第18章網(wǎng)絡(luò)安全i—密碼學(xué)基礎(chǔ)-1(已修改)
2024-08-06 07:49 本頁面
【正文】 第 18章 網(wǎng)絡(luò)安全 I— 密碼學(xué)基礎(chǔ) 1 ? 網(wǎng)絡(luò)安全基本概念 安全服務(wù) 對(duì)安全的攻擊 Inter上常見的攻擊： IP欺騙 (IP spoofing) 服務(wù)拒絕 (denial of service) ? 密碼學(xué)基礎(chǔ) 1 網(wǎng)絡(luò)安全基本概念 — 安全服務(wù) 安全服務(wù)： 國(guó)際標(biāo)準(zhǔn)化組織 ISO在提出開放系統(tǒng)互連參考模型 OSI之后，在 1989年提出網(wǎng)絡(luò)安全體系結(jié)構(gòu) SA(Security Architecture)，稱為 OSISA，它定義了五類安全服務(wù)。 ? 身份認(rèn)證 (authentication)：驗(yàn)證通信參與者的身份與其申明的一致，不是冒名頂替者。認(rèn)證服務(wù)是向接收方保證消息確實(shí)來自所聲稱的源。身份認(rèn)證是其它服務(wù)，如訪問控制的前提。 網(wǎng)絡(luò)安全基本概念 — 安全服務(wù) (續(xù) ) ? 訪問控制 (access control)： 保證網(wǎng)絡(luò)資源 (主機(jī)系統(tǒng)、應(yīng)用程序 …) 不被未經(jīng)授權(quán)的用戶使用。訪問權(quán)限包括讀、寫、刪、執(zhí)行等。在用戶進(jìn)程被授予權(quán)限訪問資源前，必須首先通過身份認(rèn)證。訪問權(quán)限一般由目標(biāo)系統(tǒng)控制。 ? 數(shù)據(jù)機(jī)密性 (data confidentiality)： 通過加密，保護(hù)數(shù)據(jù)免遭泄漏，防止信息被未授權(quán)用戶獲取，包括防分析。 網(wǎng)絡(luò)安全基本概念 — 安全服務(wù) (續(xù) ) ? 不可抵賴 (nonrepudiation)： 防止通信參與者事后否認(rèn)曾參與通信。有兩種不可抵賴服務(wù)：發(fā)送的不可抵賴 ，防止數(shù)據(jù)發(fā)送者否認(rèn)曾發(fā)送過此數(shù)據(jù)； 接收的不可抵賴 ，防止數(shù)據(jù)接收者否認(rèn)曾收到此數(shù)據(jù)。例：簽名函、掛號(hào)信。 ? 數(shù)據(jù)完整性 (data integrity)： 確保收到的信息在傳遞過程中沒有被插入、篡改、刪除、重放。 目前討論安全服務(wù)，常常增加： ? 可用性 (availability)：防止或恢復(fù)因攻擊造成系統(tǒng)的不可用。 對(duì)安全的攻擊 ? 假冒 (fabrication)： 非授權(quán)用戶假冒合法用戶、甚至特權(quán)用戶的身份進(jìn)行通信，這是對(duì)身份認(rèn)證和訪問控制的攻擊。它還包括在網(wǎng)絡(luò)中插入偽造的報(bào)文，截取通信雙方交換的信息進(jìn)行 重放 攻擊等。 正常通信 假冒 對(duì)安全的攻擊 (續(xù) ) ? 截取 (interception)： 非授權(quán)用戶截獲了對(duì)某資源的訪問，這是對(duì)訪問控制的攻擊。例如通過監(jiān)控網(wǎng)絡(luò)或搭線竊聽以獲取數(shù)據(jù)。 截取 對(duì)安全的攻擊 (續(xù) ) ? 