信息系统安全与管理课件互联全体系

1、2015/04/151ISO/OSI模型产生背景计算机网络的发展经历了单机系统、多机系统等发展阶段。IBM公司在20世纪70年代推出了自己公司的 “SNA系统网络体系结构”以后，世界上很多的公司纷纷效仿，建立起自己公司的网络体系结构，如Digital公司的DNA、宝来机器公司的BNA以及 Honeywell公司的DSA等，这些体系结构的出现大大加快了计算机网络的发展。但是同时也带来相应，由于各个公司的体系结构的着眼点是各公司的网络连接，没有的标准，因此各公司之间的网络很难连接起来。6ISO简介 国际标准化组织(ernationalanization forStandardization)简称I

2、SO，是一个全球性的非组织，是国际标准化领域中一个十分重要的组织，成立于1946年，当时来自25个国家的代表在伦敦召开会议，决定成立一个新的国际组织，以促进国际间的合作和工业标准的。于是，ISO这一新组织于正式成立，总部设在的日内瓦。 ISO的组织机构包括全体大会、主要 、成员团体、通信成员、捐助成员、政策发展、理事会、别 组、技术管理局、 标样组、技术等。5ISO处、特、技术 ISO/OSI及TCP/IP模型 安全体系结构 IPSec SSL/TLS43：旅行插座2邮电大学 2015/04/152015/04/152总结：开放系统互联模型7.应用层数据7.应用层应用问题层)6.表示层数据6.

3、表示层控制5.会话层数据5.会话层4.传输层数据4.传输层3.网络层数据3.网络层低层（数据流层）2.数据链数据2.数据链管理硬件路层路层1.物理层1.物理层12将帧转化为比特数据根据用户信息创建数据将数据转化为数据段将数据段转化为数据包(报)将数据包(报)转化为帧ISO/OSI模型的形象比喻7 应用层：6 表示层：相当于公司中演示稿 、替 写信的助理5 会话层：相当于公司中收寄信、写信封与拆信封的4 传输层：相当于公司中跑邮局的送信职员3 网络层：相当于邮局中的排序工人2 数据链路层：相当于邮局中的装拆箱工人1 物理层：相当于邮局中的搬运工人ISO/OSI模型的特点(1)每层的对应实体之间都

4、通过各自的协议进行通信；(2)各个计算机系统都有相同的层次结构；(3)不同系统的相应层次具有相同的功能；(4) 同一系统的各层次之间通过接口联系；(5) 相邻的两层之间，下层为上层提供服务，上层使用下层提供的服务;(6)各层独立：每一层不需要知道下层是如何实现的，只需要知道层间的接口和所提供的服务；(7)灵活性好：当任意层发生变化时，只要接口不变，上下层均不受影响。10信息9开放系统互联参考模型(ISO/OSI)OSI开放系统互联模型的7个层次1.物理层：传输介质（比特）2.数据链路层：差错、流量控制3.网络层：路径选择 4.传输层：端到端传输5.会话层：会话管理，传输同步6.表示层：信息转换

5、 处理应用问题 7.应用层：应用程序8最大特点：将以下三个概念明确区分服务：说明某一层提供什么服务接口：说明上层如何使用下层的服务协议：如何实现这一层的服务简单地说，互联网体系结构就是以下三者的集合：层、服务、协议处理网络控制和数据传输/接收问题开放系统互联参考模型(ISO/OSI)为了实现不同厂家生产的计算机系统之间以及不同网络之间的数据通信，国际标准化组织ISO对当时的各类计算机网络体系进行了研究，并于1981年正式了一个网络体系结构模型作为国际标准，称为开放系统互连参考模型，即OSI/RM，也称为 ISO/OSI。ISO/OSI并不是一个具体的网络，它只给出了一些原则性的说明，规定了开放

