【正文】 防止非法的修改 /訪問內(nèi)部數(shù)據(jù) . ?如，攻擊者用一些別的東西代替 CIA主頁 僅允許授權(quán)的訪問進(jìn)行內(nèi)部網(wǎng)絡(luò) (鑒別的用戶 /主機(jī)集合 ) 兩類防火墻 : ?應(yīng)用級(jí) ?分組過濾 網(wǎng)絡(luò)安全 54 分組過濾 ? 內(nèi)部網(wǎng)絡(luò)經(jīng) 路由器防火墻 連接到因特網(wǎng) ? 路由器 逐分組地過濾 , 基于下列因素決定轉(zhuǎn)發(fā) /丟棄分組 : ? 源 IP地址，目的 IP地址 ? TCP/UDP源和目的端口號(hào) ? ICMP報(bào)文類型 ? TCP SYN和 ACK比特 到達(dá)的分組允許進(jìn)入嗎？離開的分組允許出去嗎？ 網(wǎng)絡(luò)安全 55 分組過濾 ? 例子 1: 阻止具有下列特征的入和出數(shù)據(jù)報(bào)： IP 協(xié)議字段 =17并且源或目的端口號(hào) = 23. ?所有入和出 UDP流和 Tel連接將阻止 ? 例子 2: 阻止入 TCP段 (協(xié)議字段 = 6)具有 ACK=0. ?防止外部客戶機(jī)與內(nèi)部客戶機(jī)進(jìn)行 TCP連接，但允許內(nèi)部客戶機(jī)與外部連接 網(wǎng)絡(luò)安全 56 應(yīng)用網(wǎng)關(guān) ? 除了 IP/TCP/UDP字段，還過濾分組的應(yīng)用數(shù)據(jù) ? 例子： 允許選定的內(nèi)部用戶 Tel外部 主機(jī)到網(wǎng)關(guān)的Tel會(huì)話 網(wǎng)關(guān)到遠(yuǎn)程主機(jī) Tel會(huì)話 應(yīng)用網(wǎng)關(guān) 路由器和過濾器 1. 要求所有 Tel用戶通過網(wǎng)關(guān)出去 2. 對于授權(quán)的用戶，網(wǎng)關(guān)對目的主機(jī)建立 Tel連接。網(wǎng)絡(luò)安全 1 第 8章 網(wǎng)絡(luò)安全 Network Security 計(jì)算機(jī)網(wǎng)絡(luò)：自頂向下方法 (原書第三版 ) 陳鳴譯，機(jī)械工業(yè)出版社， 2022年 Computer Networking: A Top Down Approach Featuring the Inter, 3rd edition. Jim Kurose, Keith Ross AddisonWesley, July 2022. 網(wǎng)絡(luò)安全 2 第 8章 網(wǎng)絡(luò)安全 本章目的 : ?理解網(wǎng)絡(luò)安全的原則 : ?密碼學(xué)及其超越 “ 機(jī)密性 ” 的多種應(yīng)用 ?鑒別 ?報(bào)文完整性 ?密鑰分發(fā) ?實(shí)踐中的安全 : ?防火墻 ?在應(yīng)用層、運(yùn)輸層、網(wǎng)絡(luò)層和鏈路層中的安全性 網(wǎng)絡(luò)安全 3 第 8章 要點(diǎn) 什么是網(wǎng)絡(luò)安全 ? 密碼學(xué)的原則 鑒別 完整性 密鑰分發(fā)和證書 訪問控制 : 防火墻 攻擊和防范措施 在多層次中的安全性 網(wǎng)絡(luò)安全 4 什么是網(wǎng)絡(luò)安全 ? 機(jī)密性 : 僅發(fā)送方，希望的接收方應(yīng)當(dāng) “ 理解 ”報(bào)文內(nèi)容 ?發(fā)送方加密報(bào)文 ?接收方解密報(bào)文 鑒別 : 發(fā)送方、接收方要證實(shí)彼此的身份 報(bào)文完整性 : 發(fā)送方、接收方要確保報(bào)文 (在傳輸或以后 )不在不知不覺中被篡改 訪問和可用性 : 服務(wù)必須可訪問和為用戶可用 網(wǎng)絡(luò)安全 5 朋友和敵人 : Alice, Bob, Trudy ? 網(wǎng)絡(luò)安全世界中眾所周知 ? Bob, Alice (情人 !)要 “ 安全地 ” 通信 ? Trudy (入侵者 )可能截取、刪除、增加報(bào)文 安全 發(fā)送方 安全 接收方 信道 數(shù)據(jù)，控制報(bào)文 數(shù)據(jù) 數(shù)據(jù) Alice Bob Trudy 網(wǎng)絡(luò)安全 6 誰是 Bob和 Alice? ?