计算机网络技术第9章.ppt

《计算机网络技术第9章.ppt》由会员分享，可在线阅读，更多相关《计算机网络技术第9章.ppt（43页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、第第9章章 计算机网络安全计算机网络安全主要内容主要内容n9.1 网络安全概述网络安全概述n9.2 密码学密码学n9.3 防火墙技术防火墙技术n9.4 计算机病毒与木马防治计算机病毒与木马防治9.1 网络安全概述网络安全概述n9.1.1 计算机网络面临的安全威胁计算机网络面临的安全威胁n9.1.2 网络安全服务网络安全服务n9.1.3 网络安全机制网络安全机制n9.1.4 网络安全标准网络安全标准9.1.1 计算机网络面临的安全威胁计算机网络面临的安全威胁n(1)伪装伪装n(2)非法连接非法连接n(3)非授权访问非授权访问 n(4)拒绝服务拒绝服务n(5)抵赖抵赖n(6)信息泄露信息泄露n(7

2、)通信量分析通信量分析n(8)无效的信息流无效的信息流n(9)篡改或破坏数据篡改或破坏数据n(10)推断或演绎信息推断或演绎信息n(11)非法篡改程序非法篡改程序9.1.2 网络安全服务网络安全服务nISO描述了在描述了在OSI参考模型下进行安全通信所参考模型下进行安全通信所必须提供的必须提供的5种安全服务种安全服务q鉴别服务鉴别服务q访问控制服务访问控制服务q数据保密服务数据保密服务q数据完整性服务数据完整性服务q防抵赖服务防抵赖服务-数字签名数字签名9.1.3 网络安全机制网络安全机制n加密机制加密机制n数字签名机制数字签名机制 n访问控制机制访问控制机制n数据完整性机制数据完整性机制n认

3、证（鉴别）机制认证（鉴别）机制 n通信业务填充机制通信业务填充机制n路由选择控制机制路由选择控制机制n公证机制公证机制9.1.4 网络安全标准网络安全标准n可信任计算机标准评估准则可信任计算机标准评估准则(TCSEC)q1970年由美国国防科学委员会提出年由美国国防科学委员会提出，于，于1985年年12月由美国月由美国国防部公布，最初只是军用标准，后来延至民用领域。国防部公布，最初只是军用标准，后来延至民用领域。qTCSEC将计算机系统的安全划分为将计算机系统的安全划分为4个等级共个等级共7个级别，即个级别，即D、C1、C2、B1、B2、B3与与A1。其中。其中D级系统的安全要求最低，级系统的

4、安全要求最低，A1级系统的安全要求最高。级系统的安全要求最高。nD级安全标准要求最低，属于非安全保护类，它不能用于多用级安全标准要求最低，属于非安全保护类，它不能用于多用户环境下的重要信息处理。户环境下的重要信息处理。D类只有一个级别。类只有一个级别。nC级系统为用户能定义访问控制要求的自主保护类型，它分为级系统为用户能定义访问控制要求的自主保护类型，它分为两个级别：两个级别：C1级和级和C2级。级。nB级系统属于强制型安全保护类，即用户不能分配权限，只有级系统属于强制型安全保护类，即用户不能分配权限，只有网络管理员可以为用户分配访问权限。网络管理员可以为用户分配访问权限。B类系统分为类系统分

5、为3个级别。个级别。nA1级系统要求的安全服务功能与级系统要求的安全服务功能与B3级系统基本一致。级系统基本一致。A1级系级系统在安全审计、安全测试、配置管理等方面提出了更高的要求。统在安全审计、安全测试、配置管理等方面提出了更高的要求。q一般的一般的UNIX系统通常只能满足系统通常只能满足C2级标准，只有一部分产品级标准，只有一部分产品可以达到可以达到B1级标准的要求。级标准的要求。9.1.4 网络安全标准（续）网络安全标准（续）n我国的计算机网络安全标准我国的计算机网络安全标准qGB178951999计算机信息系统安全保护等级计算机信息系统安全保护等级划分准则划分准则于于2001年年1月月

