网络安全技术与实践第二版课后答案正式版.pdf

《网络安全技术与实践第二版课后答案正式版.pdf》由会员分享，可在线阅读，更多相关《网络安全技术与实践第二版课后答案正式版.pdf（52页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、网络安全技术与实践第二版 课后答案正式版 网络安全期末复习 题型：1、选择、判断、简答（45%）2、分析题（55%）注：如有发现错误，希望能够提出来。第一章引言 一、填空题 1、信息安全的3个基本目标是：保密性、完整性和可用性。此外，还有一个 不可忽视的目标是：合法使用。2、网络中存在的4种基本安全威胁有：信息泄漏、完整性破坏、拒绝服务和 非法使用。3、访问控制策略可以划分为：强制性访问控制策略和自主性访问控制策略。4、安全性攻击可以划分为：被动攻击和主动攻击o 5、X.800定义的5类安全服务是：认证、访问控制、数据保密性、数据完整性、不可否认性。6、X.800定义的8种特定的安全机制是：加

2、密、数字签名、访问控制、数据完 整性、认证交换、流量填充、路由控制 和公证。7、X.800定义的5种普遍的安全机制是：可信功能度、安全标志、事件检测、安全审计跟踪禾口安全恢复。二、思考题 2、基本的安全威胁有哪些？主要的渗入类型威胁是什么？主要的植入类型威 胁时什么？请列出几种最主要的威胁。答：基本的安全威胁有：信息泄露、完整性破坏、拒绝服务、非法使用。主要的渗入类型威胁有：假冒、旁路、授权侵犯。主要的植入威胁有：特洛伊木马、陷门 最主要安全威胁：（1）授权侵犯（2）假冒攻击（3）旁路控制（4）特洛 伊木马或陷阱（5）媒体废弃物（出现的频率有高到低）4什么是安全策略？安全策略有几个不同的等级？

3、答：安全策略：是指在某个 安全区域内，施加给所有与安全相关活动的一套规则。安全策略的等级：1安全策略目标；2机构安全策略；3系统安全策略。6.主动攻击和被动攻击的区别是什么？请举例说明。答：区别：被动攻击 时系统的操作和状态不会改变，因此被动攻击主要威胁信息 的保密性。主动攻击则意在篡改或者伪造信息、也可以是改变系统的状态 和操作，因此主动攻击主要威胁信息的完整性、可用性和真实性。主动攻击的例子：伪装攻击、重放攻击、消息篡改、拒绝服务 被动攻击的例子：消息泄漏、流量分析。9、请画出一个通用的网络安全模式，并说明每个功能实体的作用 网络安全模式如下：网络安全模型由六个功能实体组成：消息的发送方（

4、信源）、消息的接收方（信 宿）、安全变换、信息通道、可信的第三方和攻击者。第二章低层协议的安全性、填空题 1主机的IPv4的长度为32b，主机的MAC地址长度为48b。IPv6的地址长度 为 128b0 2、ARP的主要功能是将巴地址转换成为物理地址 3、NAT的主要功能是实现网络地址和IP地址之间的转换，它解决了 IPv4地 址短缺的问题。4、DNS服务使用53号端口，它用来实现 域名到IP地址 或IP地址到域名 的映 射0 二、思考题 1、简述以太网上一次TCP会话所经历的步骤和涉及的协议。答：步骤：开放 TCP 连接是一个 3 步握手过程：在服务器收到初始的 SYN 数据包后，该 连接处

5、于半开放状态。此后，服务器返回自己的序号，并等待确认。最后，客 户机发送第 3 个数据包使 TCP 连接开放，在客户机和服务器之间建立连接。协议:路由协议、In ternet 协议、TCP/IP 协议 2、在TCP连接建立的3步握手阶段，攻击者为什么可以成功实施 SYN Flood 攻击？在实际中，如何防范此类攻击？答:当 TCP 处于半开放状态时，攻击者可以成功利用 SYN Flood 对服务器发动攻击。攻 击者使用第一个数据包对服务器进行大流量冲击，使服务器一直处于半开放连接状 态，导致服务器无法实现 3 步握手协议。防范 SYN Flood 攻击，一类是通过防火墙、路由器等过滤网关防护；

6、另一类是通过加 固 TCP/IP消 安全变換 安 全 J 1 呵仁的爼方 安全曽心 协议栈防范。4、为什么UDP比BGP的主要区别。答：由于 UDP 自身缺少流控制特性，所以采用 UDP 进行大流量的数据传输时，就可能造 成堵塞主机或路由器，并导致大量的数据包丢失；UDP 没有电路概念，所以发往给定 端口的数据包都被发送给同一个进程，而忽略了源地址和源端口号；UDP 没有交换握 手信息和序号的过程，所以采用 UDP 欺骗要比使用 TCP 更容易。9、通过DNS劫持会对目标系统产生什么样的影响？如何避免？答：通过劫持了 DNS服务器，通过某些手段取得某域名的解析记录控制权，进 而修改此域名的解析

