【正文】 第 1 頁(yè) 共 32 頁(yè) 引言 Inter是世界上最大的國(guó)際計(jì)算機(jī)互聯(lián)網(wǎng)絡(luò)，與此同時(shí)，它也是擁有技術(shù)專(zhuān)長(zhǎng)的個(gè)別人嚴(yán)重肇事的目標(biāo)。各類(lèi)入侵者，包括雇員、“黑客”、恐怖組織、以政治和軍事情報(bào)為目標(biāo)的外國(guó)政府、從事工業(yè)間諜活動(dòng)的國(guó)內(nèi)外企業(yè)等，給計(jì)算機(jī)和電信系統(tǒng)造成極大 威脅 。他們千方百計(jì)地“闖入”技術(shù)網(wǎng)絡(luò)系統(tǒng)，竊取各種情報(bào)，刺探個(gè)人隱私，用以進(jìn)行各種詐騙活動(dòng)。 每當(dāng)開(kāi)通一個(gè)新 Inter出入口、 LAN或分布式用戶(hù)服務(wù)器系統(tǒng)時(shí)，便冒著為入侵者打開(kāi)一道方便之門(mén)的危險(xiǎn)。計(jì)算機(jī)竊密己成為當(dāng)今世界高技術(shù)犯罪的主要形式。據(jù)美國(guó)信息周 刊 /Ernstamp。 Young信息安全調(diào)查公司的最新統(tǒng)計(jì)，在 199，年，美國(guó)每五個(gè)公司中就有一個(gè)遭到入侵，使有關(guān)方面蒙受無(wú)法估量的損失。美國(guó)新聞界把數(shù)據(jù)失竊戲謔地稱(chēng)為“數(shù)字珍珠港”或“數(shù)字切爾諾貝利”。聯(lián)邦司法部門(mén)的官員估計(jì)，每年美國(guó)的聯(lián)機(jī)竊賊從計(jì)算機(jī)網(wǎng)絡(luò)盜竊數(shù)據(jù)的價(jià)值在一百億美元以上。 最大 限 度 地減少網(wǎng)絡(luò)攻擊的頻次和影響并非不可能，但也并非易事。在行為上，保護(hù)數(shù)據(jù)的決心離不開(kāi)安全管理部門(mén)的安全認(rèn)可和有力支持 :在技術(shù)上，必須滿(mǎn)足若干通信安全目標(biāo)，主要包括 : (1) 必須防止非法泄漏發(fā)送的信息 。 (2) 必須檢測(cè)得 出對(duì)發(fā)送信息的非法竄改或銷(xiāo)毀 。 (3) 必須防止所有的業(yè)務(wù)量分析攻擊 。 (4) 必須檢測(cè)得出所有的服務(wù)抵賴(lài)攻擊和假關(guān)聯(lián)初始化攻擊 (Spurious association initiation attack). 滿(mǎn)足前三個(gè)目標(biāo)唯一有效的辦法是加密。事實(shí)上，數(shù)據(jù)加密是所有通信安全依賴(lài)的基本技術(shù)。 第 2 頁(yè) 共 32 頁(yè) 第一章 信息網(wǎng)的安全問(wèn)題 一 、網(wǎng)絡(luò)的安全威脅 . ： 閑游用戶(hù)的好奇闖入 :由于好奇心理的驅(qū)使，閑游用 戶(hù)可能有意無(wú)意地闖入 了系統(tǒng)的內(nèi)部網(wǎng)絡(luò)，他們可能通過(guò)有關(guān)渠道得到了內(nèi)部網(wǎng)絡(luò)合法用戶(hù)的 帳號(hào) 及密碼，也可能是由于網(wǎng)關(guān)的配置不合理讓他們無(wú)意中闖 入 內(nèi)部的網(wǎng)絡(luò) .在他們獲得了訪問(wèn)之后，他們可能會(huì)在內(nèi)部網(wǎng)絡(luò)的各目錄中到處亂闖，以尋找感興趣的文件或信息，而威脅合法用戶(hù)的正常運(yùn)行及數(shù)據(jù)資源的安全和網(wǎng)絡(luò)系統(tǒng)的安全 .