6、系统的层次结构所提供的服务。72015/04/153ISO7498-2 定义的五大类安全服务鉴别服务： 提供对通信中对等实体和数据来源的鉴别；控务： 对资源提供保护，以对抗其非使用和；性服务： 保护信息不被或给未的实体；完整性服务： 对数据提供保护，以对抗未的改变、删除或替代；抗抵赖服务： 防止参与某次通信交换的任何一方事后否认本次通信或通信的内容。18ISO开放系统互联安全体系结构 ISO开放系统互联安全体系结构定义了五大类安全服务，提供这些服务的八类安全机制以及相应的开放系统互连的安全管理，并可根据具体系统适当地配置于 OSI 模型的七层协议中.17互联网安全体系结构标准1988年，ISO

7、/TC97技术制定了ISO7498-2国际标准 “Information pro sing systems - Open Systems erconnection- Basic Reference M- Part 2: Security Architecture”1995年中国制定了：GB/T 9387.2 信息处理系统-开放系统互连基本参考模型-第2部分: 安全体系结构，给出了OSI参考模型的七层协议之上的体系结构，这是一个普遍适 用的安全体系结构，对具体网络环境的体系结构具有重要指导意义。GB/T 9387.2的 内容是保证异构计算机进程与进程之间远距离交换信息的安全。这个标准确立了与安全

8、体系结构有关的一般要素。在参考模型的框架内，还构建了一些指导原则与约束条件，从而提供了解决开放系统互连中安全问题的一致性方法。16 ISO/OSI及TCP/IP模型 安全体系结构 IPSec SSL/TLS15ISO/OSI模型与TCP/IP模型对应网络层链路层 (网络接口层)TCP/IP模型TCP/IP (TransmisControl Protocol/ernet Protocol)TCP/IP协议对推动 ernet的普及起到了重要作用，它不是ISO标准，但它是目前最流行的商业化协议，是公认的工业标准或事实上的标准。TCP/IP协议是一个四层结构的网络通信协议组应用层（Applicatio

9、n）传输层（Transport）网络层（ ernet）链路层（网络接口层）（Link，Network Ac s）132015/04/154TCP/IP模型中的安全服务安全服务TCP/IP协议层链路层网络层传输层应用层对等实体鉴别数据鉴别控制连接性无连接性选择字段性通信业务流性带恢复的连接完整性不带恢复的连接完整性选择字段的连接完整性无连接完整性选择字段无连接完整性有数据证明的抗抵赖有交付证明的抗抵赖24安全机制简介：机制 在一个大型网络中，有许多节点或端节点。在使用 这个网络时，并不是所有用户都是诚实的、的，同时也可能由于系统故障等原因使信息丢失、延迟 等，这很可能引起责任问题，为了解决这个问

10、题， 就需要有一个各方都信任的实体机构，如同一个国家设立的机构一样，提供服务，仲裁出现。 一旦引入机制，通信双方进行数据通信时必须经过这个机构来转换，以确保机构能得到必要的信息，供以后仲裁。23安全机制简介：路由控制机制在一个大型网络中，从源节点到目的节点可能有多条线路，有些线路可能是安全的，而另一些线路是不安全的。路由控制机制可使者选择特殊的路由，以保证数据安全。22安全机制简介：通信业务填充机制这种机制主要是对抗者数据并对其进行流量和流向分析。采用的方法一般由装置在无信息传输时，连续发出伪随机序列，使得者不知哪些 是有用信息、哪些是无用信息。21ISO开放系统互联安全体系结构20非电子的安

11、全服务系统实例安全服务非电子机制实例鉴别带的卡；机关颁发的等控制锁与；检查站的卫兵等数据性密封的信件；不透明的信封；不可见的墨迹等数据完整性不能去掉的墨水；上的全息等抗抵赖签名；经过核实或登记的邮件等192015/04/155IPsec安全关联（SA:Security Assotion)为正确封装和提取IPsec的数据包，有必要采取一套专门的方案，将安全服务、密钥等与要保护的通信数据联系到一起，同时要将通信实体与要交换密钥的 IPsec数据传输联系到一起。这样的构建方案称为安全关联（SA）。IPsec 的SA 是发送者和接收者两个 IPsec 系统之间的一个单向逻辑连接。若要在一个对等系统间进

