【正文】 30 2 /解密程序核心代碼 32 /解密器的實(shí)現(xiàn) 43 結(jié)論 48 參考文獻(xiàn) 49 3 計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全保密技術(shù) 作 者：盧林 摘 要 Inter所具有的開放性、國際性和自由性 ,以及 TCP/IP協(xié)議在制定時(shí)本 身所具有的缺陷 ,使得網(wǎng)絡(luò)安全問題日益嚴(yán)重 .隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的廣泛應(yīng)用 ,使得網(wǎng)絡(luò)病毒 ,各種各樣的入侵行為和黑客行為也變得更加復(fù)雜 .因此 ,采取積極而主動(dòng)的安全措施對(duì)于保護(hù)電子資源是非常必要的 ,防火墻以及 加密技術(shù)則扮演了重要角色。 從技術(shù)的角度看， Inter是一種計(jì)算機(jī)網(wǎng)絡(luò)的集合。原先，使用 Inter的人就是創(chuàng)建 Inter的科學(xué)家們，他們有共同的目標(biāo)，隨著時(shí)間的推移， Inter變得越來越 有用，加入的人也越來越多，從公司到大學(xué)，甚至個(gè)人，涉及各行各業(yè)。美國國防部曾對(duì)許多重要站點(diǎn)受攻擊的情況作過分析，結(jié) 果如下 : 6 可以看到 ,在多達(dá) 38000次的攻擊中 ,只有 267次攻擊公開報(bào)道 ,而檢測(cè)到的攻擊中有73%未報(bào)道，最令人不安的是成功攻擊中的 96%我們毫無察覺，他們到底造成多少危害，有多少關(guān)鍵數(shù)據(jù)丟失，我們無從統(tǒng)計(jì)。 第二章 計(jì)算機(jī)網(wǎng)絡(luò)安全概述 對(duì)于一 個(gè) 網(wǎng)絡(luò)而言，其性能、可靠性、可用性及信息安全等等都是不可忽視的問題。 網(wǎng)絡(luò)安全是指借助于網(wǎng)絡(luò)管理，使網(wǎng)絡(luò)環(huán)境中信息的機(jī)密性、完整性及可使用性「 CIA」受到保護(hù)，其主要目標(biāo)是確保經(jīng)過網(wǎng)絡(luò)傳輸?shù)男畔?到達(dá)目的計(jì)算機(jī)時(shí)沒有攻 擊 數(shù)38000 防 護(hù) 未成功 13300 成功 24700 檢 測(cè) 未檢測(cè)出 23731 檢測(cè)到 988 反 映 公開報(bào)道 267 未公開報(bào)道 721 7 任何改變或丟失。安全管理涉及 :1需要保護(hù)什么 。這種服務(wù)防止假冒計(jì)算機(jī)實(shí)體或重放以前的連接，也即防止偽造連接初始化這種類型的黑客攻擊。 .數(shù) 據(jù) 無連接完整性 :該服務(wù)提供單個(gè)無連接數(shù)據(jù)單元的完整性，能確定收到的數(shù)據(jù)單元是否已被修改。 安全 機(jī) 制是操作系統(tǒng)、硬件和軟件功能部件、管理程序以及它們的任意組合，用于為一個(gè)信息系統(tǒng)的任一部件來檢測(cè)和防止被動(dòng)與主動(dòng)威脅。 截取 (Interception):未授權(quán)的攻擊方可以訪問到系統(tǒng)，最典型的是對(duì)網(wǎng)絡(luò)線路上的竊聽與分析。其具體形式分為 :偽造信息、篡改信息和拒絕服務(wù) (Denial of Service，簡(jiǎn)稱 DOS)。