第七章 计算机网络安全

nullnull第7章 计算机网络安全 null计算机网络安全的概念 计算机网络对安全性的要求 访问控制技术 防火墙技术 秘密密钥与公开密钥本章学习要点：null7．1 计算机网络安全概述 7．2 访问控制技术 7．3 防火墙技术 7. 4 网络信息安全 null7．1 计算机网络安全概述 网络安全是指网络系统的硬件、软件及其系统中 的数据受到保护，不因偶然的或者恶意的原因而遭到破 坏、更改、泄露，系统连续可靠正常地运行，网络服务 不中断。 计算机网络最重要的功能是向用户提供信息服务 及其拥有的信息资源。与此同时，随着网络技术的发展， 网络安全也就成为当今网络社会的焦点中的焦点.null网络的安全应具有以下四个方面的特征： 保密性 指信息不泄露给非授权的用户、实体或过程，或供其利用的特性。 完整性 指数据未经授权不能进行改变的特性，即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。 可用性 指可被授权实体访问并按需求使用的特性，即当需要时应能存取所需的信息。网络环境下拒绝服务、破坏网络和有关系统的正常运行等，都属于对可用性的攻击。 可控性 指对信息的传播及内容具有控制能力。null7．1．1 网络安全涉及的范围 7．1．2 常见的网络攻击 7．1．3 计算机网络的安全要求 7．1．4 常用的安全技术 7．1．5 安全级别null保护系统和网络的资源免遭自然或人为的破坏。 明确网络系统的脆弱性和最容易受到影响或破坏的地方。 对计算机系统和网络的各种威胁有充分的估计。 要开发并实施有效的安全策略，尽可能减少可能面临的 各种风险。 准备适当的应急计划，使网络系统在遭到破坏或攻击后 能够尽快恢复正常工作。 定期检查各种措施的实施情况与有效性。计算 机网络安全包括广泛的策略 7．1．1 网络安全涉及的范围计算机网络安全包括以下几方面的内容：null7．1．2 常见的网络攻击1． 拒绝服务攻击 2． 邮件炸弹 3． 过载攻击 4． 入侵 5． 信息窃取 6． 病毒null 拒绝服务 (DoS) 攻击是一种破坏性攻击 其主要目的是通过对目标主机实施攻击，占用大量 的共享资源，降低目标系统资源的可用性，甚至使系统暂 时不能响应用户的服务请求。 另外攻击者还破坏资源，造成系统瘫痪，使其它用 户不能再使用这些资源。虽然入侵者不会得到任何好处， 但是拒绝服务攻击会给正常用户和站点的形象带来较大的 影响。1． 拒绝服务攻击null2． 邮件炸弹 邮件炸弹是指反复收到大量无用的电子邮件。 过多的邮件会加剧网络的负担，消耗大量的存储空间， 造成邮箱的溢出，使用户不能再接收任何邮件，导致系 统日志文件变得十分庞大，甚至造成文件系统溢出。同 时，大量邮件的到来将消耗大量的处理器时间，妨碍了 系统正常的处理活动。 识别邮件炸弹的源头，跟踪信息来源；配置路由器，拒收源端主机发送的邮件，或保证外面的SMTP连接只能到达指定服务器，而不能影响其它系统 解决邮件炸弹的方法有：null 过载攻击是使一个共享资源或者服务处理大量的 请求，从而导致无法满足其他用户的请求。过载攻击包 括进程攻击和磁盘攻击等几种方法。进程攻击实际上就 是产生大量的进程，磁盘攻击包括磁盘满攻击、索引节 点攻击、树结构攻击、交换空间攻击、临时攻击 等几种方法。3．过载攻击 null4． 入侵 缓冲区溢出 (2) 口令破译 (3) 利用上层服务配置问题入侵 (4) 网络欺骗入侵null 所谓缓冲区溢出是指程序没有检查拷贝到缓冲 区的字符串长度，而将一个超过缓冲区长度的字符串 拷贝到缓冲区，造成了缓冲区空间的字符串覆盖了与 缓冲区相邻的内存区域，这是编程的常见错误。(1) 缓冲区溢出 第一是某个程序存在缓冲区溢出问题； 其次，该程序是一个SUID root程序。利用缓冲区溢出攻击系统需要两个条件：null有两种方法可以破译口令: 一种称为字典遍历法 使用一个口令字典，逐一比较得到的加密数据 和口令文件的加密项， 一种方法是根据算法解密 目前发明的加密算法绝大多数都能被破译，(2) 口令破译null 用上层服务入侵非常普遍，包括利用NFS、 FTP、WWW等服务和配置过程中存在的问题。 (3) 利用上层服务配置问题入侵null 络欺骗入侵包括IP欺骗、ARP欺骗、DNS欺骗 和WWW欺骗四种方式，它们的实现方法有入侵者冒充 合法用户的身份，骗过目标主机的认证，或者入侵 者伪造一个虚假的上下文环境，诱使其他用户泄露 信息。关于网络欺骗入侵更详细的资料，感兴趣的 读者请参阅相关文献。(4) 网络欺骗入侵 null 窥探是一种广泛使用的信息窃取方法。恶意 用户也可以利用这种混杂方式截获网络上传输的关 键数据，如口令、账号、机密信息等，它对计算机 系统或关键部门等将造成极大的威胁。5． 信息窃取null 病毒实际上是一段可执行的程序，它常常修改 系统中另外的程序，将自己复制到其他程序代码中， 感染正常的文件。 病毒可以分为以下3类。 (1) 文件类病毒 (2) 操作系统类病毒 (3) 宏病毒6． 病毒null 文件类病毒使用可执行文件作为传播的媒介， 感染系统中的COM、EXE和SYS文件。当用户或操作系 统执行被感染的程序时，病毒将首先执行，并得到 计算机的控制权，然后它立即开始寻找并感染系统 中其他的可执行文件，或把自己建立为操作系统的 内存驻留服务程序，随时感染其它的可执行文件。(1) 文件类病毒 null 操作系统类病毒的攻击目标是系统的引导程序， 它们通常覆盖硬盘或软盘上的引导记录，当系统启动 时，它们就完全控制了机器，并能感染其它的文件， 甚至造成系统的瘫痪。(2) 操作系统类病毒null 宏病毒的感染目标是带有宏的数据文件，最常见 的是带有模板的doc文件， (3) 宏病毒null 计算机网络安全的本质就是要保证这些因素避 免各种偶然的和人为的破坏与攻击，并且要求这些资 源在被攻击的状况下能够尽快恢复正常的工作，以保 证系统的安全可靠性。7．1．3 计算机网络的安全要求1．安全性 2．完整性 3．保密性 4．可用性null 计算机网络的安全性包括内部安全和外部安全 两个方面的内容。 内部安全是在系统的软硬件中实 现的，它包括对用户进行识别和认证，防止非授权用 户访问系统；确保系统的可靠性，以避免软件的缺陷 (Bug)成为系统的入侵点；对用户实施访问控制，拒 绝用户访问超出其访问权限的资源； 外部安全包括 加强系统的物理安全，防止其他用户直接访问系统； 保证人事安全，加强安全教育，防止用户特别是内 部用户泄密。1．安全性null(1)软件完整性 软件是计算机系统的重要组成部分，它能完成各种 不同复杂程度的系统功能。软件的优点是编程人员在开 发或应用过程中可以随时对它进行更改，以使系统具有 新的功能，但这种优点给系统的可靠性带来了严重的威胁。 (2)数据完整性 数据完整性是指存储在计算机系统中的或在系统之 间传输的数据不受非法删改或意外事件的破坏，以保持 数据整体的完整。 2．完整性null 保密性是计算机网络安全的一个重要方面，目的 是防止用户非法获取关键的敏感信息，避免机密信息的 泄露。 加密是保护数据的一种重要方法，也是保护存储 在系统中的数据的一种有效手段，人们通常采用加密来 保证数据的保密性3．保密性null 可用性是指无论何时；只要用户需要，系统和 网络资源必须是可用的，尤其是当计算机及网络系统 遭到非法攻击时，它必须仍然能够为用户提供正常的 系统功能或服务。为了保证系统和网络的可用性，必 须解决网络和系统中存在的各种破坏可用性的问题。4．可用性null1. 防火墙 2. 鉴别 3． 访问控制 4． 加／解密技术 5. 审计和入侵检测 6. 安全扫描7．1．4 常用的安全技术null 防火墙是一种有效的网络安全机制，是保证主机和网络安全必不可少的工具。防火墙是在内部网与外部网之间实施安全防范的系统. 防火墙的基本类型有以下几种: (1) 包过滤型 包过滤型防火墙工作在网络层，它以IP包为对象，对IP源/目的地址、封装、端口号等进行筛选，阻塞或允许IP包通过。 (2) 代理服务器型 代理型防火墙包括两部分：服务器端程序和客户端程序。 (3) 堡垒主机 将包过滤和代理服务器两种方法结合起来，构造堡垒主机，对包进行过滤，并负责提供代理服务。1. 防火墙null 身份认证是证实信息交换过程合法有效的一种重 要手段，它包括3方面的内容 (1) 报文鉴别 报文鉴别是指在通信双方建立通信联系后，要对各自收到的信息进行验证，以保证所收到的信息是真实的。报文鉴别必须确定报文源、报文内容以及报文顺序的正确性。 (2) 身份认证 身份认证是指对用户身份的正确识别和校验，它包括识别和验证两方面的内容。 (3) 数字签名 数字签名可以保证接收方收到的报文内容是真实的，2. 鉴别null 访问控制的基本任务是防止非法用户进入系统以及合法用户对系统资源的非法使用，访问控制包括两个处理过程：识别与认证用户，这是身份认证的内容，通过对用户的识别和认证，可以确定该用户对某一系统资源的访问权限。 目前，有3种访问控制方法： 自主访问控制、强制访问控制、基于角色的访问控制。3． 访问控制null计算机数据的保护包括3个层次的内容 尽量避免非授权用户获取数据 保证即使用户获取了数据 保证用户窃取了数据后不能修改数据 加/解密的基本思想是“伪装”信息，使非授权者不能理解信息的真实含义，而授权者却能够理解“伪装”信息的真正含义。 加密算法通常分为对称密码算法和非对称密码算法两类。对称密码算法使用的加密密钥和解密密钥相同，非对称加密算法正好相反，它使用不同的密钥对数据进行加密和解密，4．加／解密技术null 审计实际上是通过事后追查的手段来保证系统 的安全。侵检测能够对用户的非法操作或误操作做实 时的监控，并且将该事件报告给管理员。5. 审计和入侵检测null 安全扫描是一种新的安全解决思路，它的基本思想是模仿黑客的攻击方法，从攻击者的角度来评估系统和网络的安全性。扫描器是实施安全扫描的工具，它通过模拟的攻击来查找目标系统和网络中存在的各种安全漏洞，并给出相应的处理办法，从而提高系统的安全性。6. 安全扫描null1．D级：D级是最低的安全级别，拥有这个级别的操作系统就像一个门户大开的房子，任何人可以自由进出，是完全不可信的。 2．C1级：C1级又称选择性安全保护系统，它描述了一种典型的用在Unix系统上的安全级别。 3．C2级：除了C1级包含的特性外，C2级别应具有访问控制环境权力。 4．B1级（B级中有三个级别）： B1级即标志安全保护，是支持多级安全(例如秘密和绝密)的第一个级别，这个级别说明处于强制性访问控制之下的对象，系统不允许文件的拥有者改变其许可权限。 7．1．5 安全级别null5．B2级：B2级，又叫做结构保护，它要求计算机系统中所有的对象都要加上标签，而且给设备(磁盘、磁带和终端)分配单个或多个安全级别。它是提供较高安全级别对象与较低安全级别对象相通信的第一个级别。 6．B3级： B3级又称安全域级别，使用安装硬件的方式来加强域的安全 。该级别也要求用户通过一条可信任途径连接到系统上。 7．A级： A级又称验证设计是当前橙皮书的最高级别，它包括了一个严格的设计、控制和验证过程。与前面所提到的各级别一样，该级别包含了较低级别的所有特性。 null7．2 访问控制技术 7．2．１基于口令的访问控制技术 ７．２．２选择性访问控制技术 访问控制的作用是对访问系统及其数据的人进行识别，并检验其身份两个主要的问题，即用户是谁?该用户的身份是否真实? 访问控制的常用方法是：对没有合法用户名及口令的任何人进行限制，禁止访问系统。null口令是实现访问控制的一种最简单和有效的方法。 1．选用口令应遵循的原则 2．增强口令安全性措施 3．其它方法 4．应当注意的事项７．２．１基于口令的访问控制技术null 最有效的口令应该使用户很容易记住，而“黑客”很难猜测或破解的字符串。 一个有效的口令应遵循下列规则： 选择长口令。 最好的口令是包括字母和数字字符的组合。 不要使用有明确意义的英语单词。 在用户访问的各种系统上不要使用相同的口令。 不要简单地使用个人名字，特别是用户的实际姓名、 家庭成员的姓名等。 不要选择不容易记住的口令。1．