第八章、網路安全基礎

一、網路安全概述

網路安全的基本特征：相對性、時效性、相關性、不確定性、復雜性以及重要性等，
網路安全：指網路系統的硬體、軟體及其系統中的資料受到保護，不因偶然的或者惡意的原因而遭受到破壞、更改、泄露，系統連續可靠正常地運行，網路服務不中斷，

網路安全通信的基本屬性：

• 1、機密性：只有發送方和接收方能理解報文內容，
• 2、訊息完整性：訊息未被篡改，發生篡改一定會被檢測到，
• 3、可訪問與可用性：對授權用戶提供有效服務，
• 4、身份認證：雙方確認彼此的真實身份，

典型的網路安全威脅：

• 1、報文傳輸：主要包括竊聽、插入、假冒、劫持等安全威脅，
• 2、拒絕服務DoS 、分布式拒絕服務DDoS：在網路安全威脅中，拒絕服務DoS是指通過向接收方惡意泛洪分組，淹沒接收方，導致帶寬耗盡，資源耗盡等過載資源情況，
• 3、映射：先探路，再攻擊，Namp 是國外廣為使用的埠掃描工具之一
• 4、分組“嗅探”：Wireshark是一個典型的分組嗅探軟體，
• 5、IP欺騙：黑客利用IP地址進行欺騙攻擊

二、資料加密

密碼學：

• 密碼編碼學：指將密碼變化的客觀規律應用于編制密碼來保守通信秘密
• 密碼分析學：研究密碼變化客觀規律中的固有缺陷，并應用于破譯密碼以獲取通信情報

通信加密模型、傳統加密方式、對稱密鑰加密、非對稱/公開密鑰加密

密碼分類：

1、密碼體制的特點、出現的先后時間

• 1、傳統加密方式
• 2、對稱密鑰加密
• 3、非對稱 / 公開密鑰加密

2、依據處理資料的型別

• 分組密碼：又稱塊密碼，將明文訊息編碼表示后的數字（簡稱明文數字）序列，劃分成長度為 n 的組，每組分別在密鑰的控制下變換成等長的輸出數字（簡稱密文數字）序列，
• 序列密碼：又稱流密碼，利用密鑰產生一個密鑰流，然后對明文串分別加密的程序，解密時使用相同的密鑰流，是加密的逆程序，

============傳統加密方式===========

1、替代密碼：凱撒密碼
2、換位密碼：列置換密碼

凱撒密碼：加密：K=3的含義就是明文的每個字母按照字母表順序推后3位，

換位密碼(置換密碼)：列置換密碼，根據一定規則重新排列明文，以便打破明文的結構特性，只改變明文結構，不改變內容，

 =============對稱密鑰加密============

無論是簡單的替代密碼還是換位密碼，安全性都很低，很容易被攻破，現代密碼學將替代密碼和換位密碼相結合，并利用復雜的加密程序，提高密碼的安全性，

現代密碼學：對稱密鑰加密和非對稱密鑰加密，

• 對稱密鑰加密：加密密鑰和解密密鑰是相同的，
• 非對稱密鑰加密(公開密鑰加密系統)：加密密鑰和解密密鑰是不同的，

1、對稱密鑰加密

DES加密演算法(Data Encryption Standard)：

• 1、加密：明文分為64位分組，使用56位的密鑰，進行16輪加密，
• 2、三重DES：使用兩個密鑰，執行三次DES演算法，密鑰長度達到112位，

DES過時的原因：密鑰長度太短，利用高性能計算機可在短時間內蠻力攻擊破解

AES加密演算法(Advanced Encryption Standard)：密鑰長度：128/192/256位，AES 加密程序 4 種操作：位元組替代、行移位、列混淆、輪密鑰加；解密程序分別為對應的逆程序

AES加密演算法的特點：

• 1）分組長度和密鑰長度均可變
• 2）回圈次數允許在一定范圍內根據安全要求進行修正
• 3）安全、效率、易用、靈活
• 4）抗線性攻擊和抗差分攻擊的能力大大增強
• 5）如果1秒暴力破解DES，則需要149萬億年破解AES

