第11章++网络安全

《第11章++网络安全》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、第11章网络安全11.1网络安全概述11.2数据保密技术11.3用户身份认证11.4访问控制11.1网络安全概述1.网络安全层次模型［4］［5］ISO/OSI―RM中定义了七个层次，不同的层次之间的功能虽有一定的交叉，但基本上是不同的，如传输层负责端到端的通信，网络层负责寻径，数据链路层则负责点到点的通信。从网络安全的角度出发，各层次的安全要求与措施也不完全相同，可构筑成网络安全的层次模型，如图11.1.1所示。图11.1.1网络安全层次模型2.网络安全体系结构网络安全体系结构的三维框架反映了信息系统安全的需求和可实现的体系结构特性，如图11.1.2所示。由图可见，三维指的是开放系统互连参考模

2、型、安全特性和系统单元。系统单元包括安全管理、信息处理单元、网络系统和物理(含行政)环境。ISO7498―2制定了安全管理机制，含安全域的设置和管理、安全管理信息库、安全管理信息的通信、安全管理应用程序协议以及安全机制与服务管理。信息处理单元是由多个端系统和若干中继系统(诸如交换机、路由器等)组成的。网络系统的安全为在开放系统通信环境下通信业务流的安全提供支持，包括安全通信协议、数据加密、安全管理应用进程、安全管理信息库、分布式管理系统等。物理环境与行政管理安全包括物理环境管理和人员管理、行政管理与环境安全服务配置和机制以及系统管理人员职责等。安全特性是基于ISO7498―2的安全服务与安全机

3、制。不同安全策略、不同安全等级的系统有不同的安全特性要求。图11.1.2网络安全体系结构框架3.安全服务与安全机制安全服务与安全机制指的是基于OSI的安全体系结构实现安全通信所必要的服务以及相应的机制。ISO7498―2描述了五种可选的安全服务：身份鉴别(Authentication)、访问控制(AccessControl)、数据保密(DataConfidentiality)、数据完整性(DataIntegrity)和不可否认(NonReputation)。与上述五种安全服务相关的安全机制有八种：加密机制(EncipherMechanisms)、访问控制机制(AccessControlMec

4、hanisms)、数字签名机制(DigitalSignatureMechanisms)、数据完整性机制(DataIntegrityMechanisms)、身份鉴别(认证)机制(AuthenticationMechanisms)、通信业务填充机制(TrafficPaddingMechanisms)、路由控制机制(RoutingControlMechanisms)、公证机制(NotarizationMechanisms)。此外，还有与系统要求的安全级别直接有关的安全机制，如安全审计跟踪(SecurityAuditTrail)、可信功能(TrustedFunction)、安全标号(SecurityL

5、abels)、事件检测(EventDetection)和安全恢复(SecurityRecovery)等。11.2数据保密技术数据保密就是采取多种复杂的措施对数据加以保护，以防第三方窃取、伪造或篡改数据。数据保密模型如图11.2.1所示。图11.2.1数据保密模型数据保密模型的明文P(Plaintext)是一段有意义的文字或数据，在发送方通过加密算法变换为密文C(Ciphertext)。密文是以加密密钥K为参数的函数，记作C=EK(P)。在接收方用以解密密钥K′为基础的解密算法，将密文还原为明文，即P=DK′［EK(P)］。若第三方能从传输通道上窃取有用信息，对原始信息未作更改，则称之为被动攻击

6、；若第三方不仅截取消息并篡改或伪造了消息，则称其为主动攻击。整个数据保密涉及两大关键技术：加密算法的研究与设计和密码分析(或破译)。二者在理论上是矛盾的。设计密码和破译密码的技术统称为密码学。11.2.1对称密钥密码技术对称密钥密码(SymmetricKeyCryptography)系统是一种传统的密码体制，其加密和解密用的是相同的密钥，即K=K′，可确保用解密密钥K′能将密码译成明文，DK′［EK(P)］=P。早期传统的密码体制常采用替换法和易位法。在此基础上，美国在1977年将IBM研制的组合式加密方法——数据加密标准(DES，DataEncryptionStandard)列为联邦信息标准

7、，该标准后又被ISO定为数据加密标准。对称密钥密码技术从加密模式上又可分为序列密码和分组密码。1.序列密码序列密码的基本原理是：通过有限状态机产生高品质的伪随机序列，对信息流逐位进行加密，得出密文序列，其安全强度完全取决于所产生的伪随机序列的品质。序列密码一直是在外交和军事场合涉密所用的基本技术之一。2.分组密码分组密码的基本原理是：将明文以组(如64比特为一组)为单元，用同一密钥和算法对每一组进