第六章,第6章網絡安全技術,6.1網絡管理,.,3,6.1.1網絡管理概述,1網絡管理的定義為保證網絡系統能夠持續、穩定、安全、可靠和高效地運行，對網絡實施的一系列方法和措施。任務就是收集、監控網絡中各種設備和設施的工作參數、工作狀態信息，將結果顯示給管理員并進行處理，從而控制網絡中的設備、設施，工作參數和工作狀態，以實現對網絡的管理。2網絡管理的目標減少停機時間，改進響應時間，提高設備利用率；減少運行費用，提高效率；減少或消除網絡瓶頸；使網絡更容易使用；安全。,.,4,6.1.1網絡管理概述,2網絡管理員的職責網絡管理過程包括數據收集、數據處理、數據分析和報告生成，這一過程可以是自動的，也可以是管理員的手工勞動。網絡管理員職責擔負著網絡的規劃、建設、維護、擴展、優化和故障檢修等任務,.,5,3網絡管理模型,網絡管理者：運行在計算機操作系統之上的一組應用程序，負責從各代理處收集管理信息，進行處理，獲取有價值的管理信息，達到管理的目的。代理：位于被管理的設備內部，是被管對象上的管理程序。管理者和代理之間的信息交換方式：從管理者到代理的管理操作從代理到管理者的事件通知,.,6,6.1.2網絡管理功能,包括5大功能域：配置管理故障管理性能管理計費管理安全管理,.,7,1配置管理,掌握和控制網絡的配置信息，從而保證網絡管理員可以跟蹤、管理網絡中各種設備的運行狀態配置管理的內容一般分為：對設備的管理對設備連接關系的管理,.,8,2故障管理,對網絡中的問題或故障進行定位的過程目標：自動監測網絡硬件和軟件中的故障并通知用戶，以便網絡有效地運行故障報告的形式：通常采用的故障報告形式有文字、圖形和聲音信號等。在圖形報告中，一般采用下面的顏色方案：綠色表示設備無錯誤運行；黃色表示設備可能存在一個錯誤；紅色表示設備處于錯誤狀態；藍色表示設備運行，但處于錯誤狀態；橙色表示設備配置不當；灰色表示設備無信息；紫色表示設備正在被查詢。,.,9,2故障管理(續),故障管理的步驟：包括：發現故障，判斷故障癥狀，隔離故障，修復故障，記錄故障的檢修過程及其結果。故障管理的作用：通過提供網絡管理者快速地檢查問題并啟動恢復過程的工具，使網絡的可靠性得到增強故障管理功能：包括：接收差錯報告并做出反映，建立和維護差錯日志并進行分析；對差錯地診斷測試；對故障進行過濾，同時對故障通知進行優先級判斷；追蹤故障，確定糾正故障的方法措施。,.,10,3性能管理,網絡性能：主要包括網絡吞吐量、響應時間、線路利用率、網絡可用性等參數。性能管理目標：通過監控網絡的運行狀態調整網絡性能參數來改善網絡的性能，確保網絡平穩運行。從概念上講，性能管理包括監視和調整兩大功能，具體包括：性能參數的收集和存儲性能參數的顯示和分析性能閾值的管理性能調整,.,11,4計費管理,主要目的：記錄網絡資源的使用，控制和監測網絡操作的費用和代價。主要作用：能夠測量和報告基于個人或團體用戶的計費信息，分配資源并計算傳輸數據的費用，然后給用戶開出賬單主要功能建立和維護計費數據庫；建立和管理相應的計費策略；限量控制；信息查詢,.,12,5安全管理,目標：提供信息的隱隱蔽、認證和完整性保護機制，使網絡中的服務、數據以及系統免受侵擾和破壞。主要內容：對網絡資源以及重要信息的訪問進行約束和控制主要功能：標識重要的網絡資源；確定重要的網絡資源和用戶集之間的映射關系；監視對重要網絡資源的訪問；記錄對重要網絡資源的非法訪問；信息加密管理。,.,13,6.1.3網絡管理協議,SNMP簡單網絡管理協議，應用最廣泛CMISCMIP公共管理信息服務/公共管理信息協議OSI提供的網絡管理協議簇LMMPIEEE制定的局域網和城域網管理標準，用于管理物理層和數據鏈路層的OSI設備，它的基礎是CMIP。RMON主要用于網絡監視的，它是對SNMP的補充，它定義了監視局域網通信的信息庫，與SNMP協議配合可以提供更有效的管理性能。,.,14,1簡單網管協議（SNMP）,（1）SNMP版本SNMPv1是事實上的網絡管理工業標準，但在安全性和數據組織上存在一些缺陷。SNMPv2是SNMPv1的增強版，在系統管理接口、協作操作、信息格式、管理體系結構和安全性幾個方面有較大的改善。SNMPv3在SNMPv2基礎之上增加、完善了安全和管理機制。,.,15,1簡單網管協議（SNMP）,（2）SNMP管理模型,.,16,1簡單網管協議（SNMP）,（2）SNMP管理模型網絡管理站：負責管理代理和管理信息庫，它以數據報表的形式發出和傳送命令，從而達到控制代理的目的。代理：收集被管理設備的各種信息并響應網絡中SNMP服務器的要求，把它們傳輸到中心的SNMP服務器的MIB數據庫中。管理信息庫MIB：負責存儲設備的信息，是SNMP分布式數據庫的分支數據庫。SNMP協議：用于網絡管理站與被管設備的網絡管理代理之間交互管理信息。