课件23：第8章 网络安全问题

1、第8章 网络安全问题 课件23主要内容网络安全框架与机制 IPv4网络的安全问题 因特网服务的安全问题 网络安全的增强技术 网络多级安全技术 IPv6网络的安全机制 网络安全基础设施PKI/PMI 主要内容网络安全框架与机制 IPv4网络的安全问题 因特网服务的安全问题 网络安全的增强技术 网络多级安全技术 IPv6网络的安全机制 网络安全基础设施PKI/PMI 信息安全与信息对抗信息安全则是指防止任何对数据进行未授权访问的措施，或者防止造成信息有意无意泄露、破坏、丢失等问题的发生，让数据处于远离危险、免于威胁的状态或特性。而网络安全则是指计算机网络环境下的信息安全。 “信息对抗”也是一个概念

2、广泛的术语，其主要含义是指争斗的双方利用各种手段获取信息的控制权，进而使己方在争斗过程中处于主动地位。信息的安全需求内容保密性完整性可用性 信息安全概念与技术的发展单机系统的信息保密阶段 网络信息安全阶段 信息保障阶段 网络安全框架(安全服务)对等实体鉴别服务 访问控制服务 数据保密服务 数据完整性服务 数据源点鉴别 不可否认服务 1234567对等实体鉴别YYY访问控制YYYY连接保密YYYYY无连接保密YYYY选择字段保密Y报文流安全YYY可恢复的连接完整性Y无恢复的连接完整性YYY选择字段连接完整性Y无连接完整性YYY选择字段无连接完整性Y数据源点鉴别YYY不可否认来源Y不可否认交付Y网

3、络安全框架层次服务网络安全机制加密机制 数据签名机制 访问控制机制 数据完整性机制 鉴别交换机制 业务流量填充机制 路由控制机制 公证机制 网络安全机制机制服务数据加密数据签名访问控制数据完整性交换鉴别业务流填充路由控制公证机构对等实体鉴别YYYY访问控制Y连接的保密性YY选择字段的保密性Y业务流安全YYY数据的完整性YYY数据源鉴别YY禁止否认YYY主要内容网络安全框架与机制 IPv4网络的安全问题 因特网服务的安全问题 网络安全的增强技术 网络多级安全技术 IPv6网络的安全机制 网络攻击网络攻击是指网络攻击者利用目前网络通信协议（如TCP/IP协议）自身存在的或因配置不当而产生的安全漏洞

4、、用户使用的操作系统内在缺陷或者用户使用的程序语言本身所具有的安全隐患等，通过使用网络命令，或者从Internet上下载的专用软件（例如，SATAN等网络扫描软件），或者攻击者自己编写的软件，非法进入本地或者远程用户主机系统，非法获得、修改、删除用户系统的信息以及在用户系统上添加垃圾、色情或有害信息（如特洛伊木马）等一系列过程的总称。漏洞概念漏洞(Hole)就是就是系统硬件或者软件存在某种形式的安全方面的脆弱性，这种脆弱性存在的直接后果是允许非法用户未经授权获得访问权或提高其访问权限。大多数的漏洞体现在软件系统中，如操作系统软件、网络服务软件、各类应用软件和数据库系统及其应用系统。系统的安全机

5、制本身就有缺陷，或系统管理员对系统的安全配置有缺陷，或在一个安全系统中新添加的功能都可能导致系统漏洞的出现。网络攻击常见网络攻击技术探测类攻击漏洞类攻击控制类攻击欺骗类攻击阻塞类攻击病毒类攻击探测类攻击探测类攻击主要是收集目标系统的各种与网络安全有关的信息，为下一步入侵提供帮助。 典型的有：漏洞信息、服务信息、操作系统信息、网络拓扑信息等。漏洞类攻击漏洞类攻击利用的是系统、协议或应用软件本身存在的安全缺陷进行的攻击，往往是许多其他类型攻击的基础 。 常见漏洞攻击：缓冲区溢出漏洞、UNICODE漏洞、ASP漏洞、CGI漏洞、IPC$漏洞、输入法漏洞控制类攻击控制类攻击是一类试图获得目标系统控制权

