網(wǎng)絡(luò)協(xié)議7網(wǎng)絡(luò)安全(參考版)
2025-01-11 23:25本頁(yè)面
【正文】 。 ? 基于特征的 IDS 維護(hù)一個(gè)所有已知攻擊標(biāo)志性特征的數(shù)據(jù)庫(kù)。例如，可以只允許通過(guò)訪問(wèn)萬(wàn)維網(wǎng)的應(yīng)用，而阻止 FTP 應(yīng)用的通過(guò)。 (2) 應(yīng)用級(jí)防火墻 —— 從應(yīng)用程序來(lái)進(jìn)行接入控制。屬于這類的有分組過(guò)濾和授權(quán)服務(wù)器。不過(guò)在大多數(shù)情況下防火墻的主要功能是“阻止”。 ? “允許”的功能與“阻止”恰好相反。 防火墻在互連網(wǎng)絡(luò)中的位置 內(nèi)聯(lián)網(wǎng) 可信的網(wǎng)絡(luò) 不可信的網(wǎng)絡(luò) 分組過(guò)濾 路由器 分組過(guò)濾 路由器 應(yīng)用網(wǎng)關(guān) 外局域網(wǎng) 內(nèi)局域網(wǎng) 防火墻 G 因特網(wǎng) 防火墻的里面 防火墻的外面 防火墻的功能 ? 防火墻的功能有兩個(gè)： 阻止 和 允許 。 ? 防火墻內(nèi)的網(wǎng)絡(luò)稱為“ 可信的網(wǎng)絡(luò) ” (trusted work)，而將外部的因特網(wǎng)稱為“ 不可信的網(wǎng)絡(luò) ” (untrusted work)。 用 PGP 進(jìn)行解密 A 的公鑰 散列 X 一次性密鑰 B 的私鑰 加密的郵件 及其摘要 解密 加密的密鑰 解密 解密 H 摘要 H 摘要 比較 接收 MAC 系統(tǒng)安全： 防火墻與入侵檢測(cè) 防火墻 ? 防火墻 是由軟件、硬件構(gòu)成的系統(tǒng)， 是一種特殊編程的路由器， 用來(lái)在兩個(gè)網(wǎng)絡(luò)之間實(shí)施接入控制策略。 用 PGP 進(jìn)行加密 A 的私鑰 X 散列 H 加密 摘要 報(bào)文鑒別碼 MAC ? X 一次性密鑰 加密 B 的公鑰 ? 加密 A 郵件 發(fā)送 A有三個(gè)密鑰： 自己的私鑰、 B的公鑰 和自己生成的一次性密鑰。 ? PGP 并沒(méi)有使用什么新的概念，它只是將現(xiàn)有的一些算法如 MD5， RSA，以及 IDEA 等綜合在一起而已。 在接收方 ， SSL 從 TCP 套接字讀取數(shù)據(jù) ， 解密后把數(shù)據(jù)交給應(yīng)用層 。 ? 因特網(wǎng)密鑰交換 IKE (Inter Key Exchange)協(xié)議 ? Oakley—— 密鑰生成協(xié)議 ? 安全密鑰交換機(jī)制 SKEME (Secure Key Exchange Mechanism) —— 用于密鑰交換的協(xié)議 ? 因特網(wǎng)安全關(guān)聯(lián)和密鑰管理協(xié)議 ISAKMP (Inter Secure Association and Key Management Mechanism) —— 用于實(shí)現(xiàn) IKE 中定義的密鑰交換 運(yùn)輸層安全協(xié)議 現(xiàn)在廣泛使用的有以下兩個(gè)協(xié)議： ? 安全套接字層 SSL (Secure Socket Layer) ? 運(yùn)輸層安全 TLS (Transport Layer Security) 。 有效載荷 ESP 首部 TCP TCP 首部 數(shù)據(jù)部分 ESP MAC IPsec 首部 ESP 尾部 協(xié)議 = 50 下一個(gè)首部 = 6 ESP 首部 IP TCP TCP 首部 首部 數(shù)據(jù)部分 ESP MAC IPsec 首部 ESP 尾部 協(xié)議 = 50 下一個(gè)首部 = 4 (a) 運(yùn)輸方式 (b) 隧道方式 協(xié)議 = 6 有效載荷 下一個(gè)首部的作用 3. IPsec 的其他構(gòu)件 ? 安全關(guān)聯(lián)數(shù)據(jù)庫(kù) SAD (Security Association Database) 。 這需要在IPsec 數(shù)據(jù)報(bào)所經(jīng)過(guò)的所有路由器都運(yùn)行 IPsec 協(xié)議。 路由器 R1 到 R2 的安全關(guān)聯(lián) SA 公司總部 分公司 因特網(wǎng) SA R1 R2 IPsec 數(shù)據(jù)報(bào) H1 H2 2. IPsec數(shù)據(jù)報(bào)的格式 ESP 首部 運(yùn)輸層報(bào)文段 或 IP 數(shù)據(jù)報(bào) ESP MAC IPsec 首部 ESP 尾部 協(xié)議 = 50 加密的部分 鑒別的部分 SPI 序號(hào) 填充 填充長(zhǎng)度 下一個(gè)首部 IPsec 數(shù)據(jù)報(bào) IPsec數(shù)據(jù)報(bào)有以下 兩種不同的工作方式 一、運(yùn)輸方式 (transport mode)： 在整個(gè)運(yùn)輸層報(bào)文段的后面和前面分別添加一些控制字段，構(gòu)成 IPsec 數(shù)據(jù)報(bào)，把整個(gè)運(yùn)輸層報(bào)文段都保護(hù)起來(lái)，很適合于主機(jī)到主機(jī)之間的安全傳送，但這需要使用 IPsec 的主機(jī)都運(yùn)行 IPsec協(xié)議。它由一個(gè)三元組唯一地確定，包括： (1) 安全協(xié)議（使用 AH 或 ESP）的標(biāo)識(shí)符 (2) 此單向連接的源 IP 地址 (3) 一個(gè) 32 位的連接標(biāo)識(shí)符，稱為 安全參數(shù)索引
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1