7、结果，导致对该域名的访问由原 IP地址转入到修改后 的指定IP,其结果就是对特定的网址不能访问或访问的是假网址。避免DNS劫持:暴露的主机不要采用基于名称的认证；不要把秘密的信息 放在主机名中；进行数字签名 14、判断下列情况是否可能存在？为什么？（1）通过ICMP数据包封装数据，与远程主机进行类似 UDP的通信。（2）通过特意构造的TCP数据包，中断两台机器之间指定的一个 TCP会话,答：（1）不存在。TCP/UDP是传输层（四层）的协议，只能为其上层提供服务，而ICMP是网络互联层（三层）的协议，怎么可能反过来用四层协议 来为比它还低层的数据包来服务呢。（2）如果攻击者能够预测目标主机选择

8、的起始序号，他就可能欺骗该目标 主机，使目标主机相信自己正在与一台可信的主机会话。第4章单（私）钥加密体制 一、填空题 1、密码体制的语法定义由以下六部分构成：明文消息空间、密文消息空间、加密密钥空间、密钥生成算法、加密算法、解密算法。2、单（私）钥加密体制的特点是：通信双方采用的密钥相同 所以人们通常也 称其为对称加密体制。第9章数字证书与公钥基础设施A.公钥 B.自签名证书 C.数字证书 D.数 8.CRL是 C 的。A.联机 B.联机和脱机 C.脱机 D.未定义 9.OCSP 是 A 的。A.联机 B.联机和脱机 C.脱机 D.未定义 10.最高权威的 CA称为 C 。A.RCA B.R

9、A C.SOA D.ARA 选择题 1.数字证书将用户与其 B 相联系。A.私钥 B.公钥 C.护照 D.驾照 2.用户的 B 不能出现在数字证书中。A.公钥 B.私钥 C.组织名 D.人名 3.A 可以签发数字证书。A.CA B.政府 C.小店主 D.银行 4.D 标准定义数字证书结构。A.X.500 B.TCP/IP C.ASN.1 D.X.509 5.RA A 签发数字证书。A.可以 B.不必 C.必须 D.不能 6.CA使用 D 签名数字证书。A.用户的公钥 B.用户的私钥 C.自己的公钥 D.自己的私钥 7.要解决信任问题，需使用 C 二、思考题 1、数字证书的典型内容什么？答：数字

10、证书的概念：一个用户的身份与其所持有的公钥的结合，由一个可信 任的权威机构CA来证实用户的身份，然后由该机构对该用户身份及对应公钥相 结合的证书进行数字签名，以证明其证书的有效性。一般包括：(1)证书的版本信息；(2)证书的序列号，每个证书都有一个唯一的证书序列号；(3)证书所使用的签名算法；(4)证书的发型机构名称；(5)证书的有效期；(6)证书所有人名称；(7)证书所有人的公开密钥；(8)证书发行者对证书的签名；4、简述撤销数字证书的原因？0 答：(1)数字证书持有者报告该证书中指定公钥对应的私钥被破解(被盗)（2）CA发现签发数字证书是出错；（3）证书持有者离职，而证书为其在职期间签发的

11、 10、攻击者A创建了一个证书，放置一个真实的组织名（假设为银行 B）及攻 击者自己的公钥。你在不知道是攻击者在发送的情形下，得到了该证书，误认 为该证书来自银行B。请问如何防止该问题的产生？答：第10章网络加密与密钥管理 一、填空题 1、网络加密方式有 4种，它们分别是链路加密、节点加密、端到端加密和混 合加密。2、在通信网的数据加密中，密钥可分为 基本密钥、会话密钥、密钥加密密钥、主机主密钥。3、密钥分配的基本方法有 利用安全信道实现密钥传输、利用双钥体制建立安 全信道传递和利用特定的物理现象实现密钥传递等 4、在网络中，可信第三方 TTP的角色可以由 密钥服务器、密钥管理设备、密 钥查阅

12、服务和时戳代理等来承担（请任意举出4个例子）5、按照协议的功能分类，密码协议可以分为 认证建立协议、密钥建立协议、认证的密钥建立协议。6、Diffie-Hellman密钥交换协议不能抵抗中间人的攻击 7、Kerberos 提供 A A.加密 B.SSO C.远程登录 D.本地登陆 8在Kerberos中，允许用户访问不同应用程序或服务器的服务器称为 A A.AS B.TGT C.TGS D.文件服务器 9、在Kerberos中，C与系统中的每个用户共享唯-个口令。A.AS B.TGT C.TGS D.文件服务器 二、思考题 1、网络加密有哪几种方式？请比较它们的优缺点。答：网络加密的方式有4种

