Internet安全协议与标准安全协议与标准第第1课课唐礼勇唐礼勇 博士博士tlyinfosec.pku.edu.cn6/19/2003关于本课关于本课教员: 唐礼勇邮件:Tang Li Yong 主页:http:/infosec.pku.edu.cn/tly/PGP Key: http:/infosec.pku.edu.cn/tly/TangLiyong.ascKey ID: 0x1278ADE2Key Fingerprint:DD24 D26B D2B1 3936 D68B E310 9353 0662 1278 ADE2电话:62765809 (O) 助教: 张明, 丁瑞彭课代表:敖山邮件:aossohu.com6/19/20032Internet安全协议及标准安全协议及标准关于本课关于本课(续续)课堂纪律课程组织原则以实践为中心考核方式课堂表现+Project进展情况6/19/20033Internet安全协议及标准安全协议及标准参考材料参考材料(1)Steve Burnett等著，冯登国等译，RSA密码工程实践指南密码工程实践指南，清华大学出版社，2001 Eric Rescorla著，崔凯译，SSL与与TLS，Design and Building Secure Systems，中国电力出版社，2002Carlisle Adams等著，冯登国等译，公开密钥基础设施公开密钥基础设施概念、概念、标准和实施标准和实施，人民邮电出版社，2001 William Stallings著, 杨明等译，密码编码学与网络安全：原理密码编码学与网络安全：原理与实践与实践(第二版第二版)，电子工业出版社,2001William Stallings著,潇湘工作室译,网络安全要素网络安全要素应用与标应用与标准准,人民邮电出版社,2000Andrew Nash等著,张玉清等译,公钥基础设施公钥基础设施(PKI)实现和管实现和管理电子安全理电子安全,清华大学出版社,2002Carlton R.Davis著, 周永彬等译, IPSec VPN的安全实施的安全实施, 清华大学出版社,20026/19/20034Internet安全协议及标准安全协议及标准参考材料参考材料(2)Bruce Schneier著，吴世忠等译，应用密码学：协议、算法与应用密码学：协议、算法与C源程序源程序，机械工业出版社，2000 RSA公司提供的PKCS系列标准文档 相关RFC文档 美国国家安全局发布,国家973信息与网络安全体系研究课题组组织译, 信息安全保障技术框架信息安全保障技术框架(3.0版版), 中软电子出版社, 2002Other Internet Resourceshttp:/www.google.com/6/19/20035Internet安全协议及标准安全协议及标准Internet安全协议及标准安全协议及标准之之Internet6/19/2003InternetServerCorporate RouterHubPCsSwitchWANMarketingEngineeringSales6/19/20037Internet安全协议及标准安全协议及标准Internet6/19/20038Internet安全协议及标准安全协议及标准Internet资料来源：资料来源：www.isc.org，至，至2002年年前三季度前三季度6/19/20039Internet安全协议及标准安全协议及标准Internet安全协议及标准安全协议及标准之之协议及标准协议及标准6/19/2003TCP/IP参考模型参考模型TCP/IP参考模型参考模型TCP/IP协议集协议集OSI参考模型参考模型Application应用层应用层Telnet、FTP、SMTP、HTTP、Gopher、SNMP、DNS等等Application应用层应用层Presentation表示层表示层Session会话层会话层Transport传输层传输层TCP、UDPTransport传输层传输层Internetwork网间网层网间网层IP、ARP、RARPNetwork网络层网络层NetworkInterface网络接口层网络接口层各种底层网络协议各种底层网络协议Datalink数据链路层数据链路层Physica物理层物理层6/19/200311Internet安全协议及标准安全协议及标准TCP/IP工作方式6/19/200312Internet安全协议及标准安全协议及标准Internet standards and RFCsThe Internet society架构委员会：Internet Architecture Board (IAB)工程任务组：Internet Engineering Task Force (IETF)工程指导组：Internet Engineering Steering Group (IESG)6/19/200313Internet安全协议及标准安全协议及标准Internet RFC Publication