物理层数据链路层安全.ppt

第6章Internet安全体系结构之一 湖南大学计算机与通信学院刘玉玲liuyuling80 本章要点 物理层的安全保护方案数据链路层安全保护方案 物理层的安全保护方案 计算机网络通信线路屏蔽方案主要物理隔离物理隔离网闸隔离原理设备和线路冗余方案服务和服务账号安全规划物理层安全管理工具的使用数据容灾等级 物理层的线路窃听技术 搭线窃听电磁泄漏窃听 计算机网络通信线路屏蔽 屏蔽用金属网或金属板将信号源包围 利用金属层来阻止内部信号向外发射 同时也可以阻止外部信号进入金属层内部 通信线路的屏蔽采用屏蔽性能好的传输介质把传输介质 网络设备 机房等整个通信线路安装在屏蔽的环境中 屏蔽双绞线和RJ 45水晶头的选择 屏蔽同轴电缆的选择 光纤网络的屏蔽 屏蔽机房和机柜的选择 计算机网络通信线路屏蔽 WLAN无线网络的物理层安全保护将机房甚至整个公司屏蔽 成本过高 WEPWPA WPA2 物理线路隔离 主要物理隔离产品物理隔离卡物理隔离集线器 交换机物理隔离网闸 物理隔离的指导思想与防火墙绝然不同 防火墙的思路是在保障互联互通的前提下 尽可能安全 而物理隔离的思路是在保证必须安全的前提下 尽可能互联互通 一个典型的物理隔离方案 处于完全隔离状态 物理线路隔离 物理隔离的定义物理隔离技术的基本思想是 如果不存在与网络的物理连接 网络安全威胁便可大大降低 物理隔离技术实质就是一种将内外网络从物理上断开 但保持逻辑连接的信息安全技术 物理线路隔离 案例 电子政务一般划分为3个安全等级不同的部分内部保密专用网络 传送保密信息业务网络 传送政府业务管理信息Internet连接网络 建设网站或对外访问保密网络要求跟其它部分物理隔离其它部分可以在保证安全性情况下互连 物理线路隔离 案例 证劵交易网一般划分为3个安全等级不同的部分证券交易业务专用网络 传送证券业务信息企业内综合管理网络 传送办公 财务 VoIP等企业内部管理信息Internet连接网络 建设网站或对外访问交易网络首先要保证可靠性和安全性 跟其它部分物理隔离 必要时可以采用逻辑隔离方式连接其它可以在保证安全性情况下互连 物理线路隔离 内 外网之间在没有通信要求情况下的断开状态 物理线路隔离 外网向内网发起非TCP IP连接 物理线路隔离 向内网转发数据 物理线路隔离 完成了外网向内网发送数据的全过程后 物理线路隔离 向外网发起非TCP IP连接 物理线路隔离 这是一种隔离网络之间连接的专用安全技术 这种技术使用一个可交换方向的电子存储池 存储池每次只能与内外网络的一方相连 通过内外网络向存储池拷贝数据块和存储池的摆动完成数据传输 这种技术实际上是一种数据镜像技术 它在实现内外网络数据交换的同时 保持了内外网络的物理断开 物理线路隔离 每一次数据交换 隔离设备经历了数据的接受 存储和转发三个过程 由于这些规则都是在内存和内核里完成的 因此速度上有保证 可以达到100 的总线处理能力 物理隔离的一个特征 就是内网与外网永不连接 内网和外网在同一时间最多只有一个同隔离设备建立非TCP IP协议的数据连接 其数据传输机制是存储和转发 物理隔离的好处是明显的 即使外网在最坏的情况下 内网不会有任何破坏 修复外网系统也非常容易 物理线路隔离 设备和线路冗余 提供备用的设备和线路网络设备部件冗余 电源和风扇 网卡 内存 cpu 磁盘 网络设备整机冗余网络线路冗余 机房和账户安全管理 机房安全管理账户安全管理采取复杂性要求限制限定最低和最高密码更改的频率和期限限定两个周期密码可以禁止相同的最短历史限定用户登陆时允许尝试的最多次数要求拥护不得把账户信息以明文方式记录在任何地方不得在有其他人在旁边时输入账户信息 通过 管理工具 本地安全策略 中的 帐户策略 的 密码策略 实现 数据链路层的安全保护方案 数据链路加密WLANSSID安全技术及配置方法WEP加密原理WPA加密 解密原理MAC地址欺骗防护VLAN 数据加密 加密技术是网络安全技术的基础 数据链路层 网络层 传输层 表示层和应用层 数据存储加密数据传输加密链路加密节 结 点加密端到端加密 链路加密 链路加密是目前最常用的一种加密方法 通常用硬件在网络层以下 1 2层 