网络安全技术与实践第二版课后答案.docx

网络安全技术与实践第二版课后答案网络平安期末复习 题型：1、选择、推断、简答（45%） 2、分析题（55%） 注：如有发觉错误，希望能够提出来。第一章 引言 一、填空题 1、信息平安的3个基本目标是：保密性、完整性和可用性。此外，还有一个不行忽视的目标是：合法运用。2、网络中存在的4种基本平安威逼有：信息泄漏、完整性破坏、拒绝服务和非法运用。3、访问限制策略可以划分为：强制性访问限制策略和自主性访问限制策略。4、平安性攻击可以划分为：被动攻击和主动攻击。5、X.800定义的5类平安服务是：认证、访问限制、数据保密性、数据完整性、不行否认性。6、X.800定义的8种特定的平安机制是：加密、数字签名、访问限制、数据完整性、认证交换、流量填充、路由限制和公证。7、X.800定义的5种普遍的平安机制是：可信功能度、平安标记、事务检测、平安审计跟踪和平安复原。二、思索题 2、基本的平安威逼有哪些？主要的渗入类型威逼是什么？主要的植入类型威逼时什么？请列出几种最主要的威逼。答：基本的平安威逼有：信息泄露、完整性破坏、拒绝服务、非法运用。主要的渗入类型威逼有：假冒、旁路、授权侵扰。主要的植入威逼有：特洛伊木马?、陷门 最主要平安威逼：（1）授权侵扰（2）假冒攻击（3）旁路限制（4）特洛伊木马或陷阱（5）媒体废弃物（出现的频率有高到低） 4.什么是平安策略？平安策略有几个不同的等级？ 答：平安策略：是指在某个平安区域内，施加给全部与平安相关活动的一套规则。平安策略的等级：1平安策略目标；2机构平安策略；3系统平安策略。 6.主动攻击和被动攻击的区分是什么？请举例说明。 答：区分：被动攻击时系统的操作和状态不会变更，因此被动攻击主要威逼信息 的保密性。主动攻击则意在篡改或者伪造信息、也可以是变更系统的状态和操作，因此主动攻击主要威逼信息的完整性、可用性和真实性。主动攻击的例子：伪装攻击、重放攻击、消息篡改、拒绝服务。? 被动攻击的例子：消息泄漏、流量分析。 9、请画出一个通用的网络平安模式，并说明每个功能实体的作用。 网络平安模式如下： 网络平安模型由六个功能实体组成：消息的发送方（信源）、消息的接收方（信宿）、平安变换、信息通道、可信的第三方和攻击者。其次章 低层协议的平安性 一、填空题 1、主机的IPv4的长度为32b，主机的MAC地址长度为48b。IPv6的地址长度为128b。2、ARP的主要功能是将IP地址转换成为物理地址 3、NAT的主要功能是实现网络地址和IP地址之间的转换，它解决了IPv4地址短缺的问题。4、DNS服务运用53号端口，它用来实现域名到IP地址或IP地址到域名的映射。二、思索题 1、简述以太网上一次TCP会话所经验的步骤和涉及的协议。答：步骤：开放TCP连接是一个3步握手过程：在服务器收到初始的SYN数据包后，该连接处于半开放状态。此后，服务器返回自己的序号，并等待确认。最终，客户机发送第3个数据包使TCP连接开放，在客户机和服务器之间建立连接。协议:路由协议、Internet协议、 TCP/IP协议 2、在TCP连接建立的3步握手阶段，攻击者为什么可以胜利实施SYN Flood攻击？在实际中，如何防范此类攻击？ 答：当TCP处于半开放状态时，攻击者可以胜利利用SYN Flood对服务器发动攻击。攻击者运用第一个数据包对服务器进行大流量冲击，使服务器始终处于半开放连接状态，导致服务器无法实现3步握手协议。防范SYN Flood攻击，一类是通过防火墙、路由器等过滤网关防护；另一类是通过加固TCP/IP协议栈防范。4、为什么UDP比BGP的主要区分。答：由于UDP自身缺少流限制特性，所以采纳UDP进行大流量的数据传输时，就可能造成堵塞主机或路由器，并导致大量的数据包丢失；UDP没有电路概念，所以发往给定端口的数据包都被发送给同一个进程，而忽视了源地址和源端口号；UDP没有交换握手信息和序号的过程，所以采纳UDP欺瞒要比运用TCP更简单。9、通过DNS劫持会对目标系统产生什么样的影响？如何避开？ 答：通过劫持了DNS服务器，通过某些手段取得某域名的解析记录限制权，进而修改此域名的解析结果，导致对该域名的访问由原IP地址转入到修改后的指定IP，其结果就是对特定的网址不能访问或访问的是假网址。