【正文】 ， 但采用公開密鑰算法要比采用常規(guī)密鑰算法更容易實現(xiàn) 。 在滿足這三個條件的情況下 ， 加密算法 E就可以公開 。 DES算法現(xiàn)已在 VLSI芯片上實現(xiàn) 。 變換完的兩個 48位數(shù)據(jù)相異或輸出一個 48位數(shù)據(jù)，該數(shù)據(jù)經(jīng)過壓縮和置換輸出 32位數(shù)據(jù)，然后再與數(shù)據(jù)的左半部分相異或，其結果作為這一輪迭代的輸出數(shù)據(jù)的右半部分；結合前的右半部分作為這一輪迭代的輸出數(shù)據(jù)的左半部分。 DES被授權用于所有公開的和私人的非保密通信場合 ， 后來它又曾被國際標準組織采納為國際標準 。 如以上的例子 ，按照上表列出的 1， 2， 3， … ， 8列依次讀出 ， 就構成密文 。 第 6章 計算機網(wǎng)絡的安全性 2． 轉換密碼法 代換密碼法的實質(zhì)就是保持明文的次序 ， 而把明文字符隱藏起來 。 第一行 (A行 )是 ABCDE… XYZ， 第二行 (B行 )是B C D E F … Y Z A ， 依 此 類 推 ， 最 后 一 行 (Z行 ) 是ZABCD… WXY。例如，在英語中，最常用的字母是 e，其次是 t，再其次是 a、 o、 n、 i。 這種方法只移位三個字母 ， 實際上移動幾位可由設計者來定 。 破譯密碼的技術稱為密碼分析 (Cryptoanalysis)。 加密通常由加密算法來實現(xiàn)的 。 例如 ， 采用搭線竊聽 ， 對線路上傳輸?shù)男畔⑦M行截獲；采用電磁竊聽 ， 對用無線電傳輸?shù)男畔⑦M行截獲等 。 例如 ， 數(shù)據(jù)庫中保存了一些機密資料 ， 只有少數(shù)被授權的人員掌握其保密級和口令 ， 而且可能要通過幾級口令才能取出這些資料 。 第 6章 計算機網(wǎng)絡的安全性 1) 容易被竊聽和欺騙 2) 脆弱的 TCP/IP服務 3) 缺乏安全策略 4) 配置的復雜性 計算機網(wǎng)絡安全性概念 計算機網(wǎng)絡的重要功能是資源共享和通信 。 很多網(wǎng)絡包括 Inter其實就是把無數(shù)的局域網(wǎng)連接起來形成較大的網(wǎng)，然后再把較大的網(wǎng)連接成更大的網(wǎng)。 1． 物理網(wǎng)絡結構易被竊聽 計算機網(wǎng)絡按通信信道類型分為廣播式網(wǎng)絡和點 — 點網(wǎng)絡 ， 這兩種網(wǎng)絡都存在安全問題 。 2． TCT/IP網(wǎng)絡協(xié)議的設計缺陷 網(wǎng)絡通信的基礎是協(xié)議 ， TCP/IP協(xié)議是目前國際上最流行的網(wǎng)絡協(xié)議 ， 該協(xié)議在實現(xiàn)上因力求實效而沒有考慮安全因素 。 安全性與保密性是兩個很復雜的問題 ， 它們借助于法律和社會監(jiān)督予以保護 ， 必須有健全的管理制度對泄密和可能受到的破壞加以防范 。 有些方法在原理上可行 ， 例如分析指紋或字體 ， 但在技術上難以實現(xiàn) 。 (1) 明文：信息的原始形式 (Plaintext， 通常記為 P)。 把要加密的報文 (稱為明文 ， Plaintext)按照以密鑰 (Key)為參數(shù)的函數(shù)進行變換 ， 通過加密過程而產(chǎn)生的輸出報文稱為密文(Cyphertext)或密碼文件 (Cryptogram)。 傳統(tǒng)的加密方法可分為兩大類：代換密碼法和轉換密碼法 。 即使采用每猜一次只用1μs的計算機 ， 猜完全部密鑰也需用 1013年時間 。 