篡改 (modification)： 非授權(quán)用戶不僅獲得了對(duì)某資源的訪問，而且篡改了某資源，這是對(duì)數(shù)據(jù)完整性的攻擊。例如篡改文件、程序、在網(wǎng)絡(luò)中傳輸?shù)男畔?nèi)容等。 篡改 對(duì)安全的攻擊 (續(xù) ) ? 破壞 (interruption)：破壞系統(tǒng)資源，使系統(tǒng)不能使用或不可訪問。如破壞通信設(shè)備，切斷通信線路，破壞文件系統(tǒng)等。破壞性攻擊還包括對(duì)特定目標(biāo)發(fā)送大量信息流，使目標(biāo)超載以至癱瘓。 破壞 對(duì)安全的攻擊 (續(xù) ) 對(duì)網(wǎng)絡(luò)的攻擊又分主動(dòng)攻擊和被動(dòng)攻擊： ? 被動(dòng)攻擊 ：是在傳輸中的偷聽或監(jiān)視，目的是截取在網(wǎng)上傳輸?shù)闹匾舾行畔?，包?消息內(nèi)容析取和通信量分析 。在局域網(wǎng)如以太網(wǎng)上監(jiān)聽是很容易的 … 。在用 tel作遠(yuǎn)程登錄時(shí)，用戶的標(biāo)識(shí)名和口令也是一個(gè)個(gè)字符封裝傳輸。被動(dòng)攻擊檢測(cè)困難，主要通過加密防止其成功。 ? 主動(dòng)攻擊 ：包括假冒、重放、篡改、破壞。杜絕主動(dòng)攻擊很困難，要對(duì)所有設(shè)施保護(hù)，主要是靠檢測(cè)，及時(shí)發(fā)現(xiàn)和恢復(fù)。 IP欺騙 (IP spoofing) ? IP欺騙是指攻擊者在 IP層假冒一個(gè)合法的主機(jī)。攻擊者只要用偽造的源 IP地址生成 IP數(shù)據(jù)報(bào)，就可以進(jìn)行 IP欺騙了。 ? IP欺騙常和其它攻擊 (如服務(wù)拒絕 ) 結(jié)合使用，攻擊者利用 IP欺騙隱瞞自己的真實(shí)地址。 ? 攻擊者可以使用竊聽和協(xié)議分析確定 TCP連接的狀態(tài)和數(shù)據(jù)片序號(hào)，當(dāng)某個(gè)連接建立后，在客戶和服務(wù)器之間進(jìn)行的數(shù)據(jù)片交換過程中，攻擊者可利用 IP欺騙冒充該客戶方，插入自己的數(shù)據(jù)片，這種攻擊稱 TCP會(huì)話劫持 。 Tel... 服務(wù)拒絕 (denial of service) ? 所謂服務(wù)拒絕是一種破壞性攻擊，是對(duì)某特定目標(biāo)發(fā)送大量或異常信息流， 使該目標(biāo)無法提供正常服務(wù) 。 ? 這類攻擊有“ Ping O’ Death”, “SYN flooding”等。 ? “ ping A”是向主機(jī) A發(fā)送 ICMP的“回答請(qǐng)求”報(bào)文，它封裝在 IP數(shù)據(jù)報(bào)中。 IP數(shù)據(jù)報(bào)最大長(zhǎng)度是 2161=65535字節(jié)。若攻擊者發(fā)送 ICMP“回答請(qǐng)求”報(bào)文，且總長(zhǎng)度超過 65535字節(jié)。 IP層在發(fā)送此報(bào)文會(huì)分段，目標(biāo)主機(jī)在段重組時(shí)會(huì)因緩沖區(qū)溢出而癱瘓。這就是“ Ping O’ Death”。 服務(wù)拒絕 (續(xù) ) ? TCP連接的建立需要三次握手，它以發(fā)起方的同步數(shù)據(jù)片 SYN開始，并以發(fā)起方的確認(rèn)數(shù)據(jù)片 ACK結(jié)束。 ?
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1