【正文】 第 1 頁 共 32 頁 引言 Inter是世界上最大的國際計(jì)算機(jī)互聯(lián)網(wǎng)絡(luò)，與此同時(shí)，它也是擁有技術(shù)專長的個(gè)別人嚴(yán)重肇事的目標(biāo)。各類入侵者，包括雇員、“黑客”、恐怖組織、以政治和軍事情報(bào)為目標(biāo)的外國政府、從事工業(yè)間諜活動(dòng)的國內(nèi)外企業(yè)等，給計(jì)算機(jī)和電信系統(tǒng)造成極大 威脅 。他們千方百計(jì)地“闖入”技術(shù)網(wǎng)絡(luò)系統(tǒng)，竊取各種情報(bào)，刺探個(gè)人隱私，用以進(jìn)行各種詐騙活動(dòng)。 每當(dāng)開通一個(gè)新 Inter出入口、 LAN或分布式用戶服務(wù)器系統(tǒng)時(shí)，便冒著為入侵者打開一道方便之門的危險(xiǎn)。計(jì)算機(jī)竊密己成為當(dāng)今世界高技術(shù)犯罪的主要形式。據(jù)美國信息周 刊 /Ernstamp。 Young信息安全調(diào)查公司的最新統(tǒng)計(jì)，在 199，年，美國每五個(gè)公司中就有一個(gè)遭到入侵，使有關(guān)方面蒙受無法估量的損失。美國新聞界把數(shù)據(jù)失竊戲謔地稱為“數(shù)字珍珠港”或“數(shù)字切爾諾貝利”。聯(lián)邦司法部門的官員估計(jì)，每年美國的聯(lián)機(jī)竊賊從計(jì)算機(jī)網(wǎng)絡(luò)盜竊數(shù)據(jù)的價(jià)值在一百億美元以上。 最大 限 度 地減少網(wǎng)絡(luò)攻擊的頻次和影響并非不可能，但也并非易事。在行為上，保護(hù)數(shù)據(jù)的決心離不開安全管理部門的安全認(rèn)可和有力支持 :在技術(shù)上，必須滿足若干通信安全目標(biāo)，主要包括 : (1) 必須防止非法泄漏發(fā)送的信息 。 (2) 必須檢測(cè)得 出對(duì)發(fā)送信息的非法竄改或銷毀 。 (3) 必須防止所有的業(yè)務(wù)量分析攻擊 。 (4) 必須檢測(cè)得出所有的服務(wù)抵賴攻擊和假關(guān)聯(lián)初始化攻擊 (Spurious association initiation attack). 滿足前三個(gè)目標(biāo)唯一有效的辦法是加密。事實(shí)上，數(shù)據(jù)加密是所有通信安全依賴的基本技術(shù)。 第 2 頁 共 32 頁 第一章 信息網(wǎng)的安全問題 一 、網(wǎng)絡(luò)的安全威脅 . ： 閑游用戶的好奇闖入 :由于好奇心理的驅(qū)使，閑游用 戶可能有意無意地闖入 了系統(tǒng)的內(nèi)部網(wǎng)絡(luò)，他們可能通過有關(guān)渠道得到了內(nèi)部網(wǎng)絡(luò)合法用戶的 帳號(hào) 及密碼，也可能是由于網(wǎng)關(guān)的配置不合理讓他們無意中闖 入 內(nèi)部的網(wǎng)絡(luò) .在他們獲得了訪問之后，他們可能會(huì)在內(nèi)部網(wǎng)絡(luò)的各目錄中到處亂闖，以尋找感興趣的文件或信息，而威脅合法用戶的正常運(yùn)行及數(shù)據(jù)資源的安全和網(wǎng)絡(luò)系統(tǒng)的安全 .他們可能有意無意地修改了關(guān)鍵的系統(tǒng)文件、刪除了關(guān)鍵的信息數(shù)據(jù)，引起了數(shù)據(jù)的丟失，修改了某些數(shù)據(jù)的內(nèi)容等 . 信息間諜的惡意闖入 :信息間諜常常受雇于某一機(jī)構(gòu)，專門從事信息的竊取工作，具有 高超 的網(wǎng)絡(luò)技能，他們通過不正當(dāng)?shù)氖?段進(jìn)人你的企業(yè)內(nèi)部網(wǎng) .他們可能對(duì)你的企業(yè)網(wǎng)懷有極大的興趣，或是專門來毀壞你的企業(yè)信息網(wǎng)，使你的信息網(wǎng)處于癱瘓，從而為競(jìng)爭(zhēng)者燕得獲勝的機(jī)會(huì) .