（计算机应用技术专业论文）基于linux主机ipv6防火墙的设计与实现.pdf

摘要 摘要 随着i n t e r n e t 在社会各个领域的不断推广，以及骇人听闻的“网络黑客”事 件的时有发生，使得曾经被我们忽视了的“网络安全”正日益受到业界的关注和 重视。造成i n t e r n e t 网络不安全局面的原因很多，网络攻击和非法入侵的手段也 很多，但是究其根本原因，是缺乏一个能保证网络高度安全的防火墙。 i n t e r n e t 网络现在所采用的是i p v 4 协议，但由于i p v 4 协议存在着这样和那 样的缺点，i p v 6 协议已经成为未来网络协议发展的必然趋势，这也为设计防火 墙系统提供了一个新思路。本文提出了一种基于l i n u x 的防火墙和入侵检测技术 ( i d s ) $ d 结合来保证网络安全的解决方案，即在l i n u x 系统下i p v 6 防火墙的设计 与实施。 本文从网络安全的现状谈起，探讨了网络安全的主要威胁因素和相应的攻击 手段，同时也归纳了针对这些威胁因素和攻击手段而采取的提高网络安全的安全 措旌和技术手段。接下来的内容共分为三部分，就网络安全的解决方案进行了深 入的研究和探讨，并设计和实现了该防火墙系统。 第一部分包括第二章，主要按照软件工程的实现方式围绕系统的实现展开讨 论，包括总体设计、需求分析、系统实现步骤、软硬件环境以及系统所要实现的 功能。最后对系统实现的软硬件环境的原理和发展趋势进行探讨。 第二部分针对系统的总体设计和需求分析，对该防火墙系统实现的原理和具 体的实现过程进行了讲述，它包括第三章和第四章。其中，第三章提出了防火墙 系统实现的总体结构，主要对数据包嗅探器( s n i 腩r ) 、数据分析处理、数据库操 作、流量统计的结构与原理进行分析，重点讲述了该防火墙系统向i p v 6 移植的 原理；第四章则综合以上的理论和原理分析，分别对数据包捕获模块、数据处理 模块、规则设置模块、数据库查询模块和流量统计模块进行设计和实现，并着重 讲述了向i p v 6 移植的实现过程。 第三部分对该防火墙系统进行测试，并且根据这些结果，分析了现有系统的 不足和以后需要解决的问题。包括第五章和第六章，其中第五章讲述了防火墙系 统实现以后的运行界面及运行结果，以及向i p v 6 的移植以后对系统的测试过程： 第六章对所实现的系统提出了改进意见，并对以后i p v 6 防火墙技术的发展进行 展望。 【关键字l 网络安全包过滤防火墙数据包捕获l i n u xi p v 6 移植 a b s t r a c t w i t ht h e p o p u l a r i z a t i o n o fi n t e r n e ti n m a n yf i e l d s ，m o r e a n dm o r e a p p l i c a t i o no fi n t e r n e th a sb e e na d o p t e d a n dw e o f t e nh e a r ds o m eb a dn e w s a b o u th a c k e r sa n dc r a c k e r s ，w h oh a db r o k e ni n t oc o m p u t e r sa n ds y s t e m s a g a i n s ot h e s e c u r i t y o fn e t w o r ki sm o r ei m p o r t a n tn o w a d a y s ，a n di ti s b e c o m i n gaf o c u so fi n t e r n e t w h yi s i n t e r n e ts of r a n g i b l e ? a f t e ra n a l y z i n g m a n ye v e n t s o fn e t w o r ka t t a c k sa n di n v a l i di n t r u s i o n s ，w ef o u n dt h a tt h e f r a n g i b i l i t y o fi n t e r n e ti sd u et ol a c ko ft h ef i r e w a l lt o p r o t e c tt h e n e t w o r k s e c u r i t y a sy o uk n o w i n t e r n e tn o w a d a y sb a s e so nt h ei p v 4p r o t o c 0 1 w h i c hh a s s o m ei m p e r f e c t i p v 6w i l lb et h en e c e s s a r yd e v e l o p e dc u r r e n ti nt h ef u t u r e ，a s i st h en e w t h o u g h to fd e s i g n i n gf i r e w a l ls y s t e m st h i sd i s s e r t a t i o np u