第 6章 計算機網(wǎng)絡的安全性 因此 ， 為防止密碼被破譯 ， 必須使密文中各字母出現(xiàn)的頻率趨于平均 ， 使 e、 t等字母不那么容易被識破 。通常進一步采用的方法是：加長密鑰長度或采用隨機的二進制串作為密鑰。 最接近于英文字母表首端的密鑰字母的下面為第一列 。 傳統(tǒng)的技術一般采用簡單的算法并依靠長密鑰 ， 而現(xiàn)代的加密技術其密碼算法十分復雜 ， 幾乎不能破譯 。 64位數(shù)據(jù)經(jīng)過初始置換后被分為左 、 右兩半部分 ， 56位的密鑰經(jīng)過左移若干位和置換后取出 48位密鑰子集供不同的加密迭代 (圈 )使用 ，用作加密的密鑰比特子集記為 K(1)， K(2)， … ， K(16)。 如果試圖用試探法求出這個密鑰 ， 將有 256≈ 106種可能 。 (2) 由 E來推斷 D極其困難 。 數(shù)字簽名必須保證以下三點： (1) 接收者能夠核實發(fā)送者對報文的簽名 。 因為除 A外沒有別人能具有 A的解密密鑰 SKA， 所以除 A外沒有別人能產(chǎn)生密文 DSKA(P)。 這樣就證明 B偽造了報文 。 這種方法給用戶提供了一定的靈活性 ， 但增加了主機負擔 ， 不太適合于一般終端 。 目前多使用報文摘要 MD(Message Digest)算法來進行報文鑒別 ， 其主要原理如圖 69所示 。 也就是說 ， 報文m+EK(H(m))是不可篡改和偽造的 ， 是可鑒別的和不可抵賴的 。 對稱密鑰加密方法的一個致命弱點就是它的密鑰管理十分困難 ， 因此它很難在現(xiàn)代的電子商務實踐中得到廣泛應用 。 每個用戶只保存自己的秘密密鑰 SK和 KDC的公開密鑰 PK。 由于密鑰 K的使用是一次性的 ，因而保密性非常高 。 (2) 只有被授權的合法數(shù)據(jù) (即防火墻系統(tǒng)中安全策略允許的數(shù)據(jù) )才可以通過防火墻 。 在業(yè)務進行時 ， 堡壘主機監(jiān)控全過程并完成詳細的日志 (Log)和審計 (Audit)， 這就大大地提高了網(wǎng)絡的安全性 。 第 6章 計算機網(wǎng)絡的安全性 4) 子網(wǎng)屏蔽防火墻 (Screened Subact Firewall) 子網(wǎng)屏蔽防火墻的保護作用比主機屏蔽防火墻更進了一步 ， 它在被保護的 Intra與 Inter之間加入了一個由兩個包過濾路由器和一臺堡壘機組成的子網(wǎng) 。 第 6章 計算機網(wǎng)絡的安全性 5． 防火墻的發(fā)展趨勢 (1) 防火墻將從目前對子網(wǎng)或內(nèi)部網(wǎng)管理的方式向遠程上網(wǎng)集中管理的方式發(fā)展 。 第 6章 計算機網(wǎng)絡的安全性 在 Windows NT/2023系統(tǒng)中 ， 權力專指用戶對整個系統(tǒng)能夠做的事情 ， 如關掉系統(tǒng) 、 往網(wǎng)絡系統(tǒng)中添加設備 、 更改系統(tǒng)時間等；權限專指用戶對系統(tǒng)資源所能做的事情 ， 如對某個文件的讀 、 寫控制 ， 對打印機隊列的管理 。 第 6章 計算機網(wǎng)絡的安全性 因此 ， 在登錄時 ， 無論屏幕上是否有登錄對話框 ， 一定要按下 Ctrl+Alt+Del鍵 ， 以確保彈出的對話框是 NT/2023系統(tǒng)的登錄對話框 ， 此過程就是強制性登錄過程 。 