网络安全与信息加密技术-第十六章

1、 第16章 网络访问控制和云安全 第17章 传输层安全 第18章 无线网络安全 第19章 电子邮件安全 第20章 IP安全性 q本章我们从两个重要的方面讨论网络安全：网络访问控制本章我们从两个重要的方面讨论网络安全：网络访问控制 和云安全。我们首先总体上介绍网络访问控制系统，总结和云安全。我们首先总体上介绍网络访问控制系统，总结 它的主要元素和涉及的相关技术。接着我们会讨论可扩展它的主要元素和涉及的相关技术。接着我们会讨论可扩展 的认证协议和的认证协议和IEEE 802.1X，他们是两种广泛，他们是两种广泛实施实施的标准，的标准， 是许多网络访问控制系统的基础。是许多网络访问控制系统的基础。

2、q本章后半部分讲述云安全相关内容。首先总体上介绍云计本章后半部分讲述云安全相关内容。首先总体上介绍云计 算相关知识，接着讨论云安全问题。算相关知识，接着讨论云安全问题。 q网络网络访问访问控制控制(network Access Control, NAC)是对网络访是对网络访 问管理的总称。问管理的总称。NAC在用户登录网络的时候进行认证，决定其在用户登录网络的时候进行认证，决定其 可以获取可以获取哪些哪些数据及可以执行哪些行为。数据及可以执行哪些行为。NAC同时还检测用户同时还检测用户 的计算机及移动设备的计算机及移动设备(终端终端)的安全情况。的安全情况。 1. 网络访问控制系统的组成元素网

3、络访问控制系统的组成元素 一个网络访问控制系统的组成元素有： q访问请求者访问请求者(AR)：AR是试图访问网络的节点。它可能是是试图访问网络的节点。它可能是NAC 系统管理的任何设备，包括工作站、服务器、打印设备、摄像系统管理的任何设备，包括工作站、服务器、打印设备、摄像 机及其他具有机及其他具有IP的设备。的设备。AR通常通常被认为是请求者或者简单说被认为是请求者或者简单说 是客户端。是客户端。 16.1 网络访问控制 q策略服务器：策略服务器：根据根据AR的信息和企业制定的策略，策略服务器的信息和企业制定的策略，策略服务器 决定哪些访问是被允许的。策略服务器通常依赖后台系统，包决定哪些访

4、问是被允许的。策略服务器通常依赖后台系统，包 括反病毒软件、括反病毒软件、补丁补丁管理系统及用来帮助决定主机环境的用户管理系统及用来帮助决定主机环境的用户 字典。字典。 q网络接入服务器网络接入服务器(NAS)：NAS是一个接入控制点，为用户远程是一个接入控制点，为用户远程 连接企业的内部网络提供访问控制。通常它也被称为媒体网关，连接企业的内部网络提供访问控制。通常它也被称为媒体网关， 远程访问服务器或者策略服务器。一个远程访问服务器或者策略服务器。一个NAS可能包含自己的认可能包含自己的认 证服务器，或是依赖策略服务器提供的认证服务。证服务器，或是依赖策略服务器提供的认证服务。 q下图是一张

5、常见的网络接入图。下图是一张常见的网络接入图。 q许多许多不同种类的不同种类的AR通过向相应的通过向相应的NAS申请，来尝试访问企业申请，来尝试访问企业 网络。第一步通常是对网络。第一步通常是对AR进行认证。认证通常包括一些安全进行认证。认证通常包括一些安全 协议和密钥的使用。协议和密钥的使用。NAS可能执行这个认证过程，也可能只在可能执行这个认证过程，也可能只在 认证认证过程担当中介过程担当中介的作用。在之后的过程中，认证发生在请求的作用。在之后的过程中，认证发生在请求 者和认证服务器之间。认证服务器是策略服务器的一部分或者者和认证服务器之间。认证服务器是策略服务器的一部分或者 通过认证服务

6、器接入的通过认证服务器接入的。 q认证过程提供多种目的的服务。它验证请求者所声明的身份，认证过程提供多种目的的服务。它验证请求者所声明的身份， 使得策略服务器能够由身份决定使得策略服务器能够由身份决定AR所拥有的权限。认证的过所拥有的权限。认证的过 程可以程可以会会产生会话密钥，来确保在企业网络上用户和资源之间产生会话密钥，来确保在企业网络上用户和资源之间 的安全通信。的安全通信。 q通常，策略服务器或辅助服务器会对通常，策略服务器或辅助服务器会对AR进行检查，决定进行检查，决定AR是是 否可以进行远程交互连接的访问。这些检查否可以进行远程交互连接的访问。这些检查(又称为健康、适又称为健康、适

