【正文】 對(duì)目標(biāo)計(jì)算機(jī)進(jìn)行端口掃描 ， 能得到許多有用的信息 。 即使對(duì) Sniffer， 收集到的信息也將不再有價(jià)值 。 不過(guò) ， 編程技巧高的 Sniffer即使正在運(yùn)行 ，也不會(huì)出現(xiàn)在這里 。它的目的是將網(wǎng)絡(luò)層放到 Promiscuous模式。 Windows 95/98/XP和 Windows NT/2023客戶(hù)機(jī)不僅可以交換加密用戶(hù) ID和口令數(shù)據(jù) ， 而且還使用 Windows專(zhuān)用的挑戰(zhàn)響應(yīng)協(xié)議 (Challenge/Response Protocol)， 這可以確保決不會(huì)多次出現(xiàn)相同的認(rèn)證數(shù)據(jù) ， 還可以有效阻止內(nèi)部黑客捕捉網(wǎng)絡(luò)信息包 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 4) 控制授權(quán)用戶(hù)的訪問(wèn) 在域里配置適當(dāng)?shù)?NTFS訪問(wèn)控制可以增強(qiáng)網(wǎng)絡(luò)的安全；取消或更改缺省情況下的 Everyone組的 “ 完全控制 ”權(quán)限；需要始終設(shè)置用戶(hù)所能允許的最小的文件夾和文件的訪問(wèn)權(quán)限；另外 ， 不要共享任何一個(gè) FAT卷 。 已經(jīng)有很多工具可用來(lái)訪問(wèn)基于 Intel系統(tǒng)的 NTFS格式的硬盤(pán)驅(qū)動(dòng)器 ， 而不需要任何授權(quán) ， 就允許用戶(hù)操縱 NT的各種安全配置 。 例如 ， 如果發(fā)一條 Ping命令 ， 指定包的大小為 64 KB，NT的 TCP/IP棧將不會(huì)正常工作 ， 它可使系統(tǒng)離線工作 ，直至重新啟動(dòng) ， 結(jié)果造成某些服務(wù)的拒絕訪問(wèn) 。 正如在“登錄機(jī)制”中提到的，安全存取標(biāo)識(shí) SID包含一個(gè)特定用戶(hù)的信息。 比如 User1已登錄到了 NT/2023系統(tǒng)中 ， 管理員發(fā)現(xiàn)其缺少了某種權(quán)力 ，就用域用戶(hù)管理器對(duì)其進(jìn)行相應(yīng)的修改 ， 那么 ， 除非User1重新登錄一次 ， 否則 User1仍無(wú)法享有該權(quán)力 。 NT/2023系統(tǒng)中有一個(gè)安全賬號(hào)數(shù)據(jù)庫(kù) ， 是\WINNT\SYSTEM32\CONFIG目錄下的 SAM文件 ， 其中存放的內(nèi)容有用戶(hù)賬號(hào)以及該賬號(hào)對(duì)網(wǎng)絡(luò)系統(tǒng)所具有的權(quán)力等 。 被保護(hù)的Intra與 Inter不能直接通信 ， 而應(yīng)通過(guò)各自的路由器和堡壘機(jī)打交道；兩臺(tái)路由器也不能直接交換信息 。 (3) 防火墻本身不受各種攻擊的影響 。 用戶(hù)可以通過(guò) KDC獲得任何其他用戶(hù)的公開(kāi)密鑰或者某一次通信時(shí)采用對(duì)稱(chēng)密鑰加密算法的臨時(shí)密鑰 。 要做到不可偽造 ， MD算法必須滿(mǎn)足以下兩個(gè)條件： (1) 任給一個(gè)報(bào)文摘要值 x， 若想找到一個(gè)報(bào)文 y使得H(y)=x， 這在計(jì)算上是不可行的 (不可計(jì)算是指從算法想得到結(jié)果 ， 其時(shí)間代價(jià)之高是無(wú)法承受的 )。 采用鏈路層加密方式 ， 數(shù)據(jù)和報(bào)頭 (本層報(bào)頭除外 )都被加密 ， 其中硬件加密不會(huì)影響現(xiàn)有的軟件 。 