第10章網(wǎng)絡(luò)安全-文庫吧在線文庫
【正文】 題。 ? 破譯者只要擁有很少一點密文，利用自然語言的統(tǒng)計特征，很容易就可破譯密碼。 秘密密鑰算法 ? 在傳統(tǒng)加密算法的基礎(chǔ)上，充分利用計算機的處理能力，將算法內(nèi)部的變換過程設(shè)計的非常復(fù)雜，并使用較長的密鑰，使得攻擊者對密文的破譯變得非常困難。 ?圖（ c）是一個乘積密碼系統(tǒng)的例子。 ? 如果能夠滿足以上三個條件，則加密算法完全可以公開。 ? 用公開密鑰算法解決密鑰分發(fā)問題： ? 中心密鑰生成設(shè)備產(chǎn)生一個密鑰后，用各個用戶公開的加密算法對之進(jìn)行加密，然后分發(fā)給各用戶，各用戶再用自己的私人密鑰進(jìn)行解密，既安全又省事。 RSA算法的安全性 ? RSA算法的安全性建立在難以對大數(shù)提取因子的基礎(chǔ)上，如果破譯者能對已知的 n提取出因子 p和 q就能求出 z，知道了 z和 e，就能求出d。 KDC是可以信賴的，并且每個用戶和 KDC間有一個共享的秘密密鑰，用戶認(rèn)證和會話密鑰的管理都通過 KDC來進(jìn)行。 使用秘密密鑰算法的數(shù)字簽名 ? 當(dāng) A想向 B發(fā)送一個簽名的報文 P時，它向 CA發(fā)出 KA（ B，RA， t， P） ，其中 RA為報文的隨機編號， t為時間戳； ? CA將其解密后，重新組織成一個新的密文 KB（ A， RA， t， P， KCA（ A， t， P））發(fā)給B，因為只有 CA知道密鑰 KCA，因此其他任何人都無法產(chǎn)生和解開密文 KCA（ A， t， P）； ? B用密鑰 KB解開密文后，首先將 KCA（ A， t， P） 放在一個安全的地方，然后閱讀和執(zhí)行 P。 算法存在的問題 ? 這種數(shù)字簽名看上去很好，但在實際的使用中也存在一些問題，這些問題不是算法本身的問題，而是和算法的使用環(huán)境有關(guān)。 ? 通常，防火墻就是位于內(nèi)部網(wǎng)或 Web站點與因特網(wǎng)之間的一臺路由器或計算機。 防火墻在因特網(wǎng)與內(nèi)部網(wǎng)中的位置 防火墻體系結(jié)構(gòu) 1．雙重宿主主機體系結(jié)構(gòu) 2．主機過濾體系結(jié)構(gòu) 3．子網(wǎng)過濾體系結(jié)構(gòu) 4. 堡壘主機的安全防護(hù) 雙重宿主主機 ? 雙重宿主主機結(jié)構(gòu)是圍繞具有雙重宿主的計算機而構(gòu)筑的。 子網(wǎng)過濾結(jié)構(gòu) ? 子網(wǎng)過濾體系結(jié)構(gòu)添加了額外的安全層到主機過濾體系結(jié)構(gòu)中，即通過添加參數(shù)網(wǎng)絡(luò)，更進(jìn)一步地把內(nèi)部網(wǎng)絡(luò)與因特網(wǎng)隔離開 。 內(nèi)部路由器 ? 內(nèi)部路由器的主要功能是保護(hù)內(nèi)部網(wǎng)免受來自外部網(wǎng)與參數(shù)網(wǎng)絡(luò)的侵?jǐn)_。這些數(shù)據(jù)包自稱是來自內(nèi)部網(wǎng)，而其實它是來自外部網(wǎng)。 （ 3）安裝或修改必需的服務(wù)軟件。 對堡壘主機進(jìn)行監(jiān)測 主要的監(jiān)視內(nèi)容有： （ l）一般在同一時刻大概會有幾個作業(yè)在運行？ （ 2）每個作業(yè)一般花費多少 CPU時間？ （ 3）一天內(nèi)哪些時間是系統(tǒng)重載的時間？ 有條件還可采用專門的軟件對堡壘主機進(jìn)行自動監(jiān)測。 ? 包過濾可依據(jù)以下三類條件允許或阻止數(shù)據(jù)包通過路由器： ? 包的源地址及源端口； ? 包的目的地址及目的端口； ? 包的傳送協(xié)議，如 FTP、 SMTP、 rlogin等。 ? 協(xié)議的雙向性 ? “往內(nèi) ”與 “往外 ”的含義 ? “默認(rèn)允許 ”與 “默認(rèn)拒絕 ” 包過濾處理流程 包過濾規(guī)則設(shè)計示例 ? 假設(shè)網(wǎng)絡(luò)策略安全規(guī)則確定：從外部主機發(fā)來的因特網(wǎng)郵件由特定網(wǎng)關(guān) “MailGW”接收，并且要拒絕從不信任的主機 “CREEPHOST”發(fā)來的數(shù)據(jù)流。 序號 動作 內(nèi)部主機 內(nèi) 外部主機 外 說明 1 阻塞 Creephost 阻塞來自 Creephost的流量 2 允許 MailGW 25 允許郵件網(wǎng)關(guān) MailGW的連接 3 允許 25 允許輸出 SMTP至遠(yuǎn)程郵件網(wǎng)關(guān) 狀態(tài)監(jiān)測型防火墻 ? 