1、第7章,網(wǎng)絡(luò)管理與網(wǎng)絡(luò)安全,7.1 網(wǎng)絡(luò)管理,3,7.1.1 網(wǎng)絡(luò)管理的基本概念,1網(wǎng)絡(luò)管理的定義 網(wǎng)絡(luò)管理是指對(duì)網(wǎng)絡(luò)運(yùn)行狀態(tài)進(jìn)行監(jiān)測(cè)和控制，使其能夠有效、可靠、安全、經(jīng)濟(jì)地提供服務(wù)。 任務(wù)就是通過監(jiān)測(cè)可以了解網(wǎng)絡(luò)狀態(tài)是否正常，是否存在瓶頸和潛在危機(jī)；通過控制可以對(duì)網(wǎng)絡(luò)狀態(tài)進(jìn)行合理調(diào)節(jié)，從而提高效率，保證服務(wù)。,4,7.1.1 網(wǎng)絡(luò)管理的基本概念（續(xù)）,2網(wǎng)絡(luò)管理對(duì)象 硬件資源 包括物理介質(zhì)（如網(wǎng)卡、雙絞線）、計(jì)算機(jī)設(shè)備（如打印機(jī)、存儲(chǔ)設(shè)備等）和網(wǎng)絡(luò)互聯(lián)設(shè)備（如網(wǎng)橋、路由器等） 軟件資源 主要包括操作系統(tǒng)、應(yīng)用軟件和通信軟件等。 3網(wǎng)絡(luò)管理的目標(biāo) 滿足運(yùn)營(yíng)者及用戶對(duì)網(wǎng)絡(luò)的有效性、可靠性、開放性

2、、綜合性、安全性和經(jīng)濟(jì)性的要求。,5,7.1.2 網(wǎng)絡(luò)管理的功能,包括5大功能域： 配置管理 故障管理 性能管理 計(jì)費(fèi)管理 安全管理,6,1配置管理,功能：用于辨別、定義、控制和監(jiān)視通信網(wǎng)絡(luò)對(duì)象 負(fù)責(zé)網(wǎng)絡(luò)的建設(shè)、業(yè)務(wù)的展開及配置數(shù)據(jù)的維護(hù) 目的：實(shí)現(xiàn)某個(gè)特定功能或是使網(wǎng)絡(luò)性能達(dá)到最優(yōu) 包括資源清單管理、資源開通以及業(yè)務(wù)開通,7,2故障管理,任務(wù)是發(fā)現(xiàn)和排除故障 主要功能包括 維護(hù)并監(jiān)測(cè)錯(cuò)誤日志 接收錯(cuò)誤監(jiān)測(cè)報(bào)告并作出響應(yīng) 跟蹤辨認(rèn)錯(cuò)誤 執(zhí)行診斷測(cè)試和糾正錯(cuò)誤 內(nèi)容包括 障礙管理 故障恢復(fù) 預(yù)防保障,8,3性能管理,包括性能監(jiān)測(cè)、性能分析以及性能管理控制等功能 目的是維護(hù)網(wǎng)絡(luò)服務(wù)質(zhì)量和網(wǎng)絡(luò)運(yùn)行效

3、率。 性能管理的一些典型功能包括： 收集統(tǒng)計(jì)信息 維護(hù)并檢查系統(tǒng)狀態(tài)日志 確定自然和人工狀態(tài)下系統(tǒng)的性能 改變系統(tǒng)的操作模式,9,4計(jì)費(fèi)管理,主要目的： 記錄網(wǎng)絡(luò)資源的使用，控制和監(jiān)測(cè)網(wǎng)絡(luò)操作的費(fèi)用和代價(jià)。 主要作用： 能夠測(cè)量和報(bào)告基于個(gè)人或團(tuán)體用戶的計(jì)費(fèi)信息，分配資源并計(jì)算傳輸數(shù)據(jù)的費(fèi)用，然后給用戶開出賬單 主要功能 計(jì)算網(wǎng)絡(luò)建設(shè)及運(yùn)營(yíng)成本 統(tǒng)計(jì)網(wǎng)絡(luò)及其所包含的資源利用率 聯(lián)機(jī)收集計(jì)費(fèi)數(shù)據(jù) 計(jì)算用戶應(yīng)支付的網(wǎng)絡(luò)服務(wù)費(fèi)用和帳單管理,10,5安全管理,目標(biāo)： 提供信息的隱隱蔽、認(rèn)證和完整性保護(hù)機(jī)制，使網(wǎng)絡(luò)中的服務(wù)、數(shù)據(jù)以及系統(tǒng)免受侵?jǐn)_和破壞 主要內(nèi)容： 對(duì)授權(quán)機(jī)制、訪問控制、加密和解密關(guān)鍵字的

4、管理 主要功能： 風(fēng)險(xiǎn)分析功能 安全服務(wù)功能 告警功能 日志功能和報(bào)告功能 網(wǎng)絡(luò)管理系統(tǒng)保護(hù)功能,11,7.1.3 網(wǎng)絡(luò)管理模型,網(wǎng)絡(luò)管理的基本模型 網(wǎng)絡(luò)管理者：運(yùn)行在計(jì)算機(jī)操作系統(tǒng)之上的一組應(yīng)用程序，負(fù)責(zé)從各代理處收集管理信息，進(jìn)行處理，獲取有價(jià)值的管理信息，達(dá)到管理的目的。 代理：位于被管理的設(shè)備內(nèi)部，是被管對(duì)象上的管理程序。 管理者和代理之間的信息交換方式： 從管理者到代理的管理操作 從代理到管理者的事件通知,12,網(wǎng)絡(luò)管理模式,集中式管理 是所有的網(wǎng)管代理在管理站的監(jiān)視和控制下協(xié)同工作而實(shí)現(xiàn)集成的網(wǎng)絡(luò)管理。 在該模式中，至少有一個(gè)結(jié)點(diǎn)擔(dān)當(dāng)管理站的角色，其他結(jié)點(diǎn)在網(wǎng)管代理模塊的控制下與管

