信息安全与网络道德-课件

Intemet应用基础第五讲

信息安全与网络道德

（第二讲）

网络安全

❖网络安全概述

❖网络黑客与网络攻防

❖常见信息安全技术

♦常见信息安全应用软件

♦常见信息安全产品

♦:♦信息安全管理

社会责任与职业道德规范

网络安全概述

♦网络安全的现状

❖网络安全

❖网络安全策略

研究网络安全意义

网络安全现状

*

。信息和网络的安全防护能力差

*内部威胁和无意破坏

■系统漏洞和“后门”

网络蓄意破坏

。隐私侵犯或机密资料

&。拒绝服务

网络安全定义

(NetworkSecuritv)是一门涉

及计算机科学、网络技术、通信技术、

密码技术、信息安全技术、应用数学、

数论、信息论等多种学科的综合性科学。

从总体上，网络安全可以分成两大方面:

网络攻击技术和网络防御技术，只有全

面把握两方面的内容，才能真正掌握计

算机网络安全技术。

网络安全的攻防体系

网络安全攻击防御体系

攻击技术防御技术

网络扫描操作系统安全配置技术

网络监听加密技术

网络入侵防火墙技术

网络后门与网络隐身入侵检测技术

网络安全的实施

工具软件：Sniffer/X-Scan/防火墙软件/入侵检测软件/加密软件等等

编程语言：C/C++/Per1

网络安全物理基础

操作系统：Unix/Linux/Winclows

网络协议：TCP/IP/UDP/SMTP/POP/FTP/HTTP

攻击技术

如果不知道如何攻击，再好的防守也是经不住考验的，攻击技术

主要包括五个方面：

1、网络监听：自己不主动去攻击别人，在计算机上设置一个程序去

/监听目标计妙机后其加计算机通德番数花。

■2、网络扫描：利用程序去扫描目标计算机开放的端口等，目的是发

h现漏洞，为入侵该计算机做准备。

3、网络入侵：当探测发现对方存在漏洞以后，入侵到目标计算机获

取信息。

4、网络后门：成功入侵目标计算机后，为了对“战利品”的长期控

制，在目标计算机中种植木马等后门。

5＞网络隐身：入侵完毕退出目标计算机后，将自己入侵的痕迹清除,

从而防止被嘴鲁理察现。

防御技术

防御技术包括四大方面：

上1、操作系统的安全配置：操作系统的安全是整

■个网络安全的关键。

h2、加密技术：为了防止被监听和盗取数据，将

所有阚据进行加密。

3、防火墙技术：利用防火墙，对传输的数据进

行限制，从而防止被入侵。

4、入侵检测：如果网络防线最终被攻破了，需

要及时发出被入侵的警报。

网络安全攻防体系

为了保证网络的安全，在软件方面可以有两种选择，一种是使用

已经成熟的工具，比如抓数据包软件Sniffer,网络扫描工具

Scan等寸等寸,，另一种是自己编制程序，目前网络安全编程常用的计

算机语言为C、C++或者Perl语言。

为了使用工具和编制程序，必须熟悉两方面的知识

•一方面是两大主流的操作系统：UNIX家族和imimow系列操作系统

•另一方面是网络协议，常见的网络协议包括：

TCP（TransmissionControlProtocol,传输控制协议）

•IP（InternetProtocol,网络协议）

UDP（UserDatagramProtocol,用户数据报协议）

SMTP（SimpleMailTransferProtocol,简单邮件传输协议）

POP（PostOfficeProtocol,邮局协议）

FTP（FileTransferProtocol,文件传输协议）等等。

网络安全层次体系

从层次体系上，可以将网络安全分成四

个层次上的安全：

物理安全；

逻辑安全；

操作系统安全；

•联网安全。

物理安全

物理安全主要包括五个方面:

