复习要点doc - 成都大学

1、网络安全复习要点1、网络安全涵盖： 自主计算机的安全；互联的安全，即用以实现互联的通信设备、通信链路、网络软件、网络协议的安全；各种网络应用和服务的安全。2、什么是网络安全 网络安全就是为防范计算机网络硬件、软件、数据偶然或蓄意被破坏、篡改、窃听、假冒、泄露、非法访问并保护网络系统持续有效工作的措施总和。3、主要的渗人类型的威胁：(1)假冒(2)旁路控制(3)授权侵犯4、主要的植入类型的威胁：(1)特洛伊木马(2)陷阱门5、密码安全是信息安全、网络安全和计算机系统安全的基础与核心，也是身份认证、访问控制、拒绝否认和防止信息窃取的有效手段。6、网络安全可以看成是计算机网络上的信息安全，涉及网络信

2、息的可靠性、保密性、完整性、有效性、可控性和拒绝否认性的理论、技术与管理。7、网络安全的最终目标就是通过各种技术与管理手段实现网络信息系统的可靠性、保密性、完整性、有效性、可控性和拒绝否认性。 其中，保密性、完整性、有效性是网络安全具有的三个基本属性。8、网络安全机制n 加密、报文摘要算法和数字签名；n 接入控制和认证机制；n 分组检测和信息流管制机制；n 入侵防御机制；n 应用层安全机制。9、计算机网络上的通信面临以下的四种威胁： (1) 截获从网络上窃听他人的通信内容。 (2) 中断有意中断他人在网络上的通信。 (3) 篡改故意篡改网络上传送的报文。 (4) 伪造伪造信息在网络上传送。10

3、、截获信息的攻击称为被动攻击，而更改信息和拒绝用户使用资源的攻击称为主动攻击11、密码编码学(cryptography)是密码体制的设计学，而密码分析学(cryptanalysis)则是在未知密钥的情况下从密文推演出明文或密钥的技术。密码编码学与密码分析学合起来即为密码学(cryptology)。12、对称密钥系统加密密钥与解密密钥是相同的密码体制。13、公钥密码体制使用不同的加密密钥与解密密钥14、一般的数据加密模型 截获密文 Y加密密钥 K密文 Y截取者篡改E 运算加密算法D 运算解密算法因特网解密密钥 KAB明文 X15、数据加密标准 DESv 数据加密标准 DES 属于常规密钥密码体制

4、，是一种分组密码。v 在加密前，先对整个明文进行分组。每一个组长为 64 位。v 然后对每一个 64 位 二进制数据进行加密处理，产生一组 64 位密文数据。v 最后将各组密文串接起来，即得出整个的密文。v 使用的密钥为 64 位（实际密钥长度为 56 位，有 8 位用于奇偶校验)。16、国际数据加密算法IDEA IDEA使用128位密钥17、非对称加密体制v 公钥密码体制使用不同的加密密钥与解密密钥，是一种“由已知加密密钥推导出解密密钥在计算上是不可行的”密码体制。 v 公钥密码体制的产生主要是因为两个方面的原因，一是由于常规密钥密码体制的密钥分配问题，另一是由于对数字签名的需求。v 现有最

5、著名的公钥密码体制是RSA 体制，它基于数论中大数分解问题的体制。18、加密密钥与解密密钥v 在公钥密码体制中，加密密钥(即公钥) PK 是公开信息，而解密密钥(即私钥或秘钥) SK 是需要保密的。v 加密算法 E 和解密算法 D 也都是公开的。v 虽然秘钥 SK 是由公钥 PK 决定的，但却不能根据 PK 计算出 SK。l 19、公钥算法的特点v 发送者 A 用 B 的公钥 PKB 对明文 X 加密（E 运算）后，在接收者 B 用自己的私钥 SKB 解密（D 运算），即可恢复出明文： v 解密密钥是接收者专用的秘钥，对其他人都保密。v 加密密钥是公开的，但不能用它来解密，即v 加密和解密的运

