ch網(wǎng)絡(luò)安全ppt課件-資料下載頁(yè)
2025-01-18 07:42本頁(yè)面
【正文】 會(huì)話 客戶和服務(wù)器交互的所有數(shù)據(jù)都在發(fā)送方加密，在接收方解密。 (3) SSL 客戶鑒別 允許服務(wù)器證實(shí)客戶的身份。 SSL安全會(huì)話建立過(guò)程如下 瀏覽器 A 服務(wù)器 B A 支持的加密算法 B 選定的加密算法 B 的數(shù)字證書 用 B 的公鑰加密的秘密數(shù) 會(huì)話密鑰的產(chǎn)生完成 數(shù)據(jù)傳輸（用會(huì)話密鑰加密） 協(xié)商 加密算法 用 CA 的公鑰 鑒別 B 的證書 產(chǎn)生秘密數(shù) 用秘密數(shù)產(chǎn)生 會(huì)話密鑰 用秘密數(shù) 產(chǎn)生會(huì)話密鑰 協(xié)商 加密算法 t t 顧客 銷售商 2. 安全電子交易 SET (Secure Electronic Transaction) ? 安全電子交易 SET 是專為在因特網(wǎng)上進(jìn)行安全支付卡交易的協(xié)議。 ? SET 的主要特點(diǎn)是： (1) SET 是專為與支付有關(guān)的報(bào)文進(jìn)行加密的。 (2) SET 協(xié)議涉及到三方，即顧客、商家和商業(yè)銀行。所有在這三方之間交互的敏感信息都被加密。 (3) SET 要求這三方都有證書。在 SET 交易中，商家看不見顧客傳送給商業(yè)銀行的信用卡號(hào)碼 。 應(yīng)用層 的安全協(xié)議 1. PGP (Pretty Good Privacy) ? PGP 是一個(gè)完整的電子郵件安全軟件包，包括加密、鑒別、電子簽名和壓縮等技術(shù)。 ? PGP 并沒(méi)有使用什么新的概念，它只是將現(xiàn)有的一些算法如 MD5， RSA，以及 IDEA 等綜合在一起而已。 ? 雖然 PGP 已被廣泛使用，但 PGP 并不是因特網(wǎng)的正式標(biāo)準(zhǔn)。 用 PGP 進(jìn)行加密 A 的私鑰 X 散列 H 加密 摘要 報(bào)文鑒別碼 MAC ? X 一次性密鑰 加密 B 的公鑰 ? 加密 A 郵件 發(fā)送 A有三個(gè)密鑰： 自己的私鑰、 B的公鑰 和自己生成的一次性密鑰。 B有兩個(gè)密鑰： 自己的私鑰和 A的公鑰。 用 PGP 進(jìn)行解密 A 的公鑰 散列 X 一次性密鑰 B 的私鑰 加密的郵件 及其摘要 解密 加密的密鑰 解密 解密 H 摘要 H 摘要 比較 接收 MAC 2. PEM(Privacy Enhanced Mail) ? PEM 是因特網(wǎng)的郵件加密建議標(biāo)準(zhǔn)，由四個(gè) RFC 文檔來(lái)描述： (1) RFC 1421：報(bào)文加密與鑒別過(guò)程 (2) RFC 1422：基于證書的密鑰管理 (3) RFC 1423： PEM 的算法、工作方式和 標(biāo)識(shí)符 (4) RFC 1424：密鑰證書和相關(guān)的服務(wù) PEM 的主要特點(diǎn) ? PEM 的功能和 PGP 的差不多，都是對(duì)基于 RFC 822 的電子郵件進(jìn)行加密和鑒別。 ? PEM 有比 PGP 更加完善的密鑰管理機(jī)制 。由認(rèn)證中心發(fā)布證書，上面有用戶姓名、公鑰以及密鑰的使用期限。每個(gè)證書有一個(gè)唯一的序號(hào)。證書還包括用認(rèn)證中心秘鑰簽了名的 MD5 散列函數(shù)。 鏈路加密與端到端加密 鏈路加密 ? 在采用鏈路加密的網(wǎng)絡(luò)中，每條通信鏈路上的加密是獨(dú)立實(shí)現(xiàn)的。通常對(duì)每條鏈路使用不同的加密密鑰。 D1 E2 明文 X 結(jié)點(diǎn) 1 D2 E3 明文 X 結(jié)點(diǎn) 2 Dn 明文 X 用戶 B E1 明文 X 用戶 A E1(X) 鏈路 1 E2(X) 鏈路 2 En(X) 鏈路 n E3(X) 密文 密文 密文 密文 相鄰結(jié)點(diǎn)之間具有相同的密鑰 ， 因而密鑰管理易于實(shí)現(xiàn) 。 鏈路加密對(duì)用戶來(lái)說(shuō)是透明的 ， 因?yàn)榧用艿墓δ苁怯赏ㄐ抛泳W(wǎng)提供的 。 鏈路加密 ? 由于報(bào)文是以明文形式在各結(jié)點(diǎn)內(nèi)加密的，所以結(jié)點(diǎn)本身必須是安全的。 ? 