這些人可能通過 入 侵你網(wǎng)絡(luò)上的一臺(tái)計(jì)算機(jī)或使用信息包取樣器來訪問你公司的信息、通過信息包取樣器可以捕促任何經(jīng)由 Tel發(fā)送的數(shù)據(jù)，并通過捕 捉 Tel。會(huì)話竊聽合法用戶 ID和口令 .而獲得對(duì)你的網(wǎng)絡(luò)的訪問 . 懷有 惡 意 用戶的闖入 :這些用戶可能對(duì)你的單位心懷妒嫉或者他們對(duì)你的企業(yè)懷有存心報(bào)復(fù)的心理，通過不正當(dāng)?shù)耐緩疥J 入 企業(yè)的內(nèi)部網(wǎng)絡(luò) .并惡意地刪除有價(jià)值的數(shù)據(jù)文件及系統(tǒng) 文件，使數(shù)據(jù)徹底丟失或系統(tǒng)處于癱瘓，等你覺察的時(shí)候，己為時(shí)過晚 .只有重新從備份系統(tǒng)和數(shù)據(jù)中加以恢復(fù) .無意 用 戶 的惡意破壞 :這類用戶可能正在運(yùn)行自己不適當(dāng)配置的應(yīng)用程序或服務(wù)器及自編的程序，在無意中給你的網(wǎng)絡(luò)造成了威脅 .如 1987年美國康奈爾大學(xué) (Cornell University)學(xué)生 Robert T. Morris編制的蠕蟲程序 (Inter worm), Morris的企圖是創(chuàng)建一個(gè)能默默地在 Inter上復(fù)制它自己的程序，以便論證計(jì)算機(jī)安全措施不當(dāng) .不過他的蠕蟲程序復(fù)制得比他計(jì)劃的要迅速 得多，并使得所有蠕蟲程序感染的系統(tǒng)處于崩潰及凍結(jié)，使得整個(gè)美國的管理員致力于隔離該程序，以使它停止擴(kuò)散 ： 內(nèi)部 用 戶 有意的安全威脅 : 內(nèi)部的安全威脅最難防備或控制，由于這種威脅來自網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)的合法用戶 .他們可能對(duì)內(nèi)部網(wǎng)絡(luò)中其他用戶組中的數(shù)據(jù)感興趣或是想竊取其他用戶組中有價(jià)值的數(shù)據(jù) .如大學(xué)網(wǎng)絡(luò)內(nèi)的學(xué)生和教員常分享用戶的 ID和 0令，某些學(xué)生登錄上網(wǎng)后，喜歡破壞別人建立的數(shù)據(jù)，有的學(xué)生企圖訪問管理系統(tǒng)以改動(dòng)他們的成績(jī)記錄 . 無意用戶的安全威脅 :除了內(nèi)部用戶有意偷竊數(shù)據(jù)和對(duì)數(shù)據(jù) 破壞外，另一類內(nèi)部安全威脅來自用戶的使用缺乏安全意識(shí)，他們可能在不安全的通道中傳送公司的機(jī)密信息，或把不適合企業(yè)安全的低息數(shù)據(jù)存放到 Inter的 Web或 FTP服務(wù)器上，或者他們無意將公司的用戶帳號(hào)及密碼泄漏給了外部企業(yè)的用戶，而給內(nèi)第 3 頁 共 32 頁 部網(wǎng)絡(luò)的安全構(gòu)成了威脅 . 二 、信息網(wǎng)絡(luò)的安全性 計(jì)算 機(jī) 網(wǎng) 絡(luò)的信息安全常常由數(shù)據(jù)安全性和通信安全性兩部分組成 .通信安全性是一種設(shè)施保護(hù)，要求在電信中采用保密安全性、傳輸安全性、輻射安全性等措施，并且要求對(duì)于通信安全性信息米用物理 安 全性措施，以拒絕非授權(quán)用戶在電信中獲取有 價(jià)值的信息 .數(shù)據(jù)安全包括信息數(shù)據(jù)的完整性保密性和可用性 .數(shù)據(jù)的保密性指高級(jí)別信息僅在授權(quán)情況下流向低級(jí)別的客體與主體 。數(shù)據(jù)的安全性指信息不會(huì)被非授權(quán)用戶修改及信息保持一致性等 。數(shù)據(jù)的可用性指合法用戶的正常請(qǐng)求能及時(shí)、正確，安全地得到服務(wù)或回應(yīng) .