网络安全管理

计算机网络概论第八章网络安全和网络管理单元学习目的

了解网络安全概念及网络安全面临主要威胁；了解系统漏洞、扫描、系统补丁；了解黑客与计算机病毒，计算机病毒的分类及防治措施；了解防火墙与入侵检测系统；了解加密与认证，加密软件PGP的使用；了解网络管理的概念及功能，常见网络管理软件。单元主要内容

网络安全概述漏洞与扫描系统补丁黑客与计算机病毒防火墙入侵检测系统加密与认证网络管理8.1网络安全概述

随着全球信息化进程的不断推进，Internet的应用不断地普及和发展，Internet在人们生活中的地位越来越重要。Internet是一个开放式互联系统，其目的是方便通过网络进行信息交换，但其安全性很不完善。病毒通过Internet传播，其危害性到了空前的程度，黑客通过Internet，可以在世界任何一个角落，对Internet上的主机发动攻击。每年世界上成千上万的电脑因病毒感染或黑客攻击而引起系统崩溃、数据丢失，造成巨大的经济损失。网络安全问题已发展成为一个社会问题，它对社会经济秩序、甚至国家安全构成威胁，许多国家除了加强技术的研究外，还制定有关的法律法规，开展国际合作，打击制作病毒和黑客攻击行为，提高网络系统的安全性。

网络安全的概念

网络安全是在现有网络基础上，通过采取相应的安全措施，保护网络系统及数据不遭到破坏、泄露和篡改，从而提供正常网络服务。网络安全主要防止利用窃听、冒充、篡改和抵赖手段，对用户的信息安全造成影响，避免非法访问、黑客攻击、病毒入侵。

网络安全要实现的目标可靠性—抗毁性/生存性/有效性可用性—身份识别与确认/访问控制/业务流控制/审计跟踪保密性—防侦收/防辐射/信息加密/物理保密完整性—协议/纠错编码方法/密码校验和方法/数字签名不可抵赖性—真实性/不可否认可控性—控制能力来保证网络安全面临的威胁

系统的漏洞

黑客攻击

①拒绝服务攻击

拒绝服务攻击是指通过制造无用的网络数据，造成网络拥堵，大量占用系统资源等方法，使目标主机或网络失去及时响应访问请求的能力。分布式拒绝服务攻击的危害性更大，黑客首先进入一些易于攻击的系统，然后利用这些被控制的系统向目标系统发动大规模的协同攻击，其威力比拒绝服务攻击大很多。

网络安全面临的威胁黑客攻击②口令破解

网络中的身份鉴别方法中很重要的一种是用户名/口令，它实现起来简单，被广泛地使用。黑客利用黑客程序记录用户登录过程或用口令破解器来获取口令，进而在网络上进行身份冒充，从而对网络安全造成威胁。

③电子邮件炸弹

④Web攻击

网络安全面临的威胁病毒入侵

网络已成为病毒传播的主要途经，病毒通过网络入侵，具有更大的传播速度和更大传播范围，其破坏性也不言而喻，有些恶性的病毒会造成系统瘫痪、数据破坏或丢失，严重地危害到网络安全。

网络配置管理不当

网络管理员在配置网络时，往往因为用户权限设置过大、开放不必要的服务器端口，或者一般用户因为疏忽，丢失帐号和口令，从而造成非授权访问，给网络安全造成危害，有时甚至是致命的。

8.2漏洞与扫描

对于一个层次复杂的系统或一项网络安全规划来说，漏洞扫描是一项重要的工作。漏洞扫描能够对系统设置进行攻击测试，帮助管理员找出网络中存在的漏洞。通过这些方法，可以评估网络的安全级别，并生成评估报告，提供相应的整改措施，从而降低网络的安全风险。

漏洞概述

漏洞是指在硬件、软件、协议集成时或系统安全设置上存在的错误或缺陷。绝对安全的系统是不存在的，每个系统都有漏洞，不论你在系统安全性上投入多少财力，不论你的系统安全级别多高，攻击者仍然可以发现一些可利用的漏洞和配置缺陷。广义上讲漏洞大体上分为两大类：技术漏洞和管理漏洞;技术漏洞常见有:(1)软件编写错误造成的漏洞；(2)软件配置不当造成的漏洞。

技术漏洞主要有以下内容

1.身份确认和访问控制管理2.通信协议—IP地址欺骗/IP碎片袭击/TCP序号攻击/UDP欺骗3.应用软件4.网络服务器—Web服务器的会话/服务器的软件结构复杂存在安全隐患/分析熟悉代码发现缺陷

管理漏洞的防范职责不明,管理制度执行不严,没有规范的操作规程,没有事故应急措施,没有对员工进行良好的思想品德教育等.1.多人负责原则2.任期有限原则3.职责分离原则系统常见漏洞软件的缺省安装

