【文章內(nèi)容簡介】 ? 通信領(lǐng)域 ? WiFi 部署 ? 釣魚 ? 身份盜竊 ? 電子政務(wù)領(lǐng)域 ? 公文扭轉(zhuǎn) ? 政務(wù)門戶 ? 訪問控制領(lǐng)域 ? 機(jī)房門禁（物理） ? Windows登錄（邏輯） ? 硬件設(shè)備領(lǐng)域 ? Web 服務(wù)器 ? 域名控制器 ? VPN ? 軟件開發(fā)領(lǐng)域 ? 代碼簽名 ? 電子商務(wù)領(lǐng)域 ? 銀行 ? 網(wǎng)購 30 PKI/CA應(yīng)用實(shí)例： Windows安全域登錄 31 ?域登錄示意圖 郵件服務(wù)器 Mary Rick 數(shù)字證書 數(shù)字證書 郵 件 安全郵件 S/MIME 32 ?S/MIME – Secure Multipurpose Inter Mail Extensions （安全多用途因特網(wǎng)郵件擴(kuò)展） ? 通過發(fā)件者簽名來防止郵件被偽造 ? 通過對郵件加密來防止郵件被偷看 VPN/IPSec 總部 LAN Rick 數(shù)字證書 數(shù)字證書 Inter VPN網(wǎng)關(guān) VPN安全通道 子公司 LAN VPN網(wǎng)關(guān) 數(shù)字證書 VPN安全通道 移動用戶 33 文檔簽名 ?電子簽 章 ? 利用電子簽名技術(shù)保障電子信息的真實(shí)性和完整性以及簽名人的不可否認(rèn)性 ? 利用 圖像處理技術(shù)將電子簽名操作轉(zhuǎn)化為與紙質(zhì)文件蓋章操作相同的可視 效果 ? 如 文檔發(fā)生修改 ，可給 出提示 ?文檔類型 ? Office ? 網(wǎng)頁 ? PDF ? … 34 可信站點(diǎn)認(rèn)證服務(wù) 功能： 訪問者向網(wǎng)站發(fā)送敏感信息時，確信其信息被發(fā)送到真實(shí)的目標(biāo)站點(diǎn) 防止第三方站點(diǎn)仿冒銀行網(wǎng)站，騙取訪問者向該站點(diǎn)提交的敏感數(shù)據(jù)（比如：信用卡號碼、密碼等） 應(yīng)用 場景： 防止 釣魚攻擊 通過 “ 克隆 ” 銀行 網(wǎng)站騙取銀行客戶信息 35 應(yīng)用可信站點(diǎn)認(rèn)證服務(wù) 通過安全連接發(fā)送信息 當(dāng)站點(diǎn)信息和證書信息不相同時給出警告信息 36 代碼簽名 功能： ?使用代碼簽名證書對軟件進(jìn)行簽名后放到互聯(lián)網(wǎng)上，使其軟件產(chǎn)品更難以被仿造和篡改，增強(qiáng) 軟件開發(fā)商 與用戶間的信任度和 開發(fā) 商的信譽(yù)；用戶知道該軟件是安全的并且沒有被篡改過，用戶可以安全地進(jìn)行下載、使用。 優(yōu)點(diǎn)： ?有效防止代碼的仿冒 ?保證代碼的完整性 ?可追蹤代碼的來源 應(yīng)用場景： ?安全安裝 ?驅(qū)動程序代碼簽名 37 安全網(wǎng)上銀行 用 戶$分 行$總 行$分 行加 密 鏈 路銀 行 網(wǎng) 站（ 安 全 站 點(diǎn) ）解 密 賬 單（ 節(jié) 點(diǎn) 密 碼 機(jī) ）銀 行 內(nèi) 部 業(yè) 務(wù)$M I C R O S O F T C O R P O R A T I O N在 線 轉(zhuǎn) 賬（ 數(shù) 字 時 間 戳 ）$$在 線 支 付（ 表 單 簽 名 / 加 密 ）轉(zhuǎn) 賬 消 息 反 饋（ 安 全 電 子 郵 件 ）付 給$電 子 賬 單 簽 收（ 文 檔 電 子 簽 名 加 密 ）S S L因特網(wǎng)部分 內(nèi)網(wǎng)部分 案例 網(wǎng)上銀行安全 38 優(yōu)缺點(diǎn)分析 ?優(yōu)點(diǎn) ? 標(biāo)準(zhǔn)化 ? PKIX系列 ? PKCS系列 ? 支持廣泛 ? SSL: ? Web服務(wù)器： IIS, Apache, Domino ? 瀏覽器： IE、 Netscape ? Email客戶端： Outlook, Netscape Mail ? 可離線認(rèn)證 ?缺點(diǎn) ? 較好的解決了“身份”問題，難以解決“角色”問題 ? 簽名 /加密等關(guān)鍵操作安全性取決于私鑰的安全性 39 知識子域：虛擬專用網(wǎng)絡(luò) ?