现代计算机网络技术,第15章网络安全技术,摘 要,本章介绍网络安全方面的基础知识，了解网络安全的基本内容、安全威胁和安全策略，然后对防火墙技术、加密技术、数字签名技术等安全技术进行概括性的介绍，了解网络安全技术的发展。,学习目标,网络安全的意 义和本质 防火墙技术,理解,掌握,掌握,了解,网络安全面临 的各种威胁,加密技术和数字签名技术,网络安全策略及熟悉网络安全的基本要求,15.1网络安全概述 1.网络安全的基本概念 网络安全从本质上来讲就是网络上的信息安全。 从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论，都是网络安全所要研究的领域。下面给出网络安全的一个通用的定义。 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或恶意的原因而遭到破坏、更改或泄漏，系统连续、可靠、正常地进行，不中断网络服务。 2.网络安全的基本特征 （1）保密性 （2）完整性 （3）可用性 （4）可控性 （5）可审查性,15.1网络安全概述 3.计算机网络的脆弱性 （1）网络的开放性 （2）网络的国际性 （3）网络的自由性 4.防范间谍软件之危害的对策 （1）公开安装的间谍软件 （2）秘密侵入的间谍软件 5.影响网络安全的因素 （1）硬件系统 （2）软件系统 （3）网络及其通信协议,15.1网络安全概述 6.网络攻击的类型 截获（interception）攻击者从网络上窃听他人的通信内容。 中断（interruption）攻击者有意中断他人在网络上的通信。 篡改（modification）攻击者故意篡改网络上传送的报文。 伪造（fabrication）攻击者伪造信息在网络上传送。,15.1网络安全概述 一些恶意程序（rogue program）的攻击 （1）计算机病毒（computer virus） （2）计算机蠕虫（computer worm） （3）特洛伊木马（Trojan horse） （4）逻辑炸弹（logic bomb） （5）陷门 （6）IP欺骗,15.2网络安全体系结构 15.2.1 物理安全 1.环境安全 环境安全是指对系统所在环境的安全保护（温度、湿度、洁净度、腐蚀性空气、静电、噪音等）。如区域保护和灾难保护。 2.设备安全 设备安全主要包括设备的防盗、防毁、防电磁辐射及泄露、防止线路截获、抗电磁干扰及电源保护等。 3.媒体安全 媒体安全包括媒体数据的安全及媒体本身的安全。,15.2网络安全体系结构 15.2.2 网络安全 1.隔离及访问控制系统 2.网络安全检测 3.审计与监控 4.网络反病毒 5.网络备份系统,15.2网络安全体系结构 15.2.3 信息安全 1.鉴别 鉴别是对网络中的主体进行验证的过程，常用3种方法。 （1）只要该主体了解的秘密，如密码、密钥等。密码是相互约定的代码，假设只要用户和系统知道。通常情况下，用户先输入某种标志信息，比如用户名和ID号，然后系统询问用户密码，若密码与用户文件中的相匹配，用户即可进入访问。 （2）主体携带的物品，如智能卡和令牌卡等。 （3）生物特征，只有该主体具有的独一无二的特征或能力，如指纹、声音、视网膜或签字等。利用个人特征进行鉴别的方式具有很高的安全性。目前已有的设备包括：视网膜扫描仪、声音验证设备、手型识别器等。,15.2网络安全体系结构 15.2.3 信息安全 2.数据传输安全系统 （1）报文鉴别 （2）校验和 （3）加密校验和 （4）消息完整性编码 （5）防抵赖技术,15.2网络安全体系结构 15.2.3 信息安全 3.数据存储安全系统 （1）物理完整性，即数据能够免于物理方面破坏的问题，如掉电、火灾等。 （2）逻辑完整性，能够保持数据库的结构，如对一个字段的修改不至于影响其 他字段。 （3）元素完整性，包括在每个元素中的数据是准确的。 （4）数据的加密。 （5）用户鉴别，确保每个用户被正确识别，避免非法用户入侵。 （6）可获得性，指用户一般可访问数据库和所有授权访问的数据。 （7）可审计性，能够追踪到谁访问过数据库。 4.信息内容审计系统 实时对进出内部网络的信息进行内容审计，可防止或追查可能的泄密行为。因此，为了满足国家保密法的要求，在某些重要或涉密网络，应该安装使用此系统。,15.2网络安全体系结构 15.2.4 安全管理 1.安全管理的原则 （1）多人负责原则。 （2）任期有限原则。 （3）职责分离原则。 2.安全管理的实现 （1）根据工作的重要程度，确定该系统的安全等级。 （2）根据确定的安全等级，确定安全管理的范围。 （3）制定相应的机房出入管理制度。 （4）制定严格的操作规程。 （5）制定完备的系统维护制度。 （6）制定应急措施。,15.3常用网络安全技术 15.3.1防火墙技术 概念：防火墙（Firewall）是一种能将内部网和公众网分开的方法，它是一种特殊编程的路由器，安装在一个网点和网络的其余部分之间，目的是实施访问控制策略。它能限制被保护的网络与互联网络及其他网络之间进行的信息存取、传递等操作。在构建安全的网络环境过程中，防火墙作为第一道安全防线，正受到越来越多用户的关注。,15.3常用网络安全技术 1防火墙原理 （1）防火墙的概念 （2）防火墙的功能 （3）防火墙的工作原理 包过滤防火墙 应用网关防火墙 状态检测防火墙 复合型防火墙 （4）防火墙的局限性 防火墙不能防范恶意的知情者 防火墙不能防范不通过它的连接 防火墙不能防备全部的威胁 防火墙不能防范病毒,15.3常用网络安全技术 2防火墙分类 防火墙分类的方法很多， 除了从形式上把它分为软件防火墙和硬件防火墙以外， 还可以从技术上分为“包过滤型”、“应用代理型”和“状态监视型”三类；从结构上又分为单一主机防火墙、路由集成式防火墙和分布式防火墙三种；按工作位置分为边界防火墙、个人防火墙和混合防火墙；按防火墙性能分为百兆级防火墙和千兆级防火墙两类。,15.3常用网络安全技术 3防火墙技术 （1）包过滤技术 （2）应用代理技术 （3）状态监视技术,15.3常用网络安全技术 15.3.2信息加密技术 数据安全目标是实现数据的保密性、完整性、可用性和真实性，一切关于数据安全的理论和技术的研究都是围绕这几个方面展开的。自古至今，数据加密在完成保护数据安全的使命中一直都发挥着不可替代的作用。选择合适的加密算法和密钥，将其作用于所要存放或传输的数据能很大程度上满足人们对于数据安全的要求。,15.3常用网络安全技术 15.3.2信息加密技术 1.密码学基本概念 （1）数据加密与密码体制 密码体制是一个五元组(P,C,K,E,D)，满足条件: P是所有可能明文的有限集合(明文空间)，有的文献中用M表示； C是所有可能密文的有限集合(密文空间)； K是所有可能密钥构成的有限集合(密钥空间)； E是所有加密算法构成的集合； D是所有解密算法构成的集合。 任意kK，有一个加密算法ekE和相应的解密算法dkD，使得ek: PC和dk: CP。ek和dk分别为加密函数和解密函数，满足dk(ek(m)=m，这里mP, ek(m)C。,15.3常用网络安全技术 15.3.2信息加密技术 （2）传统加密方法分类 替换密码是用密文字母来替换明文字母，但字母位置不变。替换密码的例子包括循环移动字母表、单字母替换、多字母替换等。 换位密码是保留明文字母不变，但改变字母的位置。,15.3常用网络安全技术 15.3.2信息加密技术 （3）数据加密的作用 数据加密主要是为保障数据在传输过程中的安全性而设计的。总结起来，数据加密主要在以下几个方面发挥着巨大的作用。 保密性。保证数据除发送者和接收者之外任何人都不能有效查看数据的真实内容； 认证。为数据接收者提供判断数据来源可靠性的能力。阻止破坏者伪装成其他人发送数据； 完整性。数据接收者能够判断数据在传输过程中是否遭到修改或破坏； 不可抵赖性。