课件：第章 网络安全问题

第8章网络安全问题课件23主要内容网络安全框架与机制IPv4网络的安全问题因特网服务的安全问题网络安全的增强技术网络多级安全技术IPv6网络的安全机制网络安全基础设施PKI/PMI主要内容网络安全框架与机制

IPv4网络的安全问题因特网服务的安全问题网络安全的增强技术网络多级安全技术IPv6网络的安全机制网络安全基础设施PKI/PMI信息安全与信息对抗信息安全则是指防止任何对数据进行未授权访问的措施，或者防止造成信息有意无意泄露、破坏、丢失等问题的发生，让数据处于远离危险、免于威胁的状态或特性。而网络安全则是指计算机网络环境下的信息安全。“信息对抗”也是一个概念广泛的术语，其主要含义是指争斗的双方利用各种手段获取信息的控制权，进而使己方在争斗过程中处于主动地位。信息的安全需求内容保密性完整性可用性信息安全概念与技术的发展单机系统的信息保密阶段网络信息安全阶段信息保障阶段网络安全框架(安全服务)对等实体鉴别服务访问控制服务数据保密服务数据完整性服务数据源点鉴别不可否认服务1234567对等实体鉴别YYY访问控制YYYY连接保密YYYYY无连接保密YYYY选择字段保密Y报文流安全YYY可恢复的连接完整性Y无恢复的连接完整性YYY选择字段连接完整性Y无连接完整性YYY选择字段无连接完整性Y数据源点鉴别YYY不可否认来源Y不可否认交付Y网络安全

框架层次服务网络安全机制加密机制数据签名机制访问控制机制数据完整性机制鉴别交换机制业务流量填充机制路由控制机制公证机制网络安全机制机制服务数据加密数据签名访问控制数据完整性交换鉴别业务流填充路由控制公证机构对等实体鉴别YYYY访问控制Y连接的保密性YY选择字段的保密性Y业务流安全YYY数据的完整性YYY数据源鉴别YY禁止否认YYY主要内容容网络安全全框架与与机制IPv4网络的安安全问题题因特网服服务的安安全问题题网络安全全的增强强技术网络多级级安全技技术IPv6网络的安安全机制制网络攻击击网络攻击击是指网网络攻击击者利用用目前网网络通信信协议（（如TCP/IP协议）自自身存在在的或因因配置不不当而产产生的安安全漏洞洞、用户户使用的的操作系系统内在在缺陷或或者用户户使用的的程序语语言本身身所具有有的安全全隐患等等，通过过使用网网络命令令，或者者从Internet上下载的的专用软软件（例例如，SATAN等网络扫扫描软件件），或或者攻击击者自己己编写的的软件，，非法进进入本地地或者远远程用户户主机系系统，非非法获得得、修改改、删除除用户系系统的信信息以及及在用户户系统上上添加垃垃圾、色色情或有有害信息息（如特特洛伊木木马）等等一系列列过程的的总称。。漏洞概念念漏洞(Hole)就是就是是系统硬硬件或者者软件存存在某种种形式的的安全方方面的脆脆弱性，，这种脆脆弱性存存在的直直接后果果是允许许非法用用户未经经授权获获得访问问权或提提高其访访问权限限。大多数的的漏洞体体现在软软件系统统中，如如操作系系统软件件、网络络服务软软件、各各类应用用软件和和数据库库系统及及其应用用系统。。系统的安安全机制制本身就就有缺陷陷，或系系统管理理员对系系统的安安全配置置有缺陷陷，或在在一个安安全系统统中新添添加的功功能都可可能导致致系统漏漏洞的出出现。网络攻击击常见网络络攻击技技术探测类攻攻击漏洞类攻攻击控制类攻攻击欺骗类攻攻击阻塞类攻攻击病毒类攻攻击探测类攻攻击探测类攻攻击主要要是收集集目标系系统的各各种与网网络安全全有关的的信息，，为下一一步入侵侵提供帮帮助。典型的有有：漏洞洞信息、、服务信信息、操操作系统统信息、、网络拓拓扑信息息等。漏洞类攻攻击漏洞类攻攻击利用用的是系系统、协协议或应应用软件件本身存存在的安安全缺陷陷进行的的攻击，，往往是是许多其其他类型型攻击的的基础。。常见漏洞洞攻击：：缓冲区区溢出漏漏洞、UNICODE漏洞、ASP漏洞、CGI漏洞、IPC$漏洞、输输入法漏漏洞控制类攻攻击控制类攻攻击是一一类试图图获得目目标系统统控制权权的攻击击。典型的控控制类攻攻击：口令攻击击特洛伊木木马攻击击欺骗类攻攻击欺骗类攻攻击通过过冒充合合法网络络主机骗骗取敏感感信息，，或者通通过配置置、设置置一些假假信息来来实施欺欺骗攻击击。