12、行源和目的的双向安全通信，那么就需要两个SA。SA 通过一个三元组来惟一标识：安全参数索引SPI、目的 IP 地址和安全协议（AH 或ESP）。30IPsec的体系体系结构：包含了一般的概念、安全需求、定义IPsec的机制等ESP：包加密及ESP使用相关的包格式AH：使用AH进行包验证的相关问题加密算法：描述各种加密算法如何应用于ESP认证算法：各种验证算法如何应用于AH：需明的各种参数 密钥管理：相关方案的说明29密钥管理认证算法加密算法AH协议ESP协议体系结构IPsecIPsec是IP层(网络层)安全协议，其基本目的是把安全机制引入IP协议。它为安全通信提供了数据 性、完整性和抗重放等安

13、全服务。IPsec 可为运行于 IP 顶部的任何一种协议提供保护，比如 TCP，UDP，ICMP 等。IPsec不要求对中间网络设备进行的改变，大大减小了实现难度和管理开销。IPsec 在传输层之下，对于应用程序来说是透明的。28IPSecIPSec是IETF1998年以RFC形式 的一组安全IP协议集，是在IP包一级为IP业务提供保护的安全协议标准，其基本目标就是要把安全机制引入IP协议，通过使用现代 技术来支持机密性和认证服务，使用户能够有选择地使用，并得到所期望的安全性。IPSec的设计既适用于IPv4，又适用于IPv6，在IPv4中它是作为一个建议的可选服务，对于IPv6则是一项必须支

14、持的功能。 目前IPSec最主要的应用是构建安全虚拟网（）。实质上通过隧道在非信任的公共网络（如因特网）上产生安全的私有连接。 IPSec为的可互操作性、安全网络管理和通讯提供了一个安全。27网络层安全机制（IPSec） IPSec（IP Security）是一套ernet安全协议，它提供了在局域网、 和公用的广域网（WAN）和 ernet上安全通信的能力，它使用 认证、数据完整性检查和数据加密等方法来确保重要信息在网络上传输的安全性。IPSec不是一个单独的协议，而是一组开放协议的总称，了应用于 IP 层上网络数据安全的一整套体系结构，包括：认证报头（AH，Authentication He

15、ader） 指定的认证协议数据报封装安全负载（ESP，Encapsulating Security Payload） 指定的数据加密和认证协议密钥管理协议（IKE， ernet Key Exchange）等IPSec规定了如何在对等层之间选择安全协议、确定安全算法和密钥交换，向上提供了控制、数据源验证、数据加密等网络安全服务。26链路层安全链路层的加密通常与物理实体有关，它是对比特流进行的保护，对 协议透明。链路层加密要求每条通信链路都必须采用一对加密设备，虽然这种方式能够提供高效的安全保护， 但非常难以实现和管理。252015/04/156AH隧道模式AH 的隧道模式隧道模式将 AH 头原

16、IP 分组的 IP 包头之前，并在 AH 头之前添加新的 IP包头。隧道模式对整个 IP 包提供鉴别保护。既可用于主机也可用于安全网关（安全路由器）。当 AH 在安全网关上实现时，必须采用隧道模式。这时，它将自己保护的 IP 包封装起来，并在 AH 头之前另加了一个新 IP 包头。内层 IP包中包含了通信的原始寻址，外层 IP 包则包含了 IPsec 端点（安全网关）的源/宿地址。36AH传输模式传输模式优点：即使是内网中的其他用户，也不能理解或篡改传输于主机 11和主机 21 之间的数据内容；分担了 IPsec 处理负荷，从而避免了 IPsec 处理的瓶颈问题。缺点：由于每一个希望实现传输模