所有的中間結(jié)點(diǎn) (包括可能經(jīng)過(guò)的路由器 )未必都是安全的。因此必須采取有效措施。 ? 鏈路加密的最大缺點(diǎn) 是在中間結(jié)點(diǎn)暴露了信息的內(nèi)容。 ? 在網(wǎng)絡(luò)互連的情況下，僅采用鏈路加密是不能實(shí)現(xiàn)通信安全的。 端到端加密 ? 端到端加密是在源結(jié)點(diǎn)和目的結(jié)點(diǎn)中對(duì) 傳送的 PDU 進(jìn)行加密和解密，報(bào)文的安全性不會(huì)因中間結(jié)點(diǎn)的不可靠而受到影響。 結(jié)點(diǎn) 1 結(jié)點(diǎn) 2 DK 明文 X 結(jié)點(diǎn) n EK 明文 X 結(jié)點(diǎn) 0 EK(X) 鏈路 1 EK(X) 鏈路 2 EK(X) 鏈路 n 端到端鏈路傳送的都是密文 在端到端加密的情況下 ， PDU 的控制信息部分 (如源結(jié)點(diǎn)地址 、 目的結(jié)點(diǎn)地址 、 路由信息等 )不能被加密 ， 否則中間結(jié)點(diǎn)就不能正確選擇路由 。 防火墻 (firewall)與入侵檢測(cè) ? 防火墻 是由軟件、硬件構(gòu)成的系統(tǒng)，是一種 特殊編程的路由器 ，用來(lái)在兩個(gè)網(wǎng)絡(luò)之間實(shí)施接入控制策略。接入控制策略是由使用防火墻的單位自行制訂的，為的是可以最適合本單位的需要。 ? 防火墻內(nèi)的網(wǎng)絡(luò)稱為 “ 可信賴的網(wǎng)絡(luò) ” (trusted work)，而將外部的因特網(wǎng)稱為 “ 不可信賴的網(wǎng)絡(luò) ” (untrusted work)。 ? 防火墻可用來(lái)解決內(nèi)聯(lián)網(wǎng)和外聯(lián)網(wǎng)的安全問(wèn)題。 華為 USG2210 (firewall) 防火墻在互連網(wǎng)絡(luò)中的位置 內(nèi)聯(lián)網(wǎng) 可信的網(wǎng)絡(luò) 不可信的網(wǎng)絡(luò) 分組過(guò)濾 路由器 分組過(guò)濾 路由器 應(yīng)用網(wǎng)關(guān) 外局域網(wǎng) 內(nèi)局域網(wǎng) 防火墻 G 因特網(wǎng) 防火墻的里面 防火墻的外面 防火墻的功能 ? 防火墻的功能有兩個(gè)： 阻止 和 允許 。 ? “ 阻止 ” 就是阻止某種類型的通信量通過(guò)防火墻（從外部網(wǎng)絡(luò)到內(nèi)部網(wǎng)絡(luò)，或反過(guò)來(lái)）。 ? “ 允許 ” 的功能與 “ 阻止 ” 恰好相反。 ? 防火墻必須能夠識(shí)別通信量的各種類型。不過(guò)在大多數(shù)情況下防火墻的主要功能是 “ 阻止 ” 。 防火墻技術(shù)一般分為兩類 (1) 網(wǎng)絡(luò)級(jí)防火墻 —— 用來(lái)防止整個(gè)網(wǎng)絡(luò)出現(xiàn)外來(lái)非法的入侵。屬于這類的有 分組過(guò)濾和授權(quán)服務(wù)器 。前者檢查所有流入本網(wǎng)絡(luò)的信息，然后拒絕不符合事先制訂好的一套準(zhǔn)則的數(shù)據(jù)，而后者則是檢查用戶的登錄是否合法。 (2) 應(yīng)用級(jí)防火墻 —— 從應(yīng)用程序來(lái)進(jìn)行接入控制。通常使用 應(yīng)用網(wǎng)關(guān)（也稱代理服務(wù)器） 來(lái)區(qū)分各種應(yīng)用。例如，可以只允許通過(guò)訪問(wèn)萬(wàn)維網(wǎng)的應(yīng)用，而阻止 FTP 應(yīng)用的通過(guò)。 入侵檢測(cè)系統(tǒng) ? 入侵檢測(cè)系統(tǒng) IDS (Intrusion Detection System)能夠在入侵已經(jīng)開始，但還沒(méi)有造成危害或在造成更大危害前，及時(shí)檢測(cè)到入侵，以便盡快阻止入侵，把危害降低到最小。 ? 基于特征的 IDS 維護(hù)一個(gè)所有已知攻擊標(biāo)志性特征的數(shù)據(jù)庫(kù)。 ? 基于特征的 IDS只能檢測(cè)已知攻擊，對(duì)于未知攻擊則束手無(wú)策。 作業(yè) ? 70 70 7 71 71 7171 72
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1