避开DNS劫持:暴露的主机不要采纳基于名称的认证；不要把隐私的信息放在主机名中；进行数字签名 14、推断下列状况是否可能存在？为什么？ （1）通过ICMP数据包封装数据，与远程主机进行类似UDP的通信。（2）通过特意构造的TCP数据包，中断两台机器之间指定的一个TCP会话。答：（1）不存在。TCP/UDP是传输层（四层）的协议，只能为其上层供应服务，而ICMP是网络互联层（三层）的协议，怎么可能反过来用四层协议来为比它还低层的数据包来服务呢。（2）假如攻击者能够预料目标主机选择的起始序号，他就可能欺瞒该目标主机，使目标主机信任自己正在与一台可信的主机会话。第4章 单（私）钥加密体制 一、填空题 1、密码体制的语法定义由以下六部分构成：明文消息空间、密文消息空间、加密密钥空间、密钥生成算法、加密算法、解密算法。2、单（私）钥加密体制的特点是：通信双方采纳的密钥相同所以人们通常也称其为对称加密体制。第9章 数字证书与公钥基础设施 一、选择题 1 数字证书将用户与其 B 相联系。 A . 私钥 B. 公钥 C. 护照 D. 驾照 2 用户的 B 不能出现在数字证书中。 A. 公钥 B. 私钥 C. 组织名 D. 人名 3. A 可以签发数字证书。A CA B. 政府 C. 小店主 D. 银行 4 D 标准定义数字证书结构。A. X.500 B. TCP/IP C. ASN.1 D. X.509 5RA A 签发数字证书。A. 可以 B.不必 C.必需 D. 不能 6CA运用 D 签名数字证书。A. 用户的公钥 B. 用户的私钥 C. 自己的公钥 D.自己的私钥 7. 要解决信任问题，需运用 C 。A. 公钥 B. 自签名证书 C. 数字证书 D. 数字签名 8. CRL是 C 的。A. 联机 B. 联机和脱机 C. 脱机 D. 未定义 9. OCSP是 A 的。A. 联机 B. 联机和脱机 C. 脱机 D. 未定义 10. 最高权威的CA称为 C 。 A. RCA B. RA C. SOA D. ARA 二、思索题 1、数字证书的典型内容什么？ 答：数字证书的概念：一个用户的身份与其所持有的公钥的结合，由一个可信任的权威机构CA来证明用户的身份，然后由该机构对该用户身份及对应公钥相结合的证书进行数字签名，以证明其证书的有效性。 一般包括： （1） 证书的版本信息； （2） 证书的序列号，每个证书都有一个唯一的证书序列号； （3）证书所运用的签名算法； （4）证书的发型机构名称； （5）证书的有效期； （6）证书全部人名称； （7）证书全部人的公开密钥； （8）证书发行者对证书的签名； 4、简述撤销数字证书的缘由？ 答：(1) 数字证书持有者报告该证书中指定公钥对应的私钥被破解（被盗）； (2) CA发觉签发数字证书是出错； (3) 证书持有者离职，而证书为其在职期间签发的。10、攻击者A创建了一个证书，放置一个真实的组织名（假设为银行B）及攻击者自己的公钥。你在不知道是攻击者在发送的情形下，得到了该证书，误认为该证书来自银行B。请问如何防止该问题的产生？ 答： 第10章 网络加密与密钥管理 一、填空题 1、网络加密方式有4种，它们分别是链路加密、节点加密、端到端加密和混合加密。2、在通信网的数据加密中，密钥可分为基本密钥、会话密钥、密钥加密密钥、主机主密钥。3、密钥安排的基本方法有利用平安信道实现密钥传输、利用双钥体制建立平安信道传递和利用特定的物理现象实现密钥传递等 4、在网络中，可信第三方TTP的角色可以由密钥服务器、密钥管理设备、密钥查阅服务和时戳代理 等来担当（请随意举出4个例子） 5、根据协议的功能分类，密码协议可以分为认证建立协议、密钥建立协议、认证的密钥建立协议。6、Diffie-Hellman密钥交换协议不能反抗中间人的攻击 7、Kerberos供应 A A.加密 B.SSO C.远程登录 D.本地登陆 8、在Kerberos中，允许用户访问不同应用程序或服务器的服务器称为 A A.AS B.TGT C.TGS D.文件服务器 9、在Kerberos中， C 与系统中的每个用户共享唯一一个口令。A.AS B.TGT C.TGS D.