他們可能有意無(wú)意地修改了關(guān)鍵的系統(tǒng)文件、刪除了關(guān)鍵的信息數(shù)據(jù)，引起了數(shù)據(jù)的丟失，修改了某些數(shù)據(jù)的內(nèi)容等 . 信息間諜的惡意闖入 :信息間諜常常受雇于某一機(jī)構(gòu)，專(zhuān)門(mén)從事信息的竊取工作，具有 高超 的網(wǎng)絡(luò)技能，他們通過(guò)不正當(dāng)?shù)氖?段進(jìn)人你的企業(yè)內(nèi)部網(wǎng) .他們可能對(duì)你的企業(yè)網(wǎng)懷有極大的興趣，或是專(zhuān)門(mén)來(lái)毀壞你的企業(yè)信息網(wǎng)，使你的信息網(wǎng)處于癱瘓，從而為競(jìng)爭(zhēng)者燕得獲勝的機(jī)會(huì) .這些人可能通過(guò) 入 侵你網(wǎng)絡(luò)上的一臺(tái)計(jì)算機(jī)或使用信息包取樣器來(lái)訪問(wèn)你公司的信息、通過(guò)信息包取樣器可以捕促任何經(jīng)由 Tel發(fā)送的數(shù)據(jù)，并通過(guò)捕 捉 Tel。會(huì)話(huà)竊聽(tīng)合法用戶(hù) ID和口令 .而獲得對(duì)你的網(wǎng)絡(luò)的訪問(wèn) . 懷有 惡 意 用戶(hù)的闖入 :這些用戶(hù)可能對(duì)你的單位心懷妒嫉或者他們對(duì)你的企業(yè)懷有存心報(bào)復(fù)的心理，通過(guò)不正當(dāng)?shù)耐緩疥J 入 企業(yè)的內(nèi)部網(wǎng)絡(luò) .并惡意地刪除有價(jià)值的數(shù)據(jù)文件及系統(tǒng) 文件，使數(shù)據(jù)徹底丟失或系統(tǒng)處于癱瘓，等你覺(jué)察的時(shí)候，己為時(shí)過(guò)晚 .只有重新從備份系統(tǒng)和數(shù)據(jù)中加以恢復(fù) .無(wú)意 用 戶(hù) 的惡意破壞 :這類(lèi)用戶(hù)可能正在運(yùn)行自己不適當(dāng)配置的應(yīng)用程序或服務(wù)器及自編的程序，在無(wú)意中給你的網(wǎng)絡(luò)造成了威脅 .如 1987年美國(guó)康奈爾大學(xué) (Cornell University)學(xué)生 Robert T. Morris編制的蠕蟲(chóng)程序 (Inter worm), Morris的企圖是創(chuàng)建一個(gè)能默默地在 Inter上復(fù)制它自己的程序，以便論證計(jì)算機(jī)安全措施不當(dāng) .不過(guò)他的蠕蟲(chóng)程序復(fù)制得比他計(jì)劃的要迅速 得多，并使得所有蠕蟲(chóng)程序感染的系統(tǒng)處于崩潰及凍結(jié)，使得整個(gè)美國(guó)的管理員致力于隔離該程序，以使它停止擴(kuò)散 ： 內(nèi)部 用 戶(hù) 有意的安全威脅 : 內(nèi)部的安全威脅最難防備或控制，由于這種威脅來(lái)自網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)的合法用戶(hù) .他們可能對(duì)內(nèi)部網(wǎng)絡(luò)中其他用戶(hù)組中的數(shù)據(jù)感興趣或是想竊取其他用戶(hù)組中有價(jià)值的數(shù)據(jù) .如大學(xué)網(wǎng)絡(luò)內(nèi)的學(xué)生和教員常分享用戶(hù)的 ID和 0令，某些學(xué)生登錄上網(wǎng)后，喜歡破壞別人建立的數(shù)據(jù)，有的學(xué)生企圖訪問(wèn)管理系統(tǒng)以改動(dòng)他們的成績(jī)記錄 . 