tf o r w a r d ar e s o l v a b l em e a n so fi n t e g r a t i n gi n t of i r e w a l la n di d st o p r o t e c tn e t w o r k s e c u r i t y t h a ti st h ed e s i g na n di m p l e m e n t o fi p v 6f i r e w a l li nl i n u x a tt h eb e g i no ft h ed i s s e r t a t i o n ，w eh a sd i s c u s s e dt h es t a t eo fs e c u r i t yo n i n t e r n e t ，a n a l y z e dt h e f a c t o r sc a u s e df r a n g i b i l i t yo fi n t e r n e t ，a n di n t r u d es o m e m e a n su s e dt o p r o v i d es e c u r i t y s e r v i c e sf o ri n t e r n e t a f t e rt h a t ，t h i s d i s s e r t a t i o nf o c u s0 1 3s e c u r en e t w o r ka c c e s sa n d d e s i g n i n ga n di m p l e m e n t i n g t h ef i r e w a l ls y s t e ma sf o l l o w s f i r s t l y ，w e h a v es u m m a r i z e ds o m em e a n sa n dm e t h o d so ff i r e w a l l i m p l e m e n ta c c o r d i n gt os o f t w a r ee n g i n e e r i n gi nd e t a i la tc h a p t e r i i i tc o n t a i n s c o l l e c t i v i t yd e s i g n ，d e m a n da n a l y s i s ，s y s t e mi m p l e m e n t ，s o f t w a r e a n d h a r d w a r es i t u a t i o na n dt h er e s u l t so fs y s t e m t h e nw ed i s c u s s e dt h ep r i n c i p l e a n dd e v e l o pc u r r e n to fs o f t w a r ea n dh a r d w a r e s e c o n d l y ，w ed i s c u s s e dt h er e a l i z a t i o np r i n c i p l ea n dc o n c r e t e l yp r o c e s so f f i r e w a l ls y s t e m a tc h a p t e ri i t w es u g g e s t e ds o m e c o n f i g u r a t i o na n de f f e c t i v e p r i n c i p l es u c ha ss n i f f e r , d a t aa n a l y z ea n dt r a n s a c t d a t a b a s eo p e r a t ea n d f l u x s t a t i s t i c s ，a n dt h ep r i n c i p l eo ft r a n s p l a n tt oi p v 6 a c c o r d i n gt ot h e s et h e o r ya n d p r i n c i p l e s ，w ei m p l e m e n t e dap a c k a g e f i l t e rf i r e w a l lo fi p v 6a tc h a p t e ri v i nt h ee n d ，w eh a v et e s t e dt h ei p v 6f i r e w a l l s y s t e ma tc h a p t e rv ， e s p e c i a l l y t e s tt h ei p v 6s y s t e m a c c o r d i n gt ot h er e s u l t sw ea n a l y z e dt h e s h o r t a g e o ft h es y s t e ma n dp r o v i d e dt h er e s o l v em e t h o d s ，a n dp r o s p e c t e dt h e i p v 6f i r e w a l lt e c h n o l o g ya tc h a p t e rv i 【k e yw o r d s n e t w o r k s e c u r i t y , p a c k a g e f i l t e rf i r e w a l l ，s n i f f ，l i n u x ，i p v 6 r e p l a n t i i 第章绪论 第一章绪论 本章从网络安全的现状谈起，探讨了网络安全的主要威胁因素和相应的攻击 手段，同时也归纳了针对这些威胁因素和攻击手段而采取的提高网络安全的安全 措施和技术手段。