5、理站通信。 分布式管理兩種模式 將數(shù)據(jù)采集、監(jiān)視以及管理分散開來，它可以從網(wǎng)絡(luò)上的所有數(shù)據(jù)源采集數(shù)據(jù)而不必考慮網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。,13,7.1.4 網(wǎng)絡(luò)管理協(xié)議,網(wǎng)絡(luò)管理協(xié)議的發(fā)展 國(guó)際標(biāo)準(zhǔn)化組織ISO:CMIS和CMIP Internet工程任務(wù)組IETF:SNMP協(xié)議（簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議），也稱SNMP V1。 近年來SNMP已經(jīng)超越了傳統(tǒng)的TCP/IP環(huán)境，成為網(wǎng)絡(luò)管理方面事實(shí)上的標(biāo)準(zhǔn)。 在1992年IETF開始了SNMP V2的開發(fā)工作，提高了協(xié)議的安全性。 1997年，IETF成立了SNMP V3工作組，其重點(diǎn)是安全、可管理的體系結(jié)構(gòu)和遠(yuǎn)程配置。,14,SNMP協(xié)議(續(xù)),SNMP是最常用

6、的計(jì)算機(jī)網(wǎng)絡(luò)管理協(xié)議，可用于管理目前市場(chǎng)上大多數(shù)的組網(wǎng)設(shè)備。SNMP位于ISO OSI參考模型的應(yīng)用層，它遵循ISO的管理者-代理網(wǎng)絡(luò)管理模型。 SNMP的體系結(jié)構(gòu)主要由SNMP管理者、SNMP代理者兩個(gè)部分組成。每一個(gè)支持SNMP的網(wǎng)絡(luò)設(shè)備中都包含一個(gè)代理，代理隨時(shí)記錄網(wǎng)絡(luò)設(shè)備的各種信息；網(wǎng)絡(luò)管理程序再通過SNMP通信協(xié)議收集代理所記錄的信息。從被管理設(shè)備中收集數(shù)據(jù)有輪詢和基于中斷兩種方法。,15,SNMP協(xié)議(續(xù)),輪詢方法的基本過程是：代理軟件不斷收集統(tǒng)計(jì)數(shù)據(jù)，并把這些數(shù)據(jù)記錄到一個(gè)管理信息庫(kù)（MIB）中；網(wǎng)絡(luò)管理員通過向代理的MIB發(fā)出查詢信號(hào)可以得到這些信息。這種方法的缺點(diǎn)在于信息的

7、實(shí)時(shí)性，尤其是處理錯(cuò)誤的實(shí)時(shí)性，管理員必須不斷地輪詢SNMP代理，以全面地查看一天的通信流量和變化率。 當(dāng)有異常事件發(fā)生時(shí)，相對(duì)于輪詢方法，基于中斷的方法可以立即通知管理工作站，實(shí)時(shí)性很強(qiáng)。這種方式的缺點(diǎn)是自陷必須轉(zhuǎn)發(fā)大量信息，要消耗管理設(shè)備更多資源和時(shí)間。 將以上兩種方法結(jié)合的陷入制導(dǎo)輪詢法可能是執(zhí)行網(wǎng)絡(luò)管理的最有效的方法。,16,CMIP協(xié)議,采用了報(bào)告機(jī)制 具有即時(shí)性的特點(diǎn) 所有功能要通過應(yīng)用層的相關(guān)協(xié)議來實(shí)現(xiàn) 建立了安全管理機(jī)制 提供授權(quán)、訪問機(jī)制、安全日志等功能 CMIP協(xié)議比較復(fù)雜，實(shí)施起來花費(fèi)較高,7.2 信息安全技術(shù)概述,18,7.2.1 信息安全的概念,指信息網(wǎng)絡(luò)的硬件、軟件

8、以及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不因偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)、可靠、正常地運(yùn)行，信息服務(wù)不中斷 要實(shí)現(xiàn)的目標(biāo)。 真實(shí)性 保密性 完整性 可用性 不可抵賴性 可控制性 可審查性,19,7.2.2 信息安全策略,信息安全策略是指為保證提供一定級(jí)別的安全保護(hù)所必須遵守的規(guī)則。 信息安全的實(shí)現(xiàn)要靠先進(jìn)的技術(shù)、嚴(yán)格的安全管理、法律約束與安全教育。,20,7.2.3 信息技術(shù)的安全性等級(jí),網(wǎng)絡(luò)安全性標(biāo)準(zhǔn)（DoD5200.28_STD），即可信任計(jì)算機(jī)標(biāo)準(zhǔn)評(píng)估準(zhǔn)則。該標(biāo)準(zhǔn)將網(wǎng)絡(luò)安全性等級(jí)劃分為A、B、C、D共四類，其中A類安全等級(jí)最高，D類安全等級(jí)最低。這4類安全等級(jí)還可以細(xì)化為7個(gè)

9、級(jí)別，這些級(jí)別的安全性從低到高的順序是D1、C1、C2、B1、B2、B3和A1。,21,7.2.3 信息技術(shù)的安全性等級(jí)（續(xù)）,在我國(guó)，以計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分原則（GB17859-1999）為指導(dǎo)，將信息和信息系統(tǒng)的安全保護(hù)分為5個(gè)等級(jí)。 自主保護(hù)級(jí) 指導(dǎo)保護(hù)級(jí) 監(jiān)督保護(hù)級(jí) 強(qiáng)制保護(hù)級(jí) ?？乇Ｗo(hù)級(jí),7.3 網(wǎng)絡(luò)安全問題與安全策略,23,7.3.1 網(wǎng)絡(luò)安全的基本概念,保護(hù)網(wǎng)絡(luò)程序、數(shù)據(jù)或設(shè)備，使其免受非授權(quán)使用或訪問 保護(hù)內(nèi)容包括：保護(hù)信息和資源、保護(hù)客戶機(jī)和用戶、保證私有性。 目標(biāo)是確保網(wǎng)絡(luò)系統(tǒng)的信息安全，主要包括信息的存儲(chǔ)安全和信息的傳輸安全 信息的存儲(chǔ)安全一般通過設(shè)置訪問權(quán)限、

