计算机网络技术2016新版第11章网络管理与安全

1、第十一章第十一章 网络管理与网络网络管理与网络11.1 11.1 网络管理网络管理11.1.1 网络管理体系结构代理进程：维护其所驻留的被管设备的状态，并且通过网络管理协议向NMS提供信息网络管理系统收集被管设备的信息，并相应作出反应被管代理（proxy）是为其他实体提供管理信息的实体 11.1.2 网络管理的功能- 性能管理：衡量和呈现网络特性的各个方面，使网络性能维持在一个可以被接受的水平上。 收集网络管理者感兴趣的那些变量的性能数据； 分析这些数据，以判断是否处于正常（基线）水平并产生相应的报告； 为每个重要的变量确定一个合适的性能阈值，超过该阈值就意味着出现了应该注意的网络故障；- 配

2、置管理：监视网络和系统的配置信息，以便跟踪和管理不同的软硬件元素对网络操作的作用。 主要包括：网络资源的配置及其活动状态的监视；网络资源之间的关系的监视与控制；新资源的加入，旧资源的删除；定义新的管理对象；识别管理对象，给每个对象分配名字；初始化对象，启动、关闭对象；管理各个对象之间的关系；改变管理对象的参数。 11.1 11.1 网络管理网络管理- 计费管理：测量网络的利用率参数，以恰当地控制个人或团体用户对网络的使用，比如网络故障降低到最小或者使所有用户对网络的访问更加公平。 建立和维护一个目标机器地址数据库，能对该数据库中的任意一台机器（一个IP地址）进行计费； 能够对指定IP地址进行流

3、量限制，当超过使用限额时，即可将其封锁，禁止其使用； 能够按天、按月、按IP地址或按单位提供网络的使用情况，在规定的时间到来（比如一个月）的时候，根据本机数据库中的E-mail地址向有关单位或个人发送帐单； 可以将安装有网络计费软件的计算机配置成Web服务器，允许使用单位和个人随时进行查询。11.1 11.1 网络管理网络管理- 故障管理：检测、记录网络故障并通知给用户，尽可能自动修复网络故障以使网络能有效地运行。 基本步骤-判断故障症状；-隔离该故障；-修复该故障；-对所有重要子系统进行故障修复后测试；-记录故障的检测及其解决结果。 主要功能：-接收差错报告并作出反应；-建立维护差错日志，并

4、进行分析；-对差错诊断测试，追踪故障，并确定纠正故障的方法措施。11.1 11.1 网络管理网络管理- 安全管理：按照本地的方针来控制对网络资源的访问，以保证网络不被有意或无意地侵害，并保证敏感信息不被那些未授权的用户访问 标识重要的网络资源（包括系统、文件和其它实体）； 确定重要的网络资源和用户集间的映射关系； 监视对重要网络资源的访问； 记录对重要网络资源的非法访问； 11.1 11.1 网络管理网络管理网络管理技术的基本要求- 网络管理的跨平台性 - 网络管理的分布性 - 网络管理的安全性- Internet/Intranet上各种服务的性能管理 - 远程管理 - 不同厂家网络设备的统一

5、管理 11.1 11.1 网络管理网络管理11.1.3 网络管理协议ISO网络管理标准- 公共管理信息服务CMIS：支持管理进程和管理代理之间的通信要求- 公共管理信息协议CMIP：提供管理信息传输服务的应用层协议IETF的网络管理协议- 简单网络管理协议SNMPv1/v2/v311.1 11.1 网络管理网络管理11.1.4 CMIP协议X.710定义了公共管理信息服务CMIS，目的是通过源语向应用进程提供交换系统管理的信息和指令的服务。CMIS提供的服务可以是有连接的，也可以是无连接的；可以是需要证实的，也可以是不需要证实的。 管理信息以对象方式描述，所有的对象存放在MIB中。在CMIP中