6、1日正式颁布并实施。该准日正式颁布并实施。该准则将信息系统安全分为则将信息系统安全分为5个等级：自主保护级、系个等级：自主保护级、系统审计保护级、安全标记保护级、结构化保护级、统审计保护级、安全标记保护级、结构化保护级、访问验证保护级。访问验证保护级。q主要的安全考核指标有身份认证、自主访问控制、主要的安全考核指标有身份认证、自主访问控制、数据完整性、审计、隐蔽信道分析、客体重用、强数据完整性、审计、隐蔽信道分析、客体重用、强制访问控制、安全标记、可信路径和可信恢复等，制访问控制、安全标记、可信路径和可信恢复等，这些指标涵盖了不同级别的安全要求。这些指标涵盖了不同级别的安全要求。9.2 密码学

7、密码学n9.2.1 密码技术概述密码技术概述n9.2.2 对称密码对称密码n9.2.3 非对称密码非对称密码n9.2.4 数字签名技术数字签名技术9.2.1 密码技术概述密码技术概述n密码学（密码学（Cryptography）一词来源于希腊语中的短）一词来源于希腊语中的短语语“secret writing(秘密的书写秘密的书写)”。q古希腊人使用一根叫做古希腊人使用一根叫做scytale的棍子来加密。送信人先在棍的棍子来加密。送信人先在棍子上呈螺旋式绕一张纸条，然后把信息竖写在纸条上，收信子上呈螺旋式绕一张纸条，然后把信息竖写在纸条上，收信人如果不知道棍子的直径，就不能正确地恢复信息。人如果不

8、知道棍子的直径，就不能正确地恢复信息。q密码学包括密码编码学与密码分析学。密码学包括密码编码学与密码分析学。q人们利用加密算法和密钥来对信息编码进行隐藏，而密码分人们利用加密算法和密钥来对信息编码进行隐藏，而密码分析学则试图破解算法和密钥。析学则试图破解算法和密钥。9.2.2 对称密码对称密码n对称加密的基本概念对称加密的基本概念 n典型的对称加密算法典型的对称加密算法 对称加密的基本概念对称加密的基本概念n对称加密技术对信息的加密与解密都使用相同的密钥，对称加密技术对信息的加密与解密都使用相同的密钥，因此又被称为密钥密码技术。因此又被称为密钥密码技术。q由于在对称加密体系中加密方和解密方使用

9、相同的密钥，系由于在对称加密体系中加密方和解密方使用相同的密钥，系统的保密性主要取决于密钥的安全性。统的保密性主要取决于密钥的安全性。典型的对称加密算法典型的对称加密算法 n数据加密标准（数据加密标准（Data Encryption Standard，DES）是典型的对称加密算法，它是由是典型的对称加密算法，它是由IBM公司提出，于公司提出，于1977年被美国政府采用。年被美国政府采用。nDES是一种对二元数据进行加密的算法。明文按是一种对二元数据进行加密的算法。明文按64位位数据块的单位被加密，生成数据块的单位被加密，生成64位密文。位密文。DES算法带一算法带一个个56位密钥作为参数。位密

10、钥作为参数。DES的整个体制是公开的，系的整个体制是公开的，系统的安全性完全依赖于密钥的保密。统的安全性完全依赖于密钥的保密。n已经有一些比已经有一些比DES算法更安全的对称加密算法，如算法更安全的对称加密算法，如IDEA算法、算法、RC2算法、算法、RC4算法与算法与Skipjack算法等。算法等。DES算法的执行过程算法的执行过程 9.2.3 非对称密码非对称密码n非对称加密的基本概念非对称加密的基本概念n非对称加密的标准非对称加密的标准非对称加密的基本概念非对称加密的基本概念n非对称加密技术对信息的加密与解密采用不同的密钥，非对称加密技术对信息的加密与解密采用不同的密钥，用来加密的密钥是

