計(jì)算機(jī)網(wǎng)絡(luò)安全專題講座-在線瀏覽
2025-05-13 03:48本頁(yè)面
【正文】 用截獲密文進(jìn)行分析的攻擊叫被動(dòng)攻擊；采用刪除、修改、增添、重放、偽造等手段破壞系統(tǒng)正常通信并進(jìn)行密碼分析的攻擊叫主動(dòng)攻擊。它是一種替代密碼，通過將字母按順序推后起k位起到加密作用。 只要通信雙方通過某安全渠道知道了密鑰k，則密碼和解密過程就很容易進(jìn)行。 簡(jiǎn)單置換密碼系統(tǒng) DES 數(shù)據(jù)加密標(biāo)準(zhǔn)（data encryption standard，DES）出自IBM，并在1997年被美國(guó)政府正式采納，在保護(hù)金融數(shù)據(jù)的安全中它得到廣泛應(yīng)用，通常自動(dòng)取款機(jī)ATM都是用DES.對(duì)稱密碼體制的總結(jié)：1） 同一個(gè)密鑰，既用于加密也用于解密；2） 加密與解密速度快；3） 安全性高；4） 所得到的密文緊湊；5） 要在收發(fā)雙方安全地傳遞密鑰，在現(xiàn)實(shí)環(huán)境下很難做到；6） 通信參與者數(shù)目較大時(shí)，系統(tǒng)所需密鑰數(shù)與參與者的數(shù)目的平方成正比，密鑰管理難度很大，故對(duì)稱密碼體制很難用于參與者數(shù)目較多的情況；7） 對(duì)稱加密技術(shù)不適合于數(shù)字簽名和不可否認(rèn)性控制。1數(shù)字簽名的過程要確認(rèn)用戶身份，發(fā)送方應(yīng)該具備一對(duì)用于數(shù)字簽名的密鑰對(duì)KDSe和KDSd，且對(duì)任意消息m滿足下式：PK4:E(KDSe，D(KDSd，m))=m數(shù)據(jù)發(fā)送方在簽名時(shí)執(zhí)行：c=D(KDSd，m)接收方在確認(rèn)發(fā)送方身份時(shí)執(zhí)行：m=E(KDSe，c)=E(KDSe，D(KDSd，m))此時(shí)，KDSe、KDSd均是數(shù)據(jù)發(fā)送方的簽名密鑰，幾乎所有人均可以執(zhí)行接受者的操作，讀出m，但是只有發(fā)送方才能產(chǎn)生如下偶對(duì)：(m，D(KDSd，m))，故使用這個(gè)偶對(duì)可以對(duì)所有人發(fā)布一個(gè)確認(rèn)發(fā)送者身份的消息，可以防止發(fā)送者事后否認(rèn)。1公鑰密碼體制的特點(diǎn) 1）兩個(gè)密鑰，一個(gè)用于加密另一個(gè)用于解密 2）加密體制是安全的 3）發(fā)送者不必分發(fā)密鑰給接受者，故不用建立專用渠道用于密鑰分發(fā)與管理，也不存在密鑰被截獲的可能性 4）系統(tǒng)分發(fā)的密鑰數(shù)只是用戶的公鑰，與用戶數(shù)量一致 5）支持?jǐn)?shù)字簽名 6）加密和解密過程較之于對(duì)稱密鑰體制為慢 7）可能導(dǎo)致密文變長(zhǎng)1RSA密碼體制RSA算法是最著名的公開密碼體制，1978年提出，基于大數(shù)分解(NP)的難度。RSA算法過程：首先是設(shè)計(jì)密鑰，然后是對(duì)消息加密，最后是對(duì)密文解密?？傻胮與q的乘積n=p*q。舍棄p和q(但絕不能泄露)。 加密對(duì)于明文M，用公鑰(n，e)加密可得到密文C：C=Me mod(n) 解密對(duì)于密文C，用私鑰(n，d)解密可得到明文M。第三講 防火墻基礎(chǔ) 防火墻的概念防火前是設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的一系列部件的集合，它執(zhí)行預(yù)先制定好的訪問控制策略，決定內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的訪問方式。2） 可以強(qiáng)化網(wǎng)絡(luò)安全策略，即通過將網(wǎng)絡(luò)安全配置集中在防火墻進(jìn)行，既減少組織與管理的麻煩，還更經(jīng)濟(jì)。在如果所有通信都必須通過防火墻來完成，則防火墻可以對(duì)通信內(nèi)容進(jìn)行日志記錄和網(wǎng)絡(luò)情況統(tǒng)計(jì)。