17、式的主机都必须安装并实现 AH 协议，因此不能实现对端用户的透明服务。用户为获得传输模式AH 提供的安全服务，必须付出内存、处理时间等方面的代价。35AH传输模式IP 包头数据IP 包头AH数据34传输模式AH根据 AH 头IP 包的位置不同，AH 有两种工作模式：传输模式和隧道模式。AH传输模式AH 用于传输模式时，保护的是端到端的通信。 AH 头紧跟在原 IP 包的包头之后和需要保护的上层协议数据（如 TCP, UDP 数据分组等）之前，对这个数据包进行安全保护。这种模式的特点是保留了原 IP 包头信息。33AH(Authentication Header)机制抗重放服务：AH 主要通过序

18、列号字段和一种 “滑动”窗口机制来阻挡重放。序列号值：最大232-1完整性检查：认证数据字段的值称为完整性校验值(ICV) 。计算 ICV 的算法由 SA 指定，通常是由MAC 算法产生的消息鉴别码或截 短的消息鉴别码（需要密钥）。32认证报头( AH, Authentication Header)机制IP 鉴别头 AH 是为 IP 包提供鉴别的一种安全机制。它是通过为 IP 包一个 AH 头来提供安全服务的。AH 利用MAC、序列号为 IP 包提供数据完整性、数据鉴别和抗重放服务。由于 AH 不能加密数据包所承载的内容，因而它不能提供性保障。081631下一个有效载IP包头荷长度16位保留域

19、安全参数索引(SPI)：32位序列号认证数据(完整性检验值: ICV)（32位整数倍长度的可变字段）31AH头结构2015/04/157ESP 的传输模式在 ESP 的传输模式中，ESP 协议将上层协议数据作为ESP封装的载荷数据，而原 IP包头仍作为封装后的 IP 包的包头。这种模式的特点是保留了原 IP 包头信息。传输模式只对上层协议提供安全保护，不包括 IP 包头，仅适用于主机实现。42ESPESP要求支持三密钥的三重DES、RC5、 IDEA、CAST 等算法，这些算法都是对称加密算法。这主要是因为由于需要流畅地对每个数据包进行加密运算，所以要求加密算法能达到的运算速度必须足够快。和

20、AH 一样，ESP 支持使用默认长度为 96位的 MAC (认证)，也需要密钥。41ESP的格式08162431安全参数索引(SPI)ESP序列号头部需要有效载荷数据（可变）加密填充字段(0-255字节）的填充字段 下一个IPESP字段长度包头尾部验证数据（完整性检查值ICV，可变长度）ESP验证40ESP协议包结构IP封装安全载荷（ESP）机制ESP：Encapsulation security payload封装安全载荷用于为 IP 提供性和防重放服务，包括数据包内容的性和有限的流量性。作为可选功能，ESP 也可以提供和AH 同样的数据完整性和认证服务，比AH需要的处理时间ESP 机制通过

21、将整个 IP 分组或将上层协议部分（即传输层协议数据，如TCP, UDP 或ICMP 协议数据）封装到一个ESP 载荷之中，来对此载荷进行相应的安全处理，如加密、鉴别处理等，实现通信的性和完整性保护ESP 的两种工作模式：即传输模式或隧道模式39AH隧道模式优点：子网的各主机可以借助路由器的 IPsec 处理，透明地得到安全服务；子网可以使用私有 IP 地址，因而无需申请公有地址资源。缺点：IPsec 主要集中在路由器，增加了路由器的处理负荷，容易形成通信的瓶颈；的诸多安全问题（如篡改等）不可控。38AH隧道模式IP 包头数据IP 包头AH数据新IP 包头AH原IP 包头数据37隧道模式传输模