6、算可以对调，即19、数字签名必须保证以下三点：(1) 报文鉴别接收者能够核实发送者对报文的签名；(2) 报文的完整性发送者事后不能抵赖对报文的签名；(3) 不可否认接收者不能伪造对报文的签名。20、数字签名的实现（原理）密文 D运算B因特网签名 核实签名E运算密文 A 的公钥 PKAA 的私钥 SKAA说明n 因为除 A 外没有别人能具有 A 的私钥，所以除 A 外没有别人能产生这个密文。因此 B 相信报文 X 是 A 签名发送的。n 若 A 要抵赖曾发送报文给 B，B 可将明文和对应的密文出示给第三者。第三者很容易用 A 的公钥去证实 A 确实发送 X 给 B。n 反之，若 B 将 X 伪造

7、成 X，则 B 不能在第三者前出示对应的密文。这样就证明了 B 伪造了报文。21、具有保密性的数字签名在20的基础上设计具有保密性的数字签名。22、报文摘要 MD (Message Digest)n A 将报文 X 经过报文摘要算法运算后得出很短的报文摘要 H。然后然后用自己的私钥对 H 进行 D 运算，即进行数字签名。得出已签名的报文摘要 D(H)后，并将其追加在报文 X 后面发送给 B。n A 将报文 X 经过报文摘要算法运算后得出很短的报文摘要 H。然后然后用自己的私钥对 H 进行 D 运算，即进行数字签名。得出已签名的报文摘要 D(H)后，并将其追加在报文 X 后面发送给 B。n B

8、收到报文后首先把已签名的 D(H) 和报文 X 分离。然后再做两件事。n 用A的公钥对 D(H) 进行E运算，得出报文摘要 H 。n 对报文 X 进行报文摘要运算，看是否能够得出同样的报文摘要 H。如一样，就能以极高的概率断定收到的报文是 A 产生的。否则就不是。23、报文摘要的实现A比较签名 核实签名HD 运算D(H)A 的私钥报文 XD(H)B报文摘要报文 XD(H)发送 E 运算H签名的报文摘要HA 的公钥报文摘要运算报文摘要因特网24、攻击的类型v （1）窃听（interception）：攻击者未经授权而浏览了信息资源。这是对信息保密性的威胁。例如，通过搭线捕获线路上传输的数据等。v

9、（2）中断（interruption）：攻击者中断正常的信息传输，使接收方收不到信息，正常的信息变得无用或无法利用。这是对信息可用性的威胁。例如，破坏存储介质、切断通信线路、入侵文件管理系统等。v （3）篡改（modification）：攻击者未经授权而访问了信息资源，并篡改了信息。这是对信息完整性的威胁。例如，修改文件中的数据、改变程序功能、修改传输的报文内容等。v （4）伪造（fabrication）：攻击者在系统中加入了伪造的内容。这也是对数据完整性的威胁。例如，向网络用户发送虚假信息、在文件中插入伪造的记录等。25、被动攻击 在被动攻击中，攻击者只是观察和分析某一个协议数据单元 PDU

10、 而不干扰信息流。 窃听、监听属于被动攻击。 常用采用加密技术来屏蔽内容。 对被动攻击强调的是阻止而不是检测。26、主动攻击主动攻击是指攻击者对某个连接中通过的 PDU 进行各种处理。(1)伪装(2)回答（重放）(3)修改报文(4)拒绝服务27、网络安全策略 网络安全策略是保障机构网络安全的指导文件。一般而言，网络安全策略包括总体安全策略和具体安全管理实施细则28、对抗攻击的4个基本安全服务：机密性服务、完整性服务、可用性服务以及可审性服务。29、Kerberos鉴别v Kerberos鉴别是一种使用对称密钥加密算法来实现通过可信第三方密钥分发中心(KDC)的身份认证系统。v Kerberos

11、版本5的协议已被Internet工程部IEIF正式接受为RFC 1510。v Kerberos在学术界和工业界都获得了广泛的支持，被众多系统选作身份认证的基础平台。v 目前各主要操作系统都支持Kerberos认证系统。v Kerberos协议中有3个通信参与方：需要验证身份的通信双方及一个双方都信任的第三方，即密钥分发中心(KDC)。30、单个CA的PKI结构 单个CA的PKI结构中，只有一个CA，它是PKI中的所有用户的信任点，为所有用户提供PKI服务。 在这个结构中，所有用户都能通过该CA实现相互之间的认证。 单个CA的PKI结构简单，容易实现；但对于具有大量的、不同群体用户的组织不太适应