11、可以公开的，用来解密的私钥是需用来加密的密钥是可以公开的，用来解密的私钥是需要保密的，因此又被称为公钥加密（要保密的，因此又被称为公钥加密（Public Key Encryption）技术。）技术。n非对称加密的产生主要因为两个方面的原因，一是由非对称加密的产生主要因为两个方面的原因，一是由于对称密码的密钥分配问题，另一个是对数字签名的于对称密码的密钥分配问题，另一个是对数字签名的需求。需求。n非对称加密技术与对称加密技术相比，其优势在于不非对称加密技术与对称加密技术相比，其优势在于不需要共享通用的密钥，用于解密的密钥不需要发往任需要共享通用的密钥，用于解密的密钥不需要发往任何地方，公钥在传递

12、和发布过程中即使被截获，由于何地方，公钥在传递和发布过程中即使被截获，由于没有与公钥相匹配的私钥，截获的公钥对入侵者也就没有与公钥相匹配的私钥，截获的公钥对入侵者也就没有太大意义。公钥加密技术的主要缺点是加密算法没有太大意义。公钥加密技术的主要缺点是加密算法复杂，加密与解密的速度比较慢。复杂，加密与解密的速度比较慢。非对称加密的标准非对称加密的标准n目前，主要的公钥算法包括目前，主要的公钥算法包括RSA算法、算法、DSA算法、算法、PKCS算法与算法与PGP算法等。算法等。n 1978年由年由Rivest、Shamir和和Adleman提出提出 RSA体体制被认为是目前为止理论最为成熟的一种公

13、钥密码体制被认为是目前为止理论最为成熟的一种公钥密码体制，多用在数字签名、密钥管理和认证等方面。制，多用在数字签名、密钥管理和认证等方面。n1985年，年，ElGamal构造一种基于离散对数的公钥密码构造一种基于离散对数的公钥密码体制，这就是体制，这就是ElGamal公钥体制。公钥体制。n许多商业产品采用的公钥加密算法还有许多商业产品采用的公钥加密算法还有Diffie-Hellman密钥交换、数据签名标准密钥交换、数据签名标准DSS、椭圆曲线密、椭圆曲线密码等。码等。9.2.4 数字签名技术数字签名技术n数字签名技术的基本概念数字签名技术的基本概念n数字签名的工作原理数字签名的工作原理 n数字

14、签名的具体工作过程数字签名的具体工作过程 数字签名技术的基本概念数字签名技术的基本概念n数字签名是在网络环境中模拟日常生活中的亲笔签名数字签名是在网络环境中模拟日常生活中的亲笔签名以保证文件或资料真实性的一种方法。以保证文件或资料真实性的一种方法。q数字签名将信息发送人的身份与信息传送结合起来，可以保数字签名将信息发送人的身份与信息传送结合起来，可以保证信息在传输过程中的完整性，并提供信息发送者的身份验证信息在传输过程中的完整性，并提供信息发送者的身份验证，以防止信息发送者抵赖行为的发生。证，以防止信息发送者抵赖行为的发生。q利用非对称加密算法（例如利用非对称加密算法（例如RSA算法）进行数字

15、签名是最常算法）进行数字签名是最常用的方法。用的方法。n数字签名需要实现以下数字签名需要实现以下3项功能。项功能。q(1)接收方可以核对发送方对报文的签名，以确定对方的身接收方可以核对发送方对报文的签名，以确定对方的身份。份。q(2)接收方在发送报文之后无法对发送的报文及签名抵赖。接收方在发送报文之后无法对发送的报文及签名抵赖。q(3)接收方无法伪造发送方的签名。接收方无法伪造发送方的签名。数字签名的工作原理数字签名的工作原理 n数字签名使用两对公开密钥的加密数字签名使用两对公开密钥的加密/解密的密解密的密钥钥 数字签名的具体工作过程数字签名的具体工作过程n(1)发送方使用单向散列函数对要发送