缺省安装很多情况下会安装了用户目前不需要的服务，从而产生很多安全漏洞。因为一个系统开放的服务越多，越容易遭到攻击，并且用户通常只关心自己正在使用的服务的安全漏洞，能比较及时地、有针对性地打上补丁。但对没有使用的服务关心程度不够，有时可能根本不知道系统上有哪些服务CGI程序

过多的开放端口

扫描扫描是指对计算机系统或网络设备进行安全性检测，收集和分析被扫描系统或网络的信息，从而找出安全隐患或漏洞。我们可以向目标主机发送数据报文，根据返回的结果来了解目标主机的状况，如目标主机运行何种操作系统、开放了哪些端口和服务等。网络管理员通过扫描可以找出系统的漏洞，从而提高网络安全管理水平，而攻击者可以通过扫描来发现目标主机的漏洞，来发动攻击。

端口扫描技术

TCPconnect()扫描

TCPSYN扫描

TCPFIN扫描

ICMPecho扫描

TCP反向Ident扫描

扫描工具的性能

报表性能好；易安装，易使用；能够检测出目标系统缺少的补丁；扫描性能好，具备快速修复漏洞的能力；对漏洞及漏洞等级检测的可靠性；可扩展性；易升级性；性价比好；

系统补丁

系统存在这样那样的漏洞，我们需要进行修补，称为给系统打补丁，一般有两种方式，一种是下载Hotfix，通常称为修补程序，另一种是下载SP(补丁包)。

Hotfix修补程序Hotfix是针对某一个具体的系统漏洞或安全问题而发布的专门解决该漏洞或安全问题的程序，通常称为修补程序。SP补丁包微软就将Hotfix打包，进行发布，称为SP补丁包，通常SP补丁包中包含有SP发布日期前所发布的所有Hotfix。8.3黑客与计算机病毒

黑客

黑客（hacker），源于英语动词hack，意为“劈，砍”。黑客在早期是一个带有褒义的词，通常是指具有高级计算机技术，并有能力通过创新的方法分析系统的人。黑客能使系统趋于完善和安全，他们以保护系统为目的，而不正当侵入行为只是他们找出系统漏洞的手段。早期的黑客中出现了几个大名鼎鼎的人物，如GNU项目的发起人RichardStallman就曾是黑客。黑客最初是一些程序员，他们有高深的编程技术，能够用汇编语言，甚至是机器语言进行编程，他们对系统进行分析，这些工作对系统的设计和优化起到关键作用。8.3黑客与计算机病毒黑客与骇客

网络入侵者是那些利用网络漏洞破坏网络的人。他们也具备广泛的电脑知识，但与黑客不同的是他们以破坏为目的,这些群体称为骇客(Cracker)。骇客通常以获取利益为目的，他们入侵系统，非法获取数据，为自己谋取经济利益，如将获取的商业机密出卖、盗取银行帐号等。现在，在我们国家，人们已习惯将黑客和骇客混为一谈了，比如某人利用计算机技术进行犯罪，我们就将他称为黑客犯罪。

计算机病毒的概念计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据,影响计算机使用，并能自我复制的一组计算机指令或者程序代码。计算机病毒有自我复制能力，通过存储介质或网络，计算机病毒可以很快地蔓延。计算机病毒将自身附着在各种类型的文件上，当满足一定条件时，会产生一定的破坏性。

计算机病毒的分类

(1)引导型病毒引导型病毒在ROMBIOS系统引导时，即取得对操作系统的控制权，它常驻内存，伺机传染和破坏。它可以感染磁盘的引导扇区，也可以改写硬盘的分区表，因此其破坏性极强，有时会造成整个硬盘数据的丢失。(2)文件型病毒文件型病毒是较为常见的病毒，它感染的主要是扩展名为COM、EXE、OVL的文件，病毒将自身附着在系统的文件中，当文件被执行时，病毒也同时被装入内存。感染文件型病毒会造成文件的执行速度变慢，甚至无法执行程序，它还可能会造成感染文件的长度变长。计算机病毒的分类

(3)混合型病毒混合型病毒综合了引导型和文件型病毒的特点，它通过感染引导区和文件，增加了传染性和杀毒难度，因此其破坏力比前两者更强。(4)宏病毒宏病毒利用office提供的宏功能，通过．doc文档及．dot模板进行自我复制及传播。(5)蠕虫病毒蠕虫病毒是一种通过网络传播的恶性病毒，它又有自己的一些特征，如寄生在其它文件中，对网络会造成拒绝服务，蠕虫病毒的破坏性极强，网络的发展使得蠕虫可以在很短的时间内蔓延到大范围网络，造成网络瘫痪，如著名的冲击波病毒。计算机病毒的症状