兩種信息交換機制：輪詢監控Trap（陷阱）,.,17,2CMIS/CMIP,CMIS/CMIP公共管理信息服務/公共管理信息協議，是OSI提供的網絡管理協議簇CIMS定義了每個網絡組成部分提供的網絡管理服務CMIP是實現CIMS服務的協議CMIS/CMIP采用管理者-代理模型在電信管理網（TMN）中，管理者和代理之間的所有的管理信息交換都是利用CMIS和CMIP實現的,6.2信息安全技術概述,.,19,6.2.1信息安全的組成,1物理安全在物理媒介層次上對存儲和傳輸的信息加以保護，它是保護計算機網絡設備、設施免遭地震、水災和火災等環境事故以及人為操作錯誤或各種計算機犯罪行為而導致破壞的過程。保證網絡信息系統各種設備的物理安全是整個網絡信息系統安全的前提。2安全控制在操作系統和網絡通信設備上對存儲和傳輸信息的操作和進程進行控制和管理，主要是在信息處理層次上對信息進行初步的安全保護。3安全服務在應用層對信息的保密性、完整性和來源真實性進行保護和認證，滿足用戶的安全需求，防止和抵御各種安全威脅和攻擊。,.,20,6.2.2信息安全系統的設計原則,木桶原則信息均衡、全面地進行安全保護，提高整個系統的“安全最低點”的安全性能。整體原則有一整套安全防護、監測和應急恢復機制。有效性與實用性原則不能影響系統正常運行和合法用戶的操作。安全性評價原則系統是否安全取取決于系統的用戶需求和具體的應用環境。等級性原則安全層次和安全級別。動態化原則整個系統內盡可能引入更多可變因素，并具有良好的擴展性。,.,21,6.2.3信息技術安全性等級,可信計算機系統評估準則（TCSEC）由美國國防部和國家標準技術研究所制訂的，又稱桔皮書。信息技術安全評估準則（ITSEC）由歐洲四國于1989年聯合提出的，俗稱白皮書。通用安全評估準則（CC）由美國國家標準技術研究所和國家安全局、歐洲四國（英、法、德、荷蘭）以及加拿大等6國7方聯合提出的，已成為國際標準ISO/IEC15408。美國信息安全聯邦準則（FC）計算機信息系統安全保護等級劃分準則我國國家質量技術監督局也于1999年發布我國的國家標準,.,22,1可信計算機系統評估準則TCSEC,.,23,6.2.3信息技術安全性等級,2信息技術安全評測準則（ITSEC）7個評估級別安全性從低到高的順序是E0、E1、E2、E3、E4、E5、E63通用安全評估準則（CC）7個評估級別從低到高分為EAL1、EAL2、EAL3、EAL4、EAL5、EAL6和EAL7,6.3信息安全分析與安全策略,.,25,6.3.1信息安全的概念和模型,1網絡安全的基本因素保密性：確保信息不暴露給未授權的實體或進程。完整性：只有得到允許的人才能修改數據，并能判別出數據是否已被篡改。可用性：得到授權的實體在需要時可訪問數據，即攻擊者不能占用所有的資源而阻礙授權者的工作。合法性：每個想獲得訪問的實體都必須經過鑒別或身份驗證。2網絡安全的組成物理安全、人員安全、符合瞬時電磁脈沖輻射標準、數據安全操作安全、通信安全、計算機安全、工業安全,.,26,3網絡安全模型,.,27,4網絡安全的基本任務,（1）設計加密算法，進行安全性相關的轉換；（2）生成算法使用的保密信息；（3）開發分發和共享保密信息的方法；（4）指定兩個主體要使用的協議，并利用安全算法和保密信息來實現特定的安全服務。,.,28,6.3.2安全威脅,安全威脅是指某個人、物、事件或概念對某一資源的機密性、完整性、可用性或合法性所造成的危害。某種攻擊就是某種威脅的具體實現。安全威脅可分為故意的（如黑客滲透）和偶然的（如信息被發往錯誤的地址）兩類。故意威脅又可進一步分為被動和主動兩類。,.,29,1基本的威脅,信息泄漏或丟失針對信息機密性的威脅，它指敏感數據在有意或無意中被泄漏出去或丟失包括：信息在傳輸中丟失或泄漏(如“黑客”們利用電磁泄漏或塔線竊聽等方式可截獲機密信息，或通過對信息流向、流量、通信頻度和長度等參數的分析，推出有用信息，如用戶口令、賬號等重要信息)；信息在存儲介質中丟失或泄漏；通過建立隱蔽通道等竊取敏感信息等。破壞數據完整性以非法手段竊得對數據的使用權，刪除、修改、插入或重發某些重要信息，以取得有益于攻擊者的響應；惡意添加、修改數據，以干擾用戶的正常使用。拒絕服務不斷對網絡服務系統進行干擾，改變其正常的作業流程，執行無關程序使系統響應減慢甚至癱瘓，影響正常用戶的使用，甚至使合法用戶被排斥而不能進入計算機網絡系統或不能得到相應的服務。非授權訪問沒有預先經過同意就使用網絡或計算機資源被看作非授權訪問，如有意避開系統訪問控制機制，對網絡設備及資源進行非正常使用，或擅自擴大權限，越權訪問信息。主要形式：假冒、身份攻擊、非法用戶進入網絡系統進行違法操作、合法用戶以未授權方式進行操作等。,.,30,1基本的威脅,信息泄漏或丟失敏感數據在有意或無意中被泄漏出去或丟失針對信息機密性的威脅破壞數據完整性竊取對數據的使用權，刪除、修改、插入或重發某些重要信息針對信息完整性的威脅拒絕服務執行無關程序使系統響應減慢甚至癱瘓，影響正常用戶的使用針對可用性的威脅非授權訪問沒有預先經過同意就使用網絡或計算機資源被看作非授權訪問主要形式：假冒、身份攻擊、非法用戶進入網絡系統進行違法操作、合法用戶以未授權方式進行操作等針對信息合法性的威脅,.,31,3滲入威脅和植入威脅,滲入威脅假冒某個未授權實體使守衛者相信它是一個合法的實體，從而攫取該合法用戶的特權。旁路控制攻擊者通過各種手段發現本應保密卻又暴露出來的一些系統“特征”。