目前的主要防護(hù)措施有兩類： 是對(duì)傳導(dǎo)發(fā)射的防護(hù)，主要采取對(duì)電源線和信號(hào)線加裝性能良好的濾波器，減小傳輸阻抗和導(dǎo)線間的交叉耦合； 是對(duì)輻射的防護(hù)，由于設(shè)備中的計(jì)算機(jī)處理機(jī)、顯示器有較強(qiáng)的電磁輻射，如不采用屏蔽或干擾，就會(huì)使秘密通過電磁輻射而造成泄露，根據(jù)保密等級(jí)，可采用在全室或關(guān)鍵設(shè)備局部使用電磁屏蔽房，選用低輻射設(shè)備或者使用相關(guān)干擾的電磁輻射干擾器，使得難以從被截獲的輻射信號(hào)中分析出有效信號(hào)。根據(jù)電子對(duì)抗原理，采用一定的技術(shù)措施，利用干擾器產(chǎn)生噪聲與計(jì)算機(jī)設(shè)備產(chǎn)生的信息輻射一起向 外輻射。 訪問控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非法訪問。如果驗(yàn)證合法，才繼續(xù)驗(yàn)證用戶輸入的口令，否則，用戶將被拒之于網(wǎng)絡(luò)之外。網(wǎng)絡(luò)控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源以及用戶可以執(zhí)行的操作。 操作系統(tǒng)及網(wǎng)絡(luò)軟件安全策略 11 大多數(shù)公司高度依賴防火墻作為網(wǎng)絡(luò)安全的一道防線。防火墻通常安裝在單獨(dú)的計(jì)算機(jī)上，并與網(wǎng)絡(luò)的其余部份分隔開，使訪問者無法直接存取內(nèi)部網(wǎng)絡(luò)的資源。因此，密鑰的分發(fā)成為該加密體系中最薄弱的環(huán)節(jié)。在加密應(yīng)用時(shí)，某個(gè)用戶總是將一個(gè)密鑰公開，讓需發(fā)信的人員 將信息用公共密鑰加密后發(fā)給該用戶，信息一旦加密，只有該用戶的私有密鑰才能解密。 (1)網(wǎng)絡(luò)安全 性能檢查系統(tǒng) 提供事前的安全掃描能夠發(fā)現(xiàn)系統(tǒng)的安全漏洞，可以做好安全預(yù)防措施。對(duì)可疑網(wǎng)絡(luò)活動(dòng)進(jìn)行分辨的能力，在不影響正常網(wǎng)絡(luò)應(yīng)用的情況下有效地制止入侵攻擊行為和非法存取企業(yè)網(wǎng)絡(luò)資源。為了提供一個(gè)安全的環(huán)境，必須做到： (1)用戶培訓(xùn)，增強(qiáng)安全意識(shí)； (2)建立一個(gè)可幫助的安全策略； (3)提高在現(xiàn)有網(wǎng)絡(luò)環(huán)境下，對(duì)可能的安全風(fēng)險(xiǎn)的認(rèn)識(shí)和理解； (4)選擇能夠幫助建立一個(gè)安全環(huán)境并且能夠與已建立的安全策略相符合的產(chǎn)品和應(yīng)用程序； (5)合格的安全審計(jì)員和工具，定期檢查網(wǎng)絡(luò)環(huán)境 “道高一尺，魔高一丈”，安全將是網(wǎng)絡(luò)永恒的問題，風(fēng)險(xiǎn)是無法完全消除的，零風(fēng)險(xiǎn)就意味著網(wǎng)絡(luò)的零效用，關(guān)鍵的問題是如何達(dá)到均衡，即盡可能站地降低風(fēng)險(xiǎn)，又使網(wǎng)絡(luò)發(fā)揮其最大效用 第四 章 防火墻技術(shù)綜述 何謂防火墻 防火墻原是建筑物大廈設(shè)計(jì)用來防止火災(zāi)蔓延的隔斷墻。二是一切未被禁止的就是允許的。 Inter上的活動(dòng)。 。 