（计算机软件与理论专业论文）基于防火墙与webmail的校园网安全系统的实现.pdf

i j | 东大学硕士论文 摘要 近年来，伴随着计算机的广泛普及以及计算机网络技术的快速发展，计算机 为整个社会带来了前所未有的变革。人们在享受了种种物质和精神文化的同时， 也正受到日益严重的来自网络的安全威胁，诸如网络的数据窃贼、黑客侵袭、病 毒侵入、甚至系统内部的泄密者等。攻击与反攻击，成为信息社会中敌对双方利 用互联网为作战平台，展开斗争的重要手段。 在抵御外部攻击方面，防火墙作为网络安全卫士来实现网络访问控制，扮演 着举足轻重的角色。一般来讲，防火墙通常部署在受保护网络的边界，并根据所 设置的一系列规则来检查网络上的通信流量，以决定是允许还是拒绝该数据包的 通过，从而达到保护网络的目的。 在数据传输方面，i n t e r n e t 电子邮件的广泛使用使得电子邮件的安全成为 值得关注的问题。数据在传输过程中，易于被那些企图实施技术破坏的个人或组 织篡改、窃取。电子邮件已被证明易于受到外界的影响和攻击。安全性已成为所 有电子邮件用户关注的一个重要问题。 校园网作为网络的一种，除了具有一般网络的共性以外，还具有其特殊性。 研究和探讨校园网安全的现状、技术与发展趋势，对于实现我国信息安全具有特 殊的意义。 本文主要以作者所在学校的校园网为例，从校园网络安全方面，提出了一套 行之有效的网络安全方案。首先阐述了防火墙在面对外部攻击时所担当的角色； 其次分析了作者所在学校校园网的拓扑结构，说明了这种拓扑结构存在的问题， 重新设计了校园网拓扑结构，并在此基础上提出了一个简单的基于包过滤的防火 墙的设计与实现，有效地遏制了外部入侵者对校园网的攻击：再次针对学校教工 安全电子邮件的需求，分析了一种基于s m i m e 的安全电子邮件系统的原理和 结构，提出和实现了基于p k i 和s m i 皿的安全w e b - m a i l 系统，有效地解决了校 园网邮件的安全问题，进一步提高了校园网的安全性。 关键词：防火墙：包过滤；s m i m e ：p k i ；w e b m a i l i f 东大学硕+ 论文 a b s t r a c t i nr e c e n ty e a r s ，a c c o m p a n i e db yt h ew i d e s p r e a dp o p u l a r i t yo fc o m p u t e ra n d r a p i dd e v e l o p m e n to fc o m p u t e rn e t w o r kt e c h n o l o g y ，t h ew h o l es o c i e t yh a sb e e nt oa u n p r e c e d e n t e dc h a n g e p e o p l ea r ee n j o y i n ga l lk i n d so fm a t e r i a la n ds p i r i t u a lc u l t u r e ， h o w e v e r ，w ea r ea l s os u b je c tt oi n c r e a s i n g l ys e r i o u ss e c u r i t yf r o mt h en e t w o r kt h r e a t s ， s u c h 弱n e t w o r kd a t at h e f t ，h a c k i n ga t t a c k s ，v i r u s e s ，i n t r u s i o n ，e v e nt h o s el e a k a g e f o r mi n s i d e a t t a c k sa n dc o u n t e r - a t t a c k sh a v eb e c o m et ob ea ni m p o r t a n tm e a n st o f i g h tb e t w e e nt h eh o s t i l ep a r t si nt h ei n f o r m a t i o ns o c i e t y i nt h ee x t e m a la t t a c k s ，f i r e w a l lp l a y sad e c i s i v er o l ea sag u a r d i a nt oa c h i e v e n e t w o r ka c c e s sc o n t r o li na l lk i n d so ft h en e t w o r kp r o d u c t s i ng e n e r a l ，f i r e w a l l sa r e u s u a l l yd e p l o y e do nt h eb o r d e ro fn e t w o r kw h i c hi sp r o t e c t e da n da c c o r d i n gt oa s e r i e so fr u l e sw h i c hh a sb e e ns e tb e f o r e ，f i r e w a