13、分别是链路加密、节点加密、端到端加密、混合加 密。链路加密的优点：（1）加密对用户是透明的，通过链路发送的任何信 息在发送 前都先被加密。（2）每个链路只需要一对密钥。（3）提供了信号流安全机制。缺点：数据在中间结点以明文形式出现，维护结点安全性的代价较 高。节点加密的优点：（1）消息的加、解密在安全模块中进行，这使消息内容不会 被泄密（2）加密对用户透明 缺点：（1）某些信息（如报头和路由信息）必须以明文形式传输（2）因为所有节点都必须有密钥，密钥分发和管理变的困难 端到端加密的优点：对两个终端之间的整个通信线路进行加密 只需要2台加密机，1台在发端，1台在收端 从发端到收端的传输过程中，报

14、文始终以密文存在 消息报头（源/目的地址）不能加密，以明文传送 只需要2台加密机，1台在发端，1台在收端 从发端到收端的传输过程中，报文始终以密文存在 比链路和节点加密更安全可靠，更容易设计和维护 缺点：不能防止业务流分析攻击。混合加密的是链路和端到端混合加密组成。优点：从成本、灵活性和安全性来看，一般端到端加密方式较有 吸引力。对于某些远程机构，链路加密可能更为合适。缺点信息的安全设计较 复杂。4、密钥有哪些种类？它们各自的用途是什么？请简述它们之间的关系？答：种类：1、基本密钥或称初始密钥其用途是与会话密钥一起去启动和控制某 种算法所构造的密钥产生器，产生用于加密数据的密钥流。2、会话密钥

15、其用途是使人们可以不必繁琐的更换基本密钥，有利于 密钥的安全和管理。3、密钥加密密钥用途是用于对传送的会话或文件密钥进行加密时采 用的密钥，也成为次主密钥、辅助密钥或密钥传送密钥。4、主机主密钥作用是对密钥加密密钥进行加密的密钥，存储于主机 处理器中。5、双钥体制下的公开钥和秘密钥、签名密钥、证实密钥。关系如图：7、密钥分配的基本模式有哪些?(a)点对点密钥分配：由A直接将密钥送给B，利用A与B的共享基本密钥 加密实现。Alice Bob(b)密钥分配中心(KDC):A向KDC请求发送与B通信用的密钥，KDC生 成k传给A,并通过A转递给B，利用A与KDC和B与KDC的共享密钥实现。(0 (c

16、)密钥传递中心(KTC)：A与KTC，B与KTC有共享基本密钥 11、在密码系统中，密钥是如何进行保护、存储和备份的？密钥的保护：将密钥按类型分成不同的等级。大量的数据通过少量的动态产生 的初级密钥来保护。初级密钥用更少量的、相对不变的二级密钥或主密钥 KM0 来保护。二级密钥用主机主密钥 KM1,KM2来保护。少量的主密钥以明文形式 存储在专用的密码装置中，其余的密钥以密文形式存储在专用密码装置以外。这样，就把保护大量数据的问题简化为保护和使用少量数据的问题。密钥的存储：密钥在多数时间处于静态，因此对密钥的保存是密钥管理重要内 容。密钥可以作为一个整体进行保存，也可化为部分进行保存。密钥的硬

17、件存 储；使用门限方案的密钥保存；公钥在公用媒体中存储。密钥的备份：交给安全人员放在安全的地方保管；采用共享密钥协议。第12章防火墙技术 一、填空题 1、防火墙应位于一C _ A、公司网络内部 B、公司网络外部 C、公司网络与外部网络 D、都不对 2、应用网关的安全性 包过滤防火墙。A、不如 B、超过 C、等于 D、都不对 3、防火墙可以分为 静态包过滤、动态包过滤、电路级网关、应用级网关、状 态检查包过滤、切换代理 和空气隙7种类型。4、静态包过滤防火墙工作于 OSI模型的网络层上，他对数据包的某些特定域 进行检查，这些特定域包括:数据源地址、目的地址、应用或协议、源端口号、目的端口号。5、

18、动态包过滤防火墙工作于 OSI模型的网络层上，他对数据包的某些特定域 进行检查，这些特定域包括 数据源地址、目的地址、应用或协议、源端口号、目的端口号。6、电路级网关工作于 OSI模型的会话层上，它检查数据包中的数据分别为 源 地址、目的地址、应用或协议、源端口号、目的端口号和握手信息及序列号。7、应用级网关工作于 OSI模型的应用层上，它可以对整个数据包进行检杳,因此其安全性最高。8状态检测防火墙工作于 OSI模型的网络层上，所以在理论上具有很高的安 全性，但是现有的大多数状态检测防火墙只工作于 网络层上，因此其安全性与 包过滤防火墙相当。9、切换代理在连接建立阶段工作于 OSI模型的会适层

19、上，当连接建立完成值 后，再切换到动态包过滤模式，即工作于OSI模型的网络层上。10、空气隙防火墙也称作 安全网闸，它在外网和内网之间实现了真正的 隔离。二、思考题 1防火墙一般有几个接口？什么是防火墙的非军事区(DMZ)?它的作用是什 么？答：防火墙一般有3个或3个以上的接口。网关所在的网络称为非军事区(DZM)。网关的作用是提供中继服务，以补偿过滤器带来的影响。2为什么防火墙要具有NAT功能？在NAT中为什么要记录端口号？答：使用NAT的防火墙具有另一个优点，它可以隐藏内部网络的拓扑结构，这 在某种程度上提升了网络的安全性。在NAT中记录端口号是因为在实现端口地 址转换功能时，两次NAT的

