网络安全重点1

1、一、网络安全需求保密性是指确保非授权用户不能获得网络信息资源的性能。完整性是指确保网络信息不被非法修改、删除或增添，以保证信息正确、一致的性能。可用性是指确保网络合法用户能够按所获授权访问网络资源，同时防止对网络非授权访 问的性能。可控性是指确保合法机构按所获授权能够对网络及其中的信息流动与行为进行监控的性 能。真实性又称抗抵赖性，是指确保接收到的信息不是假冒的，而发信方无法否认所发信息 的性能。二、美国NCSC的“可信计算机系统评估准则”因该标准出版时封面为橘红色，通常被称为“橘皮书”。“橘皮书”将计算机系统的安全等级 分为4个档次8个等级，在安全策略、责任、保证、文档等4个方面共设定了 2

2、7条评估准 则。4个档次8个等级，由低到高依次为：D档D档位无保护档级，是安全等级的最低档。其主要特征是没有专门的安全保护，此 档只有一个级别，即D级。D级：安全保护欠缺级C档C档位自主保护档级。此档又分两个安全等级，共同特征是采用了自主访问控制机 制。C1级：自主安全保护级。采用普通的自主访问控制机制，最主要的特征是能将用户与 数据隔离，C2级：受控访问保护级。采用比C1级更为精细的自主访问控制机制。相对于 C1级，增加了安全事件审计功能，是军用计算机系统所能采用的最低安全级别，B档B档为强制保护档级。此档又分3个安全等级，共同特征是采用了强制访问控制机 制。B1级：有标记的安全保护级。所谓

3、有标记的安全保护，是指对每一个受控的客体都加 有标明其安全级的标记，保护系统就据此在客体被访问时进行相应的控制。B2级：结构化 保护级。所谓结构化保护，是指在设计上把系统内部结构化地划分成若干大体上相互独立而 明确的模块，并按最小特权原则进行管理。B3级：安全域保护级。安全域保护，是指用户 的程序或操作被限定在某个安全域之内，而对安全域之间的访问实行严格控制。就安全功能 而言，B3级已经达到了目前的最高等级。A档A档为验证保护档级。此档又分两个安全等级，由低到高A1级和超A1级。共同特 征是，在系统的设计阶段就要能够对预期的安全功能进行严格的验证。A1级：经验证的设 计保护级。所谓经验证的设计

4、保护，是指计算机系统的设计必须通过数学的形式化证明方法 加以验证，以证明其确实具有预期的安全功能。超A1级：验证实现级。所谓验证，是指对 安全实现的验证进入代码级，只有当设计说明接近于实际实现的代码时，才能达到对预期安 全功能实现成功的验证。三、数据加密标准DESDES是一种对二进制数据（0、1）进行加密的算法，数据分组长度 为64bit，密文分组长度也为64bit。密钥有效密钥长度为56bit。初始置换IP、16轮迭 代的乘积变换、逆初始置换IP（-1）及16个子密钥产生器四、RSA公开密钥密码体制在RSA中，公开密钥和私人密钥是一对大素数的函数。从一个 公开密钥和密文中恢复出明文的难度等价

5、于分解两个大素数之积。在使用RSA公钥体制之 前，每个参与者必须产生一对密钥。2.特点：保密强度高、密钥分配及管理简便、数字签名 易实现3. RSA的安全性分析：强行攻击、数学攻击、定时攻击五、数字签名的概念1、签名者事后不能抵赖自己的签名；2、任何其他人不能伪造签名； 3、如果当事人双方关于签名的真伪发生争执，能够在公正的仲裁者面前通过验证签名来确 认其真伪。数字签名的形式：数字签名、仲裁数字签名、不可否认签名、盲签名、群签名、 门限签名等一个数字签名体制都要包括两个方面的处理：施加签名、验证签名设用户A要向用户B发送文件M，数字签名主要研究解决这一过程中的以下问题：1、A如何在文件M上签名