12、，其扩展性较差。31、网络体系结构的观点 不同类型的漏洞、攻击、威胁存在于网络的不同层次。例：IP欺骗是在网络层的一种攻击，字典攻击则发生在应用层，通信窃听是在数据链路层和物理层，各种病毒的侵入则是在应用层。 每个网络环境因其安装的硬件、软件、技术和配置的不同而有所区别。主要区别在于要达到的目标不同。 在网络体系结构中不同的层次可能发生的攻击、漏洞。 防火墙配置了分组过滤，这是在网络层提供防护，它抵御拒绝服务攻击和碎片攻击。 代理软件配置保护应用层，抵御非授权访问攻击和分组欺骗攻击。 网络地址转换(NAT)工作在网络层，可隐藏LAN的IP地址和拓扑。 屏蔽双绞线(STP)工作在物理层，可以防止

13、网络窃听和信号干扰。32、OSI安全体系结构的5类安全服务 鉴别（认证安全服务） 访问控制 数据机密性 数据完整性 抗否认 33、为了实现OSI安全体系结构的5类安全服务，ISO 7408-2中制定了支持安全服务的8种安全机制，它们分别是：n 加密机制（Enciphrement Mechanisms）n 数字签名机制（Digital Signature Mechanisms）n 访问控制机制（Access Control Mechanisms）n 数据完整性机制（Data Integrity Mechanisms）n 鉴别交换机制（Authentication Mechanisms）n 通信业

14、务填充机制（Traffic Padding Mechanisms）n 路由控制机制（Routing Control Mechanisms）n 公证机制（Notarization Mechanisms）34、防火墙的概念 防火墙是建立在内外网络边界上的过滤封锁机制，内部网络被认为是安全和可信赖的，而外部网络(通常是Internet)被认为是不安全和不可信赖的。 防火墙的作用是防止不希望的、未经授权的通信进出被保护的内部网络，通过边界控制强化内部网络的安全政策。 防火墙通常是运行在一台或者多台计算机之上的一组特别的服务软件，用于对网络进行防护和通信控制。 防火墙设备是安装了防火墙软件，并针对安全防

15、护进行了专门设计的网络设备，本质上还是软件在进行控制。35、从总体上看，防火墙应具有以下五大基本功能： （1）过滤进出网络的数据包。 （2）管理进出网络的访问行为。 （3）封堵某些禁止的访问行为。 （4）记录通过防火墙的信息内容和活动。 （5）对网络攻击进行检测和告警。另外防火墙还有如下附加的功能： (1)流量控制，针对不同的用户限制不同的流量，可以合理使用带宽资源。 (2) NAT，是通过修改数据包的源地址（端口）或者目的地址（端 口），来达到节省IP地址资源，隐藏内部IP地址的功能的一种技术。 (3) VPN，指利用数据封装和加密技术，使本来只能在私有网络上传送的数据能够通过公共网络(In

16、ternet)进行传输，使系统费用大大降低。36、防火墙的局限性（1）防火墙不能防范不经由防火墙的攻击（2）防火墙不能防止感染病毒的软件或文件的传输（3）防火墙不能防止数据驱动型攻击（4）防火墙不能防范恶意的内部人员入侵（5）防火墙不能防范不断更新的攻击方式（6）防火墙难于管理和配置，易造成安全漏洞（7）很难为用户在防火墙内外提供一致的安全策略小结：一方面，防火墙在当今Internet世界中的存在是有生命力的；另一方面，防火墙不能替代内部谨慎的安全措施。因此，它不是解决所有网络安全问题的万能药方，而只是网络安全策略中的一个组成部分。 37、防火墙的分类 从实现技术方式来分类，防火墙可分为包过滤

