大学计算机网络技术实用教程-张怀中-大学教学资料课件PPT
收藏
资源目录
压缩包内文档预览：
编号：21836136
类型：共享资源
大小：20.86MB
格式：ZIP
上传时间：2019-09-06
上传人：QQ24****1780
认证信息
个人认证
王**（实名认证）
浙江
IP属地：浙江
25
积分
- 关 键 词：
-
大学计算机
网络技术
实用教程
张怀中
大学
教学
资料
课件
ppt
- 资源描述：
-
大学计算机网络技术实用教程-张怀中-大学教学资料课件PPT,大学计算机,网络技术,实用教程,张怀中,大学,教学,资料,课件,ppt
- 内容简介：
-
第7章 计算机网络安全本章学习目标计算机病毒的概念、特征和防范密码学概述和加密算法信息隐藏和数字水印防火墙的工作原理7.1 计 算 机 病 毒7.1.1 计 算 机 病 毒 的 历 史 及 定 义1计 算 机 病 毒 的 历 史 著 名 的 数 学 家、计 算 机 科 学 的 创 始 人 冯 诺 依 曼 早 在40 多 年 前 就 指 出，一 部 实 际 上 足 够 复 杂 的 机 器 具 有 复 制自 身 的 能 力。冯 诺 依 曼 提 出 的 这 种 可 能 性，最 早 是 在 科幻 小 说 中 出 现 的 。1975年，美国科普作家约翰布鲁勒尔写了一本名为“震荡波骑士”的书，在该书中，作者第一次描述了信息社会，而且计算机作为正义和邪恶双方斗争的工具，使之成为当年最佳畅销书之一。1977年夏天，托马斯捷瑞安的科幻小说“P-1的春天”描写了一种可以在计算机中互相传染的病毒，病毒最后控制了7000台计算机，造成了异常灾难。1983年，程序自我复制的机制秘密被公开，同年11月，美国计算机安全专家Fred Cohen在美国一次“计算机安全每周会议”上，将具有自我复制能力且寄生于其他程序之上的“活的”计算机程序编码实现的可能性问题提出来之后，伦艾德勒曼将其取名为计算机病毒。Fred Cohen经过在VAX/750机上连续8个小时的试验之后，将一种攻击VAX/750机的计算机病毒制造出来，从而成为世界上第一例在公开场合下进行病毒试验的事件。1988年11月2日下午5时1分59秒，美国康奈尔大学的计算机科学系研究生，23岁的莫里斯（Morris）将其编写的蠕虫程序输入计算机网络，在几小时内导致网络堵塞，运行迟缓，这个网络连接着大学、研究机关的155 000台计算机。1988年下半年，我国在统计局系统首次发现了“小球”（Ping Pong）病毒，它对统计系统影响极大。继小球病毒之后，随之又出现了大麻（stone）、巴基斯坦（brain）、黑色星期五（jerusalem）、磁盘杀手（diskkiller）、杨基都督（yankeedodle）、雨点（1701）、毛毛虫（1575）等病毒。当时在全国约有75%的计算机感染病毒。 从1993年开始，计算机病毒一改原有的表现形式，悄悄地侵入计算机系统，神出鬼没地进行感染，典型代表就是“幽灵”病毒。1995年，一种新型的计算机病毒即宏病毒出现。1998年，我国发现了一种CIH恶性计算机病毒，这种病毒是我国迄今为止发现的首例直接攻击、破坏硬件系统的计算机病毒。这种病毒可通过软件之间的相互拷贝进行传染，也可通过互联网络传输文件时进行传染。 1999年，一种叫BO黑客的病毒开始在我国互联网Chinanet传播，计算机一旦感染这种病毒，整个系统将在网上暴露无疑。因此，也称这种病毒也称为“后门”病毒。 3月24日，新蠕虫病毒“Ganda”出现。该病毒以邮件附件的形式传播，将自身组件嵌入在Win32 PE可执行文件中，并尽力避开反病毒软件的检测。