计算机网络概论计算机网络概论刘兵刘兵 制作制作学习要点：学习要点： 计算机网络安全的基本概念和基础知识 数据加密方法 数字签名的原理 防火墙第7章计算机网络的安全7.17.1计算机网络安全概述计算机网络安全概述 7.2 7.2 数据加密数据加密数据加密数据加密 7.37.3数字签名数字签名 7.47.4防火墙防火墙 退出退出退出退出第7章计算机网络的安全7.1计算机网络安全概述7.1.17.1.1计算机网络安全基础知识计算机网络安全基础知识 7.1.2计算机网络面临的主要威胁返回返回返回返回7.1.1计算机网络安全基础知识1.计算机网络安全的含义计算机网络安全是指网络系统的硬件、软件及其系统中的数计算机网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不会因偶然的或者恶意的原因而遭到破坏、更据受到保护，不会因偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。改、泄露，系统连续可靠正常地运行，网络服务不中断。 计算机网络安全又分为：计算机网络安全又分为：（l）运行系统安全，即保证信息处理和传输系统的安全。运行系统安全，即保证信息处理和传输系统的安全。 （2）网络上系统信息的安全。）网络上系统信息的安全。 （3）网络上信息传播的安全。）网络上信息传播的安全。全。全。 （4）网络上信息内容的安全。）网络上信息内容的安全。 2. 网络安全的特征网络安全的特征（1）保密性：）保密性：（2）完整性：）完整性：（3）可用性：）可用性：（4）可控性：）可控性：3. 3. 网络安全的策略网络安全的策略（1 1） 网络用户的安全责任网络用户的安全责任（2 2） 系统管理员的安全责任系统管理员的安全责任（3 3） 正确利用网络资源正确利用网络资源（4 4） 检测到安全问题时的对策检测到安全问题时的对策4. 4. 网络安全性措施网络安全性措施 （1 1） 网络安全措施网络安全措施 要实施一个完整的网络安全系统，至少应该包括三类措施：要实施一个完整的网络安全系统，至少应该包括三类措施：社社会会的的法法律律、法法规规以以及及企企业业的的规规章章制制度度和和安安全全教教育育等等外部软件环境。外部软件环境。技技术术方方面面的的措措施施，如如网网络络防防毒毒、信信息息加加密密、存存储储通通信信、授权、认证以及防火墙技术。授权、认证以及防火墙技术。审审计计和和管管理理措措施施，这这方方面面措措施施同同时时也也包包含含了了技技术术与与社社会措施。会措施。 （2） 网络安全性方法网络安全性方法为网络安全系统提供适当安全的常用方法有：修补系统漏洞、病毒检查、加密、执行身份鉴别、防火墙、捕捉闯入者、直接安全、空闲机器守则、废品处理守则、口令守则。1. 概述概述计算机网络受到的安全威胁主要来自以下几个方面：窃取网络信息。中断网络信息。篡改网络信息。仿冒用户身份。7.1.2计算机网络面临的主要威胁计算机网络安全性的威胁又分成两大类：一种是被动攻击一种是主动攻击。2.恶意程序 对计算机网络安全威胁较大的有：计算机病毒计算机蠕虫特洛伊木马逻辑炸弹等。7.2数据加密7.2.17.2.1一般数据的加密模型一般数据的加密模型 7.2.2常规密钥密码体制返回返回返回返回7.2.3公开密钥密码体制密码学是以研究秘密通信为目的，即研究对传输信息采取何种秘密的变换以防止第三者对信息的窃取.密码学分为密码编码学和密码分析学，其中密码编码学是密码体制的设计学，而密码分析学则是在未知密钥的情况下从密文推演出明文或密钥的技术。7.2.1一般数据的加密模型一组含有参数k的变换E。设已知信息m（又称之为明文），通过变换E，得到密文c，即c=Ek(m)这个过程称之为加密，参数k称之为密钥，变换E称之为加密算法。 常规密钥密码体制就是指加密密钥与解密密钥是相同的密码体制。这种加密系统又称为对称密钥系统。常规的密钥密码体制有多种加密方法，这里仅讲授三种方法：棋盘密码、替代密码和换位密码。7.2.1一般数据的加密模型1.棋盘密码其加密的思想是：将26个英文字母排列在一个55的方格里，其中i和j填在同一格 这样26个英文字母中的每一个字母都对应着由所组成的一个数，其中，是该字母所在行的标号、表示是列标号。 123451abcde2fgH2ijk3lmnop4qrstu5vwxyz2.替代密码用一组密文字母来代替一组明文字母可以隐藏明文，但保持明文字母位置不变。 3.换位密码对明文字母的顺序按密钥的规律相应的排列组合后输出，然后形成密文。原理如下: 密钥必须是一个不含重复字母的单词或短语，加密时将明文按密钥长度截成若干行排在密钥下面（不足的时候按顺序补字母），按照密钥钥字母在英文字母表中的先后顺序给各列进行编号，然后按照编好的顺序按列输出明文即成密文。 例如：加密密钥为COMPUTER，加密的明文为：pleaseexecutethelatestscheme（1）密钥COMPUTER各字母按照英文26个字母中的先后顺序排列如下：1 4 3 5 8 7 2 6 （2）再把明文按那么按照密钥长度截成若干行排，以如下形式写出来：COMPUTERpleaseexecutethelatestschemeabcd（3）按照密钥各字母的先后顺序按列输出明文即成密文。