【正文】 網(wǎng)絡(luò)安全協(xié)議理論與技術(shù) ? 主要回顧網(wǎng)絡(luò)安全相關(guān)知識，了解計算機系統(tǒng)所面臨的安全問題，理解網(wǎng)絡(luò)安全體系結(jié)構(gòu)及網(wǎng)絡(luò)安全協(xié)議體系的基本內(nèi)容。 ? 網(wǎng)絡(luò)基礎(chǔ)知識 ? 網(wǎng)絡(luò)協(xié)議 (重點 ) ? 網(wǎng)絡(luò)的發(fā)展 ? 網(wǎng)絡(luò)安全的概念及其重要性 (重點 ) ? 關(guān)于安全的權(quán)衡 定義 網(wǎng)絡(luò)是由兩臺以上計算機連在一起組成的 “計算機群 ”，再加上相應(yīng) “通信設(shè)備 ”組成的綜合系統(tǒng)。網(wǎng)絡(luò)帶來的好處主要體現(xiàn)在資源共享、信息交換與及時傳遞兩個方面。 ? 網(wǎng)絡(luò)帶來的好處：資源共享 (包括打印機、硬盤、光盤、繪圖儀、掃描儀、應(yīng)用軟件、資料 )；信息交換和信息的集中與分散處理；提高可靠性、分擔負荷和實現(xiàn)實時管理。 網(wǎng)絡(luò)的分類 ? 一種分類法： ? 信息 (message)：文字、數(shù)值、圖形、聲音、圖像等 ? 發(fā)送設(shè)備：又稱 “主機 ”(host)——各種信息處理設(shè)備 (計算機等 ) ? 接收設(shè)備：同上 ? 通信設(shè)備：負責主機間的通信控制和通信處理 ? 傳輸媒介：各種電纜、光纜、無線電波等 ? 通信協(xié)議：通信規(guī)則 (無協(xié)議的兩臺設(shè)備可以連接但無法通信，如同講不同語言的兩人無法對講 ) 另一種分類法： ? 資源子網(wǎng) ?硬件資源 (主機、終端、 I/O設(shè)備等 )、軟件資源、數(shù)據(jù)資源等，負責全網(wǎng)數(shù)據(jù)處理業(yè)務(wù)，向網(wǎng)絡(luò)用戶提供各種網(wǎng)絡(luò)資源和網(wǎng)絡(luò)服務(wù)； ? 通信子網(wǎng) ?傳輸介質(zhì) (電纜、光纖、無線電波等 )、通信設(shè)備 (交換機等 )，承擔全網(wǎng)的數(shù)據(jù)傳輸、轉(zhuǎn)接、加工和變換等通信處理工作。 ? 按網(wǎng)絡(luò)的規(guī)模和地理位置，網(wǎng)絡(luò)可分為： ?局域網(wǎng) (Local Area Network， LAN) ?介于局域網(wǎng)和廣域網(wǎng)之間的網(wǎng)絡(luò) (又稱?區(qū)域網(wǎng)? ) ? 企業(yè)內(nèi)部網(wǎng) (Intra) ? 園區(qū)網(wǎng) /校園網(wǎng) (Campus works) ? 城域網(wǎng) (Metropolitan Area Network， MAN) ?廣域網(wǎng) (Wide Area Network， WAN) ? 按照拓撲結(jié)構(gòu)，網(wǎng)絡(luò)可以分為：總線型、星型、環(huán)形 ? 按傳輸介質(zhì)，網(wǎng)絡(luò)可以分為： ?有線網(wǎng) ?光纖網(wǎng) ?無線網(wǎng) ? 重要性 在網(wǎng)絡(luò)中，除了網(wǎng)絡(luò)操作系統(tǒng)外，最重要的就是各種各樣的網(wǎng)絡(luò)協(xié)議。 ? 作用 通訊協(xié)議是網(wǎng)絡(luò)社會中信息在網(wǎng)絡(luò)的計算機之間、網(wǎng)絡(luò)設(shè)備之間及其相互之間 通行 的交通規(guī)則。 ? 基本功能 保證網(wǎng)絡(luò)上信息能暢通無阻、準確無誤地被傳輸?shù)侥康牡亍? ? 協(xié)議組成 語義、語法和時序三部分；語義規(guī)定通信雙方彼此?講什么? (含義 )，語法規(guī)定?如何講? (格式 )，時序關(guān)系則規(guī)定了信息交流的次序 (順序 )。 ? 