利用這些“特征”，攻擊者繞過防線守衛者滲入系統內部。授權侵犯也稱為“內部威脅”，授權用戶將其權限用于其他未授權的目的。植入威脅特洛伊木馬在正常的軟件中隱藏一段用于其他目的的程序，這段隱藏的程序段常常以安全攻擊作為其最終目標。陷門在某個系統或某個文件中設置的“機關”，使得在提供特定的輸人數據時，允許違反安全策略。,.,32,4潛在威脅,對基本威脅或主要的可實現的威脅進行分析，可以發現某些特定的潛在威脅，而任意一種潛在威脅都可能導致發生一些更基本的威脅。例如，如果考慮信息泄露這種基本威脅，有可能找出4種潛在威脅：竊聽、通信量分析、人員疏忽、媒體清理。,.,33,5病毒,病毒的定義：計算機病毒指編制或者在計算機程序中插入的破壞計算機功能或者毀壞數據，影響計算機使用，并能自我復制的一組計算機指令或者程序代碼。反病毒技術主要分類：預防病毒技術通過自身常駐系統內存，優先獲得系統的控制權，監視和判斷系統中是否有病毒存在主要手段：加密可執行程序、引導區保護、系統監控與讀寫控制（如防病毒卡）等。檢測病毒技術通過對計算機病毒的特征來進行判斷的偵測技術主要手段：如自身校驗、關鍵字、文件長度的變化等消除病毒技術通過對病毒的分析，殺除病毒并恢復原文件網絡反病毒技術對網絡服務器中的文件進行頻繁地掃描和監測；在工作站上使用防病毒芯片對網絡目錄及文件設置訪問權限,.,34,6.3.3安全攻擊,1安全攻擊的手段,.,35,2被動攻擊和主動攻擊,被動攻擊對信息的保密性進行攻擊，即通過竊聽網絡上傳輸的信息并加以分析從而獲得有價值的情報，但它并不修改信息的內容目標是獲得正在傳送的信息，其特點是偷聽或監視信息的傳遞被動攻擊主要手段：信息內容泄露：信息在通信過程中因被監視竊聽而泄露，或者信息從電子或機電設備所發出的無線電磁波中被提取出來而泄露。通信量分析：通過確定通信位置和通信主機的身份，觀察交換消息的頻度和長度，并利用這些信息來猜測正在進行的通信特性。,.,36,2被動攻擊和主動攻擊,主動攻擊攻擊信息來源的真實性、信息傳輸的完整性和系統服務的可用性有意對信息進行修改、插入和刪除主動攻擊主要手段：假冒：一個實體假裝成另一個實體。假冒攻擊通常包括一種其他形式的主動攻擊。重放：涉及被動捕獲數據單元及其后來的重新傳送，以產生未經授權的效果。修改消息：改變了真實消息的部分內容，或將消息延遲或重新排序，導致未授權的操作。拒絕服務：禁止通信實體的正常使用或管理。,.,37,3服務攻擊和非服務攻擊,服務攻擊針對某種特定網絡服務的攻擊例如：針對E-mail服務、Telnet、FTP、HTTP等服務的專門攻擊原因：TCP/IP協議缺乏認證、保密措施。非服務攻擊不針對某項具體應用服務，而是基于網絡層等低層協議而進行原因：TCP/IP協議（尤其是IPv4）自身的安全機制不足,.,38,6.3.4安全策略與安全管理,1安全策略的組成威嚴的法律先進的技術嚴格的管理2安全管理原則多人負責原則任期有限原則職責分離原則3安全管理實現根據工作的重要程度，確定該系統的安全等級根據確定的安全等級，確定安全管理的范圍制訂相應的機房出入管理制度制訂嚴格的操作規程制訂完備的系統維護制度制訂應急措施,6.4加密技術,.,40,6.4.1密碼學的基本概念,保密學：研究密碼系統或通信安全的科學兩個分支：密碼學：對信息進行編碼實現隱蔽信息的一門學問。密碼分析學：研究分析破譯密碼的學問,.,41,6.4.1密碼學的基本概念,.,42,密碼系統的分類,按將明文轉化為密文的操作類型分為：置換密碼易位密碼按明文的處理方法可分為：分組密碼（塊密碼）序列密碼（流密碼）按密鑰的使用個數分為：對稱密碼體制非對稱密碼體制。,.,43,1置換密碼和易位密碼,置換密碼將將明文的每個元素（如比特、字母、比特和字母的組合等）置換成其它元素愷撒密碼原始消息（明文）中的每一個字母都用該字母后的第n個字母來替換，其中n就是密鑰。例如使加密字母向右移4個字母，即，a換成E、b換成F、c換成G、z換成D。這樣，如果對明文attack進行加密，密鑰為4，則加密后形成的密文就是EXXEGO。單字母表替換,.,44,1置換密碼和易位密碼,易位密碼易位是將明文的元素進行重新布置。,.,45,2分組密碼和序列密碼,分組密碼將明文劃分成固定的n比特的數據塊，然后以塊為單位，在密鑰的控制下進行一系列的線性或非線性的變化而得到密文，每個明文輸入塊生成一個密文輸出塊優點：明文信息良好的擴散性；對插入的敏感性；不需要密鑰同步；較強的適用性，適合作為加密標準缺點：加密速度慢；錯誤擴散和傳播。主要算法：DES（數據加密標準）和IDEA（國際數據加密算法）序列密碼每次處理明文的1比特，然后立刻輸出相應的密文比特。優點：處理速度快，實時性好；錯誤傳播小；不易被破譯；適用于軍事、外交等保密信道。缺點：明文擴散性差；插入信息的敏感性差；需要密鑰同步。