1、第7章 網(wǎng)絡(luò)安全知識(shí)要點(diǎn)網(wǎng)絡(luò)安全密碼體制數(shù)字簽名防火墻第3章 數(shù)據(jù)鏈路層（標(biāo)注 的標(biāo)題表示最基礎(chǔ)的內(nèi)容） 7.1 網(wǎng)絡(luò)安全問題概述7.2 兩類密碼體制7.3 數(shù)字簽名7.4 防火墻內(nèi)容導(dǎo)航第3章 數(shù)據(jù)鏈路層7.1 網(wǎng)絡(luò)安全問題概述7.1.1 計(jì)算機(jī)網(wǎng)絡(luò)面臨的安全性威脅7.1.2 計(jì)算機(jī)網(wǎng)絡(luò)安全的內(nèi)容7.1.3 一般的數(shù)據(jù)加密模型第3章 數(shù)據(jù)鏈路層7.1.1 計(jì)算機(jī)網(wǎng)絡(luò)面臨的安全性威脅計(jì)算機(jī)網(wǎng)絡(luò)上的通信面臨以下的四種威脅： (1) 截獲從網(wǎng)絡(luò)上竊聽他人的通信內(nèi)容。 (2) 中斷有意中斷他人在網(wǎng)絡(luò)上的通信。 (3) 篡改故意篡改網(wǎng)絡(luò)上傳送的報(bào)文。 (4) 偽造偽造信息在網(wǎng)絡(luò)上傳送。截獲信息的攻擊稱

2、為被動(dòng)攻擊，而更改信息和拒絕用戶使用資源的攻擊稱為主動(dòng)攻擊。重點(diǎn)掌握第3章 數(shù)據(jù)鏈路層對(duì)網(wǎng)絡(luò)的被動(dòng)攻擊和主動(dòng)攻擊 截獲篡改偽造中斷被動(dòng)攻擊主 動(dòng) 攻 擊目的站源站源站源站源站目的站目的站目的站在被動(dòng)攻擊中，攻擊者只是觀察和分析某一個(gè)協(xié)議數(shù)據(jù)單元 PDU 而不干擾信息流。主動(dòng)攻擊是指攻擊者對(duì)某個(gè)連接中通過的 PDU 進(jìn)行各種處理。拒絕報(bào)文服務(wù)更改報(bào)文流 偽造連接初始化 第3章 數(shù)據(jù)鏈路層(1) 防止析出報(bào)文內(nèi)容；(2) 防止通信量分析；(3) 檢測(cè)更改報(bào)文流；(4) 檢測(cè)拒絕報(bào)文服務(wù)；(5) 檢測(cè)偽造初始化連接。計(jì)算機(jī)網(wǎng)絡(luò)通信安全的目標(biāo) 第3章 數(shù)據(jù)鏈路層信息數(shù)據(jù)面臨的威脅特洛伊木馬一種后門程序

3、，它執(zhí)行的功能超出所聲稱的功能。第3章 數(shù)據(jù)鏈路層信息數(shù)據(jù)面臨的威脅后門程序，跟我們通常所說的木馬有聯(lián)系也有區(qū)別. 聯(lián)系在于:都是隱藏在用戶系統(tǒng)中向外發(fā)送信息,而且本身具有一定權(quán)限,以便遠(yuǎn)程機(jī)器對(duì)本機(jī)的控制. 區(qū)別在于:木馬是一個(gè)完整的軟件,而后門則體積較小且功能都很單一. 第3章 數(shù)據(jù)鏈路層信息數(shù)據(jù)面臨的威脅計(jì)算機(jī)病毒會(huì)“傳染”其他程序的程序，“傳染”是通過修改其他程序來把自身或其變種復(fù)制進(jìn)去完成的。第3章 數(shù)據(jù)鏈路層信息數(shù)據(jù)面臨的威脅邏輯炸彈一種當(dāng)運(yùn)行環(huán)境滿足某種特定條件時(shí)執(zhí)行其他特殊功能的程序。 第3章 數(shù)據(jù)鏈路層信息數(shù)據(jù)面臨的威脅計(jì)算機(jī)蠕蟲通過網(wǎng)絡(luò)的通信功能將自身從一個(gè)結(jié)點(diǎn)發(fā)送到另一個(gè)

4、結(jié)點(diǎn)并啟動(dòng)運(yùn)行的程序。第3章 數(shù)據(jù)鏈路層信息數(shù)據(jù)面臨的威脅拒絕服務(wù)攻擊攻擊者想辦法讓目標(biāo)機(jī)器停止提供服務(wù)或資源訪問，是黑客常用的攻擊手段之一。 第3章 數(shù)據(jù)鏈路層7.1.2 計(jì)算機(jī)網(wǎng)絡(luò)安全的內(nèi)容保密性安全協(xié)議的設(shè)計(jì) 訪問控制 第3章 數(shù)據(jù)鏈路層明文 X 截獲密文 Y7.1.3 一般的數(shù)據(jù)加密模型 加密密鑰 K明文 X密文 Y截取者篡改ABE 運(yùn)算加密算法D 運(yùn)算解密算法因特網(wǎng)解密密鑰 K第3章 數(shù)據(jù)鏈路層一些重要概念 密碼編碼學(xué)(cryptography)是密碼體制的設(shè)計(jì)學(xué)，而密碼分析學(xué)(cryptanalysis)則是在未知密鑰的情況下從密文推演出明文或密鑰的技術(shù)。密碼編碼學(xué)與密碼分析學(xué)合起