IDEA加密演算法(International Data Encryption Algorithm)：密鑰長度128位，

對稱密鑰加密面臨一個最大問題是密鑰分發問題
2、非對稱 / 公開密鑰加密

通信雙方都有兩個密鑰：

• 公鑰：任何人都可以得到
• 私鑰：只有自己知道

加密程序：

• 1、Alice用Bob的公鑰加密明文，發送，
• 2、Bob收到密文后，用自己的私鑰解密得到明文，

非對稱密鑰加密(公開密鑰加密)的演算法：

• 典型的公開密鑰加密演算法：Diffie-Hellman演算法和RSA演算法；Diffie-Hellman演算法：基于數學中素數原根理論，
• RSA演算法：基于數論設計，安全性建立在大數分解的難度上；應用比較廣泛，安全性高，

三、訊息完整性與數字簽名

訊息完整性（報文認證）的目標

• 1、證明報文確實來自聲稱的發送方；
• 2、驗證報文在傳輸程序中沒有被篡改；
• 3、預防報文的時間、順序被篡改；
• 4、預防報文持有期被篡改；
• 5、預防抵賴：如發送方否認已發送的訊息或接收方否認己接收的訊息

訊息完整性檢測方法：用散列函式，對報文m進行散列化，
典型的散列函式

• 第一種：MD5(Message-Digest Algorithm 5)：128位散列值，
• 第二種：SHA-1：作為散列資料的標準，SHA-1 可產生一個 160 位的散列值，SHA-1 是典型的用于創建數字簽名的單向散列演算法

散列函式的特性：

• 1、散列函式演算法公開
• 2、快速計算
• 3、對任意長度報文進行散列產生定長輸出
• 4、對于任意報文無法預知其散列值
• 5、不同報文不會產生相同的散列值
• 6、單向性

================報文認證=======================

• 訊息完整性檢測一個重要目的：完成報文認證的任務，
• 報文認證：使訊息的接受者能夠檢驗收到的訊息是否是真實的方法，

報文（訊息）認證的目的：

• ①訊息源的認證，即驗證訊息的來源是真實的；
• ②訊息的認證，即驗證訊息在傳送程序中未被篡改，

報文摘要：對報文m應用散列函式H，得到固定長度的散列碼，

 A、報文認證的第一種方式：簡單報文驗證

• 發送方對報文m應用散列函式，得到固定長度的散列碼H(m)，獲得報文摘要h，將擴展報文(m,h)發送給接收方
• 接收方收到擴展報文后，提取出報文m和報文摘要h，同樣對報文m應用散列函式H獲得新的報文摘要H(m)，將H(m)和h比較，
• 若相同，報文認證成功，否則報文認證失敗，

簡單報文認證缺點：無法達到對訊息源認證

B、報文認證的另外一種方式：報文認證碼MAC（Message Authentication Code）

• 發送方和接收方共享一個認證密鑰s，發送方對報文m和認證密鑰s應用散列函式H得到報文認證碼h，將擴展報文(m,h)發送給接收方，
• 接收方收到擴展報文后，提取出報文m和報文認證碼h，對報文m和認證密鑰s應用散列函式H獲得新的報文認證碼H(m+s)，將H(m+s)與h比較，
• 若相等，則報文認證成功，否則失敗

報文認證碼MAC的不足：無法保證訊息在接收方沒有被篡改，

==============數字簽名==============

數字簽名：在公開密碼體制中，一個主體使用自己的私鑰加密訊息，得到的密文，密文可以使用該主體的公鑰解密，恢復成原來的訊息，如此生成的“密文”對該訊息提供認證服務，

數字簽名應滿足：
1、接收方能夠確認發送方的簽名，但不能偽造，
2、發送方發出簽名的訊息給接收方后，就不能再否認他所簽發的訊息，
3、接收方對已收到的簽名訊息不能否認，有收報認證，
4、第三者可以確認收發雙方之間的訊息傳送，但不能偽造這一程序，

1、數字簽名的一種方式：簡單數字簽名

• Bob利用自己的私鑰對報文m加密，創建簽名報文，將擴展報文(報文，簽名報文)發送給Alice，
• Alice收到擴展報文，利用Bob的公鑰解密簽名報文，并檢驗解密后的簽名報文和報文m是否一致，
• 若一致，則簽名m的一定是Bob的私鑰，

