您好,欢迎访问三七文档
当前位置:首页 > 商业/管理/HR > 质量控制/管理 > 计算机网络第7章 网络安全
计算机网络(第6版)第7章网络安全第7章网络安全7.1网络安全问题概述7.1.1计算机网络面临的安全性威胁7.1.2计算机网络安全的内容7.1.3一般的数据加密模型7.2两类密码体制7.2.1对称密钥密码体制7.2.2公钥密码体制第7章网络安全7.3数字签名7.4鉴别7.5密钥分配7.6因特网使用的安全协议7.6.1网络层安全协议7.6.2运输层安全协议7.6.3应用层的安全协议破7.7系统安全:防火墙与入侵检测7.7.1防火墙7.7.2入侵检测系统7.1网络安全问题概述7.1.1计算机网络面临的安全性威胁计算机网络上的通信面临以下两大类威胁:一、被动攻击。主要是截获,即从网络上窃听他人的通信内容。二、主动攻击,主要有:(1)篡改——故意篡改网络上传送的报文。(2)恶意程序——包括计算机病毒、计算机蠕虫、特洛伊木马和逻辑炸弹等。(3)拒绝服务——包括分布式拒绝服务。对网络的被动攻击和主动攻击截获被动攻击主动攻击源站源站源站源站目的站目的站目的站篡改恶意程序7.1.2计算机网络安全的内容•保密性•安全协议的设计•访问控制7.1.3一般的数据加密模型密文Y加密密钥K明文X密文Y截取者AE运算加密算法D运算解密算法因特网解密密钥K一些重要概念•密码编码学(cryptography)是密码体制的设计学,而密码分析学(cryptanalysis)则是在未知密钥的情况下从密文推演出明文或密钥的技术。密码编码学与密码分析学合起来即为密码学(cryptology)。•如果不论截取者获得了多少密文,但在密文中都没有足够的信息来唯一地确定出对应的明文,则这一密码体制称为无条件安全的,或称为理论上是不可破的。•如果密码体制中的密码不能被可使用的计算资源破译,则这一密码体制称为在计算上是安全的。7.2两类密码体制•所谓常规密钥密码体制,即加密密钥与解密密钥是相同的密码体制。•这种加密系统又称为对称密钥系统。数据加密标准DES•数据加密标准DES属于常规密钥密码体制,是一种分组密码。•在加密前,先对整个明文进行分组。每一个组长为64位。•然后对每一个64位二进制数据进行加密处理,产生一组64位密文数据。•最后将各组密文串接起来,即得出整个的密文。•使用的密钥为64位(实际密钥长度为56位,有8位用于奇偶校验)。•公钥密码体制使用不同的加密密钥与解密密钥,是一种“由已知加密密钥推导出解密密钥在计算上是不可行的”密码体制。•公钥密码体制的产生主要是因为两个方面的原因,一是由于常规密钥密码体制的密钥分配问题,另一是由于对数字签名的需求。•现有最著名的公钥密码体制是RSA体制,它基于数论中大数分解问题的体制,由美国三位科学家Rivest,Shamir和Adleman于1976年提出并在1978年正式发表的。7.3数字签名•数字签名必须保证以下三点:(1)报文鉴别——接收者能够核实发送者对报文的签名;(2)报文的完整性——发送者事后不能抵赖对报文的签名;(3)不可否认——接收者不能伪造对报文的签名。•现在已有多种实现各种数字签名的方法。但采用公钥算法更容易实现。7.4鉴别•在信息的安全领域中,对付被动攻击的重要措施是加密,而对付主动攻击中的篡改和伪造则要用鉴别(authentication)。•报文鉴别使得通信的接收方能够验证所收到的报文(发送者和报文内容、发送时间、序列等)的真伪。•使用加密就可达到报文鉴别的目的。但在网络的应用中,许多报文并不需要加密。应当使接收者能用很简单的方法鉴别报文的真伪。鉴别与授权不同•鉴别与授权(authorization)是不同的概念。•授权涉及到的问题是:所进行的过程是否被允许(如是否可以对某文件进行读或写)。