6、的攻击。典型的控制类攻击： 口令攻击 特洛伊木马攻击欺骗类攻击欺骗类攻击通过冒充合法网络主机骗取敏感信息，或者通过配置、设置一些假信息来实施欺骗攻击 。常见形式： Web欺骗， IP欺骗阻塞类攻击阻塞类攻击企图通过强行占有信道资源、网络连接资源、存储空间资源，使服务器崩溃或资源耗尽无法继续对外提供服务。常见的方法 Smurf攻击、分布式拒绝服务攻击病毒类攻击计算机病毒就是一段恶意的计算机程序。网络病毒 可以在网络上自动传播的计算机病毒常见网络病毒举例红色代码、震荡波IPv4的安全问题TCP/IP本身不提供加密传输功能 TCP/IP本身不支持信息流填充机制 TCP/IP本身不提供对等实体鉴别功能

7、 TCP/IP协议体系本身存在缺陷，容易遭受到攻击由TCP/IP支持的Internet中的各个子网是平等的，难以实现分级安全的网络结构（如树状结构），无法实现有效的安全管理。 许多厂商提供的TCP/IP应用层协议实用软件中存在严重的安全漏洞，常常被黑客用作网络攻击的工具。 主要内容网络安全框架与机制 IPv4网络的安全问题 因特网服务的安全问题 网络安全的增强技术 网络多级安全技术 IPv6网络的安全机制 网络安全基础设施PKI/PMI Web服务的安全问题安全漏洞Web欺骗 安全决策问题，暗示 Web欺骗防护FTP服务的安全问题匿名登录 FTP代理服务器 跳板(Bounce)攻击问题 Tel

8、net的安全问题传输明文 没有强力认证过程 没有完整性检查 传送的数据都没有加密 电子邮件的安全问题软件问题（outlook, foxmail）缓存漏洞 历史记录漏洞 攻击性代码漏洞 主要内容网络安全框架与机制 IPv4网络的安全问题 因特网服务的安全问题 网络安全的增强技术 网络多级安全技术 IPv6网络的安全机制 网络安全基础设施PKI/PMI Keberos系统Kerberos系统使用56位DES加密算法加密网络连接，并且提供用户身份的认证。Kerberos环境依赖于Kerberos认证服务器的存在，它执行密钥管理和控制的功能。Kerberos认证服务器维护一个保存所有客户密钥的数据库。

9、每当两个用户要进行安全通信及认证请求时，Kerberos认证服务器就产生会话密钥。Kerberos的主要功能认证 授权 记账与审计 Keberos认证协议 Kerberos会话密钥交换过程Kerberos的不足 (1) 它增加了网络环境管理的复杂性，系统管理必须维护Kerberos认证服务器以支持网络。如果Kerberos认证服务器停止访问或不可访问，用户就不能使用网络(2) 如果Kerberos认证服务器遭到入侵，整个网络的安全性就被破坏(3) 对Kerberos配置文件的维护是比较复杂而且很耗时(4) 一些Kerberos实现对多用户系统是不安全的(5) Kerberos无法防止拒绝服务的

10、攻击(6) Kerberos无法防止口令破解程序的攻击SSL安全协议SSL(Security Socket Layer)是NetsCape公司于1996年推出的安全协议，它为网络应用层的通信提供了认证、数据保密和数据完整性的服务，较好地解决了Internet上数据安全传输的问题。 SSL的主要目的是为网络环境中两个通信应用进程（Client与Server）之间提供一个安全通道。 SSL安全协议该协议共分上、下两层。下层是SSL记录协议（SSL Record Protocol），它的作用是对上层传来的数据加密后传输。SSL记录协议可以建立在任何可靠的传输协议之上（如TCP）。上层是SSL握手协议

11、（SSL Handshake Protocol），它的主要作用是 ：Client和Server之间互相验证身份 ；Client和Server之间协商安全参数 。 SSL与TCP/IP的关系 SSL会话状态变量Session ID由Server选择的代表一次会话的标识Peer Certificate通信对方的证书Compression Method当前使用的压缩算法Cipher Spec当前使用的数据加密算法、hash算法以及算法参数Master SecretClient与Server之间共享的秘密信息is Resumable本次会话是否允许复用的标志 SSL连接状态变量Server and C

