計算機網絡謝希仁網絡安全(參考版)
2025-01-12 00:04本頁面
【正文】 。 ? 基于特征的 IDS 維護一個所有已知攻擊標志性特征的數據庫。例如，可以只允許通過訪問萬維網的應用，而阻止 FTP 應用的通過。 (2) 應用級防火墻 —— 從應用程序來進行接入控制。屬于這類的有分組過濾和授權服務器。不過在大多數情況下防火墻的主要功能是“阻止”。 ? “允許”的功能與“阻止”恰好相反。 課件制作人：謝希仁 防火墻在互連網絡中的位置 內聯網 可信的網絡 不可信的網絡 分組過濾 路由器 分組過濾 路由器 應用網關 外局域網 內局域網 防火墻 G 因特網 防火墻的里面 防火墻的外面 課件制作人：謝希仁 防火墻的功能 ? 防火墻的功能有兩個： 阻止 和 允許 。 ? 防火墻內的網絡稱為“ 可信的網絡 ” (trusted work)，而將外部的因特網稱為“ 不可信的網絡 ” (untrusted work)。 課件制作人：謝希仁 用 PGP 進行解密 A 的公鑰 散列 X 一次性密鑰 B 的私鑰 加密的郵件 及其摘要 解密 加密的密鑰 解密 解密 H 摘要 H 摘要 比較 接收 MAC 課件制作人：謝希仁 系統(tǒng)安全： 防火墻與入侵檢測 防火墻 ? 防火墻 是由軟件、硬件構成的系統(tǒng)， 是一種特殊編程的路由器， 用來在兩個網絡之間實施接入控制策略。 課件制作人：謝希仁 用 PGP 進行加密 A 的私鑰 X 散列 H 加密 摘要 報文鑒別碼 MAC ? X 一次性密鑰 加密 B 的公鑰 ? 加密 A 郵件 發(fā)送 A有三個密鑰： 自己的私鑰、 B的公鑰 和自己生成的一次性密鑰。 ? PGP 并沒有使用什么新的概念，它只是將現有的一些算法如 MD5， RSA，以及 IDEA 等綜合在一起而已。 在接收方 ， SSL 從 TCP 套接字讀取數據 ， 解密后把數據交給應用層 。 ? 因特網密鑰交換 IKE (Inter Key Exchange)協(xié)議 ? Oakley—— 密鑰生成協(xié)議 ? 安全密鑰交換機制 SKEME (Secure Key Exchange Mechanism) —— 用于密鑰交換的協(xié)議 ? 因特網安全關聯和密鑰管理協(xié)議 ISAKMP (Inter Secure Association and Key Management Mechanism) —— 用于實現 IKE 中定義的密鑰交換 課件制作人：謝希仁 運輸層安全協(xié)議 現在廣泛使用的有以下兩個協(xié)議： ? 安全套接字層 SSL (Secure Socket Layer) ? 運輸層安全 TLS (Transport Layer Security) 。 課件制作人：謝希仁 有效載荷 ESP 首部 TCP TCP 首部 數據部分 ESP MAC IPsec 首部 ESP 尾部 協(xié)議 = 50 下一個首部 = 6 ESP 首部 IP TCP TCP 首部 首部 數據部分 ESP MAC IPsec 首部 ESP 尾部 協(xié)議 = 50 下一個首部 = 4 (a) 運輸方式 (b) 隧道方式 協(xié)議 = 6 有效載荷 下一個首部的作用 課件制作人：謝希仁 3. IPsec 的其他構件 ? 安全關聯數據庫 SAD (Security Association Database) 。 這需要在IPsec 數據報所經過的所有路由器都運行 IPsec 協(xié)議。 課件制作人：謝希仁 路由器 R1 到 R2 的安全關聯 SA 公司總部 分公司 因特網 SA R1 R2 IPsec 數據報 H1 H2 課件制作人：謝希仁 2. IPsec數據報的格式 ESP 首部 運輸層報文段 或 IP 數據報 ESP MAC IPsec 首部 ESP 尾部 協(xié)議 = 50 加密的部分 鑒別的部分 SPI 序號 填充 填充長度 下一個首部 IPsec 數據報 課件制作人：謝希仁 IPsec數據報有以下 兩種不同的工作方式 一、運輸方式 (transport mode)： 在整個運輸層報文段的后面和前面分別添加一些控制字段，構成 IPsec 數據報，把整個運輸層報文段都保護起來，很適合于主機到主機之間的安全傳送，但這需要使用 IPsec 的主機都運行 IPsec協(xié)議。它由一個三元組唯一地確定，包括： (1) 安全協(xié)議（使用 AH 或 ESP）的標識符 (2) 此單向連接的源 IP 地址 (3) 一個 32 位的連接標識符，稱為 安全參數索引 SPI (Security
試題試卷相關推薦
鄂ICP備17016276號-1