10、身份識(shí)別、局部隔離等措施來保證。 信息的傳輸安全主要是指信息在動(dòng)態(tài)傳輸過程中的安全，主要涉及到對(duì)網(wǎng)絡(luò)上信息的監(jiān)聽、對(duì)用戶身份的假冒、對(duì)網(wǎng)上信息的篡改、對(duì)信息進(jìn)行重放等問題。 網(wǎng)絡(luò)安全措施 社會(huì)的法律政策、企業(yè)的規(guī)章制度以及網(wǎng)絡(luò)安全教育。 技術(shù)方面的措施。 審計(jì)與管理措施。,24,7.3.2 OSI安全框架,OSI安全框架是由國(guó)際電信聯(lián)盟推薦的X.800方案，它主要關(guān)注3部分： 安全攻擊 在X.800中將安全攻擊分為被動(dòng)攻擊和主動(dòng)攻擊兩類 從網(wǎng)絡(luò)高層的角度劃分，攻擊方法可以分為服務(wù)攻擊和非服務(wù)攻擊兩大類。 安全機(jī)制 X.800將安全機(jī)制分為特定安全機(jī)制和普遍的安全機(jī)制兩大類。 安全服務(wù) X.80

11、0將安全服務(wù)定義為通信開放系統(tǒng)協(xié)議層提供的服務(wù)，從而保證系統(tǒng)或數(shù)據(jù)傳輸有足夠的安全性。,25,被動(dòng)攻擊和主動(dòng)攻擊,被動(dòng)攻擊 對(duì)信息的保密性進(jìn)行攻擊，即通過竊聽網(wǎng)絡(luò)上傳輸?shù)男畔⒉⒓右苑治鰪亩@得有價(jià)值的情報(bào)，但它并不修改信息的內(nèi)容 目標(biāo)是獲得正在傳送的信息，其特點(diǎn)是偷聽或監(jiān)視信息的傳遞 被動(dòng)攻擊主要手段： 信息內(nèi)容泄露：信息在通信過程中因被監(jiān)視竊聽而泄露，或者信息從電子或機(jī)電設(shè)備所發(fā)出的無線電磁波中被提取出來而泄露。 通信量分析：通過確定通信位置和通信主機(jī)的身份，觀察交換消息的頻度和長(zhǎng)度，并利用這些信息來猜測(cè)正在進(jìn)行的通信特性。,26,被動(dòng)攻擊和主動(dòng)攻擊,主動(dòng)攻擊 攻擊信息來源的真實(shí)性、信息傳輸

12、的完整性和系統(tǒng)服務(wù)的可用性 有意對(duì)信息進(jìn)行修改、插入和刪除 主動(dòng)攻擊主要手段： 假冒：一個(gè)實(shí)體假裝成另一個(gè)實(shí)體。假冒攻擊通常包括一種其他形式的主動(dòng)攻擊。 重放：涉及被動(dòng)捕獲數(shù)據(jù)單元及其后來的重新傳送，以產(chǎn)生未經(jīng)授權(quán)的效果。 修改消息：改變了真實(shí)消息的部分內(nèi)容，或?qū)⑾⒀舆t或重新排序，導(dǎo)致未授權(quán)的操作。 拒絕服務(wù)：禁止通信實(shí)體的正常使用或管理。,27,服務(wù)攻擊和非服務(wù)攻擊,服務(wù)攻擊 針對(duì)某種特定網(wǎng)絡(luò)服務(wù)的攻擊 例如：針對(duì)E-mail服務(wù)、Telnet、FTP、HTTP等服務(wù)的專門攻擊 原因：TCP/IP協(xié)議缺乏認(rèn)證、保密措施。 非服務(wù)攻擊 不針對(duì)某項(xiàng)具體應(yīng)用服務(wù)，而是基于網(wǎng)絡(luò)層等低層協(xié)議而進(jìn)行

13、原因：TCP/IP協(xié)議（尤其是IPv4）自身的安全機(jī)制不足,28,7.3.3 網(wǎng)絡(luò)安全模型,網(wǎng)絡(luò)安全模型1,網(wǎng)絡(luò)安全模型2,7.4 加密技術(shù),30,7.4.1 密碼學(xué)基本術(shù)語,明文：原始的消息。 密文：加密后的消息。 加密：從明文到密文的變換過程。 解密：從密文到明文的變換過程。 密碼編輯學(xué)：研究各種加密方案的學(xué)科。 密碼分析學(xué)：研究破譯密碼獲得消息的學(xué)科。 密碼學(xué)：密碼編碼學(xué)和密碼分析學(xué)統(tǒng)稱為密碼學(xué)。,31,密碼編碼學(xué),密碼編碼學(xué)系統(tǒng)具有以下3個(gè)獨(dú)立特征 轉(zhuǎn)換明文為密文的運(yùn)算類型 所有的加密算法都基于代換和置換兩個(gè)原理。 所用的密鑰數(shù) 如果發(fā)送法和接收方使用相同的密鑰，這種密碼就稱為對(duì)稱密碼

14、、單密鑰密碼或傳統(tǒng)密碼；如果收發(fā)雙方使用不同的密鑰，這種密碼就稱為非對(duì)稱密碼、雙鑰密碼或公鑰密碼。 處理明文的方法 加密算法可以分為分組密碼和流密碼。分組密碼每次處理一個(gè)輸入分組，相應(yīng)地輸出一個(gè)輸出分組；而流密碼則是連續(xù)地處理輸入元素，每次輸出一個(gè)元素。,32,密碼分析學(xué),密碼分析學(xué) 依賴于算法的性質(zhì)和明文的一般特征或某些明密文對(duì) 窮舉攻擊 需要對(duì)一條密文嘗試所有可能的密鑰，直到把它轉(zhuǎn)化為可讀的有意義的明文。 基于密碼分析者知道的信息類型，密碼攻擊的類型主要有：惟密文攻擊、已知明文攻擊、選擇明文攻擊、選擇密文攻擊、和選擇文本攻擊。,33,加密算法的安全性,若一個(gè)加密算法能滿足以下兩個(gè)條件之一就

