第六计算机信息安全

1、第六章 计算机信息安全第六章第六章 计算机信息安全计算机信息安全2信息安全概述信息安全概述1 1数据加密与认证技术数据加密与认证技术2 2网络安全技术网络安全技术3 3第六章第六章 计算机信息安全计算机信息安全3信息安全概述信息安全概述1 1数据加密与认证技术数据加密与认证技术2 2网络安全技术网络安全技术3 3一个黑客的一天一个黑客的一天黑客Joe今天进行的第一个搜索好象没有什么危险性:Intitle:“welcome to IIS4.0”Results 1-10 of about 63 for Intitle:“welcome to IIS4.0” (0.10 seconds)他这是在找什

2、么?我们在他的屏幕上看到一份长长的Windows IIS 4.0服务器名单, IIS 4.0服务器软件存在着大量的安防漏洞,很多攻击者都喜欢挑选它们作为攻击目标。一个黑客的一天一个黑客的一天VNC Server允许远程用户来连接和控制某个用户的桌面。因为种种原因，总有那么一些人会把自己的VNC Server服务器配置成不需要提供口令字就可以访问这将允许别人从远程直接访问他的桌面。不得了！“VNC Desktop” inurl:5800Results 1-10 of about 112 for “VNC Desktop” inurl:5800.(0.27seconds)因为还想寻找更多的牺牲品，

3、Joe Hacker没有在这份清单上花费更多的时间。他的下一个搜索目标是在Web服务器上运行着VNC Server软件的用户：一个黑客的一天一个黑客的一天Joe Hacker今天为寻找潜在的攻击目标而进行的最后一次(这当然不意味着他只会这么多招数)Google搜索是寻找防范不力的Microsoft FrontPage功能扩展模块,这种搜索一直非常流行,效果也一直不错:Filetype:pwd serviceResults 1-10 of about 173 for Filetype:pwd service.(0.28seconds)Joe Hacker顺手点击了搜索结果清单里的一个链接,在他的

4、屏幕上出现了一些用户名和Unix口令字:# -FrontPageeekendall:bYldlSr73NLKoLouisa:5zm94d7cdDFiQ一个黑客的一天一个黑客的一天Joe HackerJoe Hacker启动了他的启动了他的John the RipperJohn the Ripper口令字破解工具，那口令字破解工具，那位位LouisaLouisa用户的口令字几乎立刻就被破解出来用户的口令字几乎立刻就被破解出来“trumpetrumpet t”。JoeJoe的手里现在已经又了一个的手里现在已经又了一个FrontPageFrontPage用户名和相关的用户名和相关的口令字了。口令字了

5、。一个黑客的一天一个黑客的一天在找到了几个好的潜在攻击的目标之后，在找到了几个好的潜在攻击的目标之后，Joe HackerJoe Hacker又把兴趣又把兴趣转向了转向了WebWeb上的敏感信息，如口令字和财务信息等。他又进行了上的敏感信息，如口令字和财务信息等。他又进行了一次搜索：一次搜索：Filetype:bak inurl:”thaccess|passwd|htusers”Results 1-10 of about 59 for Filetype:bak inurl:”thaccess|passwd|htusers”.(0.18seconds)这次搜索查出了一大堆与人们用来存放用户名和加

6、密口令字这次搜索查出了一大堆与人们用来存放用户名和加密口令字（要破解这些口令字并不难）的文件有关信息。（要破解这些口令字并不难）的文件有关信息。Joe HackerJoe Hacker今今天的运气还真不错，他随手点击的那个链接让他弄到了一个未天的运气还真不错，他随手点击的那个链接让他弄到了一个未使用使用shadowshadow加密机制的加密机制的UNIXUNIX口令字文件。那个文件来自美国的口令字文件。那个文件来自美国的某所著名大学，里面有好几百个用户名。只好了几秒钟就有这某所著名大学，里面有好几百个用户名。只好了几秒钟就有这么大的收获，让么大的收获，让JoeJoe觉得心满意足。觉得心满意足。