網(wǎng)絡(luò)系統(tǒng)的安全受到影響后常常會(huì)導(dǎo)致網(wǎng)絡(luò)系統(tǒng)無法提供正常的服務(wù)，或者是網(wǎng)絡(luò)信息資源被更改甚至銷毀，或者是信息的泄密等 . 網(wǎng)絡(luò) 的 安 全系統(tǒng)是指使用硬件及軟件等安全措施形成多個(gè)保護(hù)層，以保護(hù)它們所包圍的計(jì)算機(jī)數(shù)據(jù)的資源的安全性，外圍的安全等級(jí)較低， 而內(nèi)層的安全級(jí)別較高 .網(wǎng)絡(luò)的安全保障與網(wǎng)絡(luò)的靈活、方便使用常常是相互矛盾的 .從數(shù)據(jù)安全性來講盡量對(duì)數(shù)據(jù)進(jìn)行多層的保護(hù)，以形成數(shù)據(jù)安全的多層控制 .從用戶的靈活使用來講，則希望網(wǎng)絡(luò)的結(jié)構(gòu)和技術(shù)盡量簡(jiǎn)潔，不引人額外的控制因素和資源開銷 .實(shí)現(xiàn)各種附加的安全功能不但需要耗費(fèi)有限的網(wǎng)絡(luò)資源和限制網(wǎng)絡(luò)資源的使用，同時(shí)需要投人額外的硬件、軟件及網(wǎng)絡(luò)運(yùn)行管理的額外投人，保障網(wǎng)絡(luò)的安全是有代價(jià)的 .一個(gè)優(yōu)秀的網(wǎng)絡(luò)安全系統(tǒng)須建立在網(wǎng)絡(luò)的應(yīng)用性能和安全保障措施之問的一個(gè)最佳平衡點(diǎn)上，使網(wǎng)絡(luò)安全保障所引人的額外開銷與它所帶來的效益相當(dāng) . 信息數(shù) 據(jù) 在傳送時(shí)、從何處開始到何處結(jié)束的分析對(duì)子安全的機(jī)構(gòu)的制定具有一定的意義 .網(wǎng)絡(luò)的安全性服務(wù)可以由 OSI模型的幾乎所有層提供 .常用的安全措施有在路由器上增加 IP filtering功能，應(yīng)用網(wǎng)關(guān) (Appliation gateway)，用戶的身份驗(yàn)證 (Authertication)、訪問控制 (Access Control),信息的加密和解密及數(shù)字簽名等 .目前最常見的兩種安全措施為“防火墻”和信息數(shù)據(jù)的加密技術(shù) .防火墻技術(shù)較適合于相對(duì)獨(dú)立、與外部網(wǎng)絡(luò)互聯(lián)途徑有限并且網(wǎng)絡(luò)服務(wù) 種類相對(duì)集中單一的網(wǎng)絡(luò)系統(tǒng)，防火墻型安全系統(tǒng)實(shí)施相對(duì)比較簡(jiǎn)單，它往往只在網(wǎng)絡(luò)邊界上具有安全保障功能，其實(shí)際效力范圍相對(duì)有限 .而以數(shù)據(jù)加密為基礎(chǔ)的安全系統(tǒng)是一種較適合于 Inter網(wǎng) 互聯(lián) 的安全技術(shù)， Interne:網(wǎng)是一個(gè)開放性的系統(tǒng)，采用數(shù)據(jù)加密技術(shù)基本上是一種開放型的安全技術(shù) .它對(duì)網(wǎng)絡(luò)服務(wù)的影響比較小，是將來網(wǎng)絡(luò)安全保障的主要手段之一 。 三 、信息安全技術(shù)發(fā)展趨勢(shì) 隨著計(jì)算機(jī)及網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，有關(guān)信息安全技術(shù)越來越受到重視。這些安 全 術(shù)主要包括以下 幾 個(gè)方面 : 加密是對(duì)傳輸過程中的數(shù) 據(jù)進(jìn)行保護(hù)的重要方法，又是對(duì)存儲(chǔ)于系統(tǒng)內(nèi)各媒第 4 頁 共 32 頁 體上 的 內(nèi)容加以保護(hù)的一種有效手段。