•防盗；

防火；

防静电；

防雷击；

•防电磁泄漏

逻辑安全

•计算机的逻辑安全需要用口令、文件许可等方

实

/•可以限制登录的次数或对试探操作加上时间限

■;制；可以用软件来保护存储在计算机文件中的

■信息；

•限制存取的另一种方式是通过硬件完成，在接

收到存取要求后，先询问并校核口令，然后访

问列于目录中的授权用户标志号。

­止匕外，有一些安全软件包也可以跟踪可疑的、

4未授权的存取企图，例如，多次登录或请求别

人的文件。

操作系统安全

•操作系统是计算机中最基本、最重要的软件。

•同一计算机可以安装几种不同的操作系统。

•如果计算机系统可提供给许多人使用，操作系统必

须能区分用户，以便于防止相互干扰。

•一些安全性较高、功能较强的操作系统可以为

计算机的每一位用户分配账户。

•通常，一个用户一个账户。操作系统不允许一

个用户修改由另一个账户产生的数据。

联网安全

■

­联网的安全性通过两方面的安全服务来

达到：

访问控制服务：用来保护计算机和联网资源

h■I不被非授权使用。

通信安全服务：用来认证数据机要性与完整

性，以及各通信的可信赖性。

网络安全需求

•数据保密性

•数据完整性

•数据可靠性

•数据可用性

•数据可审性

同信息安全

网络安全属性

♦数据保密性

什么是数据保密性

防止静态信息被非授权访问和动态信息被截取解密的特性，保密性实在可靠

性和可用性基础之上，保障网络信息安全的重要手段。

数据保密性基本类型

■静态数据保密性：数据存储保密

・动态数据保密性：网络传输保密

常用的数据保密技术

・防侦收

・防辐射

■信息加密

・物理保密

网络安全属性

。数据完整性

什么是数据完整性

是网络上信息未经授权不能进行改变的特性，信

息在网络传输或存储过程中保持不被偶然或蓄意的删除、修

改、伪造、乱序、重放、插入等破坏或丢失的特性。

保证数据完整性的主要技术与方法

■协议：有效检测出被复制、删除、修改的信息；

-纠错编码方法：检/纠错，奇偶校验码

■密码校验法：抗篡改和传输失效

■数字签名：保证信息真实性；

■公证：请求网络管理或中介机构证明信息的真实性；

网络安全属性

。数据可靠性

什么是数据可靠性

数据可靠性是指网络信息能在规定时间内完成规定

的功能的特性。

可靠性测度方法

■抗毁性：系统遇到人为破坏时的可靠性

■生存期：系统遇到随机破坏时的可靠性

■有效性：系统基于业务性能的可靠性

•可靠性主要表现

■硬/软件可靠性

■人员可靠性

-环境可靠性

网络安全属性

。数据可用性

•什么是数据可用性

可用性是指存放在主机中静态信息的可用性和可操

作性

•常用数据可用性安全技术

■身份识别与确认

■访问控制

■业务流量控制

■路由选择控制

■审计跟踪

网络安全策略

物理安全策略

访问控制策略

❖信息加密策略

❖网络服务器安全策略

❖操作系统及网络软件安全策略

❖网络安全管理策略

研究网络安全意义

•网络安全的社会意义

•网络安全与政治

•网络安全与经济