选用口令应遵循的原则null 这些特性被称为登录／口令控制，对增强用户口令 的安全性很有效，其特性如下： 口令更换 系统要求口令更换 最短长度 系统生成口令2．增强口令安全性措施null登录时间限制 限制登录次数 最后一次登录3．其它方法null不要将口令给别人 不要将口令写在其他人可以接触的地方。 不要用系统指定的口令 在第一次进入帐户时修改口令，不要沿用许多系统给所有新用户的缺省口令，经常改变口令。4．应当注意的事项null 访问控制可以有效地将非授权的人拒之于系统之外。 选择性访问控制的思想规定了对文件和数据的操作权限。 通常采用3种不同种类的访问： 读，允许读一个文件。 写，允许创建和修改一个文件。 执行，运行程序。如果拥有执行权，就可以运行该程序。７．２．２选择性访问控制技术null7．3 防火墙技术 防火墙是用于防止网络被攻击以及防止传播病毒摧毁和破坏信息的有效方法。它用来限制信息在网络之间的随意流动。 防火墙使用硬件平台和软件平台来决定什么请求可以从外部网络进入到内部网络或者从内部网络进入到外部网络， null7．3． 1 防火墙的优缺点７．３．２防火墙的设计 ７．３．３防火墙的组成null2． 防火墙的局限性 防火墙不能防范由于内部用户不注意所造成的威胁。 防火墙很难防止受到病毒感染的软件或文件在网络上传输。 防火墙很难防止数据驱动式攻击。7．3．1 防火墙的优缺点1．防火墙的优点 防火墙的优点未经授权的用户(如黑客、攻击者、破坏者或间谍)阻挡在受保护的内部网络之外，禁止易受攻击的服务进、出受保护的网络，并防止各类路由攻击。Internet防火墙通过加强网络安全，简化网络管理。null1． 防火墙的基本准则 “拒绝一切未被允许的东西,允许一切未被特别拒绝的东西” 2． 机构的安全策略 安全政策必须建立在认真的安全分析、风险评估和商业需要分析的基础之上。 3． 防火墙的费用 防火墙的费用取决于它的复杂程度以及要保护的系统规模。７．３．２防火墙的设计null1. 包过滤路由器 2. 应用网关(代理服务器) 3. 堡垒主机７．３．３防火墙的组成null 包过滤路由器也被称为屏蔽路由器。一个包过滤路由器可以决定对它所收到的每个数据包的取舍。路由器逐一审查每份数据包以及它是否与某个包过滤规则相匹配。过滤规则是以IP数据包中的信息为基础的.1. 包过滤路由器null(1) 从属服务过滤 包过滤规则允许路由器以一个特殊服务为基础对信息流进行取舍，因为大多数服务检测器都监听TCP／UDP的默认端口。 (2) 独立于服务的过滤 有些类型的攻击很难用基本数据包中的信息加以鉴别，因为这些攻击与常规的服务无关。有些路由器可以用来防止这类攻击，但过滤规则需要增加一些信息. (3) 包过滤路由器的优点 执行包过滤所用的时间很少或几乎不需要什么时间。不需要在每台主机上安装特别的软件。 (4) 包过滤路由器的局限性 定义包过滤路由器可能是一项复杂的工作 另外，包过滤器不可能对通信提供足够的控制。null 网络管理员可以利用应用网关执行比包过滤路由器更为有效的安全策略。 如果网络管理员使用了代理服务，则各种服务不再直接通过防火墙转发，对这种应用数据的转发取决于代理服务器的配置。２．应用网关(代理服务器)null 堡垒主机是Internet上的主机能够连接到的、惟一的内部网络上的系统，它对外而言，屏蔽了内部网络的主机系统，所以任何外部的系统试图访问内部的系统或服务时，都必须连接到堡垒主机上，如图３．堡垒主机 使用堡垒主机作为防火墙 null 应用网关常常被称作“堡垒主机”，因为它是一个被特别“加固”的、用来防范各类攻击的专用系统。通常，堡垒主机具有以下一些特点： 堡垒主机的硬件平台上运行的是一个比较“安全”的操作系统，如UNⅨ操作系统，它防止了操作系统受损，同时也确保了防火墙的完整性。 只有那些有必要的服务才安装在堡垒主机内。一般来说，堡垒主机内只安装为数不多的几个代理应用程序子集，如Telnet、DNS、FTP、SMTP和用户认证等。null７．４网络信息安全 现代的网络信息加密技术就是适应了网络安全的需要而应运产生的，它为我们进行一般的电子商务活动提供了安全保障. 