为0, 0, 最大最大264-1264-1147OpenSSLOpenSSLn除了除了SSLSSL标准提出者标准提出者
111、NetscapeNetscape实现的，实现的，OpenSSLOpenSSL是一个非常优秀的实现是一个非常优秀的实现SSL/TLSSSL/TLS的开放源代码软件包，主要是作为提供的开放源代码软件包，主要是作为提供SSLSSL算法的函数库供其他软件调用而出现算法的函数库供其他软件调用而出现的，可给任何的，可给任何TCP/IPTCP/IP应用提供应用提供SSLSSL功能。功能。148知识点知识点安全电子交易安全电子交易SETSET简介简介 n19961996年年2 2月，美国月，美国VisaVisa和和MasterCardMasterCard两大两大信用卡组织联合国际上多家科技机构，信用卡组织联合
112、国际上多家科技机构，共同制定了应用于共同制定了应用于InternetInternet上的以银行上的以银行卡为基础进行在线交易的安全标准，这卡为基础进行在线交易的安全标准，这就是就是“安全电子交易安全电子交易”（Secure Secure Electronic TransactionElectronic Transaction， SETSET）。）。n它采用公钥密码体制和它采用公钥密码体制和X.509X.509数字证书标数字证书标准，主要应用于保障网上购物信息的安准，主要应用于保障网上购物信息的安全性。全性。149第四部分：网络安全综合解决方案第四部分：网络安全综合解决方案n第十章第十章 网络安
113、全方案设计网络安全方案设计n从网络安全工程的角度介绍网络安全从网络安全工程的角度介绍网络安全方案编写的注意点以及评价标准。方案编写的注意点以及评价标准。150第十二章第十二章 网络安全方案设计网络安全方案设计 知识点知识点n方案设计的注意点方案设计的注意点n评价网络安全方案的质量评价网络安全方案的质量n网络安全方案的编写框架网络安全方案的编写框架152网络安全方案设计的注意点网络安全方案设计的注意点 n对于一名从事网络安全的人来说，网络对于一名从事网络安全的人来说，网络必须有一个整体、动态的安全概念。必须有一个整体、动态的安全概念。n不能只关注自己熟悉的某一领域，而对不能只关注自己熟悉的某一领
114、域，而对其他领域毫不关心，甚至不理解，这样其他领域毫不关心，甚至不理解，这样写不出一份好的安全方案。写不出一份好的安全方案。153评价网络安全方案的质量评价网络安全方案的质量 n一份网络安全方案需要从以下一份网络安全方案需要从以下8 8个方面来个方面来把握。把握。n1 1、体现唯一性，由于安全的复杂性和特殊、体现唯一性，由于安全的复杂性和特殊性，唯一性是评估安全方案最重要的一个标性，唯一性是评估安全方案最重要的一个标准。实际中，每一个特定网络都是唯一的，准。实际中，每一个特定网络都是唯一的，需要根据实际情况来处理。需要根据实际情况来处理。n2 2、对安全技术和安全风险有一个综合把握、对安全技术
115、和安全风险有一个综合把握和理解，包括现在和将来可能出现的所有情和理解，包括现在和将来可能出现的所有情况。况。n3 3、对用户的网络系统可能遇到的安全风险、对用户的网络系统可能遇到的安全风险和安全威胁，结合现有的安全技术和安全风和安全威胁，结合现有的安全技术和安全风险，要有一个合适、中肯的评估，不能夸大，险，要有一个合适、中肯的评估，不能夸大，也不能缩小。也不能缩小。154评价网络安全方案的质量评价网络安全方案的质量 n4 4、对症下药，用相应的安全产品、安全技、对症下药，用相应的安全产品、安全技术和管理手段，降低用户的网络系统当前可术和管理手段，降低用户的网络系统当前可能遇到的风险和威胁，消除
116、风险和威胁的根能遇到的风险和威胁，消除风险和威胁的根源，增强整个网络系统抵抗风险和威胁的能源，增强整个网络系统抵抗风险和威胁的能力，增强系统本身的免疫力。力，增强系统本身的免疫力。n5 5、方案中要体现出对用户的服务支持。这、方案中要体现出对用户的服务支持。这是很重要的一部分。因为产品和技术，都将是很重要的一部分。因为产品和技术，都将会体现在服务中，服务来保证质量、服务来会体现在服务中，服务来保证质量、服务来提高质量。提高质量。155评价网络安全方案的质量评价网络安全方案的质量 n6 6、在设计方案的时候，要明白网络系统安、在设计方案的时候，要明白网络系统安全是一个动态的、整体的、专业的工程，
117、不全是一个动态的、整体的、专业的工程，不能一步到位解决用户所有的问题。能一步到位解决用户所有的问题。n7 7、方案出来后，要不断的和用户进行沟通，、方案出来后，要不断的和用户进行沟通，能够及时的得到他们对网络系统在安全方面能够及时的得到他们对网络系统在安全方面的要求、期望和所遇到的问题。的要求、期望和所遇到的问题。n8 8、方案中所涉及的产品和技术，都要经得、方案中所涉及的产品和技术，都要经得起验证、推敲和实施，要有理论根据，也要起验证、推敲和实施，要有理论根据，也要有实际基础。有实际基础。156网络安全方案的框架网络安全方案的框架 n总体上说，一份安全解决方案的框架涉总体上说，一份安全解决方案的框架涉及及6 6大方面，可以根据用户的实际需求取大方面，可以根据用户的实际需求取舍其中的某些方面。舍其中的某些方面。n1 1、概要安全风险分析、概要安全风险分析n2 2、实际安全风险分析、实际安全风险分析n3 3、网络系统的安全原则、网络系统的安全原则n4 4、安全产品、安全产品n5 5、风险评估、风险评估n6 6、安全服务、安全服务157