無(wú)意用戶(hù)的安全威脅 :除了內(nèi)部用戶(hù)有意偷竊數(shù)據(jù)和對(duì)數(shù)據(jù) 破壞外，另一類(lèi)內(nèi)部安全威脅來(lái)自用戶(hù)的使用缺乏安全意識(shí)，他們可能在不安全的通道中傳送公司的機(jī)密信息，或把不適合企業(yè)安全的低息數(shù)據(jù)存放到 Inter的 Web或 FTP服務(wù)器上，或者他們無(wú)意將公司的用戶(hù)帳號(hào)及密碼泄漏給了外部企業(yè)的用戶(hù)，而給內(nèi)第 3 頁(yè) 共 32 頁(yè) 部網(wǎng)絡(luò)的安全構(gòu)成了威脅 . 二 、信息網(wǎng)絡(luò)的安全性 計(jì)算 機(jī) 網(wǎng) 絡(luò)的信息安全常常由數(shù)據(jù)安全性和通信安全性?xún)刹糠纸M成 .通信安全性是一種設(shè)施保護(hù)，要求在電信中采用保密安全性、傳輸安全性、輻射安全性等措施，并且要求對(duì)于通信安全性信息米用物理 安 全性措施，以拒絕非授權(quán)用戶(hù)在電信中獲取有 價(jià)值的信息 .數(shù)據(jù)安全包括信息數(shù)據(jù)的完整性保密性和可用性 .數(shù)據(jù)的保密性指高級(jí)別信息僅在授權(quán)情況下流向低級(jí)別的客體與主體 。數(shù)據(jù)的安全性指信息不會(huì)被非授權(quán)用戶(hù)修改及信息保持一致性等 。數(shù)據(jù)的可用性指合法用戶(hù)的正常請(qǐng)求能及時(shí)、正確，安全地得到服務(wù)或回應(yīng) .網(wǎng)絡(luò)系統(tǒng)的安全受到影響后常常會(huì)導(dǎo)致網(wǎng)絡(luò)系統(tǒng)無(wú)法提供正常的服務(wù)，或者是網(wǎng)絡(luò)信息資源被更改甚至銷(xiāo)毀，或者是信息的泄密等 . 網(wǎng)絡(luò) 的 安 全系統(tǒng)是指使用硬件及軟件等安全措施形成多個(gè)保護(hù)層，以保護(hù)它們所包圍的計(jì)算機(jī)數(shù)據(jù)的資源的安全性，外圍的安全等級(jí)較低， 而內(nèi)層的安全級(jí)別較高 .網(wǎng)絡(luò)的安全保障與網(wǎng)絡(luò)的靈活、方便使用常常是相互矛盾的 .從數(shù)據(jù)安全性來(lái)講盡量對(duì)數(shù)據(jù)進(jìn)行多層的保護(hù)，以形成數(shù)據(jù)安全的多層控制 .從用戶(hù)的靈活使用來(lái)講，則希望網(wǎng)絡(luò)的結(jié)構(gòu)和技術(shù)盡量簡(jiǎn)潔，不引人額外的控制因素和資源開(kāi)銷(xiāo) .實(shí)現(xiàn)各種附加的安全功能不但需要耗費(fèi)有限的網(wǎng)絡(luò)資源和限制網(wǎng)絡(luò)資源的使用，同時(shí)需要投人額外的硬件、軟件及網(wǎng)絡(luò)運(yùn)行管理的額外投人，保障網(wǎng)絡(luò)的安全是有代價(jià)的 .一個(gè)優(yōu)秀的網(wǎng)絡(luò)安全系統(tǒng)須建立在網(wǎng)絡(luò)的應(yīng)用性能和安全保障措施之問(wèn)的一個(gè)最佳平衡點(diǎn)上，使網(wǎng)絡(luò)安全保障所引人的額外開(kāi)銷(xiāo)與它所帶來(lái)的效益相當(dāng) . 