6、?2、B如何验证A的签名的真伪?3、A如何鉴别别人伪造自己的签 名？4、B如何阻止A签名后又抵赖？在计算机中，签名函数必须满足以下条件：当M尹M时，有SIG（M K）尹SIG（M, K）,即 S尹S；签名S只能由签名者产生，否则别人便可伪造，于是签名者也就可以抵赖；收信者可以验证签名S的真伪。这使得当签名S为假时收信者不致上当，当签名S为真时 又可阻止签名者的抵赖；签名者也应有办法鉴别收信者所出示的签名是否是自己的签名， 这就给签名自卫的能力。对RSA数字签名的攻击（1） 一般攻击（2）利用已有的签名进行攻击（3）利用签名进行攻 击获得明文（4）对先加密后签名方案的攻击总结：不要直接对数据签名

7、，而应对数据的HASH值签名；要采用先签名后加密的数字 签名方案，而不要采用先加密后签名的数字签名方案。六、利用公开密钥密码实现数字签名国际标准化组织采用公开密钥密码数字签名作为数字 签名标准七、盲签名：某个人对某数据签名，而又不能让他知道数据的内容，称这种签名为盲签名。 其显著特点：（1）签名者不知道所签署的数据内容；（2）在签名被接收者泄露后，签名者不 能追踪签名。（不知道要写后面那些不）八、数字证书数字证书用于确认计算机信息网络上个人或组织的身份和相应的权限，用以 解决网络信息安全问题。目的：证实信息交换中参加者的身份；授权交换授权接入重 要信息库，以替换口令或其他传统的进入方式；提供经

8、过网络发送信息的不可抵赖性证据 验证通过网络交换的信息的完整性。数字证书就是网络通信中标志通信各方身份信息的一 系列数据，其作用类似于现实生活中的身份证。使用数字证书，通过运用对称和非对称密码 体制等密码技术建立起一套严密的身份认证系统，从而保证：信息除发送方和接收方外不被 其他人窃取；信息在传输过程中不被篡改；发送方能够通过数字证书来确认接收方的身份； 发送方对于自己发送的信息不能抵赖。一个标准的X.509数字证书包含： 证书的版本信息； 证书的序列号，每个用户都有一 个惟一的证书序列号；证书所使用的签名算法；证书的发行机构名称，命名规则一般 采用X.400格式；证书的有效期，现在通用的证书

9、一般采用UTC时间格式，它的计时范 围为19502049:证书所有人的名称，命名规则一般采用X.400格式；证书所有人 的公开密钥（关于公开密钥的信息详见非对称密码算法的有关内容）；证书发行者对证书 的签名。九、自主访问控制DAC是一种最普遍的访问控制手段，是基于对主体及主体所属的主体组 的识别来限制对客体的访问，自主是指主体能够自主地按自己的意愿对系统的参数做适当的 修改，以决定哪些用户可以访问他的文件。1.自主访问控制的实现方法，两种：（1）基于行 的自主访问控制此方法是在每个主体上都附加一个该主体可访问的客体的明细表。根据表 中信息的不同又可分为3种形式。权力表 权力就是一把开启客体的钥

10、匙，它决定用户是 否可对客体进行访问，以及可进行何种模式的访问。一个拥有一定权力的主体可以依一定模 式访问客体。前缀表前缀表包括受保护客体名及主体对它的访问权。这种机制存在3个 问题：a前缀的大小受限。b当生成一个新客体或改变某客体的访问权时，如何对主体分配 访问权c如何决定可访问某客体的所有主体口令（Password）在基于口令机制的自主访 问控制系统中，每个客体都被分配一个口令。一个主体，只要它能对操作系统提供某客体的 口令，那么它就可以访问该客体。（2）基于列的自主访问控制是对每个客体附加一份可访 问它的主体的明细表，它有两种形式保护位此机制不能完备地表达访问控制矩阵。保护 位对所有主体