l l sc h e c kt h ef l o wf o r mt h en e t w o r k a n dd e c i d et oa l l o wo rr e j e c tt h ep a c k a g et op r o t e c tt h en e t w o r k i nr e s p e c to fi n t e m a ld a t at r a n s m i s s i o n ，e - m a i lh a sb e e nu s e de x t e n s i v e l y e m a i l s e c u r i t yh a sb e c o m eas e r i o u sp r o b l e m i nt h ec o u r s eo fd a t at r a n s m i s s i o n ，d a t ai s e a s i l ya c c e s s i b l eb yt h o s ew h os e e kt ou n d e r m i n et h ei m p l e m e n t a t i o no ft e c h n i c a l i n d i v i d u a l so ro r g a n i z a t i o n st a m p e r i n gw i t ha n ds t e a l i n g e - m a i lh a sp r o v e dt ob e a t t a c k e de a s i l y s a f e t yo fe m a i lh a v eb e c o m eam a j o rc o n c e m a sak i n do fn e t w o r k ，c a m p u sn e t w o r kh a si t sp a r t i c u l a r i t yi na d d i t i o nt oa g e n e r a ln e t w o r ki nc o m m o n i nt h i sp a p e r ，a tf i r s t ，a n a l y z e dt h ec a m p u sn e t w o r ks e c u r i t ya n df i r e w a l lb a s i c k n o w l e d g eb a s e do nn e t w o r ks e c u r i t ya n di m p l e m e n t t h ec o m m o n l yf i r e w a l l t e c h n o l o g y 一一f i r e w a l lb a s e do nt h ep a c k e tf i l t e r i n g s e c o n d l ya n a l y s i st h ee x c h a n g e o fe x t e r n a ld a t a , w h i c hi sb a s e do ns m i m es e c u r i t ye - m a i ls y s t e m ，a n di m p l e m e n t p k ia n ds m i m es e c u r ee - m a i ls y s t e m t h i ss y s t e mw i l ls o l v et h ee - m a i ls e c u r i t y p r o b l e m se f f e c t i v e l y k e y w o r d s ：f i r e w a l l ；p a c k e tf i l t e r i n g ；s m i m e ；p k i ；w e b m a i l i i 原创性声明和关于论文使用授权的说明 原创性声明 本人郑重声明：所呈交的学位论文，是本人在导师的指导下，独 立进行研究所取得的成果。除文中已经注明引用的内容外，本论文不 包含任何其他个人或集体已经发表或撰写过的科研成果。对本文的研 究做出重要贡献的个人和集体，均已在文中以明确方式标明。本声明 的法律责任由本人承担。 论文作者签名：阻日 期：咝! ! ! ! ! 里 关于学位论文使用授权的声明 本人完全了解山东大学有关保留、使用学位论文的规定，同意学 校保留或向国家有关部门或机构送交论文的复印件和电子版，允许论 文被查阅和借阅；本人授权山东大学可以将本学位论文的全部或部分 内容编入有关数据库进行检索，可以采用影印、缩印或其他复制手段 保存论文和汇编本学位论文。 ( 保密论文在解密后应遵守此规定) 论文作者虢龌翩虢益缓 期：塑墨：但， 山东大学硕十论文 1 1 课题提出的背景 第一章绪论 信息产业是一个新兴产业，其发展历程从美国的第一台电子计算机到现在网 络的综合运用，也不过六十年的时间。随着国民经济的发展，信息产业的作用也 日益突现，逐渐渗透到国民经济的各个领域，并且成为国民经济发展的基础与支 撑。信息产业的兴衰已经不仅仅是信息产业自己的、局部的、行业的事情，而与 整个国民经济的健康发展有着不可分割的联系。