【正文】 密鑰下具有比 RSA 體制更快的加、解密速度及更高的密碼強(qiáng)度而倍受青睞。下面介紹一種基于指揮自動(dòng)化網(wǎng)的快速安全的橢圓曲線密碼體制并行實(shí)現(xiàn)方法。因此。由于每個(gè)分組都是單獨(dú)加密，故而一個(gè)分組內(nèi)的傳輸差錯(cuò)不會(huì)影響后面的分組。由于消息在整個(gè)傳輸過程中受到保護(hù)，所以即使某個(gè)節(jié)點(diǎn)遭到破壞。這樣，中間節(jié)點(diǎn)才能讀出處理消息所要求的細(xì)節(jié)。 六、節(jié)點(diǎn)加密 第 16 頁 共 32 頁 雖然節(jié)點(diǎn)加密能為網(wǎng)絡(luò)數(shù)據(jù)提供較高的安全保密度，但節(jié)點(diǎn)加密的操作方式卻與鏈路加密差不多。 按常規(guī)加密算法，解密消息所用密鑰和加密消息所用密鑰相同，這種密鑰必須嚴(yán)格保守秘密和 定期更換。 鏈路加密只是在通信鏈路上提供安全保密。鏈路加密通常用在點(diǎn)到點(diǎn)同步或異步線路上 它要求鏈路端的加密設(shè)備同步，接著才采用鏈接模式加密它們之間傳送的所有數(shù)據(jù)。 由于發(fā)送的信息在其通過的每個(gè)節(jié)點(diǎn)上都進(jìn)行解密和重 新加密，所以凡在鏈路上流動(dòng)的數(shù)據(jù)都加密，包括路由信息。 五、鏈路加密 鏈路加密為經(jīng)過兩個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)之間的專用鏈路傳輸?shù)臄?shù)據(jù)提供安全保密。 基于 Kerberoa 的認(rèn)證 Kerberos 是許多實(shí)際系統(tǒng)中使用的認(rèn)證協(xié)議。 A, B 互相認(rèn)證后即可挑選一個(gè) KS 進(jìn)行通信。 RI 表示 I 發(fā)出的請求。認(rèn)證是許多應(yīng)用系統(tǒng)安全保障的第一道防線。當(dāng)數(shù)據(jù)包經(jīng)過網(wǎng)絡(luò)時(shí)，每個(gè)節(jié)點(diǎn)對數(shù)據(jù)包使用線路加密密鑰進(jìn)行解密，以讀取頭部信息。然而，這種方法的一個(gè)缺點(diǎn)是信息每次進(jìn)入包交換設(shè)備必須進(jìn)行解密。有兩個(gè)基本的選擇 :線路加密或者端到端加密。 公共密鑰算法和典型的代表是 RSA算法，這是發(fā)明者的名字命名的 (Rivest， Shamir， Adleman)。 三、公開密鑰密碼體制 歷史上，密鑰分配問題一直是加密系統(tǒng)的薄弱環(huán)節(jié) 。這樣我們無需保密加密算法，僅 僅 保證密鑰安全即可。但傳統(tǒng)加密主要是使用一個(gè)簡單的算法和一個(gè)非常長的密鑰 。即醫(yī)門使每微秒測試一種方案仍需 1013 年。 傳統(tǒng)上的加密方式主要有兩種。 (如下圖所示 ) 通常形成一個(gè)穩(wěn)定的加密算法需要數(shù)年時(shí)間，因此它的公開性是不言而喻的。加密算法用 E 表示，解密算法用 D 表示 。 第 13 頁 共 32 頁 第四章加密 一、網(wǎng)絡(luò)加密技術(shù) 為 了保證網(wǎng)絡(luò)安全，我們可以采取各種防范措施和手段。因此，在新舊版本同時(shí)存在的情況下，攻擊者能修改 Hell。為避免這種攻擊，協(xié)議實(shí)現(xiàn)者應(yīng)當(dāng)在接收到 Server Key Exchange消息時(shí)進(jìn)行健全性檢查，從而辨別所使用的密鑰交換算法。這時(shí)，通信雙方認(rèn)為已經(jīng)成功協(xié)商了一個(gè)密碼族，而事實(shí)上它們各自認(rèn)定的密碼族卻是不同的。