6、，对象的变量被定义成非常复杂的数据结构，有许多属性： 变量属性：表示变量的特性（如数据类型是否可写等）； 变量动作：说明可以启动什么样的动作； 通知：每当一个特殊的事件发生时，就会产生一个事件报告。11.1 11.1 网络管理网络管理特性：- CMIP不是通过轮询而是通过事件报告进行工作，由网络中的各个设备监测设施在发现被检测设备的状态和参数发生变化后及时向管理进程进行事件报告- 管理功能强大，它的参数不仅可以在管理站和管理节点之间传递网管信息，而且可以要求管理节点执行一些动作 - CMIP需要占用比SNMP多很多的资源。 - CMIP的程序非常难编写，CMIP定义的参数比较复杂 11.1 1

7、1.1 网络管理网络管理11.1.5 SNMP协议SNMP是被设计成与协议无关的，由一系列协议组和规范组成，提供了一种从网络上的设备中收集网络管理信息的方法：- 轮询方法 网络设施中的代理进程不断收集网络的通信信息和有关网络设备的统计数据，并记录到管理信息库MIB中。NMS通过向代理的MIB发出查询信号可以得到这些信息- 基于中断的方法 异常事件发生时代理进程通知网络管理系统NMS- 面向自陷的轮询方法：轮询和中断结合 11.1 11.1 网络管理网络管理SNMP管理模型管理节点：被管理的设备，SNMP代理在其上运行，维护一个本地数据库，存放其状态管理站运行一个或多个管理进程，通过SNMP协议

8、与代理通信 SNMP极为详细地规定了每种代理应该维护的确切信息以及提供信息的确切格式。即每个设备都具有一个或多个变量来描述其状态，这些变量叫做对象，所有对象都存放在一个叫管理信息库（MIB）中 11.1 11.1 网络管理网络管理SNMP协议的发展SNMP v1：设计简单，易于扩展，但安全性较差SNMP v2：- 增加了安全机制，包括数据加密、鉴别和访问控制- 允许更详细的变量描述，使用表数据结构以方便数据提取SNMP v3：- 体现了模块化的设计思想，适应性强，扩充性好，安全性好- 包括信息处理和控制模块、本地处理模块和用户安全模块11.1 11.1 网络管理网络管理11.1 网络管理网络管

9、理其它网络管理方法远程网络监控RMON-收集所在网段的状态信息，并存储历史信息以获得网络运行状况趋势-扩展SNMP的MIB-II，使SNMP更有效、积极主动地监控远程设备基于Web的网络管理技术-允许通过Web浏览器进行网络管理-两种实现方式 代理方式：在一个内部工作站上运行Web服务器（代理）。网络管理软件负责将收集到的网络信息传送到浏览器（Web服务器代理），并将传统管理协议（如SNMP）转换成Web协议（如HTTP）。 嵌入式：将Web功能嵌入到网络设备中，每个设备有自己的Web地址，管理员可通过浏览器直接访问并管理该设备 网络管理软件网管系统由支持网管协议的网管软件平台、网管支撑软件、

10、网管工作平台和支撑网管协议的网络设备组成。其中网管软件平台提供网络系统的配置、故障、性能及网络用户分布方面的基本管理，是网管系统的核心：- 体系结构：通用的、开放的、可扩展的框架体系 - 核心服务：网络管理软件应具备的基本功能，包括网络搜索、查错和纠错、支持大量设备、友好操作界面、报告工具、警报通知和处理、配置管理等 - 应用程序：实现特定的事务处理和结构支持，主要包括高级警报处理、网络仿真、策略管理和故障标记等 典型的网络管理软件包括：HP OpenView/3Com Transcend/Sun NetManager等11.1 11.1 网络管理网络管理11.2 数据加密数据加密数据加密：-

11、 加密：将信息变成不同的、不可读的形式。- 解密：将加密后的信息还原成它原来的形式- 原来的信息叫明文，加密后的信息叫做密文恺撒密码 - 将明文中的每个字符替换成另一个字符。- 容易被破解：因为该编码方法未作任何处理以掩盖经常使用的字母或字母组合，这样可以根据字母出现的统计特性破解 Enigma加密系统- 二战期间德国采用的加密系统- 实际上是一个多字密码，对消息中的每个字母用不同的替换集（字母表）来替代。11.2 数据加密数据加密11.2 数据加密：网络加密数据加密：网络加密链路加密 - 所有消息在被传输之前进行加密, 在每一个节点对接收到的消息解密, 然后先使用下一链路的密钥对消息进行加密