作为经济与社会的神经系统，信 息产业不仅直接影响到整个国民经济的效率，而且已经成为整个社会经济系统的 不可缺少的基础和命脉，经济与社会安全的枢纽。信息产业的这种特殊地位，就 需要我们对它引起足够的重视，以信息产业的健康发展推动整个国民经济的健康 发展。随着国民经济和社会信息化进程的全面加快，国民经济和社会对信息和信 息系统的依赖性越来越大，由此产生的信息安全问题对国家安全的影响日益增 加、日益突出，国家安全面临着新的挑战，对此必须高度重视，必须有充分的对 策。 对高校而言，随着高校信息化水平的提高，网络在高校的办公、教学、科研、 学术交流等各个领域都发挥了不可或缺的重要作用。特别是i n t e r n e t 的普及，为 人们获得信息、传送消息提供了一条最迅捷的途径。随着网上办公系统、远程教 学系统的使用，人们的各项工作都越来越依赖于网络。但是，网络的开放性与互 联性为人们带来便利的同时，也引入了很多不安全的因素，例如计算机病毒、黑 客入侵等等。这些都已经严重影响到了校园网的信息安全，甚至影响到校园网络 的正常使用。针对这些问题，采取何种适当的安全技术，用较少的投入保证网络 的正常运转，已成为高校网络发展过程中必须面对的问题。 l l f 东大学硕十论文 1 2 校园网网络安全现状及面临的威胁 1 2 1 校园网网络安全的现状 ( 一) 校园网与i n t e m e t 相连，在享受i n t e m e t 方便快捷的同时，也面临着 遭遇攻击的风险。高校校园网速度比较快，这给网络入侵和攻击也提供了一个快 速通道。 ( 二) 校园网内部也存在很大的安全隐患。由于内部用户对网络的结构和应 用模式都比较了解，因此来自内部的安全威胁也不容忽视。 ( 三) 目前使用的操作系统存在安全漏洞，对网络安全构成了威胁。网络服 务器安装的操作系统有w i n d o w s 2 0 0 0 、w i n d o w s 2 0 0 3 、u n i x 、l i n u x 等，这些系 统安全风险级别不同，例如w i n d o w s 2 0 0 0 、w i n d o w s 2 0 0 3 普遍性和可操作性使它 成为最不安全的系统：自身安全漏洞、浏览器的漏洞、i s 的漏洞、病毒木马等。 ( 四) 随着校园内计算机应用的大范围普及，接入校园网的节点数e t 益增 多，而这些节点大部分都没有采取安全防护措施，随时有可能造成病毒泛滥、信 息丢失、数据损坏、网络被攻击、系统瘫痪等严重后果。 ( 五) 内部用户对i n t e m e t 的非法访问威胁，如浏览黄色、暴力、反动等网 站，以及由于下载文件可能将木马、蠕虫、病毒等程序带入校园内网：内外网恶 意用户可能利用利用一些工具对网络及服务器发起d o s d d o s 攻击，导致网络及 服务不可用；高校学生通常是最活跃的网络用户，对网络的各种技术都充满了好 奇，有强大的求知和实验的欲望，勇于尝试，不计后果，校园网内针对q q 黑客 程序、a r p 病毒、超级网管随处可见。 ( 六) 校园网内管理人员以及全体师生的安全意识不强、管理制度不健全， 也是校园网安全的一个重要因素。 ( 七) 目前国内一些大规模院校的校园网功能开发比较完善，而大部分中小 型院校由于资金、技术力量等因素，校园网建设水平还相差甚远，只处在网络使 用的初级阶段，仅提供教学管理、办公室自动化、w e b 等方面，还缺乏深层次的 应用和开发，让外来攻击者的攻击变得简单起来。 2 山东大学硕+ 论文 1 2 2 校园网面临的安全威胁 计算机网络面临的威胁主要来自两个方面，一是内部人为因素带来的计算机 安全威胁。二是来自外界对网络中信息进行攻击的威胁。 ( 一) 内部人为因素带来的计算机安全威胁 ( 1 ) 人为的无意失误。网络管理员在这方面不但肩负重任，还面临越来越 大的压力。稍有考虑不周，安全配置不当，就会造成安全漏洞。另外，用户安全 意识不强，不按照安全规定操作，如口令选择不慎，将自己的账户随意转借他人 或与别人共享，都会对网络安全带来威胁。 ( 2 ) 预置陷阱。预置陷阱是在信息系统的设计或使用的软硬件中，人为地 预设一些陷阱，以干扰或改变计算机的正常运用，甚至使计算机系统崩溃。信息 安全面临的各种威胁之中，预置陷阱是最危险、最可怕的，也是最难以防范的， 如“后门”。许多软件都存在设计编程人员为了方便而设置的“后门”。这些漏 洞和“后门哈恰是黑客进行攻击的首选目标。 ( 二) 来自外界对网络信息进行攻击的威胁 ( 1 ) 计算机病毒：计算机病毒是一种人为制造的、在计算机运行中对计算 机信息或系统起破坏作用的程序。它可以通过磁盘、网络、电子邮件等方式进行 传播，其对计算机上的信息资源、网络运行有很大的破坏作用。它的传播是人为 的，随着网络的不断普及，网上计算机病毒的入侵已成为威胁信息安全的首要大 敌。 ( 2 ) 人为的恶意攻击：一类是主动攻击，它以各种方式有选择地破坏系统 和数据的有效性和完整性：另一类是被动攻击，它是在不影响网络和应用系统正 常运行的情况下，进行截获、窃取、破译以获得重要机密信息。这两种攻击均可 对计算机网络造成极大的危害，导致网络瘫痪或机密泄漏。 