22、式2015/04/158总结：IPsec的体系48ESP 的隧道模式优点：保护子网中的所有用户都可以透明地享受由安全网关提供的安全保护；子网可以使用私有 IP 地址，无需公共 IP地址资源；子网的拓扑结构被保护等。缺点：增大了网关的处理负荷，容易形成通信瓶颈；对的诸多安全问题（如篡改等）不可控。4708162431安全参数索引(SPI)ES序列号头部有效载荷数据（可变）填充字段 0-255字节）填充字段 下一个IP ESESP 的隧道模式长度 包头尾部验证数据（完整性检查值ICV，可变长度） ESP验证IP 包头数据IP 包头 ESP头部加密后的数据ESP尾部 ESP验证加密部分新IP 包头

23、ESP头 加密后的加密后的数据ESP尾部 ESP验证原IP 包头46隧道模式传输模式ESP 的隧道模式ESP 的隧道模式，先将整个 IP括 IP 包头）进行加密后再封装到新的 IP 包中。这个新的 IP 包头中包含有安全隧道的源/宿地址。当通过ESP 隧道的数据包到达目的网关（即隧道的另外一端）后，目的网关利用ESP 头中的安全相关信息对加密过的原 IP 包通过安全相关处理进行还原，然后将已还原的 数据按原 IP 包头标明的 IP 地址递交，以完成通信双方信息的安全传输。45ESP 的传输模式优点：即使是内网中的其他用户也不能理解或篡改传输于主机11 和主机 21 之间的数据内容；分担了 IP

24、sec 处理负荷，从而避免了 IPsec 处理的瓶颈问题。缺点：由于每一个希望实现传输模式的主机都必须安装并实现ESP 协议，因此不能实现对端用户的透明服务。用户为获得传输模式的ESP 提供的安全服务，必须付出内存、处理时间等方面的代价。4408162431安全参数索引(SPI)ES序列号头部有效载荷数据（可变）填充字段(0-255字节）填充字段 下一个IP ESESP 的传输模式长度 包头尾部验证数据（完整性检查值ICV，可变长度） ESP验证IP 包头数据IP 包头 ESP头部加密后的数据ESP尾部 ESP验证43传输模式2015/04/159SSL 的协议栈SSL 中两个重要的概念连接：

25、连接是提供某种类型服务的数据传输（在 OSI分层模型的定义中）。对于SSL，这样的连接是点对点的。连接是短暂的，每个连接与一个会话相联系。会话：SSL 的会话是客户和服务器之间的关联，会话通过握手协议来创建。会话定义了加密安全参数的一个集合，该集合可以被多个连接所共享。会话可以用来避免为每个连接重新进行安全参数协商。54SSL 的协议栈 SSL支持的协议包括：协议握手协议告警协议改变密文定义协议应用数据协议53传输层安全协议 SSL 安全协议主要提供面的服务：（1）用户和服务器的认证：认证用户和服务器的，使得它们能够确信数据将被发送到正确的客户机和服务器上。（2）加密被传送的数据：接层协议所采

26、用的加密技术既有对称密钥技术，也有公钥技术。（3）保护数据的完整性：SSL协议采用散列函数和共享的方法来提供信息的完整性服务。52传输层安全机制（SSL/TLS）目前IPSec可以提供端到端的传输能力，但是它无法处理位于同一端系统之中的不同用户之间的安全需求，因此需要在传输层和更提供网络安全传输服务，来满足这些要求。SSL 协议位于 TCP 协议层与各种应用层协议之间，为通信双方（客户/服务器）提供安全可靠的数据 通道，为两个通信实体之间提供数据的性和完整性，使该通道能有效地防止消息被、篡改和。51 ISO/OSI及TCP/IP模型 安全体系结构 IPSec SSL/TLS50IPsec中的密钥管理IPsec的密钥管理部分涉及到确定和分发密钥，典型的需求是在两个通信实体之间使用的4个密钥：AH、ESP的传送和接收密钥IPsec的默认自动密钥管理协议是 ISAKMP/Oakley，其由如下部分组成：Oakley密钥