文件服务器 二、思索题 1、网络加密有哪几种方式？请比较它们的优缺点。答：网络加密的方式有4种分别是链路加密、节点加密、端到端加密、混合加密。链路加密的优点：(1) 加密对用户是透亮的，通过链路发送的任何信 息在发送前都先被加密。 (2) 每个链路只须要一对密钥。 (3) 供应了信号流平安机制。 缺点：数据在中间结点以明文形式出现，维护结点平安性的代价较高。节点加密的优点：（1）消息的加、解密在平安模块中进行，这使消息内容不会被泄密 （2） 加密对用户透亮 缺点：（1）某些信息（如报头和路由信息）必需以明文形式传输 （2）因为全部节点都必需有密钥，密钥分发和管理变的困难 端到端加密的优点：对两个终端之间的整个通信线路进行加密 只须要2台加密机，1台在发端，1台在收端 从发端到收端的传输过程中，报文始终以密文存在 消息报头（源/目的地址）不能加密，以明文传送 只须要2台加密机，1台在发端，1台在收端 从发端到收端的传输过程中，报文始终以密文存在 比链路和节点加密更平安牢靠，更简单设计和维护 缺点：不能防止业务流分析攻击。混合加密的是链路和端到端混合加密组成。优点：从成本、敏捷性和平安性来看，一般端到端加密方式较有吸引力。对于某些远程机构，链路加密可能更为合适。缺点信息的平安设计较困难。4、密钥有哪些种类？它们各自的用途是什么？请简述它们之间的关系？ 答：种类：1、基本密钥或称初始密钥其用途是与会话密钥一起去启动和限制某种算法所构造的密钥产生器，产生用于加密数据的密钥流。2、会话密钥其用途是使人们可以不必繁琐的更换基本密钥，有利于密钥的平安和管理。3、密钥加密密钥用途是用于对传送的会话或文件密钥进行加密时采纳的密钥，也成为次主密钥、协助密钥或密钥传送密钥。4、主机主密钥作用是对密钥加密密钥进行加密的密钥，存储于主机处理器中。5、双钥体制下的公开钥和隐私钥、签名密钥、证明密钥。关系如图： 7、密钥安排的基本模式有哪些？ （a）点对点密钥安排：由A干脆将密钥送给B，利用A与B的共享基本密钥加密实现。（b）密钥安排中心（KDC）：A向KDC恳求发送与B通信用的密钥，KDC生成k传给A,并通过A转递给B，利用A与KDC和B与KDC的共享密钥实现。（c）密钥传递中心（KTC）：A与KTC，B与KTC有共享基本密钥。11、在密码系统中，密钥是如何进行爱护、存储和备份的？ 密钥的爱护：将密钥按类型分成不同的等级。大量的数据通过少量的动态产生的初级密钥来爱护。初级密钥用更少量的、相对不变的二级密钥或主密钥KM0来爱护。二级密钥用主机主密钥KM1,KM2来爱护。少量的主密钥以明文形式存储在专用的密码装置中，其余的密钥以密文形式存储在专用密码装置以外。这样，就把爱护大量数据的问题简化为爱护和运用少量数据的问题。密钥的存储：密钥在多数时间处于静态，因此对密钥的保存是密钥管理重要内容。密钥可以作为一个整体进行保存，也可化为部分进行保存。密钥的硬件存储；运用门限方案的密钥保存 ；公钥在公用媒体中存储。密钥的备份：交给平安人员放在平安的地方保管；采纳共享密钥协议。第12章 防火墙技术 一、填空题 1、 防火墙应位于_C _ A、公司网络内部 B、公司网络外部 C、公司网络与外部网络 D、都不对 2、 应用网关的平安性_ B _包过滤防火墙。A、 不如 B、超过 C、等于 D、都不对 3、 防火墙可以分为静态包过滤、动态包过滤、电路级网关、应用级网关、状态检查包过滤、切换代理和空气隙7种类型。4、 静态包过滤防火墙工作于OSI模型的网络层上，他对数据包的某些特定域进行检查，这些特定域包括：数据源地址、目的地址、应用或协议、源端口号、目的端口号。5、 动态包过滤防火墙工作于OSI模型的网络层上，他对数据包的某些特定域进行检查，这些特定域包括数据源地址、目的地址、应用或协议、源端口号、目的端口号。6、 电路级网关工作于OSI模型的会话层上，它检查数据包中的数据分别为源地址、目的地址、应用或协议、源端口号、目的端口号和握手信息及序列号。7、 应用级网关工作于OSI模型的应用层上，它可以对整个数据包进行检查，因此其平安性最高。8、 状态检测防火墙工作于OSI模型的网络层上，所以在理论上具有很高的平安性，但是现有的大多数状态检测防火墙只工作于网络层上，因此其平安性与包过滤防火墙相当。