第2章-网络安全协议.ppt

第2章网络安全协议 防灾科技学院灾害信息工程系 主讲教师 孙晓玲 1 第二章网络安全协议 基本协议的安全高级协议的安全 2 2 1基本协议的安全 物理层协议的安全网络层协议的安全传输层协议的安全应用层协议的安全 3 2 1基本协议的安全 2 1 1物理层协议的安全物理层安全威胁主要指网络周边环境和物理特性引起的网络设备和线路的不可用而造成的网络系统的不可用 设备老化设备被盗意外故障设备损毁 4 2 1 2网络层协议的安全网络层的安全威胁主要有两类 IP欺骗和ICMP攻击 IP欺骗技术的一种实现方法是把源IP地址改成一个错误的IP地址 接收主机不能判断源IP地址的正确性 由此形成欺骗 ICMP在IP层检查错误和其他条件 ICMP信息能够被用于攻击远程网络或主机 利用ICMP来消耗带宽从而有效地摧毁站点 2 1基本协议的安全 5 2 1基本协议的安全 2 1 3传输层协议的安全具体的传输层安全措施取决于具体的协议 TLS 传输层安全 协议在TCP的顶部提供了如身份验证 完整性检验以及机密性保证这样的安全服务 6 2 1基本协议的安全 2 1 4应用层协议的安全应用层安全被分解成网络层 操作系统 数据库的安全 应用系统复杂多样 不存在一种安全技术能够完全解决一些特殊应用系统的安全问题 7 2 2高级协议的安全 SMTP协议的安全FTP协议的安全IP协议的安全TCP协议的安全DNS协议的安全SSL协议的安全Finger和Whois协议的安全 8 2 2高级协议的安全 2 2 1SMTP协议的安全1 SMTP简介和工作机制SMTP 简单邮件传输协议 图2 1SMTP模型 9 2 2高级协议的安全 具体工作方式为 发送SMTP在接到用户的邮件请求后 判断此邮件是否为本地邮件 若是则直接投送到用户的邮箱 否则向DNS查询远端邮件服务器的MX记录 并建立与远端接收SMTP之间的一个双向传送通道 此后SMTP命令由发送SMPT发出 由接收SMTP接收 而应答则反向传送 10 2 2高级协议的安全 一旦传送通道建立 SMTP发送者发送MAIL命令指明邮件发送者 如果SMTP接收者可以接收邮件则返回OK应答 SMTP发送者再发出RCPT命令确认邮件是否接收到 如果SMTP接收者接收到 则返回OK应答 如果未接收到 则发出拒绝接收应答 双方将如此重复多次 当接收者收到全部邮件后会接收到特别的序列 如果接收者成功处理了邮件 则返回OK应答 11 2 2高级协议的安全 2 SMTP安全性分析发送邮件过程中 MAIL和RCPT命令都可能被监听 分析其参数获知邮件的来源和去向 VRFY和EXPN命令也能被监听 攻击者可以掌握用户名和邮箱地址 进行假冒攻击 攻击者截获DATA命令 然后用自己伪造的邮件内容代替原邮件内容发给接收者 进行假冒攻击 攻击者利用TURN命令可以逃避邮件过滤防火墙的检查 通过对reverse path的修改 可以直接导致邮件误投 12 2 2高级协议的安全 2 2 2FTP协议的安全FTP 文件传输协议1 工作原理FTP应用需要建立两条TCP连接 一条是控制连接 另一条是数据连接 13 2 2高级协议的安全 FTP采用两种TCP连接来传输文件 控制连接以通常的客户服务器方式建立 服务器以被动的方式打开21号端口 等待客户的连接 客户主动打开21号端口建立连接 当文件在客户与服务器之间传输时 就创建一个数据连接 14 2 2高级协议的安全 2 FTP协议的安全FTP的安全性主要包括以下4个方面 非法用户禁止在服务器上进行FTP操作 FTP用户不能读取未经系统所有者允许的文件或目录 未授权时 FTP用户不能在服务器上建立或删除文件或目录 挑战攻击 15 2 2高级协议的安全 2 2 3IP协议的安全1 IPSec策略IPSec使用两个协议为流量提供安全性 认证包头 AH 协议和封装安全负载 ESP 协议 AH提供了无连接的完整性 数据起源的身份验证和一个可选的防止重放的服务 ESP能够提供机密性和受限制的流量机密性 它也能提供无连接的完整性 数据起源的身份验证和防止重放服务 16 2 2高级协议的安全 2 设置安全等级1 阻塞传输该策略让IPSec封锁来自从A计算机到B计算机所有传输 2 加密传输该传输允许在计算机之间通信 数据必须经过加密以防窃听 使用ESP协议来加密数据 17 2 2高级协议的安全 3 签名传输该传输用来防止 中间人 攻击 用于数字签名的AH协议是在网络包的结尾添加一位 以验证数据在传输中是否被改变 4 无须签名或者无须加密 允许未加改变地传输这是安全性的缺省设置 允许所有数据进行传输 无须验证数据完整性 18 2 2高级协议的安全 3 配置IPSec安全性配置IPSec过滤动作时 有3种可选动作 允许 IPSec安全策略中的允许选项是缺省值 阻塞 使用阻塞过滤选项时 网络中不允许运行满足相应的IP过滤条件的协议 协商安全性 如果一项过滤条件得到匹配 协商安全性选项可以让管理员设置对数据的加密算法 19 2 