【正文】 系統(tǒng)資源所具有的權(quán)限應(yīng)與特定的資源一起存放 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 在 Windows NT/2023系統(tǒng)中 ， 權(quán)力專指用戶對(duì)整個(gè)系統(tǒng)能夠做的事情 ， 如關(guān)掉系統(tǒng) 、 往網(wǎng)絡(luò)系統(tǒng)中添加設(shè)備 、 更改系統(tǒng)時(shí)間等；權(quán)限專指用戶對(duì)系統(tǒng)資源所能做的事情 ， 如對(duì)某個(gè)文件的讀 、 寫控制 ， 對(duì)打印機(jī)隊(duì)列的管理 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 Windows NT/2023的安全保護(hù)及模型 Windows NT/2023系統(tǒng)安全模型 好的安全系統(tǒng)可以確認(rèn)試圖訪問(wèn)計(jì)算環(huán)境的個(gè)人的身份 ， 防止冒名頂替者訪問(wèn) 、 盜竊或者破壞系統(tǒng)資源 ， 保護(hù)環(huán)境中的特定資源免受用戶的不正當(dāng)訪問(wèn) ， 為設(shè)置和維護(hù)用戶工作環(huán)境的安全性提供了一種簡(jiǎn)單而有效的方法 ， 同時(shí)防止信息和資源被損壞以及未授權(quán)訪問(wèn) 。 (5) 對(duì)網(wǎng)絡(luò)攻擊的檢測(cè)和各地告警將成為防火墻的重要功能 。 (3) 利用防火墻建立專用網(wǎng) (VPN是較長(zhǎng)一段時(shí)間內(nèi)用戶使用的主流 )， IP加密需求越來(lái)越強(qiáng) ， 安全協(xié)議的開發(fā)是一大熱點(diǎn) 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 5． 防火墻的發(fā)展趨勢(shì) (1) 防火墻將從目前對(duì)子網(wǎng)或內(nèi)部網(wǎng)管理的方式向遠(yuǎn)程上網(wǎng)集中管理的方式發(fā)展 。 ● 安全控制策略的規(guī)范性 、 邏輯上的正確合理性 ，避免了由于各大防火墻廠商推出的防火墻產(chǎn)品在安全策略上有漏洞而對(duì)整個(gè)內(nèi)部保護(hù)網(wǎng)絡(luò)產(chǎn)生危害 。 它能使在 IP層上由支持?jǐn)?shù)據(jù)加密技術(shù)的不同廠家生產(chǎn)的防火墻和 TCP/IP協(xié)議具有互操作性 ， 從而解決了建立虛擬專用網(wǎng) (VPN)的一個(gè)主要障礙 。 子網(wǎng)屏蔽防火墻是最安全的一種防火墻體系結(jié)構(gòu)，它具有主機(jī)屏蔽防火墻的所有優(yōu)點(diǎn)，并且比之更加優(yōu)越。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 4) 子網(wǎng)屏蔽防火墻 (Screened Subact Firewall) 子網(wǎng)屏蔽防火墻的保護(hù)作用比主機(jī)屏蔽防火墻更進(jìn)了一步 ， 它在被保護(hù)的 Intra與 Inter之間加入了一個(gè)由兩個(gè)包過(guò)濾路由器和一臺(tái)堡壘機(jī)組成的子網(wǎng) 。 Intra不能直接通過(guò)路由器和 Inter相聯(lián)系，信息包要通過(guò)路由器和堡壘主機(jī)兩道防線。 主機(jī)屏蔽防火墻由一個(gè)只需單個(gè)網(wǎng)絡(luò)端口的應(yīng)用型防火墻和一個(gè)包過(guò)濾路由器組成。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 3) 主機(jī)屏蔽防火墻 (Screened Host Firewall) 包過(guò)濾路由器雖有較好的透明性 ， 但無(wú)法有效區(qū)分同一 IP地址的不同用戶；應(yīng)用型防火墻可以提供詳細(xì)的日志及身份驗(yàn)證 ， 但又缺少透明性 。 在業(yè)務(wù)進(jìn)行時(shí) ， 堡壘主機(jī)監(jiān)控全過(guò)程并完成詳細(xì)的日志 (Log)和審計(jì) (Audit)， 這就大大地提高了網(wǎng)絡(luò)的安全性 。 它既能作為服務(wù)器接收外來(lái)請(qǐng)求 ， 又能作為客戶轉(zhuǎn)發(fā)請(qǐng)求 。 