9、 切换代理在连接建立阶段工作于OSI模型的会话层上，当连接建立完成值后，再切换到动态包过滤模式，即工作于OSI模型的网络层上。10、 空气隙防火墙也称作平安网闸，它在外网和内网之间实现了真正的隔离。二、思索题 1.防火墙一般有几个接口？什么是防火墙的非军事区（DMZ）？它的作用是什么？ 答：防火墙一般有3个或3个以上的接口。网关所在的网络称为非军事区（DZM）。网关的作用是供应中继服务，以补偿过滤器带来的影响。2.为什么防火墙要具有NAT功能？在NAT中为什么要记录端口号？ 答：运用NAT的防火墙具有另一个优点，它可以隐藏内部网络的拓扑结构，这在某种程度上提升了网络的平安性。在NAT中记录端口号是因为在实现端口地址转换功能时，两次NAT的数据包通过端口号加以区分。9.应用级网关与电路级网关有何不同？简述应用级网关的优缺点。答：与电路级网关不同的是应用级网关必需针对每个特定的服务运行一个特定的代理，它只能对特定服务所生成的数据包进行传递和过滤。应用级网关的优点：1、在已有的平安模型中平安性较高 2、具有强大的认证功能 3、具有超强的日志功能 4、应用级网关防火墙的规则配置比较简洁 缺点：1、敏捷性差 2、配置困难 3、性能不高 14.防火墙有什么局限性？ 答：防火墙是Internet平安的最基本组成部分，但对于内部攻击以及绕过防火墙的连接却无能为力，另外，攻击者可能利用防火墙为某些业务供应的特别通道对内部网络发起攻击，注入病毒或木马。15.软件防火墙与硬件防火墙之间的区分是什么？ 答：软件防火墙是利用CPU的运算实力进行数据处理，而硬件防火墙运用专用的芯片级处理机制。第13章 入侵检测系统 一、填空题 1、依据数据源的来源不同，IDS可分为 基于网络NID3 、 基于主机HIDS和两种都有DIDS种类型。2、一个通用的IDS模型主要由数据收集、 检测器、学问库和限制器 4部分组成。3、入侵检测分为3个步骤，分别为信息收集、 数据分析 和 响应 。4、一个NIDS的功能结构上至少包含 事务提取、入侵分析、入侵响应和远程管理4部分功能 5、DIDS通常由 数据采集构建 、通信传输构建、入侵检测分析、应急处理的构建和 用户管理构建5个构建组成。6、IDS限制台主要由 日志检索、探测器管理、规则管理、日志报表和用户管理5个功能模块构成。7、HIDS常安装于被爱护的主机，NIDS常安装于 网络 入口处。8、潜在人侵者的可以通过检查蜜罐日志来获得。9、吸引潜在攻击者陷阱为蜜罐。二、思索题 2、入侵检测系统根据功能可分为哪几类,有哪些主要功能? 答：功能构成包含：事务提取、入侵分析、入侵响应、远程管理4个部分功能 1、 网络流量的跟踪与分析功能 2、 已知攻击特征的识别功能 3、 异样行为的分析、统计与响应功能 4、 特征库的在线和离线升级功能 5、 数据文件的完整性检查功能 6、 自定义的响应功能 7、 系统漏洞的预报警功能 8、 IDS探测器集中管理功能 3、一个好的IDS应当满意哪些基本特征？ 答：1、可以使系统管理员时刻了解网络系统的任何变更 2、能给网络平安策略的制定供应依据 3、它应当管理、配置简洁，即使非专业人员也特别简单运用 4、入侵检测的规模还应依据网络威逼、系统构造和平安需求的变更而变更 5、入侵检测系统在发觉入侵后会刚好做出响应，包括切断网络连接、记录事务和报警。6、什么是异样检测，基于异样检测原理的入侵检测方法有哪些？ 答：异样检测技术又称为基于行为的入侵检测技术，用来识别主机或网络中的异样行为。通过收集操作活动的历史数据，建立代表主机、用户或网络连接的正常行为描述，推断是否发生入侵。1、 统计异样检测方法 2、 特征选择异样检测方法 3、 基于贝叶斯网络异样检测方法 4、 基于贝叶斯推理异样检测方法 5、 基于模式预料异样检测方法 7、什么是误用检测，基于误用检测原理的入侵检测方法有哪些？ 答：误用检测技术又称为基于学问的检测技术。它通过对已知的入侵行为和手段进行分析，提取检测特征，构建攻击模式或攻击签名，推断入侵行为。1、基于条件的概率误用检测方法 2、基于专家系统误用检测方法 3、基于状态迁移分析误用检测方法 4、基于键盘监控误用检测方法 5、基于模型误用检测方法 10、蜜网和蜜罐的作用是什么，它们在检测入侵方面有什么优势？ 