16、的信息进行运发送方使用单向散列函数对要发送的信息进行运算，生成信息摘要。算，生成信息摘要。n(2)发送方使用自己的私钥，利用非对称加密算法，发送方使用自己的私钥，利用非对称加密算法，对生成的信息摘要进行数字签名。对生成的信息摘要进行数字签名。n(3)发送方通过网络将信息本身和已进行数字签名的发送方通过网络将信息本身和已进行数字签名的信息摘要发送给接收方。信息摘要发送给接收方。n(4)接收方使用与发送方相同的单向散列函数，对接接收方使用与发送方相同的单向散列函数，对接收到的信息进行运算，重新生成信息摘要。收到的信息进行运算，重新生成信息摘要。n(5)接收方使用发送方的公钥对接收的信息摘要进行接收

17、方使用发送方的公钥对接收的信息摘要进行解密。解密。n(6)将解密的信息摘要与重新生成的信息摘要进行比将解密的信息摘要与重新生成的信息摘要进行比较，以判断信息在发送过程中是否被篡改过较，以判断信息在发送过程中是否被篡改过 9.3 防火墙技术防火墙技术n9.3.1 防火墙的概念防火墙的概念n9.3.2 实现防火墙的技术实现防火墙的技术n9.3.3 防火墙的体系结构防火墙的体系结构9.3.1 防火墙的概念防火墙的概念n防火墙是在网络之间执行控制策略的系统，它防火墙是在网络之间执行控制策略的系统，它包括硬件和软件。包括硬件和软件。q设置防火墙的目的是保护内部网络资源不被外部非设置防火墙的目的是保护内部

18、网络资源不被外部非授权用户使用，防止内部网络受到外部非法用户的授权用户使用，防止内部网络受到外部非法用户的攻击。防火墙的位置在内部网络和外部网络之间。攻击。防火墙的位置在内部网络和外部网络之间。9.3.1 防火墙的概念（续）防火墙的概念（续）n防火墙的主要功能防火墙的主要功能q(1)检查所有从外部网络进入内部网络的数据包。检查所有从外部网络进入内部网络的数据包。q(2)检查所有从内部网络流出到外部网络的数据包。检查所有从内部网络流出到外部网络的数据包。q(3)执行安全策略，限制所有不符合安全策略要求执行安全策略，限制所有不符合安全策略要求的数据包通过。的数据包通过。q(4)具有防攻击能力，保证

19、自身的安全性。具有防攻击能力，保证自身的安全性。n防火墙只是一种整体安全防范策略的一部分。防火墙只是一种整体安全防范策略的一部分。q防火墙不能防范不经由防火墙的攻击。防火墙不能防范不经由防火墙的攻击。q防火墙不能防止感染了病毒的软件或文件的传输防火墙不能防止感染了病毒的软件或文件的传输 q防火墙不能防止数据驱动式攻击。防火墙不能防止数据驱动式攻击。9.3.2 实现防火墙的技术实现防火墙的技术n实现防火墙的技术大体上分为两类：一类作用实现防火墙的技术大体上分为两类：一类作用于网络层之上，保护整个网络不受非法用户的于网络层之上，保护整个网络不受非法用户的侵入，这类防火墙可以通过包过滤技术实现；侵入

20、，这类防火墙可以通过包过滤技术实现；另一类作用于应用层之上，控制对应用层的访另一类作用于应用层之上，控制对应用层的访问。问。q包过滤技术包过滤技术q应用层网关应用层网关包过滤技术包过滤技术 n包过滤技术是基于路由器技术的包过滤技术是基于路由器技术的q普通的路由器只对分组的网络层包头进行处理，而普通的路由器只对分组的网络层包头进行处理，而包过滤路由器通过系统内部设置的包过滤规则（即包过滤路由器通过系统内部设置的包过滤规则（即访问控制表），检查访问控制表），检查TCP报头的端口号字节。报头的端口号字节。包过滤规则举例包过滤规则举例n包过滤规则一般是基于部分或全部报头的内容。包过滤规则一般是基于部分