2) 應(yīng)用型防火墻 (Application Gateway) 應(yīng)用型防火墻的物理位置與包過(guò)濾路由器一樣，但它的邏輯位置在 OSI七層協(xié)議的應(yīng)用層上，所以主要采用協(xié)議代理服務(wù) (Proxy Services)，就是在運(yùn)行防火墻軟件的堡壘主機(jī)(Bastion Host)上運(yùn)行代理服務(wù)程序 Proxy。 2. 防火墻的基本準(zhǔn)則 1)過(guò)濾不安全服務(wù) 2) 過(guò)濾非法用戶和訪問(wèn)特殊站點(diǎn) 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 3． 防火墻的分類 目前，根據(jù)防火墻在 ISO/OSI模型中的邏輯位置和網(wǎng)絡(luò)中的物理位置及其所具備的功能，可以將其分為兩大類：基本型防火墻和復(fù)合型防火墻。 (2) 只有被授權(quán)的合法數(shù)據(jù) (即防火墻系統(tǒng)中安全策略允許的數(shù)據(jù) )才可以通過(guò)防火墻 。防火墻能有效地控制內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的訪問(wèn)及數(shù)據(jù)傳送，從而達(dá)到保護(hù)內(nèi)部網(wǎng)絡(luò)的信息不受外部非授權(quán)用戶的訪問(wèn)和過(guò)濾不良信息的目的。它對(duì)兩個(gè)或多個(gè)網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)包和鏈接方式按照一定的安全策略進(jìn)行檢查，來(lái)決定網(wǎng)絡(luò)之間的通信是否被允許。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 防火墻技術(shù) 1． 防火墻的基本概念 為安全起見 ， 可以在該網(wǎng)絡(luò)和 Inter之間插入一個(gè)中介系統(tǒng) ， 豎起一道安全屏障 ， 這道屏障的作用是阻斷外部對(duì)本網(wǎng)絡(luò)的威脅和入侵 ， 提供扼守本網(wǎng)絡(luò)的安全和審計(jì)的惟一關(guān)卡 ， 它的作用與古時(shí)候的防火磚墻有類似之處 ， 因此我們把這個(gè)屏障叫做 “ 防火墻 ” 。 由于密鑰 K的使用是一次性的 ，因而保密性非常高 。此后 ， A就可以利用密鑰 K與 B通信了 。KDC根據(jù)某個(gè)算法隨機(jī)產(chǎn)生一個(gè)密鑰 K供 A和 B支持通信使用 ， 然后返回給 A一個(gè)應(yīng)答報(bào)文 PKAKDC(K， PKBKDC(A， K))， 此報(bào)文用 A的公開密鑰 PKAKDC加密 ， 報(bào)文中有 K和請(qǐng) A轉(zhuǎn)給 B的報(bào)文 PKBKDC(A， K)， 此報(bào)文是用 B的公開密鑰 PKBKDC加密的 。 假設(shè)有兩個(gè)用戶 A和 B都是 KDC的注冊(cè)用戶 ， 它們擁有與 KDC通信的秘密密鑰 SKAKDC和 SKBKDC， 現(xiàn)在 A想與 B通過(guò)對(duì)稱密鑰加密算法通信 ， 要求 KDC分配這次通信的臨時(shí)密鑰 ， 則 KDC分配密鑰的過(guò)程如圖 610所示 。 每個(gè)用戶只保存自己的秘密密鑰 SK和 KDC的公開密鑰 PK。如果網(wǎng)絡(luò)中通信的用戶很多且密鑰更換頻繁，則要求采用網(wǎng)絡(luò)內(nèi)分配方式，即對(duì)密鑰進(jìn)行自動(dòng)分配。密鑰必須通過(guò)最安全的通路進(jìn)行分配。 不過(guò) ， 無(wú)論實(shí)施哪種方案 ， 密鑰的管理都是需要考慮的問(wèn)題 ， 當(dāng)網(wǎng)絡(luò)更大 、 用戶更多時(shí)尤其如此 。 對(duì)稱密鑰加密方法的一個(gè)致命弱點(diǎn)就是它的密鑰管理十分困難 ， 因此它很難在現(xiàn)代的電子商務(wù)實(shí)踐中得到廣泛應(yīng)用 。 報(bào)文摘要一般采用散列函數(shù) (Hash Function)實(shí)現(xiàn) ，目前用得最為廣泛的是 MD5報(bào)文摘要算法 。 使得 H(m39。 (2) 若想找到任意兩個(gè)報(bào)文 x和 y， 使得 H(x)=H(y)在計(jì)算上也是不可行的 。 也就是說(shuō) ， 報(bào)文m+EK(H(m))是不可篡改和偽造的 ， 是可鑒別的和不可抵賴的 。)與 H(m)相比較 ， 若不相同 ， 則可斷定收到的報(bào)文不是發(fā)送端產(chǎn)生的 。 (4) 同時(shí)在接收端將收到的報(bào)文 m經(jīng)過(guò) MD算法運(yùn)算得出報(bào)文摘要 H(m39。 (2) 對(duì) H(m)加密生成密文 EK(H(m))附加在報(bào)文 m之后 。 目前多使用報(bào)文摘要 MD(Message Digest)算法來(lái)進(jìn)行報(bào)文鑒別 ， 其主要原理如圖 69所示 。 報(bào)文鑒別可以通過(guò)將報(bào)文加密來(lái)實(shí)現(xiàn) 。 鑒別指驗(yàn)證通信對(duì)象是原定的發(fā)送者還是冒名頂替者的技術(shù) 。 例如 ， 在信息剛離開主機(jī)之后 ， 把硬加密裝置接到主機(jī)和前置機(jī)之間的線路中 ， 在對(duì)方的前置機(jī)和主機(jī)線路之間接入解密裝置 ，從而完成加密和解密的過(guò)程 。 這種方法給用戶提供了一定的靈活性 ， 但增加了主機(jī)負(fù)擔(dān) ， 不太適合于一般終端 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 明文 P 明文 P密文C=EPK B(DSK A(P))DSK A用秘密密鑰進(jìn)行簽名DSK A(P)發(fā)送者 AEPK B用公開密鑰進(jìn)行加密DSK B用秘密密鑰進(jìn)行解密EPK A用公開密鑰核實(shí)簽名接收者BDSK A(P)圖 68 具有保密性的數(shù)字簽名 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 前面介紹的幾種加密方法在計(jì)算機(jī)網(wǎng)絡(luò)中都有應(yīng)用 ，其加密方式可以是端 — 端方式 、 鏈路層加密方式或節(jié)點(diǎn)加密方式 。 若采用圖 68所示的方法 ， 則可同時(shí)實(shí)現(xiàn)秘密通信和數(shù)字簽名 。 但上述過(guò)程僅對(duì)報(bào)文進(jìn)行了簽名 ， 對(duì)報(bào)文 P本身卻未保密 。 這樣就證明 B偽造了報(bào)文 。 則 B不能在第三者前出示DSKA(P39。 第三者很容易用 PKA去證實(shí) A確實(shí)發(fā)送了 P給 B。實(shí)現(xiàn)數(shù)字簽名的過(guò)程如圖 67所示 。 因?yàn)槌?A外沒有別人能具有 A的解密密鑰 SKA， 所以除 A外沒有別人能產(chǎn)生密文 DSKA(P)。 (讀者可能要問(wèn)：報(bào)文 P還沒有加密 ， 怎么能夠進(jìn)行解密呢 ?其實(shí) “ 解密 ”僅僅是一個(gè)數(shù)學(xué)運(yùn)算 ， 發(fā)送者此時(shí)的運(yùn)算并非想將報(bào)文 X加密而是為了進(jìn)行數(shù)字簽名 )。 下面就來(lái)介紹這種數(shù)字簽名 。 (3) 接收者不能偽造對(duì)報(bào)文的簽名 。 數(shù)字簽名必須保證以下三點(diǎn)： (1) 接收者能夠核實(shí)發(fā)送者對(duì)報(bào)文的簽名 。這種密碼體制稱為公開密鑰密碼體制，如圖 66所示。 現(xiàn)在考慮， A和 B二者以前從未有過(guò)聯(lián)系，而今要想在A和 B之間建立保密信道， A所確定的加密密鑰為 PKA， B的加密密鑰為 PKB，并將 PKA和 PKB放在網(wǎng)絡(luò)的公用可讀文件內(nèi)。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 第一個(gè)條件說(shuō)明 ， 采用解密算法 D用于密碼報(bào)文 E(P)上 ， 可以得到原來(lái)的明文 P；第二個(gè)條件是顯而易見的；第三個(gè)條件也是必須的 。 (2) 由 E來(lái)推斷 D極其困難 。 這種算法給密碼技術(shù)帶來(lái)了新的變革 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 * 公開密鑰加密算法 1． 公開密鑰加密算法的特點(diǎn) DES及其類似算法要求加密和解密的密鑰相同 ， 因此密鑰必須保密 。 也就是說(shuō) ， 密碼被破譯的可能性幾乎沒有 。 如果試圖用試探法求出這個(gè)密鑰 ， 將有 256≈ 106種可能 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 左半部分 右半部分 密鑰移位置換后的密鑰 K(i)新的左半部分 新的右半部分+g圖 65 DES加密原理一次迭代示意圖 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 DES算法是對(duì)稱的 ， 既可用于加密 ， 又可用于解密 。