•网络安全与社会稳定

•网络安全与军事

黑客和入侵者

"(Hacker)指对于任何计算机操

作

系统奥秘都有强烈兴趣的人。“黑客”大

都

是程序员，他们具有操作系统和编程语言

方面的高级知识，知道系统中的漏洞及其

原因所在；他们不断追求更深的知识，并

公开他们的发现，与其他分享；并且从来

殳有破坏数据的企图。

黑客和入侵者

“”(Cracker)是指怀着不良企图,

闯入甚至破坏远程机器系统完整性的人。

“入侵者”利用获得的非法访问权，破坏

重

要数据，拒绝合法用户服务请求，或为了

自己的目的制造麻烦。“入侵者”很容易

L识

俪，因为他们的目的是恶意的。

被入侵的含义

“被入侵”指的是网络遭受非法闯入的情况。

一入侵者只获得访问权

-入侵者获得访问权，并毁坏、侵蚀或改变数据。

-入侵者获得访问权，并捕获系统一部分或整个系

统的控制权，拒绝拥有特权的用户的访问。

-入侵者没有获得访问权，而是用不良的程序，引

起网络持久性或暂时性的运行失败、重新启动、

挂起或者其他无法操作的状态。

黑客入侵目的

•好奇心和成就感

•当作入侵其他重要机器的跳板

•盗用系统资源

•窃取机密资料

•恶意攻击

网络风险难以消除

•开放的网络外部环境

-越来越多的基于网络的应用

-企业的业务要求网络连接的不间断性

•来自内部的安全隐患

•有限的防御措施

•错误的实现、错误的安全配置

•糟糕的管理和培训

•黑客的攻击

常见网络攻击方法

口令攻击：密码破解

密码破解方式：

•猜测法

•穷尽法

•字典法

网络监听法

如何防范黑客

＞用防火墙防止外部网络对内部网络未经授权访问

＞安全监测与扫描

＞使用有效的控制手段抓住入侵者

＞经常备份系统

＞加强安全防范意识，有效地防止黑客的攻击。

常见信息安全技术

。数据加密技术

•密码技术简介

•消息与加密

•明文密文

•鉴别、完整性和抗抵赖性

•算法和密钥

•对称算法

.•公开密钥算法

密码技术简介

♦:♦密码学的历史比较悠久，在四千年前，古埃及

人就开始使用密码来保密传递消息。

♦：.两千多年前，罗马国王JulhisCaesare（恺撒）

就开始使用目前称为“恺撒密码”的密码系统。

但是密码技术直到本20世纪40年代以后才有重

大突破和发展。

♦:♦特别是20世纪70年代后期，由于计算机、电子

通信的广泛使用，现代密码学得到了空前的发

k展。

消息和加密

。遵循国际命名标准，加密和解密可以翻译成：“Encmiier（译成

密码）""（Decipher）（解译密码）”。也可以这样命名：

Encrypt（加密）”和Decrypt（解密）”。

。消息被称为明文。用某种方法伪装消息以隐藏它的内容的过程称

为加密，加了密的消息称为密文，而把密文转变为明文的过程称

为解密，图8・1表明了加密和解密的过程。

明文密文原始明文

加密解密

明文密文

♦明文用M(Message,消息)或P(Plaintext,明文)表

示，它可能是比特流、文本文件、位图、数字化的语

音流或者数字化的视频图像等。

