第7章_網(wǎng)絡(luò)安全(編輯修改稿)
2025-03-13 12:18 本頁面
【文章內(nèi)容簡介】 通過，這是一種 重放攻擊 。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 服務(wù)器首先生成 一個隨機(jī)數(shù)并發(fā)給用戶 ，用戶把 口令散列值 與該 隨機(jī)數(shù)連接 或 異或 后再用單向散列函數(shù)處理一遍，把最后的散列值發(fā)給服務(wù)器。 ? 服務(wù)器對存儲的口令散列值同樣處理 ，然后與用戶傳過來的散列值比較，若 相同就認(rèn)為有效 ，若 不同就認(rèn)為無效 。 ? 由于每次生成的散列值各不相同，就 避免了重放攻擊 。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 2．令牌和 USB key認(rèn)證 ? 在對 安全性要求高的 場合，可以用 數(shù)字簽名來驗證身份 。 ? 基本過程是驗證服務(wù)器向用戶發(fā)送 一個隨機(jī)數(shù) ，用戶用自己的 私鑰對其進(jìn)行數(shù)字簽名 ，如果驗證服務(wù)器能用用戶的公鑰成功驗證簽名，那么用戶就被認(rèn)證了。 ? 這種方法需要重點考慮 如何保證私鑰的安全 ， 私鑰存儲在計算機(jī)的硬盤中顯然是不安全的 ，必須保存在令牌或 USB key等密碼硬件中。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 在計算機(jī)安全防御措施中 ， 訪問控制是極其重要的一環(huán) ， 它是在身份認(rèn)證的基礎(chǔ)上 ， 根據(jù)用戶身份的不同 ， 分配不同的權(quán)限 。 ? 1．自主訪問控制 ? 這種訪問控制方法 允許資源的所有者按照自己的意愿 ， 自主地 決定其他用戶訪問該資源的權(quán)限，這在操作系統(tǒng)中廣泛應(yīng)用。 訪問控制 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 2．強(qiáng)制訪問控制 ? 為克服自主訪問控制難以集中管理的缺點，出現(xiàn)了強(qiáng)制訪問控制。 ? 在強(qiáng)制訪問控制中，訪問資源的權(quán)限不再由用戶自由決定，而是整個系統(tǒng)設(shè)置一個管理員， 管理員集中設(shè)置所有資源的權(quán)限 。 ? 管理員為所有用戶與資源分配一個標(biāo)簽，標(biāo)簽可以分為絕密、機(jī)密、秘密、公開等幾類， 安全級別依次降低 ，一般用戶不能改變標(biāo)簽。 ? 當(dāng)用戶訪問一個資源時，系統(tǒng)會比較它們的標(biāo)簽， 如果用戶標(biāo)簽的安全級別高于或等于資源標(biāo)簽的安全級別， 才允許訪問，否則禁止訪問。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 3．基于角色的訪問控制 ? 基于角色的訪問控制 （ RoleBased Access Control， RBAC） 是一種比較新的訪問控制方法。 ? RBAC的核心思想是 用戶的權(quán)限由用戶擔(dān)當(dāng)?shù)慕巧珌頉Q定 。 ? 所謂角色，實際上就是 一組權(quán)限的集合 ，用戶擔(dān)當(dāng)哪個角色，他就具有哪個角色的權(quán)限。 ? 除此之外， RBAC還提出了最小特權(quán)原則等新的思想。 ? 在 Windows XP中，用戶可以屬于某個用戶組，用戶組實際上就是角色， 用戶屬于哪個用戶組，就具有哪個用戶組的權(quán)限。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 系統(tǒng)審計是記錄系統(tǒng)中發(fā)生的各種事件 ，這些記錄有助于發(fā)現(xiàn)入侵的行為和企圖 。 ? 用術(shù)語講 ， 審計 (audit)是指產(chǎn)生 、 記錄并檢查系統(tǒng)事件的過程 。 系統(tǒng)審計 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 在網(wǎng)絡(luò)通信過程中，必須把各種技術(shù)綜合起來運用，形成完善的 安全協(xié)議 ，才能保證網(wǎng)絡(luò)通信的安全。 ? 安全套接字層 ? 1．安全套接字層概述 ? 電子商務(wù)對安全性 的要求很高，這就要求有一個專門的安全協(xié)議來保證網(wǎng)絡(luò)上傳輸數(shù)據(jù)的安全。 ? 安全套接字層 （ Secure Sockets Layer， SSL） 就是在這種背景下，由 Netscape公司開發(fā)的一個網(wǎng)絡(luò)安全協(xié)議 . 常用安全協(xié)議 Computer works 第 7章 網(wǎng)絡(luò)安全 ? SSL為客戶與服務(wù)器間的通信提供安全保證，包括如下安全功能。 ? （ 1）客戶認(rèn)證服務(wù)器身份。 ? （ 2）服務(wù)器認(rèn)證客戶身份，這是可選項。 ? （ 3）客戶與服務(wù)器自動協(xié)商生成密鑰，無需用戶參與。 ? （ 4）加密客戶與服務(wù)器間的數(shù)據(jù)，并可抵御重放攻擊。 ? （ 5）檢測客戶與服務(wù)器間數(shù)據(jù)的完整性。 Computer works 第 7章 網(wǎng)絡(luò)安全 SSL 記錄協(xié)議SSL 握手協(xié)議 SSL 改變密碼規(guī)范協(xié)議 SSL 告警協(xié)議 HT TP ?IPTC PComputer works 第 7章 網(wǎng)絡(luò)安全 ? SSL握手協(xié)議與 SSL記錄協(xié)議 是兩個最主要的子協(xié)議 。 ? 客戶與服務(wù)器使用 SSL傳輸數(shù)據(jù)前 ， 首先運行 SSL握手協(xié)議 。 ? SSL握手協(xié)議非常復(fù)雜 ， 首先進(jìn)行客戶與服務(wù)器間的身份認(rèn)證 ， 然后協(xié)商加密和 MAC的算法以及密鑰 ，這些算法和密鑰將由 SSL記錄協(xié)議使用 ， 用來保護(hù)應(yīng)用層的數(shù)據(jù) 。 Computer works 第 7章 網(wǎng)絡(luò)安全 應(yīng)用層數(shù)據(jù)分段 1 分段 2分段 1分段 1 MAC 碼分段 1 MAC 碼分段 1 MAC 碼H分段壓縮計算 MAC 碼加密添加 SSL 記錄協(xié)議首部??? SSL記錄協(xié)議共分 5步： ? （ 1）分段 ? （ 2）壓縮 ? （ 3）計算MAC碼 ? （ 4）加密 ? （ 5）添加 SSL記錄協(xié)議首部 Computer works 第 7章 網(wǎng)絡(luò)安全 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 虛擬專用網(wǎng) ? 1．虛擬專用網(wǎng)概述 ? SSL本質(zhì)上是運行于兩臺計算機(jī)間的協(xié)議，有時不方便。 ? 虛擬專用網(wǎng) （ Virtual Private Network， VPN）可以將物理上分布在不同地點的網(wǎng)絡(luò)，通過不安全的因特網(wǎng)連接在一起，進(jìn)行安全的通信。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? VPN主要有以下兩種應(yīng)用方式： ? （ 1）計算機(jī)接入內(nèi)部網(wǎng)，員工在家或出差在外時，可以利用 VPN安全地訪問單位內(nèi)部網(wǎng)絡(luò)。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? （ 2）連接多個內(nèi)部網(wǎng)，對于在多個地點有分公司的公司，利用 VPN可以安全地連接各個內(nèi)部網(wǎng)。 ? 當(dāng)僅是兩臺計算機(jī)通信時 ，使用 SSL即可，沒有必要使用 VPN。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? VPN具有如下安全功能： ? （ 1） VPN網(wǎng)關(guān)之間或 VPN網(wǎng)關(guān)與計算機(jī)間的相互身份認(rèn)證。 ? （ 2）通信雙方自動協(xié)商生成密鑰，無需用戶參與，并且密鑰可以定時自動更新。 ? （ 3）加密發(fā)往因特網(wǎng)的數(shù)據(jù)，并可抵御重放攻擊。 ? （ 4）檢測自因特網(wǎng)接收到的數(shù)據(jù)的完整性。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? VPN需要具體的安全協(xié)議來實現(xiàn)，有多種安全協(xié)議可以實現(xiàn) VPN，如 PPTP、 L2TP與 IPSec，這其中 IPSec應(yīng)用最為廣泛。 ? IPSec有兩種工作模式： 傳輸模式 （ transport mode）和 隧道模式 （ tunnel mode），這兩種模式保護(hù)的內(nèi)容不同，傳輸模式保護(hù)的只是 IP數(shù)據(jù)報的數(shù)據(jù)部分，而隧道模式保護(hù)的是整個 IP數(shù)據(jù)報（首部和數(shù)據(jù)）。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 傳輸模式只處理 IP數(shù)據(jù)報的數(shù)據(jù)部分，并不改動原來的IP數(shù)據(jù)報首部，原來的 IP數(shù)據(jù)報首部以明文形式傳輸，因此很容易遭到某些流量分析攻擊。同時，攻擊者還可以了解源網(wǎng)絡(luò)和
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1