计算机网络安全_09网络通信安全

1、2022-6-25网络安全概述1本章主要内容：本章主要内容：9.1 网络通信的安全性网络通信的安全性 9.2 网络通信存在的安全威胁网络通信存在的安全威胁9.3 调制解调器的安全调制解调器的安全 9.4 IP安全安全 2022-6-25网络安全概述2l网络通信线路的安全网络通信线路的安全l网络通信存在的安全威胁网络通信存在的安全威胁l IP安全、安全、Psec的概念的概念2022-6-25网络安全概述3l不同层的安全不同层的安全lIP安全机制安全机制2022-6-25网络安全概述4熟练掌握以下内容熟练掌握以下内容：l网络通信线路的安全网络通信线路的安全 l传输过程中威胁传输过程中威胁lIP基础

2、知识、基础知识、IP安全和安全和IPsec安全安全了解以下内容：了解以下内容：l不同层的安全不同层的安全lRAS的安全性的安全性2022-6-25网络安全概述5随着计算机网络技术的不断发展，网络安全随着计算机网络技术的不断发展，网络安全已经成为一个很重要的问题。为了能够已经成为一个很重要的问题。为了能够使网络上的各种资源达到网络共享的目使网络上的各种资源达到网络共享的目的，就必须保证计算机通信网络具有很的，就必须保证计算机通信网络具有很高的通信安全性。不仅要充分认识计算高的通信安全性。不仅要充分认识计算机网络系统的脆弱性和面临的各种威胁，机网络系统的脆弱性和面临的各种威胁，还要采取各种卓有成效

3、的安全策略，保还要采取各种卓有成效的安全策略，保证计算机网络具有高度的保密性和完整证计算机网络具有高度的保密性和完整性。性。2022-6-25网络安全概述6l线路安全线路安全 l不同层的安全不同层的安全 2022-6-25网络安全概述7l如果所有的系统和所有连接到系统的网络和连接到系如果所有的系统和所有连接到系统的网络和连接到系统的终端都封闭在一个环境里，那通信是安全的，但统的终端都封闭在一个环境里，那通信是安全的，但是，现在通信网络业的发达，所有系统不可能封闭在是，现在通信网络业的发达，所有系统不可能封闭在一个环境中，因此当系统的通信线在这个封闭的环境一个环境中，因此当系统的通信线在这个封闭

4、的环境外，问题便会随之而来。外，问题便会随之而来。l用一种简单但很昂贵的高新技术给电缆加压，可以获用一种简单但很昂贵的高新技术给电缆加压，可以获得通信的物理安全。这一技术是为美国电话技术而开得通信的物理安全。这一技术是为美国电话技术而开发的。通信电缆密封在塑料套管中，并在线缆的两端发的。通信电缆密封在塑料套管中，并在线缆的两端充气加压。线上连接了带有报警器的显示器，用来测充气加压。线上连接了带有报警器的显示器，用来测量压力。如果压力下降，则意味着电缆可能被破坏了，量压力。如果压力下降，则意味着电缆可能被破坏了，维修人员将被派出维修出现问题的电缆。维修人员将被派出维修出现问题的电缆。2022-6

5、-25网络安全概述8l电缆加压技术提供了安全的通信线路。不是将电缆加压技术提供了安全的通信线路。不是将电缆埋在地下，而是架线于整座楼中，每寸电电缆埋在地下，而是架线于整座楼中，每寸电缆都暴露在外。如果任何人企图割电缆，监视缆都暴露在外。如果任何人企图割电缆，监视器会自动报警。如果有人成功地在电缆上接上器会自动报警。如果有人成功地在电缆上接上了自己的通讯设备，安全人员定期检查电缆的了自己的通讯设备，安全人员定期检查电缆的总长度，就会发现电缆的拼接处。加压电缆是总长度，就会发现电缆的拼接处。加压电缆是屏蔽在波纹铝钢包皮中的，因此几乎没有电磁屏蔽在波纹铝钢包皮中的，因此几乎没有电磁辐射，如果要用电磁

6、感应窃密，势必会动用大辐射，如果要用电磁感应窃密，势必会动用大量可见的设备，因此很容易被发觉。量可见的设备，因此很容易被发觉。2022-6-25网络安全概述91. Internet层的安全性l对于对于Internet层的安全协议进行标准化的工作已经进行的很多，比较典层的安全协议进行标准化的工作已经进行的很多，比较典型的有美国国家安全局以及标准技术协会为型的有美国国家安全局以及标准技术协会为“安全数据网络系统安全数据网络系统（SDNS）”的一部分而制定的的一部分而制定的“安全协议安全协议3号（号（SP3）”；由国际标准；由国际标准化组织为化组织为“无连接网络协议（无连接网络协议（CLNP）”制定