7、一个黑客的一天一个黑客的一天那就再试试几个在网上寻找数据库的那就再试试几个在网上寻找数据库的GoogleGoogle搜索招数好了，搜索招数好了，JoeJoe想到了就做：想到了就做：Filetype:properties inurl:db intext:passwordResults 1-10 of about 854 for Filetype:properties inurl:db intext:password.(0.21seconds)JoeJoe在搜索结果清单里随手点击了一个链接。嘿，那不是明文形在搜索结果清单里随手点击了一个链接。嘿，那不是明文形式的数据库口令字吗！式的数据库口令字吗！

8、Drives=sun.jdbc.jdbcodbcdrive jdbc.idbDriverLogfile=d:usersrcjavaDBConnectionManagerlog.txtIdb.url=jdbc:idb:c:localjavawebserver1.1dbdb.prpIdb.maxconn=2Access.url=jdbc:odbc:demoAccess.user=demoAccess.password=demopw一个黑客的一天一个黑客的一天“not for diatribution” confidential site:eduResults 1-10 of about 138 f

9、or “not for diatribution” confidential site:edu.(0.21seconds)真走运，真走运，JoeJoe今天进行的几次搜索都大有收获今天进行的几次搜索都大有收获他这次随手点他这次随手点开的那个链接列出了开的那个链接列出了100100多个机密文件。那所大学把学生们的社多个机密文件。那所大学把学生们的社会安全号码保存在了一些会安全号码保存在了一些PDFPDF文件里，太糟糕了！文件里，太糟糕了！一个黑客的一天一个黑客的一天现在，现在，JoeJoe觉得今天找到了的那几个潜在攻击目标都很值得一试，觉得今天找到了的那几个潜在攻击目标都很值得一试，但在亲自动手之

10、前，他决定使出自己的但在亲自动手之前，他决定使出自己的GoogleGoogle搜索杀手锏：搜索杀手锏：This file was generated by NessusResults 1-10 of about 75,300 for This file was generated by Nessus.(0.2seconds)NessusNessus是一个在系统管理员中间非常流行的安防漏洞扫描工具。是一个在系统管理员中间非常流行的安防漏洞扫描工具。那些麻痹大意的系统管理员今天可真不幸，那些麻痹大意的系统管理员今天可真不幸，Joe HackerJoe Hacker搜到了搜到了好几百份好几百份Nes

11、susNessus扫描结果报告扫描结果报告它们的主人忘记把它们从自它们的主人忘记把它们从自己的系统上删掉了！这些安防漏洞扫描结果报告绝对使从网上己的系统上删掉了！这些安防漏洞扫描结果报告绝对使从网上能够找到的最有价值的情报，它们让能够找到的最有价值的情报，它们让Joe HackerJoe Hacker一清二楚地看一清二楚地看到了哪些系统有安防漏洞及它们都有哪些安防漏洞。到了哪些系统有安防漏洞及它们都有哪些安防漏洞。6.1.1 6.1.1 信息安全的基本概念信息安全的基本概念12信息安全的目标是保护信息的机密性、完整性、抗否认性和信息安全的目标是保护信息的机密性、完整性、抗否认性和可用性。可用性

12、。（1 1）机密性（）机密性（ConfidentialityConfidentiality）机密性是指保证信息不能被非授权访问，即使非授权用户得机密性是指保证信息不能被非授权访问，即使非授权用户得到信息也无法知晓信息内容。通常通过访问控制阻止非授权用到信息也无法知晓信息内容。通常通过访问控制阻止非授权用户获得机密信息，通过加密变换阻止非授权用户获知信息内容户获得机密信息，通过加密变换阻止非授权用户获知信息内容。（2 2）完整性（）完整性（IntegrityIntegrity）完整性是指维护信息在生成、传输、存储和使用过程中不应完整性是指维护信息在生成、传输、存储和使用过程中不应发生人为或非人为