17、防火墙、应用网关防火墙、代理防火墙和状态检测防火墙。 从形态上来分类，防火墙可以分为软件防火墙和硬件防火墙。38、防火墙的安全控制基本准则（1）一切未被允许的都是禁止的 基于该准则，防火墙应封锁所有信息流，然后对希望提供的服务逐项开放。 这是一种非常实用的方法，可以造成一种十分安全的环境，因为只有经过仔细挑选的服务才被允许使用。 其弊端是，安全性高于用户使用的方便性，用户所能使用的服务范围受限制。（2）一切未被禁止的都是允许的 基于该准则，防火墙应转发所有信息流，然后逐项屏蔽可能有害的服务。 这种方法构成了一种更为灵活的应用环境，可为用户提供更多的服务。 其弊病是，在日益增多的网络服务面前，网

18、络管理人员疲于奔命，特别是受保护的网络范围增大时，很难提供可靠的安全防护。39、防火墙主要技术：包过滤技术、代理技术、状态检测技术40、拒绝服务攻击主要有以下几种方式：Syn Flood：该攻击以多个源主机地址向目的主机发送SYN包，而在收到目的主机的SYN ACK后并不回应，而目的主机为这些源主机建立了大量的连接队列，而且由于一直维护着这些队列，造成了资源的大量消耗而不能向正常请求提供服务。Smurf：该攻击向一个子网的广播地址发一个带有特定请求（如ICMP回应请求）的包，并且将源地址伪装成想要攻击的主机地址。子网上所有主机都回应广播包请求而向被攻击主机发包，使该主机受到攻击。Land-ba

19、sed：攻击者将一个数据包的源地址和目的地址都设置为目标主机的地址，然后将该数据包通过IP欺骗的方式发送给被攻击主机，这种包可以造成被攻击主机因试图与自己建立连接而陷入死循环，从而很大程度地降低了系统性能。Ping of Death:一个IP包的长度最大为65536B，但发送较大的IP包时将进行分片，这些IP分片到达目的主机时又重新组合起来。在各分片组合后的总长度将超过65536B，在这种情况下会造成某些操作系统的宕机。Teardrop：较大的IP数据包在网络传递时，数据包可以分成更小的片段。设置错误的偏移量，使系统不能正常处理，消耗系统资源，甚至系统崩溃。Ping Sweep：使用ICMP

20、Echo轮询多个主机，阻塞网络。Ping Flood：该攻击在短时间内向目的主机发送大量ping包，造成网络堵塞或主机资源耗尽。41、从实现技术方式来分类，防火墙可分为包过滤防火墙、应用网关防火墙、代理防火墙和状态检测防火墙。42、应用层网关系统体系结构代理服务器可采用双宿主机、屏蔽主机、屏蔽子网三种体系结构。43、双重宿主主机体系结构 44、被屏蔽子网体系结构 45、VPN的概念VPN是Virtual Private Network的缩写，是将物理分布在不同地点的网络通过公用骨干网，尤其是Internet连接而成的逻辑上的虚拟子网。为了保障信息的安全，VPN技术采用了鉴别、访问控制、保密性、

21、完整性等措施，以防止信息被泄露、篡改和复制。46、VPN有3种类型： Access VPN（远程访问VPN）、Intranet VPN（企业内部VPN）和Extranet VPN（企业扩展VPN）。47、Intranet VPN企业内部异地分支机构网络的互联，可以使用Intranet VPN方式，这是所谓的网关对网关VPN。48、隧道技术 隧道技术通过对数据进行封装，在公共网络上建立一条数据通道（隧道），让数据包通过这条隧道传输。 生成隧道的协议有两种：第二层隧道协议和第三层隧道协议。(1)第二层隧道协议是在数据链路层进行的，先把各种网络协议封装到PPP包中，再把整个数据包装人隧道协议中，这种

22、经过两层封装的数据包由第二层协议进行传输。第二层隧道协议有以下几种：L2F;PPTP;L2TP。(2)第三层隧道协议是在网络层进行的，把各种网络协议直接装入隧道协议中，形成的数据包依靠第三层协议进行传输。第三层隧道协议有以下几种： IPSec，是目前最常用的VPN解决方案； GRE。49、IPSec的概念 IPSec(IP Security)是由IETF设计的端到端的确保IP层通信安全的机制。 IPSec不是一个单独的协议，而是一组协议。 IPSec协议的定义文件包括了12个RFC文件和几十个Internet草案，已经成为工业标准的网络安全协议。 IPSec是随着IPv6的制定而产生的，鉴于I

