【文章內(nèi)容簡介】 共享的資料。個(gè)人敏感信息、商業(yè)機(jī)密等信息在網(wǎng)上傳輸都不希望被第三者所看到?？上н@些信息如果沒有經(jīng)過加密而在網(wǎng)上傳輸就很可能被監(jiān)聽到。 暴露網(wǎng)絡(luò)信息。有時(shí)候，監(jiān)聽雖然看不到數(shù)據(jù)的內(nèi)容，但是可以看到哪些主機(jī)開了哪些服務(wù)，哪些主機(jī)和哪些主機(jī)之間進(jìn)行了通信，從而可以分析出主機(jī)之間的信任關(guān)系。這些信息都可以幫助黑客對系統(tǒng)進(jìn)行攻擊。 TCP/UDP應(yīng)用層服務(wù) finger的信息暴露在所有有暴露信息危險(xiǎn)的服務(wù)中，finger又是最危險(xiǎn)的。這是因?yàn)椋篺inger沒有任何人證機(jī)制。任何人都可利用finger來獲得目的主機(jī)的有關(guān)信息。 finger所提供的信息包括用戶名，用戶來自于何處等，這些信息可以用于口令的猜測攻擊，以及信任主機(jī)被假冒的攻擊，具有很大的潛在危險(xiǎn)。 finger沒有認(rèn)證，這使得無法辨別一個(gè)主機(jī)是否在基于“正當(dāng)?shù)摹蹦康氖褂胒inger，這使得用戶即使被攻擊，也無法辨明finger在其中起了多大作用。 ftp的信息暴露ftp協(xié)議本身并無安全問題，但幾乎所有的實(shí)現(xiàn)都存在如下問題： ftp一般用戶的口令與登錄口令相同，而且采用明文傳輸，就增加了一個(gè)網(wǎng)點(diǎn)被攻破的危險(xiǎn)。只要在局域網(wǎng)內(nèi)或路由上進(jìn)行監(jiān)聽，就可獲取大量口令。這樣，一個(gè)網(wǎng)點(diǎn)會(huì)很容易被攻擊。 一些網(wǎng)點(diǎn)上的匿名ftp提供了另一攻擊途徑。尤其是可以上載的ftp服務(wù)，更為危險(xiǎn)，這常常會(huì)更便于入侵者放置和散播特洛伊木馬。入侵者可以放一個(gè)已改動(dòng)過的、帶有惡意代碼的軟件。當(dāng)另一個(gè)主機(jī)上的用戶下載安裝軟件時(shí)，后門即可建立。匿名ftp還有一個(gè)危險(xiǎn)即可能暴露帳號和口令信息。由于匿名ftp也無法記錄，使得基于ftp的攻擊更為隱蔽。 Telnet的安全問題Telnet本身也并沒有安全問題。它的安全隱患類似于ftp的第一個(gè)問題，只不過要更嚴(yán)重一些。由于Telnet是用明文傳輸?shù)模虼瞬粌H是用戶口令，而且用戶的所有操作及其回答，都將是透明的。這樣，Telnet被監(jiān)聽后，影響范圍更大，影響程度更嚴(yán)重。Telnet的另一個(gè)問題，是它有可能被入侵者加入任意可能的數(shù)據(jù)包。 POP3的安全問題由于POP3的口令與帳號的口令相同，在此它存在著類似ftp的第一個(gè)問題，解決方法也是類似的。 tftp/bootp的安全問題tftp允許不經(jīng)認(rèn)證即能讀主機(jī)的那些被設(shè)置成所有人可讀的文件。這將可能暴露系統(tǒng)的帳號、工作目錄等重要信息。一些tftp允許不經(jīng)認(rèn)證上載文件到所有人可寫的目錄，這將使這一服務(wù)更為危險(xiǎn)。 bootp協(xié)議允許無盤工作站從網(wǎng)上啟動(dòng)。如果入侵者偽裝成bootp服務(wù)器，那么無盤工作站就會(huì)運(yùn)行一個(gè)被改動(dòng)過的內(nèi)核。這將產(chǎn)生不可預(yù)料的后果。如果bootp使用RARP取得IP地址，將使這一服務(wù)更加脆弱。