13、的非授权篡改。一般通过访问控制阻止篡改发生人为或非人为的非授权篡改。一般通过访问控制阻止篡改行为，同时通过消息摘要算法来检验信息是否被篡改。行为，同时通过消息摘要算法来检验信息是否被篡改。6.1.1 6.1.1 信息安全的基本概念信息安全的基本概念13（3 3）不可否认性（）不可否认性（Non-Repudiation Non-Repudiation ）不可否认性是指能保障用户无法在事后否认曾经对信息进行不可否认性是指能保障用户无法在事后否认曾经对信息进行的生成、签发、接收等行为，是针对通信各方信息真实同一性的生成、签发、接收等行为，是针对通信各方信息真实同一性的安全要求。一般通过数字签名来提供

14、抗否认服务。的安全要求。一般通过数字签名来提供抗否认服务。（4 4）可用性（）可用性（AvailabilityAvailability）可用性是指授权用户根据需要可以随时访问所需信息，而不可用性是指授权用户根据需要可以随时访问所需信息，而不遭服务拒绝。遭服务拒绝。6.1.2 6.1.2 信息安全保护技术信息安全保护技术p数据加密数据加密p存取控制存取控制p权限设置权限设置p虚拟专用网络虚拟专用网络p防火墙技术防火墙技术p入侵检测技术入侵检测技术14第六章第六章 计算机信息安全计算机信息安全15信息安全概述信息安全概述1 1数据加密与认证技术数据加密与认证技术2 2网络安全技术网络安全技术3 3

15、第六章第六章 计算机信息安全计算机信息安全16信息安全概述信息安全概述1 1数据加密与认证技术数据加密与认证技术2 2网络安全技术网络安全技术3 36.2.1 6.2.1 数据加密技术数据加密技术17数据加密（数据加密（Data EncryptionData Encryption）技术是指将一个信息（或称）技术是指将一个信息（或称明文，明文，Plain TextPlain Text）经过加密钥匙（）经过加密钥匙（Encryption keyEncryption key）及加密）及加密函数转换，变成无意义的密文（函数转换，变成无意义的密文（Cipher TextCipher Text），而接收方

16、则），而接收方则将此密文经过解密函数、解密钥匙（将此密文经过解密函数、解密钥匙（Decryption KeyDecryption Key）还原成）还原成明文。明文。加密技术分为对称加密和非对称加密。加密技术分为对称加密和非对称加密。传统密码体制主要使传统密码体制主要使用对称密码体制（单钥体制），现代密码体制主要使用非对称用对称密码体制（单钥体制），现代密码体制主要使用非对称密码体制。密码体制。 18p对称加密19p非对称加密6.2.2 6.2.2 数字签名与数字证书数字签名与数字证书20p数字签名数字签名的作用是保证信息完整性；提供信息发数字签名的作用是保证信息完整性；提供信息发送者的身份认证

17、。送者的身份认证。信息发送者使用公开密钥算法技术，产生别人无信息发送者使用公开密钥算法技术，产生别人无法伪造的一段数字串。发送者用自己的私有密钥加法伪造的一段数字串。发送者用自己的私有密钥加密数据传给接收者，接收者用发送者的公钥解开数密数据传给接收者，接收者用发送者的公钥解开数据后，就可确定消息来自于谁，同时也是对发送者据后，就可确定消息来自于谁，同时也是对发送者发送的信息的真实性的一个证明。发送者对所发信发送的信息的真实性的一个证明。发送者对所发信息不能抵赖。息不能抵赖。 21假设假设A A要发送一个电子文件给要发送一个电子文件给B B，数字签名的过程，数字签名的过程是：是： 系统初始化：选

18、择签名所需的算法和参数；系统初始化：选择签名所需的算法和参数；产生签名：产生签名：A A用其私钥加密文件并发送给用其私钥加密文件并发送给B B；签名验证：签名验证：B B用用A A的公钥解开的公钥解开A A送来的文件。送来的文件。226.2.2 6.2.2 数字签名与数字证书数字签名与数字证书23p数字证书所谓的数字证书说通俗点就是网络用户的网上身所谓的数字证书说通俗点就是网络用户的网上身份证，就如同现实中每一个人都要拥有一张证明个份证，就如同现实中每一个人都要拥有一张证明个人身份的身份证或驾驶执照一样，以表明其身份或人身份的身份证或驾驶执照一样，以表明其身份或某种资格。某种资格。数字证书是一