蜜罐的作用:1、把潜在入侵者的留意力从关键系统移开2、收集入侵者的动作信息3、设法让攻击者停留一段时间，使管理员能检测到它并实行相应的措施。蜜网的作用：1、蜜网在确保不被入侵者发觉诱骗的前提下，尽可能多地捕获攻击行为信息，2、Honeynet向Internet发起的连接进行跟踪，一旦Honeynet达到了规定的向外的连接数，防火墙将阻断任何后续的连接，并且刚好向系统管理员发出警告信息3、IDS在数据链路层对蜜网中的网络数据流进行监控，分析和抓取以便将来能够重现攻击行为，同时在发觉可疑举动时报警。蜜罐和蜜网能从现存的各种威逼中提取有用的信息，发觉新型的攻击工具，确定攻击模式并探讨攻击者的攻击动机，从而确定更好的对策。第14章 VPN技术 一、填空题 1、依据访问方法的不同，VPN可以分为远程访问VPN和网关-网关VPN两种类型。2、VNP的关键技术包括 隧道技术 、 加/解密技术 、 密钥管理技术 、 身份认证技术 和 访问限制 等。3、 第2层隧道协议主要有PPTP、L2F 和L2TP 3个协议。4、 第3层隧道协议主要有IPSec 、GRE 和 MPLS 3个协议。5、 IPSec的主要功能是实现加密、认证和密钥交换，这3个功能分别由 AH 、 ESP 和 IKE 3个协议来实现 6、 IPSec VPN主要由 管理模块 、密钥安排和生成模块 、 身份认证模块 、 数据加/解密模块 和 数据分组封装/分解模块 5个模块组成。7、 IPSec在OSI参考模型的 C 层供应平安性。 A.应用 B.传输 C.网络 D.数据链路 8、 ISAKMP/Oakley与 D 相关。 A.SSL B.SET C.SHTTP D.IPSec 9、 IPSec中的加密是由 D 完成的。 A.AH B.TCP/IP C.IKE D.ESP 10、 在 A 状况下，IP头才须要加密。 A.信道模式 B.传输模式 C.信道模式和传输模式 D、无模式 第一章 引言 1、网络平安的基本目标：保密性、完整性、可用性、合法运用 2、计算机病毒的发展态势：1）、计算机病毒层出不穷2）、黑客攻势逐年攀升3）、系统存在平安漏洞4）、各国军方加紧信息战探讨 3、典型的平安威逼：假冒攻击/冒充攻击、截获、窃听、篡改、消息重发/重放攻击、拒绝服务攻击DOS、DDOS（各定义详见课本） 4、防止重放攻击的方法：时间戳、序号、提问与应答。 5、防范口令攻击的方法、暴力破解、字典攻击：阻挡选择低级口令；对口令文件严格爱护。要彻底解决口令机制的弊端是运用基于令牌的机制，转而运用基于令牌的机制。假如短暂不能做到，至少要运用一次性口令方案。7、认证：认证服务与保证通信的真实性有关.在单条消息下,如一条警告或报警信号认证服务是向接收方保证信息来自所声称的发送方.对于正在进行的交互,如终端和主机连接,就设计两个方面的问题:首先,在连接的初始化阶段,认证服务保证两个实体是可信的,也就是说,每个实体都是它们所声称的实体;其次,认证服务必需保证该连接不受第三方的干扰,例如,第三方能够伪装成两个合法实体中的一方,进行非授权的传输或接收.两个特别的认证服务:同等实体认证、数据源认证. 认证机制的失效易导致服务器被攻击者欺瞒。被破坏的主机不会进行平安加密，因此对源主机采纳密码认证的方式无用。通过修改认证方案消退其缺陷，完全可以挫败这种类型的攻击。8、网络平安的模型及说明（详见课本） 其次章 底层协议的平安性 9、IP协议的平安缺陷：1）IP协议不能保证数据就是从数据包中给定的源地址发出的，你肯定不能靠对源地址的有效性检验来推断数据包的好坏； 2）攻击者可以发送含有伪造返回地址的数据包，这种攻击叫做IP欺瞒攻击； 3）当路由器遇到大数据流量的状况下，可能在没有任何提示的状况下丢掉一些数据包； 4）大数据包可能在中间节点上被分拆成小数据包。通过向包过滤器注入大量病态的小数据包，可以对包过滤器造成破坏； 10、ARP功能：以太网发送的是48位以太地址的数据包；IP驱动程序必需将32位IP目标地址转换成48位地址；两类地址存在静态或算法上的影射；ARP用来确定两者之间的影射关系。