密碼學(xué)與網(wǎng)絡(luò)安全知識(shí)點(diǎn)總結(jié)(編輯修改稿)
2024-11-23 19:52 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 . ? PKI 是一種標(biāo)準(zhǔn)的密鑰管理平臺(tái)，它能夠?yàn)樗芯W(wǎng)絡(luò)應(yīng)用透明地提供采用加密和數(shù)據(jù)簽名等密碼服務(wù)所必須的密鑰和證書管理。 ?數(shù)字證書（ Digital Certificate）是由權(quán)威機(jī)構(gòu) CA 發(fā)行的一種權(quán)威性的電子文檔，是用于證明網(wǎng)絡(luò)某一用戶的身份以及其公開密鑰的合法性等。 十 、 PKI 基本組件 ? 注冊(cè)機(jī)構(gòu) RA ? 認(rèn)證機(jī)構(gòu) CA ? 證書庫(kù) CR ? 密鑰備份及恢復(fù)系統(tǒng) ? 證書作廢處理系統(tǒng) ? PKI 應(yīng)用接口系統(tǒng)（透明性、可擴(kuò)展性、支持多種用戶、互操作性） 十一 、 PKI 提供的基本服務(wù) ? 鑒別 – 采用數(shù)字簽名技術(shù)，簽名作用于相應(yīng)的數(shù)據(jù)之上 ? 被鑒別的數(shù)據(jù) ——數(shù)據(jù)源鑒別服務(wù) ? 用戶發(fā)送的遠(yuǎn)程請(qǐng)求 ——身份鑒別服務(wù) ? 遠(yuǎn)程設(shè)備生成的 challenge 信息 ——身份鑒別 ? 完整性 – PKI 采用了兩種技術(shù) ? 數(shù)字簽名：既可以是實(shí)體認(rèn)證，也可以是數(shù)據(jù)完整性 ? MAC(消息認(rèn)證碼 )：如 DESCBCMAC 或者 HMACMD5 ? 保密性 – 用公鑰分發(fā)隨機(jī)密鑰，然后用隨機(jī)密鑰對(duì)數(shù)據(jù)加密 ? 不可否認(rèn) ? 發(fā)送方的不可否認(rèn) —— 數(shù)字簽名 ? 接受方的不可否認(rèn) —— 收條 + 數(shù)字簽名 ?常規(guī)加密密鑰的分配方案有集中式密鑰分配方案和分散式密鑰分配方案。 十二 、訪問(wèn)控制的幾個(gè)概念 訪問(wèn)控制 的目的是為了限制訪問(wèn)主體對(duì)訪問(wèn)客體的訪問(wèn)權(quán)限。 訪問(wèn)控制是指確定用戶權(quán)限以及實(shí)施訪問(wèn)權(quán)限的過(guò)程。 為了簡(jiǎn)化管理，通常對(duì)訪問(wèn)者 分類組織成組 ，以避免訪問(wèn)控制表過(guò)于龐大。 ? 訪問(wèn)控制策略 (Access Control Policy): 訪問(wèn)控制策略在系統(tǒng)安全策略級(jí)上表示授權(quán)。是對(duì)訪問(wèn)如何控制 ,如何作出訪問(wèn)決定的高層指南。幾個(gè)訪問(wèn)控制策略： ? 自主訪問(wèn)控制（ discretionary policies), 基于身份的訪問(wèn)控制 IBAC(Identity Based Access Control) windowsNT 的訪問(wèn)控制策略 ? 強(qiáng)制訪問(wèn)控制 (mandatory policies), 基于規(guī)則的訪問(wèn)控制 RBAC（ Rule Based Access Control） ? 基于角色的訪問(wèn)控制 (rolebased policies) 十三 、自主 /強(qiáng)制訪問(wèn)的問(wèn)題 ? 自主訪問(wèn)控制 ? 配置的粒度小 ? 配置的工作量大，效率低 ? 強(qiáng)制訪問(wèn)控制 ? 配置的粒度大 ? 缺乏靈活性 十四 、角色與組的概念 每個(gè)角色與一組用戶和有關(guān)的動(dòng)作相互關(guān)聯(lián)，角色中所屬的用戶可以有權(quán)執(zhí)行這些操作。 