网络与信息安全new

《网络与信息安全new》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、2008-2009年度北京大学硕士研究生课程安全技术/产品OSI协议分层安全协议网络与信息安全代理防火墙/保密网关应用层应用相关第十一讲表示层信源加密会话层SOCKS网络安全协议动态包过滤防火墙传输层SSL/TLS静态包过滤防火墙网络层IPSec陈钟教授信道加密链路层PPTP/L2TP北京大学信息科学技术学院软件研究所－信息安全研究室物理层chen@infosec.pku.edu.cn2009/4/27NISC-11©cz@PKU讨论议题安全服务（SecurityServices）•IPSec根据ISO7498-2,安全服务包括：安全服务安全服务鉴别完整性对等实体鉴别带恢复的连接完整性

2、•SSL/TLS数据原发鉴别不带恢复的连接完整性访问控制选择字段的连接完整性无连接完整性机密性选择字段的无连接完整性连接机密性无连接机密性非否认选择字段机密性有数据原发证明的非否认通信业务流机密性有交付证明的非否认安全服务与层的关系OSI到TCP/IP的映射分层分层1234567网络接口网络层传输层应用层服务服务对等实体鉴别YYY对等实体鉴别YYY数据原发鉴别YYY数据原发鉴别YYY访问控制服务YYY访问控制服务YYY连接机密性YYYYYY连接机密性YYYY无连接机密性YYYYY无连接机密性YYYY选择字段机密性YY选择字段机密性Y通信业务流机密性YYY通信业务流机密性YYY带恢复的连

3、接完整性YY带恢复的连接完整性YY不带恢复的连接完整性YYY不带恢复的连接完整性YYY选择字段的连接完整性Y选择字段的连接完整性Y无连接完整性YYY无连接完整性YYY选择字段的无连接完整性Y选择字段的无连接完整性Y原发方的非否认Y原发方的非否认Y接收方的非否认Y接收方的非否认Y1TCP/IP协议栈Internet安全性途径•网络层——IP安全性(IPSec)•传输层——SSL/TLS•应用层——S/MIME,PGP,PEM,SET,应用层SMTPHTTPTELNETDNSSNMPKerberos,SHTTP,SSH传输层TCPUDP网络层ICMPIPIGMP网络接ARPRARP口层网络

4、层安全传输层安全SMTPHTTPTELNETDNS应用层应用层SMTPHTTPTELNETDNSSNMPSSL/TLSSNMP传输层TCPUDP传输层TCPUDP网络层IP/IPSEC网络层IP应用层安全IP协议•IP是TCP/IP协议族中至关重要的组成部分,但它提供的是一种不可靠、无连接的的数据报传输服务。PPGES/MIMESHTTPSSHDNSSECSNMPv3•不可靠（unreliable)：不能保证一个IP数据报成PM应用层功地到达其目的地。错误处理办法：扔掉该数据SMTPHTTPTELNETDNSSNMPKerberos报，向其发送着传送一个ICMP消息。•无连接（conn

5、ectionless)：IP并不维护关于连续传输层TCPUDP发送的数据报的任何状态信息。每个数据报单独网络层处理，在传送过程中可能出现错序。IP2IPv4头用户数据经过协议栈的封装过程用户数据应用4位版本号4位报头长度8位服务类型（TOS）16位总长度（以8位组为单位）TCP16位标识3位标志13位分段移位应用头用户数据208位生存期8位协议16位报头校验和个IP八TCP头应用数据32位源IP地址位组TCP分段32位目的IP地址以太网驱动程序IP头TCP头应用数据选项填充IP数据报以太网以太网帧头IP头TCP头应用数据以太网帧尾TOS3位优先权DTRC01420204以太网帧46到1

6、500字节IPv6IPv6基本头IPv6基本头分组扩展头4位版本号8位通信量类型20位流标号16位有效载荷长度8位下一个首部8位跳数限制128位源IP地址TCP头128位目的IP地址数据IPv4的缺陷IPSec的起源•缺乏对通信双方身份真实性的鉴别能力•1994年IETF专门成立IP安全协议工作组，来制定•缺乏对传输数据的完整性和机密性保护的机制和推动一套称为Ipsec的IP安全协议标准。•由于IP地址可软件配置以及基于源IP地址的鉴别•1995年8月公布了一系列关于IPSec的建议标准机制，IP层存在：•1996年，IETF公布下一代IP的标准IPv6，把鉴业务流被监听和捕获、IP地

7、址欺骗、信息泄露和别和加密作为必要的特征，IPSec成为其必要的数据项篡改等攻击组成部分•幸运的是，IPv4也可以实现这些安全特性。3IPSec的应用IPSec的应用方式•IPSec为在LAN、WAN和Internet上的通讯提供•端到端（end-end):主机到主机的安全通信安全性•端到路由（end-router):主机到路由设备之间的安–分支办公机构通过Internet互连。(SecureVPN)全通信–通过Internet的远程访问。•路