ARP欺瞒：一台不行信任的计算机会发出假冒的ARP查询或应答信息，并将全部流向它的数据流转移。这样，它就可以伪装成某台机器，或修改数据流。这种攻击叫做ARP欺瞒攻击 11、ICMP泛洪攻击：黑客能够用ICMP对消息进行重定向。只要黑客能够篡改你到达目的地的正确路由，他就有可能攻破你的计算机。一般来说，重定向消息应当仅由主机执行，而不是由路由器来执行。仅当消息干脆来自路由器时，才由路由器执行重定向。然而，有时网管员有可能运用ICMP创建通往目的地的新路由。这种特别不谨慎的行为最终会导致特别严峻的网络平安问题。12、TCP连接的三次握手过程： 用三次握手建立 TCP 连接，如图所示：A 的 TCP 向 B 发出连接恳求报文段，其首部中的同步位 SYN = 1，并选择序号 seq = x，表明传送数据时的第一个数据字节的序号是 x。B 的 TCP 收到连接恳求报文段后，犹如意，则发回确认。B 在确认报文段中应使 SYN = 1 ，使 ACK = 1 ，其确认号ack = x+1 ，自己选择的序号 seq = y。A 收到此报文段后向 B 给出确认，其 ACK = 1 ，确认号 ack = y+1 。A 的TCP 通知上层应用进程，连接已经建立。B 的 TCP 收到主机 A 的确认后，也通知其上层应用进程：TCP 连接已经建立。13、TCP SYN洪泛攻击：攻击者利用TCP连接的半开放状态发动攻击。攻击者运用第一个数据包对服务器进行大流量冲击，使服务器始终处于半开放连接状态，从而无法完成3步握手协议。14、DHCP、DNS服务器功能：域名DHCP用来安排IP地址，并供应启动计算机（或唤醒一个新网络）的其他信息，它是BOOTP的扩展。域名系统DNS是一个分布式数据库系统，用来实现“域名IP地址”，或“IP地址域名”的影射。15、网络地址转换NAT：NAT的主要作用是解决当前IPv4地址空间缺乏的问题。从概念上讲，NAT特别简洁：它们监听运用了所谓专用地址空间的内部接口，并对外出的数据包重写其源地址和端口号。外出数据包的源地址运用了ISP为外部接口安排的Internet静态IP地址。对于返回的数据包，它们执行相反的操作。NAT存在的价值在于IPv4的短缺。协议的困难性使NAT变得很不行靠。在这种状况下，我们在网络中必需运用真正意义的防火墙，并希望IPv6的应用完快得到普及。其次部分 密码学 16、密码体制构成的五个要素：明文空间M、密文空间C、密钥空间K、加密算法E、解密算法D。17、双钥密码体制的基本概念及各自的密钥的功能和作用：基本概念是公钥密码技术又称非对称密码技术或双钥密码技术，其加密和解密数据运用不同的密钥。公开密钥(public-key)，可以被任何人知道，用于加密或验证签名。私钥( private-key)，只能被消息的接收者或签名者知道，用于解密或签名。18、数字签名的基本概念：收方能够确认或证明发方的签名，但不能伪造，简记为R1-条件；发方发出签名的消息给收方后，就不能再否认他所签发的消息，简记为S-条件；收方对已收到的签名消息不能否认，即有收报认证，简记为R2-条件；第三者可以确认收发双方之间的消息传送，但不能伪造这一过程，简记为T-条件。第九章 公钥基础设施 19、PKI定义及主要任务 1）定义：PKI公钥基础设施，是一种遵循标准的利用公钥理论和技术建立的供应平安服务的基础设施。其目的是解决网上身份认证、电子信息的完整性和不行抵赖性等平安问题，为网络应用供应牢靠的平安服务。 2）主要任务：确立可信任的数字身份。 20、PKI体系组成部分：证书机构、注册机构、证书发布库、密钥备份与复原、证书撤销、PKI应用接口 21、CA系统功能：证书生成、证书颁布、证书撤销、证书更新、证书归档、CA自身管理、日志审计、密钥复原。22、RA系统功能：填写用户注册信息、提交用户注册信息、审核、发送生成证书申请、发放证书、登记黑名单、证书撤销列表管理、日志审计、自身平安保证. 23、证书发布库的作用：用于集中存放CA颁发证书和证书撤销列表；支持分布式存放，以提高查询效率；LDAP书目服务支持分布式存放，是大规模PKI系统胜利实施的关键，也是创建高效的认证机构的关键技术 24、PKI供应的主要服务：认证服务、数据完整性服务、数据保密性服务、不行否认服务、公证服务。