计算机病毒对系统会产生一定的破坏性，有的甚至会造成灾难性的后果，那么，我们如何判断计算机感染了病毒，进而采取恰当的措施，将病毒造成的损失降到最低？病毒的存在并非无影无踪，我们可以从病毒的症状发现一些端倪。(1)计算机系统的速度明显降低由于病毒程序附加或占用引导部分,会使系统引导变慢。另外病毒驱留内存，会执行一些操作，消耗系统的资源，有时会造成内存严重不足，导致系统运行速度变慢。(2)磁盘剩余空间无故减少有些病毒对文件造成感染，会造成文件长度加大，另外，有些病毒程序把自己或操作系统的一部分用坏簇隐藏起来，这样磁盘坏簇会增多，这些都会导致磁盘剩余空间减少。

计算机病毒的症状(3)数据被破坏文件型病毒会对文件进行修改，可能会造成文件无法正确读取，另外一些恶性病毒会删除硬盘上的数据。(4)经常死机由于病毒程序与操作系统可能会发生冲突，病毒与硬件的兼容性也不一定很好，因此会造成死机现象，另外，病毒程序会造成内存的紊乱，使计算机无法正常工作或死机。(5)无故读写磁盘由于病毒会执行一些磁盘读写操作，因此，感染病毒后，即使我们没有执行任何操作，也会出现磁盘读写指示灯亮的情况。计算机病毒的防治策略

(1)减少感染的机率病毒通常从网络传播，我们不从不可靠的渠道下载软件，不随意打开来历不明的电子邮件，将会减少与病毒接触的机会。我们在安装软件时，进行病毒扫描也是非常重要的。(2)安装杀毒软件安装杀毒软件是防治病毒的有力措施，我们应该选择经过公安部认证的病毒防治产品。计算机病毒更新很快，我们还应该及时地对杀毒软件的病毒库进行升级。(3)安装最新的系统补丁病毒往往利用操作系统的漏洞进行传染，因此，及时地下载并安装系统的补丁，将有助于切断病毒传播的途经。(4)建立备份和恢复制度任何杀毒软件都不能确保万无一失，重要数据一旦丢失或破坏，其损失可能是不可估量的。运行良好的备份和恢复计划有助于将损失降到最低。

几种常见杀毒软件

(1)瑞星瑞星杀毒软件是国内较有影响力的杀毒软件，是北京瑞星科技股份有限公司研发的产品。瑞星杀毒软件具有很强的杀毒能力，有很好的稳定性和良好的售后服务，有完善的实时监控功能，提供中文、英文、日文多语言版本，有单机版和网络版。(2)金山毒霸金山毒霸是香港金山公司的产品，具有漏洞修复、邮件防毒、聊天防毒、网页防毒等功能，支持移动网络计算技术，具备先进的病毒防火墙实时反病毒技术，有单机版和网络版，但稳定性和兼容性方面略有欠缺。(3)江民杀毒江民杀毒软件采用国内较早的江民反病毒技术，江民反病毒技术已有10余年的历史，在DOS及Windows版本下均有其产品。对文件型、引导型病毒和宏病毒，江民杀毒软件有较强的杀毒能力，有单机版和网络版。(4)诺顿诺顿杀毒软件是一款国外杀毒软件，其特点是有很强的稳定性和兼容性，具有出色的病毒隔离技术，也可以自动更新病毒库。

8.4防火墙(Firewall)防火墙是一个或一组系统，包括软件和硬件，其功能是将内部和外部网络(如Internet)按照一定的控制策略进行隔离。防火墙在内外网络之间执行访问控制策略，通过制定一些访问规则，能够允许系统“同意”的用户和数据进入自己的网络，同时也能够拒绝未经允许的访问者和数据，从而最大限度地阻止入侵行为，有效地保护网络信息安全。

防火墙三个方面的基本特性

1．内部网络和外部网络之间的所有数据包都必须经过防火墙。2．只有符合安全策略的数据包才能通过防火墙。3．防火墙本身具有预防入侵的功能。防火墙的分类

包过滤(Packetfiltering)型

包过滤型防火墙工作在OSI网络参考模型的网络层和传输层，它根据数据包的源地址、目的地址、端口号和协议状态等标志确定是否允许数据包通过。只有满足过滤条件的数据包才被转发到相应的目的地，其余数据包则被从数据流中丢弃。

应用代理(ApplicationProxy)型

应用代理型防火墙是工作在OSI的最高层，即应用层。它完全“阻隔”了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。

图8-4-1应用代理型防火墙结构

几款防火墙图图8-4-2紫光防火墙UF3500图8-4-3青鸟网关防火墙JB-FW1/100H防火墙的分类状态检测防火墙（StatefulInspection）状态检测防火墙技术是新一代的防火墙技术，是由CheckPoint公司引入的。它监视第一个有效连接的状态，并根据这些信息决定网络数据包是否能够通过防火墙。它在协议栈底层截取数据包，然后分析这些数据包，并且将当前数据包和状态信息与前一时刻的数据包和状态信息进行比较，从而得到该数据包的控制信息，来达到保护网络安全的目的。