15、認(rèn)為該算法是在計(jì)算上是安全的： 一是破譯的代價(jià)超出加密信息本身的價(jià)值 二是破譯的時(shí)間超出了信息的有效期,34,代換與置換技術(shù),代換法是將明文字母替換成其他字符、數(shù)字或符號(hào)的方法。典型的算法包括Caesar密碼、單表代換密碼、playfair密碼、Hill密碼、多表代換密碼以及一次一密等。 置換密碼的加密方法是通過置換而形成新的排列。如柵欄技術(shù)，按照對(duì)角線的順序?qū)懭朊魑?，而按行的順序讀出作為密文。,35,7.4.2 對(duì)稱加密技術(shù),對(duì)稱加密的模型 對(duì)稱加密模型由5個(gè)組成部分：明文、加密算法、密鑰、密文和解密算法。,36,數(shù)據(jù)加密標(biāo)準(zhǔn),數(shù)據(jù)加密標(biāo)準(zhǔn)DES DES數(shù)據(jù)加密標(biāo)準(zhǔn) DES是一種分組密碼 在

16、加密前，先對(duì)整個(gè)明文進(jìn)行分組。每一個(gè)組長(zhǎng)為64位。然后對(duì)每個(gè)64位二進(jìn)制數(shù)據(jù)進(jìn)行加密處理，產(chǎn)生一組64位密文數(shù)據(jù) 使用的密鑰為64位，實(shí)際密鑰長(zhǎng)度為56位，有8位用于奇偶校驗(yàn)。,37,DES加密的過程為： 64位的明文經(jīng)過初始置換而被重新排列。 進(jìn)行16輪的相同函數(shù)的作用，每輪的作用中都有置換和代換，最后一輪迭代的輸出有64位，將其左半部分和右半部分互換產(chǎn)生預(yù)輸出， 預(yù)輸出再被與初始置換互逆的逆初始置換作用產(chǎn)生64位的密文。,38,其他常用的對(duì)稱加密算法,目前經(jīng)常使用的對(duì)稱加密算法還有：三重DES、高級(jí)加密標(biāo)準(zhǔn)（AES）、Blowfish算法和RC5算法。 三重DES：使用多個(gè)密鑰對(duì)DES進(jìn)行

17、三次加密，克服了DES不能抵御窮舉攻擊的弱點(diǎn)，但該算法用軟件實(shí)現(xiàn)起來速度比較慢。 高級(jí)加密標(biāo)準(zhǔn)（AES）：2001年NIST將Rijndael作為AES算法，它的密鑰長(zhǎng)度為128、192或256位，分組長(zhǎng)度為128位。AES性能不低于3DES，同時(shí)具有良好的執(zhí)行性能。,39,Blowfish算法 該算法由Bruce Schneier設(shè)計(jì)的，是一個(gè)可變密鑰長(zhǎng)度的分組密碼算法，分組長(zhǎng)度為64位。算法由密鑰擴(kuò)展和數(shù)據(jù)加密兩部分組成，密鑰擴(kuò)展把長(zhǎng)度可達(dá)448位的密鑰轉(zhuǎn)變成總共4168字節(jié)的幾個(gè)子密鑰；數(shù)據(jù)加密由一個(gè)簡(jiǎn)單函數(shù)迭代16輪，每一輪由密鑰相關(guān)的置換、密鑰相關(guān)和數(shù)據(jù)相關(guān)的代換組成。 RC5 RC

18、5的分組長(zhǎng)度和密鑰長(zhǎng)度都是可變的 可以在速度和安全性之間進(jìn)行折中,40,7.4.3 公鑰加密,公鑰密碼體制 公鑰算法依賴于一個(gè)加密密鑰和一個(gè)與之相關(guān)的解密密鑰。 公鑰加密體制有6個(gè)組成部分：明文、加密算法、公鑰、私鑰、密文和解密算法。,41,7.4.3 公鑰加密(續(xù)),公鑰加密的步驟如下： 每個(gè)用戶都生成一對(duì)加密和解密時(shí)使用的密鑰。 每個(gè)用戶都把他的公鑰放在一個(gè)公共地方，私鑰自己妥善保管。 發(fā)送用戶要向接收用戶發(fā)送機(jī)密消息，就用接收用戶的公鑰加密消息。 當(dāng)接收用戶收到消息時(shí)，可以用自己的私鑰進(jìn)行解密。,42,公鑰密碼體制的應(yīng)用,公鑰密碼體制的應(yīng)用可分為以下3種： 加密/解密。 數(shù)字簽名。發(fā)送方

19、利用其私鑰對(duì)消息“簽名”。 密鑰交換,43,RSA算法,RSA算法是1978年由Rivest、Shamir和Adleman三個(gè)人提出的，被認(rèn)為是迄今為止理論上最為成熟完善的一種公鑰密碼體制。 該體制的構(gòu)造基于Euler定理，它利用了如下的基本事實(shí)：尋找大素?cái)?shù)是相對(duì)容易的，而分解兩個(gè)大素?cái)?shù)的積在計(jì)算上是不可行的。 RSA算法的安全性建立在難以對(duì)大數(shù)提取因子的基礎(chǔ)上。與DES相比，缺點(diǎn)是加密、解密的速度太慢。,44,RSA是一種分組密碼，其明文和密文均是0至n-1之間的整數(shù)（n的大小為1024位二進(jìn)制數(shù)或309位十進(jìn)制數(shù)）。明文以分組為單位進(jìn)行加密，每個(gè)分組的二進(jìn)制值均小于n。 密鑰的選取過程如下

20、： 選取兩個(gè)大質(zhì)數(shù)p和q。 計(jì)算n=pq，z=（p-t）（q-1）。 選擇小于n的整數(shù)e，并且和z沒有公約數(shù)。 找到數(shù)d，滿足ed-1被z整除。 公鑰是數(shù)對(duì)（n，e），私鑰是數(shù)對(duì)（n，d）。,45,其他的公鑰加密算法,Elgamal公鑰體制 基于離散對(duì)數(shù)的公鑰密碼體制 密文不僅信賴于待加密的明文，而且信賴于用戶選擇的隨機(jī)參數(shù)，即使加密相同的明文，得到的密文也是不同的。 加密算法的非確定性 背包公鑰體制 基本原理：背包問題,46,7.4.4 密鑰管理,密鑰的分發(fā) 密鑰分發(fā)中心（KDC）是一個(gè)獨(dú)立的可信網(wǎng)絡(luò)實(shí)體，是一個(gè)服務(wù)器，它同每個(gè)注冊(cè)用戶共享不同的秘密對(duì)稱密鑰。KDC知道每個(gè)用戶的秘密密鑰，每