,.,46,3對稱加密和非對稱加密,對稱加密發送方使用的加密密鑰和接受方使用的解密密鑰相同，或從其中一個密鑰易于得出另一個密鑰其特點：計算量小、加密效率高缺點：在分布式系統上使用較為困難，主要是密鑰管理困難常用算法：DES、IDEA、TDEA、RC2、RC4、RC5等算法非對稱加密發送方使用的加密密鑰和接受方使用的解密密鑰不相同，從其中一個密鑰難以推出另一個密鑰特點：有兩個密鑰（即公用密鑰和私有密鑰），只有二者搭配使用才能完成加密和解密的全過程“數字簽名”：用于防止通信一方的抵賴行為主要算法：RSA、DSA、Diffie-Hellman、ECC等不可逆加密算法又稱為單向散列算法加密過程不需要密鑰，并且經過加密的數據無法被解密，只有同樣的輸入數據經過同樣的不可逆加密算法才能得到相同的加密數據常用的單向散列算法主要有：MD5、SHA等,.,47,4網絡中的加密技術,鏈路加密每條通信鏈路上的加密是獨立實現節點到節點加密解決在節點中數據是明文的缺點在中間節點里裝有加、解密的保護裝置，由這個裝置來完成一個密鑰向另一個密鑰的變換,.,48,4網絡中的加密技術(續),端到端加密端到端加密是在源結點和目的結點中對傳送的PDU（協議數據單元）進行加密和解密報文的安全性不會因中間結點的不可靠而受到影響PDU的控制信息部分（如源結點地址、目的結點地址、路由信息等）不能被加密，否則中間結點就不能正確選擇路由,.,49,（1）密碼分析攻擊類型,基于一個基本假設：秘密必須全寓于密鑰中上述四種攻擊類型的強度按序遞增,.,50,（2）加密算法的安全性,若一個加密算法能滿足以下兩個條件之一就認為該算法是在計算上是安全的：一是破譯的代價超出加密信息本身的價值二是破譯的時間超出了信息的有效期蠻力攻擊嘗試任何可能的密鑰，直到能夠將密文正確解釋為明文為止一般情況下，要試一半的可能密鑰才能成功例如，某計算機的處理解密速度為1密鑰/微秒，要破譯用56比特密鑰生成的密文，則需要的時間為256/1（微秒）=7.21016/(365243600106)r（年）2.3103（年）,.,51,6.4.2對稱加密技術,1對稱加密的模型,.,52,6.4.2對稱加密技術,2對稱加密的要求需要強大的加密算法算法至少應該滿足：即使對手知道了算法并能訪問一些或更多的密文，也不能譯出全部密文或得出密鑰。發送方和接收方必須用安全的方式來獲得保密密鑰的副本，必須保證密鑰的安全。算法不必是秘密的，而只需要對密鑰進行保密即可。對稱密鑰密碼體制的安全性取決于密鑰的安全性，而不是算法的安全性，即破密者知道密文和加密/解密算法，解密也是不可能的。,.,53,3常用的對稱加密算法,DESDES數據加密標準DES是一種分組密碼在加密前，先對整個明文進行分組。每一個組長為64位。然后對每個64位二進制數據進行加密處理，產生一組64位密文數據使用的密鑰為64位，實際密鑰長度為56位，有8位用于奇偶校驗。,.,54,3常用的對稱加密算法(續),TDEATDEA（三重DEA，或稱為3DES）使用兩個密鑰，執行三次DES算法在三重DES，加密時是E-D-E，解密時是D-E-D，其密鑰長度是112位加密時用E-D-E，而不使用E-E-E的目的是與現有DES系統的向后兼容，當K1=K2時，三重DES的效果與現在DES的效果完全一樣。,.,55,3常用的對稱加密算法(續),RC5RC5的分組長度和密鑰長度都是可變的可以在速度和安全性之間進行折中IDEAIDEA國際數據加密算法IDEA使用128位密鑰采用3種運算：異或、模加、模乘，容易用軟件和硬件實現與DES相似，IDEA也是先將明文劃分成多個64bit長的數據分組，然后經過8次迭代和一次變換，得出64bit密文。,.,56,6.4.3公鑰加密技術,1公鑰密碼體制的模型有兩種模型：加密模型、認證模型,.,57,6.4.3公鑰加密技術,幾點錯誤觀點：公鑰加密比常規加密更具有安全性公鑰加密是一種通用機制，常規加密已經過時,.,58,2常用的公鑰體制,公鑰安全基礎：數學中的難解問題兩大類：基于大整數因子分解問題，如RSA體制；基于離散對數問題，如Elgamal體制、橢圓曲線密碼體制等。RSA基本原原理：尋找大素數是相對容易的，而分解兩個大素數的積在計算上是不可行的RSA算法的安全性建立在難以對大數提取因子的基礎上。與DES相比，缺點是加密、解密的速度太慢RSA體制很少用于數據加密，而多用在數字簽名、密鑰管理和認證等方面,.,59,2常用的公鑰體制(續),Elgamal公鑰體制基于離散對數的公鑰密碼體制密文不僅信賴于待加密的明文，而且信賴于用戶選擇的隨機參數，即使加密相同的明文，得到的密文也是不同的。加密算法的非確定性背包公鑰體制基本原理：背包問題,.,60,6.4.4密鑰管理,主要涉及到兩方面的問題：密鑰的生存周期授權使用該密鑰的周期密鑰分發技術將密鑰發送到數據交換的兩方，而其他人無法看到的方法實現方法KDC（密鑰分發中心）技術：保密密鑰的分發CA（證書權威機構）技術：公鑰和保密密鑰的分發,.,61,1密鑰的生存周期,密鑰要有生存周期的原因：一個密鑰使用得太多，會給攻擊者增大收集密文的機會，擁有大量的密文有助于密碼分析，易于破解密文；假定一個密鑰受到危及或一個特定密鑰的加密/解密過程被分析，則限定密鑰的使用期限就相當于限制危險的發生。密鑰的生存周期密鑰的產生；密鑰分發；啟用密鑰/停用密鑰；替換密鑰或更新密鑰；撤銷密鑰；銷毀密鑰。