23、Pv4的应用仍然很广泛，所以后来在IPSec的制定中也增加了对IPv4的支持。50、IPSec具有以下功能：(1)作为一个隧道协议实现了VPN通信IPSec作为第三层的隧道协议，可以在IP层上创建一个安全的隧道，使两个异地的私有网络连接起来，或者使公网上的计算机可以访问远程的企业私有网络。(2)保证数据来源可靠在IPSec通信之前双方要先用IKE认证对方身份并协商密钥，只有IKE协商成功之后才能通信。由于第三方不可能知道验证和加密的算法以及相关密钥，因此无法冒充发送方，即使冒充，也会被接收方检测出来。(3)保证数据完整性IPSec通过验证算法功能保证数据从发送方到接收方的传送过程中的任何数据篡

24、改和丢失都可以被检测。(4)保证数据机密性IPSec通过加密算法使只有真正的接收方才能获取真正的发送内容，而他人无法获知数据的真正内容。51、IPSec包含了3个最重要的协议：AH、ESP和IKE。（1）AH为IP数据包提供如下3种服务： 无连接的数据完整性验证、数据源身份认证和防重放攻击。 数据完整性验证通过哈希函数（如MD5）产生的校验来保证； 数据源身份认证通过在计算验证码时加入一个共享密钥来实现； AH报序列号可以防止重放攻击。(2) ESP除了为IP数据包提供AH已有的3种服务外，还提供另外两种服务： 数据包加密、数据流加密。加密是ESP的基本功能，而数据源身份认证、数据完整性验证以

25、及防重放攻击都是可选的。 数据包加密是指对一个IP包进行加密。一般用于客户端计算机。 数据流加密一般用于支持IPSec的路由器，源端路由器并不关心IP包的内容，对整个IP加密后传输，目的端路由器将该包解密后将原始包继续转发。(3) IKE协议负责密钥管理，定义了通信实体间进行身份认证、协商加密算法以及生成共享的会话密钥的方法。IKE将密钥协商的结果保留在安全联盟（SA）中，供AH和ESP以后通信时使用。另外：解释域(DOI)为使用IKE进行协商SA的协议统一分配标识符。52、IPSec运行模式 IPSec有两种运行模式：传输模式(Transport Mode)和隧道模式(Tunnel Mode

26、)。 AH和ESP都支持这两种模式，因此有4种可能的组合：传输模式的AH、隧道模式的AH、传输模式的ESP和隧道模式的ESP。（1）IPSec传输模式 传输模式要保护的内容是IP包的载荷，可能是TCP/UDP等传输层协议，也可能是ICMP协议，还可能是AH或若ESP协议（在嵌套的情况下）。 传输模式为上层协议提供安全保护。 通常情况下，传输模式只用于两台主机之间的安全通信。 正常情况下，传输层数据包在IP中被添加一个IP头部构成IP包。启用IPSec后，IPSec会在传输层数据前面增加AH或者ESP或者两者同时增加，构成一个AH数据包或者ESP数据包，然后再添加IP头部组成新的IP包。（2）I

27、PSec隧道模式 隧道模式保护的内容是整个原始IP包，隧道模式为IP协议提供安全保护。 如果路由器要为自己转发的数据包提供IPSec安全服务，就要使用隧道模式。 路由器将需要进行IPSec保护的原始IP包看作一个整体，将这个IP包作为要保护的内容，前面添加AH或者ESP头部，然后再添加新的IP头部，组成新的IP包之后再转发出去。53、AH概述 AH（Authentication Header，验证头部协议）由RFC2402定义，是用于增强IP层安全的一个IPSec协议，该协议可以提供无连接的数据完整性、数据来源验证和抗重放攻击服务。 AH协议对IP层的数据使用密码学中的验证算法，从而使得对IP包的修改可以被检测出来。具体： 这个验证算法是密码学中的MAC (Message AuthenticationCodes，