《计算机网络教程》第9章 网络管理与信息安全-3

《计算机网络教程》电子教案 笫卄九讲 常用网络安全技术本讲内容第九章网络管理与信息安全

9.3常用网络安全技术

9.3.1病毒防范

9.3.2防火墙

9.3.3身份鉴别

9.3.4数字签名与数字证书

9.3.5SSL与IPSec**是要求同学了解的，这些内容在本电子教案中并未讲解而是要求同学自己阅读教材。

9.3常用网络安全技术

病毒防范定义：

病毒是一个附着于可执行文件之上，并执行原可执行文件设计以外的动作的指令集。

特点：PC机中，病毒常附着于扩展名为.EXE或.COM的文件之上。具有破坏性。通常难以察觉。自我复制。9.3常用网络安全技术（续）

病毒防范内存常驻病毒与扫描磁盘的文件系统不同，病毒可将自己拷贝到内存并等待一个可执行文件存储到内存中。在PC机中，一些病毒利用内部中断机制激活。中断表（interrupttable）是服务例程的地址集合。内存常驻文件会改变中断表，而代以产生病毒所在的地址。

9.3常用网络安全技术（续）

病毒防范病毒进化1949年，冯·诺伊曼写了一篇题为“TheoryandOrganizationofComplicatedAutomata”的论文，描述了一种理论，该理论认为计算机程序事实上可自我复制。它也勾画了计算机病毒模型的轮廓。在二十世纪八十年代中期，反病毒程序通过查找病毒签名（signature）来工作，病毒签名是包含于病毒中的二进制序列（相当于机器语言指令）。大多数病毒都不长；一般将自己放置在可执行文件的开始或结尾处。所以，反病毒程序将查找集中在这些文件的开始和结尾处，可明显提高查找效率。

9.3常用网络安全技术（续）

病毒防范为了隐藏签名，病毒代码经过一个加密算法来改变签名。反病毒程序使用一种称为X照射（X-raying）的技术。该程序实际上将一个可疑的加密病毒提出来，经过一个已知被病毒使用的解密算法解密。然后检查解密结果，寻找病毒签名。病毒程序员使用多态病毒（polymorphicvirus）来对抗反病毒软件。多态病毒使用一种免疫引擎，每感染一个文件，解密算法就改变代码。9.3常用网络安全技术（续）

病毒防范现在的一些病毒检测技术使用一种叫做通用解密（GenericDecryption，GD）的技术。GD反病毒软件包含一个CPU仿真器。它执行一个模拟该文件执行的软件。若文件有多态病毒，会将自己解密，它的签名模式就会暴露。缺点：未发现病毒就中止执行模拟，也还是不安全。病毒在开始处可能包含各种空指令，若模拟程序过短，它就可能漏过一些病毒。若模拟程序过长，就会延长用户等待查毒程序执行的时间。要积极预防病毒。9.3常用网络安全技术

防火墙防火墙定义不是简单的能提供网络安全功能的路由器、主机系统、或系统的集合，而是一个安全的方法，它对网络提供的服务和访问定义和实现更大的安全策略，防火墙的主要目的对受保护的网络实现访问控制，它要求所有对网络的访问必须通过防火墙的检查，从而实现所定义的安全策略

9.3常用网络安全技术（续）

防火墙防火墙主要有以下四个部件：防火墙策略网络策略服务访问策略防火墙设计策略高级鉴别机制包过滤代理服务器9.3常用网络安全技术（续）

防火墙防火墙可以有四种基本配置方式包过滤防火墙双源网关防火墙屏蔽主机防火墙屏蔽子网防火墙9.3常用网络安全技术（续）

防火墙防火墙的特性能支持“除非明确允许，否则能拒绝所有服务”设计策略应该是灵活的，能适应新的服务应该能包括高级鉴别机制或能增加高级鉴别机制能使用过滤技术来允许或拒绝对一个指定主机的访问过滤手段必须灵活、友好、容易编程、并且能对尽可能多的信息包括目的IP地址、源IP地址、目的端口、源端口、协议类型等进行过滤在使用诸如telnet等的代理服务时要求能使用高级认证机制来实现安全的口令机制应该能使用中央电子邮件系统，以减少外界对内部的直接访问9.3常用网络安全技术

身份鉴别概念身份鉴别是对网络中的主体进行验证的过程。

三种主要方法：只有该主体了解的秘密，如口令、密钥。口令是相互约定的代码，假设只有用户和系统知道。口令有时由用户选择，有时由系统分配。通常情况下，用户先输入某种标志信息，比如用户名和ID号，然后系统询问用户口令，若口令与用户文件中的相匹配，用户即可进入访问。 口令有多种，如一次性口令，和基于时间的口令。9.3常用网络安全技术（续）

身份鉴别智能卡（SmartCard）根据功能可以将智能卡分为存储卡，逻辑加密型卡和微处理器卡（又称CPU卡），按照IC卡与外部的通信方式又可以分成接触式卡和非接触式卡。存储卡的主要目的是存储信息，其数据的保护通常由预置的密码来完成。逻辑加密型卡利用特定的逻辑函数关系来防止非授权人员对数据的读取或修改。9.3常用网络安全技术（续）