,.,62,2保密密鑰的分發,.,63,3公鑰的分發,主要手段：數字證書，在數字證書中包含用戶的公鑰證書權威機構（CA）：數字證書由證書權威機構（CA）通常是政府部門或金融機構，它保證證書的有效性，并負責證書注冊、分發，并當證書包含的信息變得無效之后撤消（收回）證書。數字證書X.509公鑰證書簡單PKI證書PGP證書屬性證書,.,64,X.509版本的證書結構,6.5認證技術,.,66,6.5.1認證技術概述,認證技術主要解決網絡通信過程中通信雙方的身份認可，它對于開放環境中的各種信息系統的安全有重要作用。認證過程通常涉及到加密和密鑰交換。認證、授權和訪問控制都與網絡上的實體有關：認證：驗證一個最終用戶或設備（例如客戶機、服務器、交換機、路由器、防火墻等）的身份的過程，即建立信息發送者和/或接收者的身份。授權：把訪問權限授予某一個用戶、用戶組或指定系統的過程。授權是在用戶標識出自己的身份之后，系統確認并允許用戶做哪些事情。訪問控制：限制系統資源中的信息只能流到網絡中的授權個人或系統。認證技術主要有：消息認證、身份認證、數字簽名,.,67,6.5.2消息認證,1消息認證的目的消息認證：對付主動攻擊中的篡改和偽造，使得通信的接收方能夠驗證所收到的報文（發送者和報文內容、發送時間、序列等）的真偽消息認證方法：報文摘要2消息認證的工作原理消息認證的基礎是安全單向的散列函數，以變長的信息輸入，把其壓縮成一個定長的值輸出。若輸入的信息改變了，則輸出的定長值（摘要）也會相應改變。從數據完整性保護的角度來看，報文摘要可為制定的數據產生一個不可仿造的特征，偽造一個報文并使其具有相同的報文摘要是計算不可行的。,.,68,2消息認證的工作原理,.,69,3常用的摘要算法,MD5對任意長度的報文進行運算，最后得到128位的MD報文摘要代碼MD5的算法大致的過程如下：先將任意長的報文按模264計算其余數(64位)，追加在報文的后面。這就是說，最后得出的MD代碼已包含了報文長度的信息；在報文和余數之間填充1512位，使得填充后的總長度是512的整數倍。填充比特的首位是1，后面都是0；將追加和填充后的報文分割為一個個512位的數據塊，512位的報文數據分成4個128位的數據塊依次送到不同的散列函數進行4輪計算。每一輪又都按32位的小數據塊進行復雜的運算；最后計算出128位MD5報文摘要代碼Radius(撥號認證協議)、OSPF(路由協議)、SNMP的安全協議等都是使用共同密鑰加上MD5進行認證的SHA與MD5相似，用512位長的數據塊經過復雜運算，產生的散列值是160位SHA比MD5更安全，但計算速度要比MD5慢,.,70,6.5.3身份認證,身份認證是指可靠地驗證某個通信參與方的身份是否與他所聲稱的身份一致的過程。網絡安全的一切東西都是建立在身份認證的基礎之上，在確定用戶的身份之前，網絡不會把訪問權限授權給用戶身份認證大致可分為3種：一是個人知道的某種事物，如口令、賬號、個人識別碼等；二是個人持證（也稱令牌），如圖章、標志、鑰匙、護照等；三是個人特征，如指紋、聲紋、手形、視網膜、血型、基因、筆跡、習慣性簽字等。,.,71,1口令機制,過程不加密，即口令容易被監聽和解密。口令是由數字、字母組成的長為58的字符串口令系統最嚴重的脆弱點是外部泄露和口令猜測，另外還有線路竊聽、威脅驗證者和重放等。保護口令措施：對用戶和系統管理者進行教育，增強他們的安全意識；建立嚴格的組織管理辦法和執行手續；確保口令必須被定期地改變；保證每個口令只與一個人有關；確保口令從來不被再現在終端上；使用易記的口令。,.,72,1口令機制,被猜測措施：限制非法認證的次數；實時延遲插入到口令驗證過程阻止一個計算機自動口令猜測程序的生產串防止太短的口令以及與用戶名賬戶名或用戶特征相關的口令確保口令被定期地改變；取消安裝系統時所用的預設口令；使用機器產生的而不是用戶選擇的口令。,.,73,6.5.3身份認證,2個人持證持證為個人持有物，如磁卡、智能卡等磁卡常和個人標識號PIN一起使用智能卡將微處理器芯片嵌在宿卡上來代替無源存儲磁條，存儲信息遠遠大于磁條的250字節，且具有處理功能，卡上的處理器有4K字節的小容量EPROM3個人特征主要技術有：指紋識別、聲音識別、筆跡識別、虹膜識別和手形等。,.,74,6.5.4數字簽名,1數字簽名概述用于確認發送者身份和消息完整性的一個加密的消息摘要，它應該滿足以下4點要求：收方能夠確認發方的簽名，但不能偽造；發方發出簽名的消息后，就不能再否認他所簽發的消息；收方對已收到的簽名消息不能否認，即有收報認證；第三者可以確認收發雙方之間的消息傳送，但不能偽造這一過程。數字簽名方法：對稱密碼體系（如DES）公鑰密碼體系公證體系,.,75,6.5.4數字簽名,1數字簽名概述最常用的實現方法：建立在公鑰密碼體系和單向散列函數算法（如MD5、SHA）的組合基礎上數字簽名與消息認證的區別：消息認證使收方能驗證消息發送者及其所發的消息是否被篡改過。當收發雙方之間有利害沖突時，單純用消息認證就無法解決他們之間的糾紛，此時，必須借助于數字簽名技術。數字簽名與數據加密的區別：數字簽名使用的是公鑰密碼體制中的認證模型，發送者使用自己的私鑰加密消息，接收者使用發送者的公鑰解密消息。