信息數(shù) 據(jù) 在傳送時(shí)、從何處開(kāi)始到何處結(jié)束的分析對(duì)子安全的機(jī)構(gòu)的制定具有一定的意義 .網(wǎng)絡(luò)的安全性服務(wù)可以由 OSI模型的幾乎所有層提供 .常用的安全措施有在路由器上增加 IP filtering功能，應(yīng)用網(wǎng)關(guān) (Appliation gateway)，用戶(hù)的身份驗(yàn)證 (Authertication)、訪問(wèn)控制 (Access Control),信息的加密和解密及數(shù)字簽名等 .目前最常見(jiàn)的兩種安全措施為“防火墻”和信息數(shù)據(jù)的加密技術(shù) .防火墻技術(shù)較適合于相對(duì)獨(dú)立、與外部網(wǎng)絡(luò)互聯(lián)途徑有限并且網(wǎng)絡(luò)服務(wù) 種類(lèi)相對(duì)集中單一的網(wǎng)絡(luò)系統(tǒng)，防火墻型安全系統(tǒng)實(shí)施相對(duì)比較簡(jiǎn)單，它往往只在網(wǎng)絡(luò)邊界上具有安全保障功能，其實(shí)際效力范圍相對(duì)有限 .而以數(shù)據(jù)加密為基礎(chǔ)的安全系統(tǒng)是一種較適合于 Inter網(wǎng) 互聯(lián) 的安全技術(shù)， Interne:網(wǎng)是一個(gè)開(kāi)放性的系統(tǒng)，采用數(shù)據(jù)加密技術(shù)基本上是一種開(kāi)放型的安全技術(shù) .它對(duì)網(wǎng)絡(luò)服務(wù)的影響比較小，是將來(lái)網(wǎng)絡(luò)安全保障的主要手段之一 。 三 、信息安全技術(shù)發(fā)展趨勢(shì) 隨著計(jì)算機(jī)及網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，有關(guān)信息安全技術(shù)越來(lái)越受到重視。這些安 全 術(shù)主要包括以下 幾 個(gè)方面 : 加密是對(duì)傳輸過(guò)程中的數(shù) 據(jù)進(jìn)行保護(hù)的重要方法，又是對(duì)存儲(chǔ)于系統(tǒng)內(nèi)各媒第 4 頁(yè) 共 32 頁(yè) 體上 的 內(nèi)容加以保護(hù)的一種有效手段。信息安全是我們的最終目標(biāo)，而加密是實(shí)現(xiàn)這一目 的 有效又必不可少的技術(shù)手段，也是最基本的技術(shù)之一。 鑒別技術(shù)是解決信息交換過(guò)程的合法性、有效性及信息的真實(shí)性問(wèn)題的重要技術(shù)可以防止對(duì)信息進(jìn)行有意篡改的主動(dòng)攻擊。鑒別技術(shù)的共性是對(duì)某些參數(shù)的有效性進(jìn) 行 驗(yàn)，也即檢查這些參數(shù)是否滿(mǎn)足某種預(yù)先確定的關(guān)系。密碼學(xué)通常能為鑒別技術(shù)提供 一種 良好的安全保證，日前的鑒別方法絕大部分是以密碼學(xué)為基礎(chǔ)的。常用的鑒別技術(shù)主數(shù)字簽名、報(bào)文鑒別和身份鑒別 。 訪問(wèn)控制技術(shù)是信息系統(tǒng)中要確定允許進(jìn)入的用戶(hù)對(duì)哪些信息資源享有何種權(quán)限以進(jìn)行什么類(lèi)型的訪問(wèn)操作，并防 止 非法用戶(hù)進(jìn)入系統(tǒng)和合法用戶(hù)對(duì)信息資源的非用。實(shí)施訪問(wèn)控制是維護(hù)信息系統(tǒng)安全，保護(hù)信息資源的重要技術(shù)手段。 