2、數字簽名的另外一種方式：簽名報文摘要

• Bob對報文m應用散列函式H生成報文摘要H(m)，然后Bob通過其私鑰對報文摘要進行加密生成加密的報文摘要，將擴展報文(報文，加密的報文摘要)發送給Alice，
• Alice收到報文m以及加密的報文摘要，Alice利用Bob的公鑰解密加密的報文摘要，并對m應用散列函式生成新的報文摘要，
• 如果兩者一致，則簽名報文m的一定是Bob的私鑰，

四、身份認證

身份認證：身份鑒別，一個物體經過計算機網路向另一個物體證明其身份的程序，
1、基于共享對稱密鑰的身份認證；
2、基于公開密鑰的身份認證；

基于共享對稱密鑰的身份認證

• 1、Alice向Bob發送報文“我是Alice”
• 2、Bob選擇一個一次性亂數R，然后把這個值發送給Alice
• 3、Alice使用她與Bob共享的對稱秘密密鑰加密這個一次性亂數，然后把加密的一次性亂數發回給Bob，
• 4、Bob解密收到的報文，

基于公開密鑰的身份認證

• 1、Alice向Bob發送報文“我是Alice”
• 2、Bob選擇一個一次性亂數R，然后把這個值發送給Alice
• 3、Alice使用她的私鑰來加密R，然后把加密的一次性亂數發回給Bob，
• 4、Bob向Alice索要她的公鑰，
• 5、Alice向Bob發送自己的公鑰，
• 6、Bob利用Alice的公鑰解密收到的報文，

五、密鑰分發中心(KDC)與證書認證(CA)

對稱密鑰分發的典型解決方案：通信各方建立一個大家都信賴的密鑰分發中心(Key Distribution Center , KDC)；解決對稱密鑰安全可靠的分發，

密鑰分發中心(Key Distribution Center , KDC)：解決對稱密鑰安全可靠的分發

證書認證機構（CA）：解決非對稱密鑰問題

• 要使公鑰密碼有效，需要證實你擁有的公鑰，實際上就是要與你通信的物體的公鑰，
• 將公鑰與特定的物體系結，通常由認證中心（Certification Authority,CA）完成，

認證中心（Certification Authority,CA）的作用：

• 1）CA可以證實一個物體的真實身份，
• 2）一旦CA驗證了某個物體的身份，CA會生成一個把其身份和物體的公鑰系結起來的證書，其中包含該物體的公鑰及其全域唯一的身份識別資訊等，并由CA對證書進行數字簽名，

方式一：通信發起方生成會話密鑰

• 1、Alice和Bob進行保密通信，Alice隨機選擇一個會話秘鑰，用Alice和KDC之間長期的共享密鑰加密會話秘鑰，發送給KDC，
• 2、KDC得到后，解密獲得會話密鑰，以及所希望通信方Bob，KDC利用其和Bob的長期共享密鑰加密密鑰，發送給Bob，
• 3、Bob解密，獲得會話秘鑰，并且得知期望和自己通信的是Alice，

方式二：KDC為Alice、Bob生成通信的會話秘鑰

• 1、Alice在希望和Bob通信時，首先向KDC發送請求訊息，
• 2、KDC收到請求訊息后，隨機選擇一個會話秘鑰，并將會話秘鑰分別用和
• Alice、Bob的長期共享密鑰加密，再分別發送給Alice、Bob，
• 3、Alice、Bob收到KDC的密文后，分別解密，獲得會話秘鑰，

六、防火墻與入侵檢測系統

概念：防火墻是能夠隔離組織內部網路與公共互聯網，允許某些分組通過，而阻止其他分組進入或離開內部網路的軟體、硬體或者軟體硬體結合的一種設施，

防火墻的分類

• 1、無狀態分組過濾器：典型部署在內部網路和網路邊緣路由器上的防火墻，路由器逐個檢查資料報，根據訪問控制表(Access Control Lists ,ACL)實作防火墻規則，
• 2、有狀態分組過濾器：跟蹤每個TCP連接建立、拆除，根據狀態確定是否允許分組通過，
• 3、應用網關：應用網關實作授權用戶通過網關訪問外部網路的服務，