然后，就此令人担忧的网络安全状况，介绍了与论文直接相关 的课题背景，以及开展该课题研究的重要意义。最后，给出了本论文的主要内容 和结构安排。 1 1 引论 随着计算机网络的不断发展，全球信息化已成为人类发展的大趋势，但由 于计算机网络具有连结形式多样性、终端分布不均匀和网络的开放型、互联性等 特性，致使网络易受黑客( h a c k e r ) 、恶意软件和其它不轨的攻击，所以网上信息 的安全和保密是一个至关重要的问题1 1 j 。 过去的一年是网络安全发展史上非同寻常的一年，因为这一年发生了系 列令整个世界震惊的“网络黑客”事件，在短短的几天之内黑客通过一种叫“分 布式拒绝服务”的攻击手段，使得美国数家顶级互联网站- - y a h o o 、b u y c o r n 、 e b a y 、a m a z o n c o m 、c n n 等遭受攻击，系统瘫痪达数小时之久，经济损失达1 2 亿美元以上。也正是这一“网络黑客”事件，为世人敲响了警钟，引起了各国政 府的高度重视。美国公布了份关于国家安全的报告，认为2 l 世纪对美国国家 安全最有威胁的就是网络恐怖主意，政府把网络安全提高到了国防建设的重要地 位；而新加坡政府在上述“网络黑客”事件发生不久，在其2 1 世纪新加坡防 卫政策中，明确提出把网络安全列入国防政策。所有这些政府行为，都说明了 网络安全的地位已经得到了极大的提高，这必将有力地促进网络安全地发展。 但是网络安全并没有得到足够地重视和合适的对待，网络安全技术仍然跟 不上网络发展地步伐，网络安全的整体水平亟待提高。 1 1 1 网络安全现状及特点 1 1 1 1 网络安全的现状【2 l 研究现阶段的网络安全状况，可以得出一个关于网络安全的清晰认识，形成 一种关于网络安全的正确观念，对于提高全民网络安全意识，增强我国网络安全 水平都有意义。因此。以下内容将就目前网络安全的方方面面进行归纳总结，有 助于认识目前的网络安全状况。 脆弱的互联网网站 第一章绪论 网络安全本来是互联网发展的基本目标之一，然而遗憾的是，几乎所有的网 站在建站开始及其发展过程中，发展的方向似乎都趋向于网络便利性、实用性， 而恰恰忽略了最不应该忽略的网络安全性。这实际上给网络的发展埋下了深深的 隐患，就象一颗定时炸弹，随时都有可能被形形色色的黑客引爆。因为这些网站 留下了太多的技术、管理和基础设施的漏洞，给黑客以太多的可乘之机。 尤其值得指出的是，随着“政府上网”、“企业上网”工程的实施，国内一大 批中小网站都应运而生，它们当中的很大一部分根本就没有一套完善的安全体系 做保障，缺乏安全管理、安全维护、安全运行机制，也没有专门的网络安全人员 进行专业管理和维护。 矛盾的网络安全意识 如今，社会的信息化、网络化已经成为整个社会发展的必然趋势，而网络安 全却是社会信息化、网络化过程中必须面临的事实。因此，人们的网络安全意识， 对于社会信息化、网络化的推进就显得非常重要。可遗憾的是，很多人都存在 一种矛盾的网络安全意识。他们认为如果花大量的人力和物力来考虑一个公司的 网络安全，要是不出问题，似乎这些投入的人力和物力就白费了；要是还出问题， 岂不是“陪了夫人又折兵”，它忽视了网络安全的一个特性，即网络安全是一种 以“防患于未然”为主要目标的安全防范、事实上所有的网络安全措施和机制都 不能保证绝对的安全，而只能提高相应的安全程度。这些极端的观点都不利于网 络的发展，中国国家信息安全评测认证中心主任吴士忠先生，在“2 1 世纪信息 安全研讨会”上曾特别强调一个观点：“要适度看待信息安全问题，既不可低估， 也不可高估”。 亟待加强的网络安全法规 非法破坏网络安全，非法入侵计算机系统，其实是一种计算机犯罪。而法律 控制作为犯罪控制中最有效果、最具有强制性的手段，理所当然地需要好好加以 利用。加强网络安全方面的法律法规建设，弥补现有法律法规的不足，加大宣传 力度，是提高我国网络安全水平的重要环节。 我国以出台了一系列关于网络安全、惩治计算机违法犯罪的法律法规。例如， 刑法中就有关于计算机犯罪的专门条款；在许多行政法中有包括中华人民 共和国计算机信息系统安全保护条例、计算机信息网络国际联网安全保护管理 办法等在内的法律法规。但是，现有立法远远不能适应控制计算机违法犯罪的 需要，经常在制裁计算机违法犯罪分子时显得软弱无力。因此，网络安全的法律 法规亟待加强。 层出不群的攻击手段 鲭一章绪论 网络的发展，尤其是互联网的发展，已经深入到了社会的各个方面，在带给 人们方便的同时，也带来了挥之不去的安全隐患。