目录
1 网络安全问题概述
1.1 计算机网络面临的安全性威胁
计算机网络上的通信面临以下的四种威胁：
- 截获——从网络上窃听他人的通信内容
- 中断——有意中断他人在网络上的通信
- 篡改——故意篡改网络上传送的报文
- 伪造——伪造信息在网络上传送
截获信息的攻击称为被动攻击，而更改信息和拒绝用户使用资源的攻击称为主动攻击
计算机网络通信安全的目标：
- 防止析出报文内容
- 防止通信量分析
- 检测更改报文流
- 检测拒绝报文服务
- 检测伪造初始化连接
恶意程序(rogue program) ：
- 计算机病毒——会“传染”其他程序的程序，“传染”是通过修改其他程序来把自身或其变种复制进去完成的
- 计算机蠕虫——通过网络的通信功能将自身从一个结点发送到另一个结点并启动运行的程序
- 特洛伊木马——一种程序，它执行的功能超出所声称的功能
- 逻辑炸弹——一种当运行环境满足某种特定条件时执行其他特殊功能的程序
密码加密：
2 两类密码体制
2.1 对称密钥密码体制
所谓常规密钥密码体制，即加密密钥与解密密钥是相同的密码体制，这种加密系统又称为对称密钥系统。
数据加密标准 DES：
- 数据加密标准 DES 属于常规密钥密码体制，是一种分组密码
- 在加密前，先对整个明文进行分组。每一个组长为 64 位
- 然后对每一个 64 位 二进制数据进行加密处理，产生一组 64 位密文数据
- 最后将各组密文串接起来，即得出整个的密文
- 使用的密钥为 64 位（实际密钥长度为 56 位，有 8 位用于奇偶校验)
DES 的保密性：
- DES 的保密性仅取决于对密钥的保密，而算法是公开的。尽管人们在破译 DES 方面取得了许多进展，但至今仍未能找到比穷举搜索密钥更有效的方法
- DES 是世界上第一个公认的实用密码算法标准，它曾对密码学的发展做出了重大贡献
- 目前较为严重的问题是 DES 的密钥的长度
- 现在已经设计出来搜索 DES 密钥的专用芯片
2.2 非对称公钥密码体制
- 公钥密码体制使用不同的加密密钥与解密密钥，是一种“由已知加密密钥推导出解密密钥在计算上是不可行的”密码体制
- 公钥密码体制的产生主要是因为两个方面的原因，一是由于常规密钥密码体制的密钥分配问题，另一是由于对数字签名的需求
- 现有最著名的公钥密码体制是RSA 体制，它基于数论中大数分解问题的体制，由美国三位科学家 Rivest, Shamir 和 Adleman 于 1976 年提出并在 1978 年正式发表的
加密密钥与解密密钥：
- 在公钥密码体制中，加密密钥(即公钥) PK 是公开信息，而解密密钥(即私钥或秘钥) SK 是需要保密的
- 加密算法 E 和解密算法 D 也都是公开的
- 虽然秘钥 SK 是由公钥 PK 决定的，但却不能根据 PK 计算出 SK
公钥密码体制：
3 数字签名
数字签名必须保证以下三点：
- 报文鉴别——接收者能够核实发送者对报文的签名
- 报文的完整性——发送者事后不能抵赖对报文的签名
- 不可否认——接收者不能伪造对报文的签名
现在已有多种实现各种数字签名的方法。但采用公钥算法更容易实现
数字签名的实现 ：
4 因特网使用的安全协议
4.1 网络层安全协议
IPsec 与安全关联 SA：网络层保密是指所有在 IP 数据报中的数据都是加密的
IPsec 中最主要的两个部分：
- 鉴别首部 AH (Authentication Header)： AH鉴别源点和检查数据完整性，但不能保密
- 封装安全有效载荷 ESP (Encapsulation Security Payload)：ESP 比 AH 复杂得多，它鉴别源点、检查数据完整性和提供保密
安全关联 SA (Security Association) ：
- 在使用 AH 或 ESP 之前，先要从源主机到目的主机建立一条网络层的逻辑连接。此逻辑连接叫做安全关联 SA
- IPsec 就把传统的因特网无连接的网络层转换为具有逻辑连接的层
4.2 运输层安全协议
安全套接层 SSL：
- SSL 是安全套接层 (Secure Socket Layer)，可对万维网客户与服务器之间传送的数据进行加密和鉴别
- SSL 在双方的联络阶段协商将使用的加密算法和密钥，以及客户与服务器之间的鉴别
- 在联络阶段完成之后，所有传送的数据都使用在联络阶段商定的会话密钥
- SSL 不仅被所有常用的浏览器和万维网服务器所支持，而且也是运输层安全协议 TLS (Transport Layer Security)的基础
SSL 的位置：
SSL 提供以下三个功能：
- SSL 服务器鉴别 允许用户证实服务器的身份。具有 SS L 功能的浏览器维持一个表，上面有一些可信赖的认证中心 CA (Certificate Authority)和它们的公钥
- 加密的 SSL 会话 客户和服务器交互的所有数据都在发送方加密，在接收方解密
- SSL 客户鉴别 允许服务器证实客户的身份
安全电子交易 SET (Secure Electronic Transaction)：
- 安全电子交易 SET 是专为在因特网上进行安全支付卡交易的协议
5 防火墙(firewall)
- 防火墙是由软件、硬件构成的系统，是一种特殊编程的路由器，用来在两个网络之间实施接入控制策略。接入控制策略是由使用防火墙的单位自行制订的，为的是可以最适合本单位的需要
- 防火墙内的网络称为“可信赖的网络”(trusted network)，而将外部的因特网称为“不可信赖的网络”(untrusted network)
- 防火墙可用来解决内联网和外联网的安全问题
防火墙在互连网络中的位置：
防火墙的功能：
- 防火墙的功能有两个：阻止和允许
- “阻止”就是阻止某种类型的通信量通过防火墙（从外部网络到内部网络，或反过来）
- “允许”的功能与“阻止”恰好相反
- 防火墙必须能够识别通信量的各种类型。不过在大多数情况下防火墙的主要功能是“阻止”
防火墙技术一般分为两类 ：
- 网络级防火墙——用来防止整个网络出现外来非法的入侵。属于这类的有分组过滤和授权服务器。前者检查所有流入本网络的信息，然后拒绝不符合事先制订好的一套准则的数据，而后者则是检查用户的登录是否合法
- 应用级防火墙——从应用程序来进行接入控制。通常使用应用网关或代理服务器来区分各种应用。例如，可以只允许通过访问万维网的应用，而阻止 FTP 应用的通过