7、的制定的“网络层安全协议网络层安全协议（NLSP）”；由美国国家科技研究所提出的；由美国国家科技研究所提出的“集成化集成化NLSP”等。这些等。这些协议用的都是协议用的都是IP封装技术。封装技术。lInternet 工程特谴组工程特谴组IETF（Internet Engineering Task Force）已经特）已经特许许Internet协议安全协议（协议安全协议（IPSEC）工作组对）工作组对IP安全协议（安全协议（IPSP）和对）和对应的应的Internet密钥管理协议（密钥管理协议（IKMP）进行标准化工作。）进行标准化工作。IPSP的主要目的的主要目的是使需要使用安全措施的用户能够

8、使用相应的加密安全体制。该体制既是使需要使用安全措施的用户能够使用相应的加密安全体制。该体制既能在目前通行的能在目前通行的IP V4下工作，也能在下工作，也能在IP V6下工作。该体制必须能实行下工作。该体制必须能实行多种安全策略，但要避免给不使用该体制的人造成不利影响。按照以上多种安全策略，但要避免给不使用该体制的人造成不利影响。按照以上要求，要求，IPSEC工作组制定了一个规范：认证头（工作组制定了一个规范：认证头（Authentication Header，AH）和封装安全有效负荷（）和封装安全有效负荷（Encapsulating Security Payload，ESP）。简言之，）。

9、简言之，AH提供提供IP包的真实性和完整性，包的真实性和完整性，ESP提供提供机要内容。机要内容。2022-6-25网络安全概述10lIP AH 指一段消息认证代码（指一段消息认证代码（Message Authentication Code，MAC），在发送），在发送IP包之前，它已经被事先计算好。发送方用加密包之前，它已经被事先计算好。发送方用加密密钥算出密钥算出AH，接收方用同一或另一密钥对之进行验证。如果收，接收方用同一或另一密钥对之进行验证。如果收发双方使用的是单钥体制，那它们就使用同一密钥；如果收发双发双方使用的是单钥体制，那它们就使用同一密钥；如果收发双方使用的是公钥体制，那它们就

10、使用不同的密钥。方使用的是公钥体制，那它们就使用不同的密钥。RFC 1828首首次规定了加封状态下次规定了加封状态下AH的计算和验证中要采用带密钥的的计算和验证中要采用带密钥的MD5算算法。而与此同时，法。而与此同时，MD5和加封状态都被批评为加密强度太弱，并和加封状态都被批评为加密强度太弱，并有替换的方案提出。有替换的方案提出。lIP ESP的基本想法是对整个的基本想法是对整个IP包进行封装，或者只对包进行封装，或者只对ESP内上层内上层协议的数据（运输状态）进行封装，并对协议的数据（运输状态）进行封装，并对ESP的绝大部分数据进的绝大部分数据进行加密。在管道状态下，为当前已经加密的行加密。

11、在管道状态下，为当前已经加密的ESP附加了一个新的附加了一个新的IP头（纯文本），它可以用来对头（纯文本），它可以用来对IP包在包在Internet上作路由选择。上作路由选择。接受方把这个接受方把这个IP 头去掉，再对头去掉，再对ESP 进行解密，处理并去掉进行解密，处理并去掉ESP 头。再对原来的头。再对原来的IP 包或更高层的协议的数据像普通的包或更高层的协议的数据像普通的IP包那样进包那样进行处理。行处理。2022-6-25网络安全概述11lInternet层安全性的主要优点是它的透明性，也就是说，层安全性的主要优点是它的透明性，也就是说，提供完全服务并不需要应用程序、其它通信层协议和提

12、供完全服务并不需要应用程序、其它通信层协议和网络部件做任何改动。它的主要缺点是网络部件做任何改动。它的主要缺点是Internet层一般层一般对属于不同进度和相应条例的包不作区别。对所有去对属于不同进度和相应条例的包不作区别。对所有去网络中同一地址的包，它将按照同样的加密密钥和访网络中同一地址的包，它将按照同样的加密密钥和访问控制策略来处理。这可能导致提供不了所需的功能，问控制策略来处理。这可能导致提供不了所需的功能，也会导致性能下降。也会导致性能下降。l简而言之，简而言之，Internet层是非常适合提供基于主机对主机层是非常适合提供基于主机对主机的安全服务的。相应的安全协议可以用来在的安全服