12、, 再传输。- 可以掩盖消息的频率和长度特性,防止对通信业务进行分析 - 要求先对在链路两端的加密设备进行同步, 然后使用一种链模式对链路上传输的数据进行加密。 - 链路加密仅在通信链路上提供安全性, 消息在网络节点中以明文形式存在 - 密钥分配也是一个非常复杂的问题11.2 数据加密：网络加密数据加密：网络加密节点加密- 操作方式上与链路加密是类似的: 两者均在通信链路上为传输的消息提供安全性; 都在中间节点先对消息进行解密,然后进行加密。 - 与链路加密不同, 节点加密不允许消息在网络节点以明文形式存在,它先把收到的消息进行解密, 然后采用另一个不同的密钥进行加密, 这一过程是在节点上的一

13、个安全模块中进行。 - 节点加密要求报头和路由信息以明文形式传输, 以便中间节点能得到如何处理消息的信息。因此这种方法对于防止攻击者分析通信业务是脆弱的 11.2 数据加密：网络加密数据加密：网络加密端到端加密- 数据在从源点到终点的传输过程中始终以密文形式存在 - 通常不允许对消息的目的地址进行加密, 这是因为每一个消息所经过的节点都要用此地址来确定如何传输消息。由于这种加密方法不能掩盖被传输消息的源点与终点, 因此它对于防止攻击者分析通信业务是脆弱的 11.3 数据加密算法数据加密算法按照收发双方密钥是否相同来分类 - 对称密钥算法 收信方和发信方使用相同的密钥，即加密密钥和解密密钥是相同

14、或等价的。 密钥管理成为系统安全的重要因素 比较著名的算法是DES等- 公开密钥算法 收信方和发信方使用的密钥互不相同，而且几乎不可能从加密密钥推导解密密钥 比较著名的公开密钥算法是 RSA等 算法复杂，加密数据的速率较低 密钥管理较为简单，可方便地实现数字签名和验证 - 实际应用中人们通常将私密密钥算法和公开密钥算法结合在一起使用，比如：利用DES或者IDEA来加密信息，而采用RSA来传递会话密钥。11.3 数据加密算法数据加密算法11.4 网络安全基础网络安全基础针对网络安全的威胁主要有三种 - 人为的无意失误： 如操作员安全配置不当造成的安全漏洞，用户安全意识不强，用户口令选择不慎，用户

15、将自己的帐号随意转借他人或与别人共享 - 人为的恶意攻击：所面临的最大威胁 主动攻击：以各种方式有选择地破坏信息的有效性和完整性 被动攻击：在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信息。 - 网络软件的漏洞和“后门” ：黑客进行攻击的首选目标 11.4 网络安全基础：安全策略网络安全基础：安全策略物理安全策略：保护计算机、网络设备等硬件实体和通信链路免受自然灾害、人为破坏和搭线攻击，其中抑制和防止电磁泄漏是物理安全策略的一个主要问题。 - 对传导发射的防护，主要采取对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合 - 对辐射的防护 采用各种电磁屏蔽措

16、施：如对设备的金属屏蔽和各种接插件的屏蔽，同时对机房的下水管、暖气管和金属门窗进行屏蔽和隔离； 干扰防护措施：即在计算机系统工作的同时，利用干扰装置产生一种与计算机系统辐射相关的伪噪声向空间辐射来掩盖计算机系统的工作频率和信息特征。 11.4 网络安全基础：安全策略网络安全基础：安全策略访问控制策略：保证网络资源不被非法使用和非法访问 - 入网访问控制： 控制哪些用户能够登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网 三个步骤：用户名的识别与验证、用户口令的识别与验证、用户帐号的缺省限制检查 - 网络的权限控制： 针对网络非法操作所提出的一种安全保护措施。 用户和

