计算机网络

计算机网络 王占全 zhqwang@ecust.edu.cn

第9章网络安全与网络管理技术

网络安全概述（1） • 网络上敏感信息日益增多 • 军事机密 • 政府机要 • 商业机密 • 个人电子帐户、电子购物、电子纳税 • 个人隐私 • … 华东理工大学计算机科学与工程系

网络安全概述（2） • 引发安全问题的人群和目标华东理工大学计算机科学与工程系

网络安全概述（3） • 网络安全问题 • 保密又称为机密，任务是确保信息不会被未授权的用户访问 • 认证是指当你在展示敏感信息或者进入商务交易前你必须要确定在跟谁通话 • 不可否认牵涉到签名，指你发出信息之后从技术上说不能够否认这条信息不是你发出的 • 完整性控制确保信息的传输途中未遭到任何改变华东理工大学计算机科学与工程系

网络安全概述（4） • 安全涉及协议栈的每一层 • 物理层将传输线封装在内含高压气体的密封管线中可以对付答线窃听 • 数据链路层采用点到点链路加密（link encryption），缺点一是易受来自路由器内部的攻击，二是必须对所有的应用实施，缺乏灵活性 • 网络层采用防火墙进行分组过滤；IPSec • 传输层端到端的加密 • 应用层解决用户认证和不可否认性这样的问题华东理工大学计算机科学与工程系

敌友之间: Alice, Bob, Trudy Figure 7.1 goes here • 三位网络安全领域里的“知名人士” • Bob, Alice (恋人!) 需要进行“私密”的通信 • Trudy, 则是“侵入者”有可能对他人的通信进行截获、删改活动华东理工大学计算机科学与工程系

本章学习要求: • 网络安全的重要性 • 密码体制的基本概念及应用 • 防火墙的基本概念 • 网络入侵检测与防攻击的基本概念与方法 • 网络文件备份与恢复的基本方法 • 网络病毒防治的基本方法 • 网络管理的基本概念与方法华东理工大学计算机科学与工程系

9.1 网络安全研究的主要问题 9.1.1 网络安全的重要性 • 网络安全问题已经成为信息化社会的一个焦点问题； • 每个国家只能立足于本国，研究自己的网络安全技术，培养自己的专门人才，发展自己的网络安全产业，才能构筑本国的网络与信息安全防范体系。华东理工大学计算机科学与工程系

9.1.2 网络安全技术研究的主要问题 • 网络防攻击问题 • 网络安全漏洞与对策问题 • 网络中的信息安全保密问题 • 防抵赖问题 • 网络内部安全防范问题 • 网络防病毒问题 • 网络数据备份与恢复、灾难恢复问题华东理工大学计算机科学与工程系

1.网络防攻击技术 • 服务攻击（application dependent attack）: 对网络提供某种服务的服务器发起攻击，造成该网络的“拒绝服务”，使网络工作不正常; • 非服务攻击（application independent attack）: 不针对某项具体应用服务，而是基于网络层等低层协议而进行的，使得网络通信设备工作严重阻塞或瘫痪。华东理工大学计算机科学与工程系

网络防攻击主要问题需要研究的几个问题 • 网络可能遭到哪些人的攻击？ • 攻击类型与手段可能有哪些？ • 如何及时检测并报告网络被攻击？ • 如何采取相应的网络安全策略与网络安全防护体系？华东理工大学计算机科学与工程系

2.网络安全漏洞与对策的研究 网络信息系统的运行涉及： • 计算机硬件与操作系统 • 网络硬件与网络软件 • 数据库管理系统 • 应用软件 • 网络通信协议网络安全漏洞也会表现在以上几个方面。华东理工大学计算机科学与工程系

3.网络中的信息安全问题 • 信息存储安全与信息传输安全 • 信息存储安全如何保证静态存储在连网计算机中的信息不会被未授权的网络用户非法使用； • 信息传输安全如何保证信息在网络传输的过程中不被泄露与不被攻击；华东理工大学计算机科学与工程系

信息传输安全问题的四种基本类型 华东理工大学计算机科学与工程系

对网络的被动攻击和主动攻击 源站目的站源站目的站源站目的站源站目的站中断篡改伪造截获被动攻击主动攻击华东理工大学计算机科学与工程系

注意 • 述四种对网络的威胁可划分为两大类，即被动攻击和主动攻击。在上述情况中，截获信息的攻击称为被动攻击，而更改信息和拒绝用户使用资源的攻击称为主动攻击。华东理工大学计算机科学与工程系