防火墙的分类第四代防火墙到1997年初，具有安全操作系统的防火墙产品面市，防火墙产品进入了第四代。具有安全操作系统的防火墙本身就是一个操作系统，因而在安全性上较之以前的防火墙有质的提高。。纯软件防火墙随着计算机网络的普及和网络安全的需求，许多网络安全软件厂商开发出了基于纯软件的用于PC机的防火墙，俗称“个人防火墙”，它安装在主机中，只对一台主机进行防护。防火墙的性能指标

产品类型从防火墙产品和技术发展来看，分为三种类型：基于路由器的包过滤防火墙、基于通用操作系统的防火墙、基于专用安全操作系统的防火墙。LAN接口防火墙所能保护的网络类型：如以太网、快速以太网、千兆以太网、ATM、令牌环及FDDI等。支持的最大LAN接口数等协议支持支持的非IP协议：除支持IP协议之外，又支持AppleTalk、DECnet、IPX及NETBEUI等协议。建立VPN通道的协议防火墙的性能指标加密支持

支持的VPN加密标准：VPN中支持的加密算法,例如数据加密标准DES、3DES、RC4以及国内专用的加密算法。

认证支持

支持的认证类型：

是指防火墙支持的身份认证协议，一般情况下具有一个或多个认证方案，如RADIUS、Kerberos、TACACS/TACACS＋、

口令方式、数字证书等。

防火墙的性能指标访问控制

包过滤防火墙的过滤规则集由若干条规则组成，它应涵盖对所有出入防火墙的数据包的处理方法，对于没有明确定义的数据包，应该有一个缺省处理方法；过滤规则应易于理解，易于编辑修改；同时应具备一致性检测机制，防止冲突。防御功能支持病毒扫描提供内容过滤能防御的DoS攻击类型阻止ActiveX、Java、Cookies、Javascript侵入

防火墙的性能指标安全特性

支持转发和跟踪ICMP协议，提供入侵实时警告，提供实时入侵防范，提供实时入侵响应功能，当发生入侵事件时，防火墙能够动态响应，调整安全策略，阻挡恶意报文，识别/记录/防止企图进行IP地址欺骗。防火墙的性能指标管理功能

通过集成策略集中管理多个防火墙：是否支持集中管理，防火墙管理是指对防火墙具有管理权限的管理员行为和防火墙运行状态的管理，管理员的行为主要包括：通过防火墙的身份鉴别，编写防火墙的安全规则，配置防火墙的安全参数，查看防火墙的日志等。防火墙的管理一般分为本地管理、远程管理和集中管理记录和报表功能

8.5入侵检测系统(IDS)

计算机病毒可以说是防不胜防，2003年8月11日深夜发作的新型网络蠕虫病毒“冲击波”，造成大量的网络陷于瘫痪，即使安装了杀毒软件的企业和个人用户也未能幸免，损失惨重。因此，建立网络安全预警机制，就显得十分重要。入侵检测的概念入侵检测系统(IntrusionDetectionSystem，IDS)则是对防火墙有效的补充，它通过收集来自计算机网络或计算机系统中若干关键点的信息，并对其进行分析，从中发现网络或系统中是否存在违反安全策略的行为和被攻击的迹象，以保证系统资源的机密性、完整性和可用性。IDS通常架设在网络重要节点与主机系统之上，可监测网络流量与内容，或者分析网络内的信息流动。当发现可疑活动时，IDS会依据使用者设定的策略发出警示，并调动其他网络设备阻断可能产生的攻击。入侵检测系统必须可以对得到的数据进行分析，并得出有用的结果，入侵检测系统在发现入侵后，能及时做出响应，包括切断网络连接、记录事件和报警等。入侵检测系统组成Internet工程任务组（InternetEngineeringTaskForce，简称IETF）将一个入侵检测系统分为四个组件：事件产生器（Eventgenerators）；事件分析器（Eventanalyzers）；响应单元（Responseunits）；事件数据库（Eventdatabases）。事件产生器的目的是从整个网络环境中获得事件，并向系统的其他部分提供此事件，即信息收集。事件分析器分析得到的数据，并产生分析结果，即信息分析。响应单元则是对分析结果作出反应的功能单元，它可以作出切断连接、禁用帐号、重新配置防火墙等动作，也可以只是简单的报警。事件数据库存放各种中间和最终数据，它可以是复杂的数据库，也可以是简单的文本文件。入侵检测系统的分类

根据应用环境根据应用环境，入侵检测系统可分为基于主机和基于网络型。基于主机型入侵检测系统通过监测系统、事件、系统日志、应用程序日志，从所在的主机收集信息，与入侵系统攻击标志比较，如果匹配，则系统发出报警。主机型入侵检测系统一般保护所在的系统。基于网络型入侵检测系统的数据源是网络上的数据包，我们通常要将一台计算机的网卡设于混杂模式(promiscuousmode)，来监听并分析网络中的数据包。一般网络型入侵检测系统担负着保护整个网络的任务。入侵检测系统的分类根据入侵系统的工作方式根据入侵系统的工作方式的不同，将入侵检测系统分为实时入侵检测和事后入侵检测两种。实时入侵检测在网络连接过程中进行，系统根据用户的历史行为模型、存储在计算机中的知识库进行判断，发现入侵迹象后，自动地采取对目标系统中的漏洞进行修补、立即断开入侵者与主机的连接、关闭目标系统上的相应服务等措施。事后入侵检测的主要工作由网络管理员来完成，入侵检测系统检测到对目标系统的攻击行为后，向网络管理员发出报警，然后网络管理员根据系统对用户操作所做的历史审计记录来判断用户是否存在入侵行为，并记录入侵证据和进行数据恢复。事后入侵检测是管理员定期或不定期进行的，不具有实时性。入侵检测系统的功能