這一輪輸出的 64位數(shù)據(jù)結(jié)果作為下一輪的待加密數(shù)據(jù)，這種輪換要重復(fù) 16次。 為了將輸入數(shù)據(jù)的右半部分 32位數(shù)據(jù)與 56位的密鑰相結(jié)合 ， 需要兩個(gè)變換： 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 ● 通過(guò)重復(fù)某些位將 32位的右半部分?jǐn)?shù)據(jù)擴(kuò)展為 48位； ● 56位密鑰則通過(guò)選擇其中某些位而減少至 48位 。 64位數(shù)據(jù)經(jīng)過(guò)初始置換后被分為左 、 右兩半部分 ， 56位的密鑰經(jīng)過(guò)左移若干位和置換后取出 48位密鑰子集供不同的加密迭代 (圈 )使用 ，用作加密的密鑰比特子集記為 K(1)， K(2)， … ， K(16)。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 DES加密算法如圖 64所示 ， 64位數(shù)據(jù)經(jīng)初始變換后被置換 。 DES是一種單鑰密碼算法 ， 它是一種典型的按分組方式工作的密碼 ， 采用兩種基本加密組塊替代和換位這種細(xì)致而復(fù)雜的結(jié)構(gòu) 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 1977年 1月 ， 美國(guó)政府采納 IBM公司的設(shè)計(jì)方案作為非機(jī)密數(shù)據(jù)的正式數(shù)據(jù)加密標(biāo)準(zhǔn) (DES)。 傳統(tǒng)的技術(shù)一般采用簡(jiǎn)單的算法并依靠長(zhǎng)密鑰 ， 而現(xiàn)代的加密技術(shù)其密碼算法十分復(fù)雜 ， 幾乎不能破譯 。 數(shù)據(jù)加密標(biāo)準(zhǔn) DES(Data Encryption Standard)由美國(guó)國(guó)家標(biāo)準(zhǔn)局開始研究 ， 是除國(guó)防部以外的其他部門的計(jì)算機(jī)系統(tǒng)的數(shù)據(jù)加密標(biāo)準(zhǔn) ， 是一種通用的現(xiàn)代加密方法 。 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 * 數(shù)據(jù)加密標(biāo)準(zhǔn) DES 在傳統(tǒng)的加密方法中 ， 要求加密算法和密鑰保密 ， 這不利于在密碼技術(shù)領(lǐng)域使用計(jì)算機(jī) ， 因?yàn)閷?duì)每個(gè)加密算法都需要編寫處理程序 ， 并且該程序必須保密 。 首先把明文按橫行書寫成若干行 (每行的長(zhǎng)度等于密鑰長(zhǎng)度 ， 不夠一行使用特殊字符 ， 如a、 b、 c等填充 )， 然后再按照以字母次序號(hào)為最小的密鑰字母所在的列開始依次讀出 ， 就能譯成密文 。 最接近于英文字母表首端的密鑰字母的下面為第一列 。在以上的例子中 ， MEGABVCK是密鑰 。 轉(zhuǎn)換密碼法則采用重新安排字母次序的方法 ， 而不是隱藏它們 。例如，坡他密碼(Portacipher)采用 26 26的表，每次把明文譯成兩個(gè)字符(偶對(duì) )的密碼，由第一個(gè)字符指示行，第二個(gè)字符指示列，由此產(chǎn)生的交叉點(diǎn)的數(shù)字或字母偶對(duì)就是譯出的密碼值。通常進(jìn)一步采用的方法是：加長(zhǎng)密鑰長(zhǎng)度或采用隨機(jī)的二進(jìn)制串作為密鑰。 為把較長(zhǎng)明文譯成密碼 ， 可重復(fù)地把密鑰寫在明文上方 ， 例如： COOKIEMONSTERCOOKIE MQNSTERCOOKIEMONSTE RCOOKIEMO fourscoreandsevenye arsagoourmothersbro ughtforth 第 6章 計(jì)算機(jī)網(wǎng)絡(luò)的安全性 顯然，多字母密碼要比單字母密碼好，但只要給密碼分析員足夠數(shù)量的密文，總還是可以進(jìn)行破譯的。 像單字母密碼一樣 ， 這種密碼技術(shù)也有密鑰 ， 但不是由 26個(gè)不同字母所組成的一個(gè)字符串 ， 而是一個(gè)簡(jiǎn)短且便于記憶的詞或短語(yǔ) 。例如 ， 費(fèi)杰爾 (Vigenere)密碼 ， 它由含有 26