20、数据包通过端口号加以区分。9.应用级网关与电路级网关有何不同？简述应用级网关的优缺点。答：与电路级网关不同的是应用级网关必须针对每个特定的服务运行一个特定 的代理，它只能对特定服务所生成的数据包进行传递和过滤。应用级网关的优点：1、在已有的安全模型中安全性较高 2、具有强大的认证功能 3、具有超强的日志功能 4、应用级网关防火墙的规则配置比较简单 缺点：1、灵活性差2、配置复杂3、性能不高 14防火墙有什么局限性？答：防火墙是In ternet安全的最基本组成部分，但对于内部攻击以及绕过防火 墙的连接却无能为力，另外，攻击者可能利用防火墙为某些业务提供的特殊通 道对内部网络发起攻击，注入病毒或

21、木马。15.软件防火墙与硬件防火墙之间的区别是什么？答：软件防火墙是利用CPU的运算能力进行数据处理，而硬件防火墙使用专用 的芯片级处理机制。第13章入侵检测系统、填空题 1、根据数据源的来源不同，IDS可分为 基于网络 NID3、基于主机 HIDS 和两种都有 DIDS种类型。2、一个通用的IDS模型主要由数据收集、检测器、知识库和控制器4部分组 成。3、入侵检测分为3个步骤，分别为信息收集、数据分析和响应。4、一个NIDS的功能结构上至少包含 事件提取、入侵分析、入侵响应和远程 管理4部分功能 5、DIDS通常由 数据采集构建、通信传输构建、入侵检测分析、应急处理的 构建和 用户管理构建5

22、个构建组成。6、IDS控制台主要由 日志检索、探测器管理、规则管理、日志报表和用户管 理 5个功能模块构成。7、HIDS常安装干 被保护的主机；NIDS常安装于网络入口处。8潜在人侵者的可以通过检查 蜜罐日志来获取。9、吸引潜在攻击者陷阱为 蜜罐。二、思考题 2、入侵检测系统按照功能可分为哪几类，有哪些主要功能？答：功能构成包含：事件提取、入侵分析、入侵响应、远程管理 4个部分功能 1、网络流量的跟踪与分析功能 2、已知攻击特征的识别功能 3、异常行为的分析、统计与响应功能 4、特征库的在线和离线升级功能 5、数据文件的完整性检查功能 6、自定义的响应功能 7、系统漏洞的预报警功能 8 IDS

23、探测器集中管理功能 3、一个好的 IDS 应该满足哪些基本特征？答：1、可以使系统管理员时刻了解网络系统的任何变更 2、能给网络安全策略的制定提供依据 3、它应该管理、配置简单，即使非专业人员也非常容易使用 4、入侵检测的规模还应根据网络威胁、系统构造和安全需求的改变而改变 5、入侵检测系统在发现入侵后会及时做出响应，包括切断网络连接、记录 事件和报警。6、什么是异常检测，基于异常检测原理的入侵检测方法有哪些？答：异常检测技术又称为基于行为的入侵检测技术，用来识别主机或网络中的 异常行为。通过收集操作活动的历史数据，建立代表主机、用户或网络连接的 正常行为描述，判断是否发生入侵。1、统计异常检

24、测方法 2、特征选择异常检测方法 3、基于贝叶斯网络异常检测方法 4、基于贝叶斯推理异常检测方法 5、基于模式预测异常检测方法 7、什么是误用检测，基于误用检测原理的入侵检测方法有哪些？答：误用检测技术又称为基于知识的检测技术。它通过对已知的入侵行为和手 段进行分析，提取检测特征，构建攻击模式或攻击签名，判断入侵行为。1、基于条件的概率误用检测方法 2、基于专家系统误用检测方法 3、基于状态迁移分析误用检测方法 4、基于键盘监控误用检测方法 5、基于模型误用检测方法 10、蜜网和蜜罐的作用是什么，它们在检测入侵方面有什么优势？蜜罐的作用:1、把潜在入侵者的注意力从关键系统移开 2、收集入侵者的

25、动作 信息 3、设法让攻击者停留一段时间，使管理员能检测到它并采取相应的措施。蜜网的作用：1、蜜网在确保不被入侵者发现诱骗的前提下，尽可能多地捕获 攻击行为信息，2、Honeynet 向 Internet 发起的连接进行跟踪，一旦 Honeynet 达到了规定的向外的连接数，防火墙将阻断任何后续的连接，并且及时向系统 管理员发出警告信息 3、IDS 在数据链路层对蜜网中的网络数据流进行监控，分析和抓取以便将来能够重现攻击行为，同时在发现可疑举动时报警。蜜罐和蜜网能从现存的各种威胁中提取有用的信息，发现新型的攻击工具，确 定攻击模式并研究攻击者的攻击动机，从而确定更好的对策。第 14 章 VPN