监督并分析用户和系统的活动检查系统配置和漏洞检查关键系统和数据文件的完整性识别代表已知攻击的活动模式对反常行为模式的统计分析对操作系统的校验管理，判断是否有破坏安全的用户活动。入侵检测的过程入侵检测系统的入侵检测过程可以分为收集信息、分析信息和报警与响应三个阶段，即收集系统和非系统中的信息，然后对收集到的数据进行分析，并采取相应措施。信息收集信息收集包括收集系统、网络、数据及用户活动的状态和行为。我们需要在计算机网络系统中的若干不同关键点（不同网段和不同主机）收集信息，一方面可以尽可能地扩大检测范围，另一方面就是对来自不同信息源的信息进行特征分析比较后，可以发现入侵行为。入侵检测的过程数据分析

对收集到的有关系统、网络、数据及用户活动的状态和行为等信息，一般通过三种技术手段进行分析：模式匹配、统计分析和完整性分析。其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。①模式匹配模式匹配是将收集到的信息与已知的网络入侵和系统已有模式数据库进行比较，从而发现违背安全策略的行为。入侵检测的过程数据分析

②统计分析统计分析方法首先给系统对象（如用户、文件、目录和设备等）创建一个统计描述，统计正常使用时的一些测量属性（如访问次数、操作失败次数和延时等）。

③完整性分析完整性分析主要关注某个文件或对象是否被更改，包括文件和目录的内容及属性，它对发现内容被更改方面很有效。报警与响应

入侵检测系统检测出入侵行为后，根据分析结果，或者是网络管理员，或者自动地按一定的措施来阻止入侵行为，主要包括：记录安全事件产生报警信息隔离被攻击对象断开用户的连接禁用用户帐号禁止被攻击对象的特定端口和服务警告攻击者跟踪攻击者激活附加入侵检测工具8.6加密与认证

现实社会中，我们可以通过身份证来对个人身份进行认证，那么在网络环境中，如何确认网络中的身份呢，这就是数字认证，这点在电子商务活动中尤为重要。数字认证过程是通过去向证书授权中心(CA，CertificateAuthority)申请数字证书，采用数字签名的方式来实现的。数字签名是基于加密技术的，它的作用就是用来确定用户是否是真实的。如当用户收到一封电子邮件时，邮件上面标有发信人的姓名和信箱地址信息，但这些信息的伪造非常简单，而电子邮件上的数字签名则可以确认发信人身份的真实性。加密的概念

数据加密就是对原来为明文的文件或数据按某种算法进行处理，使其成为不可读的一段代码，通常称为“密文”，只能在输入相应的密钥之后才能显示出原来内容，通过这样的途径来达到保护数据不被非法窃取、阅读的目的。该过程的逆过程为解密，即将加密的编码信息转化为原来数据的过程。

两种加密方法

加密技术通常分为两大类：对称式加密和非对称式加密。对称式加密就是加密和解密使用同一个密钥，通常称之为“SessionKey”。非对称式加密就是加密和解密所使用的不是同一个密钥，通常有两个密钥，称为“公钥”和“私钥”，它们两个必需配对使用，否则不能打开加密文件。这里的“公钥”是指可以对外公布的，“私钥”则不能，只能由持有者一个人拥有。密钥策略

使用单密钥加密算法，加密的密钥和解密的密钥是相同的，只有通信双方都使用同一个密钥，才能够进行完整的通信，其缺点主要是在通信之前必须有一个安全的密钥交换过程以及在有多个通信方时会造成密钥量呈几何级数急剧增加。而公钥加密算法则不同，它加解密时使用的关键信息是由一个公钥和一个与公钥不同的私钥组成的密钥对。用公钥加密的结果只能用私钥才能解密；而用私钥加密的结果也只能用公钥解密。同时，用公钥推导私钥的代价在现实中是十分高昂的，甚至是不可行的。因此你可以将你的公钥散发给其他每个人，而你自己则安全地持有你的私钥。这样其他人向你发送邮件时就可以用你的公钥进行加密，而这封被加密的邮件只有你才能用你的私钥解密并阅读，这就是用公钥加密算法进行加密的基本原理。几种加密算法

DES加密算法

DES算法有三个参数：Key、Data、Mode。其中Key为8个字节共64位，是DES算法的密钥，但有8位作为校验位，因此实际上只有56位；Data为8个字节64位，是要被加密或被解密的数据；Mode为DES的工作方式，加密或解密。

