【文章內(nèi)容簡(jiǎn)介】 層 一些術(shù)語(yǔ) 層次化結(jié)構(gòu)有效地實(shí)現(xiàn)了各個(gè)層次功能的劃分并定義了 規(guī)范的接口 ，使得每一層的 功能簡(jiǎn)單、易于實(shí)現(xiàn)和維護(hù) 。 例如，它使網(wǎng)絡(luò)的設(shè)計(jì)者不需要把注意力放在具體物理傳輸媒介、具體應(yīng)用細(xì)節(jié)上，而專注于網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)。 每一層中的活動(dòng)元素稱為 實(shí)體 。位于不同系統(tǒng)上同一層的實(shí)體稱為對(duì)等實(shí)體 。不同系統(tǒng)之間的通信可以由對(duì)等實(shí)體間的邏輯通信來(lái)實(shí)現(xiàn)。對(duì)某一層上的通信所使用的規(guī)則稱為該層上的 通信協(xié)議 。協(xié)議按照所屬的層次順序排列而成的協(xié)議序列稱為 協(xié)議棧 。 通信機(jī)制 事實(shí)上，除了在最底層 —— 物理層，上進(jìn)行的是實(shí)際的通信之外，其余各對(duì)等實(shí)體之間進(jìn)行的都是 虛通信 或 邏輯通信 。高層實(shí)體之間的通信是調(diào)用相鄰低層實(shí)體之間的通信實(shí)現(xiàn)的，如此下去總是要經(jīng)過(guò)物理層才能實(shí)現(xiàn)通信。 N+1層實(shí)體要想把數(shù)據(jù) D傳送到對(duì)等實(shí)體手中，它將調(diào)用 N層提供的 通信服務(wù) ，在被稱為 服務(wù)數(shù)據(jù)單元 （ SDU）的 D前面加上 協(xié)議頭（ PH），傳送到對(duì)等的 N層實(shí)體手中，而 N層實(shí)體去掉協(xié)議頭，把信息 D交付到 N+1層對(duì)等實(shí)體手中。 第 N + 1 層第 N 層第 N 1 層 TCP/IP模型 英特網(wǎng)（ Inter）實(shí)際上不是由 7層組成，而是由 應(yīng)用層 、 傳輸層（ TCP/UDP）、 網(wǎng)絡(luò)互聯(lián)層 （ IP）和 網(wǎng)絡(luò)接口層 組成。 它的通信模式和 OSI的 7層模型差不多。 應(yīng)用層 傳輸層 網(wǎng)絡(luò)互聯(lián)層 網(wǎng)絡(luò)接口層 應(yīng)用層對(duì)應(yīng)于 OSI的 應(yīng)用層 、 表示層 和 會(huì)話層 的組合 ， 為應(yīng)用程序訪問(wèn)網(wǎng)絡(luò)通信提供接口 。 常見的協(xié)議包括 FTP（ 文件傳輸協(xié)議 ） 、 TELNET（ 遠(yuǎn)程終端協(xié)議 ） 、SMTP（ 簡(jiǎn)單郵件傳輸協(xié)議 ） 、 HTTP（ 超文本傳輸協(xié)議 ） 等 。 傳輸層對(duì)應(yīng)于 OSI的 傳輸層 ， 為高層提供一定的數(shù)據(jù)可靠性和完整性 。 包括兩個(gè)傳輸協(xié)議 TCP和 UDP， 前者提供面向連接的傳輸服務(wù) ， 后者提供面向非連接的傳輸服務(wù) 。 網(wǎng)絡(luò)互聯(lián)層與 OSI的 網(wǎng)絡(luò)層 對(duì)應(yīng) ， 處理建立 、保持 、 釋放連接 ， 以及路由等功能 ， 該層上的協(xié)議為 IP協(xié)議 。 網(wǎng)絡(luò)接口層對(duì)應(yīng)于 OSI的 數(shù)據(jù)鏈路層 和 物理層 的組合 ， 負(fù)責(zé)把 IP包封裝為適合于物理網(wǎng)絡(luò)上傳輸?shù)膸?， 并解決數(shù)據(jù)幀和比特傳輸?shù)募m錯(cuò)問(wèn)題 。 不同的網(wǎng)絡(luò)介質(zhì)有不同的協(xié)議 。 OSI的安全服務(wù) OSI的五類安全服務(wù)是 ?鑒別 ?機(jī)密性 ?完整性 ?訪問(wèn)控制 ?抗抵賴 實(shí)際上是一些要實(shí)現(xiàn)的安全目標(biāo) ， 但在 OSI框架之下 ， 認(rèn)為每一層和它的上一層是一種服務(wù)關(guān)系 ， 因此 ， 把這些安全目標(biāo)稱為安全服務(wù)是相當(dāng)自然的 。 