理解 VPN的概念、分類和功能 ?理解 IPSec 協(xié)議的工作原理和特點(diǎn) ?理解 SSL協(xié)議的工作原理和特點(diǎn) 40 為什么使用 VPN ?分布 在各地的組織機(jī)構(gòu)需要用 專用網(wǎng)絡(luò) 來保證數(shù)據(jù)傳輸安全 ? 安全性好、價格昂貴、難擴(kuò)展、不 靈活 ?使用公共網(wǎng)絡(luò)傳遞數(shù)據(jù) ? 安全性 差、 價格 便宜 、 易擴(kuò)展，普遍 使用 ?將 專用網(wǎng) 的安全特性 和 公共網(wǎng)絡(luò) 的 廉價和易于擴(kuò)展的特性 結(jié)合 —— ？ ?利用 共享的互聯(lián)網(wǎng)設(shè)施，模擬“專用” 廣域網(wǎng)。最終以極低的費(fèi)用為遠(yuǎn)程用戶提供能和專用網(wǎng)絡(luò)相媲美的保密通信服務(wù) 41 VPN含義 ?虛擬專用 網(wǎng)絡(luò) ? VPN（ Virtual Private Network） ? 通常 是指在公共網(wǎng)絡(luò)中，利用隧道技術(shù)，建立一 個虛擬的、專用的安全網(wǎng)絡(luò)通道 ? 一般是 為特定企業(yè)或用戶所有 ， 而且 只有 經(jīng)過授權(quán)的用戶才可以使用 ?理解 ? V:“虛擬” （ Virtual），虛擬的通道 ? P:“專用或私有” （ Private），邏輯上專用 ? N：“網(wǎng)絡(luò)” （ Network），通道 42 ?加密數(shù)據(jù)： 保證通過公網(wǎng)傳輸?shù)男畔⒓词贡凰私孬@也不會泄露。 ?信息認(rèn)證和身份認(rèn)證： 保證信息的完整性、合法性，并能鑒別用戶的身份。 ?提供訪問控制： 不同的用戶有不同的訪問權(quán)限。 ?抗 重放： 防止 數(shù)據(jù)包 被捕捉后重新 投放到網(wǎng)上。 VPN安全 功能 43 VPN的類型 ?按協(xié)議層次 ? 可以分為二層 VPN，三層 VPN、四層 VPN和應(yīng)用層VPN。 ?按應(yīng)用范圍 ? 遠(yuǎn)程訪問 VPN、內(nèi)聯(lián)網(wǎng) VPN和外聯(lián)網(wǎng) VPN ?按體系結(jié)構(gòu) ? 網(wǎng)關(guān)到網(wǎng)關(guān) VPN、主機(jī)到網(wǎng)關(guān) VPN和主機(jī)到主機(jī)VPN 44 遠(yuǎn)程訪問 VPN 45 內(nèi)聯(lián)網(wǎng) VPN 46 外聯(lián)網(wǎng) VPN 47 按體系結(jié)構(gòu)分類的 VPN 網(wǎng)關(guān)到網(wǎng)關(guān)體系結(jié)構(gòu)示例 主機(jī)到主機(jī)體系結(jié)構(gòu)示例 主機(jī)到網(wǎng)關(guān)體系結(jié)構(gòu)示例 48 ?本質(zhì)區(qū)別在于用戶在隧道中傳輸?shù)臄?shù)據(jù)包是被封裝在哪種數(shù)據(jù)包中。 ?隧道技術(shù)按其拓?fù)浣Y(jié)構(gòu)分為點(diǎn)對點(diǎn)隧道和點(diǎn)對多隧道，而 VPN主要采用點(diǎn)對點(diǎn)隧道。 ?目前存在多種 VPN 隧道，包括 L2TP、 PPTP、 IPSec、 MPLS、 SSL VPN隧道技術(shù) 49 ?二層隧道協(xié)議 ?IPSec協(xié)議 ?SSL協(xié)議 VPN有關(guān)協(xié)議的工作原理 50 ?二層隧道協(xié)議主要有三種 : ? PPTP：微軟、 Ascend、 3COM 等公司支持。 ? L2F： Cisco、北方電信等公司支持，在 Cisco路由器中有支持。 ? L2TP：由 IETF 起草，微軟、 Ascend 、 Cisco、3COM 等公司參與，結(jié)合了上面兩個協(xié)議的優(yōu)點(diǎn)，成為 有關(guān)二層隧道協(xié)議的的工業(yè)標(biāo)準(zhǔn)。 二層隧道協(xié)議 51 IPsec協(xié)議 ?IPSec ? IP Security ? 提供 對 IP及其上層協(xié)議的