各種各樣的協(xié)議 理論上，只要有一套協(xié)議即可，但由于網(wǎng)絡(luò)技術(shù)在不斷發(fā)展，應(yīng)用領(lǐng)域在不斷拓寬，加上歷史的原因，所以目前尚無一套統(tǒng)一可用的網(wǎng)絡(luò)協(xié)議。 ? 【 例 1】 如果讓一名成都老嫗與北京科學家進行如下的 “通信 ”： 成都老嫗 北京科學 家 結(jié)果 用 網(wǎng)絡(luò)術(shù)語表達 談?wù)搩?nèi)容 成都城內(nèi)菜 價 網(wǎng)絡(luò)技術(shù) “不可理喻 ” 認識 層 “協(xié)議 ”不兼容 所用語言 成都方言 英語 “不知所云 ” 語言 層 “協(xié)議 ”不兼容 通信 方式 電話 電腦 無法 聯(lián)通 傳輸 層 “協(xié)議 ”不兼容 ? 【 例 2】 如果讓一名成都老嫗與北京的成都藉科學家進行如下的 “通信 ”： 成都老嫗 成都籍科學家 結(jié)果 用 網(wǎng)絡(luò)術(shù)語表達結(jié)果 談?wù)搩?nèi)容 成都城市變化 家鄉(xiāng)情況 √ 認識 層 “協(xié)議 ”兼容 所用語言 成都方言 成都方言 √ 語言 層 “協(xié)議 ”兼容 通信方式 電話 電話 √ 傳輸 層 “協(xié)議 ”兼容 應(yīng)用層 網(wǎng)絡(luò)的用戶接口 (如上網(wǎng)軟件等 ) 表示層 不同系統(tǒng)數(shù)據(jù)格式轉(zhuǎn)換 (如加解密 ) 會話層 進程 (執(zhí)行中的程序 )間會話管理與會話同步 (“ 會話 ” 即用戶間連接 ) 傳輸層 報文的正確傳輸 (報文的生成 、 收發(fā) 、 組合與差錯檢查 ) 網(wǎng)絡(luò)層 路由選擇和流量控制 (選擇 LAN間傳輸路徑 ) 數(shù)據(jù)鏈路層 幀的正確傳輸 (幀的生成 、 收發(fā)與差錯檢查 ) 物理層 數(shù)據(jù)比特流 (0、 1)的正確傳輸 (比特流的生成 、 收發(fā)與差錯檢查 ) 應(yīng)用層 應(yīng)用層 (HTTP、 FTP、 TELNET等 ) 表示層 會話層 傳輸層 傳輸層 網(wǎng)絡(luò)層 網(wǎng)絡(luò)層 數(shù)據(jù)鏈路層 網(wǎng)絡(luò)接口層 物理層 OSI七層模型 TCP/IP ? 封裝是指信息通過各層向下傳遞時，每層的軟件負責加上它的報頭 (header)或報尾 (Trailer)信息 (每層都要封裝從高層來的信息 )。 ? 發(fā)展歷程：大致可以分為具有通信功能的單機系統(tǒng)、具有通信功能的多機系統(tǒng)、網(wǎng)絡(luò)三個階段。 ? 自上世紀 80年代末以來，網(wǎng)絡(luò)技術(shù)進入新的發(fā)展階段： ? modem?綜合業(yè)務(wù)數(shù)據(jù)網(wǎng)絡(luò) (ISDN) ?DDN?Inter?光纖通信網(wǎng)絡(luò) ?多媒體網(wǎng)絡(luò) ?人工智能網(wǎng)絡(luò)。 ? 應(yīng)用發(fā)展 ?資源共享 ?信息傳輸與集中處理 ?均衡負荷與分布處理 ?綜合信息服務(wù) ? 計算機信息系統(tǒng)發(fā)展：單機 ?局域網(wǎng) ?廣域網(wǎng) ? 提供服務(wù)：遠程登錄、電子郵件、數(shù)據(jù)交換、聯(lián)機會議 ? 網(wǎng)絡(luò)安全的含義 ?從用戶 (個人、企業(yè)等 )的角度 ?從網(wǎng)絡(luò)運行和管理者角度 ?對安全保密部門 ?來說 ?從社會教育和意識形態(tài)角度來講 ? 從本質(zhì)上來講，網(wǎng)絡(luò)安全就是網(wǎng)絡(luò)上信息的安全，是指網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運行，網(wǎng)絡(luò)服務(wù)不中斷。廣義來說，凡是涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真實性和可控性的相關(guān)技術(shù)和理論都是網(wǎng)絡(luò)安全所要研究的領(lǐng)域。 ? 不同環(huán)境和應(yīng)用中的網(wǎng)絡(luò)安全 ?網(wǎng)絡(luò)系統(tǒng)信息的安全 ?網(wǎng)絡(luò)信息傳播安全 ?網(wǎng)絡(luò)信息內(nèi)容的安全 ? 1996年初，據(jù)美國舊金山的計算機安全協(xié)會與聯(lián)邦調(diào)查局的一次聯(lián)合調(diào)查統(tǒng)計，有 53％的企業(yè)受到過計算機病毒的侵害， 42％的企業(yè)的計算機系統(tǒng)在過去的 12個月被非法使用過。而五角大樓的一個研究小組稱美國一年中遭受的攻擊就達 25萬次之多。 ? 根據(jù)美國 FBI的調(diào)查，美國每年因為網(wǎng)絡(luò)安全造成的經(jīng)濟損失超過 1,70億美元。 75%的公司報告財政損失是由于計算機系統(tǒng)的安全問題造成的。超過 50%的安全威脅來自內(nèi)部；只有 17%的公司愿意報告黑客入侵，其他的由于擔心負面影響而未聲張。 59%的損失可以定量估算。平均每個組織損失 USD$402,000。 ? 據(jù)公安部的資料， 1998年中國共破獲電腦黑客案件近百起，利用計算機網(wǎng)絡(luò)進行的各類違法行為在中國以每年 30％的速度遞增。黑客的攻擊方法已超過計算機病毒的種類，總數(shù)達近千種。 ? 黑客的威脅見諸報道的已經(jīng)屢見不鮮，內(nèi)部工作人員的不小心甚至充當間諜。由于內(nèi)部工作人員能較多地接觸內(nèi)部信息，工作中的任何不小心都可能給信息安全帶來危險。 安全，就是確保不發(fā)生有危害的事情。但實際上，對于安全的含義，有非常復(fù)雜的解釋，對它們進行剖析有助于理解安全的真正含義。通常情況下，某些經(jīng)驗的方法比較適用于安全這個概念。 ? 首先，安全總是和效率有關(guān)。 ? 其次，安全與危險是共存的。 ? 第三，必須從整個系統(tǒng)的角度去考慮安全問題。 ? 第四，實施安全的措施必須簡單。 ? 第五，安全的實現(xiàn)必須注意性能價格比。 ? 最后一點也是很重要的一點，就是安全措施必須盡可能簡單。 ? Inter的協(xié)議 ? Inter的安全 ? 網(wǎng)絡(luò)的基本構(gòu)成及相互之間的聯(lián)系。 ? 網(wǎng)絡(luò)在不同標準下的分類。 ? 網(wǎng)絡(luò)的發(fā)展。 ? 論述并分析造成網(wǎng)絡(luò)不安全的主要原因。 ? 網(wǎng)絡(luò)安全的基本內(nèi)容。 ? 試述網(wǎng)絡(luò)安全的重要性。 ? 密碼學與協(xié)議攻擊之間的聯(lián)系 ? 計算機系統(tǒng)所面臨的安全問題 ? 網(wǎng)絡(luò)協(xié)議 ? 網(wǎng)絡(luò)安全的概念及其重要性 主要回顧 Inter協(xié)議相關(guān)知識，了解 Inter中與安全密切相關(guān)的協(xié)議，理解網(wǎng)絡(luò)層安全協(xié)議IPSec的基本內(nèi)容。 ? Inter協(xié)議基礎(chǔ) ? Inter中與安全相關(guān)的協(xié)議 (重點 ) ? IPSec (重點 ) 所有網(wǎng)絡(luò)協(xié)議體系均包括下述基本組件： ? 協(xié)議堆棧 ——由相互間通信、高效率傳輸數(shù)據(jù)包的各層構(gòu)成。 ? 定址系統(tǒng) ——提供獨一無二標識一個目的地 (目標主機 )的能力。為了實現(xiàn)大范圍內(nèi)的通信，有必要將通信實體唯一地標識出來。 ? 路由 (選擇 )——決定一個特定數(shù)據(jù)包的傳送路徑，令其最終抵達目的地，這就是所謂的 “路由選擇 (Routing)”： ? nter的基石是 TCP/IP協(xié)議，該協(xié)議在實現(xiàn)上力求簡單高效。 ? TCP/IP協(xié)議堆棧由 4個層構(gòu)成。堆棧中的每個層都有明確定義的功能及用途。每一層都能導(dǎo)出經(jīng)準確定義的接口，在它上面或下面的層可通過該接口與之通信。這種分層結(jié)構(gòu)具有多方面的優(yōu)點。