因?yàn)橐蕴W(wǎng)是不提供任何安全保障的?？缇W(wǎng)段的bootp將更危險(xiǎn)。 DNS安全問題DNS服務(wù)提供了解析域名等多種服務(wù)。它存在著多種安全隱患。首先，一個(gè)入侵者可以進(jìn)行域名的假冒性攻擊。對于R類（rlogin、rexec）服務(wù)，當(dāng)入侵者發(fā)起連接時(shí)，目的主機(jī)首先檢查信任主機(jī)名或地址列表。如果這其中有一項(xiàng)為域名，則目的主機(jī)將可能利用DNS服務(wù)器解析域名。假如入侵者在此時(shí)假冒為域名服務(wù)器給一個(gè)回答，則可以使目的主機(jī)認(rèn)為入侵者即是信任主機(jī)，對于這類攻擊，應(yīng)當(dāng)設(shè)法知道UPD源端口號和DNS序號，DNS序號一般初始為0，而UDP源端口號則可以用netstat服務(wù)或一些UPD端口掃描等工具獲得。 其次，入侵者可以偽裝為域名服務(wù)器應(yīng)答，從而使入侵者可以監(jiān)聽所有的連接，當(dāng)然，這需要入侵者能取得所有查詢請求報(bào)文。 第三，DNS的一些服務(wù)本身也是極其危險(xiǎn)的，一個(gè)zone tranfer（AXFR）請求可以用來取得數(shù)據(jù)庫的完整一部分，不斷使用這一請求，就會(huì)得到網(wǎng)絡(luò)主機(jī)的一個(gè)詳細(xì)列表，這樣的信息是很危險(xiǎn)的，因?yàn)槿肭终呖梢园l(fā)現(xiàn)主機(jī)為何種操作系統(tǒng)，或者主機(jī)可能會(huì)有哪些信任主機(jī)。 RPC、rusers、rstatd安全問題RPC，即遠(yuǎn)程過程調(diào)用，是sun公司提出并被廣泛應(yīng)用的分布式運(yùn)算協(xié)議，這一協(xié)議的所有實(shí)現(xiàn)中，幾乎都缺省有ruserd和rstatd服務(wù)。ruserd用于列出系統(tǒng)上的所有活動(dòng)用戶，而rstatd用于報(bào)告當(dāng)前系統(tǒng)的一些運(yùn)行情況，由于這兩個(gè)服務(wù)都不需要認(rèn)證，因此它們可能會(huì)暴露一些系統(tǒng)的安全信息。 rlogin、rexec等服務(wù)的安全問題它們的主要問題是：信息暴露，類似Telnet的安全問題。信任主機(jī)被冒充，包括IP地址冒充和主機(jī)名冒充兩種情況。rlogin、rexec服務(wù)比Telnet來說沒有增加新的內(nèi)容，雖然略為方便，但卻使系統(tǒng)存在著嚴(yán)重的安全隱患，使系統(tǒng)不易管理和控制，因此，建議可取消這兩個(gè)服務(wù)。 X協(xié)議的安全問題X協(xié)議是用于圖形界面描述和顯示的基于TCP的協(xié)議，X協(xié)議使圖形界面的異地顯示成為可能，從而大大方便了UNIX的使用。 X協(xié)議的安全問題主要在于，X協(xié)議是基于信任主機(jī)方式工作的，目前幾乎所有的實(shí)現(xiàn)中，X事件的取得資格一般依賴于IP地址，這樣，所有的IP冒充都可以用于攻擊X服務(wù)。病毒就是計(jì)算機(jī)的一段可執(zhí)行代碼，這些病毒感染到計(jì)算機(jī)上的過程是完全被動(dòng)的。也就是說只有直接跟這些病毒接觸，例如拷貝文件、訪問網(wǎng)站、接收Email等才能感染。一旦計(jì)算機(jī)被感染上病毒，這些可執(zhí)行代碼可以自動(dòng)執(zhí)行，破壞計(jì)算機(jī)系統(tǒng)。木馬也是人們故意創(chuàng)造出來的，也是一個(gè)可執(zhí)行代碼。