常见形式式：Web欺骗，IP欺骗阻塞类攻攻击阻塞类攻攻击企图图通过强强行占有有信道资资源、网网络连接接资源、、存储空空间资源源，使服服务器崩崩溃或资资源耗尽尽无法继继续对外外提供服服务。常见的方方法－Smurf攻击、分分布式拒拒绝服务务攻击病毒类攻攻击计算机病病毒就是是一段恶恶意的计计算机程程序。网络病毒毒－可以在网网络上自动传播播的计算机机病毒常见网络络病毒举举例－红色代码码、震荡荡波IPv4的安全问问题TCP/IP本身不提提供加密密传输功功能TCP/IP本身不支支持信息息流填充充机制TCP/IP本身不提提供对等等实体鉴鉴别功能能TCP/IP协议体系系本身存存在缺陷陷，容易易遭受到到攻击由TCP/IP支持的Internet中的各个个子网是是平等的的，难以以实现分分级安全全的网络络结构（（如树状状结构）），无法法实现有有效的安安全管理理。许多厂商商提供的的TCP/IP应用层协协议实用用软件中中存在严严重的安安全漏洞洞，常常常被黑客客用作网网络攻击击的工具具。主要内容容网络安全全框架与与机制IPv4网络的安安全问题题因特网服服务的安安全问题题网络安全全的增强强技术网络多级级安全技技术IPv6网络的安安全机制制网络安全全基础设设施PKI/PMIWeb服务的安安全问题题安全漏洞洞Web欺骗－安全决决策问题题，暗示示Web欺骗防护护FTP服务的安安全问题题匿名登录录FTP代理服务务器跳板(Bounce)攻击问题题Telnet的安全问问题传输明文文没有强力力认证过过程没有完整整性检查查传送的数数据都没没有加密密电子邮件件的安全全问题软件问题题（outlook,foxmail）缓存漏洞洞历史记录录漏洞攻击性代代码漏洞洞主要内容容网络安全全框架与与机制IPv4网络的安安全问题题因特网服服务的安安全问题题网络安全全的增强强技术网络多级级安全技技术IPv6网络的安安全机制制网络安全全基础设设施PKI/PMIKeberos系统Kerberos系统使用用56位DES加密算法法加密网网络连接接，并且且提供用用户身份份的认证证。Kerberos环境依赖赖于Kerberos认证服务务器的存存在，它它执行密密钥管理理和控制制的功能能。Kerberos认证服务务器维护护一个保保存所有有客户密密钥的数数据库。。每当两两个用户户要进行行安全通通信及认认证请求求时，Kerberos认证服务务器就产产生会话话密钥。。Kerberos的主要功功能认证授权记账与审审计Keberos认证协议议Kerberos会话密密钥交交换过过程Kerberos的不足足(1)它增加加了网网络环环境管管理的的复杂杂性，，系统统管理理必须须维护护Kerberos认证服服务器器以支支持网网络。。如果果Kerberos认证服服务器器停止止访问问或不不可访访问，，用户户就不不能使使用网网络(2)如果Kerberos认证服服务器器遭到到入侵侵，整整个网网络的的安全全性就就被破破坏(3)对Kerberos配置文文件的的维护护是比比较复复杂而而且很很耗时时(4)一些Kerberos实现对对多用用户系系统是是不安安全的的(5)Kerberos无法防防止拒拒绝服服务的的攻击击(6)Kerberos无法防防止口口令破破解程程序的的攻击击SSL安全协协议SSL(SecuritySocketLayer)是NetsCape公司于于1996年推出出的安安全协协议，，它为为网络络应用用层的的通信信提供供了认认证、、数据据保密密和数数据完完整性性的服服务，，较好好地解解决了了Internet上数据据安全全传输输的问问题。。SSL的主要要目的的是为为网络络环境境中两两个通通信应应用进进程（（Client与Server）之间间提供供一个个安全全通道道。SSL安全协协议该协议共分分上、下两两层。下层层是SSL记录协议（（SSLRecordProtocol），它的作作用是对上上层传来的的数据加密密后传输。。SSL记录协议可可以建立在在任何可靠靠的传输协协议之上（（如TCP）。上层是是SSL握手协议（（SSLHandshakeProtocol），它的主主要作用是是：Client和Server之间互相验验证身份；；Client和Server之间协商安安全参数。。