随着联网范围的扩大，也给黑 客带来了更大的活动空问，就拿“分布式拒绝服务”攻击手段来说，就是在原有 拒绝服务攻击手段的基础上，利用分布式技术，以及散布各地的受控主机所发起 的一种破坏力强的网络攻击手段。 随着网络技术的发展，互联网规模的不断增长，网络带宽的增加，软硬件平 台下新安全漏洞的发现，危害网络安全的攻击手段强日益先进，而且一旦发动攻 击，受害对象的受损程度也将更加严重。 1 1 1 2 网络安全的特点 纵观网络安全的历史和现状，我们可以看出网络安全大致上具有如下5 个特 点： 3 1 网络安全的设计面广 从网络安全所保护的对象来看，网络安全包括四个层次：国家安全，即如何 保护国家机密不受网络“黑客”的袭击而泄漏：商业安全，即如何保护商业机密、 企业资料不遭窃取：个人安全，即如何保护个人隐私；网络自身安全，即如何保 证接入网际网络的电脑不受病毒和恶意程序的侵袭而瘫痪。可以看到，网络安全 不仅仅涉及到如何运用适当的技术保护自己的保护对象，还涉及到与此相关的一 系列包括安全管理制度、安全法律法规在内的众多内容。 网络安全涉及的技术层面深 如今，互联网已经深入到了社会生活的各个角落。对个人而言，互联网改变 了人们的生活方式；对企业而言，互联网是企业能够尝试新的经营方式、营销方 式和内部管理机制；对政府而言，互联网可以帮助政府更好地执行各种政府职能， 服务民众。可以说，网络已经形成了一个跟现实社会紧密相关地虚拟社会，大量 的信息源、资金流和物流都运行其上，为了实现上述功能。网络本身就采取了众 多的新兴技术。此外，黑客所采用的攻击手段和技术很多都是些以前没有发现的 全新的系统漏洞，技术难度比较大。这一切都注定了网络安全所涉及的技术层面 不得不深。 网络安全的黑盒性 网络安全是一种以“防患于未然”为主的安全保护，这就注定了网络安全产 品的功能有些模糊，不像其它应用系统那么明确。国际上的各种认证机构，如我 国公安部网络安全检测中心，国际计算机安全协会 c s a 等机构的介入，对于安 全产品的定位和评价都有好处。 第一章绪论 网络安全的动态性 由于国内外黑客和病毒方面的技术日新月异，而新的安全漏洞也层出不群， 网络安全必须能够紧跟网络发展的步伐，适应新兴的黑客技术，唯有如此，才能 够确保网络的安全。国际上，把这种适应黑客和病毒发展技术的能力，作为评价 网络安全产品的一个重要标准。 网络安全的相对性 任何网络安全都是相对的，任何网络安全产品的安全保证都只能说是提高网 络安全的水平，而不能杜绝网络安全的所有事件。因此，现实中的网络安全领域， 失败是常有的事情，只是起用了网络安全防护系统的网络其遭到攻击的可能性低 一些，即使遭到攻击其损失也小一些而已。不过，随着安全基础设施建设力度的 加大，安全技术和安全意识的普及，想上网购物、电子交易等所需要的安全保障 还是可以达到我们可以接受的安全水平的。 1 1 1 3 造成目前网络安全问题的根本原因 看看目前互联网的网络安全现状，实在有点让人触目惊心。造成这种局面的 原因很多，网络遭受恶意攻击和非法入侵的手段也很多，但是从这些问题产生的 根本原因来讲，是由于没有一个可以保证网络高度安全的防火墙系统”1 。 首先，在网络中，信息是从一台计算机的存储系统流向另一台计算机的存储 系统，在大多数的情况下，信息离开信源后必须经过中继节点才能到达信宿主机。 在整个传输过程中，信息的发送者金额接受者只能对发送和接收过程加以控制， 而对中间传输过程则无权进行有效的控制。如果信息传输路由中存在不可信或具 有攻击者的中继结点机，信息的安全性就会受到严重的威胁。信息可能会被篡改、 窃取或伪造，因此计算机网络的信息传输机制本身就存在着一定的安全隐患。 其次，计算机网络的运行机制是一种协议机制，不同的节点之间的信息交换 是按照实现定义好的协议，通过交换协议数据单元完成的。对于每个节点来说通 信即意味着一系列从网络上到达的协议数据单元进行响应。而按照目前运行的网 络协议，协议数据单元并不能保证自身的真实性和完整性、同时，由于协议本身 固有的安全漏洞或协议实现中也会产生的安全漏洞，所有这些都会造成网络安全 问题。因此，网络协议本身也存在着一定的安全隐患。 1 1 2 网络安全的威胁因素及网络攻击手段 从以上的网络安全现状，可以看出网络安全问题已经成了互联网发展的主要 障碍，也是社会信息化、网络化的绊脚石。因此，明确网络安全的目标、了解主 第一章绪论 要的网络攻击手段、研究网络安全的主要威胁因素，对于加强网络系统的安全建 设、提高网络安全整体水平还是很有意义的。 1 1 2 1 网络安全的目标i s 网络安全从其本质上来讲，就是网络信息的安全。因此网络安全的目标就是 如何确保网络信息的安全，包括存储信息的安全和传输信息的安全两方面内容。 其中，存储信息的安全是指网络上的信息在静态存放下的安全，如禁止非授权访 问，以防止信息被非法删除、修改和读取。存储信息的安全目标一般是通过设置 访问权限、身份识别等访问控制技术，以及局部隔离等物理安全技术来保证的。 传输信息的安全主要是指网络信息在网络上动态传输过程的安全，为了达到 这一目标，就需要确保传输信息满足以下5 个网络安全特征： 机密性 信息不被泄漏给非授权用户、实体或过程，或供其利用的特性。当讨论网络 安全的时候，首先想到的就是信息的机密性。因为对个人而言，信息的机密性是 防止个人隐私不被侵犯、保护自身权利的重要保证。 