17、用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源。- 目录级的权限控制： 网络应允许控制用户对目录、文件、设备的访问。用户在目录一级指定的权限对所有文件和子目录有效，用户还可进一步指定对目录下的子目录和文件的权限。 11.4 网络安全基础：安全策略网络安全基础：安全策略访问控制策略（续）- 属性安全控制 将给定的属性与服务器的文件、目录和网络设备联系起来。属性安全在权限安全的基础上提供更进一步的安全性。- 网络服务器的安全控制 控制在服务器控制台上执行的操作 比如设置口令锁定服务器控制台，以防止非法用户修改、删除重要信息或破坏数据；可以设定服务器登录时间限制

18、、非法访问者检测和关闭的时间间隔。 - 网络监测和锁定控制： 网络管理员应对网络实施监控，服务器应记录用户对网络资源的访问，对非法的网络访问，服务器应以图形或文字或声音等形式报警 ，如果非法访问的次数达到设定数值，那么该帐户将被自动锁定。 11.4 网络安全基础：安全策略网络安全基础：安全策略访问控制策略（续）- 网络端口和节点的安全控制 网络中服务器的端口往往使用自动回呼设备、静默调制解调器加以保护，并以加密的形式来识别节点的身份。- 防火墙控制： 防火墙是确保基础设施完整性的一种常用方法。它通过在网络边界上建立起来的相应网络通信监控系统来隔离内部和外部网络，控制进/出两个方向的通信流。信息

19、加密策略：保护网内的数据、文件、口令和控制信息，保护网上传输的数据。 - 包括链路加密、端点加密和节点加密三种方式 11.4 网络安全基础：安全策略网络安全基础：安全策略非技术性安全管理策略- 加强网络的安全管理，制定有关规章制度： 确定安全管理等级和安全管理范围 所有添加到网络基础设施中的新设备都应该符合特定的安全需求，每个站点必须指明支持其安全策略需要哪些安全部件和功能 制订有关网络操作使用规程和人员管理制度 制定网络系统的维护制度和应急措施 对员工进行足够的安全意识培训等。 11.5 OS-Windows98安全策略安全策略设置用户权限：- 首先设置为每个用户采用不同的使用权限，然后逐步

20、增加新用户并进行设置11.5 OS-Windows98安全策略安全策略防止非法用户进入- Regedit打开注册表：“HKEYUSERDEFAULTSoftwareMicrosoftWindowsCurrentVersionRunonce” 在其下创建“字符串值”，名为“非法用户，退出”，字符串为“Rundll.exe User.exe,Exitwindows” - 为防止非法用户按F8键调出Windows 98的启动菜单以安全方式进入系统，编辑MSDOS.sys文件，在该文件的option小节加入 “BootMulti=0”：设置系统不能进行多重引导；“BootGUI=1”：在启动时直接进入

21、Windows 98图形用户界面；“BootDelay”：设置在启动时“Starting Windows 98 ”信息停留的时间为0秒；“BootKeys”：设置在启动过程中F4、F5、F6、F8功能键失效。 11.5 OS- Windows98安全策略安全策略限制用户级别-隐藏“开始”菜单的部分内容：在注册表“HKEYCURRENTUSERSoftwareMicrosoftWindowsCurrent VersionPoliciesExplorer” 该分支下建立一个DWORD值“NoSetFolders”，键值为“1”。用户不能使用“控制面板”，且不能使用“开始/设置”中的“打印机” 新建

22、一个DWORD值“NoFind”，键值为“1”，则“查找”功能被禁止 新建一个二进制值“NoRun”，键值为“0 x00000001”，则“运行”菜单项被关闭 11.5 OS- Windows98安全策略安全策略隐藏桌面上所有图标 -在注册表“HKEYCURRENTUSERSoftwareMicrosoftWindowsCurrent VersionPoliciesExplorer”该分支下建立一个DWORD值“NoDesktop”，键值为“1”。禁用注册表编辑器 -在注册表“HKEYCURRENTUSERSoftwareMicrosoftWindowsCurrentVersionPolici