25、数字证书的典型内容：证书拥有者的姓名、证书拥有者的公钥、公钥的有限期、颁发数字证书的单位、颁发数字证书单位的数字签名、数字证书的序列号 26、SSL工作层次、协议构成及功能：（详见课件“PKI补充材料.PPT”） 1）工作层次：介于TCP/IP模型应用层与传输层之间 2）协议分成两部分： SSL握手协议:通信双方相互验证身份、以及平安协商会话密钥 SSL记录协议:定义了传输的格式,对上层传来的数据加密后传输. 3）功能： a鉴别机制：确保网站的合法性；b爱护隐私：采纳加密机制；c信息完整性：确保传输的信息不被篡改. 27、数字证书的验证方法 RA验证用户材料，以明确是否接受用户注册。 检查私钥的拥有证明（POP，Proof of possession）。 RA要求用户采纳私钥对证书签名恳求进行数字签名。 RA生成随机数挑战信息，用该用户公钥加密，并将加密后的挑战值发送给用户。若用 户能用其私钥解密，则验证通过。 RA将数字证书采纳用户公钥加密后，发送给用户。用户须要用与公钥匹配的私钥解密 方可取得明文证书。 28、数字证书撤销的缘由及方法 1）缘由：a）数字证书持有者报告该证书中指定公钥对应的私钥被破解（被盗）；b）CA发觉签发数字证书时出错；c）证书持有者离职，而证书为其在职期间签发的。 2）方法：发生第一种情形需由证书持有者进行证书撤销申请；发生其次种情形时，CA启动证书撤销；发生第三种情形时需由组织提出证书撤销申请。 29、PMI的定义、PMI与PKI的关系 定义：权限管理基础设施或授权管理基础设施，是属性证书、属性权威、属性证书框架等部件的集合体，用来实现权限和证书的产生、管理、存储、分发和撤销等功能。第十章 网络加密与密钥管理 30、网络加密方式及特点 1）链路加密：a ）不同结点对之间的密码机和密钥不肯定相同；b ）在每个中间节点上，消息先解密，后加密；c ）报文和报头可同时进行加密；d ）在结点内部，消息以明文的方式存在；e ）在链路加密中，密钥安排存在困难；f ）随着结点增多，保密机的需求数量很大。 2）节点加密：a) 在中间节点先对消息进行解密，然后进行加密吧b)在通信链路上所 传输的消息为密文；c) 加密过程对用户是透亮；d) 消息在节点以明文形式存在； e) 加解密过程在结点上的一个平安模块中进行；f) 要求报头和路由信息以明文 形式传送。 3）端到端加密：a ）对两个终端之间的整个通信线路进行加密；b ）只须要2台加密机，1台在发端，1台在收端；c ）从发端到收端的传输过程中，报文始终以密文存在；d ）消息报头（源/目的地址）不能加密，以明文传送；e ) 只须要2台加密机，1台在发端，1台在收端；f ) 从发端到收端的传输过程中，报文始终以密文存在；g ) 比链路和节点加密更平安牢靠，更简单设计和维护。 4）混合加密: 链路加密+端到端加密 31、软件加密和硬件的特点： 1）硬件加密的特点:加密速度快、硬件平安性好、硬件易于安装。 2）软件加密的特点:速度慢、敏捷、轻巧、可安装于多种机器上、可将几个软件组合成一个系统.。 32、文件删除方法：真正从存储器中消退所存储的内容需用物理上的重复写入方法。33、密钥管理的功能及目的： A）密钥管理是处理密钥从产生到最终销毁的整个过程中的有关问题，包括系统的初始化及密钥的产生、存储、备份/复原、装入、安排、爱护、更新、限制、丢失、撤销和销毁等内容。 B）目的：是维持系统中各实体之间的密钥关系，以抗击各种可能的威逼，如：1）密钥的泄露 2）密钥或公开钥的确证性的丢失，确证性包括共享或关于一个密钥的实体身份的学问或可证性。3）密钥或公开钥未经授权运用，如运用失效的密钥或违例运用密钥。 34、密钥的种类及各类密钥的有效期 1）基本密钥：是由用户选定或由系统安排给他的、可在较长时间）内由一对用户所专用的隐私钥。记为kp 2）会话密钥：两个通信终端用户在一次通话或交换数据时所用的密钥。记为ks 3）密钥加密密钥：用于对所传送的会话或文件密钥进行加密的密钥，也称次主密钥。记为ke 4）主机密钥：它是对密钥加密钥进行加密的密钥，存储于主机处理器中。