7、 配、配、筛选筛选或评估检查或评估检查)需要对用户系统上的软件进行认证，来需要对用户系统上的软件进行认证，来 确定其是否符合企业制定的安全配置基本要求。比如，用户的确定其是否符合企业制定的安全配置基本要求。比如，用户的 反恶意软件必须是最新的，操作系统补丁要打满，远程主机必反恶意软件必须是最新的，操作系统补丁要打满，远程主机必 须是由企业拥有并控制的。这些检查必须在须是由企业拥有并控制的。这些检查必须在AR获得访问企业获得访问企业 网络的授权之前进行。在这些检查结果的基础上，企业可以决网络的授权之前进行。在这些检查结果的基础上，企业可以决 定远程计算机是否可以进行交互远程访问。如果一个用户具有

8、定远程计算机是否可以进行交互远程访问。如果一个用户具有 可接受的授权凭证，但远程计算机并没有通过安全检查，用户可接受的授权凭证，但远程计算机并没有通过安全检查，用户 和远程计算机的网络访问会被拒绝，或者在隔离网络中进行受和远程计算机的网络访问会被拒绝，或者在隔离网络中进行受 限的访问，这使得授权用户能够修复安全缺陷。上图展示了隔限的访问，这使得授权用户能够修复安全缺陷。上图展示了隔 离网络的组成，通常包括策略服务器和离网络的组成，通常包括策略服务器和AR相关的适用性服务相关的适用性服务 器，也可能包含不需要常规安全门限的应用服务器。器，也可能包含不需要常规安全门限的应用服务器。 q一旦一旦AR

9、经过授权，明确了在企业网络访问中的级别，经过授权，明确了在企业网络访问中的级别，NAS就就 会使会使AR能够与企业网络中的资源进行交互。能够与企业网络中的资源进行交互。NAS可能会为了可能会为了 执行安全策略传递它的每次交换，也可能使用其他的方法限制执行安全策略传递它的每次交换，也可能使用其他的方法限制 AR的权限。的权限。 2. 网络访问实施方法网络访问实施方法 实施方法是为了控制对企业网络的访问而实施在实施方法是为了控制对企业网络的访问而实施在AR上的行为。许上的行为。许 多供应商支持多种实施方法，允许用户使用一个或多种方法的组合多供应商支持多种实施方法，允许用户使用一个或多种方法的组合

10、来进行配置。下面将介绍常见的来进行配置。下面将介绍常见的NAC实施方法。实施方法。 qIEEE 802.1X：这是一个链路层协议，它在一个端口被分配这是一个链路层协议，它在一个端口被分配IP 之前执行授权。之前执行授权。IEEE 802.1X使用可授权访问协议进行授权。使用可授权访问协议进行授权。 q虚拟本地局域网虚拟本地局域网(VLAN)：企业网络是一系列有联系的企业网络是一系列有联系的LAN组组 成的网络。通过这种方式，它在逻辑上被分割为一系列虚拟的成的网络。通过这种方式，它在逻辑上被分割为一系列虚拟的 LAN。NAC系统根据设备是否需要安全修复、只需要网络访问系统根据设备是否需要安全修复

11、、只需要网络访问 或需要访问企业资源决定哪些或需要访问企业资源决定哪些VLAN来管理相应的来管理相应的AR。VLAN 可被动地创立，可被动地创立，VLAN中服务器和中服务器和AR之间的成员关系可重叠。之间的成员关系可重叠。 也就是说，一个服务器或也就是说，一个服务器或AR可以属于一个或多个可以属于一个或多个VLAN。 q防火墙：防火墙：一个防火墙提供一个表单。它允许或拒绝企业主机和一个防火墙提供一个表单。它允许或拒绝企业主机和 外部用户之间的网络流量。外部用户之间的网络流量。 qDHCP管理：管理：动态主机配置协议是一个可以给主机动态分配动态主机配置协议是一个可以给主机动态分配IP 的网络协议

12、。一个的网络协议。一个DHCP服务器收到服务器收到DHCP请求，然后进行请求，然后进行IP 分配。因此，分配。因此，NAC的实施发生在以子网和的实施发生在以子网和IP分配为基础的分配为基础的IP 层。一个层。一个DHCP服务器的安装和配置是简单的，但是它受限于服务器的安装和配置是简单的，但是它受限于 多种形式的多种形式的IP欺骗，提供了受限的安全性。欺骗，提供了受限的安全性。 还有很多其他的实施方法被供应商支持。还有很多其他的实施方法被供应商支持。 q可扩展认证协议可扩展认证协议(EAP)在在RFC 3748中定义。它是一个网络访中定义。它是一个网络访 问和授权协议的框架。问和授权协议的框架。