1 3 本文的主要工作 本文首先从网络安全面临的主要威胁、常见的网络攻击手段、校园网的实现 形式及其面临的特殊威胁等方面介绍了网络安全的一般知识，并重点阐述了防火 墙对保护网络安全所起的重要作用以及防火墙常见的部署形式，对作者所在学校 东大学硕+ 论文 的校园网采用d m z 屏蔽子网进行了重新部署，并在此基础上完成了一个基于包 过滤防火墙的设计与实现，在一定程度上阻止了校园网受到外部攻击；针对在电 子邮件传输中出现的安全隐患及问题，提出和实现了一种基于p k i 与s m i m e 的安全邮件解决方案，有效地解决了邮件传递的安全问题。 论文的章节组织安排如下： 第一章绪论，简单介绍了课题提出的背景、网络安全面临的威胁、校园网 的现状以及论文的主要内容。 第二章相关知识介绍，介绍防火墙的相关知识、常见的网络攻击手段、电 子邮件技术相关知识，为下一步论文的完成提供了理论依据。 第三章校园网安全实现的思路。主要是分析了作者所在职业院校的校园网 的情况及网络的结构，分析了这种网络存在的安全隐患，并针对这种隐患提出了 解决方案。 第四章基于包过滤的防火墙的设计与实现。本防火墙通过对网络中传输的 数据进行监听，以及管理员对规则进行设置等方法，在一定程度上保障了校园网 的安全。 第五章针对邮件传输中出现的问题，提出了一个基于p k i 与s m i m e 的安 全邮件解决方案。 第六章结束语。 4 i i j 东大学硕士论文 第二章相关知识介绍 2 1 计算机安全 国际标准化组织o s o ) 将“计算机安全”定义为：“为数据处理系统建立和采 取的技术和管理的安全保护，保护计算机硬件、软件数据不因偶然和恶意的原因 而遭到破坏、更改和泄露。在美国国家信息基础设施( n i i ) 的文献中，给出 了安全的五个属性：可用性、可靠性、完整性、保密性和不可抵赖性。 ( 一) 可用性( a v a i l a b i l i t y ) ：得到授权的实体在需要时可访问资源和服 务。可用性是指无论何时，只要用户需要，信息系统必须是可用的，也就是说信 息系统不能拒绝服务。 ( 二) 可靠性( r e l i a b i l i t y ) ：可靠性是指系统在规定条件下和规定时间 内、完成规定功能的概率。可靠性是网络安全最基本的要求之一，网络不可靠， 事故不断，也就谈不上网络的安全。 ( 三) 完整性( i n t e g r i t y ) ：信息不被偶然或蓄意地删除、修改、伪造、 乱序、重放、插入等破坏的特性。只有得到允许的人才能修改实体或进程，并且 能够判别出实体或进程是否已被篡改。即信息的内容不能为未授权的第三方修 改。信息在存储或传输时不被修改、破坏，不出现信息包的丢失、乱序等。 ( 四) 保密性( c o n f i d e n t i a l i t y ) ：保密性是指确保信息不暴露给未授权 的实体或进程。即信息的内容不会被未授权的第三方所知。 ( 五) 不可抵赖性( n o n r e p u d i a t i o n ) ：也称作不可否认性。不可抵赖性 是面向通信双方( 人、实体或进程) 信息真实同一的安全要求，它包括收、发双 方均不可抵赖。一是源发证明，它提供给信息接收者以证据，这将使发送者谎称 未发送过这些信息或者否认它的内容的企图不能得逞：二是交付证明，它提供给 信息发送者以证明这将使接收者谎称未接收过这些信息或者否认它的内容的企 图不能得逞。 2 2 防火墙安全相关知识 ( 一) 防火墙定义 t l f 东大学硕+ 论文 防火墙是位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流 出的所有网络通信均要经过此防火墙。防火墙系统为网络组成部件，用于连接内 部与外部、专用网络与公共网络的连接部件，能保障网络用户最低风险地访问公 用网络，同时，也保护专用网络免遭外部攻击。其作用是保护网络不被非法用户 侵入，它遵循的是一种允许或禁止业务来往的网络通信安全机制，以提供可控的 只允许授权的网络通讯。它工作在网络层，是位于两个网络之间执行控制策略的 系统，用来限制外部非法用户访问内部网络资源，通过建立起来的相应网络通信 监控系统来隔离内部和外部网络，以阻挡外部网络的侵入，防止偷窃或起破坏 作用的恶意攻击。 ( 二) 防火墙的特性 ( 1 ) 内部网络和外部网络之间的所有网络数据流都必须经过防火墙： ( 2 ) 只有符合安全策略的数据流才能通过防火墙； ( 3 ) 防火墙自身应具有非常强的抗攻击免疫力； ( 三) 防火墙的管理功能 防火墙的管理一般分为本地管理、远程管理和集中管理等。 ( 1 ) 本地管理，是指管理员通过防火墙的c o n s o l e 口或防火墙提供的键盘和 显示器对防火墙进行配置管理。 ( 2 ) 远程管理，是指管理员通过以太网或防火墙提供的广域网接口对防火墙 进行管理，管理的通信协议可以基于f t p 、t e l n e t 、h t t p 等。 ( 3 ) 集中管理，是防火墙的一种管理手段，通常利用一个界面来管理网络中 的多个防火墙。其效果和用一个遥控器管理家中所有电器一样简单，可大大简化 管理员的管理工作。 ( 四) 地址翻译( n a t ) 技术 为了解决i p 地址空间不足和更好地提高内部网络的安全性，可以采用网络 地址翻译技术，建立对外部用户透明的私有网。由于对外部网络的用户来讲，私 有网络是透明的、不存在的，这可以在一定程度上降低内部网络被攻击的可能性。 