概念 • 截获(interception) （窃听）当甲通过网络与乙通信时，如果不采取任何保密措施，那么其他人 (如丙)，就有可能偷听到他们的通信内容。 • 中断 (interrupion) 当用户正在通信时，有意的破坏者可设法中断他们的通信。 • 篡改 (modification) 乙给甲发了如下一份报文：“请给丁汇一百元钱。乙”。报文在转发过程中经过丙，丙把“丁”改为“丙”。这就是报文被篡改。 • 伪造(fabrication) 当甲与乙用电话进行通信时，甲可通过声音来确认对方。但用计算机通信时，若甲的屏幕上显示出“我是乙”时，甲如何确信这是乙而不是别人呢？又如甲是网络的合法用户。乙想非法获得甲的权限，于是向网络发出伪造信息：“我是合法用户甲”。华东理工大学计算机科学与工程系

被动攻击和主动攻击 • 在被动攻击中，攻击者只是观察和分析某一个协议数据单元 PDU 而不干扰信息流。 • 主动攻击是指攻击者对某个连接中通过的 PDU 进行各种处理。 • 更改报文流 • 拒绝报文服务 • 伪造连接初始化华东理工大学计算机科学与工程系

因特网的安全隐患 src:B dest:A payload 分组泄漏（Packet sniffing）: • 广播介质 • 间谍 NIC 可以读出所有传输的分组 • 即可以读出所有未加密的数据 (e.g. passwords) • e.g.: C 在“嗅“B的分组 C A B 华东理工大学计算机科学与工程系

因特网安全隐患 src:B dest:A payload IP 欺骗（Spoofing）: • 可以应用程序中产生“原始”的IP分组, 将任意的值植入IP信源字段 • 接受方往往分辨不出信源地址的真假 • e.g.: C 假装成 B A C B 华东理工大学计算机科学与工程系

4.防抵赖问题 • 防抵赖是防止信息源结点用户对他发送的信息事后不承认，或者是信息目的结点用户接收到信息之后不认账； • 通过身份认证、数字签名、数字信封、第三方确认等方法，来确保网络信息传输的合法性问题，防止“抵赖”现象出现。华东理工大学计算机科学与工程系

5.网络内部安全防范 • 网络内部安全防范是防止内部具有合法身份的用户有意或无意地做出对网络与信息安全有害的行为； • 对网络与信息安全有害的行为包括： •有意或无意地泄露网络用户或网络管理员口令； •违反网络安全规定，绕过防火墙，私自和外部网络连接，造成系统安全漏洞； •违反网络使用规定，越权查看、修改和删除系统文件、应用程序及数据； •违反网络使用规定，越权修改网络系统配置，造成网络工作不正常； • 解决来自网络内部的不安全因素必须从技术与管理两个方面入手。华东理工大学计算机科学与工程系

6.网络防病毒 • 引导型病毒 • 可执行文件病毒（文件型病毒） • 宏病毒 • 混合病毒 • 特洛伊木马型病毒 • Internet语言病毒华东理工大学计算机科学与工程系

7.网络数据备份与恢复、灾难恢复问题 • 如果出现网络故障造成数据丢失，数据能不能被恢复？ • 如果出现网络因某种原因被损坏，重新购买设备的资金可以提供，但是原有系统的数据能不能恢复？ • 美国9.11事件的发生，给全世界的企业敲响了警钟。各种自然灾害和突发事件都有可能导致企业信息系统的瘫痪，造成灾难性后果。美国德克萨斯州大学的调查显示：只有6%的公司可以在数据丢失后生存下来，43%的公司会彻底关门，51%的公司会在两年之内消失。Gartner Group的数据也表明，经历大型灾难而导致系统停运的公司中有在2/5再也没有恢复运营，剩下的公司中也有1/3在两年内破产。对于高度依赖信息以及信息集中的企业来说，如何尽量降低灾难给企业带来的负面影响是需要高度重视的一个问题。华东理工大学计算机科学与工程系

9.1.3 网络安全服务与安全标准 网络安全服务应该提供以下基本的服务功能： • 数据保密（data confidentiality） • 认证（authentication） • 数据完整（data integrity） • 防抵赖（non-repudiation） • 访问控制（access control）华东理工大学计算机科学与工程系

网络安全标准 • 《电子计算机系统安全规范》，1987年10月 • 《计算机软件保护条例》，1991年5月 • 《计算机软件著作权登记办法》，1992年4月 • 《中华人民共和国计算机信息与系统安全保护条例》， 1994年2月 • 《计算机信息系统保密管理暂行规定》，1998年2月 • 《关于维护互联网安全决定》，全国人民代表大会常务委员会通过，2000年12月华东理工大学计算机科学与工程系

可信计算机系统评估准则TC-SEC-NCSC是1983年公布的，1985年公布了可信网络说明（TNI）；可信计算机系统评估准则TC-SEC-NCSC是1983年公布的，1985年公布了可信网络说明（TNI）； • 可信计算机系统评估准则将计算机系统安全等级分为4类7个等级，即D、C1、C2、B1、B2、B3与A1； • D级系统的安全要求最低，A1级系统的安全要求最高。华东理工大学计算机科学与工程系