该病毒进入系统后，一旦发现以virus，firewall，fsecure，symantec，mcafee，pc-cillin，trend micro，kaspersky，sophos，norton等字符为名称的进程（这些都是著名的反病毒软件），将立即中止该进程，先发制人把反毒软件干掉。反病毒软件失效后，该病毒就可以顺利逃避反病毒软件的检测。 Ganda蠕虫病毒是在伊拉克战争爆发时传播的，病毒会用许多与伊拉克战争有关的邮件主题吸引大家的兴趣，譬如，一张希望终止间谍侦察行动的动画，一个关于乔治布什的屏保，一幅执行特殊侦察任务的美国的某侦察卫星的特写镜头等。病毒利用这些伎俩，诱使你打开附件中招。7.1.2 计算机病毒的特征 “计算机病毒”不是天然存在的，而是人故意编制的一种特殊的计算机程序。这种程序具有如下特征：感染性、流行性、繁殖性、变种性、潜伏性、针对性、表现性。1感染性 计算机病毒可以从一个程序传染到另一个程序，从一台计算机传染到另一台计算机，从一个计算机网络传染到另一个计算机网络，或在网络内各个系统上传染、蔓延，同时使被感染的程序、计算机、网络成为计算机病毒的生存环境及新的传染源。 2流行性 一种计算机病毒出现之后，可以影响一类计算机程序、计算机系统和计算机网络，并且这种影响在一定的地域内或者一定的应用领域内是广泛的。3繁殖性 计算机病毒在传染系统之后，可以利用系统环境进行繁殖或称之为自我复制，使得自身数量增多。4变种性 计算机病毒在发展、演化过程中可以产生变种。5潜伏性 计算机病毒在感染计算机系统后，发作条件满足前，病毒可能在系统中没有表现症状，不影响系统的正常使用。6针对性 一种计算机病毒并不能感染所有的计算机系统或程序，如：有的感染IBM PC及兼容机，有的感染APPLEII计算机，有的感染COMMAND.COM或EXE程序。7表现性 计算机病毒感染系统后，被传染的系统在病毒表现及破坏部分被触发时，表现出一定的症状，如：显示屏异常、系统速度慢、文件被删除、死机等。7.1.3 计算机病毒的工作原理 计算机病毒传染的过程是这样的：病毒一般利用操作系统的加载机制或引导机制从带毒载体进入内存。当系统运行一个带毒文件或用一带毒系统盘启动时，病毒就进入内存。而从RAM侵入无毒介质则利用了操作系统的读写磁盘中断或加载机制。内存中的病毒时刻监视着操作系统的每一个操作，一旦该操作满足病毒设定的传染条件（通常为访问一无毒盘或加载一无毒文件等），病毒程序便将自身代码拷贝到受攻击目标上去，使之受传染。 病毒传染一般是利用其自身的传染机制实现的，是病毒的主动攻击。常见的还有另一种传染方式，例如，把一个带病毒的文件拷贝到一新盘上去或对一个带毒盘作全盘拷贝都会使新盘受到传染，这种传染是一种被动传染，这期间病毒的传染机制并没起作用。主动传染和被动传染在效果上是等效的，后者的成功取决于用户对病毒的存在没有察觉。 1计算机病毒的传染过程（1） 驻入内存。病毒停留在内存中，监视系统的运行，选择机会进行传染。这一步通常由引导模块实现，如果没有引导模块，则这一步也不会有 （2）判断传染条件。传染模块被激活后，会马上对攻击目标进行判断，以决定是否进行传染。（3）传染。通过适当的方式把病毒写入磁盘，同时保证被攻击的对象（引导记录、原执行文件）仍可正常运行，即进行的是传染而非破坏，因为病毒要以一个特洛伊木马的形式寄生。 计算机病毒的传播途径有如下几种形式。 通过软盘：通过使用外界被感染的软盘进行传播。通过光盘：一些软件在写入光盘前就已经被病毒感染，这种带毒的光盘也是病毒传播的一种途径。2计算机病毒的分类根据病毒存在的载体，病毒可以划分为网络病毒、文件病毒和引导型病毒。 网络病毒通过计算机网络传播感染网络中的可执行文件，文件病毒感染计算机中的文件（如com，exe，doc等），引导型病毒感染启动扇区（Boot）和硬盘的系统引导扇区（MBR）。 （1）标准1：病毒存在的载体。 还有这三种情况的混合型，例如：多型病毒（文件和引导型）感染文件和引导扇区两种目标，这样的病毒通常都具有复杂的算法，它们使用非常规的办法侵入系统，同时使用了加密和变形算法。 （2）标准2：病毒的破坏能力 根据病毒破坏的能力可将病毒划分为以下几种。无害型：除了传染时减少磁盘的可用空间外，对系统没有其他影响。无危险型：这类病毒仅仅是减少内存、显示图像、发出声音等。危险型：这类病毒在计算机系统操作中造成严重的错误。非常危险型：这类病毒删除程序、破坏数据、清除系统内存区和操作系统中重要的信息。 （3）标准3：病毒特有的算法。 根据病毒特有的算法，可以将病毒划分为伴随型病毒、“蠕虫”型病毒、寄生型病毒。1）伴随型病毒。这一类病毒并不改变文件本身，它们根据算法产生EXE文件的伴随体，同EXE文件具有同样的名字和不同的扩展名（COM），例如：XCOPY.EXE的伴随体是XCOPY.COM。病毒把自身写入COM文件而并不改变EXE文件，当DOS加载文件时，伴随体优先执行，再由伴随体加载执行原来的EXE文件2）“蠕虫”型病毒。这类病毒通过计算机网络传播，不改变文件和资料信息，利用网络从一台机器的内存传播到其他机器的内存。有时它们在系统存在，一般除了内存不占用其他资源。3）寄生型病毒。除了伴随型和“蠕虫”型，其他病毒均可称为寄生型病毒。它们依附在系统的引导扇区或文件中，通过系统的功能进行传播，按算法可以分为练习型病毒、诡秘型病毒和变型病毒。练习型病毒自身包含错误，不能进行很好的传播，例如一些病毒尚在调试阶段；诡秘型病毒一般不直接修改DOS中断和扇区数据，而是通过设备技术和文件缓冲区等DOS内部修改，不易看到资源，使用比较高级的技术，利用DOS空闲的数据区进行工作。变型病毒，又称幽灵病毒，这一类病毒使用一个复杂的算法，使自己每复制一份都具有不同的内容和长度。一般的作法是由一段混有无关指令的解码算法和被变化过的病毒体组成。7.1.4 病毒检测的方法 在与病毒的对抗中，及早发现病毒很重要。早发现，早处置，可以减少损失。检测病毒的方法有特征代码法、校验和法、行为监测法、软件模拟法，这些方法依据的原理不同，实现时所需的开销不同，检测范围不同，各有所长 。1特征代码法 特征代码法早期被应用于SCAN、CPAV等著名病毒检测工具中。国外专家认为特征代码法是检测已知病毒的最简单、开销最小的方法。特征代码法的实现步骤如下：（1）采集已知病毒样本，病毒如果既感染COM文件，又感染EXE文件，对这种病毒要同时采集COM型病毒样本和EXE型病毒样本。（2）在病毒样本中，遵从一定的原则抽取特征代码，并存入病毒数据库中。（3）打开被检测文件，在文件中搜索，检查文件中是否含有病毒数据库中的病毒特征代码。抽取特征代码的原则是，抽取的代码要比较特殊，不要与普通正常程序代码吻合。抽取的代码要有适当的长度，一方面要维持特征代码的惟一性，另一方面又不要有太大的空间与时间的开销。如果一种病毒的特征代码增长一字节，那么要检测3000种病毒，增加的空间就是 3000字节。在保持惟一性的前提下，尽量使特征代码长度短些，以减少空间与时间开销。 特征代码法的特点如下：速度慢。随着病毒种类的增多，检索时间变长。如果检索5000种病毒，必须对5000个病毒特征代码逐一检查。如果病毒种数再增加，检索病毒的时间开销就变得十分可观。此类工具检测的高速性，将变得日益困难。误报警率低。 不能检查多态性病毒。特征代码法是不可能检测多态性病毒的。国外专家认为多态性病毒是病毒特征代码法的索命者。 不能对付隐蔽性病毒。