那么输出的密文为：PELHEHSCEUTMLCAEATEEXECDETTBSESA主要在于其密钥的管理：（1）进行安全通信前需要以安全方式进行密钥交换。（2）密钥规模复杂。4.以上加密方法的缺陷从数学模型的角度来说，要想从加密密钥不能推导出解密密钥，则加密算法E与解密算法D必须满足三个条件：D(E(P)=P已知E，不能由E=D使用“选择明文”不能攻破E。7.2.3公开密钥密码体制公开密钥算法的特点如下：（1）发送者用加密密钥（或称公开密钥）PK对明文X加密后，在接收者用解密密钥（或称秘密密钥）SK解密，即可恢复出明文，或写为：DSK（EPK（X）X解密密钥是接收者专用的秘密密钥，对其他人都保密。（2）加密密钥是公开的，但不能用它来解密，即DPK（EPK（X）X（3）在计算机上可以容易地产生成对的PK和SK。（4）从已知的PK实际上不可能推导出SK，即从PK到SK是“计算上不可能的”。且加密和解密算法都是公开的。7.3数字签名 数字签名(DigitalSignature)是指用户用自己的私钥对原始数据的哈希摘要进行加密所得的数据。信息接收者使用信息发送者的公钥对附在原始信息后的数字签名进行解密后获得哈希摘要，并通过与自己用收到的原始数据产生的哈希摘要对照，便可确信原始信息是否被篡改。7.3.1数字签名概述签名体现了以下几个方面的保证：（1）签名是可信的。（2）签名是不可伪造的。（3）签名不可重用。（4）签名后的文件是不可变的。（4）签名是不可抵赖的。7.3.1数字签名概述为使数字签名能代替传统的签名，必须保证以下三个条件：（1）接收者能够核实发送者对报文的签名；（2）发送者事后不能抵赖对报文的签名；（3）接收者不能伪造对报文的签名。7.3.2数字签名的实现7.4防火墙7.4.1什么是防火墙 防火墙技术就是一种保护计算机网络安全的技术性措施，是在内部网络和外部网络之间实现控制策略的系统，主要是为了用来保护内部的网络不易受到来自Internet的侵害。防火墙的主要功能如下：（1）过滤不安全服务和非法用户，禁止未授权的用户访问受保护网络。（2）控制对特殊站点的访问。（3）提供监视Internet安全和预警的方便端点。对于以下情况防火墙无能为力：（1）不能防范绕过防火墙的攻击。（2）一般的防火墙不能防止受到病毒感染的软件或文件的传输。（3）不能防止数据驱动式攻击。（4）难以避免来自内部的攻击。7.4.2防火墙的三种类型1.网络级防火墙由一个路由器或一台充当路由器的计算机组成。 包过滤路由器对所接收的每个数据包进行审查，以便确定其是否与某一条包过滤规则匹配。2.应用级防火墙应用级防火墙通常指运行代理（Proxy）服务器软件的一台计算机主机。3.电路级防火墙是一个具有特殊功能的防火墙，它可以由应用层网关来完成。电路层网关只依赖于TCP连接，并不进行任何附加的包处理或过滤。7.4.3防火墙体系结构1.双重宿主主机体系结构双重宿主主机体系结构是指在内部网络和外部网络的接口处使用至少两个网络设备，这些网络设备可以是路由器或普通计算机，其中一个连接内部网络（称为内部分组过滤器），另一个连接外部网络（称为外部分组过滤器），它们之间由设备连接7.4.3防火墙体系结构2.主机过滤体系结构这种结构由硬件和软件共同完成，硬件主要是指路由器，软件主要是指过滤器，它们共同完成外界计算机访问内部网络时从IP地址或域名上的限制，也可以指定或限制内部网络访问Internet。 7.4.3防火墙体系结构3. 子网过滤体系结构 7.4.4包过滤技术 包过滤（PacketFilter）是在网络层中对数据包实施有选择的通过。依据系统内事先设定的过滤逻辑，检查数据流中每个数据包后，根据数据包的源地址、目的地址、TCP/UDP源端口号、TCP/UDP目的端口号以及数据包头中的各种标志位等因素来确定是否允许数据包通过，其核心是安全策略即过滤算法的设计。1.包过滤是如何工作的包过滤技术可以允许或不允许某些包在网络上进行传递，其依据以下的判据：（1）将包的目的地址作为判据；（2）将包的源地址作为判据；（3）将包的传送协议作为判据。2.包过滤的优缺点（1）包过滤的优点仅用一个放置在重要位置上的包过滤路由器就可保护整个网络。如果内部网络中的站点与Internet网络之间只有一台路由器，那么不管内部网络规模有多大，只要在这台路由器上设置合适的包过滤，内部网络中的站点就可获得很好的网络安全保护。（2）包过滤的缺点）包过滤的缺点 在机器中配置包过滤规则比较困难；在机器中配置包过滤规则比较困难； 对系统中的包过滤规则的配置进行测试也较麻烦；对系统中的包过滤规则的配置进行测试也较麻烦； 许许多多产产品品的的包包过过滤滤功功能能有有这这样样或或那那样样的的局局限限性性，要找一个比较完整的包过滤产品比较困难。要找一个比较完整的包过滤产品比较困难。 3.包过滤路由器的配置（1）协议的双向性。（2）“往内”与“往外”的含义。（3）“默认允许”与“默认拒绝”。4.包的基本构造包都由包头与包体两部分组成。5.包过滤处理内核过滤路由器可以利用包过滤手段来提高网络的安全性。（1）包过滤和网络策略）包过滤和网络策略（2）一个简单的包过滤模型）一个简单的包过滤模型（3）包过滤器操作）包过滤器操作