數據加密使用的是公鑰密碼體制中的加密模型，發送者使用接收者的公鑰加密消息接收者使用自己的私鑰解密消息。,.,76,2基于公鑰密碼體系的數字簽名,數字簽名的創建利用公鑰密碼體制，數字簽名是一個加密的消息摘要，附加在消息后面。過程如下：首先是生成被簽名的電子文件，然后對電子文件用哈希算法做數字摘要，再對數字摘要用簽名私鑰做非對稱加密，即作數字簽名；之后是將以上的簽名和電子文件原文以及簽名證書的公鑰加在一起進行封裝，形成簽名結果發送給收方，待收方驗證。數字簽名的驗證接收方首先用發方公鑰解密數字簽名，導出數字摘要，并對電子文件原文作同樣哈希算法得一個新的數字摘要，將兩個摘要的哈希值進行結果比較，相同簽名得到驗證，否則無效。,6.6安全技術應用,.,78,6.6.1身份認證協議,身份認證是用來獲得對誰或對什么事情信任的一種方法。身份認證的方法分為兩種：本地控制可信任的第三方提供確認常用的認證機制：S/Key口令協議、令牌口令認證、PPP、TACACS+、RADIUS、Kerberos、DCE和X.509,.,79,6.6.1身份認證協議(續),1S/Key口令協議基于MD4和MD5的一次性口令生成方案用于對付重放攻擊2PPP認證協議用于建立電話線或ISDN撥號連接的協議三種標準認證機制：口令認證協議（PAP）易于實現，但口令是以明文傳送的，沒有重放保護挑戰握手協議（CHAP）口令加密，有重放保護可擴展認證協議支持更強健的認證，比較靈活，但使用不廣泛,.,80,6.6.1身份認證協議(續),3Kerberos協議為分布式計算環境提供了一種對用戶雙方進行驗證的認證方法一種對稱密碼網絡認證協議，建立在對稱加密（DES）的基礎上采用可信任的第3方密鑰分配中心（KDC）保存與所有密鑰持有者通信的主密鑰主要目標：身份認證、計費和審計。,.,81,6.6.2電子郵件的安全,1PGP完整的電子郵件安全軟件包，包括加密、鑒別、電子簽名和壓縮等技術，也可用于文件存儲PGP沒有使用什么新的概念，只是將現有的一些算法如MD5、RSA以及IDEA等綜合在一起,.,82,6.6.2電子郵件的安全(續),2S/MIMEMIME：多用途Internet郵件擴展協議，允許以標準化的格式在電子郵件消息中包含文本、音頻、圖形、視頻和類似的信息。S/MIME在MIME的基礎上添加了安全性元素。,.,83,6.6.3Web安全,1Web服務器的安全Web服務器的安全問題服務器向公眾提供了不應該提供的服務服務器把本應私有的數據放到了可公開訪問的區域服務器信賴了來自不可信賴數據源的數據Web站點的訪問控制的級別：IP地址限制用戶驗證Web權限NTFS權限,.,84,2瀏覽器的安全,如何保護自己的計算機AetiveX控件、Java小程序被惡意使用，會給用戶的計算機帶來危害將因特網世界劃分成幾個區域：如Internet區域、本地Intranet區域、可信站點區域、受限站點區域等如何驗證站點的真實性借助于CA安全認證中心發放的證書來實現如何避免他人假冒自己的身份在因特網中活動CA安全認證中心申請自己的證書表明自己身份在與Web站點交互敏感信息時如何避免第三方偷看或篡改等對敏感信息進行保護，避免第三方偷看或篡改,.,85,3Web的通信安全,超文本傳輸協議HTTP，不能提供數據的保密性、完整性以及認證服務Web服務器與瀏覽器通信安全的方案主要有：SSL（安全套接層協議）IPSec（IP安全）,.,86,SSL,SSLSecureSocketsLayer，安全套接層協議用于保護傳輸層安全的開放協議，在應用層協議和低層的TCPIP之間提供數據安全為TCPIP連接提供數據加密、服務器認證、消息完整性和可選的客戶機認證工作過程：瀏覽器請求與服務器建立安全會話；Web服務器將自己的證書和公鑰發給瀏覽器；Web服務器與瀏覽器協商密鑰位數(40位或128位；瀏覽器產生會話密鑰，并用Web服務器的公鑰加密傳給Web服務器；Web服務器用自己的私鑰解密；Web服務器和瀏覽器用會話密鑰加密和解密，實現加密傳輸。,.,87,SSL的工作過程,.,88,IPSec,IPSecIPSecurity，IP安全一套用于網絡層安全的協議在IP層上提供訪問控制、無連接完整性、數據源認證、拒絕重放包、加密和流量保密服務IPSec想專門用于IPv6，但也可以用于IPv4,6.7防火墻技術,.,90,6.7.1防火墻的基本概念,1防火墻的定義防火墻是指設置在不同網絡（如可信任的企業內部網和不可信的公共網）或網絡安全域之間的一系列部件的組合。它是不同網絡或網絡安全域之間信息的惟一出入口，能根據企業的安全政策，控制（允許、拒絕、監測）出入網絡的信息流，且本身具有較強的抗攻擊能力。防火墻可通過監測、限制、更改跨越防火墻的數據流，盡可能地對外部屏蔽網絡內部的信息、結構和運行狀況，以此來實現網絡的安全保護。在邏輯上，防火墻是一個分離器，一個限制器，也是一個分析器，它有效地監控了內部網和Internet之間的任何活動，保證了內部網絡的安全。