13、务的。相应的安全协议可以用来在Internet上上建立安全的建立安全的IP通道和虚拟私有网。例如，利用它对通道和虚拟私有网。例如，利用它对IP包的加密和解密功能，可以简捷地强化防火墙系统的包的加密和解密功能，可以简捷地强化防火墙系统的防卫能力。防卫能力。2022-6-25网络安全概述122. 传输层的安全性l在在Internet应用编程中，通常使用广义的进程间通信应用编程中，通常使用广义的进程间通信（IPC）机制来与不同层次的安全协议打交道。比较流）机制来与不同层次的安全协议打交道。比较流行的两个行的两个IPC编程界面是编程界面是BSD Sockets和传输层界面和传输层界面（TLI）.Net

14、scape通信公司遵循了这个思路，制定了通信公司遵循了这个思路，制定了建立在可靠的传输服务（如建立在可靠的传输服务（如TCP/IP可提供）基础上的可提供）基础上的安全套接层协议（安全套接层协议（SSL）。）。SSL版本版本3于于1995年年2月制月制定，它主要包含以下两个协议：定，它主要包含以下两个协议：l（1）SSL记录协议：它涉及应用程序提供的信息的分记录协议：它涉及应用程序提供的信息的分段、压缩、数据认证和加密。段、压缩、数据认证和加密。SSL v3提供对数据认证提供对数据认证用的用的MD5和和SHA以及数据加密用的以及数据加密用的R4和和DES等的支持，等的支持，用来对数据进行认证和加

15、密的密钥可以通过和用来对数据进行认证和加密的密钥可以通过和SSL的的握手协议来协商。握手协议来协商。2022-6-25网络安全概述13（2）SSL握手协议：它用来交换版本号、加密握手协议：它用来交换版本号、加密算法、（相互）身份认证并交换密钥，算法、（相互）身份认证并交换密钥，SSL v3提供对提供对Deffie-Hellman密钥交换算法、基于密钥交换算法、基于RSA的密钥交换机制和另一种实现在的密钥交换机制和另一种实现在Fortezza chip 上的密钥交换机制的支持。上的密钥交换机制的支持。l传输层安全机制的主要缺点就是要对传输层传输层安全机制的主要缺点就是要对传输层IPC界面和应用程

16、序两端都进行修改和基于界面和应用程序两端都进行修改和基于UDP的通信很难在传输层建立起安全机制来。的通信很难在传输层建立起安全机制来。传输层安全机制的主要优点是它提供基于进程传输层安全机制的主要优点是它提供基于进程对进程的（而不是主机对主机的）安全服务。对进程的（而不是主机对主机的）安全服务。2022-6-25网络安全概述143. 应用层的安全性l在应用层提供安全服务的方法比较多。在在应用层提供安全服务的方法比较多。在RFC 1421至至1424中中,IETF规定了私用强化邮件（规定了私用强化邮件（PEM）来为基于）来为基于SMTP的电子邮件系统提供安全服务。而的电子邮件系统提供安全服务。而I

17、nternet业界业界采纳采纳PEM的步子还是比较慢的主要原因是的步子还是比较慢的主要原因是PEM依赖于依赖于一个现存的、完全可操作的一个现存的、完全可操作的PKI（公钥基础结构）。（公钥基础结构）。PEM PKI是按层次组织的，由下述三个层次构成：是按层次组织的，由下述三个层次构成：l（1）顶层为）顶层为Internet安全政策登记机构（安全政策登记机构（IPRA）l（2）次层为安全政策证书颁发机构（）次层为安全政策证书颁发机构（PCA）l（3）底层为证书颁发机构（）底层为证书颁发机构（CA）2022-6-25网络安全概述15lS-HTTP是是Web上使用的超文本传输协议的安全增强上使用的超