23、es System” 该分支下建立一个DWORD值“DisableRegistryTools”，键值为“1” 11.5 OS- Windows98安全策略安全策略隐藏驱动器 -在注册表“HKEYCURRENTUSERSoftwareMicrosoftWindowsCurrentVersionPolicies Explorer” 该分支下新建一个二进制值“NoDrive”，其缺省值为“00000000”，表示不隐藏任何驱动器，该值由四个字节组成，每个字节的第一位对应从A：到Z：的一个盘，即01为A，02为B，04为C如隐藏D盘，键值为“0800000”；隐藏所有驱动器为“ffffffff” 禁用

24、MSDOS方式 -在注册表“HKEYCURRENTUSERSoftwareMicrosoftWindows CurrentVersionPolicies”新建一个“WinOldApp”主键，在其下新建一个DWORD值“Disable”键值为“1”。 11.5 OS- Windows98安全策略安全策略禁止光盘的自动运行 - 在注册表“HKEYCURRENTUSERSoftwareMicrosoftWindows CurrentVersionPoliciesExplorer”该分支下新建一个DWORD值“NoDriveTypeAutoRun”，键值为“1” 禁止用软盘或光盘启动 - 在CMOS设

25、置中将启动顺序改为“C ONLY”，并为其设置必要的密码。 11.5 OS- Windows NT安全策略安全策略用户帐号：每个用户必须拥有一个帐号- NT规定该帐号在系统中的权力和权限 权力专指用户对整个系统能够做的事情，如关掉系统、往系统中添加设备、更改系统时间等。权力存放在安全帐号数据库中。 权限专指用户对系统资源所能做的事情，如对某文件的读写控制，对打印机队列的管理。用户对系统资源所具有的权限则与特定的资源一起存放。 11.5 OS- Windows NT安全模型安全模型用户登录：-按下Ctrl+Alt+Del键，NT系统启动登录进程-帐户及口令有效后形成一个存取标识（包括用户名以及S

26、ID 、用户所属的组及组SID、用户对系统所具有的权力 ）-NT启动一个用户进程，将该存取标识与之连在一起，这个存取标识就成了用户进程在NT系统中的通行证 存取标识缓存的是用户安全信息，如果管理员对用户的权限进行修改，只有在该用户再次登录时才发生作用如何根据存取标识控制用户对资源的访问？-给资源分配的权限作为该资源的一个属性，以访问控制列表ACL的形式与资源一起存放，ACL包含了用户名以及该用户的权限 -用户访问该目录时，NT安全系统检查用户的存取标识，与目录的ACL对照，发现用户存取标识中的用户名与ACL中有对应关系且所要求的权限合法，则访问获得允许 11.5 OS- NT系统的安全管理 加

27、强物理安全管理弥补系统软件的安全漏洞，经常升级微软发布的安全补丁程序掌握并使用微软提供但未设置的安全功能：比如禁用Guest帐号等使用NTFS文件系统：支持ACL控制授权用户的访问：配置NTFS的访问控制机制，限制用户对目录、文件等资源的访问避免给用户定义特定的访问控制实施帐号及口令策略：如要求用户不要使用太简单的密码、定期更改密码等设置帐号锁定：非法尝试一定次数后锁定帐号控制远程访问服务：采用加密和认证机制启用登录工作站和登录时间限制：只允许在特定的环境下登录11.5 OS- NT系统的安全管理 启动审计功能：查看审计日志，发现问题确保注册表安全应用系统的安全：保证各种应用系统的安全性，常打

28、补丁不可轻易发布信息：不要发布关于自身系统的信息，防止黑客利用11.5 OS- Windows 2000安全策略安全策略简单的身份验证和授权模型：-身份验证在用户登录时识别用户并将网络连接到服务。经过识别后，用户就会有权按照权限对一组特定的网络资源进行访问。-授权是通过访问控制机制来进行的，使用存储在 Active Directory中的数据项以及访问控制列表 (ACL)，后者定义对象（包括打印机、文件、网络文件、及打印共享）的权限。 Windows 2000 分布式安全模型基于信任域控制器身份验证、服务之间的信任委派以及基于对象的访问控制。-域中每台客户机通过安全地对域控制器验证身份创建直接