隐蔽性病毒如果先进驻内存，后运行病毒检测工具，隐蔽性病毒能先于检测工具，将被查文件中的病毒代码剥去，检测工具的确是在检查一个虚假的“好文件”，而不能报警，被隐蔽性病毒所蒙骗 2校验和法 对正常文件的内容计算其校验和，将该校验和写入文件中或写入别的文件中保存。以后定期地或在每次使用文件前，检查根据文件现在的内容计算出的校验和与原来保存的校验和是否一致，就可以发现文件是否感染病毒，这种方法叫校验和法。它既可发现已知病毒，也可发现未知病毒。在SCAN和CPAV工具的后期版本中除了用病毒特征代码法之外，还引入了校验和法，以提高其检测能力。 校验和法也有不足 其一，它不能识别病毒种类，不能报出病毒名称。而且由于病毒感染并非是文件内容改变的惟一的非他性原因，文件内容的改变有可能是正常程序引起的，所以校验和法常常误报警，而且此种方法也会影响文件的运行速度。 其二，校验和法对隐蔽性病毒无效。隐蔽性病毒进驻内存后，会自动剥去染毒程序中的病毒代码，使校验和法受骗，对一个有毒文件算出正常校验和。校验和法查病毒的方式有：在检测病毒工具中纳入校验和法，对被查的对象文件计算其正常状态的校验和，将校验和值写入被查文件中或检测工具中，而后进行比较。 在应用程序中，放入校验和法自我检查功能，将文件正常状态的校验和写入文件本身，每当应用程序启动时，比较现行校验和与原校验和值，实现应用程序的自检测。 将校验和检查程序常驻内存，每当应用程序开始运行时，自动比较检查应用程序内部或别的文件中预先保存的校验和。 3行为监测法利用病毒的特有行为特性来监测病毒的方法，称为行为监测法。 通过对病毒多年的观察研究发现，有一些行为是病毒的共同行为，而且比较特殊。在正常程序中，这些行为比较罕见。这样当程序运行时，监视其行为，如果发现了病毒行为，则立即报警。作为监测病毒的行为特征如下： （1）占有INT13H的所有的引导型病毒，都攻击Boot扇区或主引导扇区。系统启动时，当Boot扇区或主引导扇区获得执行权时，系统刚刚开工。一般引导型病毒都会占用INT13H功能，因为其他系统功能尚未设置好，无法利用。引导型病毒占据INT13H功能，在其中放置病毒所需的代码。2）修改DOS系统数据区的内存总量，病毒常驻内存后，为了防止DOS系统将其覆盖，必须修改系统内存总量。 （3）对COM、EXE文件做写入动作，病毒要感染，必须写COM、EXE文件。（4）病毒程序与宿主程序的切换，染毒程序在运行中，先运行病毒程序，而后执行宿主程序。在两者切换时，有许多特征行为。 行为监测法的长处是可以发现未知病毒，不足之处是可能误报警，不能识别病毒名称，实现时有一定难度。7.1.5 计算机病毒发展的主要动向和传播蔓延的主要原因、防治策略计算机病毒发展的主要趋势有： 病毒的多形化。这类病毒可使以往的搜索病毒程序失去搜索效能，常常产生漏杀现象。病毒产生的自动化。“病毒生产机”的出现，导致了“同族”病毒数量巨增，增加了反病毒的难度 病毒的智能化。未来的病毒将通过变化自身代码来对抗反病毒产品，这种变形技术，是智能化病毒的首要基本特征；病毒的政治化。未来的病毒将成为国际恐怖活动的主要手段之一，通过病毒诈骗、勒索实施政治及人身攻击等；病毒的军用化 导致计算机病毒传播蔓延的主要原因有两种： 一是计算机系统软硬件的脆弱性，二是人为因素。 现代计算机系统，尤其是计算机系统是安全性、开放性及制造成本的一种折中。同时，就软件环境而言，计算机操作系统是经过多年开发研制成功的，是在不断应用的过程中逐渐成熟的，是在实际应用中发现问题、解决问题进而得以完善的，所以操作系统在一定程度上存在“漏洞”。 正是这种硬件的折中和操作系统的不尽完善使得计算机本身在安全方面必然存在着脆弱性。无疑，这种脆弱性是当今计算机病毒蔓延的主要原因。 另外，加上人们安全意识淡薄，安全制度不健全，安全技术防范措施薄弱，系统安全防御能力不强，病毒的种类和花样不断增多和翻新，计算机系统将面临更严峻的考验。 