19、种权威性的电子文档，它是由权威数字证书是一种权威性的电子文档，它是由权威公正的第三方机构，即公正的第三方机构，即CACA（Certificate AuthoritCertificate Authority y，证书授权中心）签发的。人们可以在互联网交往，证书授权中心）签发的。人们可以在互联网交往中用它来识别对方的身份。中用它来识别对方的身份。24数字证书采用数字证书采用PKIPKI（Public Key InfrastructurePublic Key Infrastructure）公开密钥）公开密钥基础架构技术，利用一对互相匹配的密钥进行加密和解密。基础架构技术，利用一对互相匹配的密钥进行加

20、密和解密。每个用户自己设定一把特定的仅为本人所知的私有密钥（私每个用户自己设定一把特定的仅为本人所知的私有密钥（私钥），用它进行解密和签名；同时设定一把公共密钥（公钥），用它进行解密和签名；同时设定一把公共密钥（公钥），由本人公开，为一组用户所共享，用于加密和验证签钥），由本人公开，为一组用户所共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，通过数字的手段据加密，而接收方则使用自己的私钥解密，通过数字的手段保证加解密过程是一个不可逆过程，即只有用私有密钥才能保证加解密过程是一个不

21、可逆过程，即只有用私有密钥才能解密，这样保证信息安全无误地到达目的地。用户也可以采解密，这样保证信息安全无误地到达目的地。用户也可以采用自己的私钥对发送信息加以处理，形成数字签名。由于私用自己的私钥对发送信息加以处理，形成数字签名。由于私钥为本人所独有，这样可以确定发送者的身份，防止发送者钥为本人所独有，这样可以确定发送者的身份，防止发送者对发送信息的抵赖性。接收方通过验证签名还可以判断信息对发送信息的抵赖性。接收方通过验证签名还可以判断信息是否被篡改过。是否被篡改过。6.2.3 6.2.3 身份认证技术身份认证技术25p用户名用户名/ /口令认证技术口令认证技术正确设置密码（口令）的要求有：

22、正确设置密码（口令）的要求有： 尽量设置长密码尽量设置长密码大小写字母混合、字母与数字混合大小写字母混合、字母与数字混合尽量有字母、数字以外的符号尽量有字母、数字以外的符号定期更换口令定期更换口令123456267E01r39stQ26不安全的口令有如下几种情况：不安全的口令有如下几种情况：使用用户名（帐号）作为口令使用用户名（帐号）作为口令使用用户名（帐号）的变换形式作为口令使用用户名（帐号）的变换形式作为口令使用自己或者亲友的生日作为口令使用自己或者亲友的生日作为口令使用常用的英文单词作为口令使用常用的英文单词作为口令使用使用5 5位或位或5 5位以下的字符作为口令位以下的字符作为口令大写

23、字母大写字母小写字母小写字母数字数字其他符号其他符号密码长度密码长度字典大小字典大小62G6146G6422G63953G840045337G128133397268G27用户名用户名/ /口令身份认证系统口令身份认证系统28l智能卡是一种内置集成电路的芯片，芯片中存有智能卡是一种内置集成电路的芯片，芯片中存有与用户身份相关的数据，智能卡由专门的厂商通与用户身份相关的数据，智能卡由专门的厂商通过专门的设备生产，是不可复制的硬件。智能卡过专门的设备生产，是不可复制的硬件。智能卡由合法用户随身携带，登录时不但需要口令，还由合法用户随身携带，登录时不但需要口令，还必须将智能卡插入专用的读卡器读取其中