的物理层和数据链路层中实现 它用于保护通信节点间传输的数据 下图表示了这种加密方式的原理 链路加密方式有两个缺点 一是全部报文都以明文形式通过各节点的计算机中央处理机 在这些节点上数据容易受到非法存取的危害 二是由于每条链路都要有一对加密 解密设备和一个独立的密钥 维护节点的安全性费用较高 因此成本也较高 节点加密 节点加密是链路加密的改进 其目的是克服链路加密在节点处易遭非法存取的缺点 其加密原理如下图所示 端 端加密 网络层以上的加密 通常称为端 端加密 端 端加密是面向网络高层主体进行的加密 即在协议表示层上对传输的数据进行加密 而不对下层协议信息加密 协议信息以明文形式传输 用户数据在中间节点不需要解密 端 端加密原理如下图所示 端 端加密具有链路加密和节点加密所不具有的优点 1 成本低 出于端 端加密在中间任何节点上都不解密 即数据在到达目的地之前始终用密钥加密保护着 所以仅要求发送节点和最终的目标节点具有加密 解密设备 而链路加密则要求处理加密信息的每条链路均配有分立式密钥装置 2 端 端加密比链路加密更安全 3 端 端加密可以由用户提供 因此对用户来说这种加密方式比较灵活 端 端加密 WLANSSID安全技术及配置方法 SSID ServiceSetIdentifier 服务设置标识符 最多可以有32个字符配备无线网卡 无线AP 访问点 无线路由器时均需配置 且相同 WLANSSID安全技术及配置方法 SSID安全问题AP默认是允许向外广播其SSID 使安全程度降低 支持 任何 ANY SSID方式 只要无线客户端处在AP范围内 可自动连接到AP使用同一个SSID设置另一个802 11接入点 将大多数AP或无线路由器在出厂时默认的 允许广播SSID 设为 不广播SSID WLANMAC地址过滤 MAC地址过滤功能在有线网络中使用 可以允许或者禁止部分主机与局域网的连接 支持IEEE11 g标准以上的设备中有此功能 WLANWEP加密 WLANWEP解密 恢复初始明文检验校验和 WLANWEP的不足 初始化向量 IV 太小弱数据完整性使用主密钥而不使用派生密钥不重新生成密钥无重放保护 在TKIP中 IV的大小增加了一倍 已达48位 CRC 32由Michael取代 可以计算64位消息完整性代码 并用TKIP加密 RC4PRNG的输入通过数据包混合函数计算而来 随着帧的改变而改变 WPA自动重新生成密钥以派生新的临时密钥组 TKIP将IV用作帧计数器以提供重放保护 WPA加密 WPA解密 WPA2 WPA的第二个版本主要改进加密标准从TKIP MIC改为AES CCMP ARP AddressResolutionProtocol 完成IP地址到MAC地址的映射 虚拟的与硬件无关的可变的 真实的网卡决定的通常不可改变 ARP 地址解析协议 IP地址欺骗MAC地址欺骗 为什么要进行IP地址到物理地址的映射 1 IP地址屏蔽物理网络地址的差异 为上层用户提供 统一 的地址形式2 IP地址屏蔽物理网络地址差异 通过在物理网络上覆盖一层IP软件实现3 互联网不对物理地址做任何修改高层软件利用IP地址指定源地址和目的地址低层物理网络利用物理地址指定源地址和目的地址 ARP实现IP地址与网络物理地址的映射 IP地址统一了网际通信的地址形式 IP层以上的软件都使用IP地址 隐藏了原有的物理网络地址 但在网络内部 IP层通信的实现依赖于底层的物理网络技术 底层必然还要使用物理地址 为了保证通信的一致性 必须要建立各结点IP地址与网络物理地址之间的映射 称为地址解析 resolution 地址解析协议 ARP AddressResolutionProtocol 用于IP地址到物理地址的映射 适用于有盘网络 逆向地址解析协议 RARP ReverseAddressResolutionProtocol 用于物理地址到IP地址的映射 适用于无盘网络 ARP运作方式 ARP请求 A电脑 B电脑 ARP运作方式 ARP应答 A电脑 B电脑 ARP的解析范围 ARP的请求过程实质上是在局域网的一个广播域内 广播寻找MAC地址的过程 因此ARP的解析范围在局域网的一个广播域内 所有一 二层的网络设备对ARP都是透明的 