身份鉴别CPU卡则通过内置的微处理器完成对数据的保护和管理接触式卡顾名思义是通过触点实现卡上芯片和外部读写机具的通信。这种方式在IC卡和读写机具之间建立物理连接，具有通信可靠、易实现等特点。缺点是容易造成芯片损坏。非接触式IC卡的工作模式为通过无线电波实现卡与机具的通信和供电。具有认证速度快，使用方便等优点。缺点是易受干扰。9.3常用网络安全技术（续）

身份鉴别只有该主体具有的独一无二的特征或能力，利用个人特征进行鉴别的方式具有较高的安全性。几种生物识别技术的比较：虹膜识别技术虹膜是一种在眼睛中瞳孔内的织物形的各色环状物，包含一个独一无二给予各种特征的结构。优点：便于用户使用，只需用户位于设备之前而无需物理的接触；可能会是最可靠的生物识别技术，尽管它还没有测试过9.3常用网络安全技术（续）

身份鉴别缺点：没有进行过任何大规模的测试，当前的虹膜识别系统只是用统计学原理进行小规模的试验；很难将图像获取设备的尺寸小型化；需要昂贵的摄像头；镜头可能会使图像畸变而使得可靠性大为降低；黑眼睛极难读取；需要一个比较好的光源。 视网膜识别技术视网膜识别技术要求激光照射眼球的背面以获得视网膜特征的唯一性。优点：视网膜是“隐藏”的，故而不可能磨损，老化或是为疾病影响；使用者不需要和设备进行直接的接触；是一个最难欺骗的系统，因为视网膜是不可见的，故而不会被伪造。9.3常用网络安全技术（续）

身份鉴别缺点：视网膜技术也未经过任何大规模的测试；视网膜技术可能会给被测试者带来健康的损坏，这需要进一步的研究；很难进一步降低它的成本。

面部识别面部识别技术通过对面部特征和它们之间的关系来进行识别。用于扑捉面部图像的两项技术：标准视频：通过一个标准的摄像头摄取面部的图像或者一系列图像，在面部被捕捉之后，一些核心点被记录，然后形成模板；9.3常用网络安全技术（续）

身份鉴别热成像技术：热成像技术通过分析由面部的毛细血管的血液产生的热线来产生面部图像，与视频摄像头不同，热成像技术并不需要在较好的光源条件下一个算法和一个神经网络系统加上一个转化机制就可将一幅面部图像变成数字信号，最终产生匹配或不匹配信号。优点：面部识别是非接触的，用户不需要和设备直接的接触。缺点：精确性可能受影响；公认面部识别最不准确，也最容易被欺骗；费用昂贵；对于因人体面部的变化可能需要通过人工智能来得到补偿；机器学习功能必须不断地将以前得到的图像和现在的进行比对；9.3常用网络安全技术（续）

身份鉴别

签名识别优点：使用签名识别更容易被大众接受而且是一种公认的身份识别的技术。缺点：签名容易随着而改变；为了处理签名的不可辟免的自然改变，必须在安全方面做出妥协；手写板结构复杂而且昂贵，因为和笔记本电脑的触摸板的分辨率有着很大的差异，在技术上很难将两者结合起来；很难将它的尺寸小型化。声音识别技术优点：声音识别也是一种非接触的识别技术，用户可以很自然地接受。缺点：很难进行精确的匹配；声音会随着音量、速度和音质的变化而影响到采集与比对的结果；很容易用录在磁带上的声音来欺骗声音识别系统。

9.3常用网络安全技术（续）

身份鉴别指纹识别系统优点：指纹是人体独一无二的特征，并且它们的复杂度足以提供用于鉴别的足够特征；可靠性高；扫描指纹的速度很快，使用方便；用户必需将手指与指纹采集头相互接触，与指纹采集头直接接触是读取人体生物特征最可靠的方法。设备可以更加小型化，并且价格低廉。缺点：某些人或群体的指纹因为指纹特征很少，故很难成像；每一次使用指纹会在指纹采集头上留下用户的指纹印痕，可以指纹痕迹存来复制指纹。9.3常用网络安全技术

数字签名与数字证书

问题的提出

书信或文件是根据亲笔签名或印章来证明其真实性的。但在计算机网络中传送的报文又如何盖章呢？数字签名要保证的操作：接收者能够核实发送者对报文的签名；发送者事后不能抵赖对报文的签名；接收者不能伪造对报文的签名。9.3常用网络安全技术（续）

数字签名与数字证书用公开密钥算法进行数字签名散列函数（HashFunction）散列函数被用于创建和验证数字签名，它是一种创建标准长度散列结果（散列值）形式的数字表示或“消息摘要”（也称为“指纹”）的算法。对于安全散列函数，有时称为“单向散列函数”（如SHA，MD5），要从已知的散列值推出原始的消息在计算上是不可行的。9.3常用网络安全技术（续）

