第9章網(wǎng)絡(luò)安全(編輯修改稿)
2025-03-22 15:26 本頁面
【文章內(nèi)容簡(jiǎn)介】 ，則計(jì)算其輸入密碼的Hash值，并與系統(tǒng)儲(chǔ)存的值進(jìn)行比對(duì)，如果結(jié)果相同，就允許用戶登錄。 Hash函數(shù)另一著名的應(yīng)用是與公用鑰匙加密法聯(lián)合使用，以產(chǎn)生 數(shù)字簽名 。 數(shù)據(jù)完整性驗(yàn)證 完整性 （ integrity） 驗(yàn)證用于確認(rèn)數(shù)據(jù)經(jīng)長(zhǎng)途勞頓 、 長(zhǎng)期保存后是否仍然保持原樣 ， 不曾改變 。 驗(yàn)證數(shù)據(jù)完整性的一般方法用 Hash函數(shù) 對(duì)原數(shù)據(jù)進(jìn)行處理 ， 產(chǎn)生一組長(zhǎng)度固定 （ 例如 32比特 ） 的 摘要值 。 需要驗(yàn)證時(shí) ， 便重新計(jì)算摘要值 ， 再與原驗(yàn)證值進(jìn)行比對(duì) ， 以判別數(shù)據(jù)是否發(fā)生了變化 。 完整性驗(yàn)證可見于許多軟、硬件應(yīng)用中。例如傳統(tǒng)的磁盤用校驗(yàn)和或循環(huán)冗余校驗(yàn)（ CRC）等技巧產(chǎn)生分區(qū)數(shù)據(jù)的驗(yàn)證值，在低層網(wǎng)絡(luò)協(xié)議中也可見到類似技術(shù)的應(yīng)用，以檢測(cè)所傳送的數(shù)據(jù)是否受到了噪音的干擾。 傳統(tǒng)的完整性驗(yàn)證方式雖然可檢測(cè)物理信號(hào)的衰退或被噪音改變的情況 ， 但無法抵御人為的竄改 。 防止這種情形發(fā)生的技術(shù)之一就是將驗(yàn)證值加密后再行傳送或存儲(chǔ)。 數(shù)字簽名 利用鑰匙加密驗(yàn)證值可防止信息遭篡改。進(jìn)一步地，采用公用鑰匙算法中的私有鑰匙加密驗(yàn)證值，則除了可防止信息遭篡改外，該加密值也同時(shí)是數(shù)字簽名。 如下頁圖 931所示為甲和乙之間進(jìn)行數(shù)字簽名的生成和確認(rèn)流程。 從圖中可看出，數(shù)字簽名的 功能 有三： 可證明信件的來源 ； 可判定信件內(nèi)容是否被篡改 ； 發(fā)信者無法否認(rèn)曾經(jīng)發(fā)過信。 郵 件 內(nèi) 容 驗(yàn) 證 值 驗(yàn) 證 值 密 文郵 件 內(nèi) 容驗(yàn) 證 值 密 文+ 乙 （ 收 ） 方收 件 驗(yàn) 證 值驗(yàn) 證 值 密 文郵 件 內(nèi) 容發(fā) 件 驗(yàn) 證 值比 對(duì)H a s h處 理私 鑰加 密傳 送H a s h處 理公 鑰解 密甲 （ 發(fā) ） 方 操 作 流 程乙 （ 收 ） 方 操 作 流 程圖 931 數(shù)字簽名的生成和 確認(rèn)流程示意圖 網(wǎng)上身份認(rèn)證常識(shí) 認(rèn)證即“驗(yàn)明正身”，用于確認(rèn)某人或某物的身份。 在網(wǎng)絡(luò)上，需要確認(rèn)身份者，大致可分為人類用戶和物理設(shè)備兩類。本書只介紹與人類用戶身份認(rèn)證有關(guān)的基本知識(shí)。 認(rèn)證類型 傳統(tǒng)的認(rèn)證 ， 憑據(jù)一般是名稱和一組秘密字符組合 。 前者稱為標(biāo)識(shí) （ ID） ， 后者稱為密碼（ password） 。 進(jìn)行認(rèn)證時(shí) ， 被認(rèn)證者需要提供標(biāo)識(shí) （ 一般為用戶名 ） 和密碼 。 這種認(rèn)證方式是不可靠的 ， 因?yàn)椴荒艽_保密碼不外泄 。 比較可靠的認(rèn)證方式為加密認(rèn)證。在這種方式下，被認(rèn)證者不需要出示其秘密信息，而是采用迂回、間接的方式證明自己的身份。 1. 