除了以上三個(gè)方面外，還有防火墻技術(shù)、防電磁泄露等安全技術(shù)。而以上這些技術(shù)大部分跟密碼技術(shù)的應(yīng)用密不可分。密碼不僅支持通信的保密性，而且方便驗(yàn)證身份 (實(shí)體鑒別 )、保證通信信息安全 (報(bào)文鑒別 )、允許在網(wǎng)絡(luò)上實(shí)現(xiàn)安全認(rèn)證 (數(shù)名 )等。密碼技術(shù)是安全技術(shù)的核心。事實(shí)證明，它也是最經(jīng)濟(jì)可行的方法，它使得種 種 潛在不安全的環(huán)境中保證通信的安全。 密碼在軍事領(lǐng)域一直得到 廣 泛應(yīng)用，數(shù)據(jù)加密標(biāo)準(zhǔn) (DES)和公鑰密碼體制的定了近代密碼學(xué)基礎(chǔ) 使得它的應(yīng)用更加廣泛，它 已經(jīng) 成為取得網(wǎng)絡(luò)安全性的一種最的方法。尤其軍用網(wǎng)絡(luò)的迅速發(fā)展，要求必須確保網(wǎng)絡(luò)上信息的保密性、完整性和真 實(shí)性 這更奠定了密碼學(xué)在軍事上的重要地位。數(shù)字簽名及驗(yàn)證都是由近代密碼學(xué)派生出來(lái)的新技術(shù)和應(yīng)用，已經(jīng)在電子商務(wù)、郵箱、金融系統(tǒng)、政府辦公系統(tǒng)等方面得到應(yīng)用，它在信息安全方面所起到的重要作 用 漸 漸 受到人們的重視，在軍事上的應(yīng)用也必將引起 廣 泛關(guān)注。 第 5 頁(yè) 共 32 頁(yè) 第二章 網(wǎng)絡(luò)安全實(shí)現(xiàn)結(jié)構(gòu) 計(jì)算機(jī)網(wǎng)絡(luò)安全涉及面相當(dāng)廣，在網(wǎng)絡(luò)體系的各個(gè)層次中都存在弱點(diǎn)，了解各層中存在的弱點(diǎn)，是我們建立完善的安全體系先決條件。 一、物理層 a) 雙絞線(xiàn)及銅纜 電信號(hào)在雙絞線(xiàn)和銅纜中傳輸時(shí)，會(huì)產(chǎn)生電磁輻射，采用一些設(shè)備就可以接收到網(wǎng)線(xiàn)中傳輸?shù)男盘?hào)，井進(jìn)行還原。甚至采用截?cái)嚯娎|的方法，加入計(jì)算機(jī)就可以收到任一個(gè)傳輸中的數(shù)據(jù)包，并在需要時(shí)進(jìn)行插入和修改。 b) 光纖 光纖在傳輸過(guò)程中是以光信號(hào)進(jìn)行傳遞，不會(huì)產(chǎn)生輻射，而且在線(xiàn)中要從中取得信號(hào)也比較困難，安全 性比較高，但由于光纖設(shè)備，犯罪分子仍有可能截?cái)喙饫w，加入大部分在室外，如果有充分的時(shí)間設(shè)備，進(jìn)行竊聽(tīng)和修改。 因此我們必須對(duì)能接觸 網(wǎng)絡(luò)線(xiàn)路的人員嚴(yán)加控制，對(duì)內(nèi)部的外單位的人員嚴(yán)加控制，特別是施工 人員 :其次經(jīng)常進(jìn)行線(xiàn)路檢查，保證線(xiàn)路的安全 。必要時(shí)在安全級(jí)別較高的應(yīng)用中進(jìn)行加密。 二、鏈路層 在 同一網(wǎng)段上，各計(jì)算機(jī)在網(wǎng)絡(luò)上傳輸?shù)男畔⒍寄芨飨嗷ケO(jiān)聽(tīng)的，這在一個(gè)信任域內(nèi)是可以的，如我們?cè)谝粋€(gè)組內(nèi)，甚至在一個(gè)研究室內(nèi)都是合理的。如果有不信任的人在這個(gè)域內(nèi)，他可以利用這個(gè)方便，加上簡(jiǎn)單的一 [具〔如 SNIFFER)等，就可以獲取他人的帳號(hào)和密碼。 