SSL与TCP/IP的关系SSL会话状态变变量SessionID由Server选择的代表一次会话的标识PeerCertificate通信对方的证书CompressionMethod当前使用的压缩算法CipherSpec当前使用的数据加密算法、hash算法以及算法参数MasterSecretClient与Server之间共享的秘密信息isResumable本次会话是否允许复用的标志SSL连接状态变变量ServerandClientRandomClient与Server各自为每次连接选择的随机数ServerWriteMACSecretServer的写MAC密钥ClientWriteMACSecretClient的写MAC密钥ServerWriteKeyServer的数据加密密钥\Client的数据解密密钥ClientWriteKeyClient的数据加密密\Server的数据解密密钥InitializationVector数据加解密的初始化向量(CBC模式)SequenceNumbersClient与Server各自分别维护两个序列号，一个输入一个输出SSL握手协议SSL记录协议SSL记录协议(SSLRecordProtocol)的作用是使使用当前的的状态对上上层传来的的数据进行行保护。SSL记录协议SSL记录协议对对上层传来来的数据进进行以下三三步的处理理：(1)由于应用协协议使用的的PDU和SSL记录协议使使用的PDU长度可能不不一样，所所以第一步步要对应用用数据进行行分割或重重组。(2)使用当前会会话状态中中的CompressionMethods对第一步的的结果进行行压缩(3)使用当前会会话状态的的CipherSpec（包括数据据加密算法法和MAC算法）对第第二步的结结果进行加加密和hash运算，算法法使用的密密钥在当前前状态的连连接状态变变量中。IPSecIP本身不提供供安全保护护，所以网网络入侵者者就能够通通过数据包包嗅探（sniffer）、IP电子欺骗（（spoofing）、会话截截获（sessionhijacking）和重放攻攻击（replay）等方法来来攻击。针对这些问问题，IPSec可以有效地地保护IP数据包的机机密性（数数据没有被被别人看过过）和完整整性（包括括数据的真真实性及数数据未被修修改）以及及一定程度度的抗重放放能力。IPSecIPSec即IPSeccnity，它的目标标是为确保保IP数据报的安安全性。现现在，有两两个安全机机制存于IPSec中，第一个个安全机制制是认证头头AH（AuthenticationHead），它们提提供IP数据报的完完整性和认认证功能，，但不能确确保数据的的保密性（（Confidentiality）。第二个个安全机制制是封装安安全净荷ESP(EncapsulatingSecurityPayload)。它可以确确保IP数据报的保保密性，也也可以提供供完整性和和认证功能能（视加密密算法和应应用模式而而定）。在在IPSec中，这二个个机制可以以单独使用用，也可一一起使用。。IPSec认证头AH格式IPSec中ESP的格式SecurityAssociationIdentifier(SPI)OpaqueTransformData(可变长度)受IPSec保护的数据据包主要内容网络安全框框架与机制制IPv4网络的安全全问题因特网服务务的安全问问题网络安全的的增强技术术网络多级安安全技术IPv6网络的安全全机制网络安全基基础设施PKI/PMI网络多级安安全技术和操作系统统一样，网网络系统也也存在多级级安全问题题。网络中中除了需要要操作系统统中的强制制访问控制制、标记和和可信等原原理外，还还有网络自自己的多级级安全特性性。在网络络环境中下下，各用户户访问要求求和所访问问目标的敏敏感程度多多有不同，，因此，网网络应该提提供不同安安全等级的的服务。在在多级安全全网络中，，通常采用用军用安全全模型，网网络中的数数据按敏感感程度分类类并按照主主题标记。。网络多级安安全技术可信网络基基安全通信服服务器多级安全信信道有TNB支持的多级级安全网络络由通信服务务器支持的的多级安全全网络多级安全信信道的分隔隔示意图信道分隔方方式的多级级安全网络络主要内容网络安全框框架与机制制IPv4网络的安全全问题因特网服务务的安全问问题网络安全的的增强技术术网络多级安安全技术IPv6网络的安全全机制网络安全基基础设施PKI/PMIIPv6新一代网络络的安全机机制IPv6除了对IP地址作了改改动之外