18、文本传输协议的安全增强版本，由企业集成技术公司设计。版本，由企业集成技术公司设计。S-HTTP提供了文件提供了文件级的安全机制，因此每个文件都可以被设成私人级的安全机制，因此每个文件都可以被设成私人/签字签字状态。用作加密及签名的算法可以由参与通信的收发状态。用作加密及签名的算法可以由参与通信的收发双方协商。双方协商。S-HTTP提供了对多种单向散列（提供了对多种单向散列（Hash）函数的支持，如：函数的支持，如：MD2、MD5和和SHA；对多种单钥体；对多种单钥体制的支持，如：制的支持，如：DES、3DES、RC2、RC4和和CDMF；对数字签名体制的支持，如：对数字签名体制的支持，如：RS

19、A和和DSS。l目前还没有目前还没有Web安全性的公认标准，安全性的公认标准，S-HTTP和和SSL是是从不同角度提供从不同角度提供Web安全性的。安全性的。S-HTTP对单个文件对单个文件作作“私人私人/签字签字”之区分，而之区分，而SSL则把则把 2022-6-25网络安全概述16l参与通信的相应进程之间的数据通道按参与通信的相应进程之间的数据通道按“私用私用”和和“已已认证认证”进行监管。进行监管。Terisa公司的公司的SecereWeb工具软件包工具软件包可以用来为任何可以用来为任何Web提供安全功能。该工具软件包提供提供安全功能。该工具软件包提供有有RSA数据安全公司的加密算法库，

20、并提供对数据安全公司的加密算法库，并提供对SSL和和S-HTTP的全面支持。的全面支持。l另一个重要的应用是电子商务，尤其是信用卡交易。为另一个重要的应用是电子商务，尤其是信用卡交易。为了使了使Internet上的信用卡交易安全起见，上的信用卡交易安全起见，MasterCard公公司和其它一些国际信用卡公司指定了安全电子付费协议司和其它一些国际信用卡公司指定了安全电子付费协议（SEPP），），Visa国际公司和微软公司制定了安全交易国际公司和微软公司制定了安全交易技术（技术（STT）协议。同时，）协议。同时，MasterCard、Visa国际和国际和微软已经同意联手推出微软已经同意联手推出In

21、ternet上的安全信用卡交易服上的安全信用卡交易服务。他们发布了相应的安全付费的方法。这套机制的后务。他们发布了相应的安全付费的方法。这套机制的后台有一个颁发证书的基础机构，提供对台有一个颁发证书的基础机构，提供对X.509证书的支证书的支持。持。2022-6-25网络安全概述17l9.2.1 传输过程中的威胁l9.2.2 TCP/IP协议的脆弱性2022-6-25网络安全概述18l1安全威胁l计算机网络通信安全即数据在网络中的传输过计算机网络通信安全即数据在网络中的传输过程的安全，是指如何保证信息在网络传输的过程的安全，是指如何保证信息在网络传输的过程中不被泄露与不被攻击的问题。当网络中的

22、程中不被泄露与不被攻击的问题。当网络中的计算机通信双方的发送方给接收方发送信息时，计算机通信双方的发送方给接收方发送信息时，在传输的过程中可能会有截获、窃听、篡改和在传输的过程中可能会有截获、窃听、篡改和伪造四种攻击类型发生。伪造四种攻击类型发生。l1）截获）截获l信息被非法用户截获，这时接收方没有接收到信息被非法用户截获，这时接收方没有接收到应该接收的信息，从而使信息中途丢失。应该接收的信息，从而使信息中途丢失。2022-6-25网络安全概述192）窃听）窃听l信息虽然没有丢失，接收方也接收到了应该接收的信息，信息虽然没有丢失，接收方也接收到了应该接收的信息，但该信息已被不该看的人看到。如果

23、传输的信息是有关但该信息已被不该看的人看到。如果传输的信息是有关政治、军事或经济信息方面的重要信息，那么就有可能政治、军事或经济信息方面的重要信息，那么就有可能造成严重的问题。造成严重的问题。3）篡改）篡改l信息表面上虽然没有丢失，接收方也接收到了信息，但信息表面上虽然没有丢失，接收方也接收到了信息，但该信息在传输的过程中已被截获并被修改过，或插入了该信息在传输的过程中已被截获并被修改过，或插入了欺骗性的信息，实际上接收方所接收的信息是错误的。欺骗性的信息，实际上接收方所接收的信息是错误的。4）伪造）伪造l发送方并没有发送信息给接收方，而接收方收到的信息发送方并没有发送信息给接收方，而接收方收