数据发送者不能在事后否认他曾经发送过的数据。,15.3常用网络安全技术 15.3.2信息加密技术 2.对称加密技术 根据密钥形式，数据加密技术通常分为两大类: 对称加密(symmetric encryption)技术和非对称加密(assymmetric encryption)技术，也称为密钥加密(secret-Key encryption)技术和公钥加密(public-key encryption)技术。 （1）对称加密技术 在对称加密技术中，加密和解密过程采用一把相同的密钥，通信时双方都必须具备这把密钥，并保证密钥不被泄露。各种传统数据加密技术都属于对称加密技术。,15.3常用网络安全技术 15.3.2信息加密技术 （2）数据加密标准DES 1977年美国政府批准了第一个通用的数据加密标准DES，此后该标准被众多的厂家采纳用于它们的安全产品中。尽管DES的最初版本已不能起到保密作用，但修改后的DES版本至今仍然有着广泛的应用。 （3）三重DES DES的问题是密钥太短，迭代次数也太少，仍然存在着破译的可能。一种广泛使用的用于增加DES强度的方法是三重DES。它使用两个密钥进行三重DES，第一阶段使用密钥K1对明文P进行加密，第二阶段使DES设备工作于解码模式，使用密钥K2对第一阶段的输出进行变换，第三阶段又使DES工作于加密模式，使用K1对第二阶段的输出再进行一次加密，最后输出密文,15.3常用网络安全技术 15.3.2信息加密技术 3非对称加密技术 20世纪70年代后期之前，所有加密算法均为对称加密算法，要求通信双方共享一个用于加密和解密的秘密密钥。这种方法带来的问题是双方必须就共享密钥达成一致，但是这样做的前提是需要通信。传统上由一个中心密钥生成设备产生一对相同的密钥，然后由人工信使将其传送到各自的目的地，这种密钥分发方法在今天显然是不能令人满意的。在当今的网络世界中，通信各方之间可能从未见过面，也不会在网络以外的任何地方见面或交谈，如何在没有预先商定共享密钥的条件下进行加密通信呢？1976年，Diffie和Hellman论证了一个解决该问题的算法，现在称为Diffie-Hellman密钥交换算法，从根本上改变了人们研究密码系统的方式。公钥加密技术很好地解决了加密技术中密钥分发和管理的问题。,15.3常用网络安全技术 15.3.2信息加密技术 3非对称加密技术 Diffie和Hellman提出了公开密钥算法必须满足的条件： 从计算上说，生成一对加密密钥和解密密钥是容易的； 从计算上说，已知加密密钥，从明文计算出密文是容易的； 从计算上说，已知解密密钥，从密文计算出明文是容易的； 从计算上说，从加密密钥推出解密密钥是不可能的； 从计算上说，从加密密钥和密文计算出原始明文是不可能的。,15.3常用网络安全技术 15.3.2信息加密技术 3非对称加密技术 Diffie和Hellman只是提出了公开密钥算法的设想，并没有证明这样的算法存在。由于公开密钥算法潜在的优越性，研究者们一直在努力寻找符合以上条件的算法。已经有一些算法被提了出来，其中最著名的是由M.I.T.的一个研究小组提出、并以三个发现者名字的首字母进行命名的RSA算法。RSA算法建立在数论的基础上，在此我们不对算法进行理论上的推导，只是说明如何使用这种算法。 (1) 选择两个大素数p和q（典型值为大于10100）； (2) 计算npq和(p-1)(q-1)； (3) 选择一个与z互质的数，令其为d； (4) 找到一个e，使满足ed1 (mod z)。,15.3常用网络安全技术 15.3.3数字签名 1基本概念 所谓“数字签名”就是通过某种密码运算生成一系列符号及代码组成电子密码进行签名，来代替书写签名或印章，对于这种电子式的签名还可进行技术验证，其验证的准确度是一般手工签名和图章的验证而无法比拟的。 “数字签名“是目前电子商务、电子政务中应用最普遍、技术最成熟的、可操作性最强的一种电子签名方法。,15.3常用网