DES加密算法的主要特点有：◆提供高质量的数据保护，防止数据未经授权的泄露和未被察觉的修改；◆具有相当高的复杂性，使得破译比较困难，同时又便于理解和掌握；◆DES密码体制的安全性不依赖于算法的保密，其安全性是以加密密钥的保密为基础；◆实现成本低，运行效果好，并且适用于多种完全不同的应用。

几种加密算法IDEA加密算法

IDEA加密算法是在DES算法基础上发展起来的，它对DES进行了改进，其密钥长度为128位，安全性大为加强，并且其实现速度也比DES快，因此，IDEA算法被认为是目前最好的分组密码算法，著名加密软件PGP采用了IDEA算法。

几种加密算法RSA加密算法

RSA算法的名字以发明者的名字命名，即RonRivest,AdShamir和LeonardAdleman。RSA加密算法是一种基于公钥加密系统的加密算法，其基本思想是使用两个不同的密钥对信息进行加密和解密，加密密钥通常是称为公钥的密钥，解密密钥则是称私钥的密钥。解密密钥在理论上可以由加密密钥推算出来，但这种推导解密密钥的算法在具体实现时却是不可行的，RSA算法经历了各种攻击，至今未被完全攻破，因此RSA算法有很强的安全性。几种加密算法RSA加密算法RSA算法原理RSA算法安全性是基于大数运算而来的，我们在进行两个很大的素数相乘时很容易，但要由两个素数分解出这两个大的素数却非常困难。下面是RSA算法的密钥产生过程：a．找出二个大数p,q,其中p,q是两个相异的大的素数,一般要求p*q至少大于512二进制位；b．计算n=pq和欧拉函数值ф(n)=(p-1)*(q-1)c．随机取一整数e，要求e与欧拉函数值ф(n)互质d．根据Euclid算法计算解密密钥d，有：de≡1modф(n)进而求出：d=e-1modф(n)其中，e和n作为公钥，可以公开，d作为私钥，几种加密算法RSA加密算法加密过程是：a．对明文m进行分组b．对分组后数据进行加密，加密算法为：ci=miemodn其中，ci为第I个分组的密文，mie为第I个分组的明文。解密算法过程为：得到密文后，解密算法为：mi＝cidmodn数字认证

随着电子商务系统技术应用的普及，很多客户将通过网络获得商家和企业的信息，但网络安全问题也使得某些敏感或有价值的数据有被盗用的风险。为了建立顾客、商家和企业等交易方在网络平台上的信任关系，电子商务系统必须提供具有十分可靠的安全保密技术，从而确保信息传输的保密性、数据交换的完整性、发送信息的不可否认性、交易者身份的确定性。我们可以通过数字认证来解决这个问题。数字认证离不开证书授权机构、数字证书、数字签名。

数字证书的内容证书的版本信息；证书的序列号，每个证书都有一个唯一的证书序列号；证书所使用的签名算法，如RSA算法；证书的发行机构（CA中心）的名称，命名规则一般采用X.500格式；证书的有效期，现在通用的证书一般采用UTC时间格式，它的计时范围为1950年至2049年；证书拥有者的名称，命名规则一般采用X.500格式；证书拥有者的公开密钥；证书发行机构（CA中心）对证书的数字签名。数字证书的功能

信息传输的保密性电子政务和电子商务应用均涉及到机密或敏感信息，如涉密公文、信用卡帐号和口令、订货和付款的信息等。数字证书采用基于非对称密钥加密算法的公开密钥体制（PKI），包含公钥和私钥的信息，可以有效地保护信息安全。身份的确定性网络中身份确定很困难，通过用户名/口令模式会有安全隐患。数字证书有CA中心的数字签名，所以不可能伪造和篡改，同时包含证书拥有者的身份信息，使用数字证书可以增加网络中的身份的确定性。数字证书的功能信息的不可否认性在日常生活中，人们通过用印章或签名的方法来实现信息的不可否认性问题。使用数字证书可以实现数字签名，从而实现网络中信息的不可抵赖性。信息的完整性在网络中，信息可能在网络传输过程中被截获篡改后再转发出去，造成信息的完整性受损，如果信息接收方不能识别这些被篡改的信息，可能会造成严重后果。数字证书中采用完整性校验算法，信息接收者可以判断收到的信息是否已被改动，如被改动则认为该信息无效，以此保证信息的完整性。数字签名概述

对文件进行加密只解决了传送信息的保密问题，而通过数字签名可以确定发信人的身份，防止他人对传输的文件进行破坏以保证网络上数据的完整性、不可否认性和网络上用户身份的确定性。数字签名技术在电子商务安全保密系统中有着特别重要的地位，在电子商务安全服务中的源鉴别、完整性服务、不可否认服务中，都要用到数字签名技术。在电子商务中，完善的数字签名应具备签字方不可抵赖、他人不能伪造、在公证人面前能够验证真伪的能力。目前的数字签名建立在公钥体制基础上，它是公用密钥加密技术的应用。数字签名技术