五類安全服務(wù)的分類 鑒別 機(jī)密性 完整性 訪問(wèn)控制 抗抵賴 對(duì)等實(shí)體鑒別 連接機(jī)密性 帶恢復(fù)的連接完整性 訪問(wèn)控制 有數(shù)據(jù)原發(fā)證明的抗抵賴 數(shù)據(jù)原發(fā)鑒別 無(wú)連接機(jī)密性 不帶恢復(fù)的連接完整性 有交付證明的 抗抵賴 選擇字段機(jī)密性 選擇字段的連接完整 性 通信業(yè)務(wù)流機(jī)密性 無(wú)連接完整性 選擇字段的無(wú)連接 完整性 1. 鑒別 （ 1）對(duì)等實(shí)體鑒別 即提供實(shí)體的身份識(shí)別服務(wù)。該服務(wù)能夠確定一個(gè)實(shí)體沒有冒充其他實(shí)體，使對(duì)方（對(duì)等實(shí)體）確信他正在和所聲稱的另一實(shí)體在通信。 （ 2）數(shù)據(jù)原發(fā)鑒別 確認(rèn)所接收到的數(shù)據(jù)的來(lái)源是所聲稱的實(shí)體，但對(duì)于數(shù)據(jù)的重放不提供保護(hù)。 2. 機(jī)密性 該服務(wù)保護(hù)數(shù)據(jù)不被非授權(quán)地泄漏。 （ 3）連接機(jī)密性 為一層上建立的一個(gè)連接上的所有數(shù)據(jù)提供機(jī)密性保護(hù)服務(wù)。對(duì)一些層來(lái)說(shuō)保護(hù)全部的連接數(shù)據(jù)是合適的，但對(duì)另一些層來(lái)說(shuō)不必要。 （ 4）無(wú)連接機(jī)密性 僅對(duì)一層上協(xié)議的某個(gè)服務(wù)數(shù)據(jù)單元 SDU提供機(jī)密性保護(hù)服務(wù)。 （ 5）選擇字段機(jī)密性 為所選擇的某個(gè)字段提供機(jī)密性保護(hù)服務(wù)，這些字段可以是一層上連接傳輸?shù)囊徊糠謹(jǐn)?shù)據(jù)，也可以是一層上非連接傳輸?shù)囊粋€(gè) SDU中的一個(gè)字段。 （ 6）通信業(yè)務(wù)流機(jī)密性 使通信業(yè)務(wù)流量具有隨機(jī)特征，從而攻擊者無(wú)法通過(guò)觀察通信流量推斷其中的機(jī)密信息。 3. 完整性 （ 7）帶恢復(fù)的連接完整性 為一層上建立的一個(gè)連接上的所有數(shù)據(jù)提供完整性檢查，即檢查整個(gè) SDU序列中所有 SDU的數(shù)據(jù)是否被篡改、檢查 SDU序列沒有被刪除、插入或亂序。一旦出現(xiàn)差錯(cuò)該服務(wù)將提供重傳或糾錯(cuò)等恢復(fù)操作。 （ 8）不帶恢復(fù)的連接完整性 與帶恢復(fù)的連接完整性的唯一不同是，檢查到差錯(cuò)后不進(jìn)行補(bǔ)救。 （ 9）選擇字段的連接完整性 為一層的一個(gè)連接傳輸?shù)乃x擇部分字段提供完整性檢查。檢查這些 SDU字段序列中的數(shù)據(jù)是否被篡改、檢查字段序列沒有被刪除、插入或亂序。 （ 10）無(wú)連接完整性 對(duì)一層上協(xié)議的某個(gè)服務(wù)數(shù)據(jù)單元 SDU提供完整性檢查服務(wù)，確認(rèn)是否被篡改。 （ 11）選擇字段的無(wú)連接完整性 僅對(duì)一層上協(xié)議的某個(gè)服務(wù)數(shù)據(jù)單元 SDU的部分字段提供完整性檢查服務(wù)，確認(rèn)是否被篡改。 4. 訪問(wèn)控制與抗抵賴 （ 12）訪問(wèn)控制 是防止對(duì)資源的非授權(quán)使用。 抗抵賴服務(wù)又分為： ?為數(shù)據(jù)的發(fā)送方（ 13）提供交付證據(jù) ?為數(shù)據(jù)的接收方提供（ 14）原發(fā)證據(jù)。 OSI安全機(jī)制 身份識(shí)別在 OSI中稱為鑒別交換 特定安全機(jī)制 加密、數(shù)字簽名、訪問(wèn)控制、數(shù)據(jù)完整性、鑒別交換、通信量填充、路由控制、公證共 8種 普遍性安全機(jī)制 可信功能度、安全標(biāo)記、事件檢測(cè)、安全審計(jì)追蹤、安全恢復(fù)共 5種 特定安全機(jī)制中除了數(shù)據(jù)完整性外都屬于我們定義的安全防護(hù)范疇，而 OSI的普遍安全機(jī)制除了可信功能度外對(duì)應(yīng)于我們的安全檢測(cè)和恢復(fù)范圍。 安全服務(wù)與特定安全機(jī)制的關(guān)系 機(jī)制 服務(wù) 加密 數(shù)字 簽名 訪問(wèn) 控制 數(shù)據(jù) 完整性 鑒別 交換 通信量 填充 路由 控制 公證 對(duì)等實(shí)體鑒別 Y Y Y 數(shù)據(jù)原發(fā)鑒別 Y Y 訪問(wèn)控制 Y 連接機(jī)密性 Y Y 無(wú)連接機(jī)密性 Y Y 183