安全賬號數(shù)據(jù)庫 SAM是由域用戶管理器來維護的 ， 在某個用戶登錄后 ， 有可能管理員會修改其賬號SAM以及權力等 ， 但這些修改只有在用戶下次登錄時才有效 ， 因為 NT/2023安全系統(tǒng)在用戶登錄后只檢查存取標識 SID， 而不檢查安全賬號數(shù)據(jù)庫 SAM。和 UNIX的用戶標識號相同，安全性標識符是用于系統(tǒng)內(nèi)部的，在存取令牌和ACL(Access Control List)內(nèi)使用。 UNIX在這方面要比 Windows NT/2023具有更大的方便性 ， 用戶可以在登錄后將自己的身份改變成另一個賬號的身份 ， 如 root賬號的身份 。 比如上面提到的這個例子中 ， D: \Files的 ACL中有兩個 ACE， 分別是 User1：只讀 ， Us er 2：完全控制 。 (1)? Windows NT對較大的 ICMP包是很脆弱的 。 能解碼 SAM數(shù)據(jù)庫并能破解口令的工具有PWDump和 NTCrack。 (7) 通過訪問其他并存的操作系統(tǒng) ， 有可能繞過 NTFS的安全設置 。 用鼠標左鍵單擊選項按鈕 ， 在出現(xiàn)的對話框中選擇 Inter選項 ， 也可以對主頁 、鏈接 、 安全 、 高級選項等做任何修改 。 要加強服務器的安全 ， 必須根據(jù)需要設置這些功能 。 (2) 至少包含兩個字母字符和一個非字母字符 。 第 6章 計算機網(wǎng)絡的安全性 8) 控制遠程訪問服務 遠程訪問是黑客攻擊 NT/2023系統(tǒng)的常用手段 ，Windows NT/2023集成的防止外來入侵最好的功能是認證系統(tǒng) 。 網(wǎng)絡監(jiān)聽原本是網(wǎng)絡管理員使用的一個工具 ， 主要用來監(jiān)視網(wǎng)絡的流量 、 狀態(tài) 、 數(shù)據(jù)等信息 。通常設置的這些條件是包含字“ username”或“ password”的包。 Sniffer除了能得到口令或用戶名外 ， 還能得到更多的其他信息 ， 比如網(wǎng)上傳送的金融信息等等 。 第 6章 計算機網(wǎng)絡的安全性 在 Windows系統(tǒng)下 ， 按下 Ctrl+Alt+Del鍵 ， 看一下任務列表 。 第 6章 計算機網(wǎng)絡的安全性 3． 怎樣防止 Sniffer 要防止 Sniffer并不困難 ， 有許多可以選用的方法 ， 但關鍵是需要增加開銷 。 目前 ， 還沒有人突破過這種加密方法 。 由于網(wǎng)絡分段了 ， 因而數(shù)據(jù)包只能在某個網(wǎng)段上被監(jiān)聽 ， 多個網(wǎng)段間將不可能被監(jiān)聽 ， 除非它們之間建立了信任關系 。 端口掃描 在 OSI/RM模型的傳輸層上 ， 計算機通過端口進行通信和提供服務 ， 一個端口就是一個潛在的通信通道 ， 也就是一個入侵通道 。 如果返回的數(shù)據(jù)包和發(fā)送的數(shù)據(jù)包一致 ， 那就是說 Ping命令成。 進行掃描的方法很多 ， 可以手工掃描 ， 也可以用端口掃描軟件掃描 。 系統(tǒng)管理員的工作是構造一個策略 ， 使得計算機之間的信任關系很小 ， 這樣就建立了一種框架 ， 建立信任策略表的目的是保證一旦出現(xiàn)了監(jiān)聽問題 ， 它只對最小范圍有效 。 當然 ， 最關鍵的是怎樣使用 SSH和 FSSH加密方法 ， SSH和 FSSH都有商業(yè)或自由軟件版本存在 ， 即 NT are available。 有些數(shù)據(jù)是沒有經(jīng)過處理的 ， 一旦遇到 Sniffer， 對方就能獲得這些信息 。 另一個方法就是在系統(tǒng)中搜索 ， 查找可懷疑的文件 。 