除了能簡化協(xié)議堆棧的設(shè)計之外，還能簡化它的使用。 從發(fā)送源到接受目的地的數(shù)據(jù)流 ? 在傳送層， TCP/IP協(xié)議套件實現(xiàn)了兩種協(xié)議 —傳輸控制協(xié)議 (TCP)以及用戶數(shù)據(jù)報協(xié)議 (UDP)。 ? TCP是一種 “面向連接 ”的協(xié)議，可確保數(shù)據(jù)包的發(fā)送順序，以及保證它們的正確投遞。其內(nèi)建的機制可向應(yīng)用層提供這些服務(wù)。除此以外， TCP也實現(xiàn)了像 “流控制 ”這樣的機制，可確保目標主機不至于受到大量數(shù)據(jù)包的 “狂轟濫炸 ”。 ? UDP則是一種?無連接?的協(xié)議，既不能擔保數(shù)據(jù)包投遞的順序，也不支持流控制。至于到底選用 TCP還是 UDP，則完全由應(yīng)用 (程序 )決定。 ? IPV4 ? IPV6 ? 域名系統(tǒng) ? Pv4(互聯(lián)網(wǎng)協(xié)議第 4版 )是當今最流行的一種網(wǎng)絡(luò)層協(xié)議。它采用一種簡單的定址方案，并提供了 “無連接 ”服務(wù)。 IPv4是一種頗為成熟的路由框架。 ? IP地址由兩部分構(gòu)成 —一個網(wǎng)絡(luò) ID以及一個主機 ID。其中，網(wǎng)絡(luò) ID從邏輯意義上將一系列 IP地址組合到一起。之所以要進行這樣的分組，是為了便于提供有效的路由選擇以及其他服務(wù)，比如 IP廣播等等。 0 8 16 1931 版本 頭長度 服務(wù)類型 總長 標識 標志 分段偏移 存活時間 協(xié)議 頭校驗和 源地址 目的地址 IP選項 (有的話 ) ? IPv4將地址空間限制在了 32位以內(nèi)。為避免地址資源全面用完的尷尬局面， IETF早就開始了下一版 IP協(xié)議的研究，名為 IPv6。 IPv6的一個主要優(yōu)點是將地址空間從 32位提升到了 128位 (16個字節(jié) )。 ? 不再為通過路由器的數(shù)據(jù)包提供分段支持?，F(xiàn)在要由端主機自己來執(zhí)行 PMTU。 ? 支持更豐富的選項。各選項現(xiàn)在以獨立的頭的形式存在，而不是成為 IP頭的一部分，顯得更加靈活。我們稱之為 “頭鏈接 ”。在這種情況下， IP擴展頭 (選項 )要插入 IP頭與傳送層頭之間。 0 4 31 版本 通信類別 流標簽 載荷長度 下一個頭 跳躍限制 源地址 目的地址 ? 域名系統(tǒng) (DNS)是 Inter中一種簡單和易于擴展的目錄系統(tǒng)。 ? 它最重要的功用是將采用 機器名稱翻譯成數(shù)字形式的 IP地址。 ? 對普通人來說，顯然不可能記住大量地址，特別是當?shù)刂窙]有語義上的關(guān)聯(lián)時。此外， IP地址大多是動態(tài)分配的，IP地址的記憶通常是件沒有意義的事情。但在另一方面，網(wǎng)絡(luò)層能夠識別和處理的只能是這種形式的地址。因此，有必要設(shè)置一個易于伸縮的系統(tǒng)，將一個名字動態(tài)地翻譯成 IP地址。 ? 分段 ? 所謂 “分段 (Fragmentation)”，是指在源主機或者路由器處，將一個 IP包分割為多個 IP包的一種過程。經(jīng)過分段后，每個包都單獨傳送，并在目的地 (目標主機 )處重新裝配。 ? 網(wǎng)絡(luò)層數(shù)據(jù)包亦有可能在路由器處進行分段處理，因為兩個物理層之間可能出現(xiàn)數(shù)據(jù)包允許的最大長度不相符的情況。 Inter的基石是 TCP/IP協(xié)議，該協(xié)議在實現(xiàn)上力求簡單高效，沒有考慮安全因素。所以 TCP/IP本身在設(shè)計上就是不安全的。 ? 容易被竊聽和欺騙 ? 脆弱的 TCP/IP服務(wù) ? 缺乏安全策略 ? 配置的復(fù)雜性 ? 實施安全保護的層次 決定到底在堆棧的什么地方應(yīng)用安全措施時，要依賴于應(yīng)用 (程序 )對安全保密的要求，以及用戶自己的一些需要。但無論在堆棧的什么地方采取安全措施，下面這些基本服務(wù)都是必須要提