A role can be defined as a set of actions and responsibilities associated with a particular working activity. ? 角色與組的區(qū)別 ? 組：一組用戶的集合； ? 角色：一組用戶的集合 + 一 組操作權(quán)限的集合與現(xiàn)代的商業(yè)環(huán)境相結(jié)合的產(chǎn)物。 ? 基于角色的訪問(wèn)控制是一個(gè)復(fù)合的規(guī)則，可以被認(rèn)為是 IBAC 和 RBAC 的變體。一個(gè)身份被分配給一個(gè)被授權(quán)的組。 ? 起源于 UNIX 系統(tǒng)或別的操作系統(tǒng)中組的概念 實(shí)現(xiàn)身份鑒別的途徑 ,? 三種途徑之一或他們的組合 （ 1）所知（ Knowledge） :密碼、口令 （ 2）所有（ Possesses):身份證、護(hù)照、信用卡、鑰匙 （ 3）個(gè)人特征：指紋、筆跡、聲紋、手型、血型、視網(wǎng)膜、虹膜、 DNA 以及個(gè)人動(dòng)作方面的一些特征 十五 、 Kerberos 鑒別協(xié)議小結(jié) (三個(gè)功能：認(rèn)證 Authentication、清算 Accounting、審計(jì) Audit) Kerberos 針對(duì)分布式環(huán)境，客戶在登錄時(shí)，需要認(rèn)證。用戶必須獲得由認(rèn)證服務(wù)器發(fā)行的許可證，才能使用目標(biāo)服務(wù)器上的服務(wù)。 它提供了三個(gè)功能： 認(rèn)證 Authentication、清算 Accounting、審計(jì) Audit。 ? 特點(diǎn) ? 基于口令的鑒別協(xié)議 ? 利用對(duì)稱密碼技術(shù)建立起來(lái)的鑒別協(xié)議 ? 可伸縮性 ——可適用于分布式網(wǎng)絡(luò)環(huán)境 ? 環(huán)境特點(diǎn) ? Usertoserver authentication 十六 、 IPSec 的應(yīng)用方式 ． IPSec 協(xié)議中負(fù)責(zé)對(duì) IP 數(shù)據(jù)報(bào)加密的部分封裝安全負(fù)載（ ESP） ． IPSec 和 IP 協(xié)議以及 VPN 的關(guān)系是什么？ IP 協(xié)議無(wú)法對(duì)網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)提供完整性和機(jī)密性保密，無(wú)法對(duì)通信雙方身份進(jìn)行 認(rèn)證。這些安全問(wèn)題之所以會(huì)出現(xiàn)，根本原因在于 IP 協(xié)議沒(méi)有采用安全機(jī)制。 IPSec 是一種由 IETF 設(shè)計(jì)的端到端的確保 IP 層通信安全的機(jī)制。不是一個(gè)單獨(dú)的協(xié)議，而是一組協(xié)議。 IPSec 是隨著 IPv6 的制定而產(chǎn)生的，后來(lái)也增加了對(duì) IPv4 的支持。在前者中是必須支持的，在后者中是可選的。 IPSec 作為一個(gè)第三層隧道協(xié) 議實(shí)現(xiàn)了 VPN 通信，可以為 IP 網(wǎng)絡(luò)通信提供透明的安全服務(wù)，免遭竊聽和篡改，保證數(shù)據(jù)的完整性和機(jī)密性，有效抵御網(wǎng)絡(luò)攻擊，同時(shí)保持易用性。 ? 端到端（ endend):主機(jī)到主機(jī)的安全通信 ? 端到路由（ endrouter):主機(jī)到路由設(shè)備之間的安全通信 ? 路由到路由（ routerrou
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1