數(shù)據(jù)包過濾是針對(duì)分組的包 頭 信息來進(jìn)行的，每個(gè)數(shù)據(jù)包都包含有特定信息的一組包頭，其主要信息有 : 1)IP源地址 。如果沒有匹配原則，用戶配置的缺省參數(shù)會(huì)決定是轉(zhuǎn)發(fā)還是丟棄數(shù)據(jù)包。當(dāng)然，也可以將上述幾種方式組合起來制定過濾規(guī)則。只要丟棄所有協(xié)議類型為 TCP,且 IP片斷偏移值為 1的信息分組即可。在調(diào)用期間，網(wǎng)關(guān)中繼程序復(fù)制往返的字節(jié)。如圖 53所示。因此，每出現(xiàn)一個(gè)新的協(xié)議，必須為之開發(fā)一個(gè)相應(yīng)的新的應(yīng)用代理程序。同時(shí)，由于雙宿主主機(jī)擔(dān)任了內(nèi)、外網(wǎng)通信的橋梁，因此，當(dāng)內(nèi)外網(wǎng)之間的信息量較大時(shí)，該主機(jī)將不可避免得成為此網(wǎng)絡(luò)通信的瓶頸。而且與雙宿主主機(jī)體系結(jié)構(gòu)一樣，如果侵襲者設(shè)法繞過防火墻侵入堡壘主機(jī)，則在堡壘主機(jī)和其余的內(nèi)部主機(jī)之間沒有任何保護(hù)網(wǎng)絡(luò)安全的東西存在。 DMZ區(qū) 內(nèi)網(wǎng) 屏蔽主機(jī)體系結(jié)構(gòu) 復(fù)合結(jié)構(gòu) 以上三種為防火墻的基本體系結(jié)構(gòu)，在實(shí)際應(yīng)用中，還可根據(jù)具體的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)以及資 Inter外部過濾路由器 。 2)WINDOWS系列操作系統(tǒng)均存在安全漏洞。 2)保持網(wǎng)絡(luò)原有的性能特點(diǎn)，即對(duì)網(wǎng)絡(luò)協(xié)議和傳輸具有透明性。安全模塊和設(shè)備的引入應(yīng)該體現(xiàn)系統(tǒng)運(yùn)行和管理的統(tǒng)一性。 6)可管理性與擴(kuò)展性。我將從四部分考慮：網(wǎng)絡(luò)安全、主機(jī)安全、數(shù)據(jù)安全、人員安全。 由于兩校區(qū)圖書館分屬于不同的 C 類地址段，就目前而言 為實(shí)現(xiàn)其他校區(qū)對(duì)新校區(qū)圖書館的業(yè)務(wù) 用機(jī) 訪問 ，我們可以施 MAC 地址綁定，將他其兩個(gè) 校區(qū)使用服務(wù)器的用戶的 IP 地址與其 MAC 地址綁定，即其他 校區(qū)工作用機(jī)被分配一個(gè) IP地址以后，防火墻系統(tǒng)接收到相應(yīng)的地址廣播，在防火墻系統(tǒng)上列出 IP 地址與相應(yīng)的 MAC 地址，并選擇把這個(gè) IP 地址與相應(yīng)的 MAC 地址綁定，這樣可限定 IP 地址只能在一臺(tái)指定的工作站上使用，可以防止 IP 地址冒用。圖書館所有工作人員用機(jī)，除特殊需要外，不能向?qū)W校以外的網(wǎng)絡(luò)開放，這就從另一方面防止了病毒的感染和黑客的入侵。 2)屏蔽不需要的服務(wù)組件。 4)為了防止猜口令的非法用戶。 3)自動(dòng)檢測(cè)清除壓縮文件病毒能力。任何操作系統(tǒng)都有漏洞，只有及時(shí)地到相關(guān)網(wǎng)站下載并安裝最新的補(bǔ)丁才能增加系統(tǒng)的安全性，增強(qiáng)系統(tǒng)抗攻擊能力。 2)系統(tǒng)維護(hù)人員應(yīng)及時(shí)下載并更新各主機(jī)上的病毒庫和系統(tǒng)補(bǔ)丁。 