1、計(jì)算機(jī)網(wǎng)絡(luò)概論,劉兵 制作,學(xué)習(xí)要點(diǎn)： 計(jì)算機(jī)網(wǎng)絡(luò)安全的基本概念和基礎(chǔ)知識 數(shù)據(jù)加密方法 數(shù)字簽名的原理 防火墻,第7章 計(jì)算機(jī)網(wǎng)絡(luò)的安全,7.1 計(jì)算機(jī)網(wǎng)絡(luò)安全概述,7.2 數(shù)據(jù)加密,7.3 數(shù)字簽名,7.4 防火墻,退出,第7章 計(jì)算機(jī)網(wǎng)絡(luò)的安全,7.1 計(jì)算機(jī)網(wǎng)絡(luò)安全概述,7.1.1 計(jì)算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)知識,7.1.2 計(jì)算機(jī)網(wǎng)絡(luò)面臨的主要威脅,返回,7.1.1 計(jì)算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)知識,1. 計(jì)算機(jī)網(wǎng)絡(luò)安全的含義,計(jì)算機(jī)網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不會因偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。,計(jì)算機(jī)網(wǎng)絡(luò)安全又分為

2、： （l）運(yùn)行系統(tǒng)安全，即保證信息處理和傳輸系統(tǒng)的安全。 （2）網(wǎng)絡(luò)上系統(tǒng)信息的安全。 （3）網(wǎng)絡(luò)上信息傳播的安全。全。 （4）網(wǎng)絡(luò)上信息內(nèi)容的安全。,2. 網(wǎng)絡(luò)安全的特征 （1）保密性： （2）完整性： （3）可用性： （4）可控性：,3. 網(wǎng)絡(luò)安全的策略 （1） 網(wǎng)絡(luò)用戶的安全責(zé)任 （2） 系統(tǒng)管理員的安全責(zé)任 （3） 正確利用網(wǎng)絡(luò)資源 （4） 檢測到安全問題時(shí)的對策,4. 網(wǎng)絡(luò)安全性措施 （1） 網(wǎng)絡(luò)安全措施 要實(shí)施一個(gè)完整的網(wǎng)絡(luò)安全系統(tǒng)，至少應(yīng)該包括三類措施： 社會的法律、法規(guī)以及企業(yè)的規(guī)章制度和安全教育等外部軟件環(huán)境。 技術(shù)方面的措施，如網(wǎng)絡(luò)防毒、信息加密、存儲通信、授權(quán)、認(rèn)證以及防

3、火墻技術(shù)。 審計(jì)和管理措施，這方面措施同時(shí)也包含了技術(shù)與社會措施。,（2） 網(wǎng)絡(luò)安全性方法 為網(wǎng)絡(luò)安全系統(tǒng)提供適當(dāng)安全的常用方法有：修補(bǔ)系統(tǒng)漏洞、病毒檢查、加密、執(zhí)行身份鑒別、防火墻、捕捉闖入者、直接安全、空閑機(jī)器守則、廢品處理守則、口令守則。,1. 概述 計(jì)算機(jī)網(wǎng)絡(luò)受到的安全威脅主要來自以下幾個(gè)方面： 竊取網(wǎng)絡(luò)信息。 中斷網(wǎng)絡(luò)信息。 篡改網(wǎng)絡(luò)信息。 仿冒用戶身份。,7.1.2 計(jì)算機(jī)網(wǎng)絡(luò)面臨的主要威脅,計(jì)算機(jī)網(wǎng)絡(luò)安全性的威脅又分成兩大類： 一種是被動攻擊 一種是主動攻擊。,2. 惡意程序 對計(jì)算機(jī)網(wǎng)絡(luò)安全威脅較大的有： 計(jì)算機(jī)病毒 計(jì)算機(jī)蠕蟲 特洛伊木馬 邏輯炸彈等。,7.2 數(shù)據(jù)加密,7.

4、2.1 一般數(shù)據(jù)的加密模型,7.2.2 常規(guī)密鑰密碼體制,返回,7.2.3 公開密鑰密碼體制,密碼學(xué)是以研究秘密通信為目的，即研究對傳輸信息采取何種秘密的變換以防止第三者對信息的竊取. 密碼學(xué)分為密碼編碼學(xué)和密碼分析學(xué)，其中密碼編碼學(xué)是密碼體制的設(shè)計(jì)學(xué)，而密碼分析學(xué)則是在未知密鑰的情況下從密文推演出明文或密鑰的技術(shù)。,7.2.1 一般數(shù)據(jù)的加密模型,一組含有參數(shù)k的變換E。設(shè)已知信息m（又稱之為明文），通過變換E，得到密文c，即 c = Ek(m) 這個(gè)過程稱之為加密，參數(shù)k稱之為密鑰，變換E稱之為加密算法。,常規(guī)密鑰密碼體制就是指加密密鑰與解密密鑰是相同的密碼體制。這種加密系統(tǒng)又稱為對稱密鑰