這樣 ， B就相信報(bào)文 P是 A簽名發(fā)送的 。 (3) 用已選定的明文進(jìn)行分析 ， 不能破譯 E。在每一輪迭代過(guò)程中 ， 如圖 65所示 ， 密鑰子集中的一個(gè)子密鑰 K(i)與數(shù)據(jù)的右半部分相結(jié)合 。 如 MEGABVCK中的 A為第一列 ， B為第二列 ， 依此類(lèi)推 ， V為第八列 。 為此 ，采用循環(huán)使用復(fù)式密碼字母的方法 ， 亦稱(chēng)之為多字母密碼 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 1． 代換密碼法 在代換密碼 (Substitution Cipher)中 ， 為了偽裝掩飾每一個(gè)字母或一組字母 ， 通常都將字母用另一個(gè)字母或另一組字母代換 。 (2) 密文：明文經(jīng)過(guò)變換加密后的形式 (Ciphertext， 通常記為 C)。 這些內(nèi)容已超出本章范疇 ， 本章著重討論的安全與保密技術(shù)問(wèn)題主要是訪問(wèn)控制和密碼技術(shù) 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 計(jì)算機(jī) A 可監(jiān)聽(tīng)計(jì)算機(jī) AB 與 C 之間的通信計(jì)算機(jī) B 可監(jiān)聽(tīng)計(jì)算機(jī) BA 與 C 之間的通信廣播式網(wǎng)絡(luò)共享信道計(jì)算機(jī) C 可監(jiān)聽(tīng)計(jì)算機(jī) CA 與 B 之間的通信圖 61 廣播式網(wǎng)絡(luò)易被監(jiān)聽(tīng) 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 1) 廣播式網(wǎng)絡(luò)的安全問(wèn)題 當(dāng)今大多數(shù)局域網(wǎng)采用以太網(wǎng)方式，以太網(wǎng)上的所有設(shè)備都連在以太網(wǎng)總線上，它們共享同一個(gè)通信通道。 下面是現(xiàn)存的TCP/IP協(xié)議的一些安全缺陷 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 更有效的方法是采用密碼技術(shù) ， 用戶(hù)在網(wǎng)絡(luò)的信道上相互通信 ， 其主要危險(xiǎn)是被非法竊聽(tīng) 。 源端用戶(hù)將明文 P以密鑰為參數(shù)進(jìn)行了變換 ， 形成的密碼文件 C在信道上傳送 ， 到達(dá)目的地后 ，再按照密鑰參數(shù)進(jìn)行解密而還原成明文 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 對(duì)于短小的密文來(lái)說(shuō)，根據(jù)自然語(yǔ)言的統(tǒng)計(jì)特性是比較容易破譯的。例如，坡他密碼(Portacipher)采用 26 26的表，每次把明文譯成兩個(gè)字符(偶對(duì) )的密碼，由第一個(gè)字符指示行，第二個(gè)字符指示列，由此產(chǎn)生的交叉點(diǎn)的數(shù)字或字母偶對(duì)就是譯出的密碼值。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 1977年 1月 ， 美國(guó)政府采納 IBM公司的設(shè)計(jì)方案作為非機(jī)密數(shù)據(jù)的正式數(shù)據(jù)加密標(biāo)準(zhǔn) (DES)。 也就是說(shuō) ， 密碼被破譯的可能性幾乎沒(méi)有 。 (3) 接收者不能偽造對(duì)報(bào)文的簽名 。 但上述過(guò)程僅對(duì)報(bào)文進(jìn)行了簽名 ， 對(duì)報(bào)文 P本身卻未保密 。 (2) 對(duì) H(m)加密生成密文 EK(H(m))附加在報(bào)文 m之后 。 不過(guò) ， 無(wú)論實(shí)施哪種方案 ， 密鑰的管理都是需要考慮的問(wèn)題 ， 當(dāng)網(wǎng)絡(luò)更大 、 用戶(hù)更多時(shí)尤其如此 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 防火墻技術(shù) 1． 防火墻的基本概念 為安全起見(jiàn) ， 可以在該網(wǎng)絡(luò)和 Inter之間插入一個(gè)中介系統(tǒng) ， 豎起一道安全屏障 ， 這道屏障的作用是阻斷外部對(duì)本網(wǎng)絡(luò)的威脅和入侵 ， 提供扼守本網(wǎng)絡(luò)的安全和審計(jì)的惟一關(guān)卡 ， 它的作用與古時(shí)候的防火磚墻有類(lèi)似之處 ， 因此我們把這個(gè)屏障叫做 “ 防火墻 ” 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 3) 主機(jī)屏蔽防火墻 (Screened Host Firewall) 包過(guò)濾路由器雖有較好的透明性 ， 但無(wú)法有效區(qū)分同一 IP地址的不同用戶(hù)；應(yīng)用型防火墻可以提供詳細(xì)的日志及身份驗(yàn)證 ， 但又缺少透明性 。 (3) 利用防火墻建立專(zhuān)用網(wǎng) (VPN是較長(zhǎng)一段時(shí)間內(nèi)用戶(hù)使用的主流 )， IP加密需求越來(lái)越強(qiáng) ， 安全協(xié)議的開(kāi)發(fā)是一大熱點(diǎn) 。 如果賬號(hào)及口令無(wú)效 ， 則用戶(hù)的登錄企圖被拒絕；如果賬號(hào)及口令有效 ， 則把安全賬號(hào)數(shù)據(jù)庫(kù)中有關(guān)該賬號(hào)的信息收集在一起 ， 形成一個(gè)使用者的安全存取標(biāo)識(shí) SID。所有的 SID用一個(gè)用戶(hù)信息、時(shí)間、日期和域信息的結(jié)合體來(lái)創(chuàng)建。 (2) 若目錄對(duì)象有訪問(wèn)控制列表 ACL， 但訪問(wèn)控制條目 ACE為空 ， 則系統(tǒng)對(duì)所有用戶(hù)都拒絕訪問(wèn)該對(duì)象 。Inter上有些工具程序可以相對(duì)容易地獲得 Administrator特權(quán) (比如 NT R e c o v e r、 W i n t e r n a l S o f t w a r e的NTLocksmith)。 1) 加強(qiáng)物理安全管理 (1) 去掉或鎖死軟盤(pán)驅(qū)動(dòng)器 ， 禁止 DOS或其他操作系統(tǒng)訪問(wèn) NTFS分區(qū) 。 (4) 不是用戶(hù)的姓名 ， 不是相關(guān)人物 、 著名人物的姓名 ， 不是用戶(hù)的生日和電話號(hào)碼及其他容易猜測(cè)的字符組合等 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 網(wǎng)絡(luò)監(jiān)聽(tīng)的危害很大。 有許多運(yùn)行于不同平臺(tái)上的 Sniffer程序： Linux tcpdump、 DOS ETHLOAD、 The Gobbler、 LanPatrol、LanWatch 、 Netmon、 Netwatch、 Netzhack等 ， 都可以從 Inter上找到 。 有些數(shù)據(jù)是沒(méi)有經(jīng)過(guò)處理的 ， 一旦遇到 Sniffer， 對(duì)方就能獲得這些信息 。 系統(tǒng)管理員的工作是構(gòu)造一個(gè)策略 ， 使得計(jì)算機(jī)之間的信任關(guān)系很小 ， 這樣就建立了一種框架 ， 建立信任策略表的目的是保證一旦出現(xiàn)了監(jiān)聽(tīng)問(wèn)題 ， 它只對(duì)最小范圍有效 。 