29、信任路径。-客户端不可能直接访问网络资源；相反网络服务创建客户端访问令牌并使用客户端的凭据来执行请求的操作以模拟客户端。-Windows 操作系统核心在访问令牌中使用安全性标识符来验证用户是否被授予所需的对目标对象的访问权限。 11.5 OS- Windows 2000安全策略安全策略Active Directory：- 提供一个中央位置来存储关于用户、硬件、应用程序和网络上数据的信息，同时保存了必要的授权及身份验证信息以确保只有适当的用户才可访问每一网络资源。域间的信任关系 - 信任关系在域之间建立，用来支持直接传递身份验证，让用户和计算机可以在目录林的任何域中接受身份验证。- 用户或计算机

30、仅需登录网络一次就可以对任何他们有适当权限的资源进行访问。组策略设置- 控制 Active Directory 中对象的各种行为。通过相同的方式将所有类型的策略应用到众多计算机上。本地计算机安全性设置控制您想要授予特定用户或计算机的权限和特权 11.5 OS- Windows 2000安全策略安全策略身份验证：确认任何试图登录到域或访问网络资源的用户的身份 - 互动式登录，登录时向域帐户或本地计算机确认用户的身份- 网络身份验证，用户试图访问的任何网络服务时确认用户的身份- 支持多重身份验证机制，采取单一登录过程访问控制：决定对特定对象或属性的访问权限- 管理员给对象指派安全性描述符 访问控制

31、列表 (ACL)，该列表是用来定义哪一用户（依照个人或组）有权限对该对象执行特定操作 指定该对象待审核的各种访问事件 11.5 OS- UNIX系统安全策略系统安全策略Unix系统的安全特征- 访问控制：通过访问控制表ACL使得用户可以自行改变文件的安全级别和访问权限 -rwxr-xr- 1 john test 4月9日17：50 cm- 对象的可用性：对象不再使用时由TCB清除它- 个人身份标识与认证 - 审计记录 - 操作的可靠性 11.5 OS- Unix Unix的安全体系结构的安全体系结构 层次名称含义7Policy安全策略定义、指导6Personnel使用设备和数据的人员5LAN计

32、算机设备和数据 4Internal Demark内部区分 3GatewayOSI中第7、6、5、4层的功能2Packet-FilterOSI中第3、2、1层的功能1External Demark外部连接11.5 OS- UNIX系统安全系统安全不安全因素- 特权软件的安全漏洞 - 研究源代码的漏洞 - 特洛伊木马 - 网络监听及数据截取 - 软件之间相互作用和设置 大型软件通常由多人协作完成，很难准确预测系统内各个部分的相互作用安全管理：物理安全和逻辑安全，其中逻辑安全：- 防止未授权存取 - 防止泄密：加强对重要文件的访问控制和管理 - 防止用户拒绝系统的管理：限制用户对资源的使用 11.5

33、 OS- UNIX系统安全系统安全具体的措施- 防止缓冲区溢出 - 在inetd.conf中关闭不用的服务 1）变成root 2）备份inetd的配置文件/etc/inetd.conf cp /etc/inetd.conf /etc/inetd.conf.BACKUP 3）编辑/etc/inetd.conf文件 以“#”符号注释掉不需要的服务，使其处于不激活的状态。4）在改变/etc/inetd.conf后，找到inetd进程的id号，用kill向它发送HUP信号来刷新它。一定要确保kill了inetd进程后，它还在运行。- 给系统打补丁 - 重要主机单独设立网段 - 定期检查 11.6 身份

34、鉴别身份鉴别身份鉴别是对网络中的主体进行验证的过程，通常有三种方法：-只有该主体了解的秘密，如口令、密钥。 一次密码、基于时间的密码等-主体携带的物品，如智能卡和令牌卡。 -只有该主体具有的独一无二的特征或能力，如指纹、声音、视网膜或签字等。 生物识别技术生物识别技术虹膜识别 视网膜识别面部识别签名识别声音识别指纹识别11.7 数字签名数字签名数字签名必须：- 接收者能够核实发送者对报文的签名- 发送者事后不能抵赖对报文的签名- 接收者不能伪造对报文的签名。散列函数常用于创建和验证数字签名，它是一种创建标准长度散列值（散列结果）形式的数字表示或“指纹”（也称为“消息摘要”）的算法。 创建数字签