2高级协议的安全 4 IPSec策略认证Kerberosv5常用于Windowsserver2003 是其缺省认证方式 使用时 既对用户的身份进行认证 也对网络服务进行验证 20 2 2高级协议的安全 2 2 4TCP协议的安全1 TCP序列号猜测攻击攻击者试图通过猜测出要攻击的系统用于下一次连接时所使用的ISN 初始序列号 来达到欺骗攻击对象的目的 21 2 2高级协议的安全 2 TCPSYN洪泛攻击原理TCPSYN洪泛攻击通过消耗服务器的两类资源来达到攻击目的 1 SYNCache 请求队列 攻击者使用大量的并不存在的IP地址同时向服务器发送TCP连接请求 服务器响应并等待源IP连接确认 导致请求队列溢出 服务器无法处理新的连接请求 无法向正常用户提供服务 22 2 2高级协议的安全 2 SYNCookie 缓冲区 TCP在将连接请求插入到请求队列中的同时 会在本机内存中开辟相应的内存空间用于建立相关的数据结构和保存状态 大量的SYN请求信息将使服务器开辟大量的缓冲区 将系统内存资源耗尽 导致系统瘫痪 23 2 2高级协议的安全 2 2 5DNS协议的安全1 DNS的工作原理通过用户友好名称查找计算机和服务 当用户在应用程序中输入DNS名称时 DNS服务可以将此名称解释为与之相关的其他信息 一般为IP地址 24 2 2高级协议的安全 2 DNS欺骗攻击当一个DNS服务器使用了来自一个恶意DNS服务器的错误信息 那么该服务器就被欺骗了 DNS欺骗的几种方法 1 缓存感染黑客使用DNS请求 将数据放入一个DNS服务器的缓存当中 这些信息会在客户进行DNS访问时返回给客户 从而将客户引导到入侵者所设置的运行木马的Web服务器或邮件服务器上 然后黑客从这些服务器上获取用户信息 25 2 2高级协议的安全 2 DNS信息劫持入侵者通过监听客户端和DNS服务器的对话 猜测服务器响应给客户端的DNS查询ID 黑客在DNS服务器之前将虚假的响应交给客户 从而欺骗客户端去访问恶意的网站 3 DNS重定向攻击者能够将DNS名称查询重定向到恶意DNS服务器 攻击者可以获得DNS服务器的写权限 26 2 2高级协议的安全 3 DNS的防范方法直接用IP访问重要的服务 避开DNS欺骗攻击 加密所有对外的数据流 27 2 2高级协议的安全 2 2 6SSL协议的安全SSL协议是一个用于在因特网上进行保密通信的安全协议 它位于TCP层和应用层之间 对应用层透明 SSL协议的主要应用范围是HTTP协议 28 2 2高级协议的安全 1 SSL的工作原理通信时 首先初始化握手协议 以建立一个SSL对话时段 握手结束后 对通信进行加密 并且检查信息的完整性 直到该对话时段结束为止 29 2 2高级协议的安全 握手协议内容包括 1 通信双方进行交互 认证身份 2 双方协商确定一组密码套件用于加密需传播的信息 3 双方协商加密信息时使用的密钥 4 双方使用协商的加密算法和加密密钥加密交换的信息 30 31 2 2高级协议的安全 SSL协议的分层结构 2 SSL的体系结构 32 2 2高级协议的安全 握手层允许通信实体在应用SSL协议传送数据之前相互验证身份 协商加密算法 生成密钥等 记录层封装各种高层协议 具体实施压缩与解压缩 加解密 计算与验证MAC等与安全有关的操作 33 2 2高级协议的安全 3 SSL协议的安全性1 记录层协议的安全性 防止被动窃听SSL协议使用对称加密算法和临时生成的短期会话密钥对所有的应用层数据加密 防止主动攻击主要采用足够安全的密钥长度 就能够保证SSL协议记录层免受这对保密性的主动攻击 34 2 2高级协议的安全 流量分析流量分析的目的是通过观察未加密的域和未受保护的属性获得保密信息 SSl协议的序列加密未使用填充机制 因此应用序列加密时SSL协议密文的长度揭示了明文的长度 35 2 2高级协议的安全 2 握手协议的安全性 验证主体的有效性在SSL协议中 通过检查主体的证书实现对主体的验证 验证方得到被验证方的证书后 对证书进行各种检查 不同验证模式抗 中间人 攻击的能力SSL协议支持3种验证模式 客户和服务器都被验证 只验证服务器 完全匿名 当服务器被验证时 无论密钥交换算法使用RSA还是Diffie Hellman 握手过程都能防止 中间人 攻击 36 2 2高级协议的安全 握手消息中的MACSSL握手协议中有几处应用MAC结构做消息完整性检查 37 2 2高级协议的安全 2 2 7Finger和Whois协议的安全性1 Finger协议的安全1 Finger协议的基本原理Finger服务可查询在目标主机上有账号的用户的个人信息 而不论这个用户当前是否登录在被查询的机器上 这些信息包括登录名 最近在何时何地登录的情况以及用户自己提供的简介 38 2 2高级协议的安全 2 Finger协议的安全Finger显示了用户的敏感信息 关于是否运行Finger以及响应中该出现哪些信息等方面 安全管理员应该做出明确的决定 取消或限制Finger服务追踪使用Finger的