Process6/19/200314Internet安全协议及标准安全协议及标准Internet安全协议及标准安全协议及标准之之安全安全6/19/2003安全的本义安全的本义安全不受威胁,没有危险、危害、损失安全感安全性6/19/200316Internet安全协议及标准安全协议及标准信息系统安全范围信息系统安全范围物理安全计算机安全网络安全6/19/200317Internet安全协议及标准安全协议及标准信息系统安全范围信息系统安全范围(续续)6/19/200318Internet安全协议及标准安全协议及标准信息安全的目标信息安全的目标IntegrityConfidentialityAvailability6/19/200319Internet安全协议及标准安全协议及标准信息安全的目标信息安全的目标保密性(Confidentiality)计算机系统的资源应该仅能由授权团体读取完整性(Integrity)资源只能由授权实体修改可用性(Availability)一旦用户得到访问某一资源的权限，该资源就应该能够随时为他使用6/19/200320Internet安全协议及标准安全协议及标准Attacks, Services and MechanismsSecurity Attack: Any action that compromises the security of information.Security Mechanism: A mechanism that is designed to detect, prevent, or recover from a security attack.Security Service: A service that enhances the security of data processing systems and information transfers. A security service makes use of one or more security mechanisms.6/19/200321Internet安全协议及标准安全协议及标准攻击的类型攻击的类型6/19/200322Internet安全协议及标准安全协议及标准主动攻击与被动攻击主动攻击与被动攻击6/19/200323Internet安全协议及标准安全协议及标准最易侵入原则最易侵入原则安全脆弱点(Vulnerability)系统中一个暴露在外面的缺口或漏洞，能够被利用来破坏系统，使系统不能满足用户对安全的需求。威胁者最易侵入原则入侵者一定希望使用任何可用的侵入手段，它不一定是最明显的手段，也不一定是进入最严密设施时所采取的手段。6/19/200324Internet安全协议及标准安全协议及标准系统脆弱点评估系统脆弱点评估6/19/200325Internet安全协议及标准安全协议及标准安全服务安全服务根据ISO7498-2:身份鉴别(Authentication)确认用户、主机及数据源的身份访问控制(Access control)数据机密性(Data Confidentiality)加解密(Encryption/Decryption)数据完整性(Data Integrity)数据签名(Digital Signature)抗否认(Non-repudiation)一旦事务结束，有关各方都不能否认自己参与过这次事务。可用性(Availability)6/19/200326Internet安全协议及标准安全协议及标准Internet安全协议及标准安全协议及标准之之安全安全密码技术回顾6/19/2003密码学基础内容密码学基础内容数据加密保密密钥系统/对称密钥系统公开密钥系统HASH函数、MAC、数字签名Hash函数消息认证码(MAC)数字签名6/19/200328Internet安全协议及标准安全协议及标准数据加密概述数据加密概述四个变量明文(Plain text)密文(Cipher text)密钥(Key)算法加密(Encryption)将明文P和密钥K映射到密文C:解密(Decryption)将密文C和密钥K-1映射回明文P：6/19/200329Internet安全协议及标准安全协议及标准针对数据加密的攻击手段针对数据加密的攻击手段密码分析(cryptanalysis)从数学的角度分析密码算法唯密文分析已知明文分析选择明文分析解密变换分析强力攻击(brute-force)逐次试用每个密钥进行解密，直至有意义的信息出现6/19/200330Internet安全协议及标准安全协议及标准对密码系统的要求对密码系统的要求要假设攻击者很熟悉加密函数加密函数中不应留有后门安全不应依赖于对加密变换函数(算法)的保密，而应依赖于密钥的安全密钥的安全最终密钥的长度决定了系统的安全程度6/19/200331Internet安全协议及标准安全协议及标准保密密钥系统保密密钥系统特征：加密解密使用同一个密钥也称：对称密钥系统块加密在给定密钥K的作用下，将一固定长度的明文数据块变换到相同长度的密文数据块流式加密工作在较小单元的明文上，通常是字节或位6/19/200332Internet安全协议及标准安全协议及标准保密密钥系统工作原理保密密钥系统工作原理6/19/200333Internet安全协议及标准安全协议及标准块加密算法块加密算法DES算法：64位块分组64位密钥，有效长度为56位(其余8位为检验位)强力攻击：平均255次尝试差分密码分析法：平均247次尝试线性密码分析法：平均243次尝试基于70年代计算机技术1998年，EFF，Internet并行能力，两天半攻破DES算法6/19/200334Internet安全协议及标准安全协议及标准块加密算法块加密算法(续一续一)6/19/200335Internet安全协议及标准安全协议及标准块加密算法块加密算法(续二续二)块加密算法使用模式(ECB)6/19/200336Internet安全协议及标准安全协议及标准块加密算法块加密算法(续三续三)块加密算法使用模式(CBC)6/19/200337Internet安全协议及标准安全协议及标准块加密算法块加密算法(续四续四)块加密算法使用模式(CFB)6/19/200338Internet安全协议及标准安全协议及标准块加密算法块加密算法(续五续五)其它块加密算法Triple-DESDES-EEE3、DES-EDE3DES-EEE2、DES-EDE2AES128/192/256 