26、 技术、填空题 1 根据访问方法的不同，VPN可以分为远程访问VPN和网关-网关VPN两种 类型。2、VNP的关键技术包括隧道技术、加/解密技术、密钥管理技术、身份认 证技术和访问控制等。3、第2层隧道协议主要有 PPTP、L2F和L2TP 3个协议。4、第3层隧道协议主要有IPSec、GRE和MPLS 3个协议。5、IPSec的主要功能是实现加密、认证和密钥交换，这 3个功能分别由AH、ESP和IKE 3个协议来实现 6、IPSec VPN主要由管理模块、密钥分配和生成模块、身份认证模块、数 据加/解密模块和数据分组封装/分解模块5个模块组成。7、IPSec在OSI参考模型的 C 层提供安全

27、性。A.应用 B.传输 C.网络 D.数据链路 8 ISAKMP/Oakley 与 D 相关。A.SSL B.SET C.SHTTP D.I PSec 9、IPSec中的加密是由 D 完成的。A.AH B.TCP/IP C.IKE D.ESP 10、在 A 情况下，IP头才需要加密。A.信道模式 B.传输模式 C.信道模式和传输模式 D、无模式 第一章引言 1 网络安全的基本目标：保密性、完整性、可用性、合法使用 2、计算机病毒的发展态势：1）、计算机病毒层出不穷 2）、黑客攻势逐年攀升 3）、系统存 在安全漏洞 4）、各国军方加紧信息战研究 3、典型的安全威胁：假冒攻击/冒充攻击、截获、窃听

28、、篡改、消息重发/重放攻击、拒绝 服务攻击 DOS、DDOS（各定义详见课本）4、防止重放攻击的方法：时间戳、序号、提问与应答。5、防范口令攻击的方法、暴力破解、字典攻击：阻止选择低级口令；对口令文件严格保 护。要彻底解决口令机制的弊端是使用基于令牌的机制，转而使用基于令牌的机制。如 果暂时不能做到，起码要使用一次性口令方案。7、认证：认证服务与保证通信的真实性有关 在单条消息下，如一条警告或报警信号认证服 务是向接收方保证信息来自所声称的发送方 对于正在进行的交互，如终端和主机连接，就设 计两个方面的问题：首先，在连接的初始化阶段，认证服务保证两个实体是可信的，也就是说,每个实体都是它们所声

29、称的实体；其次，认证服务必须保证该连接不受第三方的干扰，例如,第三方能够伪装成两个合法实体中的一方，进行非授权的传输或接收两个特殊的认证服务：同等实体认证、数据源认证.认证机制的失效易导致服务器被攻击者欺骗。被破坏的主机不会进行安全加密，因此对源主机采用密码认证的方式无用。通过修改认证方案消除其缺陷，完全可以挫败这种类型的攻击。L8网络安全模型 L8网络访问安全模型 攻击富 人厲豐和 6 话问迤t 0 11卫血计時规療iff 内再,9、IP 协议的安全缺陷：1)IP 协议不能保 你绝对不能靠对源地址的有效性检验来判断数据包的好坏；攻击者可以发送含有伪造返回地址的数据 当路由器遇到大数据流量的情

30、况下，可能 大数据包可能在中间节点上被分拆成小数据包。通过向包过滤器注入大量病态的小 证数据就是从数据包中给定的源地址发出的,2)3)4)包，这种攻击叫做 IP 欺骗攻击；在没有任何提示的情况下丢掉一些数据包;8、网络安全的模型及说明(详见课本)【第二章底层协议的安全性 数据包，可以对包过滤器造成破坏;10、ARP 功能：以太网发送的是 48 位以太地址的数据包；IP 驱动程序必须将 32 位 IP 目 标地址转换成 48 位地址；两类地址存在静态或算法上的影射；ARP 用来确定两者之间的 影射关系。ARP 欺骗：一台不可信赖的计算机会发出假冒的 ARP 查询或应答信息，并将所有流向它 的数据

31、流转移。这样，它就可以伪装成某台机器，或修改数据流。这种攻击叫做 ARP 欺 骗攻击 11、ICMP泛洪攻击：黑客能够用 ICMP 对消息进行重定向。只要黑客能够篡改你到达目 的地的正确路由，他就有可能攻破你的计算机。一般来说，重定向消息应该仅由主机执行,而不是由路由器来执行。仅当消息直接来自路由器时，才由路由器执行重定向。然而，有 时网管员有可能使用 ICMP 创建通往目的地的新路由。这种非常不谨慎的行为最终会导致 非常严重的网络安全问题。12、TCP 连接的三次握手过程:用三次握手建立 TCP 连接，如图所示：A 的 TCP向 B 发出连接请求报文段，其首部中 的同步位SYN=1，并选择序