21、個(gè)用戶可以通過這個(gè)秘密密鑰同KDC進(jìn)行安全通信,47,密鑰的驗(yàn)證,認(rèn)證中心（CA）用于驗(yàn)證一個(gè)公共密鑰是否屬于一個(gè)特殊實(shí)體（一個(gè)個(gè)人或者網(wǎng)絡(luò)實(shí)體）。一旦一個(gè)公共密鑰被認(rèn)證了，那么它就可以從任何地方發(fā)出，包括一個(gè)公共密鑰服務(wù)器、一個(gè)個(gè)人網(wǎng)頁(yè)或者一張磁盤。 CA的主要作用有兩個(gè)方面。一是驗(yàn)證實(shí)體的身份；二是產(chǎn)生一個(gè)證書，將這個(gè)公共密鑰和身份進(jìn)行綁定，這個(gè)證書由CA進(jìn)行數(shù)字簽名。證書中包括公共密鑰和關(guān)于公共密鑰所有者的全球唯一的標(biāo)識(shí)信息。,7.5 認(rèn)證技術(shù),49,7.5.1 消息認(rèn)證,1消息認(rèn)證的概念 消息認(rèn)證就是使意定的接收者能夠檢驗(yàn)收到的消息是否真實(shí)的方法，又稱為完整性校驗(yàn)，它在銀行業(yè)稱為消息認(rèn)

22、證，在OSI安全模型中稱為封裝。 消息認(rèn)證的內(nèi)容應(yīng)包括：證實(shí)消息的信源和信宿；消息內(nèi)容是否曾經(jīng)受到偶然或有意地篡改；消息的序號(hào)和時(shí)間性是否正確。 2消息認(rèn)證的方法 認(rèn)證信息的來源 認(rèn)證信息的完整性 認(rèn)證信息的序號(hào)和時(shí)間,50,3. 消息認(rèn)證的模式 消息認(rèn)證的模式有單向認(rèn)證和雙向認(rèn)證。在單向認(rèn)證中，由接收者驗(yàn)證發(fā)送者的身份和發(fā)送消息的完整性；在雙向認(rèn)證中，接收雙方互相確定對(duì)方的身份和發(fā)送消息的完整性。 4.認(rèn)證函數(shù) 可用做認(rèn)證的函數(shù)有信息加密函數(shù)、信息認(rèn)證碼和散列函數(shù)3種。,51,7.5.2 數(shù)字簽名,數(shù)字簽名的需求 簽名必須依賴于要簽名報(bào)文的比特模式 簽名必須使用對(duì)發(fā)送者來說是唯一的信息，以防

23、偽造和抵賴。 數(shù)字簽名的產(chǎn)生必須相對(duì)簡(jiǎn)單。 數(shù)字簽名的識(shí)別和證實(shí)必須相對(duì)簡(jiǎn)單。 偽造數(shù)字簽名具有很高的計(jì)算復(fù)雜行。 保留一個(gè)數(shù)字簽名的備份在存儲(chǔ)上現(xiàn)實(shí)可行的。,52,數(shù)字簽名的創(chuàng)建,利用公鑰密碼體制，數(shù)字簽名是一個(gè)加密的消息摘要，附加在消息后面。如果A想在發(fā)給B的消息中創(chuàng)建一個(gè)數(shù)字簽名，操作過程如下： A創(chuàng)建一個(gè)公鑰/私鑰對(duì)，并將公鑰給接收方B。 A把消息作為一個(gè)單項(xiàng)散列函數(shù)的輸入，散列函數(shù)的輸出就是消息摘要。 A用私鑰加密信息摘要，就得到數(shù)字簽名。,53,數(shù)字簽名的驗(yàn)證,在接收方，B需要遵循以下步驟來驗(yàn)證A的數(shù)字簽名。 B把收到的數(shù)據(jù)分離成消息和數(shù)字簽名。 B使用A的公鑰對(duì)數(shù)字簽名解密，從而

24、得到消息摘要。 B把消息作為A所使用的相同散列函數(shù)的輸入，得到一個(gè)消息摘要。 B比較這兩個(gè)信息摘要，看它們是否相互匹配。,54,7.5.3 身份認(rèn)證,身份認(rèn)證又稱身份識(shí)別，它是通信和數(shù)據(jù)系統(tǒng)中正確識(shí)別通信用戶或終端身份的重要途徑。 身份認(rèn)證的常用方法有 口令認(rèn)證 持證認(rèn)證 生物識(shí)別,55,1口令機(jī)制,口令是由數(shù)字、字母組成的長(zhǎng)為58的字符串，有時(shí)也包括特殊字符和控制字符等。 常用于操作系統(tǒng)登錄、Telnet和rlogin等 口令系統(tǒng)最嚴(yán)重的脆弱點(diǎn)是外部泄露和口令猜測(cè)，另外還有線路竊聽、威脅驗(yàn)證者和重放等。 保護(hù)口令措施： 對(duì)用戶和系統(tǒng)管理者進(jìn)行教育，增強(qiáng)他們的安全意識(shí)； 建立嚴(yán)格的組織管理辦法

25、和執(zhí)行手續(xù)； 確?？诹畋仨毐欢ㄆ诘馗淖儯?保證每個(gè)口令只與一個(gè)人有關(guān)； 確保口令從來不被再現(xiàn)在終端上； 使用易記的口令。,56,1口令機(jī)制,被猜測(cè)措施： 限制非法認(rèn)證的次數(shù)； 實(shí)時(shí)延遲插入到口令驗(yàn)證過程 阻止一個(gè)計(jì)算機(jī)自動(dòng)口令猜測(cè)程序的生產(chǎn)串 防止太短的口令以及與用戶名賬戶名或用戶特征相關(guān)的口令 確?？诹畋欢ㄆ诘馗淖?； 取消安裝系統(tǒng)時(shí)所用的預(yù)設(shè)口令； 使用機(jī)器產(chǎn)生的而不是用戶選擇的口令。,57,2持證認(rèn)證 持證為個(gè)人持有物，如磁卡、智能卡等 磁卡常和個(gè)人標(biāo)識(shí)號(hào)PIN一起使用 智能卡將微處理器芯片嵌在宿卡上來代替無源存儲(chǔ)磁條，存儲(chǔ)信息遠(yuǎn)遠(yuǎn)大于磁條的250字節(jié)，且具有處理功能，卡上的處理器有4K字