4） 防止內(nèi)部網(wǎng)絡(luò)信息的外泄。同時(shí)使用防火墻屏蔽內(nèi)部網(wǎng)絡(luò)的細(xì)節(jié)，可以減少諸如Finger.、DNS等服務(wù)帶來的不良影響。 防火墻工作原理 根據(jù)防火墻功能實(shí)現(xiàn)在TCP/IP模型中的層次，防火墻工作原理可以分為三類：一是分組過濾技術(shù)，在網(wǎng)絡(luò)層實(shí)現(xiàn)防火墻功能；一是代理服務(wù)技術(shù)，在應(yīng)用層實(shí)現(xiàn)防火墻功能；一是狀態(tài)檢測(cè)技術(shù)，在網(wǎng)絡(luò)層、傳輸層和應(yīng)用層實(shí)現(xiàn)防火墻功能。 分組過濾的依據(jù)主要有源IP、目的IP、源端口、目的端口。分組過濾技術(shù)的優(yōu)點(diǎn)： 邏輯簡(jiǎn)單；價(jià)格便宜；對(duì)網(wǎng)絡(luò)性能影響??；對(duì)用戶透明性好；與具體的應(yīng)用程序無關(guān)；易于安裝。2） 過濾過程只能對(duì)網(wǎng)絡(luò)層的數(shù)據(jù)包進(jìn)行判別，無法滿足一些特殊的安全要求，如身份鑒別機(jī)制無法實(shí)現(xiàn)。同時(shí)內(nèi)部網(wǎng)絡(luò)到外部網(wǎng)絡(luò)的連接請(qǐng)求也在該網(wǎng)關(guān)的監(jiān)控下進(jìn)行，從而保證內(nèi)部網(wǎng)絡(luò)得到更好的保護(hù)。但是代理服務(wù)工作過程對(duì)用戶不透明，用戶使用時(shí)要對(duì)不同的協(xié)議和服務(wù)設(shè)置不同的代理，使用過程不方便。 狀態(tài)檢測(cè)技術(shù)采用一個(gè)在網(wǎng)關(guān)上執(zhí)行網(wǎng)絡(luò)安全策略的軟件引擎(檢測(cè)模塊)，對(duì)網(wǎng)絡(luò)通信額各層實(shí)施檢測(cè)分析，提取相關(guān)的通信和狀態(tài)信息，并在一個(gè)稱作動(dòng)態(tài)鏈接表的數(shù)據(jù)表中存儲(chǔ)和更新，為下一個(gè)通信檢查提供數(shù)據(jù)。 狀態(tài)監(jiān)測(cè)防火墻的另一個(gè)優(yōu)點(diǎn)是它會(huì)監(jiān)測(cè)無連接狀態(tài)的遠(yuǎn)程過程調(diào)用RPC和用戶數(shù)據(jù)包UDP之類端口，其安全級(jí)別就更高了。 防火墻體系結(jié)構(gòu)l 屏蔽路由器結(jié)構(gòu)這是最基本的結(jié)構(gòu)，可以由專門的路由器來實(shí)現(xiàn)，也可以使用主機(jī)來實(shí)現(xiàn)，屏蔽路由器作為內(nèi)外網(wǎng)連接的唯一通道，要求所有報(bào)文均在此接受檢查，過濾未授權(quán)的報(bào)文。l 雙穴主機(jī)網(wǎng)關(guān)結(jié)構(gòu) 這是一臺(tái)裝有兩張網(wǎng)卡的主機(jī)做防火墻，兩塊網(wǎng)卡分別與受保護(hù)網(wǎng)絡(luò)和外部網(wǎng)絡(luò)相連，堡壘主機(jī)上運(yùn)行防火墻軟件，負(fù)責(zé)對(duì)過往的數(shù)據(jù)包進(jìn)行檢查。l 屏蔽主機(jī)網(wǎng)關(guān)結(jié)構(gòu) 在屏蔽主機(jī)網(wǎng)關(guān)結(jié)構(gòu)中外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)之間增設(shè)一個(gè)包過濾路由器，并在其上建立包過濾規(guī)則，使得堡壘主機(jī)是外部網(wǎng)絡(luò)可以見到的唯一主機(jī)，從而起到保護(hù)內(nèi)部網(wǎng)絡(luò)的作用。l 屏蔽子網(wǎng)結(jié)構(gòu) 這種結(jié)構(gòu)是在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間建立一個(gè)被隔離的子網(wǎng)，再用
高考資料相關(guān)推薦
鄂ICP備17016276號(hào)-1