主机在每进行数据发送前 都要进行ARP请求信息和响应信息 信息包的频繁发送和接收必然对网络的效率产生影响 ARP高速缓存 每台主机都要维护一个IP地址到MAC的转换表 称为ARP高速缓存ARPCache 存放着最近用到的一系列跟它通信的同一子网的计算机的IP地址和MAC地址的映射 减少局域网广播加快访问速度 ARP高速缓存 动态记录 在ARP过程中自动获取 有寿命ARPCache根据ARP响应包动态变化 ARPCache采用老化机制 如果一条ARP项很久没有使用了 则它将被从ARP表中删除掉 这祥可以节省内存空间和ARP表的检索时间 静态记录 手工输入 无寿命时间 ARP不是IP协议的一部分 因此ARP数据报不包括IP头 而是直接放在以太网帧的数据部分进行发送 并且 在以太网中定义了一种新的类型来标志ARP数据报 以太网中ARP协议帧格式 查看ARP高速缓存中的记录 解析对象的IP地址 解析所得的MAC地址 此记录产生的方式 Arp a 删除ARP高速缓存中的记录 原来有4个记录 删除这个记录 203 74 205 11这个记录被删除了 Arp d 向ARP高速缓存中增加静态记录 新增的记录 注意Type是static Arp s RARP 逆地址解析协议 具有本地磁盘的系统引导时 一般是从磁盘上的配置文件中读取IP地址 但是无盘机 如X终端或无盘工作站 则需要采用其他方法来获得IP地址 网络上的每个系统都具有唯一的硬件地址 它是由网络接口生产厂家配置的 无盘系统的RARP实现过程是从接口卡上读取唯一的硬件地址 然后发送一份RARP请求 一帧在网络上广播的数据 请求某个主机响应该无盘系统的IP地址 在RARP应答中 RARP分组的格式与ARP分组基本一致 它们之间主要的差别是RARP请求或应答的帧类型代码为0 x8035 而且RARP请求的操作代码为3 应答操作代码为4 ARP RARP的报文格式ARP RARP的报文分组格式是统一的ARP RARP分组封装在物理网络的数据帧中传送 MAC地址欺骗原理 现实生活中举例 谁是布什 MAC地址欺骗原理 我是 MAC地址欺骗原理 我是新来的布什同学 MAC地址欺骗原理 MAC地址欺骗原理 假设有一个寻找IP地址为192 168 0 2的MAC地址的ARP广播包 正确的MAC地址应该是BB BB BB BB BB 22 而黑客所在主机MAC地址为CC CC CC CC CC 33 MAC地址欺骗预防 利用ARPecho传送正确的ARP信息通过频繁地提醒正确的ARP对照表 来达到防制的效果 利用绑定方式 固定ARP对照表不受外来影响通过固定正确的ARP对照表 来达到防制的效果 舍弃ARP协议 MAC地址欺骗预防 MAC地址欺骗预防 网络嗅探的防护 网络嗅探原理通过一种嗅探器 sniffer 软件进行嗅探器是利用计算机的网络接口截获目的地为其他计算机的数据报文的一种技术 网卡设置为混杂模式 接收流经它的所有数据包 包括广播包 以太网 FDDIToken 微波和无线网 网络嗅探的防护 网络嗅探攻击症状网络通信丢包率非常高网络访问异常慢 网络嗅探的防护 网络嗅探的防范安装嗅探器探测工具 AntiSniff改进网络拓扑结构 不实用HUB而用交换机连接网络 能有效地避免数据进行泛播 对网络进行分段 如在交换机上设置VLAN 数据或会话加密 VLAN 什么是VLAN VLAN VLAN 什么是VLANVirtualLocalAreaNetwork 虚拟局域网VLAN将局域网设备从逻辑上划分成一个个网段 在以太网帧的基础上增加了VLAN头 用VLANID把用户划分为更小的工作组 限制不同工作组间的用户互访 每个工作组就是一个虚拟局域网 VLAN VLAN VLAN的目的解决交换机在进行局域网互连时无法限制广播的问题 这种技术可以把一个LAN划分成多个逻辑的LAN VLAN 每个VLAN是一个广播域 VLAN内的主机间通信就和在一个LAN内一样 而VLAN间则不能直接互通 这样 广播报文被限制在一个VLAN内 VLAN VLAN的优点限制网络上的广播增强局域网的安全性增加了网络连接的灵活性 VLAN 组建VLAN的条件VLAN是建立在物理网络基础上的