26、節(jié)的小容量EPROM 3生物識(shí)別 生物識(shí)別依據(jù)人類自身所固有的生理或行為特性特征，包括指紋識(shí)別、虹膜識(shí)別、臉像識(shí)別、掌紋識(shí)別、聲音識(shí)別、簽名識(shí)別、筆跡識(shí)別、手形識(shí)別、步態(tài)識(shí)別以及多種生物特征融合識(shí)別等。,58,7.5.4 常用的身份認(rèn)證協(xié)議,一個(gè)安全的身份識(shí)別協(xié)議至少應(yīng)滿足以下兩個(gè)條件： 識(shí)別者A能向驗(yàn)證者B證明他的確是A。 在識(shí)別者A向驗(yàn)證者提供了證明他的身份信息后，驗(yàn)證者B不能取得A的任何有用的信息。 目前滿足上述條件的協(xié)議主要有： 一次一密機(jī)制 X.509認(rèn)證協(xié)議 Kerberos認(rèn)證協(xié)議,59,一次一密機(jī)制 請(qǐng)求應(yīng)答機(jī)制：用戶登錄時(shí)，系統(tǒng)隨即提示一條信息，用戶根據(jù)信息產(chǎn)生一個(gè)口令，完成

27、一次登錄。 詢問應(yīng)答方式：驗(yàn)證者提出問題，由識(shí)別者回答，然后由驗(yàn)證者驗(yàn)證其真?zhèn)巍?X.509認(rèn)證協(xié)議 X.509定義了一種通過X.500目錄提供認(rèn)證服務(wù)的框架。X.500是對(duì)分布式網(wǎng)絡(luò)中存儲(chǔ)用戶信息的數(shù)據(jù)庫(kù)所提供的目錄檢索服務(wù)的協(xié)議標(biāo)準(zhǔn)，而X.509是利用公鑰加密技術(shù)對(duì)X.500的服務(wù)所提供認(rèn)證服務(wù)的協(xié)議標(biāo)準(zhǔn)。 Kerberos認(rèn)證協(xié)議 Kerberos基于對(duì)稱密鑰體制，一般采用DES，它與網(wǎng)絡(luò)上的每個(gè)實(shí)體共享一個(gè)不同的密鑰，通過是否知道秘密密鑰來驗(yàn)證身份。,7.6 安全技術(shù)應(yīng)用,61,7.6.1 安全電子郵件,1PGP PGP是Phil Zimmermann在1991年提出的一個(gè)安全電子郵件

28、加密方案，它已經(jīng)成為事實(shí)上的標(biāo)準(zhǔn)。 PGP的操作由5種服務(wù)組成：鑒別、機(jī)密性、壓縮、電子郵件的兼容性和分段。 PGP利用了4種類型的密鑰：一次性會(huì)話的常規(guī)密鑰、公開密鑰、私有密鑰和基于口令短語的常規(guī)密鑰。當(dāng)PGP安裝之后，為用戶產(chǎn)生一個(gè)公共密鑰對(duì)，這個(gè)密鑰可以公布在用戶的個(gè)人網(wǎng)站或者放在公共密鑰服務(wù)器上。私密密鑰用密碼進(jìn)行保護(hù)，每次用戶訪問這個(gè)密鑰的時(shí)候必須輸入密碼。,62,7.6.1 安全電子郵件(續(xù)),2S/MIME S/MIME的功能如下： 加密的數(shù)據(jù)。對(duì)于一個(gè)或多個(gè)接收者而言，它是由任意類型的加密內(nèi)容和加密內(nèi)容的加密密鑰組成的。 簽名的數(shù)據(jù)。通過取得要簽名的內(nèi)容的報(bào)文摘要，然后使用簽名

29、者的私鑰對(duì)該摘要進(jìn)行加密，形成數(shù)字簽名。 透明簽名的數(shù)據(jù)。簽名的數(shù)據(jù)形成了內(nèi)容的數(shù)字簽名。 簽名并且加密的數(shù)據(jù)。只簽名和只加密的實(shí)體可以遞歸使用，因此加密的數(shù)據(jù)可以被簽名，簽名或透明的簽名數(shù)據(jù)可以被加密。,63,7.6.2 網(wǎng)絡(luò)層安全I(xiàn)PSec,IP安全協(xié)議（簡(jiǎn)稱為IPSec）是在網(wǎng)絡(luò)層提供安全的一組協(xié)議。在IPSec協(xié)議族中，有兩個(gè)主要的協(xié)議：身份認(rèn)證頭（AH）協(xié)議和封裝安全負(fù)載（ESP）協(xié)議。 AH協(xié)議提供了源身份認(rèn)證和數(shù)據(jù)完整性，但是沒有提供秘密性 ESP協(xié)議提供了數(shù)據(jù)完整性、身份認(rèn)證和秘密性。 對(duì)于AH和ESP協(xié)議，源主機(jī)在向目的主機(jī)發(fā)送安全數(shù)據(jù)報(bào)之前，源主機(jī)和網(wǎng)絡(luò)主機(jī)進(jìn)行握手，并建立

30、網(wǎng)絡(luò)層邏輯連接，這個(gè)邏輯連接稱為安全協(xié)定（SA）。SA唯一定義為一個(gè)三元組，包括安全協(xié)議標(biāo)識(shí)符、單工連接的源IP地址和稱為安全參數(shù)索引的32位連接標(biāo)識(shí)符。,64,AH協(xié)議 在發(fā)送數(shù)據(jù)報(bào)時(shí)，AH頭在原有IP數(shù)據(jù)報(bào)數(shù)據(jù)和IP頭之間。這樣，AH頭增加了原有數(shù)據(jù)字段，被封裝為標(biāo)準(zhǔn)的IP數(shù)據(jù)報(bào)。在IP頭的協(xié)議字段，值51用來表明數(shù)據(jù)報(bào)包含AH頭。當(dāng)目的主機(jī)接收到帶有AH頭的IP數(shù)據(jù)報(bào)后，它確定數(shù)據(jù)報(bào)的SA，通過處理身份驗(yàn)證數(shù)據(jù)段來驗(yàn)證數(shù)據(jù)報(bào)的完整性。 ESP協(xié)議 采用ESP協(xié)議，源主機(jī)可以向目的主機(jī)發(fā)送安全數(shù)據(jù)報(bào)。安全數(shù)據(jù)報(bào)是用頭部、尾部字段來封裝原來的IP數(shù)據(jù)報(bào)，然后將封裝后的數(shù)據(jù)插入到IP數(shù)據(jù)報(bào)的數(shù)