如果返回的數(shù)據(jù)包和發(fā)送的數(shù)據(jù)包一致 ， 那就是說(shuō) Ping命令成。 由于網(wǎng)絡(luò)分段了 ， 因而數(shù)據(jù)包只能在某個(gè)網(wǎng)段上被監(jiān)聽(tīng) ， 多個(gè)網(wǎng)段間將不可能被監(jiān)聽(tīng) ， 除非它們之間建立了信任關(guān)系 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 3． 怎樣防止 Sniffer 要防止 Sniffer并不困難 ， 有許多可以選用的方法 ， 但關(guān)鍵是需要增加開(kāi)銷(xiāo) 。 Sniffer除了能得到口令或用戶(hù)名外 ， 還能得到更多的其他信息 ， 比如網(wǎng)上傳送的金融信息等等 。 網(wǎng)絡(luò)監(jiān)聽(tīng)原本是網(wǎng)絡(luò)管理員使用的一個(gè)工具 ， 主要用來(lái)監(jiān)視網(wǎng)絡(luò)的流量 、 狀態(tài) 、 數(shù)據(jù)等信息 。 (2) 至少包含兩個(gè)字母字符和一個(gè)非字母字符 。 用鼠標(biāo)左鍵單擊選項(xiàng)按鈕 ， 在出現(xiàn)的對(duì)話框中選擇 Inter選項(xiàng) ， 也可以對(duì)主頁(yè) 、鏈接 、 安全 、 高級(jí)選項(xiàng)等做任何修改 。 能解碼 SAM數(shù)據(jù)庫(kù)并能破解口令的工具有PWDump和 NTCrack。 比如上面提到的這個(gè)例子中 ， D: \Files的 ACL中有兩個(gè) ACE， 分別是 User1：只讀 ， Us er 2：完全控制 。和 UNIX的用戶(hù)標(biāo)識(shí)號(hào)相同，安全性標(biāo)識(shí)符是用于系統(tǒng)內(nèi)部的，在存取令牌和ACL(Access Control List)內(nèi)使用。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 因此 ， 在登錄時(shí) ， 無(wú)論屏幕上是否有登錄對(duì)話框 ， 一定要按下 Ctrl+Alt+Del鍵 ， 以確保彈出的對(duì)話框是 NT/2023系統(tǒng)的登錄對(duì)話框 ， 此過(guò)程就是強(qiáng)制性登錄過(guò)程 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 5． 防火墻的發(fā)展趨勢(shì) (1) 防火墻將從目前對(duì)子網(wǎng)或內(nèi)部網(wǎng)管理的方式向遠(yuǎn)程上網(wǎng)集中管理的方式發(fā)展 。 在業(yè)務(wù)進(jìn)行時(shí) ， 堡壘主機(jī)監(jiān)控全過(guò)程并完成詳細(xì)的日志 (Log)和審計(jì) (Audit)， 這就大大地提高了網(wǎng)絡(luò)的安全性 。 由于密鑰 K的使用是一次性的 ，因而保密性非常高 。 對(duì)稱(chēng)密鑰加密方法的一個(gè)致命弱點(diǎn)就是它的密鑰管理十分困難 ， 因此它很難在現(xiàn)代的電子商務(wù)實(shí)踐中得到廣泛應(yīng)用 。 目前多使用報(bào)文摘要 MD(Message Digest)算法來(lái)進(jìn)行報(bào)文鑒別 ， 其主要原理如圖 69所示 。 這樣就證明 B偽造了報(bào)文 。 數(shù)字簽名必須保證以下三點(diǎn)： (1) 接收者能夠核實(shí)發(fā)送者對(duì)報(bào)文的簽名 。 如果試圖用試探法求出這個(gè)密鑰 ， 將有 256≈ 106種可能 。 