35、名- 使用从被签名的消息及给定的私有密钥两者而导出的且唯一于它们的散列结果。验证签名：- 通过参照原始消息和给定的公开密钥来检查数字签名的过程 MessageDigital SignatureSigning FunctionHash FunctionHash ResultMessagePrivate KeyTo VerifierO n l y Pr i v a t e Key H o l d e r Can SignMessageD i g i t a l SignatureHash FunctionVerify FunctionHash ResultPublic KeyFrom Signer

36、Anyone Can VerifyValid Y/N ?11.7 数字签名数字签名创建和验证数字签名的过程实现了法律上对签名的多种要求 - 签名者的认证：数字签名不能被伪造，除非签名者失去对私有密钥的控制 - 消息认证 ：验证过程能够通过比较散列结果发现任何篡改- 确认行为：创建数字签名要求签名者使用自己的私有密钥 - 效率：实现完全的自动11.8 数字证书数字证书网络通信中标志通信各方身份信息的一系列数据，它提供了一种在网络上验证实体身份的方式，由一个证书授权中心CA发行- 由一个独立的且受信任的第三方（CA机构）数字签名的包含公开密钥拥有者信息以及公开密钥的文件 - 证书包含一个公开密钥、

37、名称以及证书授权中心的数字签名。一般还包括密钥的有效时间，发证机关(证书授权中心)的名称，该证书的序列号等信息。 11.8 数字证书数字证书工作过程：- 想发送加密消息的实体向CA机构提交申请，CA就向其发放一个包含了申请者公开密钥和其它身份信息的加密了的数字证书。- CA将自己的公开密钥向公众发布或可以从因特网上获取。- 加密消息的接收方使用CA的公开密钥来解开附接在消息上的数字证书，并验证证书确实是由CA发放的，然后获得证书中发送者的公开密钥和身份信息。 CA机构（发放数字证书，提供自己的公开密钥）实体从CA获得数字证书及私有/公开密钥对数字签名接收方以CA的公开密钥认证消息来源的真实性，

38、并以数字证书中发送方的公开密钥解密消息待发送的信息散列函数用私有密钥加密CA的公开密钥发送给接收方散列值防火墙位于内部网络和Internet之间，阻断来自外部通过网络对本网络的威胁和入侵， 提供扼守本网络的安全和审计的唯一关卡 - 所有来自和去往Internet的信息都必须经过防火墙，接受防火墙的检查。防火墙必须只允许授权的数据通过，并且防火墙本身也必须能够免于渗透。 - 防火墙是安全策略的一个部分，需要有全面的安全策略 11.9 防火墙防火墙11.9 防火墙防火墙-一切未被允许的就是禁止的防火墙封锁所有信息流，然后对希望提供的服务逐项开放 -一切未被禁止的就是允许的 防火墙就转发所有信息流，

39、然后逐项屏蔽可能有害的服务 11.9 防火墙防火墙- 集中的网络安全，可作为中心“扼制点”- 产生安全报警- 监视并记录Internet的使用- NAT（网络地址转换）的理想位置- WWW和FTP等服务器的理想位置 ：- 无法防范通过除防火墙以外的其它途径的攻击- 不能防止来自内部人员和不经心的用户们带来的威胁- 不能完全防止传送已感染病毒得软件或文件 - 无法防范数据驱动型的攻击。11.9 防火墙防火墙-高层策略是网络服务访问策略，它定义允许或显式禁止的服务，服务的使用方法，以及允许例外时的条件；-低层策略描述防火墙如何实际限制访问和过滤那些在高层中定义的服务。 11.9 防火墙防火墙 -采用如智能卡、认证令牌和基于软件的机制等克服传统口令的缺陷。-产生的口令不能被监视一次连接的攻击者再使用 -过滤可基于源IP地址、目标IP地址、TCP/UDP