9.2 加密与认证技术 9.4.1 密码算法与密码体制的基本概念 • 数据加密与解密的过程密码学包括密码编码学与密码分析学华东理工大学计算机科学与工程系

一般的数据加密模型 截获篡改截取者明文 X 明文 X E 加密算法 D 解密算法密文 Y = EK(X) 加密密钥 K 解密密钥 K 安全信道密钥源华东理工大学计算机科学与工程系

一些重要概念 • 密码编码学(cryptography)是密码体制的设计学，而密码分析学(cryptanalysis)则是在未知密钥的情况下从密文推演出明文或密钥的技术。密码编码学与密码分析学合起来即为密码学(cryptology)。 • 如果不论截取者获得了多少密文，但在密文中都没有足够的信息来惟一地确定出对应的明文，则这一密码体制称为无条件安全的，或称为理论上是不可破的。 • 如果密码体制中的密码不能被可使用的计算资源破译，则这一密码体制称为在计算上是安全的。华东理工大学计算机科学与工程系

密码体制是指一个系统所采用的基本工作方式以及它的两个基本构成要素，即加密/解密算法和密钥；密码体制是指一个系统所采用的基本工作方式以及它的两个基本构成要素，即加密/解密算法和密钥； • 传统密码体制所用的加密密钥和解密密钥相同，也称为对称密码体制； • 如果加密密钥和解密密钥不相同，则称为非对称密码体制； • 密钥可以看作是密码算法中的可变参数。从数学的角度来看，改变了密钥，实际上也就改变了明文与密文之间等价的数学函数关系； • 密码算法是相对稳定的。在这种意义上，可以把密码算法视为常量，而密钥则是一个变量； • 在设计加密系统时，加密算法是可以公开的，真正需要保密的是密钥。华东理工大学计算机科学与工程系

什么是密码 密码是含有一个参数k的数学变换，即 C = Ek（m） • m是未加密的信息（明文） • C是加密后的信息（密文） • E是加密算法 • 参数k称为密钥 • 密文C是明文m 使用密钥k 经过加密算法计算后的结果； • 加密算法可以公开，而密钥只能由通信双方来掌握。华东理工大学计算机科学与工程系

密钥长度密钥长度与密钥个数 华东理工大学计算机科学与工程系

9.2.2 对称密钥（symmetric cryptography）密码体系 • 对称加密的特点华东理工大学计算机科学与工程系

非对称密钥又叫常规密钥密码体制 • 这种加密系统又称为对称密钥系统。我们先介绍在常规密钥密码体制中的最基本的密码：替代密码与置换密码华东理工大学计算机科学与工程系

替代密码与置换密码 • 替代密码(substitution cipher)的原理可用一个例子来说明。（密钥是 3） abcdefghijklmnopqrstuvwxyz DEFGHIJKLMNOPQRSTUVWXYZABC 明文密文 caesar cipher FDHVDU FLSKHU 明文 c 变成了密文 F 华东理工大学计算机科学与工程系

替代密码与置换密码 • 替代密码(substitution cipher)的原理可用一个例子来说明。（密钥是 3） abcdefghijklmnopqrstuvwxyz DEFGHIJKLMNOPQRSTUVWXYZABC 明文密文 caesar cipher FDHVDU FLSKHU 明文 a 变成了密文 D 华东理工大学计算机科学与工程系

替代密码与置换密码 • 替代密码(substitution cipher)的原理可用一个例子来说明。（密钥是 3） abcdefghijklmnopqrstuvwxyz DEFGHIJKLMNOPQRSTUVWXYZABC 明文密文 caesar cipher FDHVDU FLSKHU 明文 e 变成了密文 H 华东理工大学计算机科学与工程系

置换密码 • 置换密码(transposition cipher)则是按照某一规则重新排列消息中的比特或字符顺序。密钥顺序明文 CIPHER 145326 attack begins atfour 根据英文字母在 26 个字母中的先后顺序，我们可以得出密钥中的每一个字母的相对先后顺序。因为密钥中没有 A 和 B，因此 C 为第 1。同理，E 为第 2，H 为第 3,……，R 为第 6。于是得出密钥字母的相对先后顺序为 145326。华东理工大学计算机科学与工程系

密文的得出 密钥顺序明文 CIPHER 145326 attack begins atfour 先读顺序为 1 的明文列，即 aba 华东理工大学计算机科学与工程系

密文的得出 密钥顺序明文 CIPHER 145326 attack begins atfour 再读顺序为 2 的明文列，即 cnu 华东理工大学计算机科学与工程系

密文的得出 密钥顺序明文 CIPHER 145326 attack begins atfour 再读顺序为 3 的明文列，即 aio 华东理工大学计算机科学与工程系

密文的得出 密钥顺序明文 CIPHER 145326 attack begins atfour 再读顺序为 4 的明文列，即 tet 华东理工大学计算机科学与工程系

密文的得出 密钥顺序明文 CIPHER 145326 attack begins atfour 再读顺序为 5 的明文列，即 tgf 华东理工大学计算机科学与工程系

计算机网络

计算机网络

Presentation Transcript