計算機網(wǎng)絡(luò)與通信第10章(參考版)
2025-05-03 12:00本頁面
【正文】 ? 通用安全服務(wù) API 中間件（ middleware）實現(xiàn)所有的身份認證、數(shù)據(jù)加密和訪問控制等安全功能，并通過 — 個通用的安全服務(wù)應(yīng)用程序接口向應(yīng)用程序提供這些安全服務(wù)，使得應(yīng)用程序不作修改就可以使用不同的安全服務(wù)。 傳輸層安全技術(shù) TLS記錄協(xié)議的操作 應(yīng)用層安全技術(shù) ? 安全電子郵件 S/MIME(Secure MIME)、 PGP(Pretty Good Privacy)和PEM (PrivacyEnhanced Mail) PGP加密過程 應(yīng)用層安全技術(shù) ? 安全標準 HTTPS是由 Netscape公司提出的 WWW安全標準，它基于 SSL，實際上是 HTTP over SSL。 TLS握手協(xié)議與密碼變更規(guī)范協(xié)議及報警協(xié)議用于建立安全連接 ， 協(xié)商記錄層的安全參數(shù) ， 進行身份認證和報告錯誤信息 。 TLS對TCP的安全進行擴充 ， 但不包括 UDP。 傳輸層安全技術(shù) ? 傳輸層安全協(xié)議 (Transport Layer Security) TLS有以下特點： ? 使用 ； ? TLS連接是保密性的； ? TLS連接是可靠的 。 ? 第 2階段：在 ISAKMP SA的保護下，雙方協(xié)商 IPSec 安全服務(wù)，建立 IPSec SA。 IKE是一個混合型的協(xié)議，因特網(wǎng)安全關(guān)聯(lián)和密鑰管理協(xié)議 ISAKMP(Inter Security Association and Key Management Protocol)以及 Oakley和 SKEME兩個密鑰交換協(xié)議構(gòu)成了 IKE的基礎(chǔ)。 SAD中的 SA參數(shù)主要有： ? 序號計數(shù)器 用于生成 AH/ESP首部中的序號； ? AH認證算法和所需的密鑰； ? ESP認證算法和所需的密鑰； ? ESP加密算法、密鑰、初始向量 IV； ? IPSec協(xié)議操作模式 (傳輸模式 /隧道模式 )； ? SA的生存期 TTL（ Time To Live）。使用 AH/ESP之前，要通過密鑰交換 IKE在通信雙方方之間協(xié)商建立 SA。 ESP: 可以實現(xiàn) IP數(shù)據(jù)報的源站身份認證和完整性校驗，還可以實現(xiàn)數(shù)據(jù)報的加密。 AH對 IP數(shù)據(jù)報（除傳輸中會發(fā)生變化的字段）計算報文摘要后再進行數(shù)字簽名，即 MAC, 也稱為完整性校驗值 ICV(Integrity Check Value)， ICV存于 AH的一個字段中，供對方進行校驗。 ? 認證和加密算法。 ? 安全關(guān)聯(lián) SA(Security Association)。企業(yè)對外信息服務(wù)器，如 Web、 Email服務(wù)器等可放在 DMZ,包含重要內(nèi)部信息的 File和 DB服務(wù)器等則放在內(nèi)部網(wǎng)絡(luò)。 防火墻 (firewall ) 兩種防火墻技術(shù)可以組合在一起，形成某種結(jié)構(gòu)的火墻系統(tǒng)。通過應(yīng)用代理服務(wù)程序?qū)?yīng)用層數(shù)據(jù)進行安全控制和信息過濾，還有用戶級的認證、日志、計費等功能。只能控制到 IP地址和端口級，無法做到用戶級的身份認證和訪問控制。 身份認證和密鑰分發(fā) 3公鑰證書結(jié)構(gòu) 版本號 序列號 簽名 算法 頒發(fā)者 有效期 主體 主體公鑰信息 頒發(fā)者標識符 主體標識符 擴展 簽名 Inter網(wǎng)絡(luò)安全技術(shù) ? 防火墻 ? 網(wǎng)際層安全技術(shù) ? 傳輸層安全技術(shù) ? 應(yīng)用層安全技術(shù) 防火墻 (firewall ) ? 防火墻技術(shù) ? 包過濾技術(shù)：由包過濾路由器（ packet filtering router）實現(xiàn) IP級防火墻。 CA用自己的私鑰對公鑰證書進行數(shù)字簽名，用戶使用 CA的公鑰驗證其他用戶證書上 CA的簽名，以核實證書的有效性。 PKIX基于所謂的證書權(quán)威機構(gòu) CA(Certification Authority )。 ? 基于公鑰的身份認證和公鑰分發(fā) ? 基于公鑰的認證 基于如下質(zhì)詢 響應(yīng)方式： 身份認證和密鑰分發(fā) ? 公鑰分發(fā) 公鑰基礎(chǔ)設(shè)施 PKI (Public Key Infrastructure) 公鑰證書 (PK certificate) : 基本功能就是將一個公鑰與安全體的名字綁定在一起。 身份認證和密鑰分發(fā) 基于 KDC的 NeedhamSchroeder 身份認證和密鑰分發(fā) 身份認證和密鑰分發(fā) 一次性隨機數(shù) (nonce, number once): 可以防止竊聽者利用以前截取的報文進行重放攻擊（ replay attack）。 身份認證和密鑰分發(fā) ? 基于對稱密鑰的身份認證和密鑰分發(fā) ? 密鑰分發(fā)與密鑰分發(fā)中心 網(wǎng)外分發(fā)方式 網(wǎng)內(nèi)分發(fā)方式 密鑰分發(fā)中心 KDC (Key Distribution Center):為通信雙方生成和分發(fā)密鑰。但口令是可重用的，容易被攻擊者竊聽。
高考資料相關(guān)推薦
鄂ICP備17016276號-1