第20章 因特网安全

《第20章 因特网安全》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第20章因特网安全20.1安全威胁20.2安全服务20.3基本安全技术20.4IP层安全20.5传输层安全20.6应用层安全20.1安全威胁网络安全威胁：指某个人、物或事件对网络资源的机密性、完整性、可用性和非否认性所造成的危害。对网络的攻击可分为被动攻击和主动攻击。被动攻击的目的是从传输中获得信息，通常攻击者对消息的内容更感兴趣。手段：对信息进行截获和分析。被动攻击分类：析出消息内容和通信量分析。析出消息内容：从截获的信息中得到有用的数据。如果信息是加密的，被动攻击者将尝试用各种分析手段来析出消息的内容。对于大多数加密信息攻

2、击者无法析出消息的内容或析出消息内容的时间或成本难以承受，攻击者往往会退而求其次。通信量分析：通过对消息模式的观察，测定通信主机的标识、通信的源和目的、交换信息的频率和长度，然后根据这些信息猜测正在发生的通信的性质。被动攻击的特点：难以检测，但可以预防。主动攻击通常会比被动攻击造成更严重的危害，因为主动攻击通常要改动数据甚至控制信号，或者有意生成伪造数据。主动攻击可能发生在端到端通信线路上的几乎任何地方，如电缆、微波链路、卫星信道、路由结点、服务器主机及客户机。主动攻击可以分为：篡改消息、伪装和拒绝服务。篡改消息是对信息完整性

3、的攻击。伪装是对信息真实性的攻击。拒绝服务攻击是对系统可用性的攻击。主动攻击的特点：很难预防，容易检测。返回20.2安全服务1、机密性2、完整性3、身份认证（真实性）4、访问控制5、非否认性6、可用性7、安全审计8、入侵检测9、事故响应安全服务是由网络安全系统提供的用于保护网络安全的服务。安全服务主要包括以下内容：1、机密性机密性服务用于保护信息免受被动攻击，是系统为防止数据被截获或被非法访问而泄密所提供的保护。机密性能够应用于一个消息流、单个消息或一个消息中的所选字段。最方便的方法是对整个流的保护。机密性通过加密机制对付消息

4、析出攻击。机密性通过流量填充对付通信量分析。2、完整性完整性用于保护信息免受非法篡改。完整性保护分为面向连接的和无连接的数据完整性。因为完整性服务涉及主动攻击，因此，重点是关注检测而不是关注防止攻击。一旦检测到完整性被破坏，则报告这种破坏，然后根据用户的需要决定是否进行恢复。3、身份认证（真实性）认证是通信的一方对通信的另一方的身份进行确认的过程。认证服务通过在通信双方的对等实体间交换认证信息来检验对等实体的真实性与合法性，以确保一个通信是可信的。4、访问控制访问控制是限制和控制经通信链路对系统资源进行访问的能力。5、非否认性

5、非否认服务用于防止发送方或接收方抵赖所传输的信息。非否认主要通过数字签名和通信双方所共同信赖的第三方的仲裁来实现。6、可用性可用性服务是保障系统正常对外提供服务的安全措施。保证系统的可用性：实施严格完善的访问控制策略；采取防病毒措施；实现资源分布和冗余；进行数据备份；并加强安全管理。7、安全审计安全审计是对安全审计跟踪记录和过程的检查。8、入侵检测入侵检测是用于检测任何损害坏或企图损害系统的保密性、完整性和可用性行为的一种安全技术。9、事故响应对安防事件做出切实可行的响应是企业安防体系的一个组成部分。有了事故响应体系，在预防、

6、检测和应付攻击网络资源的行为时就有章可循，能够作出迅速反应。返回20.3基本安全技术在计算机网络安全服务中所采用的主要技术包括：密码技术报文鉴别技术身份认证技术数字签名技术虚拟专用网技术防火墙技术和防病毒技术20.3.1密码技术密码学是研究如何通过编码来保证信息的机密性和如何对密码进行破译的科学。密码学由编码学和密码分析学两部分所构成。一个密码系统通常可以完成信息的加密变换和解密变换。加密变换是采用一种算法将原信息变为一种不可理解的形式，从而起到保密的作用。解密变换是采用与加密变换相反的过程，利用与加密变换算法相关的算法将不可

7、理解的信息还原为原来的信息。加密变换前的信息被称为明文(plaintext)，加密变换后的信息被称为密文(ciphertext)，加密变换时使用的算法被称为加密算法，解密变换时使用的算法被称为解密算法。加密算法和解密算法是相关的，而且解密算法是加密算法的逆过程。威胁密码系统安全的是攻击者。攻击者首先通过监听等手段截获密文。然后试图通过对密文的分析来得到明文。由于通常加密解密算法是对外公开的，攻击者往往对密钥更感兴趣。一旦攻击者获得密钥，他就可以在系统更新密钥之前，利用该密钥解密一系列的密文。加密模型如下图所示：20.3.2报文

8、鉴别技术报文鉴别(MessageAuthentication)是防御网络主动攻击的重要技术，是证实收到的报文来自可信的源点且未被篡改的过程。发送方使用一个密钥和特定算法对报文产生一个短小的定长数据分组（即报文鉴别码MAC），并将它附加在报文中。接收方使用相同的密钥和算法对明文