信息安全引言

27五月2023信息安全引言目录信息安全问题 ↓信息安全要素 ↓信息安全模型 ↓从算法到协议 ↓从原理到标准 ↓技术管理并重 ↓从窃听与反窃听开始窃听和这些方面有关系国家情报公共安全商业机密个人隐私互联网上的窃听实验环境准备PCWindows/Linux虚拟机软件VMWare/VirtualPC/VirtualBoxNetworkLAN/InternetToolsSniffer/ssh/X-winDEV/IDEVisualStudio2003/5/8/Eclipse/JDK

PDUFormatFrom/To: MAC,IP,OSICTL: type,length,PRI,ACK, window,…Data: PaddingCHK: CRC，checksum

FromToCTLDataCHK协议调用关系

Protocol

Tree以太网的安全问题PacketcaptureEthernetfromHubtoSwitchARP

邮件安全邮件收发涉及两个协议发送使用SMTP可以不需口令收看使用POP3，通常明文方式传口令Web方式的邮件收发通过HTTP和SMTP假冒e-mail使用Telnet发送假冒邮件需要一个open-relay的SMTP假冒邮件效果Phishing以窃取帐号/口令为目的步骤设立假冒网站/域名/网页，以及其他欺骗形式通过邮件/病毒/木马等方式诱骗骗取输入反钓鱼Phishing/

Windows输入法漏洞（登录窗口被挡在后面了）

UnicodeHoleWin2kIIS5(beforeanypatch)利用该漏洞的request/responseWin98的共享目录口令漏洞Google(“vredir.vxd”)MS08-067利用BoF

main(){ charpasswd[8]={"2e4rfe"}; charyourpasswd[8]={""};again: puts("pleaseinputpasswd?"); gets(yourpasswd); if(strcmp(yourpasswd,passwd)=

=0) gotook; puts("passwderror"); gotoagain; exit(-2);ok: puts("correct!"); //doworkyouwant return0;}程序的设计功能：输入正确的口令后做某项工作(否则重复要求输入口令)演示：输入精心计划好的字串打乱设计期望的执行逻辑，从而绕过某些口令

Haha!密码学和版权保护XPActivationECC序列号/钥匙盘/卡流程控制和加密数字水印Cracktipsif(!isvalid(sn)) callisvalid E8???? abort(); cmpax,0 3D0000 goon(); jnz goon 75?? callabort E8???? goon:改75为7474/75实例NetSuper21>fc/bNetSuper.exeNetSuper破解版.exe 正在比较文件NetSuper.exe和NETSUPER破解版.EXE 00003503:7475 000038E8:7475 00007C12:7574 0000AF72:7475 0000AF89:7475NetSuper21>信息安全的层次和方面物理安全层运行安全层数据安全层信息内容的安全问题被文化、宣传界所关注信息对抗的问题被电子对抗研究领域所关注CIATriad机密性、完整性、可用性（Confidentiality,Integrity,Availability）ParkerianHexad机密性、完整性、可用性 可控性、真实性、实用性（Possession/Control,Authenticity,Utility）ParkerianHexadCPIAuAvU信息安全的层次框架体系层次层面作用点安全属性信息对抗信息熵对抗信息利用机密性、完整性、特殊性信息安全内容安全攻击信息机密性、真实性、可控性、可用性、完整性、可靠性数据安全保护信息机密性、真实性、实用性、完整性、唯一性、不可否认性、生存性系统安全运行安全软件真实性、可控性、可用性、合法性、唯一性、可追溯性、占有性、生存性、稳定性、可靠性物理安全硬件机密性、可用性、完整性、生存性、稳定性、可靠性信息安全四要素

机密性（Cf）真实性（Au） 可控性（Ct）可用性（Av）信息安全层次与属性机密性真实性可控性可用性物理安全√√√运行安全√√√数据安全√√√内容安全√√√√信息对抗√√网络传输安全模型

主机访问安全模型

密码学：密码算法对称加密算法：DES、AES、RC4非对称(公钥)加密算法：RSA、ElGamal认证算法：MAC/HMAC签名算法：RSA、DSA、ECDSA散列算法：MD5/SH1/SHA2随机数产生算法数学问题：密码问题IF和DLP从算法到协议密钥协商协议：DHetc实体鉴别对称加密和认证消息安全应用层数据传输协议：SSL非否认零知识证明电子货币/电子现金//电子投票安全多方计算从原理到标准FIPSRFCPKCSIPSecSSLPGP/SMIMERADIUS/DiameterKerberosPKI/X509安全标准化组织ISONISTISOC/IETF（RFC）ISF（InformationSecurityForum）IBM/MS/RSA/Entrust/certicom