完整性 信息未经授权不能进行改变的特性，即信息在存储或传输过程中保持不被修 改、不被破坏的特性。通俗地讲，信息的完整性就是保证信息在从信源到信宿传 输过程前后的一致性。 可用性 信息可被授权用户或实体访问并按需求进行使用的特性，即当需要时能否存 取所需的信息。例如网络环境下拒绝服务、破坏网络和有关系统的正常运行等都 属于对可用性的攻击。 真实性 信息的真实性是保证信息来源正确，防止信息伪造的特性，即对于由信息发 送者a 发往信息接受者b 的信息c 而言，信息的真实性保证了信息c 是来源于 信息发送者a ，而不是其它的发送者。 不可否认性 信息的不可否认性是建立有效的责任机制，肪止用户或实体否认其行为的特 性。换句话说，对于由信息发送者a 发送信息接受者b 的信息c 而言，信息的 不可否认性使得信息发送者a 不能抵赖曾经向信息接受者b 发送过信息c 。实 第一章绪论 际上，信息的不可否认性对于电子商务、电子贸易等网络行为而言是必不可少的。 1 1 2 2 常见的网络攻击手段 目前可供不法分子用来实现破坏网络安全的“黑客手段”已经数不胜数，而 且随时都有新的更先进的黑客手段出现；但是针对网络传输机制的网络攻击手段 仍然是危害网络安全的最主要的黑客手段。因此，从网络传输机制及信息在网络 传输过程中必须经过的有关操作方而来分析网络攻击的原理，对于完善我们的网 络安全系统，抵御常见的网络攻击将很有意义。 实际上，不法分子利用计算机系统和通信系统中的设计漏洞，盗取用户口令、 非法访问计算机中的信息资源、窃取机密信息、破坏计算机系统。安全攻击的种 类很多。但大致可以分为以下几种：【6 j 特洛伊木马( t r o j a nh o r s e s ) ：它很多于系统后台，不断监视所有键盘 输入，盗取用户标识和口令。 拒绝服务攻击( d e n i a lo fs e r v i c e ) ：拒绝服务攻击不损坏数据，而是 使系统无法为用户提供服务。 同步攻击( c ps y nf l o o d i n g ) ：在s y n 攻击中，攻击者的计算机不回应 其它计算机的a c k ，而是向它发送大量的s y na c k 信息。使其他人不能 进入该系统，从而导致了网络系统的崩溃。 i p 欺骗攻击( i ps p o o f i n ga t t a c k ) ：在这种攻击方式下，通常是一台外 部计算机伪装成网络内部的机器来获得某个服务器的通行证，从而取得 合法用户的访问权限。 w e b 欺骗攻击：攻击者伪装成w e b 服务器与用户进行安全对话，用户被 欺骗而给攻击者提供口令、信用卡以及其它有用的数据。 1 1 2 3 网络安全的威胁因素 顾名思义，网络安全的威胁因素是指危害网络安全，破坏网络安全目标的一 切因素。根据网络安全概念所指范围的不同，网络安全的目标也不一样，网络安 全的威胁因素也有所区别。为了更多地了解网络安全地不同威胁因素，以下讨论 将力求全面而细致，从广义范围上探讨网络安全地威胁因素。 网络安全所面临的威胁大体上可以分为两种：一种是对网络中信息的威胁； 另一种是对网络中设备的威胁。因为影响网络安全的因素很多，有些因素可能是 有意的，也可能是无意的；可能是人为的，也可能是非人为的；可能是内在安全 隐患造成的，也可能是由于外来黑客的攻击和非法入侵所造成的。不过，归纳起 第一章绪论 来针对网络安全的威胁因素主要又三类：【7 j 人为的无意失误 如操作员安全配置不当造成的安全漏洞，用户安全意识不强，用户口令选择 不慎，用户将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威 胁。 人为的恶意攻击 这是计算机网络所面临的最大威胁，黑客攻击和计算机犯罪就属于这一类。 此类攻击又可以分为以下两种：一种是主动攻击，它以各种方式又选择地破坏信 息的完整性和可用性；另一种是被动攻击，它是在不影响网络正常工作的情况下， 对网络上的信息进行截获、窃听、破译以获得重要的机密信息。这两种攻击均可 对网络造成极大的危害，可能使得网络上的机密数据泄漏出去，严重的甚至导致 整个网络系统的瘫痪。 各种网络软件的安全漏洞和“后门” 网络软件总是存在或多或少的安全缺陷和安全漏洞的，而这些安全缺陷和安 全漏洞恰恰是黑客进行攻击的首选目标。曾经出现过的黑客侵入网络内部的黑客 事件大部分就是因为网络系统本身安全测试不完善所招致的苦果。另外，许多软 件设计人员出于这样或那样的考虑，在软件中设置了不为一般人所知道的软件 “后门”，而事实上，这样的“后门”有可能被泄漏出去或者被黑客高手所发现， 一旦这些隐蔽的“后门”被洞开，其后果将不堪设想。 以上讨论只是从造成网络安全的原因方面，粗略地把威胁网络安全地因素进 行了归类，总的说来，网络安全的威胁包括如图l 一1 所示的5 种基本类型。 图1 一l网络安全威胁的5 种基本类型 第一章绪论 i i 3 提高网络安全的主要措施及技术手段 网络安全是一个系统的概念，要想增强网络系统的安全系数，不仅要建立以 网络安全技术( 如认证、授权、数据加密、访问控制等) 为基础的网络安全防护体 系，而且要有合适的网络系统安全策略和其它的安全措施。不过，建立在网络安 全技术基础之上的安全业务和现有的网络安全技术手段，是提高网络安全的有力 保证。 