在網(wǎng)絡(luò)設(shè)計(jì)中，應(yīng)盡可能劃分網(wǎng)段，無(wú)法劃分時(shí)將同一單位的人，劃為同一網(wǎng)段，網(wǎng)絡(luò)設(shè)備盡可能采用交換器。 需要指出的是，劃分網(wǎng)段以后仍處于同一廣播域，并不能阻止網(wǎng)絡(luò)的訪問(wèn)和網(wǎng)絡(luò)的竊聽(tīng)，攻擊者任可采用多種方法進(jìn)行攻擊，如攻擊 ARP協(xié)議等。 一些 交換機(jī)中。在論計(jì)時(shí)加入了一些安全措施，如 3COM的 Linkswitch 1000中加入了端口 MAC地址鎖存的工作方式，保證在本網(wǎng)段中只有鎖存的地址能夠通信。但各家的方式不統(tǒng)一，應(yīng)用時(shí)要特別小心。 需要 說(shuō) 明 的是這種安全也是有限的，交換器為了管理方便，往往允許通過(guò) Tel進(jìn)行控制，而在啟動(dòng)管理程序時(shí)，管理員的用戶(hù)名和密碼又都是以明文傳輸?shù)模?一旦 攻擊者獲得了帳號(hào)和密碼，一切安全便化為烏有。 我們 在 網(wǎng) 絡(luò)中，比較重要的地方使用交換機(jī)的安全機(jī)制 。有些部位由于資金所限，只能暫時(shí)采用共享式集線(xiàn)器。對(duì)交換器的管理，限定在管理中心進(jìn)行，口令定期更換。 第 6 頁(yè) 共 32 頁(yè) 采用虛網(wǎng)技術(shù)，可以有效控制廣播數(shù)據(jù)，大大減小網(wǎng)絡(luò)非法訪問(wèn)的機(jī)會(huì)，從長(zhǎng)遠(yuǎn)看應(yīng)在中心廣泛采用。 但虛網(wǎng)作為交換機(jī)的功能之一，也同樣面臨著交換機(jī)帳號(hào)和密碼 問(wèn)題。而且它對(duì) MAC地址的假冒，就無(wú)能為力了。 三、網(wǎng)絡(luò)層 在中心網(wǎng)絡(luò)中主要使用 TCP/IP協(xié)議，在網(wǎng)絡(luò)層的安全也就是 IP層的安全。很不幸的是目前 IP層主要使用的 IP V4協(xié)議，沒(méi)有提供安全設(shè)施，數(shù)據(jù)的保密性、完整性和系統(tǒng)的可用性經(jīng)常受到威脅，如 : .攻 擊 者 可 以 偽 造 源地址 。 .使 用 IP 中 的 Source outing進(jìn)行偵聽(tīng)和攻擊 。 .使 用 ICMP 的 Redirect信息來(lái)破壞路由機(jī)制和提供偵聽(tīng)能力 。 .使 用 IGMP的加入離開(kāi)多目組信息實(shí)現(xiàn)對(duì)多用戶(hù)的拒絕服務(wù) 。 .協(xié) 同 代 理 A R P和 RAR P,竊取信息，實(shí)現(xiàn)拒絕服務(wù)。 為解決 IP安全問(wèn)題， IETF設(shè)計(jì)了一些安全機(jī)制，如 AH (Authentication Header和 ESP ( Encapsulating Security Payload )，使用這些機(jī)制，增加了安全性，但卻減少了帶寬，而且我們大部分現(xiàn)成的軟件中沒(méi)有提供這種機(jī)制，在內(nèi)部網(wǎng)中全部使用是不現(xiàn)實(shí)的，我們只能希望對(duì)敏感信息在更高的層上進(jìn)行保護(hù)，而對(duì)那些希望在內(nèi)部網(wǎng)以外訪問(wèn)內(nèi)部網(wǎng)的用戶(hù)，必須采用安全措施。 我們