32、号 seq=x，表明传送数据时的第一个数据字节的序号 是 x。B 的 TCP 收到连接请求报文段后，如同意，则发回确认。B在确认报文段中 应使 SYN=1,使 ACK=1,其确认号 ack=x+1,自己选择的序号 seq=y。A 收到此报文段 后向 B 给出确认，其 ACK=1，确认号ack=y+1o A 的 TCP 通知上层应用进程，连 接已经建立。B 的 TCP 收到主机 A 的确 认后，也通知其上层应用进程：TCP 连接已 经建立。13、TCP SYN 洪泛攻击：攻击者利用 TCP 连接的半开放状态发动攻击。攻击者使用第一 个数据包对服务器进行大流量冲击，使服务器一直处于半开放连接状态，

33、从而无法完成 3 步握手协议。14、DHCP、DNS 服务器功能：域名 DHCP 用来分配 IP 地址，并提供启动计算机(或唤 醒一个新网络)的其他信息，它是 BOOTP 的扩展。域名系统 DNS 是一个分布式数据库系 统，用来实现“域名一IP 地址”，或“IP 地址一域名”的影射。15、网络地址转换 NAT:NAT 的主要作用是解决当前 IPv4 地址空间缺乏的问题。从概念 上讲，NAT 非常简单：它们监听使用了所谓专用地址空间的内部接口，并对外出的数据包 重写其源地址和端口号。外出数据包的源地址使用了 ISP 为外部接口分配的 In ternet 静态 IP 地址。对于返回的数据包，它们执

34、行相反的操作。NAT 存在的价值在于 IPv4 的短缺。协议的复杂性使 NAT 变得很不可靠。在这种情况下，我们在网络中必须使用真正意义的 防火墙，并希望 IPv6 的应用尽快得到普及。第二部分密码学 16、密码体制构成的五个要素：明文空间 M、密文空间 C、密钥空间 K、加密算法 E、解 密算法D。17、双钥密码体制的基本概念及各自的密钥的功能和作用：基本概念是公钥密码技术又称 非对称密码技术或双钥密码技术，其加密和解密数据使用不同的密钥。公开密 钥(public-key)，可以被任何人知道，用于加密或验证签名。私钥(private-key)，只能被消息 的接收者或签名者知道，用于解密或签名

35、。18、数字签名的基本概念：收方能够确认或证实发方的签名，但不能伪造，简记为 R1-条 件；发方发出签名的消息给收方后，就不能再否认他所签发的消息，简记为 S-条件；收方 对已收到的签名消息不能否认，即有收报认证，简记为 R2-条件；第三者可以确认收发双 方之间的消息传送，但不能伪造这一过程，简记为 T-条件。第九章公钥基础设施 19、PKI 定义及主要任务 1)定义：PKI 公钥基础设施，是一种遵循标准的利用公钥理论和技术建立的提供安全服 务的基础设施。其目的是解决网上身份认证、电子信息的完整性和不可抵赖性等安全问题，为网络应用提供可靠的安全服务。2)主要任务：确立可信任的数字身份。20、P

36、KI 体系组成部分：证书机构、注册机构、证书发布库、密钥备份与恢复、证书撤销、PKI 应用接口 21、CA 系统功能：证书生成、证书颁布、证书撤销、证书更新、证书归档、CA 自身管理、日志审计、密钥恢复。22、RA 系统功能：填写用户注册信息、提交用户注册信息、审核、发送生成证书申请、发放证书、登记黑名单、证书撤销列表管理、日志审计、自身安全保证 23、证书发布库的作用：用于集中存放 CA 颁发证书和证书撤销列表；支持分布式存放，以提高查询效率；LDAP 目录服务支持分布式存放，是大规模 PKI 系统成功实施的关键，也是创建高效的认证机构的关键技术 24、PKI 提供的主要服务：认证服务、数据

37、完整性服务、数据保密性服务、不可否认服务、公证服务。25、数字证书的典型内容：证书拥有者的姓名、证书拥有者的公钥、公钥的有限期、颁发 数字证书的单位、颁发数字证书单位的数字签名、数字证书的序列号 26、SSL 工作层次、协议构成及功能：（详见课件“PKI 补充材料 PPT”）1）工作层次：介于 TCP/IP 模型应用层与传输层之间 2）协议分成两部分：SSL 握手协议：通信双方互相验证身份、以及安全协商会话密钥 SSL 记录协议：定义了传输的格式，对上层传来的数据加密后传输.3）功能：a 鉴别机制：确保网站的合法性；b 保护隐私：采用加密机制；c 信息完整性：确保 传输的信息不被篡改.27、数

38、字证书的验证方法 RA 验证用户材料，以明确是否接受用户注册。检查私钥的拥有证明（POP,Proof of possession）。RA 要求用户采用私钥对证书签名请求进行数字签名。RA 生成随机数挑战信息，用该用户公钥加密，并将加密后的挑战值发送给用户。若用 户能用其私钥解密，则验证通过。RA 将数字证书采用用户公钥加密后，发送给用户。用户需要用与公钥匹配的私钥解密 方可取得明文证书。28、数字证书撤销的原因及方法 1）原因：a）数字证书持有者报告该证书中指定公钥对应的私钥被破解（被盗）；b）CA 发现签发数字证书时出错；c）证书持有者离职，而证书为其在职期间签发的。2）方法：发生第一种情形