31、據(jù)字段。對(duì)于IP數(shù)據(jù)報(bào)頭的協(xié)議字段，值50用來表示數(shù)據(jù)報(bào)包含ESP頭和ESP尾。,65,7.6.3 Web安全,Web所面臨的威脅 Web服務(wù)器安全威脅 Web瀏覽器安全威脅 及瀏覽器與服務(wù)器之間的網(wǎng)絡(luò)通信量安全威脅,66,Web流量安全性方面,Web流量安全性方法可以分為網(wǎng)絡(luò)級(jí)、傳輸級(jí)、應(yīng)用級(jí)。 網(wǎng)絡(luò)級(jí)。提供Web安全性的一種方法是使用IPSec協(xié)議。IPSec具有過濾功能，以便僅用IPSec處理所選的流量。 傳輸級(jí)。提供Web安全性的另一個(gè)相對(duì)通用的解決方法是在TCP上實(shí)現(xiàn)安全性。這種方法的例子有安全套接層（SSL）和運(yùn)輸層安全（TLS）的Internet SSL標(biāo)準(zhǔn)。 應(yīng)用級(jí)。與應(yīng)用有關(guān)

32、的安全服務(wù)被嵌入到特定的應(yīng)用程序中，這種方法的一個(gè)重要的例子是安全的電子交易（SET）。,7.7 入侵檢測(cè)技術(shù)與防火墻,68,7.7.1 入侵者,入侵者通常是指黑客和解密高手。入侵者大致分為3類。 假冒者：指未經(jīng)授權(quán)使用計(jì)算機(jī)的人和穿透系統(tǒng)的存取控制冒用合法賬號(hào)的人。 非法者：指未經(jīng)授權(quán)訪問數(shù)據(jù)、程序和資源的合法用戶；或者已經(jīng)獲得授權(quán)訪問，但是錯(cuò)誤使用權(quán)限的合法用戶。 秘密用戶：奪取系統(tǒng)超級(jí)控制并使用這種控制權(quán)逃避審計(jì)和訪問控制或者抑制審計(jì)記錄的個(gè)人。,69,7.7.2 入侵檢測(cè)技術(shù),入侵檢測(cè)技術(shù)可以分為統(tǒng)計(jì)異常檢測(cè)和基于規(guī)則的檢測(cè)。 統(tǒng)計(jì)異常檢測(cè)：收集一段時(shí)間內(nèi)合法用戶的行為，然后用統(tǒng)計(jì)測(cè)試

33、來觀測(cè)其行為，判定該行為是否是合法用戶的行為。 基于規(guī)則的檢測(cè)：包括嘗試定義用于確定給定行為是否是入侵者行為的規(guī)則集合。,70,審計(jì)記錄,入侵檢測(cè)的一個(gè)基礎(chǔ)工具是審計(jì)記錄。用戶活動(dòng)的記錄應(yīng)作為入侵檢測(cè)系統(tǒng)的輸入，記錄的獲得有兩種方法。 原有的審計(jì)記錄：幾乎所有的多用戶操作系統(tǒng)都有收集用戶行為的審計(jì)軟件，通過這種方法獲得的審計(jì)記錄可能沒有包含需要的信息。 專門用于檢測(cè)的審計(jì)記錄：可以實(shí)現(xiàn)一個(gè)收集機(jī)制來生成只包含入侵檢測(cè)系統(tǒng)所需信息的審計(jì)記錄。,71,統(tǒng)計(jì)異常檢測(cè),統(tǒng)計(jì)異常檢測(cè)分為兩大類：閾值檢測(cè)和基于輪廓的檢測(cè)。 閾值檢測(cè)與在一個(gè)時(shí)間區(qū)間內(nèi)對(duì)專門的事件類型的出現(xiàn)次數(shù)有關(guān)。如果次數(shù)超出了被認(rèn)為是合

34、理的數(shù)值，那么就假定出現(xiàn)了入侵。閾值分析本身效率不高，并且閾值和時(shí)間區(qū)間必須是提前選定的。 基于輪廓的異常檢測(cè)集中于刻畫單獨(dú)用戶或相關(guān)用戶組的過去行為特性，然后檢測(cè)出明顯的偏差。這種方法的基礎(chǔ)在于對(duì)審計(jì)記錄的分析，入侵檢測(cè)模型會(huì)分析進(jìn)入的審計(jì)記錄以確定與平均行為的偏差?？捎糜诨谳喞娜肭謾z測(cè)的度量機(jī)制有計(jì)數(shù)器、標(biāo)準(zhǔn)值、間隔定時(shí)器、資源利用。利用這些度量機(jī)制，可以進(jìn)行不同的檢測(cè)來確定當(dāng)前行為是否在可接受的限度之內(nèi)。,72,基于規(guī)則的入侵檢測(cè),基于規(guī)則的技術(shù)通過觀察系統(tǒng)中的事件，應(yīng)用一個(gè)決定給定活動(dòng)模式是否可疑的規(guī)則集來檢測(cè)入侵行為，分為異常檢測(cè)和滲透鑒別兩個(gè)方面。 基于規(guī)則的異常檢測(cè)方法是基于