地址翻译技术可以在下列两种情况下发挥作用： ( 1 ) 网络管理员希望隐藏内部网络的d 地址； ( 2 ) 内部网络的i p 地址对于i n t e m e t 而言是无效的口地址； 6 l i 【东大学硕士论文 2 2 1 防火墙的分类 根据数据通信发生的位置，可将防火墙分为几种类型： ( 一) 网络层防火墙， 它也被称为数据包过滤器。它运行在t c p i p 堆栈结构的第三层，在数据包 与所建立的规则相匹配时才准许其通过。这意味着防火墙根据预先定义的规则接 受或拒绝口数据包。 包过滤模块是所有防火墙的一个基本实现。它的主要优点是其相对而言的简 单性、低成本、易于部署等特性。 ( 二) 应用层防火墙 它运行在t c p i p 堆栈结构的最高层，它可以截获一个应用程序的所有数据 包。大体上，应用层防火墙可以阻止所有外部的恶意通信达到受保护的机器。通 过这种方法，防火墙实际上代表了一个应用程序代理，它支持与远程系统的所有 数据交换。其主要观念是要使防火墙后的服务对远程系统不可见。 应用层网关一般部署在一个独立的与网络连接的计算机上，通常它称为一个 代理服务器。代理服务器属于一种特殊的应用层防火墙，它使得从外部网络破坏 内部资源更加困难，使得对一个内部系统的滥用或误用不会被防火墙外部的攻击 者造成安全损害。 ( 三) 传输层电路级防火墙 这种防火墙并不是简单地接受或拒绝数据包，它还可以根据一套可配置的规 则来决定一个连接是否合法。如果通过检查，防火墙就打开一个会话，并准许与 经过认证的源进行数据通信。电路级网关也是一种代理，但它只是建立起一个回 路，对数据包只起转发的作用，这是与应用层代理的不同之处。 这种代理的优点是它可以对各种不同的协议提供服务，但需要改进客户程 序。这种网关对外起着代理的作用，对内则是一个过滤路由器。电路防火墙的缺 点是其运行在传输层上，因此它可能需要对传输功能设计的重大修改，这就会影 响网络性能。此外，这种防火墙要求一些专业性强的安装和维护技术。 ( 四) 网路层与应用层结合一状态检查多级防火墙 7 i i f 东大学硕士论文 这种防火墙的目的是为了将多种防火墙的最好特性结合起来。状态检查多级 防火墙可以执行网络层的数据包过滤，同时又可以识别和处理应用层的数据。这 种防火墙可以提供更高级的网络保护，不过其价格也相对较高。 状态检测也称为状态分组过滤，是一个过滤和代理服务器的组合。状态检测 技术采用的是一种基于连接的状态检测机制，将属于同一连接的所有包作为一个 整体的数据流看待，构成连接状态表，通过规则表与状态表的共同配合，对表中 的各个连接状态因素加以识别。这里动态连接状态表中的记录可以是以前的通信 信息，也可以是其他相关应用程序的信息。防火墙的状态检查模块访问和分析从 各层上得到的数据，并存储和更新状态数据和上下文信息，为跟踪无连接的协议 ( 如r p c 和基于u d p 的应用) 提供虚拟的会话信息。防火墙根据从传输过程和 应用状态所获得的数据以及网络设置和安全规则来产生一个合适的操作拒 绝、允许、加密传输。任何安全规则没有明确允许的数据包将被丢弃或者产生一 个安全警告，并向系统管理员提供整个网络的状态。这种防火墙无疑是非常坚固 的，但其配置非常复杂，而且会降低网络的性能。 表2 1 防火墙技术比较表 防火墙的能力包过滤 代理状态检查 传输的信息部分部分能 传输状态不能部分能 应用的状态不能能能 信息处理部分能能 在设计和应用防火墙系统时，应根据网络规模、安全策略和成本费用等因素 综合考虑，来选择合适的防火墙体系结构。 2 2 2 防火墙的部署 一个防火墙产品，无论是硬件防火墙还是软件防火墙，通常都部署在受信任 网络与非信任网络的边界上。考虑到防火墙的功能特性、校园网的复杂程度与实 际情况，防火墙可以有不同的部署方案。 ( 一) 屏蔽路由器 i ij 东大学硕十论文 在客户计算机和i n t e r n e t 之间放置个路由器，使之执行包过滤功能，这 是最简单的保护方法之一。屏蔽路由器( s c r e e n i n gr o u t e r ) 对内部网络中的个 人计算机执行数据包过滤的功能。只有一个很安全的环境中，如已被防火墙保护 的网络的子网中，才应该选择这种简单的安全设置。 路由器有两个接口，与外部网络连接的外部接口和被保护的内部网络相连的 内部接口，如图2 - 1 所示。每个接口都有它自己唯一的i p 地址。 图2 - 1 屏蔽路由器配置示意图 路由器的主要功能是执行i p 转发以将数据包从一个网络转发到另一个网 络。它决定了数据包通过接口后的走向，根据一系列称作访问控制列表( a c l ) 的规则，来阻断特定类型的数据包通过受保护的网络。 对于某些执行静态数据包过滤功能的路由器，由于不论连接是否建立，它们 都允许通信量通过，这使得黑客可以格式化数据包的报头，从而使它看起来像一 个连接，进而让数据包得以通过。为此，可以部署一些较为复杂的执行由状态包 过滤功能的路由器，只有在数据出站后，该设备才允许通信量进站，以提供进一 步的对受信网络的保护。 ( 二) 双宿主机 一个计算机配有两个网络接口，一个适配器接局域网，一个适配器接因特网。 与路由器不同的是，许多操作系统在识别已安装的两个网络适配器后，如果包从 某接口出去可以到达目的地的话，就会自动把包从一个接口转发到这个接口。 