21、或全部报头的内容。包过滤的流程图包过滤的流程图 n包过滤路由器会包过滤路由器会对所有收到的分对所有收到的分组按照每一条规组按照每一条规则加以判断则加以判断q凡是符合包转发规凡是符合包转发规则的被转发则的被转发q不符合包转发规则不符合包转发规则的包被丢弃。的包被丢弃。应用层网关应用层网关 n作用于应用层的防火墙技术称为应用层网关，作用于应用层的防火墙技术称为应用层网关，应用层网关控制对应用层的访问。应用层网关控制对应用层的访问。q应用层网关通过应用程序访问控制允许或禁止对某应用层网关通过应用程序访问控制允许或禁止对某些程序的访问。些程序的访问。9.3.3 防火墙的体系结构防火墙的体系结构n在防火

22、墙与网络的配置上，有以下在防火墙与网络的配置上，有以下3种典型结种典型结构：构：q双宿双宿/多宿主机模式多宿主机模式q屏蔽主机模式屏蔽主机模式q屏蔽子网模式屏蔽子网模式 堡垒主机是一种配置了较为全面的安全防范措施的网堡垒主机是一种配置了较为全面的安全防范措施的网络上的计算机，从网络安全上来看，堡垒主机是防火络上的计算机，从网络安全上来看，堡垒主机是防火墙管理员认为最强壮的系统。通常情况下，堡垒主机墙管理员认为最强壮的系统。通常情况下，堡垒主机可作为应用层网关的平台。可作为应用层网关的平台。双宿双宿/多宿主机防火墙多宿主机防火墙n又称为双宿又称为双宿/多宿网关防火墙多宿网关防火墙q它是一种拥有两

23、个或多个连接到不同网络上的网络接口的防它是一种拥有两个或多个连接到不同网络上的网络接口的防火墙，通常用一台装有两块或多网卡的堡垒主机做防火墙，火墙，通常用一台装有两块或多网卡的堡垒主机做防火墙，两块或多块网卡各自与受保护网和外部网相连两块或多块网卡各自与受保护网和外部网相连 q这种防火墙的特点是主机的路由功能是被禁止的，两个网络这种防火墙的特点是主机的路由功能是被禁止的，两个网络之间的通信通过应用层代理服务来实现。之间的通信通过应用层代理服务来实现。屏蔽主机模式屏蔽主机模式 n由包过滤路由器和堡垒主机组成由包过滤路由器和堡垒主机组成 q堡垒主机安装在内部网络上，通常在路由器上设置堡垒主机安装在

24、内部网络上，通常在路由器上设置过滤规则，并使这个堡垒主机成为外部网络唯一可过滤规则，并使这个堡垒主机成为外部网络唯一可以直接到达的主机，这保证了内部网络不被未经授以直接到达的主机，这保证了内部网络不被未经授权的外部用户攻击。权的外部用户攻击。屏蔽子网模式屏蔽子网模式 n采用了两个包过滤路由器采用了两个包过滤路由器和一个堡垒主机和一个堡垒主机n在内外网络之间建立了一在内外网络之间建立了一个被隔离的子网，定义为个被隔离的子网，定义为“非军事区非军事区”网络。网络。n将堡垒主机、将堡垒主机、WWW服务服务器、器、E-mail服务器等公用服务器等公用的服务器放在非军事区网的服务器放在非军事区网络中。络

25、中。n内部网络和外部网络均可内部网络和外部网络均可访问屏蔽子网，但禁止它访问屏蔽子网，但禁止它们穿过屏蔽子网通信。们穿过屏蔽子网通信。9.4 计算机病毒与木马防治计算机病毒与木马防治n9.4.1 计算机病毒计算机病毒n9.4.2 特洛伊木马特洛伊木马9.4.1 计算机病毒计算机病毒n编制或者在计算机程序中插入的破坏计算机功编制或者在计算机程序中插入的破坏计算机功能或者数据，影响计算机使用并且自我复制的能或者数据，影响计算机使用并且自我复制的一组计算机指令或者程序代码一组计算机指令或者程序代码q计算机病毒的特点计算机病毒的特点 q计算机病毒的分类计算机病毒的分类 q计算机病毒的预防计算机病毒的预