信息安全是我們的最終目標(biāo)，而加密是實(shí)現(xiàn)這一目 的 有效又必不可少的技術(shù)手段，也是最基本的技術(shù)之一。 鑒別技術(shù)是解決信息交換過程的合法性、有效性及信息的真實(shí)性問題的重要技術(shù)可以防止對(duì)信息進(jìn)行有意篡改的主動(dòng)攻擊。鑒別技術(shù)的共性是對(duì)某些參數(shù)的有效性進(jìn) 行 驗(yàn)，也即檢查這些參數(shù)是否滿足某種預(yù)先確定的關(guān)系。密碼學(xué)通常能為鑒別技術(shù)提供 一種 良好的安全保證，日前的鑒別方法絕大部分是以密碼學(xué)為基礎(chǔ)的。常用的鑒別技術(shù)主數(shù)字簽名、報(bào)文鑒別和身份鑒別 。 訪問控制技術(shù)是信息系統(tǒng)中要確定允許進(jìn)入的用戶對(duì)哪些信息資源享有何種權(quán)限以進(jìn)行什么類型的訪問操作，并防 止 非法用戶進(jìn)入系統(tǒng)和合法用戶對(duì)信息資源的非用。實(shí)施訪問控制是維護(hù)信息系統(tǒng)安全，保護(hù)信息資源的重要技術(shù)手段。 除了以上三個(gè)方面外，還有防火墻技術(shù)、防電磁泄露等安全技術(shù)。而以上這些技術(shù)大部分跟密碼技術(shù)的應(yīng)用密不可分。密碼不僅支持通信的保密性，而且方便驗(yàn)證身份 (實(shí)體鑒別 )、保證通信信息安全 (報(bào)文鑒別 )、允許在網(wǎng)絡(luò)上實(shí)現(xiàn)安全認(rèn)證 (數(shù)名 )等。密碼技術(shù)是安全技術(shù)的核心。事實(shí)證明，它也是最經(jīng)濟(jì)可行的方法，它使得種 種 潛在不安全的環(huán)境中保證通信的安全。 密碼在軍事領(lǐng)域一直得到 廣 泛應(yīng)用，數(shù)據(jù)加密標(biāo)準(zhǔn) (DES)和公鑰密碼體制的定了近代密碼學(xué)基礎(chǔ) 使得它的應(yīng)用更加廣泛，它 已經(jīng) 成為取得網(wǎng)絡(luò)安全性的一種最的方法。尤其軍用網(wǎng)絡(luò)的迅速發(fā)展，要求必須確保網(wǎng)絡(luò)上信息的保密性、完整性和真 實(shí)性 這更奠定了密碼學(xué)在軍事上的重要地位。數(shù)字簽名及驗(yàn)證都是由近代密碼學(xué)派生出來的新技術(shù)和應(yīng)用，已經(jīng)在電子商務(wù)、郵箱、金融系統(tǒng)、政府辦公系統(tǒng)等方面得到應(yīng)用，它在信息安全方面所起到的重要作 用 漸 漸 受到人們的重視，在軍事上的應(yīng)用也必將引起 廣 泛關(guān)注。 第 5 頁 共 32 頁 第二章 網(wǎng)絡(luò)安全實(shí)現(xiàn)結(jié)構(gòu) 計(jì)算機(jī)網(wǎng)絡(luò)安全涉及面相當(dāng)廣，在網(wǎng)絡(luò)體系的各個(gè)層次中都存在弱點(diǎn)，了解各層中存在的弱點(diǎn)，是我們建立完善的安全體系先決條件。 一、物理層 a) 雙絞線及銅纜 電信號(hào)在雙絞線和銅纜中傳輸時(shí)，會(huì)產(chǎn)生電磁輻射，采用一些設(shè)備就可以接收到網(wǎng)線中傳輸?shù)男盘?hào)，井進(jìn)行還原。甚至采用截?cái)嚯娎|的方法，加入計(jì)算機(jī)就可以收到任一個(gè)傳輸中的數(shù)據(jù)包，并在需要時(shí)進(jìn)行插入和修改。 b) 光纖 光纖在傳輸過程中是以光信號(hào)進(jìn)行傳遞，不會(huì)產(chǎn)生輻射，而且在線中要從中取得信號(hào)也比較困難，安全 性比較高，但由于光纖設(shè)備，犯罪分子仍有可能截?cái)喙饫w，加入大部分在室外，如果有充分的時(shí)間設(shè)備，進(jìn)行竊聽和修改。 