11、、主体组，以及该客体的拥有者指明了一个访问模式集合。访问控制表它 可以决定任何一个特定的主体是否可对某一客体进行访问。它是利用在客体上附加一个主体 明细表的方法来表示访问控制矩阵的。自主访问控制的类型访问许可定义了改变访问模式的能力及向其他主体传送这种改变访 问模式的能力。访问模式则指明主体对客体可进行何种形式的特定的访问操作。3种类型： 等级型、有主型、自由型。（1）等级型结构的优点：可以通过选择值得信任的人担任各级领 导，使得可以用最可信的方式对客体实施控制，并且这种控制能够模仿组织环境。缺点是： 对于一个客体来讲，会同时有多个主体有能力修改它的访问控制表。（2）有主型对每个客 体设置一个

12、拥有者。（3）自由型自主访问控制模式（1）文件读和复制写和删除运行无效（2）目录读写-扩 展有3种方法可以用来控制对目录及与目录相关的文件的访问操作对目录而不对文件实 施访问控制；对文件而不对目录实施访问控制；对目录与文件都实施访问控制。十、强制访问控制是指用户和文件都有一个固定的安全属性，系统利用安全属性来决定一 个用户是否可以访问某个文件。1.防止特洛伊木马的强制访问控制（1）限制访问控制的灵 活性（2）过程控制2. Unix文件系统的强制访问控制（1）Multics方案仅当用户的安全 级不低于文件的安全级时，该用户才能读该文件。仅当用户的安全级不高于文件的安全级 时，该用户才能写该文件。

13、（2）Tim Thomas方案文件名的安全级隐蔽文件名的实现 文件访问与文件名的隐蔽十一、防火墙的分类两大类：包过滤防火墙和应用代理防火墙1.包过滤防火墙包过滤作用在网络层和传输层，它根据分组包头源地址，目的地址和端口 号、协议类型等标志确定是否允许数据包通过。只有满足包滤逻辑的数据包才被转发到相应的目的地出口端，其余数据包则被从数据流中丢弃。包过滤防火墙又称为过滤路由器，它通过将包头信息和管理员设定的规则表比较，如果有一条规则不允许发送某个包，路由器 就将它丢弃。包过滤方式有很多优点，而其主要优点之一是仅用放置在重要位置上的包过滤路由器就可保 护整个网络。缺点及局限性：（1）在机器中配置包过

14、滤规则比较困难；（2）对系统中的包 过滤规则的配置进行测试也较麻烦；（3）许多产品的包过滤功能有这样或那样的局限性，要 寻找一个比较完整的包过滤产品比较困难。2.应用代理防火墙 应用代理，也叫应用网关，它作用在应用层，其特点是完全“阻隔”了 网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作 用。优点：（1）代理服务允许用户“直接”访问互联网（2）代理服务适合于进行日志记录 缺 点：（1）代理服务落后于非代理服务（2）每个代理服务要求不同的服务器（3）代理服务一 般要求对客户或程序进行修改（4）代理服务对某些服务来说是不适合的（5）代理服务不能 保护用户不受协议本

15、身缺点的限制。代理服务在客户端可以有以下两种方法：（1）定制客户 软件。（2）定制客户过程。基于网络地址转换的复合型防火墙系统认证与访问控制系统是防火墙系统的关键环节十二、防火墙体系结构1.双重宿主主机体系结构2.主机过滤体系结构3.子网过滤体系结构 防火墙的变化和组合一般有以下几种形式:使用多堡垒主机;合并内部路由器和外部路由器; 合并堡垒主机与外部路由器；合并堡垒主机与内部路由器；合并多台内部路由器；合并多台 外部路由器；使用多个参数网络；使用双重宿主主机与子网过滤。建立堡垒主机的一般原则（1）最简化原则（2）预防原则堡垒主机目前一般有三种类型：无路由双宿主主机、牺牲主机和内部堡垒主机。电子邮件（SMTP）是堡垒主机应提供的最基本的服务我们将可以由堡垒主机提供的服务分成以下四个级别。无风险服务低风险服务高风险 服务禁用服务十三、入侵检测入侵检测技术也叫网络实时监控技术，是指通过硬件或软件对网络上的数 据流进行实时检查，并与系统中的入侵特征数据库进行比较，一旦发现有被攻击的迹象，立 刻根据用户所定义的动作做出反应，如切