信息网络安全防护技术(第二讲)part 1-public

《信息网络安全防护技术(第二讲)part 1-public》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、2009‐10‐29信息网络安全防护技术2.1开放系统互连安全体系结构2.2计算机网络基础授课教师：刘建伟/毛剑2.3底层协议安全性2009-09-252.4高层协议安全性2.5小结信息网络安全防护技术‐讲义2009‐10‐291信息网络安全防护技术‐讲义2009‐10‐292GB/T9387.2‐1995《信息系统处理开放系统互连基本参考模型第2部分：安全体系结构》（等同于ISO/IEC7498‐2）•给出了OSI参考模型的七层协议之上的信息安全体系结构•核心内容是保证异构计算机进程与进程之间远距离交换信息的五类安全

2、服务安全GB/T9387.2‐1995定义了八类安全机制•五大类安全服务•提供这些服务的八类安全机制•相应的开放系统互连的安全管理•并可根据具体系统适当地配置于OSI模型的七层协议中国家计算机网络入侵防范中心2009‐10‐29http://www.nipc.org.cn/42009‐10‐293安全服务鉴别服务访问控制服务机密性服务•提供对通信中对•对资源提供保护，•保护信息不被泄•X.800对安全服务的定义：即为保证系统或数等实体和数据来以对抗其非授权漏或暴露给未授据传输有足够的安全性，通信开发系统协议所源源鉴别的

3、鉴别；使用操用和操纵；权的实体；提供的服务•RFC2828定义：安全服务时一种由系统提供对完整性服务抗抵赖服务资源进行特殊保护的进程或通信服务•对数据提供保护，•防止参与某次通以对抗未授权的信交换的任何一安全服务通过安全机制实现安全策略改变、删除或替方事后否认本次代；通信或通信内容。2009‐10‐2952009‐10‐29612009‐10‐29}鉴别服务提供了对通信中对等实体和数据来源的鉴}鉴别服务提供了对通信中对等实体和数据来源的鉴别。即每当某个实体声称具有一个特定的身份时，别。即每当某个实体声称具有一个特定的身

4、份时，鉴别服务将提供某种方法来征实这一声明的正确性。鉴别服务将提供某种方法来征实这一声明的正确性。}鉴别分为两种情形:}鉴别分为两种情形:对等实体鉴别：在开放系统的两个同层对等实体对等实体鉴别：在开放系统的两个同层对等实体间建立连接和数据传输间，为提供连接实体身份鉴间建立连接和数据传输间，为提供连接实体身份鉴别而规定的一种服务。别而规定的一种服务。数据源鉴别既不是孤立的鉴别一个实体，也不是为了允许实体执行下一步的操作而鉴别数据源鉴别:用于鉴别某个指定的数据项是否来源数据源鉴别它的身份，而是:用于鉴别某个指定的数据项是否

5、来源为了确定被鉴别的实体与一于某个特定实体的服务。于某个特定实体的服务。些特定数据项有着静态的不可分割的关系。2009‐10‐2972009‐10‐298访问控制实现的安全目标是Authentication•MessagefromEve•防止对可访问资源进行未授权的访问servicescounterthatappearstobethisthreatfromBob未授权访问包括EveHello,ImI’mBob!•未未授权使用、泄漏、修改、破坏和拒绝服务等Pls.givemeyourID.No.!主体与客体•主动的实体‐

6、发起者或主体。•主体试图访问的一些被动资源‐目标或者客体。Internetorother访问控制决策控制主体对客体的访问comm.facilityAlice•决策以某一访问策略的形式反映出来。Bob•访问控制模型由两部分组成：实施功能＋决策功能2009‐10‐2910通过进程对数据、不同进程或其它计算资源的访问控制；•maintainitsbooksAccountingSystem•trytoembezzlemoneyby在一个安全域内的访问控制或跨越一sendingitoverseas个或多个安全域的访问控制；•hi

7、dingthetransactions访问控制实现的安全目标是：按照其上下文进行的访问控制。如，根据试图访问的时间、访问者地点或访问路由等因素的访问控制；在访问期间对授权更改作出反应的访Accountant•breaksintothesystem问控制Hacker•triestomodifytheaccountingdata2009‐10‐291122009‐10‐29Ok!Theseguysaregettinganimportant}数据机密性服务就是保护信息不泄漏或不暴露给那conferencecall!些未授权掌

8、握这一信息的实体。Confidentialityservicescounter•Wiretapping}两种不同类型的机密性服务•Readcontentsofthisthreatmessagefrom数据机密性服务：使得攻击者想要从某个数据项中Exp.:EncrypttheEveBobtoAlice推出敏感信息是十分困难的；mes