bits Key, 128 bits BlockDES的替代品，希望能有20-30年的使用寿命2000年10月，Rijndael算法被选中2001年11月，美国NIST发布标准FIPS PUB 197Blowfish、TwofishCASTIDEARC2、RC5BLK_64、BLK_1286/19/200339Internet安全协议及标准安全协议及标准流式加密算法流式加密算法生成一密钥流K，加密操作由密钥流与明文组合（通常为异或）尚无对其标准化的倡仪主要算法：RC4、SEAL存在的问题：使用明文和密文，可以恢复密钥使用用同一密钥流加密的两个密文，可以恢复它们对应的两明文的异或6/19/200340Internet安全协议及标准安全协议及标准密钥查找时间估算密钥查找时间估算Key Size (bits)Number of Alternative KeysTime required at 106 Decryption/s32232 = 4.3 x 1092.15 milliseconds56256 = 7.2 x 101610 hours1282128 = 3.4 x 10385.4 x 1018 years1682168 = 3.7 x 10505.9 x 1030 years6/19/200341Internet安全协议及标准安全协议及标准公开密钥系统公开密钥系统特征：加密解密使用不同密钥公开加密密钥，可实现保密通讯公开解密密钥，可实现数字签名非对称密钥系统原理计算复杂性6/19/200342Internet安全协议及标准安全协议及标准利用公开密钥算法加密利用公开密钥算法加密6/19/200343Internet安全协议及标准安全协议及标准利用公开密钥算法鉴别利用公开密钥算法鉴别6/19/200344Internet安全协议及标准安全协议及标准公开密钥算法公开密钥算法大整数因式分解：RSA算法事实上的公开密钥标准算法，形式简单，可同时用于加密和检验步骤：选择两个大素数p和q，通常要求每个均大于10100。计算npq和z(p1)(q1)。选择一与z互质的数、令其为e。找到一个d满足ed1 (mod z)。公开(e, n)加密P：计算CPe(mod n)解密C：计算PCd(mod n)6/19/200345Internet安全协议及标准安全协议及标准公开密钥算法公开密钥算法(续续)离散对数问题ElGamalDiffie-Hellman: 用于密钥交换选定一大素数p,大整数g,1gp,且g是p的一个primitive rootA选取x, 计算X=gx(mod p),将X发送给BB选取y,计算Y=gy(mod p),将Y发送给AA计算Yx(mod p), B计算Xy(mod p), 得到K=Yx(mod p)=Xy(mod p)=gxy(mod p)椭圆曲线利用椭圆曲线y2=x3+ax+b的性质加密速度较RSA及离散对数类快，密钥长度低背包问题概率问题6/19/200346Internet安全协议及标准安全协议及标准两类加密算法比较两类加密算法比较保密密钥系统计算量小加密速度快密钥长度要求低密钥分发困难解决方法：将两者结合起来使用每一次均生成一会话密钥，使用保密密钥算法加密数据使用公开密钥算法加密会话密钥公开密钥系统计算量大加密速度慢密钥长度要求高密钥分发较易6/19/200347Internet安全协议及标准安全协议及标准两类加密算法比较两类加密算法比较(续续)6/19/200348Internet安全协议及标准安全协议及标准Hash函数函数定义：一个Hash函数H也称消息摘要消息摘要(Message Digest)，它接受一可变长输入x，返回一固定长度串，该串h被称为m的Hash值，记作h = H(x)。Hash函数可起到可靠检验和的作用。基本要求：输入x可以为任意长度输出串长度固定易计算，给定任何x，很容易算出H(x)单向函数，即给出h，难以计算出一特定输入x，使h = H(x)免冲突6/19/200349Internet安全协议及标准安全协议及标准Hash函数函数(续续)设计原理基于块加密基于模算术专门设计常用算法：MDx：MD2、MD4、MD5SHA-1RIPEMD-1606/19/200350Internet安全协议及标准安全协议及标准Hash函数比较函数比较SHA-1MD5RIPEMD-160Digest length160 bits128 bits160 bitsBasic unit of processing512 bits512 bits512 bitsNumber of steps80 (4 rounds of 20)64 (4 rounds of 16)160 (5 paired rounds of 16)Maximum message size264-1 bitsUnlimitedUnlimited6/19/200351Internet安全协议及标准安全协议及标准消息认证码消息认证码(MAC)定义：同数字签名类似，用于验证消息完整性的机制，只是MAC同某一保密密钥系统相关，它利用一共享的保密密钥按一特定认证机制，对一则消息加上一个认证标签，确保该消息没有被修改以及它确实是由一知道该共享密钥的团体发出来的。