5、系統(tǒng)。 常規(guī)的密鑰密碼體制有多種加密方法，這里僅講授三種方法：棋盤密碼、替代密碼和換位密碼。,7.2.1 一般數(shù)據(jù)的加密模型,1. 棋盤密碼,其加密的思想是：將26個(gè)英文字母排列在一個(gè)55的方格里，其中i和j填在同一格 這樣26個(gè)英文字母中的每一個(gè)字母都對應(yīng)著由所組成的一個(gè)數(shù)，其中，是該字母所在行的標(biāo)號、表示是列標(biāo)號。,2. 替代密碼,用一組密文字母來代替一組明文字母可以隱藏明文，但保持明文字母位置不變。,3. 換位密碼,對明文字母的順序按密鑰的規(guī)律相應(yīng)的排列組合后輸出，然后形成密文。原理如下: 密鑰必須是一個(gè)不含重復(fù)字母的單詞或短語，加密時(shí)將明文按密鑰長度截成若干行排在密鑰下面（不足的時(shí)候按

6、順序補(bǔ)字母），按照密鑰鑰字母在英文字母表中的先后順序給各列進(jìn)行編號，然后按照編好的順序按列輸出明文即成密文。,例如：加密密鑰為COMPUTER，加密的明文為： pleaseexecutethelatestscheme （1）密鑰COMPUTER各字母按照英文26個(gè)字母中的先后順序排列如下： 1 4 3 5 8 7 2 6,（2）再把明文按那么按照密鑰長度截成若干行排，以如下形式寫出來： C O M P U T E R p l e a s e e x e c u t e t h e l a t e s t s c h e m e a b c d （3）按照密鑰各字母的先后順序按列輸出明文即成密文

7、。那么輸出的密文為： PELHEHSCEUTM LCAEATEEXECDETTBSESA,主要在于其密鑰的管理： （1）進(jìn)行安全通信前需要以安全方式進(jìn)行密鑰交換。 （2）密鑰規(guī)模復(fù)雜。,4. 以上加密方法的缺陷,從數(shù)學(xué)模型的角度來說，要想從加密密鑰不能推導(dǎo)出解密密鑰，則加密算法E與解密算法D必須滿足三個(gè)條件： D(E(P)=P 已知E，不能由E=D 使用“選擇明文”不能攻破E。,7.2.3 公開密鑰密碼體制,公開密鑰算法的特點(diǎn)如下： （1）發(fā)送者用加密密鑰（或稱公開密鑰）PK對明文X加密后，在接收者用解密密鑰（或稱秘密密鑰）SK解密，即可恢復(fù)出明文，或?qū)憺椋?DSK（EPK（X） X 解密密鑰

8、是接收者專用的秘密密鑰，對其他人都保密。,（2）加密密鑰是公開的，但不能用它來解密，即 DPK（EPK（X） X （3）在計(jì)算機(jī)上可以容易地產(chǎn)生成對的PK和SK。 （4）從已知的PK實(shí)際上不可能推導(dǎo)出SK，即從PK到SK是“計(jì)算上不可能的”。且加密和解密算法都是公開的。,7.3 數(shù)字簽名,數(shù)字簽名(Digital Signature)是指用戶用自己的私鑰對原始數(shù)據(jù)的哈希摘要進(jìn)行加密所得的數(shù)據(jù)。信息接收者使用信息發(fā)送者的公鑰對附在原始信息后的數(shù)字簽名進(jìn)行解密后獲得哈希摘要，并通過與自己用收到的原始數(shù)據(jù)產(chǎn)生的哈希摘要對照，便可確信原始信息是否被篡改。,7.3.1 數(shù)字簽名概述,簽名體現(xiàn)了以下幾個(gè)方

9、面的保證： （1）簽名是可信的。 （2）簽名是不可偽造的。 （3）簽名不可重用。 （4）簽名后的文件是不可變的。 （4）簽名是不可抵賴的。,7.3.1 數(shù)字簽名概述,為使數(shù)字簽名能代替?zhèn)鹘y(tǒng)的簽名，必須保證以下三個(gè)條件： （1）接收者能夠核實(shí)發(fā)送者對報(bào)文的簽名； （2）發(fā)送者事后不能抵賴對報(bào)文的簽名； （3）接收者不能偽造對報(bào)文的簽名。,7.3.2 數(shù)字簽名的實(shí)現(xiàn),7.4 防火墻 7.4.1什么是防火墻,防火墻技術(shù)就是一種保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)安全的技術(shù)性措施，是在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間實(shí)現(xiàn)控制策略的系統(tǒng)，主要是為了用來保護(hù)內(nèi)部的網(wǎng)絡(luò)不易受到來自Internet的侵害。,防火墻的主要功能如下：,（1）過