5、來即為密碼學(xué)(cryptology)。如果不論截取者獲得了多少密文，但在密文中都沒有足夠的信息來唯一地確定出對(duì)應(yīng)的明文，則這一密碼體制稱為無條件安全的，或稱為理論上是不可破的。如果密碼體制中的密碼不能被可使用的計(jì)算資源破譯，則這一密碼體制稱為在計(jì)算上是安全的。 第3章 數(shù)據(jù)鏈路層7.2 兩類密碼體制7.2.1 對(duì)稱密鑰密碼體制7.2.2 公鑰密碼體制第3章 數(shù)據(jù)鏈路層7.2.1 對(duì)稱密鑰密碼體制 所謂常規(guī)密鑰密碼體制，即加密密鑰與解密密鑰是相同的密碼體制。這種加密系統(tǒng)又稱為對(duì)稱密鑰系統(tǒng)。第3章 數(shù)據(jù)鏈路層數(shù)據(jù)加密標(biāo)準(zhǔn) DES數(shù)據(jù)加密標(biāo)準(zhǔn) DES 屬于常規(guī)密鑰密碼體制，是一種分組密碼。在加密前，

6、先對(duì)整個(gè)明文進(jìn)行分組。每一個(gè)組長(zhǎng)為 64 位。然后對(duì)每一個(gè) 64 位 二進(jìn)制數(shù)據(jù)進(jìn)行加密處理，產(chǎn)生一組 64 位密文數(shù)據(jù)。最后將各組密文串接起來，即得出整個(gè)的密文。使用的密鑰為 64 位（實(shí)際密鑰長(zhǎng)度為 56 位，有 8 位用于奇偶校驗(yàn))。 第3章 數(shù)據(jù)鏈路層DES 的保密性DES 的保密性僅取決于對(duì)密鑰的保密，而算法是公開的。盡管人們?cè)谄谱g DES 方面取得了許多進(jìn)展，但至今仍未能找到比窮舉搜索密鑰更有效的方法。DES 是世界上第一個(gè)公認(rèn)的實(shí)用密碼算法標(biāo)準(zhǔn)，它曾對(duì)密碼學(xué)的發(fā)展做出了重大貢獻(xiàn)。目前較為嚴(yán)重的問題是 DES 的密鑰的長(zhǎng)度。現(xiàn)在已經(jīng)設(shè)計(jì)出來搜索 DES 密鑰的專用芯片。 第3章 數(shù)

7、據(jù)鏈路層7.2.2 公鑰密碼體制公鑰密碼體制使用不同的加密密鑰與解密密鑰，是一種“由已知加密密鑰推導(dǎo)出解密密鑰在計(jì)算上是不可行的”密碼體制。 公鑰密碼體制的產(chǎn)生主要是因?yàn)閮蓚€(gè)方面的原因，一是由于常規(guī)密鑰密碼體制的密鑰分配問題，另一是由于對(duì)數(shù)字簽名的需求?，F(xiàn)有最著名的公鑰密碼體制是RSA 體制，它基于數(shù)論中大數(shù)分解問題的體制，由美國(guó)三位科學(xué)家 Rivest, Shamir 和 Adleman 于 1976 年提出并在 1978 年正式發(fā)表的。第3章 數(shù)據(jù)鏈路層加密密鑰與解密密鑰 在公鑰密碼體制中，加密密鑰(即公鑰) PK 是公開信息，而解密密鑰(即私鑰或秘鑰) SK 是需要保密的。加密算法 E

8、和解密算法 D 也都是公開的。雖然秘鑰 SK 是由公鑰 PK 決定的，但卻不能根據(jù) PK 計(jì)算出 SK。 第3章 數(shù)據(jù)鏈路層應(yīng)當(dāng)注意 任何加密方法的安全性取決于密鑰的長(zhǎng)度，以及攻破密文所需的計(jì)算量。在這方面，公鑰密碼體制并不具有比傳統(tǒng)加密體制更加優(yōu)越之處。 由于目前公鑰加密算法的開銷較大，在可見的將來還看不出來要放棄傳統(tǒng)的加密方法。公鑰還需要密鑰分配協(xié)議，具體的分配過程并不比采用傳統(tǒng)加密方法時(shí)更簡(jiǎn)單。 第3章 數(shù)據(jù)鏈路層公鑰算法的特點(diǎn) 發(fā)送者 A 用 B 的公鑰 PKB 對(duì)明文 X 加密（E 運(yùn)算）后，在接收者 B 用自己的私鑰 SKB 解密（D 運(yùn)算），即可恢復(fù)出明文： (7-4) 解密密鑰