对计算机病毒的防治，要从防毒、查毒、解毒三方面进行。系统对于计算机病毒的实际防治能力和效果也要从防毒能力、查毒能力和解毒能力三方面评判。防毒是指根据系统特性，采取相应的系统安全措施预防病毒侵入计算机；查毒是指对于确定的环境，能够准确地报出病毒名称，这里的环境包括内存、文件、引导区（含主导区）、网络等；解毒是指根据不同类型病毒对感染对象的修改并按照病毒的感染特性所进行的恢复。该恢复过程不能破坏未被病毒修改的内容。感染对象包括内存、引导区（含主引导区）、可执行文件、文档文件、网络等。 防毒能力是指预防病毒侵入计算机系统的能力。通过采取防毒措施，应可以准确地、实时地监测预警经由光盘、软盘、硬盘不同目录之间、局域网、因特网（包括FTP方式、E-mail、HTTP方式）或其他形式的文件下载等多种方式进行的数据传输；能够在病毒侵入系统时发出警报，记录携带病毒的文件，并即时清除其中的病毒；对网络而言，能够向网络管理员发送关于病毒入侵的信息，记录病毒入侵的工作站，必要时还要能够注销工作站，隔离病毒源。 查毒能力是指发现和追踪病毒来源的能力。通过查毒应该能准确地发现计算机系统是否感染病毒，并准确查找出病毒的来源，并能给出统计报告。查解病毒的能力由查毒率和误报率来衡量。 解毒能力是指从感染对象中清除病毒，恢复被病毒感染前的原始信息的能力。解毒能力由解毒率来衡量。7.2 密码学概述和加密算法7.2.1 概述 数据加密是计算机安全领域的重要内容。其基本思想是通过变换信息的表示形式来保护敏感信息，使非授权者不能了解被保护的内容。密码技术包括密码设计、密码分析、密钥管理、验证技术等。历史上的密码设备种类繁多，举例如下: Phaistos圆盘，一种直径约为160mm的Cretan-Mnoan粘土圆盘，始于公元前17世纪。表面有有明显字间空格的字母，至今还没有被破解。二战中美国陆军和海军使用的条形密码设备M-138-T4。根据1914年Parker Hitt的提议而设计。25个可选取的纸条按照预先编排的顺序编号和使用，主要用于低级的军事通信。Kryha密码机，大约在1926年由Alexander vo Kryha发明。这是一个多表加密设备，密钥长度为442，周期固定。由数量不等齿的轮子引导密文轮不规则运动。哈格林（Hagelin）密码机C-36，由Aktiebolaget Cryptoeknid Stockholm于1936年制造密钥周期长度为3900255。 在线密码电传机Lorenz SZ 42，大约在1943年由Lorenz A.G制造。英国人称其为tunny，用于德国战略级陆军司令部。SZ 40/SZ 42加密因为德国人的加密错误而被英国人破解，此后英国人一直使用电子COLOSSUS机器解读德国信号。 以下是一些常用术语的解释。（1）加密和解密。数据加密的基本过程包括加密和解密，加密是将原来的可读信息（明文）翻译成不可读信息（密文），解密是加密的逆过程，将隐藏的不可读信息转化为其原来的形式的过程。（2）加密算法和解密算法、密钥。对明文进行加密时采用的一组规则称为加密算法，对密文解密时采用的一组规则称为解密算法，加密算法和解密算法通常都是在一组密钥控制下进行的，分别称为加密密钥和解密密钥，保密性是基于密钥而不是基于算法的。（3）对称密码体制和非对称（公开）密码体制。若加密密钥和解密密钥相同或者能从加密密钥推导得出解密密钥，称为对称密码体制。若加密密钥和解密密钥不同并且从一个密钥不能推导出另一密钥，称为公开密码体制。密码体制由加密算法和解密算法决定。密码编码系统的分类可以按照不同的标准进行。1）按将明文转换为密文操作的类型。分为替代、置换、乘积等。2）按所使用密钥的数量。