因此我們必須對(duì)能接觸 網(wǎng)絡(luò)線路的人員嚴(yán)加控制，對(duì)內(nèi)部的外單位的人員嚴(yán)加控制，特別是施工 人員 :其次經(jīng)常進(jìn)行線路檢查，保證線路的安全 。必要時(shí)在安全級(jí)別較高的應(yīng)用中進(jìn)行加密。 二、鏈路層 在 同一網(wǎng)段上，各計(jì)算機(jī)在網(wǎng)絡(luò)上傳輸?shù)男畔⒍寄芨飨嗷ケO(jiān)聽的，這在一個(gè)信任域內(nèi)是可以的，如我們?cè)谝粋€(gè)組內(nèi)，甚至在一個(gè)研究室內(nèi)都是合理的。如果有不信任的人在這個(gè)域內(nèi)，他可以利用這個(gè)方便，加上簡(jiǎn)單的一 [具〔如 SNIFFER)等，就可以獲取他人的帳號(hào)和密碼。 在網(wǎng)絡(luò)設(shè)計(jì)中，應(yīng)盡可能劃分網(wǎng)段，無法劃分時(shí)將同一單位的人，劃為同一網(wǎng)段，網(wǎng)絡(luò)設(shè)備盡可能采用交換器。 需要指出的是，劃分網(wǎng)段以后仍處于同一廣播域，并不能阻止網(wǎng)絡(luò)的訪問和網(wǎng)絡(luò)的竊聽，攻擊者任可采用多種方法進(jìn)行攻擊，如攻擊 ARP協(xié)議等。 一些 交換機(jī)中。在論計(jì)時(shí)加入了一些安全措施，如 3COM的 Linkswitch 1000中加入了端口 MAC地址鎖存的工作方式，保證在本網(wǎng)段中只有鎖存的地址能夠通信。但各家的方式不統(tǒng)一，應(yīng)用時(shí)要特別小心。 需要 說 明 的是這種安全也是有限的，交換器為了管理方便，往往允許通過 Tel進(jìn)行控制，而在啟動(dòng)管理程序時(shí)，管理員的用戶名和密碼又都是以明文傳輸?shù)模?一旦 攻擊者獲得了帳號(hào)和密碼，一切安全便化為烏有。 我們 在 網(wǎng) 絡(luò)中，比較重要的地方使用交換機(jī)的安全機(jī)制 。有些部位由于資金所限，只能暫時(shí)采用共享式集線器。對(duì)交換器的管理，限定在管理中心進(jìn)行，口令定期更換。 第 6 頁 共 32 頁 采用虛網(wǎng)技術(shù)，可以有效控制廣播數(shù)據(jù)，大大減小網(wǎng)絡(luò)非法訪問的機(jī)會(huì)，從長遠(yuǎn)看應(yīng)在中心廣泛采用。 但虛網(wǎng)作為交換機(jī)的功能之一，也同樣面臨著交換機(jī)帳號(hào)和密碼 問題。而且它對(duì) MAC地址的假冒，就無能為力了。 三、網(wǎng)絡(luò)層 在中心網(wǎng)絡(luò)中主要使用 TCP/IP協(xié)議，在網(wǎng)絡(luò)層的安全也就是 IP層的安全。很不幸的是目前 IP層主要使用的 IP V4協(xié)議，沒有提供安全設(shè)施，數(shù)據(jù)的保密性、完整性和系統(tǒng)的可用性經(jīng)常受到威脅，如 : .攻 擊 者 可 以 偽 造 源地址 。 .使 用 IP 中 的 Source outing進(jìn)行偵聽和攻擊 。 .使 用 ICMP 的 Redirect信息來破壞路由機(jī)制和提供偵聽能力 。 .使 用 IGMP的加入離開多目組信息實(shí)現(xiàn)對(duì)多用戶的拒絕服務(wù) 。 .協(xié) 同 代 理 A R P和 RAR P,竊取信息，實(shí)現(xiàn)拒絕服務(wù)。 為解決 IP安全問題， IETF設(shè)計(jì)了一些安全機(jī)制，如 AH (Authentication Header和 ESP ( Encapsulating Security Payload )，使用這些機(jī)制，增加了安全性，但卻減少了帶寬，而且我們大部分現(xiàn)成的軟件中沒有提供這種機(jī)制，在內(nèi)部網(wǎng)中全部使用是不現(xiàn)實(shí)的，我們只能希望對(duì)敏感信息在更高的層上進(jìn)行保護(hù)，而對(duì)那些希望在內(nèi)部網(wǎng)以外訪問內(nèi)部網(wǎng)的用戶，必須采用安全措施。 我們