與病毒不同，這些可執(zhí)行代碼基本上不破壞計(jì)算機(jī)系統(tǒng)，但是它給外面的黑客留出后門，讓黑客通過這個(gè)后門進(jìn)入計(jì)算機(jī)系統(tǒng)。木馬一般由個(gè)人主動(dòng)放入計(jì)算機(jī)系統(tǒng)，如通過一次入侵。惡意代碼是這紀(jì)念比較新的概念?？梢哉f，這些代碼是攻擊、病毒和木馬的結(jié)合。也就是說，惡意代碼不但破壞計(jì)算機(jī)系統(tǒng)（像病毒），給黑客留出后門（像木馬），它還能夠主動(dòng)去攻擊并感染上別的機(jī)器。3網(wǎng)絡(luò)安全體系結(jié)構(gòu) 信息安全總體框架網(wǎng)絡(luò)安全是一個(gè)覆蓋范圍很廣的領(lǐng)域。為了更深刻地理解網(wǎng)絡(luò)安全問題，必須對這個(gè)領(lǐng)域有系統(tǒng)化的了解。我們把信息安全看成一個(gè)由多個(gè)安全單元組成的集合。其中，每一個(gè)安全單元都是一個(gè)整體，包含了多個(gè)特性。一般來說，人們都從三個(gè)主要特性去理解一個(gè)安全單元，就是安全特性、結(jié)構(gòu)層次和系統(tǒng)單元。安全特性指的是該安全單元能解決什么安全威脅。一般來說，信息的安全威脅主要關(guān)心人的威脅惡意行為可能導(dǎo)致的資源（包括信息資源、計(jì)算資源、通信資源）被破壞、信息泄露、篡改、濫用和拒絕服務(wù)，它包括以下四個(gè)方面：保密性、完整性、可用性和未授權(quán)使用資源的安全威脅。系統(tǒng)單元指的是該安全單元解決什么系統(tǒng)環(huán)境的安全問題。對于現(xiàn)代的互聯(lián)網(wǎng)，系統(tǒng)單元可以分為五個(gè)不同環(huán)境：物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、管理。 OSI參考模型 OSI參考模型是互聯(lián)網(wǎng)的TCP/IP協(xié)議的基礎(chǔ)。安全單元的這個(gè)特性描述了該安全單元在網(wǎng)絡(luò)互連協(xié)議中，解決了什么樣的互連問題。OSI參考模型描述了網(wǎng)絡(luò)互連的7個(gè)層次，從上到下分別為：應(yīng)用層、表示層、會(huì)話層、傳輸層、網(wǎng)絡(luò)層、鏈路層、物理層。 OSI安全體系結(jié)構(gòu)OSI安全體系結(jié)構(gòu)的研究始于1982年，當(dāng)時(shí)OSI基本模型剛剛確立。ISO/IEC JTC1于1989年增加了關(guān)于安全體系結(jié)構(gòu)的描述，在次基礎(chǔ)上，后來又制訂了一系列特定安全服務(wù)的標(biāo)準(zhǔn)，其成果標(biāo)志是ISO發(fā)布了ISO 74982標(biāo)準(zhǔn)，作為OSI參考模型的新補(bǔ)充。 ISO 74982標(biāo)準(zhǔn)現(xiàn)在已成為網(wǎng)絡(luò)安全專業(yè)人員的重要參考，它不為解決某一特定安全問題，而是為網(wǎng)絡(luò)安全共同體提供一組公共的概念和術(shù)語，用來描述和討論安全問題和解決方案。因此，OSI安全體系結(jié)構(gòu)只是安全服務(wù)與相關(guān)安全機(jī)制的一般性描述，說明了安全服務(wù)怎樣映射到網(wǎng)絡(luò)的層次結(jié)構(gòu)中，并簡單討論了它們在OSI/RM中合適的位置。 認(rèn)證服務(wù)提供某個(gè)實(shí)體的身份保證。