计算机网络面对的两大安全威胁
被动攻击：截获、观察、分析某个协议数据PUD，又被称为流量分析
主动攻击： 篡改：故意篡改网络上传送的报文
恶意程序：病毒、蠕虫、木马、逻辑炸弹、后门入侵盖、流氓软件
拒绝服务DoS：向指定服务器不听发送大量分组，造成该服务器无法正常工作
计算机网络安全要达到的目标：
保密性、端点鉴别、信息的完整性、运行的安全性（访问控制）
数据加密模型
明文X，加密算法E，密文Y
解密算法D，解密密钥K
两类密码体制
对称密钥密码体制
加密密钥与解密密钥使用相同的密码体制
DEX（数据加密标准），DES的保密性取决于密钥的保密，算法是公开的
公钥密码体制
使用不同的加密和解密密钥
产生的原因主要有：密钥分配问题、对数字签名的需求
RSA加密，公钥密码体制中，加密密钥（公钥）PK是公开的，而解密密钥（私钥）则需要保密，加密算法E和解密算法D都是公开的
1.密钥对产生器产生一对接收者B的密钥，公钥PKb和私钥SKb，发送者A所用的加密密钥就是接收者B的公钥。B所用的解密密钥就是B的私钥
2.发送者A用B的公钥PKb通过E运算对明文X加密，得出密文B并传送
B用自己的私钥通过解密算法D进行解密，恢复密文
3.已知PKb并不能推导出SKb
4.公钥可以加密但是不能解密
5.D运算和E运算的先后对结果不影响
数字签名
需要保证的功能
1.接收者能够核实发送者对报文的签名
2.接收者确信收到的数据和发送者发送的完全一致没有被篡改过（报文的完整性）
3.发送者事后不能抵赖报文签名（不可否认）
鉴别
报文鉴别
密码散列函数
散列函数的输入长度可以很长
不同的散列值肯定对应不同的输入
密码散列函数是单向函数
MD5和SHA-1
MD5： 1.把任意长的报文按计算其余数(64位)，追加在报文后面
2.在报文和余数之间填充1~512位，填充的首位是1，后面都是0
3.把追加和填充后的报文分割成一个个512位的数据块，每个512位的报文数据再分成4盖128位的数据块依次送到不同的散列函数进行4论运算。每一轮按32位小数据块进行复杂运算，知道最后计算出MD5摘要代码（128位）
报文鉴别码：
实体鉴别
密钥分配
密钥分配分为网外分配（物理介质）、网内分配（通过网络自动分发）
防火墙
防火墙内的网络称为“可信网络”，防火墙外的网络称为“不可信网络”
分组过滤器：具有分组过滤功能的路由器，作用是根据过滤规则对进出内部网络的分组执行转发或丢弃。（一般可以按照端口进行屏蔽，如某新闻网使用119号端口，屏蔽119号端口就会使得无法使用该网络）
应用网关（代理服务器）：在应用层扮演中继角色，进出网络的数据都会经过应用网关，可以实现基于应用层数据的过滤和高层用户鉴别
入侵检测IDS：检查到可以分组时向管理员发出警告或执行阻断
一般分为： 基于特征的入侵检测：对比已知攻击标志特征的数据库（对未知攻击无效）
基于异常的入侵检测：对比正常的网络流量，遇到不符的情况上报（易误报）