傳統(tǒng)的技術(shù)一般采用簡(jiǎn)單的算法并依靠長(zhǎng)密鑰 ， 而現(xiàn)代的加密技術(shù)其密碼算法十分復(fù)雜 ， 幾乎不能破譯 。通常進(jìn)一步采用的方法是：加長(zhǎng)密鑰長(zhǎng)度或采用隨機(jī)的二進(jìn)制串作為密鑰。 即使采用每猜一次只用1μs的計(jì)算機(jī) ， 猜完全部密鑰也需用 1013年時(shí)間 。 把要加密的報(bào)文 (稱(chēng)為明文 ， Plaintext)按照以密鑰 (Key)為參數(shù)的函數(shù)進(jìn)行變換 ， 通過(guò)加密過(guò)程而產(chǎn)生的輸出報(bào)文稱(chēng)為密文(Cyphertext)或密碼文件 (Cryptogram)。 有些方法在原理上可行 ， 例如分析指紋或字體 ， 但在技術(shù)上難以實(shí)現(xiàn) 。 2． TCT/IP網(wǎng)絡(luò)協(xié)議的設(shè)計(jì)缺陷 網(wǎng)絡(luò)通信的基礎(chǔ)是協(xié)議 ， TCP/IP協(xié)議是目前國(guó)際上最流行的網(wǎng)絡(luò)協(xié)議 ， 該協(xié)議在實(shí)現(xiàn)上因力求實(shí)效而沒(méi)有考慮安全因素 。 很多網(wǎng)絡(luò)包括 Inter其實(shí)就是把無(wú)數(shù)的局域網(wǎng)連接起來(lái)形成較大的網(wǎng)，然后再把較大的網(wǎng)連接成更大的網(wǎng)。 例如 ， 數(shù)據(jù)庫(kù)中保存了一些機(jī)密資料 ， 只有少數(shù)被授權(quán)的人員掌握其保密級(jí)和口令 ， 而且可能要通過(guò)幾級(jí)口令才能取出這些資料 。 加密通常由加密算法來(lái)實(shí)現(xiàn)的 。 這種方法只移位三個(gè)字母 ， 實(shí)際上移動(dòng)幾位可由設(shè)計(jì)者來(lái)定 。 第一行 (A行 )是 ABCDE… XYZ， 第二行 (B行 )是B C D E F … Y Z A ， 依 此 類(lèi) 推 ， 最 后 一 行 (Z行 ) 是ZABCD… WXY。 如以上的例子 ，按照上表列出的 1， 2， 3， … ， 8列依次讀出 ， 就構(gòu)成密文 。 變換完的兩個(gè) 48位數(shù)據(jù)相異或輸出一個(gè) 48位數(shù)據(jù)，該數(shù)據(jù)經(jīng)過(guò)壓縮和置換輸出 32位數(shù)據(jù)，然后再與數(shù)據(jù)的左半部分相異或，其結(jié)果作為這一輪迭代的輸出數(shù)據(jù)的右半部分；結(jié)合前的右半部分作為這一輪迭代的輸出數(shù)據(jù)的左半部分。 在滿(mǎn)足這三個(gè)條件的情況下 ， 加密算法 E就可以公開(kāi) 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 D明文 PSKA用秘密密鑰進(jìn)行簽名DSK A(P)發(fā)送者 A明文 P接收者 BEPKA用公開(kāi)密鑰核實(shí)簽名圖 67 數(shù)字簽名的實(shí)現(xiàn) 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 若 A要抵賴(lài)曾發(fā)送報(bào)文給 B， 則 B可將 P及 DSKA(P)出示給第三者 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 * 報(bào)文鑒別 計(jì)算機(jī)網(wǎng)絡(luò)安全領(lǐng)域中 ， 防止信息被竊聽(tīng)所采取的措施是對(duì)發(fā)送的信息進(jìn)行加密 ， 而防止信息被篡改和偽造則需要使用報(bào)文鑒別技術(shù) 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 這兩個(gè)條件表明：若