第7章計(jì)算機(jī)網(wǎng)絡(luò)安全(文件)
【正文】 是以犧牲用戶使用的方便為代價(jià)的，用戶需要的新服務(wù)必須通過(guò)防火墻管理員逐步添加。 ?防火墻技術(shù) 防火墻不是一個(gè)單獨(dú)的計(jì)算機(jī)程序或設(shè)備。通過(guò)檢查數(shù)據(jù)流中每個(gè)數(shù)據(jù)包的源地址、目的地址、所用的端口號(hào)、協(xié)議狀態(tài)等因素，或它們的組合來(lái)確定是否允許該數(shù)據(jù)包通過(guò)。 應(yīng)用網(wǎng)關(guān) (Application Gateway)技術(shù)是建立在網(wǎng)絡(luò)應(yīng)用層上的協(xié)議過(guò)濾，它針對(duì)特別的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議即數(shù)據(jù)過(guò)濾協(xié)議，并且能夠?qū)?shù)據(jù)包分析并形成相關(guān)的報(bào)告。 ?代理服務(wù)技術(shù) 代理服務(wù) (Proxy Service)也稱電路級(jí)網(wǎng)關(guān)或 TCP通道(Circuit Level Gateways or TCP Tunnels)，也有人將它歸于應(yīng)用級(jí)網(wǎng)關(guān)一類。 ?防火墻的體系結(jié)構(gòu) 常見的防火墻的體系結(jié)構(gòu)有三種：雙宿主機(jī)體系結(jié)構(gòu)、屏蔽主機(jī)體系結(jié)構(gòu)、屏蔽子網(wǎng)體系結(jié)構(gòu)。然而雙宿主機(jī)的防火墻體系結(jié)構(gòu)禁止這種發(fā)送。 雙宿主機(jī)體系結(jié)構(gòu)中，堡壘主機(jī)可以采用包過(guò)濾技術(shù)，也可采用代理服務(wù)技術(shù)。 在這種體系結(jié)構(gòu)中，包過(guò)濾路由器配置是否正確是這種防火墻安全與否的關(guān)鍵，如果路由表遭到破壞，堡壘主機(jī)能夠被繞過(guò)，是內(nèi)部網(wǎng)絡(luò)完全暴露。一個(gè)位于非軍事區(qū)與內(nèi)部網(wǎng)絡(luò)之間，另一個(gè)位于非軍事區(qū)與外部網(wǎng)絡(luò)之間。即使侵襲者侵入堡壘主機(jī)，他將仍然必須通過(guò)內(nèi) 部路由器。管理員可以將 Web服務(wù)器、 Mail服務(wù)器放在非軍事區(qū)網(wǎng)絡(luò)中。 屏蔽子網(wǎng)體系結(jié)構(gòu)是在屏蔽主機(jī)結(jié)構(gòu)中增加一層 (DMZ)或稱周邊網(wǎng)的安全機(jī)制，使內(nèi)部網(wǎng)與外部網(wǎng)之間有兩層隔斷。 雙宿主機(jī)體系結(jié)構(gòu) ? 雙宿主機(jī)體系結(jié)構(gòu)防火墻沒有使用路由器。外部網(wǎng)絡(luò)能與雙宿主機(jī)通信，內(nèi)部網(wǎng)絡(luò)也能與雙宿主機(jī)通信。雙宿主機(jī)至少有兩個(gè)網(wǎng)絡(luò)接口。代理服務(wù)作用在應(yīng)用層，它用來(lái)提供應(yīng)用層服務(wù)的控制，起到內(nèi)部網(wǎng)絡(luò)向外部網(wǎng)絡(luò)申請(qǐng)服務(wù)時(shí)中間轉(zhuǎn)接作用。它的另一個(gè)功能是對(duì)通過(guò)的信息進(jìn)行記錄，如什么樣的用戶在什么時(shí)間連接了什么站點(diǎn)。 