要检验MAC时，通常使用同生成MAC相同的密钥。MAC类型：无条件安全：用消息的密文来认证自身。基于Hash函数基于流加密 或 基于块加密HMAC:H: Hash函数 ipad: 由0x36组成的字符串 opad: 由0x5c组成的字符串K: 64字节长,短于64字节的用0填充右边6/19/200352Internet安全协议及标准安全协议及标准数字签名数字签名定义：使用公开密钥加密系统来保证消息的完整性和对发送者身分的确认过程：由签名和检验两部分组成6/19/200353Internet安全协议及标准安全协议及标准数字签名数字签名(续一续一)普通签名实现原理：利用Hash函数计算数据消息摘要利用发送方私有密钥加密该摘要基于RSA的签名、DSA6/19/200354Internet安全协议及标准安全协议及标准数字签名数字签名(续二续二)普通签名模式条件：签名者知道他签字的消息内容任何知道签名者公开密钥的人，可以随时检查该签名是否真实，无需征得签名者的同意，也不需要签名者的干涉(数字签名的这种特征也称为自认证签名模式)签名模式的安全性基于特定的计算复杂性假设。其它形式的数字签名模式盲签名(Blind Signature)委托确认者签名(Designated Confirmer Signature) 组签名(Group Signature)不可抵赖签名(Undeniable Signature)6/19/200355Internet安全协议及标准安全协议及标准Internet安全协议及标准安全协议及标准之之安全安全身份鉴别6/19/2003身份鉴别技术概述身份鉴别技术概述定义：身份鉴别(Authentication)是证明某人或某对象身份的过程，它有别于系统对对象的标识(Identification)，也有别于该对象能够拥有的权限(授权，Authorization)，是保证系统安全的重要措施。身份鉴别的三个因素知识(Knowledge)：你知道什么物品(Possession)：你拥有什么特征(Characteristic)：你是谁两类身份鉴别用户鉴别、主机鉴别6/19/200357Internet安全协议及标准安全协议及标准用户鉴别用户鉴别简单口令鉴别提问/应答(Challenge/Response)鉴别将简单口令鉴别视为每次Challenge均相同的鉴别，用户鉴别步骤如下：6/19/200358Internet安全协议及标准安全协议及标准用户鉴别用户鉴别(续一续一)口令鉴别方式特征：客户和服务共享一个密钥K需要双向鉴别观察者看不到未加密的challenge，从而不能进行口令猜测式攻击需要可逆加密运算明文等价(plaintext-equivalent)存在的威胁强力攻击字典式攻击冒名顶替6/19/200359Internet安全协议及标准安全协议及标准用户鉴别用户鉴别(续二续二)存在的威胁(续)反射攻击：攻击者将鉴别消息用于其它地方如另一服务等客户/服务器鉴别数据库失窃修改客户/服务器之间传输的消息对鉴别机制的高级攻击6/19/200360Internet安全协议及标准安全协议及标准用户鉴别用户鉴别(续三续三)操作系统鉴别机制Unix/etc/passwd、/etc/shadowsalt值25次DES加密迭代、MD5PAM机制Windows NT/LM鉴别PDCMD4可同时用于用户鉴别和主机鉴别Windows2K开始支持Kerberos，但作了改变6/19/200361Internet安全协议及标准安全协议及标准用户鉴别用户鉴别(续四续四)一次性口令(One-Time Password)动态安全ID鉴别基于Smart card或专用设备、时间、用户标识S/Key纯软件利用单向Hash函数生成一次性口令序列，逆序使用OPIE美国海军研究实验室开发，增强S/Key机制，避开专利限制对一次性口令威胁等待最后一字节前消息发出后，抢先发出一随机字节等用户鉴别结束后，劫持会话。6/19/200362Internet安全协议及标准安全协议及标准用户鉴别用户鉴别(续五续五)拨号用户鉴别协议口令鉴别协议(PAP)：RFC1334简单“用户ID-口令”，认证信息以明文方式传输询问握手鉴别协议(CHAP)：RFC1994采用提问/应答方式进行鉴别远程鉴别拨号用户管理协议(RADIUS)：RFC2058采用客户/服务器模型来安全地对远程网络连接用户和会话进行管理支持PAP、CHAP等其它类型的用户鉴别6/19/200363Internet安全协议及标准安全协议及标准用户鉴别用户鉴别(续六续六)更强的基于口令的鉴别机制结合对称密钥算法和公开密钥机制EKE(Encrypted Key Exchange)族：DH-EKE、SPEKE、A-EKE、B-SPEKE通过给窃听者不完整的信息，令其不能进行字典式攻击。