记为km 5）数据加密密钥：也称为工作密钥。 6）在双钥体制下,有公钥和私钥、签名密钥和证明密钥之分 35、 密钥的分级爱护管理法： 如图所示，从图中可以清晰看出各类密钥的作用和相互关系。由此可见，大量数据可以通过少量动态产生的数据加密密钥（初级密钥）进行爱护；而数据加密密钥又可由少量的、相对不变（运用期较长）的密钥（二级）或主机主密钥0来爱护；其他主机主密钥（1 和 2）用来爱护三级密钥。这样，只有极少数密钥以明文形式存储在有严密物理爱护的主机密码器件中，其他密钥则以加密后的密文形式存于密码器之外的存储器中，因而大大简化了密钥管理，并改了密钥的平安性。 36、将密钥按类型分成不同的等级。 1）大量的数据通过少量的动态产生的初级密钥来爱护。 2）初级密钥用更少量的、相对不变的二级密钥或主密钥KM0来爱护。 3）二级密钥用主机主密钥KM1,KM2来爱护。 4）少量的主密钥以明文形式存储在专用的密码装置中，其余的密钥以密文形式存储在专用密码装置以外。 这样，就把爱护大量数据的问题简化为爱护和运用少量数据的问题。（事实上爱护一个密钥，因为KM1,KM2 是由KM0派生而来。） 37、 实现隐私信息共享的3个基本方法 1)利用平安信道实现密钥传递 2）利用双钥体制建立平安信息传递 3）利用特定物理现象实现密钥传递。 38、密钥生存期的4个阶段 1）预运行阶段,此时密钥尚不能正常运用 2）运行阶段,密钥正常运用 3）后运行阶段,密钥不再供应正常运用,但为了特别目的可以在脱机下接入 4）报废阶段,将有关被吊销密钥从全部记录中山区,这类密钥不行能再用 第十二章 防火墙技术 39、防火墙工作原理：防火墙是由软件和硬件组成的系统，它处于平安的网络和担心全的网络之间，依据由系统管理员设置的访问限制规则，对数据流进行过滤。40、防火墙对数据流的3种处理方式：a 允许数据流通过；b 拒绝数据流通过，并向发送者回复一条消息，提示发送者该数据流已被拒；c 将数据流丢弃，不对这些数据包进行任何处理，也不会向发送者发送任何提示信息。41、防火墙的要求及基本目标：全部进出网络的数据流都必需经过防火墙；只允许经过授权的数据流通过防火墙；防火墙自身对入侵是免疫的。42、防火墙的OSI模型工作层次及特点 防火墙通常建立在TCP/IP模型基础上，OSI模型与TCP/IP模型之间并不存在一一对应的关系。43、防火墙的NAT功能：隐藏内部网络的拓扑结构，提升网络平安性。44、静态包过滤防火墙、动态包过滤防火墙的主要区分 1）静态包过滤：运用分组报头中存储的信息限制网络传输。当过滤设备接收到分组时，把报头中存储的数据属性与访问限制策略对比（称为访问限制表或ACL），依据对比结果的不同，确定该传输是被丢弃还是允许通过。 2）动态包过滤：通过包的属性和维护一份连接表来监视通信会话的状态而不是简洁依靠标记的设置。针对传输层的，所以选择动态包过滤时，要保证防火墙可以维护用户将要运用的全部传输的状态，如TCP，UDP，ICMP等。 45、状态检测防火墙的原理及平安性分析 1）状态检测防火墙的原理： 通信信息：防火墙的检测模块位于操作系统的内核，在网络层之下，能在数据包到达网关操作系统之前对它们进行分析； 通信状态：状态检测防火墙在状态表中保存以前的通信信息，记录从受爱护网络发出的数据包的状态信息； 应用状态：能够理解并学习各种协议和应用，以支持各种最新的应用；能从应用程序中收集状态信息并存入状态表中，以供其他应用或协议做检测策略； 操作信息：状态监测技术采纳强大的面对对象的方法； 2）平安性分析： 优点：具备动态包过滤全部优点，同时具有更高的平安性；没有打破客户/服务器模型；供应集成的动态包过滤功能；运行速度更快。缺点：采纳单线程进程，对防火墙性能产生很大影响；没有打破客户/服务器结构，会产生不行接受的平安风险；不能满意对高并发连接数量的要求；仅能供应较低水平的平安性。46、分布式防火墙系统组成：网络防火墙；主机防火墙；中心管理。47、防火墙将来的发展方向：智能化 ；高速度；并行体系结构；多功能；专业化；防病毒。48、防火墙的部署位置：部署在内网与接进的外网之间。49、防火墙的平安域和非平安域。（详见课件“防火墙（一）.PPT”） 另外：防火墙包过滤规则的设置（详