在 缺陷進(jìn)行了彌補(bǔ)，通過 Finished消息，利用主密鑰 Master Secret對握手過程中的消息進(jìn)行認(rèn)證。由于商定的密碼族不起作用，攻擊者在通信雙方不知道的情況下，可以隨心所欲地篡改通信數(shù)據(jù)。所以 SSL協(xié)議無法抵抗業(yè)務(wù)流分析，這就要求協(xié)議的應(yīng)用者不能在未保護(hù)的通信業(yè)務(wù)流中暴露機(jī)密信息。根據(jù)業(yè)務(wù)流中密 文信息長度，有可能發(fā)現(xiàn) Web通信中 URL請求的信息。在握手之后 SSL上所傳送的數(shù)據(jù)都是加密的，從而保證通信的機(jī)密性。幾乎總是要對服務(wù)器進(jìn)行認(rèn)證，若是需要的話也可以對客戶端進(jìn)行認(rèn)證。alert主要是報(bào)告各種類型的錯(cuò)誤，大多數(shù)是用于報(bào)告握手中出現(xiàn)的問題 。長度字段可以讓接收方知道要從線路上讀取多少字節(jié)才能對消息進(jìn)行處理，版本號(hào)用于版本的冗余性檢查。 最后給數(shù)據(jù)加上頭信息。 在接收方，對每條記錄單獨(dú)進(jìn)行解密和驗(yàn)證。后續(xù)進(jìn)行的是的是數(shù)據(jù)的傳輸。該消息是第一條使用剛剛磋商過的算法加以保護(hù)的消息。最后，服務(wù)器發(fā)送 Server Hello Done消息，以表示這一握手階段的完成。第二，確立一組該算法所使用的 加密密鑰 。 SSL協(xié)議是基于 TCP/IP的應(yīng)用程序，提供了客戶端和服務(wù)器的鑒別、數(shù)據(jù)完整性和保密性等安全措施。 .連接的保密性 :用對稱密碼 (例如用 DES)加密所傳送的數(shù)據(jù)。的服務(wù)器 ).內(nèi)部網(wǎng)絡(luò)同外部網(wǎng)絡(luò)的連接盡量避免使用電話撥號(hào)線路，使用電話撥號(hào)常常容易形成安全漏洞 .采用帶過濾型防火墻的路由器連接外部網(wǎng)絡(luò)是目前常用的安全手法 .通過它可以過濾掉大量非正常的 IP包，把大量非法的訪問隔離存路由器外 .內(nèi)、外路由都序經(jīng) I 1p致 周密的 A,LM ,以避免外 都用戶繞過路由器、代理服務(wù)器直接攻擊內(nèi)部數(shù)據(jù)庫 . 網(wǎng)絡(luò)的安全服務(wù)通常需要依靠軟件來設(shè)置通過服務(wù)器的軟件通?？梢詫ι暇W(wǎng)的用戶設(shè)置不同的服務(wù)權(quán)限，可以規(guī)定頁面中的特定信息僅對特定的用戶提供 .從而避免內(nèi)部用戶的安全攻擊 .對每個(gè)上網(wǎng)的用戶都須設(shè)置口令，以通過目錄對用戶的姓名、密碼來鑒別上網(wǎng)用戶的身份，并且對用戶的密碼設(shè)置安全有效期、以避免別有用心的用戶盜用他人的密碼登錄人網(wǎng)進(jìn)行破壞活動(dòng) .在代理 服務(wù)器上常常安裝專用的安全系統(tǒng)軟件 .通過專用軟件，可以將代理服務(wù)器之間的傳輸數(shù)據(jù)進(jìn)行加密，其密文常采用 S SSL加密方法， 并可以在此基礎(chǔ)上增加電子簽名等安全技術(shù)，以提高傳輸數(shù)據(jù)的安全性 .代理服務(wù)器也可以提供口令保護(hù)，以接收內(nèi)部合法用戶的數(shù)據(jù)進(jìn)行發(fā)送、接收和查詢，并可以判別 Ip地址及其對應(yīng)口令的有效性 . 