39、需由证书持有者进行证书撤销申请；发生第二种情形时，CA 启动证书撤销；发生第三种情形时需由组织提出证书撤销申请。29、PMI 的定义、PMI 与 PKI 的关系 定义：权限管理基础设施或授权管理基础设施，是属性证书、属性权威、属性证书框架等 部件的集合体，用来实现权限和证书的产生、管理、存储、分发和撤销等功能。fPMI与PK1的关系）|PKI实体 PMI实体 证书 PK1C公钥证书 A属性证宅 I 证书颁发者 证书机构 居性机构 址书播收者 证书主悴 证书持有者 I 证书的绑定 主体的名字绑定到公钥上 证书持有者绑定到一个或多T 特权属性上|证书區锚 证书傲销列表（CR1）属性证书撤错列表九匚

40、|信任的根 帳CA或信任镭 权威源SOA 子机梅 子CA AA I 验证者 _ 可僧方 特収验证者 第十章网络加密与密钥管理 30、网络加密方式及特点 1）链路加密：a）不同结点对之间的密码机和密钥不一定相同；b）在每个中间节点 上，消息先解密，后加密；c）报文和报头可同时进行加密；d）在结点内部，消息以明 文的方式存在；e）在链路加密中，密钥分配存在困难；f）随着结点增多，保密机的需 求数量很大。2）节点加密：a）在中间节点先对消息进行解密，然后进行加密吧 b）在通信链路上所传 输的消息为密文；c）加密过程对用户是透明；d）消息在节点以明文形式存在；e）加解密 过程在结点上的一个安全模块中进

41、行；f）要求报头和路由信息以明文形式传送。3）端到端加密：a）对两个终端之间的整个通信线路进行加密；b）只需要 2 台加密 机，1 台在发端，1 台在收端；c）从发端到收端的传输过程中，报文始终以密文存在；d）消息报头（源/目的地址）不能加密，以明文传送；e）只需要 2 台加密机，1 台在发端，1 台在收端；f）从发端到收端的传输过程中，报文始终以密文存在；g）比链路和节点加密 更安全可靠，更容易设计和维护。4）混合加密：链路加密+端到端加密 31、软件加密和硬件的特点：1）硬件加密的特点：加密速度快、硬件安全性好、硬件易于安装。2）软件加密的特点：速度慢、灵活、轻便、可安装于多种机器上、可将

42、几个软件组合成 一个系统.。32、文件删除方法：真正从存储器中消除所存储的内容需用物理上的重复写入方法。33、密钥管理的功能及目的：A）密钥管理是处理密钥从产生到最终销毁的整个过程中的有关问题，包括系统的初始 化及密钥的产生、存储、备份/恢复、装入、分配、保护、更新、控制、丢失、撤销和销毁 等内容。B）目的：是维持系统中各实体之间的密钥关系，以抗击各种可能的威胁，如：1）密钥 的泄露 2）密钥或公开钥的确证性的丧失，确证性包括共享或关于一个密钥的实体身份的 知识或可证性。3）密钥或公开钥未经授权使用，如使用失效的密钥或违例使用密钥。34、密钥的种类及各类密钥的有效期 1）基本密钥：是由用户选定

43、或由系统分配给他的、可在较长时间）内由一对用户所专 用的秘密钥。记为 kp 2）会话密钥：两个通信终端用户在一次通话或交换数据时所用的密钥。记为 ks 3）密钥加密密钥：用于对所传送的会话或文件密钥进行加密的密钥，也称次主密钥。记为ke 4）主机密钥：它是对密钥加密钥进行加密的密钥，存储于主机处理器中。记为 km 5）数据加密密钥：也称为工作密钥。6）在双钥体制下，有公钥和私钥、签名密钥和证实密钥之分 35、密钥的分级保护管理法：如图所示，从图中可以清楚看出各类密钥的作用和相互关系。由此可见，大量数据可 以通过少量动态产生的数据加密密钥（初级密钥）进行保护；而数据加密密钥又可由少量 的、相对不

44、变（使用期较长）的密钥（二级）或主机主密钥 0 来保护；其他主机主密钥（1 和 2）用来保护三级密钥。这样，只有极少数密钥以明文形式存储在有严密物理保护的主 机密码器件中，其他密钥则以加密后的密文形式存于密码器之外的存储器中，因而大大简 化了密钥管理，并改了密钥的安全性。03 1*帖密讲的汕也煤护为了保证密诩cn安全，在带码设霜书髀有防窜扰装咒+当幣封的 开时.其墓本密谢柚主密脚零会自动从存储器件中潴瞬*或官动装畳H动引灼 对于失的处理止遅安全竹珅小曲一项帝胚工作在岳码If理中耍右一衣蒼理 釋序和控制方法凰尢琨度地薛低療樹丢餐顒.对于那先产唯的晤钊加密巒钏的副峯应 存故机可算的地方梓为备悅.一