i i 3 1 增强网络安全的主要措施 在现有的网络安全系统中，增强网络安全主要是通过在网络系统中实施以下 几种安全业务来实现的。 认证业务 所谓“认证”是在允许访问数据之前确定一个节点或用户的合法性的过程。 它作为一种常见的安全业务，就是通过认证来提供对某个实体或某个事务合法身 份的真实确认的。认证业务是对付伪造网络攻击手段的有效办法。 数据完整性业务 数据完整性( d a t ai n t e g r i t y ) 是数据质量的一种测度，用来保证数据在不同 时刻的一致性，它是对付修改网络攻击手段的有力武器。 数据保密业务 数据保密业务是对机密信息所采取的一种安全手段，它保护网络系统中的敏 感数据不被泄漏给未被授权实体，它是对付窃听网络根据手段的有效办法。 访问控制业务 所谓“访问控制( a c c e s sc o n t r 0 1 ) ”是由硬件、软件和管理人员共同执行的 以预先建立的规则为基础的一套规程，用来监视访问、识别请求访问的用户、记 录访问次数，以及允许或拒绝用户访问网络系统资源。访问控制业务是通过采用 访问控制，以实现保护网络资源，防止未授权用户非法使用和操作网络数据安全 目的的一种安全措施。 不可否认业务 不可否认作为网络安全的主要特性之一，在很多场合都需要得到保证。不可 否认业务就是为了提供网络信息的不可否认性而采取的安全措施，它防止参与某 次通信交换的一方事后否认本次交换曾经发生过。它主要用来保护通信用户免遭 来自于系统其它合法用户的威胁，而不是来自未知攻击者的威胁。 第一章绪论 1 1 3 2 提高网络安全的技术手段【8 j 在实际的安全防护系统中，可以使用各种不同的安全应用来增强网络系统的 安全性。安全应用是由上面所说的安全业务中的一种或几种组合来实现的，而每 种安全业务又是由各种具体的网络安全技术手段实现的。 认证技术 网络通信的最大特点就是通信双方仅仅通过网络传递信息，而不是见到对方 本人，那么如何确信与你通信的一方是合法用户而不是假冒的攻击者昵? 这个问 题就需要认证技术来解决。实现通信实体认证的方法很多，可以采用密码算法， 也可以采用给每个实体发数字证书的方法来实现。 数据加密技术 数据加密是网络安全中很重要的一部分，其作用就是防止有价值的敏感信息 在网络上被截获和窃听。数据加密的基本过程包括对原来的可读信息按一定的算 法进行转换，成为一种隐蔽的不可读的代码形式。该过程的逆过程解密，就 是将密文转换成原来的明文形式。对数据加密所希望达到的目标是：除非使用特 殊的方法，要从截获的密文和某些已知的“明文一密文”对来推出密钥或任意明 文在计算上是不可行的。数据加密技术是由密码技术实现的，它直接支持数据保 密业务。 数据完整性鉴别技术 数据完整性鉴别主要是验证数据在传送过程中是否被增删、篡改，即验证数 据在传输前后的一致性是否遭到破坏。目前，对于动态传输的信息，许多协议确 保信息完整性的方法大多是收错重传、丢弃后续包的办法，但黑客的攻击可以改 变信息包内部的内容，所以应采取有效的措施来进行完整性控制。 数据完整性鉴别的方法由报文鉴别、校验和、加密校验和，以及计算消息认 证码等几种。 数字签名技术 数字签名在信息安全，包括身份验证、数据完整性、不可否认性以及匿名性 等方面由重要应用，特别是在大型网络安全通信中的密钥分配、认证以及电子商 务系统中的应用更加突出。 数字签名由两种，一种是对整体消息的签名，它是消息经过密码变换的被签 整体；另一种是对被压缩消息的签名，它是附加在被签名消息之后或某一特定位 置上的一段签字。 第一章绪论 时戳技术 为了防止重放网络攻击，一般采用对网络传送消息加盖时间戳的方法来实 现。i 扫于采用数据加密和消息认证等技术，攻击者无法篡改受到保护的消息，但 他可以将整条消息截获，然后任意进行复制和重放，以获得对方的信任，从而得 到有价值的信息，或者纯粹为了降低对方的系统性能，影响其正常工作。因此， 为了从这方面保证数据的安全性，引入了时间戳技术。一个时间戳应该具有以下 三个特点： 第一，对数据本身加盖时间戳。 第二，对加盖时间戳的数据进行丝毫改动都是不可能的。 第三，要想对某条消息加盖与当前日期和时间不同的时间戳是不可能的。 数字时间戳一般通过采用数字签名等技术来实现，它也支持数据完整性业务。 1 2 防火墙最新进展及国内外状况 1 2 1 防火墙概述 由于上述的网络的不安全因素的存在，就需要一个能保证网络高度安全的防 火墙。 防火墙是一种行之有效的网络安全机制，它由软件或硬设备组合而成，处于 企业或网络群体计算机与i n t e m e t 之间，限制外界用户对内部网络访问及管理内 部用户访问外部网络的权限，作为内部网与外部网之间实施安全防范的系统。如 图1 2 所示。 图1 2防火墙把内部网和i n t e r n e t 隔开 由于从互联网或从内部网上产生的任何活动都必须经过防火墙，它可被认为 是一种访问控制机制，用来确定哪些内部服务允许外部访问，以及允许哪些外部 服务访问内部服务。这样防火墙就可以： o 第一章绪论 保证对主机和应用安全访问； 保证多种客户机和服务器的安全性； 保护关键部门不受到来自内部的攻击、外部的攻击、为通过i n t e m e t 与远 程访问的雇员、客户、供货商提供安全信道。 