一 、 SSL協(xié)議概述 SSL (Secure Socket Layer:安全套接層協(xié)議 )是基于公鑰密碼體制的網(wǎng)絡(luò)安全協(xié)議，用于在瀏覽器和 Web服務(wù)器之間建立一條安全通道，實(shí)現(xiàn) Inter上信息傳送的保密性。 但是目前在許多單位的 UNIX主機(jī)中 NFS使用相當(dāng)廣泛，我們只能采用一些管理措施，來盡可能減小危險(xiǎn) 性 : .加強(qiáng)對 NFS的配置的管理 .盡可能減小 NFS的范圍 SNMP 目前常用的 SNMPV 1 不使用驗(yàn)證或使用明文可重用口令來驗(yàn)證和認(rèn)證信息，因此對 SNMP信息流的偵聽，進(jìn)而實(shí)現(xiàn)對 SNMP數(shù)據(jù)的非法訪問是比較容易的。 在 大部分企業(yè)的網(wǎng)絡(luò)中，既要保護(hù)企業(yè)內(nèi)部的網(wǎng)絡(luò)又要提供英特網(wǎng)的服務(wù)必須解決好域名問題。 五、應(yīng)用層 在應(yīng)用層我們有更多的事要做 。大部分防火墻軟件都提供地址轉(zhuǎn)換功能。為保證安全，在使用其它手段解決安全問題以前，不能提供穿越不可信網(wǎng)絡(luò)的訪問。 為解決 IP安全問題， IETF設(shè)計(jì)了一些安全機(jī)制，如 AH (Authentication Header和 ESP ( Encapsulating Security Payload )，使用這些機(jī)制，增加了安全性，但卻減少了帶寬，而且我們大部分現(xiàn)成的軟件中沒有提供這種機(jī)制，在內(nèi)部網(wǎng)中全部使用是不現(xiàn)實(shí)的，我們只能希望對敏感信息在更高的層上進(jìn)行保護(hù)，而對那些希望在內(nèi)部網(wǎng)以外訪問內(nèi)部網(wǎng)的用戶，必須采用安全措施。 .使 用 IP 中 的 Source outing進(jìn)行偵聽和攻擊 。 但虛網(wǎng)作為交換機(jī)的功能之一，也同樣面臨著交換機(jī)帳號(hào)和密碼 問題。 我們 在 網(wǎng) 絡(luò)中，比較重要的地方使用交換機(jī)的安全機(jī)制 。 一些 交換機(jī)中。 二、鏈路層 在 同一網(wǎng)段上，各計(jì)算機(jī)在網(wǎng)絡(luò)上傳輸?shù)男畔⒍寄芨飨嗷ケO(jiān)聽的，這在一個(gè)信任域內(nèi)是可以的，如我們在一個(gè)組內(nèi)，甚至在一個(gè)研究室內(nèi)都是合理的。甚至采用截?cái)嚯娎|的方法，加入計(jì)算機(jī)就可以收到任一個(gè)傳輸中的數(shù)據(jù)包，并在需要時(shí)進(jìn)行插入和修改。尤其軍用網(wǎng)絡(luò)的迅速發(fā)展，要求必須確保網(wǎng)絡(luò)上信息的保密性、完整性和真 實(shí)性 這更奠定了密碼學(xué)在軍事上的重要地位。密碼不僅支持通信的保密性，而且方便驗(yàn)證身份 (實(shí)體鑒別 )、保證通信信息安全 (報(bào)文鑒別 )、允許在網(wǎng)絡(luò)上實(shí)現(xiàn)安全認(rèn)證 (數(shù)名 )等。 訪問控制技術(shù)是信息系統(tǒng)中要確定允許進(jìn)入的用戶對哪些信息資源享有何種權(quán)限以進(jìn)行什么類型的訪問操作，并防 止 非法用戶進(jìn)入系統(tǒng)和合法用戶對信息資源的非用。 鑒別技術(shù)是解決信息交換過程的合法性、有效性及信息的真實(shí)性問題的重要技術(shù)可以防止對信息進(jìn)行有意篡改的主動(dòng)攻擊。數(shù)據(jù)的可用性指合法用戶的正常請求能及時(shí)、正確，安全地得到服務(wù)或回應(yīng) .