45、旦密劭去先朗可谦/陸盛通过系址蟲新轴岳Ul.lilf也B 規恢MJ#业务*由于魏件和執件故廨以扯人为接怖上的栉鈕总会诗锻密何去尖或出 倍.呆用报文鉴别程庠可采用TiE的密他进行巒码攥作P ft 14密钥井鈕茁沖 粛却窑 1 主机主afiH 0-*二縄癘洌 的宙切加密 二密鞫 我端主怦钏丸（读二班週常常创 制主机外的黴 piwafawfVJ 文弁主st翻虹t或二舞丈 fl缴宣卄悔UJ 会iSi成初披】密的比 rifciKMifi 传送的敷搭 36、将密钥按类型分成不同的等级。1）大量的数据通过少量的动态产生的初级密钥来保护。2）初级密钥用更少量的、相对不变的二级密钥或主密钥 KM0 来保护。3）

46、二级密钥用主机主密钥 KM1,KM2 来保护。4）少量的主密钥以明文形式存储在专用的密码装置中，其余的密钥以密文形式存储在 专用密码装置以外。这样，就把保护大量数据的问题简化为保护和使用少量数据的问题。（实际上保护一个密 钥，因为 KM1,KM2 是由 KM0 派生而来。）37、实现秘密信息共享的 3 个基本方法 1）利用安全信道实现密钥传递 2）利用双钥体制建立安全信息传递 3）利用特定物理现 象实现密钥传递。38、密钥生存期的 4 个阶段 1）预运行阶段，此时密钥尚不能正常使用 2）运行阶段，密钥正常使用 3）后运行阶段，密钥不再提供正常使用，但为了特殊目的可以在脱机下接入 4）报废阶段，

47、将有关被吊销密钥从所有记录中山区，这类密钥不可能再用 第十二章防火墙技术 39、防火墙工作原理：防火墙是由软件和硬件组成的系统，它处于安全的网络和不安全的 网络之间，根据由系统管理员设置的访问控制规则，对数据流进行过滤。40、防火墙对数据流的 3 种处理方式：a 允许数据流通过；b 拒绝数据流通过，并向发送 者回复一条消息，提示发送者该数据流已被拒；c 将数据流丢弃，不对这些数据包进行任 何处理，也不会向发送者发送任何提示信息。应用级网关 应用层 表1 层 j 电路级网关 会话层 传输层 包过滤j 1 r网络层 链路层 L FIP Telnet LMTPI 其他 TCP、UDP H -1”太网

48、 JDDlj x25 41、防火墙的要求及基本目标：所有进出网络的数据流都必须经过防火墙；只允许经过授 权的数据流通过防火墙；防火墙自身对入侵是免疫的。42、防火墙的 OSI 模型工作层次及特点 1223 OSI 模型与防火墙类型的关系 防火墙工作于OSI模型的层次越高,能提供的安全保护等级就越高 防火墙通常建立在 TCP/IP 模型基础上，OSI 模型与 TCP/IP 模型之间并不存在对应的 关系。43、防火墙的 NAT 功能：隐藏内部网络的拓扑结构，提升网络安全性。44、静态包过滤防火墙、动态包过滤防火墙的主要区别 1）静态包过滤：使用分组报头中存储的信息控制网络传输。当过滤设备接收到分组

49、时，把报头中存储的数据属性与访问控制策略对比（称为访问控制表或 ACL），根据对比结果 的不同，决定该传输是被丢弃还是允许通过。2）动态包过滤：通过包的属性和维护一份连接表来监视通信会话的状态而不是简单依 靠标志的设置。针对传输层的，所以选择动态包过滤时，要保证防火墙可以维护用户将要 使用的所有传输的状态，如 TCP,UDP，ICMP 等。45、状态检测防火墙的原理及安全性分析 1）状态检测防火墙的原理：通信信息：防火墙的检测模块位于操作系统的内核，在网络层之下，能在数据包到达网关 操作系统之前对它们进行分析；通信状态：状态检测防火墙在状态表中保存以前的通信信息，记录从受保护网络发出的数 据包

50、的状态信息；应用状态：能够理解并学习各种协议和应用，以支持各种最新的应用；能从应用程序中收 集状态信息并存入状态表中，以供其他应用或协议做检测策略；操作信息：状态监测技术采用强大的面向对象的方法；2）安全性分析：优点：具备动态包过滤所有优点，同时具有更高的安全性；没有打破客户/服务器模型；提 供集成的动态包过滤功能；运行速度更快。缺点：采用单线程进程，对防火墙性能产生很大影响；没有打破客户/服务器结构，会产生 不可接受的安全风险；不能满足对高并发连接数量的要求；仅能提供较低水平的安全性。46、分布式防火墙系统组成：网络防火墙；主机防火墙；中心管理。47、防火墙未来的发展方向：智能化；高速度；并