7.5密钥分配•密钥管理包括:密钥的产生、分配、注入、验证和使用。本节只讨论密钥的分配。•密钥分配是密钥管理中最大的问题。密钥必须通过最安全的通路进行分配。•目前常用的密钥分配方式是设立密钥分配中心KDC(KeyDistribution),通过KDC来分配密钥。7.6因特网使用的安全协议7.6.1网络层安全协议1.IPsec协议网络层保密是指所有在IP数据报中的数据都是加密的。IPsec中最主要的两个部分•鉴别首部AH(AuthenticationHeader):AH鉴别源点和检查数据完整性,但不能保密。•封装安全有效载荷ESP(EncapsulationSecurityPayload):ESP比AH复杂得多,它鉴别源点、检查数据完整性和提供保密。安全关联SA(SecurityAssociation)•在使用AH或ESP之前,先要从源主机到目的主机建立一条网络层的逻辑连接。此逻辑连接叫做安全关联SA。•IPsec就把传统的因特网无连接的网络层转换为具有逻辑连接的层。安全关联的特点•安全关联是一个单向连接。它由一个三元组唯一地确定,包括:(1)安全协议(使用AH或ESP)的标识符(2)此单向连接的源IP地址(3)一个32位的连接标识符,称为安全参数索引SPI(SecurityParameterIndex)•对于一个给定的安全关联SA,每一个IPsec数据报都有一个存放SPI的字段。通过此SA的所有数据报都使用同样的SPI值。7.6.2运输层安全协议现在广泛使用的有以下两个协议:•安全套接字层SSL(SecureSocketLayer)•运输层安全TLS(TransportLayerSecurity)。7.6.3应用层的安全协议PGP(PrettyGoodPrivacy)•PGP是一个完整的电子邮件安全软件包,包括加密、鉴别、电子签名和压缩等技术。•PGP并没有使用什么新的概念,它只是将现有的一些算法如MD5,RSA,以及IDEA等综合在一起而已。•虽然PGP已被广泛使用,但PGP并不是因特网的正式标准。7.7系统安全:防火墙与入侵检测7.7.1防火墙•防火墙是由软件、硬件构成的系统,是一种特殊编程的路由器,用来在两个网络之间实施接入控制策略。接入控制策略是由使用防火墙的单位自行制订的,为的是可以最适合本单位的需要。•防火墙内的网络称为“可信的网络”(trustednetwork),而将外部的因特网称为“不可信的网络”(untrustednetwork)。•防火墙可用来解决内联网和外联网的安全问题。防火墙的功能•防火墙的功能有两个:阻止和允许。•“阻止”就是阻止某种类型的通信量通过防火墙(从外部网络到内部网络,或反过来)。•“允许”的功能与“阻止”恰好相反。•防火墙必须能够识别通信量的各种类型。不过在大多数情况下防火墙的主要功能是“阻止”。防火墙技术一般分为两类(1)网络级防火墙——用来防止整个网络出现外来非法的入侵。属于这类的有分组过滤和授权服务器。前者检查所有流入本网络的信息,然后拒绝不符合事先制订好的一套准则的数据,而后者则是检查用户的登录是否合法。(2)应用级防火墙——从应用程序来进行接入控制。通常使用应用网关或代理服务器来区分各种应用。例如,可以只允许通过访问万维网的应用,而阻止FTP应用的通过。7.7.2入侵检测系统•入侵检测系统IDS(IntrusionDetectionSystem)能够在入侵已经开始,但还没有造成危害或在造成更大危害前,及时检测到入侵,以便尽快阻止入侵,把危害降低到最小。•基于特征的IDS维护一个所有已知攻击标志性特征的数据库。•基于特征的IDS只能检测已知攻击,对于未知攻击则束手无策。
本文标题:计算机网络第7章 网络安全
链接地址:https://www.777doc.com/doc-4008556 .html