采用動態(tài)設(shè)置包過濾規(guī)則的方法，避免了靜態(tài)包過濾所具有的問題。 代理類型防火墻優(yōu)缺點 ? 優(yōu)點： ? 安全 ? 避免了入侵者使用數(shù)據(jù)驅(qū)動類型的攻擊方式入侵內(nèi)部網(wǎng) ? 缺點： ? 速度相對比較慢 代理服務(wù)器特殊類型 ? 應(yīng)用級與電路級代理 ? 公共與專用代理服務(wù)器 ? 智能代理服務(wù)器 防火墻的應(yīng)用 ? 因特網(wǎng)應(yīng)用的代理特點 ? 選擇防火墻的原則 電子郵件（ Email）的代理特點 ? 一個服務(wù)器，用來向外部主機發(fā)送郵件或從外部主機接收郵件。 域名服務(wù)（ DNS） ? DNS具有這樣的結(jié)構(gòu)：可以使服務(wù)器充當(dāng)客戶程序的代理。 （ 5）特殊控制需求。 ? ② 宏病毒的傳染通常是 Word在打開一個帶宏病毒的文檔或模板時，激活宏病毒。 ? 目前最有效的防治辦法是購買商業(yè)化的病毒防御解決方案及其服務(wù)，享受專業(yè)公司提供的不斷升級的防病毒產(chǎn)品及服務(wù)。 ? ⑤ 宏病毒在 .doc文檔、 .dot模板中以 .BFF（ Binary File Format）格式存放，這是一種加密壓縮格式，不同 Word版本格式可能不兼容。它利用簡單的語法，把常用的動作寫成宏，當(dāng)再工作時，就可以直接利用事先寫好的宏自動運行，去完成某項特定的任務(wù)，而不必再重復(fù)相同的動作。 選擇防火墻的原則 ? 選擇防火墻的原則如下： （ 1） IP地址轉(zhuǎn)換（ IP Address Translation）。大多數(shù)站點將輸入的 SMTP連接到一臺安全運行 SMTP服務(wù)的堡壘主機上，該堡壘主機就是一個代理。 ? 代理服務(wù)就是指定一臺有訪問因特網(wǎng)能力的主機作為網(wǎng)絡(luò)中客戶端的代理去與因特網(wǎng)中的主機進(jìn)行通信。 ? 以上規(guī)則被編成如下表的形式。 ? 維護(hù)復(fù)雜的包過濾規(guī)則也是一件很麻煩的事情 ? 包過濾規(guī)則的判別會降低路由器的轉(zhuǎn)發(fā)速度 ? 對包中的應(yīng)用數(shù)據(jù)無法過濾 ? 它總是假定包頭部信息是合法有效的。 4）按防火墻的應(yīng)用部署位置分為： 邊界防火墻、個人防火墻和混合防火墻三大類。 建立堡壘主機應(yīng)該注意以下幾點： （ 1）要在機器上使用最小的、干凈的和標(biāo)準(zhǔn)的操作系統(tǒng)。 （ 4）禁用服務(wù)，應(yīng)被徹底禁止使用的服務(wù) 。實際上，在外部路由器上僅做一小部分包過濾，它幾乎讓所有參數(shù)網(wǎng)絡(luò)的外向請求通過，而外部路由器與內(nèi)部路由器的包過濾規(guī)則是基本上相同的。因為沒有純粹的內(nèi)部信息流（內(nèi)部主機間互傳的重要和敏感的信息）在參數(shù)網(wǎng)絡(luò)中流動，所以即使堡壘主機受到損害也不會讓入侵者破壞內(nèi)部網(wǎng)的信息流 。 雙重宿主主機防火墻結(jié)構(gòu) ? 雙重宿主主機防火墻結(jié)構(gòu)是相當(dāng)簡單的，雙重宿主主機位于兩者之間，并且被連接到因特網(wǎng)和內(nèi)部的網(wǎng)絡(luò)。 ? 理論上說，防火墻是穿不透的 。 ? 為滿足條件 3， MD（ P）至少必須達(dá)到 128位，實際上有很多函數(shù)符合以上三個條件。 使用公開密鑰算法的數(shù)字簽名 ? 使用公開密鑰算法的數(shù)字簽名，其加密算法和解密算法要同時滿足 ? D（ E（ P）） = P； ? E（ D（ P）） = P。另外還可以在報文上加一個時間戳，并規(guī)定一個有效期，當(dāng)接收方收到一個過期的報文時就將它丟棄。 ? 每次連接都使用一個新的隨機選擇的密鑰 基于共享秘密密鑰的用戶認(rèn)證協(xié)議 假設(shè)在 A和 B之間有一個共享的秘密密鑰KAB 。 ? 對數(shù)據(jù)塊 P進(jìn)行加密，計算 C=Pe（ mod n）， C即為 P的密文； ? 對 C進(jìn)行解密，計算 P=Cd（ mod n）。 ? 若 A需要將秘密報文發(fā)給 B， 則 A用 B的加密算法 EB對報文進(jìn)行加密，然后將密文發(fā)給 B， B使用解密算法 DB進(jìn)行解密，而除 B以外的任何人都無法讀懂這個報文； ? 當(dāng) B需要向 A發(fā)送消息時， B使用 A的加密算法 EA對報文進(jìn)行加密，然后發(fā)給 A， A利用 DA進(jìn)行
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1