26、防q计算机病毒的清除计算机病毒的清除 计算机病毒的特点计算机病毒的特点 n传染性传染性n破坏性破坏性n隐蔽性隐蔽性n潜伏性潜伏性 计算机病毒的分类计算机病毒的分类n引导型病毒引导型病毒 n文件型病毒文件型病毒 n网络病毒网络病毒 计算机病毒的预防计算机病毒的预防n管理上的预防管理上的预防q管理人员充分认识计算机病毒对计算机的危害性，管理人员充分认识计算机病毒对计算机的危害性，制定完善的使用计算机的管理制度。制定完善的使用计算机的管理制度。n用技术手段预防用技术手段预防q这是指采用一定的技术措施预防计算机病毒，如使这是指采用一定的技术措施预防计算机病毒，如使用查杀毒软件、防火墙软件，一旦发现病毒

27、及时向用查杀毒软件、防火墙软件，一旦发现病毒及时向用户发出警报等。用户发出警报等。计算机病毒的清除计算机病毒的清除 n最佳的解决办法就是用杀毒软件对计算机进行最佳的解决办法就是用杀毒软件对计算机进行一次全面地清查。目前我国病毒的清查技术已一次全面地清查。目前我国病毒的清查技术已经成熟，已出现一些世界领先水平的杀毒软件，经成熟，已出现一些世界领先水平的杀毒软件，如瑞星杀毒软件、如瑞星杀毒软件、KV3000、KILL2000、金山、金山毒霸等。毒霸等。9.4.2 特洛伊木马特洛伊木马n特洛伊木马的概念特洛伊木马的概念n木马的特点木马的特点n木马的防治木马的防治特洛伊木马的概念特洛伊木马的概念n特洛

28、伊木马（以下简称木马特洛伊木马（以下简称木马)，英文叫做，英文叫做“Trojan Horse”，其名称取自希腊神话的特，其名称取自希腊神话的特洛伊木马记。洛伊木马记。n常用常用“特洛伊木马特洛伊木马”这一典故，用来比喻在敌这一典故，用来比喻在敌方营垒里埋下伏兵里应外合的活动。方营垒里埋下伏兵里应外合的活动。n完整的木马程序一般由两个部份组成：一个是完整的木马程序一般由两个部份组成：一个是服务器程序，一个是控制器程序。服务器程序，一个是控制器程序。木马的特点木马的特点n有效性有效性n隐蔽性隐蔽性n顽固性顽固性n易植入性易植入性 q近年来，木马病毒技术取得了较大的发展，目前已彻底摆脱近年来，木马病

29、毒技术取得了较大的发展，目前已彻底摆脱了传统模式下植入方法原始、通信方式单一、隐蔽性差等不了传统模式下植入方法原始、通信方式单一、隐蔽性差等不足。借助一些新技术，木马病毒不再依赖于对用户进行简单足。借助一些新技术，木马病毒不再依赖于对用户进行简单的欺骗，也可以不必修改系统注册表、不开新端口、不在磁的欺骗，也可以不必修改系统注册表、不开新端口、不在磁盘上保留新文件甚至可以没有独立的进程，这些新特点使对盘上保留新文件甚至可以没有独立的进程，这些新特点使对木马病毒的查杀变得愈加困难。木马病毒的查杀变得愈加困难。木马的防治木马的防治n(1)不要随意打开来历不明的邮件。不要随意打开来历不明的邮件。n(2)不要随意下载来历不明的软件不要随意下载来历不明的软件n(3)及时修补漏洞和关闭可疑的端口。及时修补漏洞和关闭可疑的端口。n(4)尽量少用共享文件夹。尽量少用共享文件夹。n(5)运行实时监控程序。运行实时监控程序。n(6)经常升级系统和更新病毒库。经常升级系统和更新病毒库。