前向保密：攻击者得到一个口令并不能使其获得以前会话过程中使用的会话密钥。防强力攻击：会话密钥的失窃无助于攻击者进行强力攻击。SRP (Secure Remote Password protocol)基于检验的零知识协议，不加密任何协议流。双向鉴别，窃取到主机口令文件不会直接损害用户-主机鉴别6/19/200364Internet安全协议及标准安全协议及标准主机鉴别主机鉴别待续, 暂转至PGP话题6/19/200365Internet安全协议及标准安全协议及标准Pretty Good Privacy(PGP)6/19/2003引言引言E-mail 是Internet上最大的应用,也是唯一的广泛跨平台、跨体系结构的分布式应用安全的电子邮件主要是解决身份鉴别和保密性的安全问题PGP - Pretty Good Privacy作者：Phil Zimmermann提供可用于电子邮件和文件存储应用的保密与鉴别服务openpgp已提交IETF标准化http:/ietf.org/html.charters/openpgp-charter.htmlS/MIME - Secure/Multipurpose Internet Mail Extension)得到更多商业公司的支持同样已提交IETF作标准化http:/ietf.org/html.charters/smime-charter.html6/19/200367Internet安全协议及标准安全协议及标准PGP发展特点发展特点选择最可用的加密算法作为系统的构造模块将这些算法集成到一个通用的应用程序中，该程序独立于操作系统和处理器，并且基于一个使用方便的小命令集。程序、文档在Internet上公开一个商业公司提供全兼容、低成本的商业版本。6/19/200368Internet安全协议及标准安全协议及标准PGP广泛应用的原因广泛应用的原因免费、可用于多平台。选用算法的生命力和安全性公众认可。具有广泛的可用性不由政府或标准化组织控制。6/19/200369Internet安全协议及标准安全协议及标准Summary of PGP Services6/19/200370Internet安全协议及标准安全协议及标准PGP安全功能概要安全功能概要6/19/200371Internet安全协议及标准安全协议及标准PGP消息格式消息格式6/19/200372Internet安全协议及标准安全协议及标准PGP密钥环密钥环6/19/200373Internet安全协议及标准安全协议及标准Inside PGP Key Rings6/19/200374Internet安全协议及标准安全协议及标准一个一个PGP公钥公钥-BEGIN PGP PUBLIC KEY BLOCK-Version: GnuPG v1.2.1 (GNU/Linux)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3/jE-END PGP PUBLIC KEY BLOCK-Radix-64 encoding of a binary (all possible 8-bit bytes) message 6-bits at a time into 64 printable ASCII characters (A-Z, a-z , 0-9, +, / bytes 65-90, 97-122, 48-57, 47, 43) pad with =.6/19/200375Internet安全协议及标准安全协议及标准PGP信任模型信任模型6/19/200376Internet安全协议及标准安全协议及标准Gnupg: 1.2.2www.gnupg.org生成密钥gpg -gen-key导出公钥gpg -a -export names (-a输出ASCII格式/Radix64)签名gpg -sa file (加上-b选项可生成不带原文件的签名文件)加密gpg ea r Bob file加密+签名gpg sea r Bob filePGP 8.0.2 Freewarewww.pgp.comPGP的不同实现的不同实现6/19/200377Internet安全协议及标准安全协议及标准课后要求课后要求任意使用一种PGP工具，熟悉其使用后，生成密钥对并仔细保管好导出公钥，通过邮件通知教师及相关同学鼓励同学们互相之间的通信用PGP加密/签名思考题：分析你所用PGP工具潜在的安全问题，给出解决方案回答请用PGP签名(可以不加密)后以邮件附件的形式交上来邮件附件请使用标准格式：学号-姓名-yyyy-mm-dd.扩展名如：223344-张三-2003-06-19.doc6/19/200378Internet安全协议及标准安全协议及标准ChangeLog2003.7.7 v1.1.1 by T.L.YongFix bug in the description of RSA algorithm2003.7.1 v1.1 by T.L.YongRemove some items to lesson 2Some bugs are fixed2003.6.18 v1.0 by T.L.YongInitial6/19/200379Internet安全协议及标准安全协议及标准