數(shù)據(jù)包頭部大致包含以下信息： ◆ IP源地址和目標(biāo)地址 ◆協(xié)議（ TCP、 UDP或 ICMP包） ◆ TCP/UDP源和目的端口 ◆ TCP頭中的 ACK位 ◆ ICMP信息類型 ◆數(shù)據(jù)包要到達(dá)的端口和要出去的端口 包過(guò)濾的優(yōu)點(diǎn)： ◆一個(gè)包過(guò)濾路由器即可保護(hù)整個(gè)網(wǎng)絡(luò) ◆不需要用戶軟件支撐，不需要對(duì)用戶作特別培訓(xùn) ◆包過(guò)濾產(chǎn)品比較容易獲得 包過(guò)濾的缺點(diǎn)： ◆包過(guò)濾規(guī)則配置比較困難 ◆對(duì)包過(guò)濾規(guī)則配置的測(cè)試比較麻煩 ◆包過(guò)濾功能有種種局限性 包過(guò)濾技術(shù)作為防火墻的應(yīng)用有三類：一是路由設(shè)備在完成路由選擇和數(shù)據(jù)轉(zhuǎn)發(fā)之外 , 同時(shí)進(jìn)行包過(guò)濾 , 這是目前較常用的方式；二是在工作站上使用軟件進(jìn)行包過(guò)濾 , 這種方式價(jià)格較貴 。 實(shí)現(xiàn)防火墻的主要技術(shù)有 : 數(shù)據(jù)包過(guò)濾 , 應(yīng)用網(wǎng)關(guān)和代理服務(wù)等。這種方法提供了一種更為靈活的應(yīng)用環(huán)境，但很難提供可靠的安全防護(hù)。 ? 一般的防火墻都可以達(dá)到以下目的：一是可以限制他人進(jìn)入內(nèi)部網(wǎng)絡(luò)，過(guò)濾掉不安全服務(wù)和非法用戶；二是防止入侵者接近你的防御設(shè)施；三是限定用戶訪問特殊站點(diǎn)；四是為監(jiān)視 Inter安全提供方便。但采用公開密鑰算法要比采用常規(guī)密鑰算法更容易實(shí)現(xiàn)。信息發(fā)送者首先利用隨機(jī)產(chǎn)生的對(duì)稱密碼加密信息，再利用接收方的公鑰加密對(duì)稱密碼，被公鑰加密后的對(duì)稱密碼被稱之為數(shù)字信封。 ?數(shù)字信封和數(shù)字簽名 公鑰密碼體制在實(shí)際應(yīng)用中包含數(shù)字信封和數(shù)字簽名兩種方式。 RSA算法的安全性基于數(shù)論中大素?cái)?shù)分解的困難性，所以， RSA需采用足夠大的整數(shù)。這樣，這個(gè)團(tuán)體一共需要將近 50萬(wàn)個(gè)不同的密鑰！推而廣之， n個(gè)用戶的團(tuán)體需要 n2/2個(gè)不同的密鑰。 ?公開密鑰密碼體制 對(duì)稱密碼算法存在以下問題： （ 1）密鑰管理量問題：兩兩分別用一對(duì)密鑰，當(dāng)用戶量增大時(shí)，密鑰空間急劇增大。 密鑰置換選擇表 密鑰產(chǎn)生算法 ?DES解密 在經(jīng)過(guò)所有的替代、置換、異或和循環(huán)之后，你也許認(rèn)為解密算法與加密算法完全不同。按以上方法計(jì)算出 16個(gè)子密鑰。把變換后的密鑰等分成兩部分 ,前 28位記為C0, 后 28位記為 D0。 盒 S1， S2， S3， S4， S5， S6， S7， S8的選擇函數(shù)關(guān)系分別如下表所示： 對(duì)每個(gè)盒 Si,6比特輸入中的第 1和第 6比特組成的二進(jìn)制數(shù)確定 Si的行，中間 4位二進(jìn)制數(shù)用來(lái)確定 Si的列。如果將輸入的 32比特的數(shù)據(jù)按 E中所標(biāo)位置順序讀出，則可得到 48比特的數(shù)據(jù)輸出?？梢娸斎虢M m和 IP (IP1 (m)) 是一樣的。 DES算法框圖 IP和初始逆變換 IP1 初始變換 IP和初始逆變換 IP1如表 72所示。 ? DES在加密前，先對(duì)整個(gè)明文進(jìn)行分組。它是 IBM公司 W. Tuchman 和 C. Meyer 197172年研制的一種加密算法，美國(guó)國(guó)家標(biāo)準(zhǔn)局于1977年公布把它作為非機(jī)要部門使用的數(shù)據(jù)加密標(biāo)準(zhǔn)，二十年來(lái)，它一直活躍在國(guó)際保密通信的舞臺(tái)上，扮演了十分重要的角色。 下面將明文也以 6個(gè)字符為一組從上到下寫在密鑰下，如： 密鑰 C I P H E R 順序 1 4 5 3 2 6
外語(yǔ)相關(guān)推薦
鄂ICP備17016276號(hào)-1