密碼認(rèn)證 密碼認(rèn)證 （ Password Based） 方式普遍存在于各種操作系統(tǒng)中 ， 例如在登錄系統(tǒng)或使用系統(tǒng)資源前 ， 用戶需先出示其用戶名與密碼 ， 以通過系統(tǒng)的認(rèn)證 。 密碼認(rèn)證的一般方式是，用戶將自己的秘密告訴對(duì)方，后者在核對(duì)無誤后，便承認(rèn)前者的身份。 這種認(rèn)證方式主要存在兩種問題： l 用戶的秘密可能被竊聽或盜用，因?yàn)閷?duì)方在進(jìn)行核對(duì)用戶輸入的密碼時(shí)，也知道了用戶的秘密。 l 這種傳統(tǒng)的密碼也極易被破解。主要原因是用戶警惕性不高與破解知識(shí)的普及。 2. 加密認(rèn)證 加密認(rèn)證 （ Cryptographic） 可彌補(bǔ)密碼認(rèn)證的不足之處 。 在這種認(rèn)證方式中 ， 雙方使用請(qǐng)求與響應(yīng) （ Challenge Response）技巧來識(shí)別對(duì)方 。 下面來具體來介紹兩種認(rèn)證的方式： 。 。 首先介紹利用秘密鑰匙的認(rèn)證方式。假定 A、 B兩方持有同一密鑰 K，其認(rèn)證過程如圖 941所示： 其中， R為請(qǐng)求值， X為響應(yīng)值。上述步驟也可修改為先將 R加密為 X，然后發(fā)給 B，再由 B解出 R39。，回傳給 A。 A B生 成 隨 機(jī) 數(shù)R ， 發(fā) 送 給 B接 收 X ， 用 K 解密 得 R 39。 ， 然 后與 R 比 對(duì) 。接 收 R ， 用 K 加密 得 X ， 然 后回 傳 給 A 。 利用公用鑰匙進(jìn)行認(rèn)證的過程與秘密鑰匙相似，假設(shè) B的公用、私有鑰匙分別為 KB、 Kb，認(rèn)證過程如圖 942所示， 其中， R為請(qǐng)求值， X為響應(yīng)值。 A B生 成 隨 機(jī) 數(shù)R ， 發(fā) 送 給 B接 收 X ， 用 B公 鑰 解 密 得 R 39。 ，然 后 與 R 比 對(duì) 。接 收 R ， 用 自 己的 私 鑰 加 密 得X ， 然 后 回 傳 給A 。圖 942 公用鑰匙認(rèn)證過程 發(fā)證機(jī)關(guān) 網(wǎng)絡(luò)發(fā)證機(jī)關(guān)（ CA， Certificate Authority）是專門負(fù)責(zé)頒發(fā)公用鑰匙持有證書的機(jī)構(gòu)。 其與網(wǎng)絡(luò)用戶的關(guān)系如圖 943所示。 防火墻技術(shù) . 1 防火墻技術(shù)概述 防火墻是用來連接兩個(gè)網(wǎng)絡(luò)并控制兩個(gè)網(wǎng)絡(luò)之間相互訪問的系統(tǒng)，如下頁圖 951所示。它包括用于網(wǎng)絡(luò)連接的軟件和硬件以及控制訪問的方案。用于對(duì)進(jìn)出的所有數(shù)據(jù)進(jìn)行分析，并對(duì)用戶進(jìn)行認(rèn)證，從而防止有害信息進(jìn)入受保護(hù)網(wǎng)，為網(wǎng)絡(luò)提供安全保障。 防火墻是一類防范措施的總稱。這類防范措施簡(jiǎn)單的可以只用路由器實(shí)現(xiàn)，復(fù)雜的可以用主機(jī)甚至一個(gè)子網(wǎng)來實(shí)現(xiàn)。它可以在 IP層設(shè)置屏障，也可以用應(yīng)用層軟件來阻止外來攻擊。 防火墻的主要功能如下： l 過濾不安全服務(wù)和非法用戶，禁止未授權(quán)的用戶訪問受保護(hù)網(wǎng)絡(luò)。 l 控制對(duì)特殊站點(diǎn)的訪問。 l 提供監(jiān)視 Inter安全和預(yù)警的端點(diǎn)。 I n t r a n e t防 火 墻I n t e r n e t 防火墻并非萬能，影響網(wǎng)絡(luò)安全的因素很多，對(duì)于以下情況它無能為力： （ 1）不能防范繞過防火墻的攻擊。 （ 2）一般的防火墻不能防止受到病毒感
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1