第7章_網(wǎng)絡(luò)安全-文庫吧資料
2025-02-27 12:18本頁面
【正文】 絡(luò)設(shè)計及實現(xiàn)時，更多地考慮到易用性，而安全性方面的考慮嚴(yán)重不足，這就給攻擊者造成了可乘之機(jī)。 ? （ 5）可轉(zhuǎn)移性。 ? （ 3）匿名性。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 數(shù)字現(xiàn)金 ? 理想的數(shù)字現(xiàn)金系統(tǒng)應(yīng)具有的 6個性質(zhì)： ? （ 1）獨立性。 ? 在隧道模式中，原來的整個 IP數(shù)據(jù)報都被加密， VPN網(wǎng)關(guān)需要給它加上一個新的 IP首部，新首部的源 IP地址就是 VPN網(wǎng)關(guān)的 IP地址。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 傳輸模式只處理 IP數(shù)據(jù)報的數(shù)據(jù)部分，并不改動原來的IP數(shù)據(jù)報首部，原來的 IP數(shù)據(jù)報首部以明文形式傳輸，因此很容易遭到某些流量分析攻擊。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? VPN需要具體的安全協(xié)議來實現(xiàn)，有多種安全協(xié)議可以實現(xiàn) VPN，如 PPTP、 L2TP與 IPSec，這其中 IPSec應(yīng)用最為廣泛。 ? （ 3）加密發(fā)往因特網(wǎng)的數(shù)據(jù)，并可抵御重放攻擊。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? VPN具有如下安全功能： ? （ 1） VPN網(wǎng)關(guān)之間或 VPN網(wǎng)關(guān)與計算機(jī)間的相互身份認(rèn)證。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? （ 2）連接多個內(nèi)部網(wǎng)，對于在多個地點有分公司的公司，利用 VPN可以安全地連接各個內(nèi)部網(wǎng)。 ? 虛擬專用網(wǎng) （ Virtual Private Network， VPN）可以將物理上分布在不同地點的網(wǎng)絡(luò)，通過不安全的因特網(wǎng)連接在一起，進(jìn)行安全的通信。 ? SSL握手協(xié)議非常復(fù)雜 ， 首先進(jìn)行客戶與服務(wù)器間的身份認(rèn)證 ， 然后協(xié)商加密和 MAC的算法以及密鑰 ，這些算法和密鑰將由 SSL記錄協(xié)議使用 ， 用來保護(hù)應(yīng)用層的數(shù)據(jù) 。 Computer works 第 7章 網(wǎng)絡(luò)安全 SSL 記錄協(xié)議SSL 握手協(xié)議 SSL 改變密碼規(guī)范協(xié)議 SSL 告警協(xié)議 HT TP ?IPTC PComputer works 第 7章 網(wǎng)絡(luò)安全 ? SSL握手協(xié)議與 SSL記錄協(xié)議 是兩個最主要的子協(xié)議 。 ? （ 4）加密客戶與服務(wù)器間的數(shù)據(jù)，并可抵御重放攻擊。 ? （ 2）服務(wù)器認(rèn)證客戶身份，這是可選項。 ? 安全套接字層 （ Secure Sockets Layer， SSL） 就是在這種背景下，由 Netscape公司開發(fā)的一個網(wǎng)絡(luò)安全協(xié)議 . 常用安全協(xié)議 Computer works 第 7章 網(wǎng)絡(luò)安全 ? SSL為客戶與服務(wù)器間的通信提供安全保證，包括如下安全功能。 系統(tǒng)審計 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 在網(wǎng)絡(luò)通信過程中，必須把各種技術(shù)綜合起來運用，形成完善的 安全協(xié)議 ，才能保證網(wǎng)絡(luò)通信的安全。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 系統(tǒng)審計是記錄系統(tǒng)中發(fā)生的各種事件 ，這些記錄有助于發(fā)現(xiàn)入侵的行為和企圖 。 ? 除此之外， RBAC還提出了最小特權(quán)原則等新的思想。 ? RBAC的核心思想是 用戶的權(quán)限由用戶擔(dān)當(dāng)?shù)慕巧珌頉Q定 。 ? 當(dāng)用戶訪問一個資源時，系統(tǒng)會比較它們的標(biāo)簽， 如果用戶標(biāo)簽的安全級別高于或等于資源標(biāo)簽的安全級別， 才允許訪問，否則禁止訪問。 ? 在強(qiáng)制訪問控制中，訪問資源的權(quán)限不再由用戶自由決定，而是整個系統(tǒng)設(shè)置一個管理員， 管理員集中設(shè)置所有資源的權(quán)限 。 ? 1．自主訪問控制 ? 這種訪問控制方法 允許資源的所有者按照自己的意愿 ， 自主地 決定其他用戶訪問該資源的權(quán)限，這在操作系統(tǒng)中廣泛應(yīng)用。 ? 這種方法需要重點考慮 如何保證私鑰的安全 ， 私鑰存儲在計算機(jī)的硬盤中顯然是不安全的 ，必須保存在令牌或 USB key等密碼硬件中。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 2．令牌和 USB key認(rèn)證 ? 在對 安全性要求高的 場合，可以用 數(shù)字簽名來驗證身份 。 ? 服務(wù)器對存儲的口令散列值同樣處理 ，然后與用戶傳過來的散列值比較，若 相同就認(rèn)為有效 ，若 不同就認(rèn)為無效 。 ? 傳輸口令的散列值也存在不安全因素，黑客雖然不知道口令的原文，但是他可以 截獲口令的散列值，直接把散列值發(fā)送給驗證服務(wù)器 ，也能驗證通過，這是一種 重放攻擊 。 ? 1．用戶名和口令認(rèn)證 ? 口令 以明文形式 傳送時，沒有任何保護(hù)。 ? 銀行收到簽名值后，會用用戶的證書驗證數(shù)字簽名 是否有效 ，若有效才會進(jìn)行支付或轉(zhuǎn)賬，否則拒絕執(zhí)行。 ? 可是如果 黑客 用自己的軟件冒充大公司的軟件，或者篡改大公司的軟件，企圖危害用戶時怎么辦？ PKI應(yīng)用舉例 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 另一個例子是網(wǎng)上銀行。 ? 在“證書”選項區(qū)域中，單擊“ 證書 ”按鈕，出現(xiàn)“證書”對話框 Computer works 第 7章 網(wǎng)絡(luò)安全 ? 有了 PKI之后，凡是使用公鑰的地方，都 使用數(shù)字證書代替公鑰。 Computer works 第 7章 網(wǎng)絡(luò)安全 ? Windows XP可以有效地保存與管理證書，證書可以保存在證書存儲區(qū)（注冊表或密碼硬件，如 U盾）中，也可以作為一個文件保存在硬盤上。 ? 如果安裝了這個軟件，同時也就擁有了根 CA的證書。 ? 根 CA有很多可靠的途徑來分發(fā)它的根證書，而且根證書的有效期長達(dá)幾十年。 ? 數(shù)字證書是一段數(shù)據(jù)，主要內(nèi)容是 持有人的身份信息和他的公鑰 ，并且由 CA進(jìn)行數(shù)字簽名，保證證書不可被篡改。 ? 數(shù)字證書是一段數(shù)據(jù)，包括持有人的身份信息和他的公鑰，關(guān)鍵的一點是數(shù)字證書 不可被篡改 ， CA對證書數(shù)字簽名就可以做到這一點。 ? 現(xiàn)在需要一個可信任的第三方，它負(fù)責(zé)驗證所有人的身份，包括某些計算機(jī)設(shè)備的身份。 ? 很多 網(wǎng)上銀行都使用 USB key來保存用戶的私鑰，安全性比在硬盤上保存私鑰高得多。 ? 密碼硬件可以分為 3類： 智能卡與 USB key等小型密碼硬件、加密卡等中型密碼硬件、加密機(jī)等大型密碼硬件。 ? 驗證口令時，只需要重新計算一下口令的散列值，并與存儲的散列值比較， 若相同就認(rèn)為有效 ，若 不同就認(rèn)為無效。 單向散列函數(shù)密鑰消息 MAC 碼消息發(fā)送MAC 碼消息 單向散列函數(shù)密鑰比較相同 ， 驗證通過不同 ， 驗證失敗發(fā)送方接收方MAC 碼Computer works 第 7章 網(wǎng)絡(luò)安全 ? 單向散列函數(shù)的第 3個用處是 存儲賬戶的口令 。 ? 當(dāng)數(shù)據(jù)與散列值同時傳輸時，攻擊者可以同時修改二者。 單向散列函數(shù) 私鑰加密散列值私鑰文件 簽名值文件發(fā)送單向散列函數(shù) 散列值文件簽名值 公鑰解密公鑰散列值比較相同 ， 驗證通過不同 ， 驗證失敗簽名過程驗證過程Computer works 第 7章 網(wǎng)絡(luò)安全 ? 單向散列函數(shù)的第 2個用處是 驗證數(shù)據(jù)的完整性 。 ? 從單向散列函數(shù)的特性可以看出，散列值可以代表原文，就好像是 原文的指紋 。 ? 常用的單向散列函數(shù)有兩個： MD5與 SHA1。使 H(M) = H(M39。)。 ?l 給定 M，難以找到另一消息 M39。 ? 單向散列函數(shù)必須滿足以下特性： ?l
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1