24、的信息，必须将智能卡插入专用的读卡器读取其中的信息，以验证用户的身份。以验证用户的身份。296.2.3 6.2.3 身份认证技术身份认证技术p智能卡智能卡30管理软件系统管理软件系统发卡器发卡器读卡器读卡器l目前这类认证主要包括：视网膜认证、声音验证、目前这类认证主要包括：视网膜认证、声音验证、手型识别等。这类系统的安全性更高。例如：系手型识别等。这类系统的安全性更高。例如：系统中存储了某人的指纹，接入网络时，就必须在统中存储了某人的指纹，接入网络时，就必须在连接到网络的电子指纹机上提供他的指纹，只有连接到网络的电子指纹机上提供他的指纹，只有指纹相符才允许访问系统。更普通的是通过视网指纹相符才

25、允许访问系统。更普通的是通过视网膜膜血管分布图来识别，原理与指纹识别相同，膜膜血管分布图来识别，原理与指纹识别相同，声波纹识别也是商业系统采用的一种识别方式。声波纹识别也是商业系统采用的一种识别方式。316.2.3 6.2.3 身份认证技术身份认证技术p主体特征认证主体特征认证电子指纹机电子指纹机32第六章第六章 计算机信息安全计算机信息安全33信息安全概述信息安全概述1 1数据加密与认证技术数据加密与认证技术2 2网络安全技术网络安全技术3 3第六章第六章 计算机信息安全计算机信息安全34信息安全概述信息安全概述1 1数据加密与认证技术数据加密与认证技术2 2网络安全技术网络安全技术3 36

26、.3.1 6.3.1 防火墙技术防火墙技术l所谓防火墙是指将内部网和公众访问网（如所谓防火墙是指将内部网和公众访问网（如InternetInternet）分开）分开的方法，它实际上是一种安全隔离技术，是在两个网络通讯的方法，它实际上是一种安全隔离技术，是在两个网络通讯时执行的一种访问控制手段。它允许被用户时执行的一种访问控制手段。它允许被用户“同意同意”的人和的人和数据进入网络，同时将不被用户数据进入网络，同时将不被用户“不同意不同意”的人和数据拒之的人和数据拒之门外，最大限度地阻止网络中的黑客访问不允许访问的网络。门外，最大限度地阻止网络中的黑客访问不允许访问的网络。l防火墙具有很好的保护作

27、用。入侵者必须首先穿越防火墙的防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。目前应用较多的是网络层安全防线，才能接触目标计算机。目前应用较多的是网络层的包过滤技术和应用层的安全代理技术。包过滤技术通过检的包过滤技术和应用层的安全代理技术。包过滤技术通过检查信息流的信源和信宿地址等方式确认是否允许数据包通行，查信息流的信源和信宿地址等方式确认是否允许数据包通行，而安全代理则通过分析访问协议、代理访问请求来实现访问而安全代理则通过分析访问协议、代理访问请求来实现访问控制。防火墙技术的研究内容包括防火墙的安全策略、实现控制。防火墙技术的研究内容包括防火墙的安全策略

28、、实现模式、强度分析等。模式、强度分析等。35一种典型的防火墙示意图一种典型的防火墙示意图36防火墙技术的优势防火墙技术的优势防火墙对企业内部网实现了集中的安全管理，可以强化网防火墙对企业内部网实现了集中的安全管理，可以强化网络安全策略，比分散的主机管理更经济易行络安全策略，比分散的主机管理更经济易行防火墙能防止非授权用户进入内部网络防火墙能防止非授权用户进入内部网络防火墙可以方便地监视网络的安全性并报警防火墙可以方便地监视网络的安全性并报警可以作为部署网络地址转换（可以作为部署网络地址转换（Network Address TranslatNetwork Address Translation