… 當(dāng)然 , 現(xiàn)實(shí)生活中的 Bobs和 Alices! ?用于電子事務(wù)的 Web瀏覽器 /服務(wù)器 (如在線購買 ) ?在線銀行客戶機(jī) /服務(wù)器 ? DNS服務(wù)器 ?交換選路表更新的路由器 ?其他例子？ 網(wǎng)絡(luò)安全 7 那邊有許多壞家伙 ! 問題： “ 壞家伙 ” 能干什么 ? A: 許多事 ! ?竊聽 : 截取報(bào)文 ?在連接中主動(dòng)地 插入 報(bào)文 ?假冒 : 能偽造 (哄騙 )分組中的源地址 (或分組中的任何字段 ) ?劫持 : 通過除掉發(fā)送方或接收方，將其自己插入其中， “ 接管 ” 正在進(jìn)行的連接 ?拒絕服務(wù) : 防止服務(wù)由其他人所用 (如通過過載資源 ) 后面還有其他情況 …… 網(wǎng)絡(luò)安全 8 第 8章 要點(diǎn) 什么是網(wǎng)絡(luò)安全 ? 密碼學(xué)的原則 鑒別 完整性 密鑰分發(fā)和證書 訪問控制 : 防火墻 攻擊和防范措施 在多層次中的安全性 網(wǎng)絡(luò)安全 9 密碼學(xué)的語言 對稱密鑰 密碼 : 發(fā)送方，接收方密鑰 相同 公鑰 密碼 : 解密密鑰 公開 ，加密密鑰 秘密 (專用 ) 明文 明文 密文 K A 加密算法 解密算法 Alice的加密密鑰 Bob的解密密鑰 K B 網(wǎng)絡(luò)安全 10 對稱密鑰密碼學(xué) 代替密碼 : 用一個(gè)東西代替另一個(gè) ?單碼代替密碼 : 用一個(gè)字母代替另一個(gè) 明文 : abcdefghijklmnopqrstuvwxyz 密文 : mnbvcxzasdfghjklpoiuytrewq 明文 : bob. i love you. alice 密文 : nkn. s gktc wky. mgsbc 例如： 問題 : 破譯這種簡單的密文有多難 ? ? 強(qiáng)力 (多難 ?) ? 其他 ? 網(wǎng)絡(luò)安全 11 對稱密鑰密碼學(xué) 對稱密鑰 密碼 : Bob和 Alice共享已知的相同 (對稱 )密鑰 : K ?如，在單碼代替密碼中密鑰是已知的代替模式 ?問題 : Bob和 Alice怎樣對密鑰值取得一致 ? 明文 密文 K AB 加密算法 加密算法 AB K AB 明文 message, m K (m) AB K (m) AB m = K ( ) AB 網(wǎng)絡(luò)安全 12 對稱密鑰 crypto: DES DES: 數(shù)據(jù)加密標(biāo)準(zhǔn) ? 美國加密標(biāo)準(zhǔn) [NIST 1993] ? 56bit 對稱密鑰 , 64bit 明文輸入 ? DES有多安全 ? ? DES Challenge: 56比特加密的短語加密的短語 (“Strong cryptography makes the world a safer place”)在 4個(gè)月內(nèi)被破譯 (強(qiáng)力 ) ?無已知的 “ 后門 ” 解密方法 ? 使得 DES 更安全 : ?對每個(gè)數(shù)據(jù)集順序地使用三次密鑰 (3DES) ?使用密碼分組鏈接技術(shù) 網(wǎng)絡(luò)安全 13 對稱密鑰密碼 : DES 初始置換 16輪相同的功能應(yīng)用，每個(gè)使用不同的 48比特的密鑰最后的置換 DES操作 網(wǎng)絡(luò)安全 14 AES: 先進(jìn)的加密標(biāo)準(zhǔn) ?新的 (Nov. 2022)對稱密鑰 NIST標(biāo)準(zhǔn) , 代替 DES ?以 128比特塊處理數(shù)據(jù) ? 128, 192, 或 256比特密鑰 ?對 DES強(qiáng)力解密用 1秒，對 AES則需要用 149 萬億年 網(wǎng)絡(luò)安全 15 公鑰密碼學(xué) 對稱密鑰 密碼 ? 需要發(fā)送方、接收方知道共享的秘密密鑰 ? 問題 :首次如何就密鑰取得一致 (特別是如果從沒有 “ 謀面 ” ) ？ 公鑰 密碼學(xué) ? 根本不同的方法 [DiffieHellman76, RSA78] ? 發(fā)送方，接收方 不 共享秘密密鑰 ? 公共 加密密鑰為 所有人所知 ? 秘密 解密密鑰僅為接收方所知 網(wǎng)絡(luò)安全 16 公鑰密碼學(xué) 明文 報(bào)文 , m 密文 加密算法 解密算法 Bob的公鑰 明文 報(bào)文 K (m) B + K B + Bob的私鑰 K B