*密文用C(Cipher)表示，也是二进制数据，有时和M

一样大，有时稍大。通过压缩和加密的结合，C有可能

比P小些。

♦加密函数E作用于M得到密文C,用数学公式表示为：E

(M)=Co解密函数D作用于C产生M,用数据公式表示

为：D(C)=M先加密后再解密消息，原始的明文将

恢复出来，D(EO(M))=M必须成立。

鉴别、完整性和抗抵赖性

除了提供机密性外，密码学需要提供三方面的功能：鉴别、完整

性和抗抵赖性。这些功能是通过计算机进行社会交流，至关重要

的需求。

鉴别：消息的接收者应该能够确认消息的来源；入侵者不可能伪

装成他人。

。完整性：消息的接收者应该能够验证在传送过程中消息没有被修

改；入侵者不可能用假消息代替合法消息。

抗抵赖性：发送消息者事后不可能虚假地否认他发送的消息。

算法和密钥

■

♦现代密码学用密钥解决了这个问题，密钥用K表示。K

可以是很多数值里的任意值，密钥K的可能值的范围叫

做密钥空间。加密和解密运算都使用这个密钥，即运

算都依赖于密钥，并用K作为下标表示，加解密函数表

・达为：

•EK(M)=C

算法和密钥

。有些算法使用不同的加密密钥和解密密钥，也就是说加密密钥K1

与相应的解密密钥K2不同，在这种情况下，加密和解密的函数表

达式为：

•EKI(M)=C

•DK2(C)=M

。函数必须具有的特性是，DK2(EKI(M))=M

对称算法

基于密钥的算法通常有两类：对称算法和公开

密钥算法（非对称算法）。对称算法有时又叫

传统密码算法，加密密钥能够从解密密钥中推

算出来，反过来也成立。

♦:♦在大多数对称算法中，加解密的密钥是相同的。

对称算法要求发送者和接收者在安全通信之前,

协商一个密钥。对称算法的安全性依赖于密钥,

泄漏密钥就意味着任何人都能对消息进行加解

密。对称算法的加密和解密表示为：

EK(M)=C

DK(C)=M

DES对称加密技术

♦：♦DES（DataEncryptionStandard）算法，于1977年得到美国政府的

正式许可，是一种用56位密钥来加密64位数据的方法。

DES算法的入口参数有三个：Kev、Data.Mode。其中Kev为8个字

节共64位，是DE$算法的工作密钥；Data也为8个字节64位，是要

被加密或被解密的数据；Mode为DE$的工作方式有两种：加密或

解密。

♦：♦DES算法是这样工作的：如Mode为加密，则用Kev去把数据Data进

行加密，生成Data的密码形式（64位）作为DES的输出结果；如

Mode为解密，则用Kev去把密码形式的数据Data解密，还原为Data

的明码形式（64位）作为DE$的输出结果。

DES算法实现步骤

DES算法实现加密需要三个步骤：

❖第一步：变换明文。对给定的64位比特的明文X,首先通过一个置换IP表来重新排列X,从而

构造出64位比特的K。，XO=IPIX)=LORO,其中10表示X。的前32比特，R0表示X。的后32位。

•：♦第二步：按照规则迭代。规则为

Li=Ri-1

Ri=Li©f(Ri4Kil(i=1,2,3...16)