35、對(duì)過去行為的觀察，分析歷史的審計(jì)記錄來識(shí)別出使用模式，并自動(dòng)生成描述那些模式的規(guī)則；然后觀察當(dāng)前的行為，每個(gè)事務(wù)都和規(guī)則集相匹配，以確定它是否符合任何觀察的歷史行為模式。 基于規(guī)則的滲透鑒別采用了基于專家系統(tǒng)技術(shù)的方法。這樣的系統(tǒng)的關(guān)鍵特征是要使用規(guī)則來鑒別已知的滲透，或利用已知弱點(diǎn)的滲透，也可以定義鑒別可以行為的規(guī)則。這樣的規(guī)則不是通過對(duì)審計(jì)記錄的自動(dòng)分析生成的，而是由“專家”生成的。這種方法的強(qiáng)度依賴于在建立規(guī)則時(shí)所涉及的人的技能。,73,分布式入侵檢測(cè),分布式入侵檢測(cè)是要保護(hù)局域網(wǎng)內(nèi)或內(nèi)部互聯(lián)網(wǎng)絡(luò)內(nèi)所有的主機(jī)安全。 加利福尼亞大學(xué)建立的互聯(lián)網(wǎng)安全監(jiān)視器是分布式入侵檢測(cè)系統(tǒng)的一個(gè)很好的例子

36、。,74,7.7.3 防火墻的特性,防火墻的定義 防火墻是指為了增強(qiáng)駐地網(wǎng)的安全性而嵌入到駐地網(wǎng)和Internet之間，從而建立受控制的連接并形成外部安全墻或者說是邊界，用來防止駐地網(wǎng)收到來自Internet的攻擊，并在安全性將受到影響的地方形成阻塞點(diǎn)。 防火墻的設(shè)計(jì)目標(biāo) 所有從內(nèi)到外和從外到內(nèi)的通信量都必須經(jīng)過防火墻。 只有被授權(quán)的通信才能通過防火墻。 防火墻對(duì)于滲透是免疫的。,75,2防火墻的分類,包過濾防火墻 在網(wǎng)絡(luò)層依據(jù)系統(tǒng)的過濾規(guī)則，對(duì)數(shù)據(jù)包進(jìn)行選擇和過濾，這種規(guī)則又稱為訪問控制表（ACLs） 通過檢查數(shù)據(jù)流中的每個(gè)數(shù)據(jù)包的源地址、目標(biāo)地址、源端口、目的端口及協(xié)議狀態(tài)或它們的組合來確

37、定是否允許該數(shù)據(jù)包通過 通常安裝在路由器上 應(yīng)用網(wǎng)關(guān) 也稱代理服務(wù)器 在應(yīng)用層上建立協(xié)議過濾和轉(zhuǎn)發(fā)功能 針對(duì)特定的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議使用指定的數(shù)據(jù)過濾邏輯，并在過濾的同時(shí)，對(duì)數(shù)據(jù)包進(jìn)行必要的分析、登記和統(tǒng)計(jì)，形成報(bào)告 通常安裝在專用工作站系統(tǒng)上,76,4種常用技術(shù),防火墻用來控制訪問和執(zhí)行站點(diǎn)安全策略有4種常用技術(shù)。 服務(wù)控制：確定可以訪問Internet服務(wù)的類型。 方向控制：決定哪些特定的方向上服務(wù)請(qǐng)求可以被發(fā)起并通過防火墻。 用戶控制：根據(jù)哪個(gè)用戶嘗試訪問服務(wù)來控制對(duì)一個(gè)服務(wù)的訪問。 行為控制：控制怎樣使用特定的服務(wù)。,77,防火墻的功能,防火墻定義了單個(gè)阻塞點(diǎn)，通過它就可以把未授權(quán)用戶隔

38、離到受保護(hù)網(wǎng)絡(luò)之外，禁止危及安全的服務(wù)進(jìn)入或離開網(wǎng)絡(luò)，防止各種IP盜用和路由攻擊。 通過防火墻可以監(jiān)視與安全有關(guān)的事件。在防火墻系統(tǒng)中可以采用監(jiān)聽和警報(bào)技術(shù)。 防火墻可以為幾種與安全無關(guān)的因特網(wǎng)服務(wù)提供方便的平臺(tái)。其中包括網(wǎng)絡(luò)地址翻譯和網(wǎng)絡(luò)管理功能部件，前者把本地地址映射成因特網(wǎng)地址，后者用來監(jiān)聽或記錄因特網(wǎng)的使用情況。 防火墻可以用作IPSec平臺(tái)。,78,7.7.4 防火墻的分類,最常用的防火墻有包過濾路由器、應(yīng)用級(jí)網(wǎng)關(guān)和電路級(jí)網(wǎng)關(guān)。 1.包過濾路由器 包過濾路由器依據(jù)一套規(guī)則對(duì)收到的IP包進(jìn)行處理，決定是轉(zhuǎn)發(fā)還是丟棄。過濾的具體處理方法視數(shù)據(jù)包所包含的信息而定，如源IP地址、目的IP地址

39、、源和目的傳輸層地址、IP協(xié)議域和接口等。 包過濾器可以看作一個(gè)規(guī)則表，由規(guī)則表和IP報(bào)頭或TCP數(shù)據(jù)頭內(nèi)容的匹配情況來執(zhí)行過濾操作。如果有一條規(guī)則與數(shù)據(jù)包的狀態(tài)匹配，就按照這條規(guī)則來執(zhí)行過濾操作；如果不匹配就執(zhí)行默認(rèn)操作。默認(rèn)的策略有兩種： 默認(rèn)丟棄策略：所有未明確允許轉(zhuǎn)發(fā)的數(shù)據(jù)包都被丟棄。 默認(rèn)轉(zhuǎn)發(fā)策略：所有未明確規(guī)定丟棄的數(shù)據(jù)包都被轉(zhuǎn)發(fā)。,79,2. 應(yīng)用級(jí)網(wǎng)關(guān) 應(yīng)用級(jí)網(wǎng)關(guān)也稱代理服務(wù)器，其工作的過程大致為：用戶使用Telnet和FTP之類的TCP/IP應(yīng)用程序時(shí)，建立一個(gè)到網(wǎng)關(guān)的連接，網(wǎng)關(guān)要求用戶出示將要訪問的異地機(jī)器的正確名稱。若用戶給出了一個(gè)有效的用戶ID和驗(yàn)證信息，網(wǎng)關(guān)就建立一個(gè)到異地機(jī)器的應(yīng)用連