4)系統(tǒng)維護(hù)人員應(yīng)定期對(duì) 本系統(tǒng)進(jìn)行網(wǎng)絡(luò)安全檢測(cè)和入侵檢測(cè)，以便檢查本系統(tǒng)是否存在安全漏洞。 吉首大學(xué)圖書館的 圖書 信息數(shù)據(jù) 和電子期刊的數(shù)據(jù)均裝在本地服務(wù)器上，如發(fā)生以外卻 沒有備份將是非常可怕的事情。 5)應(yīng)具有權(quán)威機(jī)構(gòu)提供的認(rèn)證。 計(jì)算機(jī)病 毒對(duì)圖書館網(wǎng)絡(luò)具有不可估量的威脅 性和破壞力。但是用戶平時(shí)使用到的服務(wù)組件畢竟有限 。 主 機(jī)上的安全設(shè)置 26 要使圖書館的網(wǎng)絡(luò)安全得到更進(jìn)一步的保障，本機(jī)上的安全設(shè)置非常重要。 防火墻提供的網(wǎng)絡(luò)地址轉(zhuǎn)換（ Network Address Translation ）功能不僅可以隱藏內(nèi)部網(wǎng)路地 址信息，使外界無法直接訪問內(nèi)部網(wǎng)絡(luò)設(shè)備，同時(shí)，它還幫助網(wǎng)絡(luò)可以超越地址的限制，合理地安排網(wǎng)絡(luò)中的公有 Inter 地址和私有 IP 地址的使用。 1)依照網(wǎng)絡(luò)拓?fù)鋱D 看 ， 網(wǎng)絡(luò)通過連接校園網(wǎng)絡(luò)中心，接入 Inter 因此也劃入外DMZ 區(qū)（?；饏^(qū)）放置 WEB 服務(wù)器，媒體 點(diǎn) 播服務(wù)器，以及各種應(yīng) 用服務(wù)器，面向校內(nèi)用戶提供服務(wù)：內(nèi)部私網(wǎng)放置圖書館自動(dòng)化系統(tǒng)， 備份設(shè)備以及內(nèi)部工作用機(jī)。 7)分階段實(shí)施原則。 3)簡(jiǎn)單化原則。 4)進(jìn)一步完善網(wǎng)絡(luò)拓?fù)錂C(jī)構(gòu)，使之在安全性能上得到提高和改進(jìn)，并便于系統(tǒng) 結(jié) 構(gòu)和功能的擴(kuò)展。通過 IP地址限制，可拒絕校外用戶訪問，但對(duì)校內(nèi)用戶及館內(nèi)用戶的惡意攻擊缺少有效的監(jiān)控保護(hù)手段。 Inter 外部過濾路由器 內(nèi)部過濾路由器 堡壘主機(jī) 信息服務(wù)器 22 防火墻的發(fā)展趨勢(shì) 現(xiàn)在防火墻技術(shù)正向著混合型發(fā)展，即其綜合了數(shù)據(jù)包過濾和代理系統(tǒng)的特點(diǎn)與功能，同時(shí)還兼有帶寬管理， NAT (Net Address Translation)，劃分 VLAN,完善的日志，動(dòng)態(tài)的數(shù)據(jù)包過濾，構(gòu)建 VPN虛通道等功能，隨著具有這些功能的防火墻的研制成功并上市，使得我們選擇的余地也越來越大。 屏蔽子網(wǎng)體系結(jié)構(gòu) 屏蔽子網(wǎng)體系結(jié)構(gòu)在屏蔽主機(jī)體系結(jié)構(gòu)基礎(chǔ)上增加 了一臺(tái)內(nèi)部包過濾路由器，堡壘主機(jī) 包過濾路由器 Inter 21 增設(shè)了一個(gè)周邊防御網(wǎng)段，用以進(jìn)一步隔離內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)。包過濾路由 器位于內(nèi)外網(wǎng)的連接處，堡壘主機(jī)只有一塊網(wǎng)卡，位于內(nèi)部網(wǎng)內(nèi)。 