入侵檢測系統(Intrusion Detection System,IDS)是當觀察到潛在的惡意流量時，能夠產生警告的設備或系統，

七、網路安全協議

自頂向下各層解決安全性的實體協議

• 1、安全電子郵件（應用層）
• 2、安全套接字層SSL（傳輸層）
• 3、虛擬與用網VPN和IP安全協議IPSec（網路層）

1、安全電子郵件(電子郵件對網路安全的需求):

• 1、機密性
• 2、完整性
• 3、身份認證性
• 4、抗抵賴性

安全電子郵件標準：PGP標準(Pretty Good Privacy)

• PGP提供的服務：郵件加密；報文完整性；數字簽名；
• 加密演算法：公鑰加密演算法(如RSA)、對稱加密演算法(如3DES)、散列演算法(如SHA-1)

2、  網路安全協議

安全套接字層SSL

• 1、一般Web服務器越強大，包含安全漏洞的概率越高，
• 2、Web瀏覽器也會遇到各種各樣的安全威脅，
• 3、普通Web應用的應用層資料，在傳輸程序中都已明文形式傳輸，可能受到攻擊
• 4、在電子商務背景下，提出HTTP安全電子商務交易協議；
• 5、在傳輸層之上構件一個安全層：安全套接字層(Secure Socket Layer,SSL)、傳輸層安全(Transport Layer Security,TLS)

SSL可以提供的服務：機密性、完整性、身份認證等安全服務，

SL協議堆疊(協議的總和)：SSL是介于TCP和HTTP等應用層協議之間的一個可選層，大多數應用層；協議直接建立在SSL協議之上，SSL是兩層協議，
SSL協議堆疊：

SSL握手協議：在插、握手程序中需要用到SSL握手協議、SSL更改密碼規格協議、SSL警告協議，主要作用：協商密碼組和建立密碼組；服務器認證與鑒別和客戶認證與鑒別

SSL警告協議：為對等物體傳遞SSL警告或終止當前連接，包含兩個欄位：警告級別和警告代碼，

SSL記錄協議：描述了資訊交換程序中的訊息格式，前面3個協議需要記錄協議進行封裝與傳輸，
3、虛擬專用網VPN和IP安全協議IPSec

虛擬與用網VPN：建立在公共網路上的安全通道，是用戶通過公用網路建立的臨時的、安全的連接；實作行程用戶、分支機構、業務伙伴等與機構總部網路的安全連接，從而構建針對特定組織機構的專用網路，虛擬轉用網最重要的特點就是虛擬，虛擬轉用網一般指的是構建在Internet上能夠自我管理的專用網路；關鍵技術：隧道技術，如IPSec，
VPN涉及的關鍵技術：隧道技術（核心） 、資料加密 、身份認證、密鑰管理 、訪問控制、 網路管理

隧道：通過Internet提供的點對點的資料傳輸的安全通道，通過資料加密保證安全；資料進入隧道時，由VPN封裝成IP資料報，通過隧道在Internet上傳輸；離開隧道后，進行解裝，資料便不再受VPN保護，

IPSec體系簡介：IPSec是網路層使用最廣泛的安全協議，但IPSec不是一個單一的協議，而是一個安全體系；主要包括：封裝安全載荷協議( ESP)、認證頭( AH)協議

IPSec傳輸模式：傳輸模式和隧道模式

• 1、傳輸模式：主機模式，IPSec資料報的發送和接收都由端系統完成，
• 2、隧道模式：將IPSec的功能部署在網路邊緣的路由器上，路由器之間建立安全隧道，資料報在其中封裝傳輸，

傳輸模式和協議組合

• 1、傳輸模式AH
• 2、隧道模式AH
• 3、傳輸模式ESP
• 4、隧道模式ESP：最廣泛和最重要的IPSec形式，

標籤：其他

上一篇：第七章、無線與移動網路

下一篇：github的上面的安全工具