一般来说，防火墙具有以下几种功能：1 9 允许网络管理员定义一个中心点来防止非法用户进入内部网络。 可以很方便地监视网络的安全性，并报警。 可以作为部署n a t ( n e t w o r ka d d r e s st r a n s l a t i o n ，网络地址变换) 的地 点，利用n a t 技术，将有限的i p 地址动态或静态地与内部的i p 地址对 应起来，用来缓解地址空间短缺的问题。 是审计和记录i n t e m e t 使用费用的一个最佳地点。网络管理员可以在此向 管理部门提供i n t e m e t 连接的费用情况，查出潜在的带宽瓶颈位置，并能 够依据本机构的核算模式提供部门级的计费。 1 2 2 防火墙分类与发展4 】【5 l 尽管防火墙的发展经过了几代的发展，但是按照防火墙对内外来往数据的处 理方法，大致可以将防火墙分为两大体系：包过滤防火墙和代理防火墙( 应用层 网关防火墙) 。前者以以色列的c h e c k p o i n t 防火墙和c i s c o 公司的p i x 防火墙为 代表，后者以美国n a i 公司的g a u n t l e t 防火墙为代表。 1 2 2 1 包过滤防火墙( p a e k e t f i l t e r ) 第一代：静态包过滤 这种类型的防火墙根据定义好的过滤规则审查每个数据包，以便确定其是否 与某一条包过滤规则匹配。过滤规则基于数据包的报头信息进行制订。报头信息 中包括i p 源地址、i p 目标地址、传输协议( t c p 、u d p 、i c m p 等等) 、t c p u d p 目标端口、i c m p 消息类型等。包过滤类型的防火墙要遵循的一条基本原则是“最 小特权原则”。即明确允许那些管理员希望通过的数据包，禁止其他的数据包， 如图1 3 所示。 第一章绪论 图1 3 简单包过滤防火墙 第二代：动态包过滤 这种类型的防火墙采用动态设置包过滤规则的方法，避免了静态包过滤所具 有的问题。这种技术后来发展成为所谓包状态监测( s t a t e f u li n s p e c t i o n ) 技术。 采用这种技术的防火墙对通过其建立的每一个连接都进行跟踪，并且根据需要可 动态地在过滤规则中增加或更新，如图1 4 所示。 图1 - 4 动态包过滤防火墙 1 2 2 2 代理防火墙( p r o x y s e r v i c e ) 第一代：代理防火墙 代理防火墙也叫应用层网关( a p p l i c a t i o ng a t e w a y ) 防火墙。这种防火墙通过 一种代理( p r o x y ) 技术参与到一个t c p 连接的全过程，如图1 5 所示。从内部发 出的数据包经过这样的防火墙处理后，就好像是源于防火墙外部网卡一样，从而 可以达到隐藏内部网结构的作用。这种类型的防火墙被网络安全专家和媒体公认 为是最安全的防火墙。它的核心技术就是代理服务器技术。 所谓代理服务器，是指代表客户处理在服务器连接请求的程序。当代理服务 器得到一个客户的连接意图时，它们将核实客户请求，并经过特定的安全化的 p r o x y 应用程序处理连接请求，将处理后的请求传递到真实的服务器上，然后接 受服务器应答，并做进一步处理后，将答复交给发出请求的最终客户。代理服务 器在外部网络向内部网络申请服务时发挥了中间转接的作用。 第一章绪论 代理类型防火墙的最突出的优点就是安全。由于每一个内外网络之间的连接 都要通过p r o x y 的介入和转换，通过专门为特定的服务如h t t p 编写的安全化的 应用程序进行处理，然后由防火墙本身提交请求和应答，没有给内外网络的计算 机以任何直接会话的机会，从而避免了入侵者使用数据驱动类型的攻击方式入侵 内部网。包过滤类型的防火墙是很难彻底避免这一漏洞的。 图1 5 传统代理型防火墙 代理防火墙的最大缺点就是速度相对比较慢，当用户对内外网络网关的吞吐量 要求比较高时，( 比如要求达到7 5 1 0 0 m b p s 时) 代理防火墙就会成为内外网络之 间的瓶颈。所幸的是，目前用户接入i n t e m e t 的速度一般都远低于这个数字。在 现实环境中，要考虑使用包过滤类型防火墙来满足速度要求的情况，大部分是高 速网( a t m 或千兆位以太网等) 之间的防火墙。 第二代：自适应代理防火墙 自适应代理技术( a d a p t i v ep r o x y ) 是最近在商业应用防火墙中实现的一种革 命性的技术。它可以结合代理类型防火墙的安全性和包过滤防火墙的高速度等优 点，在毫不损失安全性的基础之上将代理型防火墙的性能提高1 0 倍以上。组成 这种类型防火墙的基本要素有两个：自适应代理服务器( a d a p t i v ep r o x ys e r v e r ) 与动态包过滤器( d y n a m i cp a c k e tf i l t e r ) ，如图1 6 所示。 图1 6 自适应代理防火墙 在自适应代理与动态包过滤器之间存在一个控制通道。在对防火墙进行配置 时，用户仅仅将所需要的服务类型、安全级别等信息通过相应p r o x y 的管理界面 进行设置就可以了。然后，自适应代理就可以根据用户的配置信息，决定是使用 代理服务从应用层代理请求还是从网络层转发包。