13、EAP提供了许多协议消息，他们可以封提供了许多协议消息，他们可以封 装多种认证方法，在客户和认证服务器之间使用。装多种认证方法，在客户和认证服务器之间使用。EAP可以在可以在 多种网络和链路层设备进行操作，包括点到点链路、多种网络和链路层设备进行操作，包括点到点链路、LAN及其及其 他网络。可以适应多种链路和网络的认证需求。下图展示了组他网络。可以适应多种链路和网络的认证需求。下图展示了组 成成EAP的协议层次。的协议层次。 16.2 可扩展认证协议 1. 认证方法认证方法 qEAP支持多种认证方法，这就是支持多种认证方法，这就是EAP可扩展的含义所在。可扩展的含义所在。EAP 在客户端系统和

14、认证服务器之间为认证信息交换提供了一个通在客户端系统和认证服务器之间为认证信息交换提供了一个通 用的传输服务。基本的用的传输服务。基本的EAP传输服务通过使用一个特殊的认证传输服务通过使用一个特殊的认证 协议、方法进行扩展。这些协议会同时装在协议、方法进行扩展。这些协议会同时装在EAP客户端和认证客户端和认证 服务器上。服务器上。 许多方法都规定可以在许多方法都规定可以在EAP上工作。下面是一些常见的上工作。下面是一些常见的EAP支持方支持方 法：法： qEAP-TLS(EAP Transport Layer Security)：EAP-TLS(RFC 5216)定义了定义了TLS协议协议(第

15、第17章将会介绍章将会介绍)如何封装在如何封装在EAP消息消息 中。中。EAP-TLS使用使用TLS中的握手协议，而非它的加密方法。客中的握手协议，而非它的加密方法。客 户端和服务器使用其数字证书进行相互认证。客户端通过使用户端和服务器使用其数字证书进行相互认证。客户端通过使用 服务器的主密钥加密一个随机数，产生一个预主服务器的主密钥加密一个随机数，产生一个预主(Pre-master) 密钥，并将其发往服务器。客户端和服务器都使用预主密钥产密钥，并将其发往服务器。客户端和服务器都使用预主密钥产 生相同的密钥。生相同的密钥。 qEAP-TTLS(EAP Tunneled TLS)：EAP-TTL

16、S和和EAP-TLS基基 本相同，不同之处在于服务器首先要通过证书向客户端证明自本相同，不同之处在于服务器首先要通过证书向客户端证明自 己。与己。与EAP-TLS中相同，它使用密钥建立一个安全的连接中相同，它使用密钥建立一个安全的连接 (“隧道隧道”)，但这个连接用来对客户进行认证，可能的话，服，但这个连接用来对客户进行认证，可能的话，服 务器会再次使用务器会再次使用EAP方法或是老方法方法或是老方法如如PAP(口令认证协议口令认证协议) 和和CHAP(挑战挑战-握手认证协议握手认证协议)。EA-TTLS在在RFC5281中有详中有详 细的定义。细的定义。 qEAP-GPSK(EAP Gene

17、ralized Pre-Shared Key)：EAP- GPSK在在RFC 5433中定义。它是一种使用交互认证的中定义。它是一种使用交互认证的EAP方方 法，会话密钥由预共享秘钥法，会话密钥由预共享秘钥(PSK)产生。产生。EAP-GPSK制定了一制定了一 个基于预共享密钥的个基于预共享密钥的EAP方法，采用了基于密钥的密码算法。方法，采用了基于密钥的密码算法。 因此，在消息流和计算开销方面十分有效，但是它要求客户端因此，在消息流和计算开销方面十分有效，但是它要求客户端 和服务器之间存在预共享秘钥。它为成功进行交互认证提供了和服务器之间存在预共享秘钥。它为成功进行交互认证提供了 受保护的安

18、全信道，它是为在如受保护的安全信道，它是为在如IEEE 802.11这种不安全网络这种不安全网络 上进行认证设计的。上进行认证设计的。EAP-GPSK不需要公钥密钥交换。这种不需要公钥密钥交换。这种 EAP方法协议交换最少可以方法协议交换最少可以4步完成。步完成。 qEAP-IKEv2：它的基础是第它的基础是第20章会讲到的互联网密钥交换协章会讲到的互联网密钥交换协 议版本议版本2(IKEv2)。它支持交互认证，会话密钥建立使用了多。它支持交互认证，会话密钥建立使用了多 种方法，它在种方法，它在RFC 5106中进行定义。中进行定义。 2. EAP交换交换 q无论在认证中使用何种方法，认证信息