防火墻的實(shí)現(xiàn)方式 前面我們對(duì)防火墻的兩種基本技術(shù)一包過濾和代理服務(wù)進(jìn)行了詳細(xì)的討論。 在連接建立起來后，對(duì)客戶端來說，與代理服務(wù)器交談就像與真實(shí)的服務(wù)器交談一樣，此時(shí)，代理服務(wù)扮演服務(wù)器的角色 。他們的優(yōu)點(diǎn)是堡壘主機(jī)可以被設(shè)置成混合網(wǎng)關(guān)，對(duì)于內(nèi)連接支持應(yīng)用層網(wǎng)關(guān) (即代理服務(wù) ).而對(duì)外連接支持電路層功能。但正因?yàn)槠錄]有日志和審計(jì)功能，因此有很多信息不能提供，使得管理員不易對(duì)事件進(jìn)行跟蹤檢查，有可能受到欺騙性攻擊。防止這類攻擊，在過濾規(guī)則中應(yīng)檢查特定 IP選項(xiàng)、檢驗(yàn)特殊片段偏移，下面是對(duì)幾種攻擊的對(duì)策 : .源 IP地址欺騙 :這類攻擊的形式是入侵者從偽裝成內(nèi)部主機(jī)的外部節(jié)點(diǎn) 傳送信息分組 。 過濾規(guī)則設(shè)計(jì) 為完成數(shù)據(jù) 包過濾，需設(shè)計(jì)一套過濾規(guī)則以規(guī)定什么類型的數(shù)據(jù)包被轉(zhuǎn)發(fā)或被丟棄。 3)封裝的協(xié)議類型 (TCP、 UDP、 ICMP等 ) 4) TCP或 UDP源端口 。 。 ?，F(xiàn)在多數(shù)防火墻都在這兩種之間采取折中措施。 防火墻是近年來發(fā)展起來的重要安全技術(shù)，其特征是通過在網(wǎng)絡(luò)邊界上建立相應(yīng)的網(wǎng)絡(luò)通訊監(jiān)控系統(tǒng)來達(dá)到保障網(wǎng)絡(luò)安全的目的。 基于網(wǎng)絡(luò)通過連接網(wǎng)絡(luò)捕獲網(wǎng)絡(luò)包 ,并分析其是否具有已知的攻擊模式 ,以此來判別是否為入侵者。 掃描系統(tǒng)的弱點(diǎn)和漏洞的分類：簡(jiǎn)單郵件傳輸協(xié)議，強(qiáng)力攻擊，系統(tǒng)守護(hù)進(jìn)程，遠(yuǎn)程過程調(diào)用，網(wǎng)絡(luò)文件系統(tǒng)，拒絕服務(wù)， NetBIOS， NT用戶， NT注冊(cè)表， NT審計(jì)，代理服務(wù)和域名服務(wù)， WEB站點(diǎn)，防火墻和路由器， IP欺騙，文件傳輸協(xié)議。上述兩種方法可以結(jié)合使用，從而生成數(shù)字簽名。同時(shí)，這一點(diǎn)也使密碼更新的 12 周期加長(zhǎng)，給其他人破譯密碼 提供了機(jī)會(huì)。 防火墻的局限性 : 防火墻不能防止通向站點(diǎn)的后門。一般而言，操作系統(tǒng)堪稱是任何應(yīng)用的基礎(chǔ)，最常見的 WindowsNT或 Unix即使通過防火墻與安全傳輸協(xié)議也難以保證 100％的安全。 安全的信息傳輸 網(wǎng)絡(luò)本身就不是一種安全的信息傳輸通道。加密的方法很多，其中最常見的方法有：基于單向函數(shù)的口令加密、基于測(cè)試模式的口令加密、基于公鑰加密方案的口令加密、基于平方剩余的口令加密、基于多項(xiàng)式共享的口令加密以及基于數(shù)字簽名方 案的口令加密等。下面我們分述各種訪問控制策略。 主要防護(hù)低密級(jí)的信息。這是防止計(jì)算機(jī)輻射泄密的根本措施，這些設(shè)備 在設(shè)計(jì)和生產(chǎn)時(shí)，已對(duì)可能產(chǎn)