有許多運行于不同平臺上的 Sniffer程序： Linux tcpdump、 DOS ETHLOAD、 The Gobbler、 LanPatrol、LanWatch 、 Netmon、 Netwatch、 Netzhack等 ， 都可以從 Inter上找到 。 Promiscuous模式中網(wǎng)絡上的所有設備都對總線上傳送的數(shù)據(jù)進行偵聽，而不僅僅是偵聽它們自己的數(shù)據(jù)。 第 6章 計算機網(wǎng)絡的安全性 網(wǎng)絡監(jiān)聽的危害很大。 9) 啟用登錄工作站和登錄時間限制 如果每個用戶只有一個 PC，并且只允許工作時間登錄，可以把每個用戶的賬號限制在自己的 PC上且在工作時間內(nèi)使用，從而保護網(wǎng)絡數(shù)據(jù)的安全。 (4) 不是用戶的姓名 ， 不是相關人物 、 著名人物的姓名 ， 不是用戶的生日和電話號碼及其他容易猜測的字符組合等 。 5) 避免給用戶定義特定的訪問控制 將用戶以 “ 組 ” 的方式進行管理是一個用戶管理的有效方法 。 1) 加強物理安全管理 (1) 去掉或鎖死軟盤驅(qū)動器 ， 禁止 DOS或其他操作系統(tǒng)訪問 NTFS分區(qū) 。 這些工具有 DOS/Windows的 NTFS文件系統(tǒng)重定向器 (NTFS File System Redirector for DOS/Windows)、 SAMBA或者 Linux NTFS Reader。Inter上有些工具程序可以相對容易地獲得 Administrator特權 (比如 NT R e c o v e r、 W i n t e r n a l S o f t w a r e的NTLocksmith)。 下面的命令可以作為例子用于測試這個安全漏洞： pingl 65524 。 (2) 若目錄對象有訪問控制列表 ACL， 但訪問控制條目 ACE為空 ， 則系統(tǒng)對所有用戶都拒絕訪問該對象 。當用戶初始化一個進程時，存取標識的一個副本就被永久地附于這個進程。所有的 SID用一個用戶信息、時間、日期和域信息的結合體來創(chuàng)建。 第 6章 計算機網(wǎng)絡的安全性 2. ?Windows NT/2023的資源訪問控制機制 根據(jù)需要選擇的存取控制 ， 使資源擁有者可以控制網(wǎng)絡用戶存取其資源以及能存取的權限 。 如果賬號及口令無效 ， 則用戶的登錄企圖被拒絕；如果賬號及口令有效 ， 則把安全賬號數(shù)據(jù)庫中有關該賬號的信息收集在一起 ， 形成一個使用者的安全存取標識 SID。 用戶對系統(tǒng)資源所具有的權限應與特定的資源一起存放 。 (3) 利用防火墻建立專用網(wǎng) (VPN是較長一段時間內(nèi)用戶使用的主流 )， IP加密需求越來越強 ， 安全協(xié)議的開發(fā)是一大熱點 。 子網(wǎng)屏蔽防火墻是最安全的一種防火墻體系結構，它具有主機屏蔽防火墻的所有優(yōu)點，并且比之更加優(yōu)越。 第 6章 計算機網(wǎng)絡的安全性 3) 主機屏蔽防火墻 (Screened Host Firewall) 包過濾路由器雖有較好的透明性 ， 但無法有效區(qū)分同一 IP地址的不同用戶；應用型防火墻可以提供詳細的日志及身份驗證 ， 但又缺少透明性 。 2. 防火墻的基本準則 1)過濾不安全服務 2) 過濾非法用戶和訪問特殊站點 第 6章 計算機網(wǎng)絡的安全性 3． 防火墻的分類 目前，根據(jù)防火墻在 ISO/OSI模型中的邏輯位置和網(wǎng)