如果是后者，它将动态地通知 第一章绪论 包过滤器增减过滤规则，满足用户对速度和安全性的双重要求。 1 2 2 3 复合型( h y b r i d ) 防火墙州 由于对更高安全性的要求，有的厂商把基于包过滤的方法和基于代理服务的 方法结合起来，形成了新的防火墙产品。这种结合通常是以下两种方案之一： 屏蔽主机( s c r e e n e d h o s t ) 或屏蔽子网( s c r e e n e d s u b n e t ) 。在第一种方案中，一个 包过滤f p a c k e t f i l t e r ) 路由器与i n t e m e t 相连，同时，一个双宿主主机 f d u a l h o m e d h o s t ) 安装在内部网络。通常情况下，在路由器上设立过滤原则，使 这个双宿主主机成为i n t e m e t 上其他节点所能到达的唯一节点。这确保了内部网 络不受未被授权的外部用户的攻击，如图1 7 所示。 屏蔽子网的方法与此相反，双宿主主机放在这一子网内，用包过滤路由器使 这一子网与内部网络分开。在许多屏蔽子网的实现中，两个包过滤路由器放在子 网的两端，在子网内构成了一个“非军事区”( d m z 即d e m i l i t a r i z e d z o n e ) 。象 w w w 和f t p 这样的i n t e r n e t 服务器一般就放在d m z 中，如图1 8 所示。 在这两种方案中，双宿主主机必须有高度的安全性能，能够抵抗来自外部的 各种攻击，因此有的文献也把它称为堡垒主机( b a s t i o n h o s t ) 。这个主机和包过滤 共同构成了整个防火墙的安全基础。这样的方案构成了这样一个防火墙系统，数 据在通过这个快速的包过滤系统时进行详细的注册( 1 0 9 ) _ 手l l 审计( a u d i t ) 。 i n s t d e 腼旱 划五玉 图1 7主机过滤结构防火墙 第一章绪论 j n l l d e 钷套 # 南抽” i = 1 b 哪l | 蛳 图i 一8子网过滤结构防火墙 1 2 2 4 网络地址转换( n a t ) 一般来说，防火墙内部的安全网络的i p 为r f c 定义的三段保留i p ，但是这 种i p 是不能真接路由出去的。所以我们会在f i r e w a l l 中用n a t 把保留i p 转换成 注册i p 。这样做可以使内部网络不用担心自己的i p 地址与外界的i p 地址发生冲 突。 使用n a t 的网络，可以使内部网络对外部网络来说是不可见的。这给内部网 络带来了很大的安全好处，因为与外部网络的连接只能由内部网络发起。然而这 对网络透明性提出了严重的挑战。 n a t 的另外一个显而易见的可能用途是解决i p 地址的匮乏问题，但对n a t 可能带来的一些不良后果值得重视。 n a t 存在的主要问题是f t p 的问题。f t p 的一些命令会把源i p 地址作为参 数发给s e r v e r ，但是这个i p 地址是作为数据封装在i p 包内的，n a t 不会转换， 这就会造成错误。解决办法是用p a s v 命令。 1 2 2 5 加密路由器( e n c r y p t i n g r o u t e r ) 加密路由器把通过路由器的内容进行加密和压缩，然后让它们通过“不可靠” 的网络传输，并在目的端进行解压缩和解密。但值得注意的是，在网络上使用加 密传输，显然会涉及到一些法律问题。例如在美国，联邦政府要求得到加密算法 和密钥，以便保证这些内容能得到监控。此事正在争论之中。 1 2 2 6 安全内核( s e c u r e d k e r n e l l 除了采用代理服务以外，人们开始考虑在操作系统的层次上考虑安全性。人 们尝试把系统内核中可能引起安全性问题的部分从内核中剔除出去。从而使系统 更安全。这一策略的原理是用户不能得到不存在的服务。目前，已有一些商业 第一章绪论 f i r e w a l l 推出了u n i x 版本的安全内核 1 2 2 7 最少特权( t h e l e a s t p r i v i l e g e ) i n t e m e t 上有些基于存储转发的应用程序在运行时具有系统特权，这是一个 重大的安全漏洞。在基于代理服务的f i r e w a l l 中，要使得代理服务具有最少的特 权，最好不要以特权运行。一种可行的解决办法是使这些s e r v e r 成为系统常驻进 程，在u n i x 系统中，这称为“c h o o t ”。 1 2 2 8 防火墙发展的总结 上面提到了一些防火墙技术发展的新趋势，那么，将来的防火墙应该如何 呢? 一个好的防火墙应该是具有高度安全性、高透明性、高网络性能的防火墙。 然而，这些特性是相互制约和相互影响的。 另外，目前的防火墙对由数据驱动的攻击还没有好的解决办法。因此，更有 效的包过滤防火墙能否对数据的内容进行更有效的管理也是值得注意的问题。 当前随着网络互连爆炸式的发展，使得网络安全变得越来越复杂，企业内部 计算机系统的数量大大增加，加之这些系统中各种操作系统、路由器、网络协议、 应用程序等，监视一个网络攻击已经变得相当困难。 以防火墙为主的安全策略只是