網(wǎng)絡(luò)系統(tǒng)的安全受到影響后常常會(huì)導(dǎo)致網(wǎng)絡(luò)系統(tǒng)無法提供正常的服務(wù)，或者是網(wǎng)絡(luò)信息資源被更改甚至銷毀，或者是信息的泄密等 . 網(wǎng)絡(luò) 的 安 全系統(tǒng)是指使用硬件及軟件等安全措施形成多個(gè)保護(hù)層，以保護(hù)它們所包圍的計(jì)算機(jī)數(shù)據(jù)的資源的安全性，外圍的安全等級(jí)較低， 而內(nèi)層的安全級(jí)別較高 .網(wǎng)絡(luò)的安全保障與網(wǎng)絡(luò)的靈活、方便使用常常是相互矛盾的 .從數(shù)據(jù)安全性來講盡量對數(shù)據(jù)進(jìn)行多層的保護(hù)，以形成數(shù)據(jù)安全的多層控制 .從用戶的靈活使用來講，則希望網(wǎng)絡(luò)的結(jié)構(gòu)和技術(shù)盡量簡潔，不引人額外的控制因素和資源開銷 .實(shí)現(xiàn)各種附加的安全功能不但需要耗費(fèi)有限的網(wǎng)絡(luò)資源和限制網(wǎng)絡(luò)資源的使用，同時(shí)需要投人額外的硬件、軟件及網(wǎng)絡(luò)運(yùn)行管理的額外投人，保障網(wǎng)絡(luò)的安全是有代價(jià)的 .一個(gè)優(yōu)秀的網(wǎng)絡(luò)安全系統(tǒng)須建立在網(wǎng)絡(luò)的應(yīng)用性能和安全保障措施之問的一個(gè)最佳平衡點(diǎn)上，使網(wǎng)絡(luò)安全保障所引人的額外開銷與它所帶來的效益相當(dāng) . 信息數(shù) 據(jù) 在傳送時(shí)、從何處開始到何處結(jié)束的分析對子安全的機(jī)構(gòu)的制定具有一定的意義 .網(wǎng)絡(luò)的安全性服務(wù)可以由 OSI模型的幾乎所有層提供 .常用的安全措施有在路由器上增加 IP filtering功能，應(yīng)用網(wǎng)關(guān) (Appliation gateway)，用戶的身份驗(yàn)證 (Authertication)、訪問控制 (Access Control),信息的加密和解密及數(shù)字簽名等 .目前最常見的兩種安全措施為“防火墻”和信息數(shù)據(jù)的加密技術(shù) .防火墻技術(shù)較適合于相對獨(dú)立、與外部網(wǎng)絡(luò)互聯(lián)途徑有限并且網(wǎng)絡(luò)服務(wù) 種類相對集中單一的網(wǎng)絡(luò)系統(tǒng)，防火墻型安全系統(tǒng)實(shí)施相對比較簡單，它往往只在網(wǎng)絡(luò)邊界上具有安全保障功能，其實(shí)際效力范圍相對有限 .而以數(shù)據(jù)加密為基礎(chǔ)的安全系統(tǒng)是一種較適合于 Inter網(wǎng) 互聯(lián) 的安全技術(shù)， Interne:網(wǎng)是一個(gè)開放性的系統(tǒng)，采用數(shù)據(jù)加密技術(shù)基本上是一種開放型的安全技術(shù) .它對網(wǎng)絡(luò)服務(wù)的影響比較小，是將來網(wǎng)絡(luò)安全保障的主要手段之一 。事實(shí)上，數(shù)據(jù)加密是所有通信安全依賴的基本技術(shù)。在行為上，保護(hù)數(shù)據(jù)的決心離不開安全管理部門的安全認(rèn)可和有力支持 :在技術(shù)上，必須滿足若干通信安全目標(biāo)，主要包括 : (1) 必須防止非法泄漏發(fā)送的信息 。 Young信息安全調(diào)查公司的最新統(tǒng)計(jì)，在 199，年，美國每五個(gè)公司中就有一個(gè)遭到入侵，使有關(guān)方面蒙受無法估量的損失。他們千方百計(jì)地“闖入”技術(shù)網(wǎng)絡(luò)系統(tǒng)，竊取各種情報(bào)，刺探個(gè)人隱私，用以進(jìn)行各種詐騙活動(dòng)。