12、lient RandomClient与Server各自为每次连接选择的随机数Server Write MAC SecretServer的写MAC密钥Client Write MAC SecretClient的写MAC密钥Server Write KeyServer的数据加密密钥Client的数据解密密钥Client Write KeyClient的数据加密密Server的数据解密密钥Initialization Vector数据加解密的初始化向量(CBC模式)Sequence NumbersClient与Server各自分别维护两个序列号， 一个输入一个输出 SSL握手协议SSL记录协议SSL

13、 记录协议(SSL Record Protocol)的作用是使用当前的状态对上层传来的数据进行保护。SSL记录协议SSL记录协议对上层传来的数据进行以下三步的处理 ：(1) 由于应用协议使用的PDU和SSL记录协议使用的PDU长度可能不一样，所以第一步要对应用数据进行分割或重组。(2) 使用当前会话状态中的CompressionMethods对第一步的结果进行压缩(3) 使用当前会话状态的CipherSpec（包括数据加密算法和MAC算法）对第二步的结果进行加密和hash运算，算法使用的密钥在当前状态的连接状态变量中。 IPSecIP本身不提供安全保护，所以网络入侵者就能够通过数据包嗅探（sn

14、iffer）、IP电子欺骗（spoofing）、会话截获（session hijacking）和重放攻击（replay）等方法来攻击。针对这些问题，IPSec可以有效地保护IP数据包的机密性（数据没有被别人看过）和完整性（包括数据的真实性及数据未被修改）以及一定程度的抗重放能力。 IPSecIPSec即IP Seccnity，它的目标是为确保IP数据报的安全性。现在，有两个安全机制存于IPSec中，第一个安全机制是认证头AH（Authentication Head），它们提供IP数据报的完整性和认证功能，但不能确保数据的保密性（Confidentiality）。第二个安全机制是封装安全净荷ES

15、P(Encapsulating Security Payload)。它可以确保IP数据报的保密性，也可以提供完整性和认证功能（视加密算法和应用模式而定）。在IPSec中，这二个机制可以单独使用，也可一起使用。 IPSec认证头AH格式 IPSec中ESP的格式Security AssociationIdentifier (SPI)Opaque Transform Data(可变长度) 受IPSec保护的数据包主要内容网络安全框架与机制 IPv4网络的安全问题 因特网服务的安全问题 网络安全的增强技术 网络多级安全技术 IPv6网络的安全机制 网络安全基础设施PKI/PMI 网络多级安全技术 和

16、操作系统一样，网络系统也存在多级安全问题。网络中除了需要操作系统中的强制访问控制、标记和可信等原理外，还有网络自己的多级安全特性。在网络环境中下，各用户访问要求和所访问目标的敏感程度多有不同，因此，网络应该提供不同安全等级的服务。在多级安全网络中，通常采用军用安全模型，网络中的数据按敏感程度分类并按照主题标记。网络多级安全技术 可信网络基安全通信服务器 多级安全信道 有TNB支持的多级安全网络 由通信服务器支持的多级安全网络 多级安全信道的分隔示意图 信道分隔方式的多级安全网络主要内容网络安全框架与机制 IPv4网络的安全问题 因特网服务的安全问题 网络安全的增强技术 网络多级安全技术 IPv

17、6网络的安全机制 网络安全基础设施PKI/PMI IPv6新一代网络的安全机制IPv6除了对IP地址作了改动之外，也完全改变了IPv4的数据包格式。IPv6数据包有一个固定大小的基本首部（Base Header），其后可以允许有零个或多个扩展首部（Extension Header），再后是数据。 IPsec包含两个安全措施：AH(Authentication Head)和ESP(Encapsulating Security Payload)。 认证过的TCP数据包举例IPv6报头AHTCP报文段IPv6报头路由报头AHTCP报文段IPv6报头AH端到端选项TCP报文段 认证报头格式下一个报头有效净荷长度保留SPI序列号字段认证数据（长度可变） ESP的通用格式32位SPI32位序列号加密数据和参数认证数据密钥的分发因特网安全协会和密钥管理协议（ISAKMP）为密钥交换协议的实现提供了一个非常通用的框架。所有的ISA