,.,91,2防火墻的分類,包過濾防火墻在網絡層依據系統的過濾規則，對數據包進行選擇和過濾，這種規則又稱為訪問控制表（ACLs）通過檢查數據流中的每個數據包的源地址、目標地址、源端口、目的端口及協議狀態或它們的組合來確定是否允許該數據包通過通常安裝在路由器上應用網關也稱代理服務器在應用層上建立協議過濾和轉發功能針對特定的網絡應用服務協議使用指定的數據過濾邏輯，并在過濾的同時，對數據包進行必要的分析、登記和統計，形成報告通常安裝在專用工作站系統上,.,92,6.7.1防火墻的基本概念,3防火墻的設計目標進出內部網的通信量必須通過防火墻。只有那些在內部網安全策略中定義了的合法的通信才能夠進出防火墻。防火墻自身應該能夠防止滲透。4防火墻的不足防火墻不能對付來自內部的攻擊。防火墻對網絡病毒的攻擊通常無能為力。防火墻無法阻止繞過防火墻的攻擊。5防火墻的功能防火墻定義了惟一的一個瓶頸，以禁止脆弱的服務進入或離開網絡；通過防火墻可以監視與安全有關的事件；防火墻可以為幾種與安全無關的Internet服務提供方便的平臺，例如地址轉換（NAT）、網絡管理功能部；防火墻可以作為諸如IPSec的平臺。,.,93,6.7.2防火墻的設計策略,1防火墻的設計策略兩種基本的設計策略：允許任何服務除非被明確禁止禁止任何服務除非被明確允許按照其特征，防火墻的設計策略網絡策略服務訪問策略,.,94,2防火墻的技術,服務控制確定在圍墻外面和里面可以訪問的因特網服務類型方向控制。確定數據包的流向用戶控制根據請求訪問的用戶來確定是否提供該服務行為控制控制如何使用某種特定的服務,.,95,3防火墻的部署,在局域網內的VLAN之間控制信息流向時加入防火墻。Intranet與Internet之間連接時加入防火墻。在廣域網系統中，總部局域網與分支機構一般通過公共網（如DDN、FrameRelay）連接，需要采用防火墻隔離，并利用某些軟件提供的功能構成虛擬專網VPN。如果總部的局域網和分支機構的局域網是通過Internet連接的，需要各自安裝防火墻，并組成虛擬專網。在遠程用戶撥號訪問時，需要加入防火墻。利用一些防火墻軟件提供的負載平衡功能，ISP可在公共訪問服務器和客戶端間加入防火墻進行負載分擔、存取控制、用戶認證、流量控制、日志記錄等功能。兩網對接時可利用硬件防火墻作為網關設備實現地址轉換（NAT）、地址映射（MAP）、網絡隔離（DMZ，De-MilitarizedZone，非軍事區）、存取安全控制，消除傳統軟件防火墻的瓶頸問題。,典型考題分析,.,97,【例6-1】網絡管理的目標是最大限度地增加網絡的可用時間，提高網絡設備的利用率，改善網絡性能、服務質量和_。（2004年9月）答案：安全性,.,98,【例6-2】有關網絡管理員的職責，下列哪種說法是不正確的？_。（2003年4月）A）網絡管理員應該對網絡的總體布局進行規劃B）網絡管理員應該對網絡故障進行檢修C）網絡管理員應該對網絡設備進行優化配置D）網絡管理員應該負責為用戶編寫網絡應用程序答案：D,.,99,【例6-3】在因特網中，一般采用的網絡管理模型是_。（2006年4月）A）瀏覽器/服務器B）客戶機/服務器C）管理者/代理D）服務器/防火墻答案：C,.,100,【例6-4】在一般網絡管理模型中，一個管理者可以和多個_進行信息交換，實現對網絡的管理。（2006年9月）答案：代理,.,101,【例6-5】以下的網絡管理功能中，哪一個不屬于配置管理？_（2005年4月）A）初始化設備B）關閉設備C）記錄設備故障D）啟動設備答案：C,.,102,【例6-6】在網絡管理中，通常在圖形報告中使用顏色指示網絡設備的運行狀態，在配色方案中，表示設備處于錯誤狀態使用的顏色為_。（2003年4月）A）綠色B）紅色C）黃色D）藍色答案：B,.,103,【例6-7】網絡故障管理的一般步驟包括：發現故障、判斷故障、_故障、修復故障、記錄故障。（2006年4月）答案：隔離,.,104,【例6-8】下面哪個網絡管理功能使得網絡管理人員可以通過改變網絡設置來改善網絡性能？_（2005年9月）A）配置管理B）計費管理C）性能管理D）故障管理答案：C,.,105,【例6-9】以下有關網絡管理功能的描述中，哪個是錯誤的？_（2006年9月）A）配置管理是掌握和控制網絡的配置信息B）故障管理是對網絡中的故障進行定位C）性能管理監視和調整工作參數，改善網絡性能D）安全管理是使網絡性能維持在較好水平答案：D,.,106,【例6-10】下面哪一種不是網絡管理協議？_（2002年9月）A）SNMPB）LAPBC）CMIS/CMIPD）LMMP答案：B,.,107,【例6-11】SNMP是最常用的計算機網絡管理協議。SNMPv3在SNMPv2基礎上增加、完善了_和管理機制。（2006年9月）答案：安全,.,108,【例6-12】在電信管理網中，管理者和代理之間的管理信息交換是通過CMIS和_實現的。（2005年9月）答案：CMIP,.,109,【例6-13】保護計算機網絡設備免受環境事故的影響屬于信息安全的哪個方面？_（2005年9月）A）人員安全B）物理安全C）數據安全D）操作安全答案：B,.,110,【例6-14】有一種原則是對信息進行均衡、全面的防護，提高整個系統的“安全最低點”的安全性能，該原則稱為_。