19、和认证协议信息都会包无论在认证中使用何种方法，认证信息和认证协议信息都会包 含在含在EAP消息中。消息中。 qRFC3748定义了定义了EAP消息交换的目标是成功的认证。在消息交换的目标是成功的认证。在RFC 3748中，成功的认证是指在一次中，成功的认证是指在一次EAP消息交换中，根认证者消息交换中，根认证者 根据认证结果决定是否允许客户访问及客户端决定是否进行访根据认证结果决定是否允许客户访问及客户端决定是否进行访 问。认证者的决定通常包括认证和授权。客户端可能通过了认问。认证者的决定通常包括认证和授权。客户端可能通过了认 证者的认证，但访问可能会因为策略原因被认证者拒绝。证者的认证，但访

20、问可能会因为策略原因被认证者拒绝。 下图展示了一个典型的EAP使用。下面将介绍它的组件： qEAP请求者请求者(EAP peer)：尝试访问网络的客户计算机。尝试访问网络的客户计算机。 qEAP认证者认证者(EAP authenticator)：一个接入点或一个接入点或NAS。他们。他们 要求提前进行认证，以便接入到网络。要求提前进行认证，以便接入到网络。 q认证服务器认证服务器(Authenticator server)：它是一个服务器计算机，它是一个服务器计算机， 它利用它利用EAP方法和方法和EAP客户端进行交互，认证客户端的信息，客户端进行交互，认证客户端的信息， 授权其访问网络。典型

21、地，授权服务器是一个提供远端用户接授权其访问网络。典型地，授权服务器是一个提供远端用户接 入认证服务入认证服务(RADIUS)的服务器。的服务器。 q认证服务器作为后台服务器可以为许多认证服务器作为后台服务器可以为许多EAP认证者提供认证客认证者提供认证客 户的服务。户的服务。EAP认证者进一步决定是否给客户端提供接入，这认证者进一步决定是否给客户端提供接入，这 也被称为也被称为EAP转移模式。有时认证者可能会代替转移模式。有时认证者可能会代替EAP服务器，服务器， 如此在如此在EAP执行过程中就只包含两部分。执行过程中就只包含两部分。 q第一第一步，通常使用一个底层协议步，通常使用一个底层协

22、议(如如PPP协议或协议或IEEE 802.1X) 来连接来连接EAP认证者。认证者。EAP客户端在这层操作的软件实体被称为客户端在这层操作的软件实体被称为 请求者。请求者。EAP消息对于每种选定的消息对于每种选定的EAP方法包含适当信息。它方法包含适当信息。它 会在会在EAP客户端和认证服务器之间进行交换。客户端和认证服务器之间进行交换。 EAP消息应该包含以下几个部分：消息应该包含以下几个部分： q编码编码(code)：指明指明EAP包的类型，共有包的类型，共有4种：种： (1)Request； (2)Response；(3)Success；(4)Failure。 q标志符标志符(Iden

23、tifier)：用于匹配用于匹配Request消息和消息和Response消消 息。息。 q长度长度(Length)：EAP包的长度，包含了包的长度，包含了Code、Identifier、 Length和和Data域。域。 q数据数据(Data)：包含涉及认证的信息。通常包含涉及认证的信息。通常Data域包含域包含Type域域 和和Type-Data域，其中域，其中Type域指明了所包含数据的类型。域指明了所包含数据的类型。 Success和和Failure消息不包含消息不包含Data域。域。 qEAP认证交换过程如下所述：在底层交换建立了认证交换过程如下所述：在底层交换建立了EAP所需连接所

24、需连接 后，认证者向客户端发送一个对于其身份的请求，客户端会返后，认证者向客户端发送一个对于其身份的请求，客户端会返 回一个带有其身份信息的回应。通信过程会遵从一系列流程，回一个带有其身份信息的回应。通信过程会遵从一系列流程， 为了完成认证信息的交换，流程由一系列认证者的请求和客户为了完成认证信息的交换，流程由一系列认证者的请求和客户 端的回应组成。请求端的回应组成。请求-应答交换的次数取决于验证方式。会话应答交换的次数取决于验证方式。会话 将在出现以下两种情况时终止将在出现以下两种情况时终止； (1)认证者认为该客户认证者认为该客户端端不能不能 通过认证，发送通过认证，发送Failure消息