分为单个、多个、公开等。3）按明文处理的方式。分为分组、流等。7.2.2 经典加密技术经典加密技术主要有两种：替代技术：明文的字母由其他字母或数字或符号所代替。如果该明文为一个比特序列，则替代涉及到用密文比特模式代替明文比特模式。置换技术：通过对明文字母的某种置换，取得一种类型完全不同的映射。这种技术称为置换密码 （1）恺撒密码。相传为古罗马恺撒（Julius Caesar）发明，用于军事。明文中每个字母化为其后第三个字母，即得密文。明文：meet me after the toga party密文：PHHW PH DIWHU WKH WRJD SDUWB（2）单一字母替代法密码。26个字母进行无规则的一一映射，克服了恺撒密码过于简单的缺点。例如：映射关系为Plain：a b c d e f g h i j k l m n o p q r s t u v w x y z Cipher：DKVQFI B JWPESCXHTMYAUO LR G Z N若明文Plaintext为：ifwewishtoreplaceletters则密文Ciphertext为：WIRFRWAJUHYFTSDVFSFUUFYA7.2.3 现代密码技术1对 称 密 钥 算 法 目前使用最广泛的加密方法都基于1977年被美国标准局批准的数据加密标准DES（Data Encryption Standard）。它是由IBM公司在1970年提出的一个对称密钥算法。在DES中数据以64位分组进行加密，密钥长度为56位。加密算法经过一系列的步骤把64位的输入变成64位的输出，解密过程中使用同样的步骤和同样的算法。 DES的基本原理是混淆和散布。所谓混淆就是将明文转换成其他的样子，而散布则是指明文中的任何一个小地方的变更将扩散到密文的各个部分。散布机制试图使明文和密文之间的统计关系尽量复杂，以便挫败推测密码的尝试。混淆试图使密文的统计特性与加密密钥的取值之间的关系尽量复杂，同样是为了挫败发现密钥的尝试。 在现代密码算法中，替代和置换是用简单的电路（或计算机程序）对二进制比特位实现。P盒对应于置换，用来改变8位输出线的输出排列顺序，S盒对应于替代，用来将一组二进制位替换另一组二进制位。 明文或密钥一个比特的变化应该引起密文许多比特的改变，这就是雪崩效应。如果改变得太小，就可能找到一种方法减小有待搜索的明文和密钥空间的大小。DES有很强的雪崩效应。下面的明文只差一个比特。明文1：00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000明文2：10000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000设密钥：0000001 1001011 0100100 1100010 0011100 0011000 0011100 0110010 结果：整个循环结束后，两个密文有34个位置不同，真是“差之毫厘，谬以千里”！ 自从DES问世至今，对它进行各式各样的研究分析并未发现其算法上的破绽。从目前的研究结果看，除了穷举搜索攻击之外没有更好的方法破译DES。穷举搜索是指破译者在得到一组明文/密文的情况下，可穷举所有密钥对明文进行加密，直到得到的密文与已知的明文/密文对中相符为止。Rocker Verser在1997年1月29日RSA公司进行的名为“秘密密钥挑战”的竞赛中，开发了一个破译软件，并组织了一个名为DESCHELL的小组。经过96天的协作努力，终于成功破译了DES。DESCHELL通过Internet从整个密钥空间（256）中分发一小段密钥空间给参与的每一台计算机，利用网络上的每一台计算机尝试密钥。遍及美国的数万台计算机加入了破译。