（2005年4月）A）木桶原則B）整體原則C）等級性原則D）動態化原則答案：A,.,111,【例6-15】下面哪些操作系統能夠達到C2安全級別？_（2006年9月）.Windows3.x.AppleSystem7.x.WindowsNT.NetWare3.xA）和B）和C）和D）和答案：D,.,112,【例6-16】保證數據的完整性就是_。（2003年4月）A）保證因特網上傳送的數據信息不被第三方監視和竊取B）保證因特網上傳送的數據信息不被篡改C）保證電子商務交易各方的真實身份D）保證發送方不能抵賴曾經發送過某數據信息答案：B,.,113,【例6-17】在以下網絡威脅中，哪個不屬于信息泄露？_（2004年9月）A）數據竊聽B）流量分析C）拒絕服務攻擊D）偷竊用戶帳號答案：C,.,114,【例6-18】某種網絡安全威脅是通過非法手段取得對數據的使用權，并對數據進行惡意地添加和修改。這種安全威脅屬于_。（2005年9月）A）竊聽數據B）破壞數據完整性C）拒絕服務D）物理安全威脅答案：B,.,115,【例6-19】對網絡的威脅包括：假冒特洛伊木馬旁路控制陷門授權侵犯在這些威脅中，屬于滲入威脅的為_。（2003年4月）A）、和B）和C）和D）、和答案：A,.,116,【例6-20】網絡反病毒技術主要有3種，它們是預防病毒技術、_病毒技術和消除病毒技術。（2004年4月）答案：檢測,.,117,【例6-21】以下哪個方法不能用于計算機病毒檢測？_（2006年9月）A）自身校驗B）加密可執行程序C）關鍵字檢測D）判斷文件的長度答案：B,.,118,【例6-22】當信息從信源向信宿流動時可能會受到攻擊。其中中斷攻擊是破壞系統資源，這是對網絡_性的攻擊。（2006年4月）答案：可用,.,119,【例6-23】截取是指未授權的實體得到了資源的訪問權，這是對下面哪種安全性的攻擊？_（2005年4月）A）可用性B）機密性C）合法性D）完整性答案：B,.,120,【例6-24】下面哪種攻擊方法屬于被動攻擊？_（2006年9月）A）拒絕服務攻擊B）重放攻擊C）通信量分析攻擊D）假冒攻擊答案：C,.,121,【例6-25】下面哪個（些）攻擊屬于非服務攻擊？_（2006年9月）.郵件炸彈攻擊.源路由攻擊.地址欺騙攻擊A）僅B）和C）和D）和答案：C,.,122,【例6-26】如果使用凱撒密碼，在密鑰為4時attack的密文為_。（2004年4月）A）ATTACKB）DWWDFNC）EXXEGOD）FQQFAO答案：C,.,123,【例6-27】按密鑰的使用個數，密碼系統可以分為_。（2003年9月）A）置換密碼系統和易位密碼系統B）分組密碼系統和序列密碼系統C）對稱密碼系統和非對稱密碼系統D）密碼學系統和密碼分析學系統答案：C,.,124,【例6-28】以下哪一項不是分組密碼的優點？_（2003年9月）A）良好的擴散性B）對插入的敏感程度高C）不需要密鑰同步D）加密速度快答案：D,.,125,【例6-29】端到端加密方式是網絡中進行數據加密的一種重要方式，其加密、解密在何處進行？_（2006年9月）A）源結點、中間結點B）中間結點、目的結點C）中間結點、中間結點D）源結點、目的結點答案：D,.,126,【例6-30】如果采用“蠻力攻擊”對密文進行破譯，假設計算機的處理速度為1密鑰/微秒，那么大約多長時間一定能破譯56比特密鑰生成的密文？_（2003年9月）A）71分鐘B）1.1103年C）2.3103年D）5.41024年答案：C,.,127,【例6-31】關于加密技術，下列哪種說法是錯誤的？_（2003年9月）A）對稱密碼體制中加密算法和解密算法是保密的B）密碼分析的目的就是千方百計地尋找密鑰或明文C）對稱密碼體制的加密密鑰和解密密鑰是相同的D）所有的密鑰都有生存周期答案：A,.,128,【例6-32】下面哪種加密算法不屬于對稱加密？_（2006年4月）A）DESB）IDEAC）TDEAD）RSA答案：D,.,129,【例6-33】DES是一種常用的對稱加密算法，其一般的分組長度為_。（2006年9月）A）32位B）56位C）64位D）128位答案：C,.,130,【例6-34】如果發送方使用的加密密鑰和接收方使用的解密密鑰不相同，從其中一個密鑰難以推出另一個密鑰，這樣的系統稱為_。（2002年9月）A）常規加密系統B）單密鑰加密系統C）公鑰加密系統D）對稱加密系統答案：C,.,131,【例6-35】在公鑰密碼體系中，下面哪個（些）是不可以公開的？_（2005年9月）A）公鑰B）公鑰和加密算法C）私鑰D）私鑰和加密算法答案：C,.,132,【例6-36】下面哪個不是RSA密碼體制的特點？_（2006年9月）A）它的安全性基于大整數因子分解問題B）它是一種公鑰密碼體制C）它的加密速度比DES快D）它常用于數字簽名、認證答案：C,.,133,【例6-37】Elgamal公鑰體制的加密算法具有不確定性，它的密文不僅依賴于待加密的明文，而且依賴于用戶選擇的_。（2006年4月）答案：隨機參數,.,134,【例6-38】常用的密鑰分發技術有CA技術和_技術。（2005年9月）答案：KDC,.,135,【例6-39】KD