25、；消息；(2)认证者认为认证成功，发送认证者认为认证成功，发送 Success消息。消息。 q下图给出了一个下图给出了一个EAP交换的例子。交换的例子。 q图中有图中有一一个从客户端发送到认证者的消息或信号，但并没有显个从客户端发送到认证者的消息或信号，但并没有显 示，它使用非示，它使用非EAP协议，请求一个协议，请求一个EAP交换来获得网络接入。交换来获得网络接入。 一个例子就是下一节讨论的一个例子就是下一节讨论的IEEE 802.1X。认证者和客户端交。认证者和客户端交 互中首次互中首次Request和和Response消息是关于身份的，认证者请消息是关于身份的，认证者请 求客户端的身份，

26、客户端在应答消息中声明自己的身份。应答求客户端的身份，客户端在应答消息中声明自己的身份。应答 通过认证者传递到认证服务器。其余的通过认证者传递到认证服务器。其余的EAP交换在客户端和认交换在客户端和认 证服务器之间进行。证服务器之间进行。 q在收到身份在收到身份Response消息消息后，服务器选择一种后，服务器选择一种EAP方法，并方法，并 发送第一个发送第一个EAP消息，这个消息的消息，这个消息的Type域与这种域与这种EAP方法相方法相 关联。如果客户端支持这种关联。如果客户端支持这种EAP方法，就会回应一个这种方法方法，就会回应一个这种方法 的应答消息。如果不支持，客户端发送一个的应答

27、消息。如果不支持，客户端发送一个NAK，服务器或者，服务器或者 选择另一种选择另一种EAP方法或者发送方法或者发送Failure消息结束这次连接。选消息结束这次连接。选 择的择的EAP方法决定了请求方法决定了请求-应答交换的次数。在交换中进行了应答交换的次数。在交换中进行了 包括密钥材料等适当认证信息的交换。当服务器认证认证成功包括密钥材料等适当认证信息的交换。当服务器认证认证成功 或认证失败时，交换结束。或认证失败时，交换结束。 qIEEE 802.1X基于端口的网络访问控制是为基于端口的网络访问控制是为LAN提供访问控制提供访问控制 设计的。表设计的。表16.1简要定义了在简要定义了在IE

28、EE 802.1X表中使用的关键表中使用的关键 词。词。Supplicant，network access point，authentication 分别对应分别对应EAP中的中的peer，authenticator，authentication sever。 q直到直到AS(使用一个认证协议使用一个认证协议)认证一个请求者，认证者只是在认证一个请求者，认证者只是在 AS和请求者之间传递控制和认证消息。此时和请求者之间传递控制和认证消息。此时802.1X控制信道控制信道 是通畅的，是通畅的，802.11数据信道是拥挤的。一旦请求者认证被通数据信道是拥挤的。一旦请求者认证被通 过，并被分配了密钥

29、，认证者就能转发请求者的数据，但是其过，并被分配了密钥，认证者就能转发请求者的数据，但是其 受限于预定义的请求者访问权限。在这种情况下，数据受限于预定义的请求者访问权限。在这种情况下，数据信道信道就就 通畅了。通畅了。 16.3 IEEE 802.1X基于端口的网络访问控制 q正如下图所示：正如下图所示： 802.1X使用了受控端口使用了受控端口 和非受控端口的概念。端和非受控端口的概念。端 口是认证者和相关物理网口是认证者和相关物理网 络连接定义的逻辑实体。络连接定义的逻辑实体。 每个逻辑端口对应这两种每个逻辑端口对应这两种 物理端口中的一个。一个物理端口中的一个。一个 非受控端口允许协议数

30、据非受控端口允许协议数据 单元单元(PDU)在在AS和请求和请求 者之间交换，无须考虑请者之间交换，无须考虑请 求者的认证状态。求者的认证状态。 q一个受控端口只有在请求者的状态允许这次交换时，才允许一个受控端口只有在请求者的状态允许这次交换时，才允许 PDU在网络上其他系统和请求者之间进行交换。在网络上其他系统和请求者之间进行交换。 q802.1X定义的一个基本元素称为定义的一个基本元素称为EAPOL(EAP over LAN)。 EAPOL工作在网络层，在链路层使用工作在网络层，在链路层使用IEEE802 LAN，比如以，比如以 太网或太网或WiFi。EAPOL能使用请求者连接到认证者，并支持能使用请求者连接到认证者，并支持 EAP认证数据包的交换。认证数据包的交换。 q下下表中展示了最常用的表中展示了最常用的EAPOL数据包。数据包。 帧类型帧类型定义定义 EAPOL-EAPEAPOL-EAP包含一个被封装的EAP包 EAPOL-StartEAPOL-Start请求者能发送这个包，不用等待认证者的挑战 EAPOL-LogoffEAPOL-