网络安全问题概述
计算机网络通信面临的四种威胁
- 截获——从网络上窃听他人的通信内容
- 中断——有意中断他人在网络上的通信
- 篡改——故意篡改网络上传送的报文
- 伪造——伪造信息在网络上传送
主动攻击与被动攻击
- 主动攻击：更改信息和拒绝用户使用资源的攻击（中断、篡改和伪造）
- 被动攻击：截获信息的攻击
计算机网络通信安全的目标
- 防止析出报文内容
- 防止通信量分析
- 检测更改报文流
- 检测拒绝报文服务
恶意程序
- 计算机病毒：会“传染”其他程序的程序，“传染”是通过修改其他程序来把自身或其变种复制进去完成的
- 计算机蠕虫：通过网络的通信功能将自身从一个结点发送到另一个结点并启动运行的程序
- 特洛伊木马：一种程序，它执行的功能超过所声称的功能
- 逻辑炸弹：一种当运行环境满足某种特定条件时执行其他特殊功能的程序
计算机网络安全的内容
- 保密性
- 安全协议的设计
- 访问控制
一般的数据加密模型
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-qXaOzpMg-1582362194666)(D:\Typora\images\1582357317527.png)]
密码体制
密码编码学与密码分析学
- 密码编码学：是密码体制的设计学
- 密码分析学：是在未知密钥的情况下，从密文推演出明文或密钥的技术
- 密码编码学和密码分析学合起来称为密码学
无条件安全和计算上安全
- 如果不论截取这获得了多少密文，但在密文中都没有足够的信息来唯一地确定出对应地明文，则这以密码体制称为无条件安全的，或称为理论上是不可破的
- 如果密码体制中的密码不能被可使用的计算资源破译，则这一密码体制称为在计算上是安全的
对称密钥密码体制
- 所谓对称密钥密码体制，即加密密钥与解密密钥是相同的密码体制
- 这种加密系统又称为对称密钥系统
- 优点：效率高
- 缺点：不适合在网络上传播，密钥维护麻烦
数据加密标准DES
- DES的保密性仅取决于对密钥的保密，而算法是公开的
- DES是世界上第一个公认的密码算法标准，曾对密码学的发展做出了重大贡献
- DES的密钥长度越长，其安全性越高
公钥密码体制
- 公钥密码体制使用不同的加密密钥和解密密钥，是一种“由已知的加密密钥推导出解密密钥在计算上是不可行的”密码体制
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-DmzAp7fm-1582362194668)(D:\Typora\images\1582358328309.png)]
注意事项
- 任何加密方法的安全性取决于密钥的长度，以及攻破密文所需的计算量，而不是简单地却决于加密的体制
- 由于目前公钥加密算法的开销较大，在可见的将来还看不出要放弃传统的加密方法。
数字签名
数字签名的功能
- 报文鉴别：接收者能够核实发送者对报文的签名
- 报文的完整性：发送者事后不能抵赖对报文的签名
- 不可否认：接收者不能伪造对报文的签名
数字签名采用公钥算法更容易实现
数字签名的实现
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-VLFTAmlg-1582362194669)(D:\Typora\images\1582358835694.png)]
- 因为除A外没有别人具有A的私钥，所以除A外没有人能产生这个密文。因此B相信报文X是A签名发送的
- 若A要抵赖曾发送报文给B，B可将明文和对应的密文出示给第三者。第三者很容易用A的公钥去证实A确实发送X给B
- 反之，若B将X伪造成X’，则B不能再第三者前出示对应的密文。这样就证明B伪造了报文
具有保密性的数字签名
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-cG1edSDK-1582362194670)(D:\Typora\images\1582358997637.png)]
鉴别
- 在信息的安全领域中，对付被动攻击的重要措施是加密，而对付主动攻击中的篡改和伪造则要用鉴别
- 报文鉴别使得通信的接收方能够验证所收到的报文（发送者和报文内容、发送时间、序列等）的真伪
- 使用加密就可以达到报文鉴别的目的。但在网络的应用中，许多报文并不需要加密。应当使接收者能用很简单的方法鉴别报文的真伪
报文鉴别
- 许多报文并不需要加密但却需要数字签名，以便让报文的接收者能够鉴别报文的真伪
- 然而对很长的报文进行数字签名会使计算机增加很大的负担
- 当我们传送不需要加密的报文时，应当使接收者能用很简单的方法鉴别报文的真伪
使用密码散列函数
- 密码散列函数是一种简单的对报文鉴别的方法
- 散列函数的两个特点：
- 散列函数的输入长度可以很长，但是其输出长度则是固定的，并且较短
- 散列函数的输入和输出并非一一对应的，而是多对一的。散列函数实际上是一种单向函数（只能由输入->输出）
- 实用的密码散列函数由MD5和SHA函数
实体鉴别
- 实体鉴别和报文鉴别不同
- 报文鉴别是对每一个收到的报文都要鉴别报文的发送者，而实体鉴别是在系统接入的全部持续时间内和对自己通信的对方实体只需要验证一次
密钥分配
- 密钥分配是密钥管理中最大的问题。密钥必须通过最安全的通路进行分配
- 目前常用的密钥分配方式是设立密钥分配中心KDC，通过KDC来分配密钥
对称密钥的分配—设立密钥分配中心KDC
- KDC是大家都信任的机构，其任务是给需要进行秘密通信的用户临时分配一个会话密钥（仅使用一次）
公钥的分配—使用认证中心CA
- 认证中心CA将公钥与其对应的实体（人或机器）进行绑定
- 认证中心一般由政府出资建立。每个实体都有CA发来的证书，里面有公钥及其拥有者的标识信息。此证书被CA进行了数字签名。任何用户都可从可信的地方获得认证中心CA的公钥，此公钥用来验证某个公钥是否为某个实体所公有
互联网中使用的安全协议
网络层安全协议
IPsec协议族
安全关联SA
传输层安全协议
安全套阶层SSL（Secure Socket Layer）
运输层安全TLS（Transport Layer Security）
应用层安全协议
PGP（Pretty Good Privacy）
PEM(Privacy Enhanced Mail)
防火墙（Firewall）
- 防火漆是由软件、硬件构成的系统，是一种特殊编程的路由器，用来在两个网络之间实现实施接入控制策略
- 接入控制策略是由使用防火墙的单位自行制订的，为的是满足最适合本单位的需要
- 防火墙内的网络称为“可信赖的网络”，而将外部的因特网称为“不可信赖的网络”
- 防火墙可以用来解决内联网和外联网的安全问题
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-JJQU01G4-1582362194671)(D:\Typora\images\1582361823922.png)]
防火墙的功能
- 防火墙的功能有两个：阻止和允许
- “阻止”就是阻止某种类型的通信量通过防火墙（从外部网络到内部网络，或反过来）
- “允许”的功能和“阻止“恰好相反
- 防火墙必须能够识别通信量的各种类型。不过在大多数情况下防火墙的主要功能是”阻止“
防火墙技术
- 网络级防火墙——用来防止整个网络出现外来非法的入侵。属于这类的有分组过滤和授权服务器。前者检查所有流入本网络的信息，然后拒绝不符合事先制定号的一套准则的数据，而后者则是检查用户的登录是否合法
- 应用级防火墙——从应用程序来进行接入控制。通常使用应用网关或代理服务器来区分各种应用。例如，可以只允许通过访问万维网的应用，而阻止FTP应用的通过