经过第一步变换已经得到10和R0的值，其中符号㊉表示的数学运算是异或，f表示一种置换,

由$盒置换构成，Ki是一些由密钥编排函数产生的比特块。

第三步：对1161n6利用HM作逆置换,励I:得到了密文V。

输出64位比特密文

公开密钥算法

♦公开密钥算法（非对称算法）的加密的密钥和解密的密钥不同，

而且解密密钥不能根据加密密钥计算出来，或者至少在可以计算

的时间内不能计算出莱。

♦之所以叫做公开密钥算法，是因为加密密钥能够公开，即陌生者

能用加密密钥加密信息，但只有用相应的解密密钥才能解密信息

加密密钥叫做公开密钥（简称公钥），解密密钥叫做私人密钥

（简称私钥）。

❖公开密钥K1加密表示为：EKI（M）=CO公开密钥和私人密钥是不

同的，用相应的私人密钥K2解密可表示为：DK2（C）=Mo

R$A算法的原理

♦:1976年，Diffie和Hellman在文章“密码学新方

向(NewDirectioninCryptography)”中首次

提出了公开密钥密码体制的思想，1977年，

RivesLShamir和Adleman三个人实现了公开密

钥密码体制，现在称为RSA公开密钥体制，它

是第一个既能用于数据加密也能用于数字签名

的算法。这种算法易于理解和操作，算法的名

字以发明者的名字命名：RonRivest,Adi

ShamirsLeonardAdlemano但的安全性一

直未能得到理论上的证明。它经历了各种攻击,

至今未被完全攻破。

R$A体制

RSA体制可以简单描述如下：

(1)、生成两个大素数II和q。

(2)、计算这两个素数的乘积眸口义叽

(3)、计算小于n并且与n互质的整数的个数，即欧拉函数

(4)、选择一个随机数b满足kbv(pui】，并且b和(pun互质，即

.J(5)、计算ab=1moil(pUi】。

(6)、保密a,ii和q,公开n和b。

■利用RSA加密时，明文以分组的方式加密：每一个分组的比特数应该小于log2n比

特。加密明文x时，利用公钥血11】来1•算c=xbmoilii就可以得到相应的密文c。解密

的时候，通过计算矽111。||11就可以恢复出明文*。

-选取的素数口和q要足够大，从而乘积n足够大，在事先不知道口和q的情况下分解n

是计算上不可行的。

常用的公钥加密算法包括：R$A密码体制、日Gamal密码体制和散列函数密码体制

(MD4,MD5等)。

常见信息安全技术

。数子签名

一种确保数据完整性和原始性的方法，主要解决：

1.否认：事后发送者不承认文件是他发送的。

2.伪造：有人自己伪造一份文件，却声称他人发送

3.冒充：冒充别人的身份在网上发送文件。

4.篡改：接收者私自篡改文件的内容。

数字签名机制具有可证实性、不可否认性、不可

伪造性和不可重用性。

什么是数字签名

在1607498・2标准中定义为：“附加在数

据单元上的一些数据，或是对数据单元所作的

密码变换，这种数据和变换允许数据单元的接

收者用以确认数据单元来源和数据单元的完整

性，并保护数据，防止被人(例如接收者)进

行伪造”。美国电子签名标准(DSS,FIPS186-

2)对数字签名作了如下解释：“利用一套规

则和一个参数对数据计算所得的结果，用此结

果能够确认签名者的身份和数据的完整性”。

按上述定义，PKI可以提供数据单元的密码变换,

并能使接收者判断数据来源及对数据进行验证。

什么是PKI

(PublicKeyInfrastructure)是一个用公钥概念

与技术来实施和提供安全服务的普遍适用的安全基础

设施。换句话说，PKI是一个利用非对称密码算法(即

公开密钥算法)原理和技术实现并提供网络安全服务

的具有通用性的安全基础设施。它遵循标准的公钥加

密技术，为电子商务、电子政务、网上银行和网上证

券业，提供一整套安全保证的基础平台。用户利用PKI

基础平台所提供的安全服务，能在网上实现安全通信。

PKI这种遵循标准的密钥管理平台，能够为所有网上应

用，透明地提供加解密和数字签名等安全服务所需要

I的密钥和证书管理。

认证机构CA

♦：♦认证机构是PKI的核心执行机构和主要组成部分，一般简称为CA,在业界

通常把它称为认证中心。它是一种具有权威性、可信任性和公正性的第

三方机构。认证机构CA的建设要根据国家市场准入政策由国家主管部门

批准，具有权威性；CA机构本身的建设应具备条件、采用的密码算法及

技术保障是高度安全的，具有可信任性；CA是不参与交易双方利益的第

三方机构，具有公正性。CA认证机构在《电子签名法》中被称做“电子

认证服务提供者”。

。CA的组成主要有证书签发服务器，负责证书的签发和管理，包括证书归

档、撤消和更新等等；密钥管理中心，用硬件加密机产生公/私密钥对，

