第9章网络安全与管理

主要内容：基本加密算法网络安全技术（比如防火墙）因特网的网络层安全协议IPSec网络管理基础单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式第九章网络安全与管理单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式9.1网络安全概述国际标准化组织ISO对计算机网络安全（NetworkSecurity）的定义为数据处理系统建立和采用的安全防范技术，以保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式网络安全威胁网络安全威胁主要表现在：非授权访问信息泄漏或丢失破坏数据完整性拒绝服务攻击DoS利用网络传播病毒等单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式网络安全的五要素网络安全包括五个基本要素机密性完整性可用性可控性可审查性单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式网络安全的分类根据安全需求将其分为数据保密、数据完整性、身份验证、授权、不可抵赖和不可否认等几个部分；根据解决手段可以分为病毒防范、防火墙、存取控制、身份鉴别、安全综合解决方案；根据威胁来源将其划分为网络攻击行为、安全漏洞及恶意代码等类别。单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式9.2密码学一、密码学的发展密码学包括（cryptology）密码编码学和密码分析学。密码编码学是密码体制的设计学，而密码分析学则是在未知密码的情况下从密文推演出明文的技术。单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式相关术语明文：信息的原始形式（plianttext，记为P）密文：明文加密后的形式（ciphertext，记为C）加密：明文变成密文的过程（encrypt记为E），加密通常是由加密算法来实现的。解密：密文还原成明文的过程（decrypt记为D），解密通常是由解密算法来实现的。密钥：为了有效地控制加密和解密算法的实现，在其处理过程中要有通信双方掌握的专门信息参与，这种专门信息称为密钥（key，记为K）。单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式二、对称密钥体制根据密钥的特点，密码体制分为非对称密钥体制和对称密钥体制两种。对称密钥体制又称为传统密钥、秘密密钥、单钥密钥加密算法对称密钥体制的核心是加密和解密采用相同的密钥。保密性仅取决于对密钥的保密，而算法是公开的。单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式对称密钥体制图9.1对称密钥加密算法的执行过程单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式替代密码替代密码将字母a,b,c,d,……,w,x,y,z的自然顺序保持不变，但使之与D,E,F,G,……,X,A,B,C分别对应：密钥为3例如：明文caesarcipher对应的密文为FDHVDUFLSKHU单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式置换密码置换密码按照某一规则重新排列消息中的比特或字符的顺序，密钥的目的是对列编号。密钥：CIPHER顺序：145326举例：明文attackbeginsattwo密文abaaitcnwtgtetkso单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式对称密钥算法分类对称密钥加密算法可分为两类：一次只对明文中的单个位（或字节）运算的算法，称为序列算法、序列密码或流密码（streamcipher）；对明文的一组位进行运算（这些位组称为分组），称为块密码或分组密码（blockcipher）。单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式分组密码体制输入输出加密算法密钥明文输入输出解密算法密钥明文nbitnbitnbitnbit密文密文单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式数据加密标准DESDES是世界上第一个公认的实用密码算法标准，是一种典型的分组加密算法。加密前，先对整个的明文进行分组，每一个组长64位；使用密钥64位，对每一个64位分组进行加密处理。最后将各组密文串接，得出整个的密文。第1轮第2轮第16轮32位互换循环左移循环左移置换选择2置换选择2循环左移逆初始置换初始置换置换选择164位密文置换选择21K2K16K64位明文64位密钥DES算法描述DES经过总共16轮的替代和换位的变换后，使得密码分析者无法获得该算法一般特性以外更多的信息。单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式新一代加密标准AESAES是一个迭代的、对称密钥分组的密码算法可以使用128、192和256位密钥，并且用128位分组加密和解密数据，算法迭代次数由分组长度和密钥长度共同决定。单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式新一代加密标准AESAES算法在每一轮都采用置换和代替并行地处理整个数据分组，这个分组被编排为一个称做状态阵列(statearray)的4×4字节矩阵。AES算法的加密实际上就是对输入状态阵列进行一系列运算，产生输出的过程。128位明文0K字节代换行移位列混和轮密钥加字节代换行移位列混和轮密钥加字节代换行移位轮密钥加第1轮第轮第N轮128位密文128位密文字节代换求逆行移位求逆列混和求逆轮密钥加字节代换求逆行移位求逆列混和求逆轮密钥加字节代换求逆行移位求逆轮密钥加第1轮128明文1N1NK第轮第N轮1N（a）加密（b）解密AES的加密解密流程单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式三、公开密钥体制相对于对称加密算法，这种方法也叫做非对称加密算法，需要公开密钥（publickey）和私有密钥（privatekey）两个密钥。公开密钥（加密密钥）和非对称加密解密算法是公开的，但私有密钥（解密密钥）是保密的，由密钥的主人妥善保管。公开密钥体制中最著名的是RSA算法单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式公开密钥密码体制接收者发送者E加密算法D解密算法加密密钥PK解密密钥SK明文X密文Y=EPK(X)密钥对产生源明文X=DSK(EPK(X))单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式公开密钥算法的特点(1)发送者用加密密钥PK对明文X加密后，在接收者用解密密钥SK解密，即可恢复出明文，或写为：DSK(EPK(X))X单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式公开密钥算法的特点（2）(2)加密密钥是公开的，但不能用它来解密，即DPK(EPK(X))X(3)在计算机上可容易地产生成对的PK和SK。(4)从已知的PK实际上不可能推导出SK。(5)加密和解密算法都是公开的。单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式四、数字签名和消息认证除了信息的保密之外，如何保证信息的来源方是真实的，保证收到的信息的可靠的而没有被非法篡改，也是非常重要的。认证包括对用户身份的认证和对消息正确性的认证两种方式。单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式数字签名和消息认证用户认证用于鉴别用户的身份是否是合法用户，可以利用数字签名技术来实现的。消息认证（又称报文鉴别）主要用于验证所收到的消息确实是来自真正的发送方且未被修改的消息，也可以验证消息的顺序和及时性。单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式1、消息认证用于消息认证最常用的是消息认证码（MAC）和散列函数。消息认证码是在一个密钥的控制下将任意长的消息映射到一个简短的定长数据分组，将它附加在消息后。接收者通过重新计算MAC来对消息进行认证。单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式2、数字签名当通信双方发生了下列情况时，数字签名技术能够解决引发的争端：否认：发送方不承认自己发送过某一报文。伪造：接收方自己伪造一份报文，并声称它来自发送方。冒充：网络上的某个用户冒充另一个用户接收或发送报文。篡改：接收方对收到的信息进行篡改。单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样式单击此处编辑母版标题样