在局域网和因特网之间放置一台双宿主机后，局域网上的客户机就不再与因 9 i l f 东大学硕十论文 特网直接相连。来自局域网内、并通过双宿主机的一个接口到达的网络包，要受 运行于该机上的应用代理的控制。如图2 2 所示。 图2 - 2 双宿主机配置示意图 作为这种部署方案的一种典型应用，可以将屏蔽式主机作为应用程序的网关 或代理服务器，这样，只有当代理应用程序可用时，这些网络服务才可以通过它 进行通信。 ( 三) 屏蔽式主机 屏蔽式主机防火墙的体系结构利用了包过滤器和应用代理网关二者的保护 能力，在配置过程中，用包过滤连接因特网，用代理服务器为局域网上的客户机 提供服务。配置包过滤器，使得只有包的目的地址是去受保护站点的代理服务器 时才允许来自因特网的数据流通过。对网内客户机也要求限制。如图2 3 所示。 1 0 ij f 东大学硕+ 论文 图2 - 3 屏蔽式主机配置示意图 这时，配置在受保护网络外侧的路由器可以执行原始的静态包过滤功能，而 配置在内侧的路由器则可以执行有状态的包过滤功能，以跟踪处在被保护局域网 内部的计算机通信。如果防火墙本身具有动态包过滤的功能，配置内部路由器就 不是必须的了。 ( 四) d m z 屏蔽子网 当需要提供可以接受公共用户访问的服务时，譬如f t p 服务器、w e b 服务器 或者邮件服务器，前述为提供对内部局域网的保护而采取的各项措施就不能适 应。因为这些服务通常都放置在所谓的非军事区( d m z ) ，并需要为它们而组建所 谓的屏蔽子网。这样做的好处是限制d m z 区两端的路由器确保任何来自因特网的 流量不能直接同局域网上的计算机沟通。这样应用代理服务器就没有必要提供那 么多的功能。它只需要一个网络适配器来与局域网内的计算机或外部路由器通 信。如果用户需要大量通过代理服务器的服务，可以在d m z 中放置多个代理服务 器，这样比起所有服务在单个服务器上运行，使用多个服务器将提供更快、更有 效的服务。如图2 - 4 所示。 山东大学硕十论文 图2 - 4d m z 屏蔽子网配置示意图 ( 五) 多重防火墙d m z 目前，实现多重防火墙d m z 部署，可以有以下实现形式： ( 1 ) 两个防火墙，一个d m z ( 2 ) 两个防火墙，两个d m z 通过为校园网中不同服务或校区( 院系) 设置独立的d m z ，可以使网络具有 更高的灵活性，并实现负载均衡。每个防火墙都有一个与之相连的单独的d m z 。 其中一个d m z 包括可供公众访问的w e b 服务器、邮件服务器和f t p 服务器等，另一 个包含v p n 隧道服务器。另外，如果两个防火墙相互兼容并能够实现互相备份的 话，就能够起着故障切换防火墙的作用，以保护重要的通信不会因为其中一个防 火墙出现故障而导致中断的情况。 2 2 3 入侵检测系统 入侵检测系统( i n s t u s i o nd e t e c t i o ns y s t e m ，简称d s ) 是进行入侵检测的软 件与硬件的组合，其主要功能是检测，如检测部分阻止不了的入侵：检测入侵的 前兆，从而加以处理，如阻止、封闭等；入侵事件的归档，从而提供法律依据； 网络遭受威胁程度的评估和入侵事件的恢复等功能。 入侵检测与防火墙的联动是网络安全研究中的一个热点。入侵检测能够动态 i l 东大学硕二卜论文 监视网络的流量，发现非法的入侵行为，并及时产生报警信息，防火墙能够根据 设定的规则，对非法的访问予以主动阻断，这两者构成了网络安全产品的基础和 核心。 2 3 电子邮件安全技术 2 3 1 认证机制 对合法用户进行认证可以防止非法用户获得对公司信息系统的访问，使用认 证机制还可以防止合法用户访问他们无权查看的信息。现列举几种如下： ( 一) 身份认证 当系统的用户要访问系统资源时要求确认是否是合法的用户，这就是身份认 证。常采用用户名和口令等最简易方法进行用户身份的认证识别。 ( 二) 报文认证 主要是通信双方对通信的内容进行验证，以保证报文由确认的发送方产生、 报文传到了要发给的接受方、传送中报文没被修改过。 ( 三) 访问授权 主要是确认用户对某资源的访问权限。 ( 四) 数字签名 数字签名是一种使用加密认证电子信息的方法，其安全性和有用性主要取决 于用户私钥的保护和安全的哈希函数。数字签名技术是基于加密技术的，可用对 称加密算法、非对称加密算法或混合加密算法来实现。 2 3 2 现代密码技术 密码是通信双方按约定的法则进行信息特殊变换的一种重要保密手段。通过 这种手段使未被授权的人无法得到它的正确信息。依照这些法则，变明文为密文， 称为加密变换；变密文为明文，称为脱密变换。主要存在两种主要的加密类型： 私钥加密和公钥加密。 ( 一) 私钥加密 私钥加密又称对称密钥加密，因为用来加密信息的密钥就是解密信息所使用 lj i 东大学硕十论文 的密钥。私钥加密为信息提供了进一步的紧密性，它不提供认证，因为使用该密 钥的任何人都可以创建、加密和平共处送一条有效的消息。这种加密方法的优点 是速度很快，很容易在硬件和软件中实现。 ( 二) 公钥加密 公钥加密比私钥加密出现得晚，私钥加密使用同一个密钥加密和解密，而公 钥加密使用两个密钥，一个用于加密信息，另一个用于解密信息。