文章目录
第七章
计算机网络上的通信面临的威胁可分为两大类
计算机网络上的通信面临的威胁可分为两大类,即被动攻击(如截获)和主动攻击(如中断、篡改、伪造)。主动攻击的类型有更改报文流、拒绝服务、伪造初始化、恶意程序(病毒、蠕虫、木马、逻辑炸弹、后门入侵、流氓软件)等。
计算机网络安全主要有以下一些内容
计算机网络安全主要有以下一些内容:保密性、安全协议的设计和访问控制。
密码编码学与密码分析学合起来即为密码学。
密码编码学是密码体制的设计学,而密码分析学则是在未知密钥的情况下从密文推演出明文或密钥的技术。
密码编码学与密码分析学合起来即为密码学。如果不论截取者获得了多少密文,都无法唯一地确定出对应的明文,则这一密码体制称为无条件安全的(或理论上是不可破的)。在无任何限制的条件下,目前几乎所有实用的密码体制均是可破的。如果一个密码体制中的密码不能在一定时间内被可以使用的计算资源破译,则这一密码体制称为在计算上是安全的。
对称密钥密码体制
对称密钥密码体制是加密密钥与解密密钥相同的密码体制(如数据加密标准DES和高级加密标准AES)。这种加密的保密性仅取决于对密钥的保密,而算法是公开的.
公钥密码体制
公钥密码体制(又称为公开密钥密码体制)使用不同的加密密钥与解密密钥。加密密钥(即公钥)是向公众公开的,而解密密钥(即私钥或秘钥)则是需要保密的。加密算法和解密算法也都是公开的。目前最著名的公钥密码体制是RSA体制,它是基于数论中的大数分解问题的体制。任何加密方法的安全性取决于密钥的长度,以及攻破密文所需的计算量,而不是简单地取决于加密的体制(公钥密码体制或传统加密体制)。
数字签名
数字签名必须保证能够实现以下三点功能: (1)报文鉴别,即接收者能够核实发送者对报文的签名;
(2)报文的完整性,即接收者确信所收到的数据和发送者发送的完全一样而没有被篡改过;
(3)不可否认,即发送者事后不能抵赖对报文的签名。
鉴别
鉴别是要验证通信的对方的确是自己所要通信的对象,而不是其他的冒充者。鉴别与授权是不同的概念。报文摘要MD是进行报文鉴别的一种简单方法。目前广泛使用的是SHA-1密钥管理包括:密钥的产生、分配、注入、验证和使用。
密钥分配
密钥分配(或密钥分发)是密钥管理中最大的问题。密钥必须通过最安全的通路进行分配。目前常用的密钥分配方式是设立密钥分配中心KDC。认证中心CA是一个值得信赖的机构,用来将公钥与其对应的实体(人或机器)进行绑定。每个实体都有CA发来的证书,里面有公钥及其拥有者的标识信息(人名或IP地址)。此证书被CA进行了数字签名。任何用户都可从可信的地方获得认证中心CA的公钥。
IPsec协议族
在网络层可使用IPsec协议族,IPsec包括鉴别首部协议AH和封装安全有效载荷协议ESP,AH协议提供源点鉴别和数据完整性,但不能保密。而ESP协议提供源点鉴别、数据完整性和保密。IPsec支持IPv4和IPV6,在IPv6中,AH和ESP都是扩展首部的一部分。IPsec数据报的工作方式有运输方式和隧道方式两种。
运输层的安全协议有SSL(安全套接字层)和TLS(运输层安全)
运输层的安全协议有SSL(安全套接字层)和TLS(运输层安全),SSL最新的版本是SSL3.0,它是保护万维网HTTP通信量所公认的事实上的标准。SSL不仅被所有常用的浏览器和万维网服务器所支持,而且也是TLS的基础。PGP是一个完整的电子邮件安全软件包,包括加密、鉴别、电子签名和压缩等技术。PGP并没有使用什么新的概念,它只是把现有的一些加密算法(如RSA公钥加密算法或MDS报文摘要算法)综合在一起而已。
防火墙是一种特殊编程的路由器
防火墙是一种特殊编程的路由器,安装在一个网点和网络的其余部分之间,目的是实施访问控制策略。防火墙里面的网络称为“可信的网络”,而把防火墙外面的网络称为“不可信的网络”。防火墙的功能有两个:一个是阻止(主要的),另一个是允许。防火墙技术分为:网络级防火墙,用来防止整个网络出现外来非法的入侵(属于这类的有分组过滤和授权服务器);应用级防火墙,用来进行访问控制(用应用网关或代理服务器来区分各种应用)。入侵检测系统IDS是在入侵已经开始,但还没有造成危害或在造成更大危害前,及时检测到入侵,以便尽快阻止入侵,把危害降低到最小。