9、是接收者專用的秘鑰，對(duì)其他人都保密。加密密鑰是公開的，但不能用它來解密，即 (7-5)第3章 數(shù)據(jù)鏈路層公鑰算法的特點(diǎn)（續(xù)）加密和解密的運(yùn)算可以對(duì)調(diào)，即 在計(jì)算機(jī)上可容易地產(chǎn)生成對(duì)的 PK 和 SK。從已知的 PK 實(shí)際上不可能推導(dǎo)出 SK，即從 PK 到 SK 是“計(jì)算上不可能的”。加密和解密算法都是公開的。（7-6）第3章 數(shù)據(jù)鏈路層公鑰密碼體制 密文Y E 運(yùn)算加密算法D 運(yùn)算解密算法加密解密明文 X明文 X ABB 的私鑰 SKB密文Y 因特網(wǎng)B 的公鑰 PKB第3章 數(shù)據(jù)鏈路層7.3 數(shù)字簽名數(shù)字簽名必須保證以下三點(diǎn)：(1) 報(bào)文鑒別接收者能夠核實(shí)發(fā)送者對(duì)報(bào)文的簽名；(2) 報(bào)文的完

10、整性發(fā)送者事后不能抵賴對(duì)報(bào)文的簽名；(3) 不可否認(rèn)接收者不能偽造對(duì)報(bào)文的簽名?，F(xiàn)在已有多種實(shí)現(xiàn)各種數(shù)字簽名的方法。但采用公鑰算法更容易實(shí)現(xiàn)。 第3章 數(shù)據(jù)鏈路層密文 數(shù)字簽名的實(shí)現(xiàn) D運(yùn)算明文 X明文 X ABA 的私鑰 SKA因特網(wǎng)簽名 核實(shí)簽名E運(yùn)算密文 A 的公鑰 PKA第3章 數(shù)據(jù)鏈路層數(shù)字簽名的實(shí)現(xiàn)因?yàn)槌?A 外沒有別人能具有 A 的私鑰，所以除 A 外沒有別人能產(chǎn)生這個(gè)密文。因此 B 相信報(bào)文 X 是 A 簽名發(fā)送的。若 A 要抵賴曾發(fā)送報(bào)文給 B，B 可將明文和對(duì)應(yīng)的密文出示給第三者。第三者很容易用 A 的公鑰去證實(shí) A 確實(shí)發(fā)送 X 給 B。反之，若 B 將 X 偽造成 X，

11、則 B 不能在第三者前出示對(duì)應(yīng)的密文。這樣就證明了 B 偽造了報(bào)文。 第3章 數(shù)據(jù)鏈路層具有保密性的數(shù)字簽名 核實(shí)簽名解密 加密 簽名 E 運(yùn)算D 運(yùn)算明文 X明文 X ABA 的私鑰 SKA因特網(wǎng)E 運(yùn)算B 的私鑰 SKBD 運(yùn)算加密與解密簽名與核實(shí)簽名B 的公鑰 PKBA 的公鑰 PKA密文第3章 數(shù)據(jù)鏈路層7.4 防火墻(firewall)防火墻是由軟件、硬件構(gòu)成的系統(tǒng)，是一種特殊編程的路由器，用來在兩個(gè)網(wǎng)絡(luò)之間實(shí)施接入控制策略。接入控制策略是由使用防火墻的單位自行制訂的，為的是可以最適合本單位的需要。防火墻內(nèi)的網(wǎng)絡(luò)稱為“可信賴的網(wǎng)絡(luò)”(trusted network)，而將外部的因特網(wǎng)

12、稱為“不可信賴的網(wǎng)絡(luò)”(untrusted network)。防火墻可用來解決內(nèi)聯(lián)網(wǎng)和外聯(lián)網(wǎng)的安全問題。 第3章 數(shù)據(jù)鏈路層防火墻在互連網(wǎng)絡(luò)中的位置 G內(nèi)聯(lián)網(wǎng)可信賴的網(wǎng)絡(luò)不可信賴的網(wǎng)絡(luò)分組過濾路由器 R分組過濾路由器 R應(yīng)用網(wǎng)關(guān)外局域網(wǎng)內(nèi)局域網(wǎng)防火墻因特網(wǎng)第3章 數(shù)據(jù)鏈路層防火墻的功能防火墻的功能有兩個(gè)：阻止和允許?！白柚埂本褪亲柚鼓撤N類型的通信量通過防火墻（從外部網(wǎng)絡(luò)到內(nèi)部網(wǎng)絡(luò)，或反過來）?！霸试S”的功能與“阻止”恰好相反。防火墻必須能夠識(shí)別通信量的各種類型。不過在大多數(shù)情況下防火墻的主要功能是“阻止”。 第3章 數(shù)據(jù)鏈路層防火墻技術(shù)一般分為兩類 (1) 網(wǎng)絡(luò)級(jí)防火墻用來防止整個(gè)網(wǎng)絡(luò)出現(xiàn)外來非法的入侵。屬于這類的有分組過濾和授權(quán)服務(wù)器。前者檢查所有流入本網(wǎng)絡(luò)的信息，然后拒絕不符合事先制訂好的一套