CA私钥不出卡，提供CA证书的签发；目录服务器负责证书和证书撤消列

表（CRL）的发布和查询。

数字证书

简称证书，是PKI的核心元素，由认证机构服务者签发，它

是数字签名的技术基础保障;符合儿309标准，是网上实体身份的

证明，证明某一实体的身份以及其公钥的合法性及该实体与公钥

二者之间的匹配关系。证书是公钥的载体，证书上的公钥惟一与

实体身份相绑定。现行的PKI机制一般为双证书机制，即一个实体

应具有两个证书，两个密钥对，一个是加密证书，一个是签名证

书，加密证书原则上是不能用于签名的。

证书格式版本3

证书序列号63457873

CA签名算法标识ShalRSA

签发CA名称o=cfca,c=CN

证书有效期2004-1-1**2005-1-1

证书持有者名称cn=******o=cfcac=CN

证书公留_________________a058.cf31.3bc3

证书扩展域keyusage=digital

CA对证书的签名ca58.b2c3.1bc6

图2

常见信息安全技术

。防火墙技术

・什么是防火墙

・防火墙原理

•防火墙能做什么

•防火墙种类

什么是防火墙

是指设置在不同网络（如可信任的企业内

部网和不可信的公共网）或网络安全域之间的一系列

部件的组合。它是不同网络或网络安全域之间信息的

唯一出入口，能根据企业的安全政策控制（允许、拒

绝、监测）出入网络的信息流，且本身具有较强的抗

攻击能力。它是提供信息安全服务，实现网络和信息

安全的基础设施。

在逻辑上，防火墙是一个分离器，一个限制器，

也是一个分析器，有效地监控了内部网和Internet之间

的任何活动，保证了内部网络的安全。

防火墙原理

InternalNetwork

□

防火墙能做什么

♦:♦防火墙是网络安全的屏障

防火墙可以强化网络安全策略

对网络存取和访问进行监控审计

♦防止内部信息的外泄

防火墙种类

♦分组过滤(Packetfiltering)：作用在网络层和传输层，它根据分

组包头源地址，目的地址和端口号、协议类型等标志确定是否允许数据

包通过。只有满足过滤逻辑的数据包才被转发到相应的目的地出口端，

其余数据包则被从数据流中丢弃。

应用代理(ApplicationProxy)：也叫应用网关(Application

Gateway),它作用在应用层，其特点是完全〃阻隔〃了网络通信流,

通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信

流的作用。实际中的应用网关通常由专用工作站实现。

常见信息安全技术

访问控制技术

访问控制可以防止未经授权的用户非法使用系统资源，这种服

务不仅可以提供给单个用户，也可以提供给用户组的所有用户。

访问控制是通过对访问者的有关信息进行检查来限制或禁止访

问者使用资源的技术，分为高层访问控制和低层访问控制。

高层访问控制包括身份检查和权限确认，是通过对用户口令、

用户权限、资源属性的检查和对比来实现的。

低层访问控制是通过对通信协议中的某些特征信息的识别、判

断，来禁止或允许用户访问的措施。如在路由器上设置过滤规则进

行数据包过滤，就属于低层访问控制。

常见信息安全技术

❖入侵检测技术

为探测整个IT基础设施中的滥用和各

种攻击提供了一个集成的解决方案。通过

把网络上探测到的事件同主机、防火墙和

应用系统上探测到的事件结合起来，为大

企业和小企业都提供了完整的网络安全解

决。

常见信息安全技术

。身份验证

存取控制

安全协议

信息安全应用软件

♦：♦网络加密通用系统PGP

♦：♦安全邮件标准PEM

PGP加密

♦：♦PGP(PrettyGoodPrivacy)加密技术是一个基于RSA公钥加密体系

的邮件加密软件，提出了公共钥匙或不对称文件的加密技术。

❖PGP加密技术的创始人是美国的PhilZimmemiaiiii。他的创造性把把RSA公

钥体系和传统加密体系的结合起来，并且在数字签名和密钥认证管理机

制上有巧妙的设计，因此PGP成为目前几乎最流行的公钥加密软件包。

。由于R$A算法计算量极大，在速度上不适合加密大量数据，所以PGP实际

上用来加密的不是RSA本身，而是采用传统加密算法IDEA,IDEA加解密的

速度比RSA快得多。PGP随机生成一个密钥，用IDEA算法对明文加密，然

后用RSA算法对密钥加密。收件人同样是用RSA解出随机密钥，再用IEDA

解出原文。这样的链式加密既有RSA算法的保密性(Privacy)和认证性

(Authentication),又保持了IDEA算法速度快的优势。

"AN

W«lc)

W・kom«la2fdPaOd・W・，or^

tzarm^nd"uttvc*t*«MMiWkMow*cwaguMn*b*tc«*