29、ion）的地点，利用）的地点，利用NATNAT技术，可以缓解地址空间的短缺，技术，可以缓解地址空间的短缺，隐藏内部网的结构隐藏内部网的结构利用防火墙对内部网络的划分，可实现重点网段的分离，利用防火墙对内部网络的划分，可实现重点网段的分离，从而限制安全问题的扩散从而限制安全问题的扩散由于所有的访问都经过防火墙，防火墙是审计和记录网络由于所有的访问都经过防火墙，防火墙是审计和记录网络的访问和使用的最佳地方的访问和使用的最佳地方37防火墙技术的局限性防火墙技术的局限性为了提高安全性，限制或关闭了一些有用但存在安全缺陷的为了提高安全性，限制或关闭了一些有用但存在安全缺陷的网络服务，给用户带来使用的不便

30、网络服务，给用户带来使用的不便目前防火墙对于来自网络内部的攻击还无能为力目前防火墙对于来自网络内部的攻击还无能为力防火墙不能防范不经过防火墙的攻击，如内部网用户通过防火墙不能防范不经过防火墙的攻击，如内部网用户通过SLSLIP IP 或或PPP PPP 直接进入直接进入InternetInternet防火墙对用户不完全透明，可能带来传输延迟、瓶颈及单点防火墙对用户不完全透明，可能带来传输延迟、瓶颈及单点失效失效防火墙也不能完全防止受病毒感染的文件或软件的传输，由防火墙也不能完全防止受病毒感染的文件或软件的传输，由于病毒的种类繁多，如果要在防火墙完成对所有病毒代码的于病毒的种类繁多，如果要在防火

31、墙完成对所有病毒代码的检查，防火墙的效率就会降到不能忍受的程度检查，防火墙的效率就会降到不能忍受的程度防火墙不能有效地防范数据驱动式攻击防火墙不能有效地防范数据驱动式攻击作为一种被动的防护手段，防火墙不能防范因特网上不断出作为一种被动的防护手段，防火墙不能防范因特网上不断出现的新的威胁和攻击，必须不断地升级更新现的新的威胁和攻击，必须不断地升级更新386.3.2 6.3.2 入侵检测技术入侵检测技术l入侵检测是对入侵行为的检测，它是通过计算机网络系统入侵检测是对入侵行为的检测，它是通过计算机网络系统中的若干关键点收集信息，并分析这些信息，从中发现网中的若干关键点收集信息，并分析这些信息，从中发

32、现网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。外部攻击和误操作的实时保护。l入侵检测技术是为保证计算机系统的安全而设计与配置的入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反

33、安全策略行为的技术。是一种用于检测计算机网络中违反安全策略行为的技术。进行入侵检测的软件与硬件的组合便是入侵检测系统。进行入侵检测的软件与硬件的组合便是入侵检测系统。39入侵者在入侵一个系统时会想达到以下目的中的一入侵者在入侵一个系统时会想达到以下目的中的一种或几种：种或几种：执行进程执行进程获取文件和数据获取文件和数据获取超级用户权限获取超级用户权限进行非授权操作进行非授权操作使系统拒绝服务使系统拒绝服务篡改信息篡改信息批露信息批露信息40l入侵检测是对入侵行为的发觉。目前主要有基于用户行为入侵检测是对入侵行为的发觉。目前主要有基于用户行为模式、系统行为模式和入侵特征的检测等。在实现时，可模

34、式、系统行为模式和入侵特征的检测等。在实现时，可以只检测针对某主机的访问行为，也可以检测针对整个网以只检测针对某主机的访问行为，也可以检测针对整个网络的访问行为，前者称为基于主机的入侵检测，后者称为络的访问行为，前者称为基于主机的入侵检测，后者称为基于网络的入侵检测。入侵检测技术研究的主要内容包括基于网络的入侵检测。入侵检测技术研究的主要内容包括信息流提取技术、入侵特征分析技术、入侵行为模式分析信息流提取技术、入侵特征分析技术、入侵行为模式分析技术、入侵行为关联分析技术、高速信息流快速分析技术技术、入侵行为关联分析技术、高速信息流快速分析技术等。等。l主流的入侵检测工具有主流的入侵检测工具有SnortSnort、OSSEC HIDSOSSEC HIDS、BASE BASE 、ISS ISS RealSecureRealSecure、SguilSguil等。等。41ISS RealSecu