公钥加密系统 的缺点是它们通常是计算密集的，因而比私钥加密系统的速度慢得多，不过若将 两者结合起来，就可以得到一个更复杂的系统。 2 3 3p k i p k i ( p u b i ck e yi n f r a s t r u c t u r e ) 是一个用公钥概念和技术实施和提供安全 服务的具有普适性的安全基础设施。由于通过网络进行的电子商务、电子政务、 电子事务等活动缺少物理的接触，因而使得用电子方式验证信任关系变得至关重 要。而p k i 技术恰好是当今世界各国学者和科研机构为解决i n t e r n e t 的安全问 题，进行了多年的研究所形成的一套完整的i n t e r n e t 安全解决方案。它主要包 括对称加密算法、非对称加密算法、数字签名、数字证书验证等内容。 p k i 技术采用证书管理公钥，通过第三方的可信任机构一认证中心c a ，把用 户的公钥和用户的其他标识信息捆绑在一起，在i n t e r n e t 网上验证用户的身份。 目前，通用的办法是采用基于p k i 结构结合数字证书，通过把要传输的数字信息 进行加密，保证信息传输的保密性、完整性，签名保证身份的真实性和抗抵赖。 ( 一) p k i 系统的组成 p k i 公钥基础设施是提供公钥加密和数字签名服务的系统或平台，目的是为 了管理密钥和证书。一个机构通过采用p k i 框架管理密钥和证书可以建立一个安 全的网络环境。一个典型、完整、有效的p k i 应用系统至少应具有以下五个部分： ( 1 ) 认证中心c a ( 2 ) x 5 0 0 目录服务器 ( 3 ) 具有高强度密码算法( s s l 协议) 的安全w w w 服务器 ( 4 ) w e b 安全通信平台 ( 5 ) 自开发安全应用系统 t l f 东大学硕十论文 ( 二) p k i 的思想 采用非对称密码学，工作过程中具有两个密钥，一个是公钥一个是私钥。用 公钥加密的文件只能用私钥解密，而私钥加密的文件只能用公钥解密。公钥是公 开的，所有的人都可以得到它：私钥是私有的，不应被其他人得到，具有唯一性。 这样就可以满足电子商务中需要的一些安全要求。 ( 三) p k i 的核, 5 , c a 在p k i 中，为了确保用户的身份及他所持有密钥的正确匹配，公开密钥系统 需要一个值得信赖而且独立的第三方机构充当认证中, 5 , c a ，来确认公钥拥有人的 真正身份。认证中心发放一个叫”数字证书”的身份证明。这个数字证书包含了用 户身份的部分信息及用户所持有的公钥。认证中心利用本身的私钥为数字证书加 上数字签名。任何想发放自己公钥的用户，可以去认证中心申请自己的证书。认 证中心在鉴定该人的真实身份后，颁发包含用户公钥的数字证书。其他用户只要 能验证证书是真实的，并且信任颁发证书的认证中心，就可以确认用户的公钥。 认证中心是公钥基础设施的核心，有了大家信任的认证中心，用户才能放心方便 的使用公钥技术带来的安全服务。 c a 实现了p k i 中一些很重要的功能：证书发放、证书更新、证书撤销和证 书验证。具体描述如下： ( 1 ) 接收验证最终用户数字证书的申请。 ( 2 ) 确定是否接受最终用户数字证书的申请一证书的审批。 ( 3 ) 向申请者颁发、拒绝颁发数字证书一证书的发放。 ( 4 ) 接收、处理最终用户的数字证书更新请求一证书的更新。 ( 5 ) 接收最终用户数字证书的查询、撤销。 ( 6 ) 产生和发布证书废止列表( c r l ) 。 ( 7 ) 数字证书的归档。 ( 8 ) 密钥归档。 ( 9 ) 历史数据归档。 2 3 4s m l m e 协议 s m i m e 是安全通用i n t e r n e t 邮件扩充( s e c u r e m u l t i p u r p o s ei n t e r n e t i i i 东大学硕十论文 m a i le x t e n s i o n ) 的简称，由r s a 公司联合其他软件厂商于1 9 9 5 年共同推出。它 采用的依赖证书认证结构的树状信任模型，因而更适合于企业级应用。它主要包 括四部分：加密消息语法( r f c 2 6 3 0 ) 、d i f f i e - h e l l m a n 密钥协商方法( r f c 2 6 3 1 ) 、 s m i m ev 3 证书处理( r f c 2 6 3 2 ) 、s m i 皿消息规范( r f c 2 6 3 3 ) ，还有一个附加协 议s m i 皿增强安全服务( r f c 2 6 3 4 ) 。 ( 一) 加密消息语法( c r y p t o g r a p h i cm e s s a g es y n t a x ) s m i m ev 3 的加密消息语法为了适应密钥管理的属性证书传递和密钥协商技 术，在原有的基础上做了一定修改，它目前可以用来数字签名、摘要、验证、加 密任意的消息。 c m s 描述了一种用于数据保护的封装语法，支持数字签名、消息验证代码、 加密。c m s 允许多次封装进行嵌套，这样做的好处是可以使用户对前面封装的数 据也进行签名。c m s 的值通过a s n 1 规范和b e r 编码来产生，一般情况下，一个 符合c m s 规范的软件至少要实现保护实体c o n t e n t i n f o 和d a t a 、s i g n d a t a 、 e n v e l o p p e d d a t a 三种内容类型。 ( 二)密钥协商算法d i f f i e - h e l l m a n 原理 d h 算法的安全性体现在：在有限域上计算离散对数非常困难。 ( 1 ) 离散对数：定义素数p 的原始根为这样一个数，它能生成l p - 1 所有 数的一个数。现设a 为p 的原始根，则am o dp ，a 2m o dp ，a r 。m o dp 两两互 不相同，构成一个l p - 1 的全体数的一个排列。对于任意数b 及素数p 的原始根 a ，可以找到一个唯一的指数i ，满足b = a 。, n o dp ，( 0 ( = i 3 2t h e nn s t r = 3 2 c o p y m e m o r yb y v a lr e t s t r i n g ，b y v a ll p s t r ，n s t r r e t s t r i n g = l e f t ( r e t s t r i n g ，n s t r ) g e t a s c i p2r e t s t r i n g e 1 s e g e t a s c l p = ”u n a b l et og e ti p ” e n di f e n df u n c ti o n ( 三) 注册表模块： 注册表模块在本程序中起着重要的作用，前面各模块都调用了该模块的函 数，因此该模块也是该程序中最重要的模块。该模块主要实现如下功能： ( 1 ) 通过调用w i n d o w s 动态链接库，实现对注册表键的创建、打开和关闭， 键值的设置修改和删除等。 ( 2 ) 通过定义设置、存取、索引和删除键值四个函数，为程序其他部分调 用提供具体实现。 注册表模块的程序流程图如下： l i 东大学硕士论文 p 用a d v a p i 3 2 矧l ，申明注册表注册函数l 1r l 定义有关数据类型 i 上 l 在h k l m s o f t w a r e 下建立一个m y f i r e w a ll l i的表项 上 惧体实现a d v a p i 3 2 d l l 提供的注册表设置、l 陕取、删除等原型函数i 图4 - 5 注册表模块程序流程图 注册表模块实现代码如下： 函数申明 d e c l a r ef u n c t i o nr e g e n u m v a l u el i b ”a d v a p i 3 2 d l l ”a l i a s ”r e g e n u m v a l u e a ”( b y v a l h k e ya sl o n g ，b y v a l d w l n d e xa s l o n g ，b y v a ll p v a l u e n a m ea ss t r i n g ， l p c b v a l u e n a m ea sl o n g ，b y v a ll p r e s e r v e da sl o n g ，l p t y p ea sl o n g ，b y v a ll p d a t a a ss t r i n g ，l p c b d a t aa sl o n g ) a sl o n g d e c l a r ef u n c t i o nr e 9 0 p e n k e y e xl i b 。a d v a p i 3 2 6a l i a s “r e 9 0 p e n k e y e x h “ ( b y v a lh k e ya sl o n g ，b y v a ll p s u b k e ya ss t r i n g ，b y v a lu l o p t i o n sa sl o n g ， b y v a ls a m d e s i r e da sl o n g ，p h k r e s u l ta sl o n g ) a sl o n g t y p es e c u r i t y _ a t t r i b u t e s n l e n g t ha sl o n g 1 p s e c u r i t y d e s c r i p t o ra sl o n g b i n h e r i t h a n d l ea sb o o l e a n e n dt y p e p u b li cc o n s ts r e g = ”s o f t w a r e m y f i r e w a ll ” 设置注册表 p u b li cf u n c t i o nb s e t r e g v a l u e ( b y v a lh k e ya sl o n g ，b y v a ll p s z s u b k e ya s s t r i n g ，b y v a ls s e t v a l u ea ss t r i n g ，b y v a ls v a l u ea ss t r i n g ) a sb o o l e a n 3 5 【lj 东大学硕士论文 o ne r r o rr e s u m en e x t d i mp h k r