7．4．1 加密的概念 7．4．2 传统密码技术 7. 4. 3 对称式数据加密 7. 4. 4 非对称式数据加密标准 7．4．5 数据加密的应用 7．4．6 数字签名 7．4．7   交易中用户身份的验证null 加密在网络上的作用就是防止有用或私有化信息在网络上被拦截和窃取。信息被称为明文。用某种方法伪装信息以隐藏它的内容的过程称为加密(Encryption)，被加密的信息称为密文，而把密文转变为明文的过程称为解密(Decryption)。 加密技术通常分为两大类：“对称式”和“非对称式”。 对称式加密技术是加密者和解密者使用相同的密钥，也被称为保密密钥加密， 非对称式加密就是加密和解密所使用的不是同一个密钥，通常有两个密钥，7．4．1 加密的概念null数据表示方法 数据的表示有多种形式，使用最多的是文字，还有图形、声音、图像等。传统加密方法中的数据表示方法，主要应用对象是对文字信息进行加密解密。 2．替代密码 替代密码是使用替代法进行加密所产生的密码。替代密码就是明文中每一个字符被替换成密文中的另外一个字符。 ３．多表替代密码 周期替代密码是一种常用的多表替代密码，又称为维吉尼亚密码（Vigenere）。 ４．换位密码 (1)列换位法：将明文字符分割成为五个一行的分组并按一组后面跟着另一组的形式排好： (2)矩阵换位法：这种加密是把明文中的字母按给定的顺序 安排在一个矩阵中，然后用另一种顺序选出矩阵的字母 来产生密文。7．4．2 传统密码技术null　 保密密钥或对称密钥加密算法DES (Data Encryption Standard) ：DES使用56位密钥对64位的数据块进行加密，并对64位的数据块进行16轮编码。与每轮编码时，一个48位的“每轮”密钥值由56位的完整密钥得出来。７．４．３对称式数据加密标准null７．４．４非对称式数据加密标准 非对称式数据加密标准的加密算法是RSA(Rivest-Shamir-Adleman)。基于大数不可能被质因数分解假设的公钥体系。就是找两个很大的质数。一个对外公开的为“公钥”（Public key） ，另一个不告诉任何人，称为“私钥”（Private key）。null7．4．5 数据加密的应用 数字信封。数字信封采用的密码技术保证了只有规定的接收人才能阅读信息的内容。 如：甲用对称密钥（如DES）对信息进行加密，然后，对称密钥用乙的公用密钥(RSA)进行加密。最后，把对称密钥加密的信息和用乙的公用密钥加密的对称密钥组合在一起，并发送到乙。当乙接收到后，用自己的私有密钥对对称密钥解密，之后，使用对称密钥对信息进行解密null 7．4．6 数字签名 数字签名是基于加密技术的，它的作用是用来确定用户是否是真实的。 １．加密技术中的摘要函数（摘要算法） 摘要是一种防止改动的方法，其中用到的函数叫摘要函数。发送方用自己的专用密钥对这个信息摘要进行加密来形成发送方的数字签名。数字签名可以用于防止有人从一个签名上获取文本信息或改变文本信息内容和进行身份认证。现在流行的摘要函数有MD4和MD5，MD4算法：将信息的绝对长度作为输入，产生一个128位的“指纹”或“消息化”。 MD5摘要算法：是一个数据认证标准。null２．数字签名的应用 这种方法的一个问题是信息本身是作为明文的形式发送的，因此没有达到保密的要求。但编程人员可以采用一种使用保密密钥的对称加密算法来加密信息的明文部分， null7．4．7  交易中用户身份的验证 1．CA，即权威证明，它是签发并管理正式使用公 用密钥与用户相关联证书的可靠网络实体。证书包含识别 用户的信息：特异的名字、公用密钥和有效期，全都由证 明权威(CA)进行数字签名。 null2．证书的制作 首先，用户产生密钥对，并把该密钥对的公用部分以及其它识别信息提交给CA。当CA一旦对用户的身份(人员、机构或主计算机)表示满意，就取下用户的公用密钥，并对它制作信息摘要。 然后，信息摘要用CA的专用密钥进行加密，制作用户公用密钥的CA签名。 最后，用户的公用密钥和验证用户公用密钥的CA签名组合在一起制作证书。