这是历史上第一次有人公开声明能破译DES加密。因此DES已经不安全了。 112位密钥被认为是安全的，足以抵御密钥穷举攻击。使用DES对数据进行两次加密，每次使用不同的密钥看来是个可行的方法，但是分析表明不能达到预期的目的。真正有效的方法是使用两个56位的密钥进行三次DES运算。首先使用K1加密明文，再使用K2解密，最后使用K1再次加密。恢复明文的过程也使用三次DES运算。对称密码体制的缺点有：（1）如果没有事先的约定，则不可能与他人通信。（2）对于一个完备的通信网，需要密钥数量很大，n个通信方需要n(n-1)/2个密钥。（3）不能提供法律证据，不具备签名功能。2非对称（公开）密码算法而公开密码体制（即非对称密码体制）则可以解决上述问题。 1976年Diffie和Hellman提出了非对称密码体制的思想，加密过程和解密过程具有不同的算法和密钥，当算法公开时，在计算上不可能由加密密钥求出解密密钥，只需由接收方保存解密密钥。在公开密钥体制中，每一个用户都有两个密钥，一个公开密钥和一个秘密密钥。在向该用户发送加密消息前，先获得他的公开密钥，然后用这个公开密钥对明文进行加密，用户在收到密文后，用秘密密钥还原出明文。公开密码体制的优点是：（1）密钥分发简单。（2）秘密保存的密钥量减小。（3）在两个互不信任的双方之间，可以采用验证技术验证对方的身份。（4）可以实现数字签名。 在基于公钥体系的安全系统中，密钥是成对生成的，每对密钥由一个公钥和一个私钥组成。在实际应用中，私钥由拥有者自己保存，而公钥则需要公布于众。为了使基于公钥体系的业务（如电子商务等）能够广泛应用，一个基础性的关键问题就是公钥的分发与管理。公钥本身并没有什么标记，仅从公钥本身不能判别公钥的主人是谁。 互联网络的用户群决不是几个人互相信任的小集体，在这个用户群中，从法律角度讲用户彼此之间都不能轻易信任。所以公钥加密体系采取了另一个办法，将公钥和公钥的主人名字联系在一起，再请一个大家都信得过的，有信誉的公正、权威机构确认，并加上这个权威机构的签名，这就形成了证书。由于证书上有权威机构的签字，所以大家都认为证书上的内容是可信任的；又由于证书上有主人的名字等身份信息，因此别人就很容易地知道公钥的主人是谁。 CA（Certificate Authority）即电子签证机关。CA拥有一个证书（内含公钥），也有自己的私钥，所以它有签字的能力。网上的公众用户通过验证CA的签字从而信任CA，任何人都应该可以得到CA的证书（含公钥），用以验证它所签发的证书。如果用户想得到一份属于自己的证书，他应先向CA提出申请。在CA判明申请者的身份后，便为他分配一个公钥，并且CA将该公钥与申请者的身份信息绑在一起，并为之签字后，便形成证书发给那个用户。 CA除了签发证书之外，它的另一个重要作用是证书和密钥的管理。1978年，美国MIT的Rivest、Shamir和Adleman在题为获得数字签名和公开钥密码系统的方法的论文中提出了基于数论的非对称密码体制，称为RSA密码体制。RSA是建立在“大整数的素因子分解是困难问题”的基础上的，是一种分组密码体制 。RSA使用两个密钥，一个公共密钥，一个专用密钥。如用其中一个加密，则可用另一个解密，密钥长度从40到2048位可变。加密时也把明文分成块，块的大小可变，但不能超过密钥的长度。RSA算法把每一块明文转化为与密钥长度相同的密文块。密钥越长，加密效果越好，但加密解密的开销也大，所以要在安全与性能之间折衷考虑，一般64位是较合适的。RSA的一个比较知名的应用是SSL，在美国和加拿大SSL用128位RSA算法，由于出口限制，在其他地区（包括中国）通用的是40位版本。RSA密码算法密钥的产生示例： （1）任选两个素数如p=7，q=17。 （2）计算n=pq=717=119。 （3）计算(n)=(p-1)(q-1)=96。 （4）选择一个e，它小于(n)且与(n)=96互质，如取e=5。 （5）求出d，使得d=1mod 96且d y.y.y.y，3389 PR tcp len 20 48 -S IN 防火墙仅仅记录了11月23日14点13分防火墙阻拦了从IP地址x.x.x.x，端口4131来的， 目的端口是3389，目的IP是y.y.y.y的包头为20字节，净荷长度为28字节的数据包。至于这个数据包的内容是什么，防火墙不会理会，而这恰恰对安全管理员来说是至关重要的。因为即使是一个非常优秀的系统管理员，一旦陷入大量的通过/屏蔽的原始数据包信息中，往往也是难以理清头绪的，当发生安全事件时会给管理员的安全审计带来很大的困难。（3）所有有可能用到的端口都必须静态放开，对外界暴露，从而极大地增加了被攻击的可能性，这个问题一个很好的例子就是UNIX下的危险的RPC服务，它们工作在高端口，针对这些服务的攻击程序在互联网上异常流行。（4）如果网络结构比较复杂，那么对管理员而言配置ACL将是非常繁琐的事情。当网络发展到一定规模时，ACL出错几乎是必然的。2应用级网关型防火墙应用级网关（Application Level Gateways）是在网络应用层上建立协议过滤和转发功能。它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计形成报告。实际中的应用网关通常安装在专用工作站系统上。应用网关和数据包过滤防火墙有一个共同的特点，就是它们仅仅依靠特定的逻辑判定是否允许数据包通过。一旦满足逻辑，则防火墙内外的计算机系统建立直接联系，防火墙外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这有利于实施非法访问和攻击。3代理服务型防火墙代理服务（Proxy Service）也称链路级网关或TCP通道（Circuit Level Gateways or TCP Tunnels），也有人将它归于应用级网关一类。它是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨越防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的“链接”，由两个终止代理服务器上的“链接”来实现，外部计算机的网络链路只能到达代理服务器，从而起到了隔离防火墙内外计算机系统的作用。代理服务也对过往的数据包进行分析、注册登记，形成报告，同时当发现被攻击
- 温馨提示:
1: 本站所有资源如无特殊说明，都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
2: 本站的文档不包含任何第三方提供的附件图纸等，如果需要附件，请联系上传者。文件的所有权益归上传用户所有。
3.本站RAR压缩包中若带图纸，网页内容里面会有图纸预览，若没有图纸预览就没有图纸。
4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
5. 人人文库网仅提供信息存储空间，仅对用户上传内容的表现方式做保护处理，对用户上传分享的文档内容本身不做任何修改或编辑，并不能对任何下载内容负责。
6. 下载文件中如有侵权或不适当内容，请与我们联系，我们立即纠正。
7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。
人人文库网所有资源均是用户自行上传分享，仅供网友学习交流，未经上传用户书面授权，请勿作他用。
川公网安备: 51019002004831号