应用广泛的数字签名方法主要有三种，即：RSA签名、DSS签名和Hash签名。RSA签名使用的是RSA技术。用RSA或其它公开密钥密码算法的最大优点是妥善解决了密钥分配管理问题。

DSS数字签名是由美国国家标准化研究院和国家安全局共同开发的。主要用于与美国政府做生意的公司，其他公司则较少使用。Hash签名是最主要的数字签名方法，也称之为数字摘要法（DigitalDigest）或数字指纹法（DigitalFingerPrint）。它与RSA数字签名是单独的签名不同，该数字签名方法是将数字签名与要发送的信息紧密联系在一起，它更适合于电子商务活动。将一个商务合同的个体内容与签名结合在一起，与合同和签名分开传递相比，增强了可信度和安全性。实现数字签名的过程

只有加入数字签名及验证后才能真正实现在公用网络上的安全传输。进行数字签名和验证的文件传输过程如下：①发送方首先用哈希函数从原文得到数字签名，然后采用公开密钥体系用发送方的私有密钥对数字签名进行加密，并把加密后的数字签名附加在要发送的原文后面；②发送方选择一个秘密密钥（此秘密密钥通常按照对称加密体系生成，主要是对文件的正文部分加密，以提高加密解密的速度）对文件进行加密，并把加密后的文件通过网络传输到接收方；③发送方用接收方的公开密钥对秘密密钥进行加密，并通过网络把加密后的秘密密钥传输到接收方；实现数字签名的过程④接受方使用自己的私有密钥对秘密密钥进行解密，得到秘密密钥的明文；⑤接收方用秘密密钥对文件进行解密，得到经过加密的数字签名；⑥接收方用发送方的公开密钥对数字签名进行解密，得到数字签名的明文；⑦接收方用得到的明文和哈希函数重新计算数字签名，并与解密后的数字签名进行对比。如果两个数字签名是相同的，说明文件在传输过程中没有被破坏。

加密软件PGP

PGP(PrettyGoodPrivacy)是典型的加密软件，其创始人是美国的PhilZimmermann。PGP采用了RSA与传统加密相结合的加密算法，既可以解决RSA加密速度慢的问题，又可以避免传统加密算法出现的安全性问题。它被大量地用于电子邮件的加密，一方面可以防止非授权阅读，另一方面可以对邮件进行数字签名。PGP操作方便，功能强大，速度快，而且源代码公开，因此，PGP成为一种非常流行的公钥加密软件包。PGP的数字签名是基于加密技术的，它的作用就是用来确定用户是否是真实的。应用最多的还是电子邮件，如当用户收到一封电子邮件时，邮件上面标有发信人的姓名和信箱地址，很多人可能会简单地认为发信人就是信上说明的那个人，但实际上伪造一封电子邮件对于一个平常人来说是极为容易的事。在这种情况下，就要用到加密技术基础上的数字签名，用它来确认发信人身份的真实性。数字签名则是用由私钥加密的结果可以用公钥解密的原理来实现的。

PGP8.1的使用

PGP提供了免费版本，在上可以下载。PGP的安装很简单，只需按照安装向导的提示进行选择即可。PGP密钥

在利用PGP进行加密操作之前，我们需要生成一对密钥，即公钥和私钥，公钥用来分发给通信的对方，让他们用公钥加密文件，私钥由自己保管，我们用私钥来解密用自己的公钥加密的文件。点击“开始”→“程序”→“PGP”→“PGPkeys”，运行PGP，点击“Key”→“NewKey”或使用工具按钮，开始生成密钥对。如图，我们点“Expert”，在弹出窗口中可以自定义参数设置，我们可以选择加密类型、密钥的长度、密钥的有效日期等。当然，我们如果不点“Expert”，则PGP采用默认的值，加密类型为Deffie-Hellman/DSS、密钥的长度为2048、密钥的有效日期是永远有效。如图8-6-1。

PGP8.1的使用PGP密钥在接下来的密钥生成向导中，我们需要输入用户名和E-mail地址，用户名和E-mail地址可以帮助通信对方有效地搜索公钥和确认数字签名。接下来，输入密码必不可少，这个密码一方面是我们用私钥解密时需要确认的密码，另一方面也是生成密钥的参考数据，如图8-6-2。这样，PGP就开始生成密钥对了。

图8-6-1PGP运行界面

图8-6-2输入打开加密文件的密码

PGP8.1的使用加密和解密

对文件加密时，选中要加密的文件，右击后，选“PGP”中的“Encrypt”，在弹出窗口中选择要用的密钥，双击使它加入到Recipients框中，如图8-6-3，这样就生成了一个扩展名为PGP的加密文件。

