網(wǎng)絡(luò)與信息安全安全基礎(chǔ)四-資料下載頁
2024-10-11 10:51本頁面
【導(dǎo)讀】安全基礎(chǔ)部分小結(jié)。，基本上解決了Web通訊的安全問題。，1996年發(fā)布，增加了一些算法，修改了一些缺陷。為兩個(gè)通訊個(gè)體之間提供保密性和完整性。互操作性、可擴(kuò)展性、相對效率。建立在可靠的傳輸協(xié)議之上。它提供連接安全性，有兩個(gè)特點(diǎn)。保密性，使用了對稱加密算法。用來封裝高層的協(xié)議。客戶和服務(wù)器之間相互認(rèn)證。協(xié)商加密算法和密鑰。身份認(rèn)證，至少對一方實(shí)現(xiàn)認(rèn)證，也可以是雙向認(rèn)證。協(xié)商得到的共享密鑰是安全的，中間人不能夠知道。協(xié)商過程是可靠的。身份認(rèn)證和數(shù)據(jù)完整性。TLSSession都有一個(gè)當(dāng)前狀態(tài)。每個(gè)connection都與一個(gè)session相關(guān)聯(lián)。實(shí)際上是一組參數(shù)，包括。Sessionidentifier，字節(jié)序列，由服務(wù)器產(chǎn)。Cipherspec，指定數(shù)據(jù)加密算法和用于。上層消息的數(shù)據(jù)被分片成214字節(jié)大小的塊，或者更。采用CBC，算法由cipherspec指定。padding,共padding_length，每個(gè)字節(jié)的值也是。uint16length;——加密后數(shù)據(jù)的長度，這條消息使得接收方改變當(dāng)。Fatal類型的alert消息導(dǎo)致。該會話的其他連接可以繼續(xù)，
【正文】 結(jié)合的產(chǎn)物 ? 同時(shí)具有基于身份策略的特征，也具有基于規(guī)則的策略的特征 ? 可以看作是基于組的策略的變種。根據(jù)用戶所屬的角色作出授權(quán)決定 ? 角色的定義： ? 每個(gè)角色與一組用戶和有關(guān)的動作相互關(guān)聯(lián)，角色中所屬的用戶可以有權(quán)執(zhí)行這些操作 ? 角色與組的區(qū)別 ? 組：一組用戶的集合 ? 角色：一組用戶的集合 + 一組操作權(quán)限的集合 RBAC的優(yōu)勢 ? 增加一層間接性帶來了靈活性 ? 便于管理員賦予最小權(quán)限 ? 便于職責(zé)分擔(dān) ? 便于目標(biāo)分級 ? 低的管理代價(jià) 舉例： COM+中基于角色的控制 其他的訪問控制 ? 與目標(biāo)的內(nèi)容相關(guān)的訪問控制 ? 動態(tài)訪問控制 ? 多用戶訪問控制 ? 當(dāng)多個(gè)用戶同時(shí)提出請求時(shí)，如何做出授權(quán)決定 ? 基于上下文的控制 ? 在做出對一個(gè)目標(biāo)的授權(quán)決定時(shí)依賴于外界的因素，比如時(shí)間、用戶的位置等 目標(biāo)的粒度和策略的結(jié)合 ? 在設(shè)計(jì)一個(gè)安全系統(tǒng)時(shí)，授權(quán)粒度代表了控制的粒度和能力 ? 比如，有的數(shù)據(jù)庫只能控制對一張表的整體訪問或者禁止，而有的可以對一個(gè)字段進(jìn)行控制 ? 多種策略的結(jié)合 ? 如何協(xié)調(diào)這些策略 ? 規(guī)定策略的優(yōu)先級 ? 否定策略的優(yōu)先級 訪問控制機(jī)制：訪問控制表(ACL, Access Control List) ? 訪問控制列表 ? 對應(yīng)于訪問控制矩陣中的一列內(nèi)容 ? 基于身份的訪問控制策略和基于角色的訪問控制策略都可以用 ACL來實(shí)現(xiàn) ? 優(yōu)點(diǎn)： ? 控制粒度比較小 ? 適用于被區(qū)分的用戶數(shù)比較小的情況，并且這些用戶的授權(quán)情況相對比較穩(wěn)定的情形 其他訪問控制機(jī)制 ? 訪問能力表 ? 授權(quán)機(jī)構(gòu)針對每個(gè)限制區(qū)域，都為用戶維護(hù)它的訪問控制能力 ? 與 ACL相比較：在每個(gè)受限制的區(qū)域，都維護(hù)一個(gè)ACL表 ? 安全標(biāo)簽 ? 發(fā)起請求的時(shí)候，附屬一個(gè)安全標(biāo)簽，在目標(biāo)的屬性中，也有一個(gè)相應(yīng)的安全標(biāo)簽。在做出授權(quán)決定時(shí)，目標(biāo)環(huán)境根據(jù)這兩個(gè)標(biāo)簽決定是允許還是拒絕訪問 ? 常常用于多級訪問策略 ? 基于口令的機(jī)制 一般化的訪問控制機(jī)制 ? 對于一個(gè) reference monitor訪問控制模型，可以設(shè)想在發(fā)起方 (主體 )有一些附屬的安全屬性信息，在目標(biāo)方 (客體 )也有一個(gè)附屬的安全屬性信息 ? 