数字签名与数字证书散列函数必须满足以下条件：接受的输入报文数据没有长度限制；对任何输入报文数据生成固定长度的摘要(“数字指纹”)输出；由报文能方便地算出摘要，但难以对指定的摘要生成一个报文；难以生成两个不同的报文具有相同的摘要。

数字签名的过程（创建和验证）：数字签名的创建 数字签名的创建使用从被签名的消息及给定的私有密钥两者导出唯一于它们的散列结果和数字签名。9.3常用网络安全技术（续）

数字签名与数字证书下图是数字签名的创建过程消息数字签名签名函数散列函数散列结果消息私有密钥送验证者只有私有密钥掌握者可签名数字签名的创建过程

9.3常用网络安全技术（续）

数字签名与数字证书创建步骤：精确界定所要签名的范围，界定后的待签名信息称为“消息”（message）。签名者的软件中的散列函数计算出一个唯一于消息的散列结果；签名者的软件接着使用签名者的私有密钥将散列结果转换成数字签名。注意：一个数字签名通常附接到它的消息上，并与消息一起保存或传送。由于数字签名是唯一于它的消息的，如果完全和消息失去联系，它就变得无用了。9.3常用网络安全技术（续）

数字签名与数字证书数字签名的验证

数字签名的验证是通过参照原始消息和给定的公开密钥来检查数字签名的过程，它判断数字签名是否由对相同的消息使用对应于所引用的公开密钥的私有密钥而创建得到的。验证步骤：验证者使用公开密钥和新的散列结果检查（1）数字签名是不是使用对应的私有密钥而创建的；（2）计算出的新散列结果是否与在签名过程中转换为数字签名的原始散列结果匹配。9.3常用网络安全技术（续）

数字签名与数字证书验证软件将证实数字签名是“有效的”，如果（1）签名者的私有密钥被用于对消息进行数字化签名，因为使用了签名者的公开密钥对签名进行验证，而签名者的公开密钥可以验证只有签名者的私有密钥才能创建某个数字签名；（2）消息没有被更改，因为如果在验证过程中，验证者计算出的散列结果与从数字签名中抽取的散列结果一致，则证明消息是完整的。9.3常用网络安全技术（续）

数字签名与数字证书 下图描述了数字签名的创建过程。消息数字签名签名函数散列函数散列结果消息私有密钥送验证者只有私有密钥掌握者可签名数字签名的验证过程

9.3常用网络安全技术（续）

数字签名与数字证书注意：图中的验证函数的作用实际上就是用公开密钥对数字签名解密得到散列结果，并与由消息直接得到的散列结果比较，看它们是否相同来判断数字签名是否有效。创建和验证数字签名的过程实现了法律上 对签名的要求：签名者的认证；消息认证；确认行为；效率。9.3常用网络安全技术（续）

数字签名与数字证书用对称加密算法进行数字签名 优点：

由于这种方法是逐位进行签名的，只要有 一位被改动过，接收方就得不到正确的数 字签名，因此其安全性较好。 缺点： 签名太长（对报文先进行压缩再签名，可 以减少签名的长度。）、还有，签名密钥 及相应的验证信息不能重复使用，否则极 不安全。9.3常用网络安全技术（续）

数字签名与数字证书1991年8月30日，美国国家标准与技术学会（NIST）就提出了一个数字签名标准（DSS）。DSS提供了一种核查电子传输数据及发送者身份的一种方式。美国的《数字签名法》于2000年6月30日正式生效，使数字签名在美国与传统签名一样具有法律效力。影响中国进入数字签名时代的三点因素： 加密解密技术是否足够先进；社会公众、企业界、金融界对数字签名是否接受和支持；用什么方式承认数字签名。9.3常用网络安全技术（续）

数字签名与数字证书数字证书概念： 数字证书（DigitalCertificate）是网络通讯中标志通讯各方身份信息的一系列数据，它提供了一种在网络上验证实体身份的方式，其作用类似于日常生活中的驾驶执照或身份证。数字证书的组成：最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。9.3常用网络安全技术（续）

数字签名与数字证书证书中还包括密钥的有效时间，发证机关(证书授权中心)的名称，该证书的序列号等信息。数字证书的工作过程：想发送加密消息的实体（个人、公司、机构或代表它们的网络服务器）向CA机构提交申请；CA向其发放一个包含了申请者公开密钥和其它身份信息的加密了的数字证书。9.3常用网络安全技术（续）

数字签名与数字证书CA必须事先将自己的公开密钥向公众发布或可以从因特网上获取。加密消息的接收方使用CA的公开密钥来解开附接在消息上的数字证书，并验证证书确实是由CA发放的；获得证书中发送者的公开密钥和身份信息。下图是认证过程的示意图。9.3常用网络安全技术（续）

数字签名与数字证书CA机构（发放数字证书，提供自己的公开密钥）实体从CA获得数字证书及私有/公开密钥对数字签名接收方以CA的公开密钥认证消息来源的真实性，并以数字证书中发送方的公开密钥解密消息待发送的信息散列函数用私有密钥加密CA的公开密钥发送给接收方散列值使用数字证书进行的认证