tcpip连网核心技术 第8章 internet协议安全

《tcpip连网核心技术 第8章 internet协议安全》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、下载第三部分网络安全与管理安全及网络管理自动化对大型网络的管理者来说是必需的特性。这一部分将介绍提供网络安全性、带宽管理特性以及自动化客户管理的Windows2000特性。第8章Internet协议安全Internet协议安全(IPSec)是在IP网络上通过使用密码安全服务保证专用的、安全的通信。它是开放标准的一个框架。MicrosoftWindows2000的IPSec实现是以Internet工程任务组(IETF)的IPSec工作组所制定的标准发展为依据的。资源大全中的相关信息：■欲知有关网际

2、协议(IP)的一般信息，参见本书第1章“TCP/IP简介”。■欲知有关VPN概念的更多信息，参见本套书第4卷《网络互连》中的第9章“虚拟专用网”。■欲知有关安全性的一般信息，参见本套书第5卷《分布式系统》中的“分布式安全”部分。8.1IP安全问题没有安全性，公用和专用网络对于未授权监视和访问都是敏感的。内部攻击可能是内部网缺乏或没有安全性的结果；但是真正的危险来自连到Internet以及外部网的专用网络主干。仅有基于用户密码的访问控制不能保护网上传输的数据。常见网络攻击类型没有安全措施及控制，用

3、户数据可能遭受攻击。一些攻击是被动的，意味着信息被监视；另一些是主动的，意味着用户信息被有意修改，以破坏数据或网络本身。若用户没有安全措施，则网络数据对于下列类型的攻击来说是很脆弱的。1.窃听通常，大部分网络通信在一个非安全或“纯文本”格式下发生，这允许获取用户数据访问路径的攻击者“侦听”或读取数据流。当一个攻击者窃听用户通信时，通常指的是窃听或窥探。窃听者监视网络的能力通常是一个企业中网络管理者面对的最大的安全问题。没有基于密码学的加密服务，当数据在网上传输时，用户数据可以由其他用户读取。2.

4、数据修改当一个攻击者读取数据以后，下一个逻辑步骤是修改它。攻击者可以修改包中的信息，而380使用第三部分网络安全与管理下载无需知道发送者和接收者之间的任何信息。即使用户对于通信无需任何保密，但也不想其任何消息被修改。例如，若用户在交换购物请求，用户不想要项目、数量或付帐信息被修改。3.身份欺骗(IP地址欺骗)大多数网络和操作系统使用计算机的IP地址标识有效用户。在一定的情况下，有可能IP地址被错误地假设—即身份欺骗。攻击者也可能使用特殊的程序构造IP地址，比如从团体内部网来的有效地址。在获取访问

5、网络的一个有效IP地址后，攻击者可以修改、重新路由或删除用户数据。攻击者也可以进行其他种类的攻击，这在下列几节中介绍。4.基于口令的攻击通常的操作系统命名者以及网络安全性计划是基于口令的访问控制。这意味着用户访问一个计算机的权利及网络资源由用户是谁决定，就是说，由用户名及用户口令组成。当通过网络验证有效性时更老的应用程序不总是保护身份信息。这可能允许窃听者通过假装成有效的用户获取网络访问权。当攻击者找到一个有效的用户帐号时，攻击者有与真实用户相同的权利。因此，若用户拥有管理员级权利，攻击者也可以

6、在后来的访问中创建帐号以供以后的访问使用。在获取用户网络的有效帐号以后，攻击者可以进行下面的动作：■获取任何有效用户和计算机名的列表及网络信息。■修改网络和服务器配置，包括访问控制和路由表。■修改、重新路由或删除用户数据。5.服务拒绝攻击不像基于口令的攻击，服务拒绝攻击阻止有效用户正常使用计算机或网络。在获取网络访问权以后，攻击者可以做下列任何事情：■分散用户内部信息系统工作人员的注意力，以使他们不会立即注意到入侵，这使攻击者在分散期间做更多的攻击。■发送无效数据给应用程序或网络服务，引起不正常

7、的应用程序或服务的终结行为。■用通信流淹没一个计算机或整个网络，直到因过载而崩溃。■阻塞通信，导致授权用户访问网络资源的丢失。6.中间人攻击就像名字所指示的，当在用户和用户想要通信的用户之间的攻击者主动地监视、捕获，透明地控制用户通信时发生中间人攻击。例如，攻击者可以重路由用户数据交换。当计算机在网络低层通信时，计算机可能无法决定其和谁在通信。中间人攻击像某人“假扮”用户身份以读取用户消息一样。另一端的用户可能由于攻击者能主动回答而相信攻击者为对方，并且保持交换数据及获取更多的信息。这种攻击和应

8、用层攻击具有同样的损害性，在本节后面将介绍。7.危害(compromised)密钥攻击密钥是用于解释已加密信息的一段保密代码或数字。尽管对于攻击者来说获取一个密钥是一件非常困难并且非常耗费资源的过程，但它是可能的。当攻击者获取一个密钥以后，该密钥则被称为危害密钥。第8章Internet协议安全使用381下载当攻击者使用危害密钥获取一个加密通信的访问权时，发送者和接收者却不知道。有了危害密钥，攻击者可以解密或修改数据，并试图利用此密钥推算另外的密钥，这可能允许攻击者访问其他安全加密通信。8.窃听器