在通信的某一個(gè)特定過程中，如果某一個(gè)實(shí)體聲稱具有特定的身份時(shí)，認(rèn)證服務(wù)就提供一種方法來證實(shí)這個(gè)聲稱是否正確。認(rèn)證的一個(gè)熟知方法是口令。 由于在某種程度上，OSI安全體系結(jié)構(gòu)的其他安全服務(wù)都依賴于認(rèn)證服務(wù)，或者和認(rèn)證服務(wù)緊密地結(jié)合，因此認(rèn)證是一個(gè)重要的安全服務(wù)。認(rèn)證服務(wù)有兩種類型：對等實(shí)體認(rèn)證和數(shù)據(jù)起源認(rèn)證。 訪問控制服務(wù)就是對某一些確知身份限制對某些資源的訪問。訪問控制服務(wù)可以防止未授權(quán)的實(shí)體訪問資源（如計(jì)算機(jī)資源、信息資源等），所謂未授權(quán)的訪問就是未經(jīng)授權(quán)的使用、修改、銷毀以及頒布指令等。訪問控制服務(wù)一般要與不同的安全策略協(xié)調(diào)一致。 數(shù)據(jù)保密性服務(wù)保護(hù)信息不泄露或不暴露給那些未授權(quán)掌握該信息的實(shí)體。這種服務(wù)有4個(gè)方面：連接保密性、無連接保密性、選擇字段保密性、業(yè)務(wù)流保密性。 數(shù)據(jù)完整性服務(wù)保護(hù)數(shù)據(jù)在存儲(chǔ)和傳輸中的完整性。這種服務(wù)可取如下所述的各種形式之一：可恢復(fù)的連接完整性、不可恢復(fù)的連接完整性、選擇字段的連接完整性、無連接完整性、選擇字段無連接完整性。 抗否認(rèn)服務(wù)與其他安全服務(wù)有根本不同。它主要保護(hù)通信系統(tǒng)不會(huì)遭到自系統(tǒng)中其他合法用戶的威脅，而不是來自未知攻擊者的威脅?！暗仲嚒弊钤绫欢x成一種威脅，它是指參與某次通信交換的一方事后不誠實(shí)地否認(rèn)曾發(fā)生過本次交換?？狗裾J(rèn)服務(wù)是用來對付這種威脅的?？沟仲嚪?wù)服務(wù)可取如下兩種形式：數(shù)據(jù)起源的抗抵賴、傳遞過程的抗抵賴。 加密機(jī)制可以用來加密存放著的數(shù)據(jù)或傳輸中的信息，它既可以單獨(dú)地使用，也可以同其他機(jī)制結(jié)合使用。加密是提供數(shù)據(jù)保密性保護(hù)最常用的方法。 數(shù)據(jù)加密是保護(hù)數(shù)據(jù)的最基本的方法，但是，這種方法只能防止第三者獲得真實(shí)數(shù)據(jù)，僅解決了安全問題的一個(gè)方面。有些安全問題，例如否認(rèn)、偽造、冒充等，則數(shù)據(jù)加密是不能解決的。為了解決這些安全問題，傳統(tǒng)的方法是在文件上手寫簽名。但是，我們現(xiàn)在所操作的對象是數(shù)據(jù)，所以以上的手寫簽名必須使用數(shù)據(jù)簽名機(jī)制。 訪問控制機(jī)制 訪問控制機(jī)制根據(jù)實(shí)體的身份及其有關(guān)信息，來決定給實(shí)體的訪問權(quán)限。訪問控制機(jī)制是信息保護(hù)的前沿屏障，是按照事先確定的規(guī)則決定主體對客體的訪問是否合法。 數(shù)據(jù)完整性機(jī)制主要支持上面提到的數(shù)據(jù)完整性服務(wù)。 鑒別交換是以交換信息的方式來確認(rèn)實(shí)體身份的機(jī)制。 這種機(jī)制主要是防止第三者在路線上通過竊聽和分析數(shù)據(jù)流量而推測出數(shù)據(jù)內(nèi)容。這種機(jī)制采用的方法一般是由保密裝置在無信息傳輸時(shí)，連續(xù)地發(fā)出隨機(jī)序列，使得第三者