10、濾不安全服務(wù)和非法用戶，禁止未授權(quán)的用戶訪問受保護(hù)網(wǎng)絡(luò)。 （2）控制對特殊站點(diǎn)的訪問。 （3）提供監(jiān)視Internet安全和預(yù)警的方便端點(diǎn)。,對于以下情況防火墻無能為力：,（1）不能防范繞過防火墻的攻擊。 （2）一般的防火墻不能防止受到病毒感染的軟件或文件的傳輸。 （3）不能防止數(shù)據(jù)驅(qū)動式攻擊。 （4）難以避免來自內(nèi)部的攻擊。,7.4.2 防火墻的三種類型,1. 網(wǎng)絡(luò)級防火墻 由一個(gè)路由器或一臺充當(dāng)路由器的計(jì)算機(jī)組成。 包過濾路由器對所接收的每個(gè)數(shù)據(jù)包進(jìn)行審查，以便確定其是否與某一條包過濾規(guī)則匹配。,2. 應(yīng)用級防火墻 應(yīng)用級防火墻通常指運(yùn)行代理（Proxy）服務(wù)器軟件的一臺計(jì)算機(jī)主機(jī)。,3.

11、 電路級防火墻 是一個(gè)具有特殊功能的防火墻，它可以由應(yīng)用層網(wǎng)關(guān)來完成。電路層網(wǎng)關(guān)只依賴于TCP連接，并不進(jìn)行任何附加的包處理或過濾。,7.4.3 防火墻體系結(jié)構(gòu),1. 雙重宿主主機(jī)體系結(jié)構(gòu) 雙重宿主主機(jī)體系結(jié)構(gòu)是指在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的接口處使用至少兩個(gè)網(wǎng)絡(luò)設(shè)備， 這些網(wǎng)絡(luò)設(shè)備可以是路由器或普通計(jì)算機(jī)，其中一個(gè)連接內(nèi)部網(wǎng)絡(luò)（稱為內(nèi)部分組過濾器），另一個(gè)連接外部網(wǎng)絡(luò)（稱為外部分組過濾器），它們之間由設(shè)備連接,7.4.3 防火墻體系結(jié)構(gòu),2. 主機(jī)過濾體系結(jié)構(gòu) 這種結(jié)構(gòu)由硬件和軟件共同完成，硬件主要是指路由器，軟件主要是指過濾器，它們共同完成外界計(jì)算機(jī)訪問內(nèi)部網(wǎng)絡(luò)時(shí)從IP地址或域名上的限制，也可以

12、指定或限制內(nèi)部網(wǎng)絡(luò)訪問Internet。,7.4.3 防火墻體系結(jié)構(gòu),3. 子網(wǎng)過濾體系結(jié)構(gòu),7.4.4 包過濾技術(shù),包過濾（Packet Filter）是在網(wǎng)絡(luò)層中對數(shù)據(jù)包實(shí)施有選擇的通過。依據(jù)系統(tǒng)內(nèi)事先設(shè)定的過濾邏輯，檢查數(shù)據(jù)流中每個(gè)數(shù)據(jù)包后，根據(jù)數(shù)據(jù)包的源地址、目的地址、TCP/UDP源端口號、TCP/UDP目的端口號以及數(shù)據(jù)包頭中的各種標(biāo)志位等因素來確定是否允許數(shù)據(jù)包通過，其核心是安全策略即過濾算法的設(shè)計(jì)。,1. 包過濾是如何工作的 包過濾技術(shù)可以允許或不允許某些包在網(wǎng)絡(luò)上進(jìn)行傳遞，其依據(jù)以下的判據(jù)： （1）將包的目的地址作為判據(jù)； （2）將包的源地址作為判據(jù)； （3）將包的傳送協(xié)議作為判據(jù)。,2. 包過濾的優(yōu)缺點(diǎn) （1）包過濾的優(yōu)點(diǎn) 僅用一個(gè)放置在重要位置上的包過濾路由器就可保護(hù)整個(gè)網(wǎng)絡(luò)。 如果內(nèi)部網(wǎng)絡(luò)中的站點(diǎn)與Internet網(wǎng)絡(luò)之間只有一臺路由器，那么不管內(nèi)部網(wǎng)絡(luò)規(guī)模有多大，只要在這臺路由器上設(shè)置合適的包過濾，內(nèi)部網(wǎng)絡(luò)中的站點(diǎn)就可獲得很好的網(wǎng)絡(luò)安全保護(hù)。,（2）包過濾的缺點(diǎn) 在機(jī)器中配置包過濾規(guī)則比較困難； 對系統(tǒng)中的包過濾規(guī)則的配置進(jìn)行測試也較麻煩