各類入侵者，包括雇員、“黑客”、恐怖組織、以政治和軍事情報(bào)為目標(biāo)的外國政府、從事工業(yè)間諜活動(dòng)的國內(nèi)外企業(yè)等，給計(jì)算機(jī)和電信系統(tǒng)造成極大 威脅 。據(jù)美國信息周 刊 /Ernstamp。 最大 限 度 地減少網(wǎng)絡(luò)攻擊的頻次和影響并非不可能，但也并非易事。 (4) 必須檢測得出所有的服務(wù)抵賴攻擊和假關(guān)聯(lián)初始化攻擊 (Spurious association initiation attack). 滿足前三個(gè)目標(biāo)唯一有效的辦法是加密。數(shù)據(jù)的安全性指信息不會(huì)被非授權(quán)用戶修改及信息保持一致性等 。信息安全是我們的最終目標(biāo)，而加密是實(shí)現(xiàn)這一目 的 有效又必不可少的技術(shù)手段，也是最基本的技術(shù)之一。常用的鑒別技術(shù)主數(shù)字簽名、報(bào)文鑒別和身份鑒別 。而以上這些技術(shù)大部分跟密碼技術(shù)的應(yīng)用密不可分。 密碼在軍事領(lǐng)域一直得到 廣 泛應(yīng)用，數(shù)據(jù)加密標(biāo)準(zhǔn) (DES)和公鑰密碼體制的定了近代密碼學(xué)基礎(chǔ) 使得它的應(yīng)用更加廣泛，它 已經(jīng) 成為取得網(wǎng)絡(luò)安全性的一種最的方法。 一、物理層 a) 雙絞線及銅纜 電信號(hào)在雙絞線和銅纜中傳輸時(shí)，會(huì)產(chǎn)生電磁輻射，采用一些設(shè)備就可以接收到網(wǎng)線中傳輸?shù)男盘?hào)，井進(jìn)行還原。必要時(shí)在安全級(jí)別較高的應(yīng)用中進(jìn)行加密。 需要指出的是，劃分網(wǎng)段以后仍處于同一廣播域，并不能阻止網(wǎng)絡(luò)的訪問和網(wǎng)絡(luò)的竊聽，攻擊者任可采用多種方法進(jìn)行攻擊，如攻擊 ARP協(xié)議等。 需要 說 明 的是這種安全也是有限的，交換器為了管理方便，往往允許通過 Tel進(jìn)行控制，而在啟動(dòng)管理程序時(shí)，管理員的用戶名和密碼又都是以明文傳輸?shù)模?一旦 攻擊者獲得了帳號(hào)和密碼，一切安全便化為烏有。 第 6 頁 共 32 頁 采用虛網(wǎng)技術(shù)，可以有效控制廣播數(shù)據(jù)，大大減小網(wǎng)絡(luò)非法訪問的機(jī)會(huì)，從長遠(yuǎn)看應(yīng)在中心廣泛采用。很不幸的是目前 IP層主要使用的 IP V4協(xié)議，沒有提供安全設(shè)施，數(shù)據(jù)的保密性、完整性和系統(tǒng)的可用性經(jīng)常受到威脅，如 : .攻 擊 者 可 以 偽 造 源地址 。 .協(xié) 同 代 理 A R P和 RAR P,竊取信息，實(shí)現(xiàn)拒絕服務(wù)。 b)IP加 密 對穿越不信任網(wǎng)絡(luò)的通訊連接，進(jìn)行 IP層加密。從而給內(nèi)部網(wǎng)絡(luò)的安全帶來很大的好處，增加了從外部網(wǎng)絡(luò)進(jìn)行攻擊的難度。在傳輸層我們沒有更好的措施。盡管 DNS的設(shè)置必須遵從上級(jí) DNS的協(xié)議，但我們還要保護(hù)我們的內(nèi)部網(wǎng)結(jié)構(gòu)。 NFS NFS( Network Files System )它提供多臺(tái)計(jì)算機(jī)共享文件系統(tǒng)， NFS 以及NIS(Network Information System)都是以 RPC 為基礎(chǔ)的，本身缺乏安