授權(quán)機(jī)構(gòu)根據(jù)這些信息做出授權(quán)決定 Reference Monitor 主體 客體 控制規(guī)則庫 安全屬性 安全屬性 Windows平臺上有關(guān)訪問控制的幾個(gè)概念 ? SID ? 是一個(gè)可變長度的結(jié)構(gòu)，用來唯一地描述一個(gè)用戶或者組 ? 可以轉(zhuǎn)化為字符串形式 ? SD ? 包含了與一個(gè)安全對象有關(guān)的安全信息 ? Security identifiers (SIDs) for the owner and primary group of an object ? DACL(discretionary accesscontrol list) ? SACL(system accesscontrol list) ? 以及一組控制標(biāo)記 ? 數(shù)據(jù)結(jié)構(gòu) ACL、 ACE ? Access token ? 此對象描述了一個(gè)進(jìn)程或者線程的安全環(huán)境 ? 包括 SID， 以及用戶所屬的組的 SIDs, logon SID… Windows NT/2020的安全策略 安全基礎(chǔ)部分小結(jié) ——密碼學(xué)基礎(chǔ) ? 對稱加密算法 ? DES ? Feistel結(jié)構(gòu) ? 分組密碼算法的應(yīng)用模式 ? AES: Rijndael ? 隨機(jī)數(shù)發(fā)生器 ? 公鑰密碼學(xué) ? 公鑰算法： RSA ? DiffieHelman密鑰交換協(xié)議 ? 散列算法 ? MAC算法和 HMAC算法 ? 數(shù)字簽名 安全基礎(chǔ)部分小結(jié) ——認(rèn)證協(xié)議 ? 基本的認(rèn)證協(xié)議 ? LanMan的認(rèn)證和口令加密方案 ? NTLM的認(rèn)證過程 ? HTTP認(rèn)證 ? Basic Authentication ? Digest Access Authentication 安全基礎(chǔ)部分小結(jié) ——Kerberos認(rèn)證協(xié)議 ? Kerberos認(rèn)證協(xié)議 ? Kerberos中的Flags ? MIT和 Win2k中的Kerberos實(shí)現(xiàn) 安全基礎(chǔ)部分小結(jié) ——IPSec ? IPSec包括 ? 協(xié)議部分，分為 ? AH: Authentication Header ? ESP: Encapsulating Security Payload ? 密鑰管理 (Key Management) ? ISAKMP定義了密鑰管理框架 ? IKE是真正用于 IPSec的密鑰交換協(xié)議 ? IPSec的實(shí)現(xiàn) (在 Windows 2020下 ) 安全基礎(chǔ)部分小結(jié) ——PKI ? PKI的動機(jī) ? PKI中的證書 ? ? 信任模型 ? CA層次結(jié)構(gòu) ? 交叉認(rèn)證 ? 以用戶為中心的信任模型 ? PKCS標(biāo)準(zhǔn) ? 證書申請和發(fā)放的過程 安全基礎(chǔ)部分小結(jié) ——SSL/TLS ? 協(xié)議棧 ? 握手過程 ? 安全分析 ——攻擊 安全基礎(chǔ)部分小結(jié) ——訪問控制 ? 訪問控制策略 ? 基于身份的策略 ? 基于規(guī)則的策略 ? 基于角色的策略 ? 幾種實(shí)現(xiàn)訪問控制的機(jī)制 其他幾種安全協(xié)議 ? 其他安全協(xié)議 ? S/MIME ? SET ? SSH ? HTTPS ? 介紹見“第一次作業(yè)” 參考資料 ? 書 ? William Stallings, Cryptography and work security: principles and practice, Second Edition ? 馮登國，計(jì)算機(jī)通信網(wǎng)絡(luò)安全，清華大學(xué)出版社， 2020 ? David Chappell, Understanding Microsoft Windows 2020 Distributed Services, 中文版 (清華大學(xué)出版社，潘愛民譯 ), 2020 ? 文章 ? Ian Goldberg and David Wagner, “Randomness and the Netscape Browser”, January 1996 Dr. Dobb39。s Journal ? Bleichenbacher D. , Chosen Ciphertext Attacks against Protocols Based on RSA Encryption Standard PKCS 1 in Advances in Cryptology CRYPTO39。98, LNCS vol. 1462, pages: 112, 1998. ? Web站點(diǎn) ? “SSL v3 spec”, ? Openssl,
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1