解密时，双击加密文件或右击加密文件，选择“PGP”中“Decrypt&Verify”，在密码框中输入解密密码即可。

图8-6-3选择加密的密钥

PGP8.1的使用密钥管理

我们在生成密钥对后，对于私钥，需要妥善保管，丢失私钥是非常危险的。公私的发布有两种方式，一种方式是选中密钥后点“Keys”→“Export”或点击工具按钮，在弹出对话框输入文件名，即可生成公钥的文件，然后，我们可以把此文件发给通信对方。另一种方式，是点击“Server”→“Sendto”→“DomainServer”或点击工具按钮，将公钥发送到公钥根服务器上，这样，通信对方可以通过PGP提供的搜索公钥的功能到公钥根服务器上去下载公钥，如图8-6-4，此方式便于大范围地发布公钥。

图8-6-4在公钥服务器上搜索密钥

8.7网络管理

随着网络的逐步普及和规模的日益扩大，网络必将成为我们日常生活中的一部分，我们越来越依赖于网络，对网络的安全性和稳定性有了更高的要求。如何管理和维护网络，确保网络的正常运行，更好地满足用户的需求，是网络管理需要解决的课题。

网络管理的概念

网络管理是对网络上的通信设备及传输系统进行有效的监控、诊断和测试所采用的技术和方法。网络管理系统能够帮助网络管理员对网络故障进行诊断，确定故障发生的位置和类型，提出重新配置网络系统的建议。网络管理系统同样能够监控网络的性能，将网络负载情况形成报告，提供给管理员，帮助找出网络瓶颈，为合理地修改或扩展网络提供依据，从而保证网络有更强的可用性和适应性。

网络管理的发展历史

早期的网络管理系统兼容性不好，很难对其他厂商的网络系统、通信设备和软件进行管理，因此，不能满足大量异种结构网络互联的需求，尤其是Internet的出现和发展，使得网络管理系统标准化问题显得更加突出。基于OSI的公共管理信息协议(CommonManagementInformationProtocol，CMIP)，它是支持一个完整网络管理方案的协议。CMOT(CommonManagementOverTCP/IP是对CMIP进行修改，实现基于TCP/IP协议的网络管理，它是一个过度性方案，因此应用很不普及。简单网络管理协议(SimpleNetworkManagementProtocol，SNMP)以其简单性、可伸缩性、扩展性成为目前网络管理的协议。它是在简单网关监控协议(SimpleGatewayManagementProtocol，SGMP)的基础上作了简单修改，于1998年作为一个临时的网络管理解决方案提出的。它的特点是实现网络管理简单迅速、功能强大，已成为网络管理方面事实上的标准SNMP最近几年对版本进行了多次升级，现在较新的版本是SNMPv3，在此协议基础上，网络管理的安全性、支持多体系结构和远程配置等方面得到很好的解决。网络管理的发展方向网络的复杂化和大规模造成了两个方面影响，一方面排除网络中的故障更加困难，维护的成本增长很快；另一方面是面对飞速增长的网络流量需求，我们不能无节制地扩充网络服务器和设备的性能，如何充分有效地利用现有网络资源，做到负载均衡，才是更为合理的方案。因此，未来的网络管理必须有大的发展。网络管理系统要求支持多种平台、操作系统、协议和体系结构，同时，网络管理不仅局限于网管领域，而是向系统管理、应用管理、业务管理的领域延伸，人工智能也将引入网络管理技术，力争解决网络管理功能单一、配置复杂、缺乏标准、耗资巨大等问题，未来网络管理将向综合化、智能化和标准化等方向发展。

网络管理的功能

ISO在ISO/IEC7498-4文档中定义了网络管理的五大功能，并被广泛接受。这五大功能是：故障管理

故障管理是网络管理中最基本的功能之一。用户对网络的可靠性有很高要求，当网络出现故障时，网络管理员能迅速找到故障并及时排除。(2)计费管理计费管理用来记录网络资源的使用情况，目的是控制和检测网络操作的成本，它可以估算出用户使用网络资源可能需要的费用和代价，以及已经使用的资源的费用。网络管理员还可规定用户可使用的最大费用，从而控制用户过多占用和使用网络资源，这也从另一方面提高了网络的效率。网络管理的功能配置管理配置管理是网络管理的最基本功能，它负责监控网络的配置情况，以使其提供必要的网络服务。配置管理对网络的拓扑结构、网络设备、使用配置等信息进行定义、监视和修改，从而实现某个特定功能或优化网络性能。

性能管理性能管理监测系统的运行情况，在保证有效提供网络服务的基础上，提高网络资源的使用效率。性能管理提供监视和分析网络及其所提供服务的性能管理机制，性能分析的结果是网络规划和网络改建的重要依据，如果发现当前或即将出现的网络资源不足，那么需要重新配置网络以维持网络的性能。

网络管理的功能安全管理安全管理是在通过数据加密和数字认证、数据完整性机制、访问控制机制，来对网络系统和数据进行保护。安全管理包括对授权机制、访问控制方式、加密和密钥的管理，另外还要维护和检查安全日志，有