24、到的信息是第三方伪造的，如果接收方不能通过有效办法发现这是第三方伪造的，如果接收方不能通过有效办法发现这一情况，那就有可能会出现严重的后果。一情况，那就有可能会出现严重的后果。2022-6-25网络安全概述202防范措施加密l防止网络窃听最好的方法就是给网上的信息加密，使得防止网络窃听最好的方法就是给网上的信息加密，使得侦听程序无法识别这些信息模式。加密也可以提高终端侦听程序无法识别这些信息模式。加密也可以提高终端和网络通信的安全，有三种方法加密传输数据。和网络通信的安全，有三种方法加密传输数据。1）链接加密）链接加密l在网络节点间加密，在节点间传输加密，传送到节点后在网络节点间加密，在节点间

25、传输加密，传送到节点后解密，同节点之间用不同的密码。解密，同节点之间用不同的密码。2）节点加密）节点加密l与链接加密类似，不同的只是当数据在节点间传送时，与链接加密类似，不同的只是当数据在节点间传送时，不用明码格式传送，而是用特殊的加密硬件进行解密和不用明码格式传送，而是用特殊的加密硬件进行解密和重加密，这种专用硬件通常旋转在安全保险箱中。重加密，这种专用硬件通常旋转在安全保险箱中。2022-6-25网络安全概述213）首尾加密）首尾加密l这种方法的优点是网络上的每个用户（通常是每个机器这种方法的优点是网络上的每个用户（通常是每个机器的一个用户）可以有不同的加密关键词，并且网络本身的一个用户）

26、可以有不同的加密关键词，并且网络本身不需要增添任何专门的加密设备。缺点是每个系统必须不需要增添任何专门的加密设备。缺点是每个系统必须有一个加密设备和相应的软件（管理加密关键词）。或有一个加密设备和相应的软件（管理加密关键词）。或者每个系统必须自己完成加密工作（当数据传输速率是者每个系统必须自己完成加密工作（当数据传输速率是按兆位秒的单位计算时，加密任务的计算量是非常大按兆位秒的单位计算时，加密任务的计算量是非常大的）。终端数据加密是一种特殊情况，此时链接加密法的）。终端数据加密是一种特殊情况，此时链接加密法和首尾加密法是一样的方法，终端和计算机都是即为节和首尾加密法是一样的方法，终端和计算机都

27、是即为节点又为终止端点。点又为终止端点。2022-6-25网络安全概述221. TCP/IP协议的特点l为了能使全世界各地的网络作为因特网的子网接入，并为了能使全世界各地的网络作为因特网的子网接入，并允许连入各个子网的计算机在具有不同类型和使用不同允许连入各个子网的计算机在具有不同类型和使用不同操作系统的情况下，保证因特网能够正常工作，要求所操作系统的情况下，保证因特网能够正常工作，要求所有连入因特网的计算机都使用相同的通信协议，即有连入因特网的计算机都使用相同的通信协议，即TCP/IP协议。协议。lTCP/IP协议包括协议包括TCP协议、协议、IP协议及其他一些协议。协议及其他一些协议。TC

28、P协议主要用于在应用程序之间传送数据，而协议主要用于在应用程序之间传送数据，而IP协议协议主要用于在主机之间传送数据。虽然主要用于在主机之间传送数据。虽然TCP/IP协议都不是协议都不是OSI标准，但它们被认为是公认的事实上的标准，是因特标准，但它们被认为是公认的事实上的标准，是因特网中计算机之间通信时必须共同遵循的一种通信协议。网中计算机之间通信时必须共同遵循的一种通信协议。它不仅规定了计算机之间通信的所有细节，每台计算机它不仅规定了计算机之间通信的所有细节，每台计算机信息表示的格式与含义，还规定了计算机之间通信所使信息表示的格式与含义，还规定了计算机之间通信所使用的控制信息和接到控制信息的

29、所做出的反应。用的控制信息和接到控制信息的所做出的反应。2022-6-25网络安全概述231. TCP/IP协议的特点lTCP/IP协议可以免费使用，是开放的协议标准。它独立协议可以免费使用，是开放的协议标准。它独立于特定的网络硬件、计算机硬件和操作系统，具有标准于特定的网络硬件、计算机硬件和操作系统，具有标准化的高层协议，可以提供多种可靠的用户服务，使得整化的高层协议，可以提供多种可靠的用户服务，使得整个个TCP/IP设备在网中都具有唯一的地址。设备在网中都具有唯一的地址。l基于基于TCP/IP协议的服务有很多，常用如协议的服务有很多，常用如WWW服务、服务、FTP服务；人们不太熟悉的有服务

30、；人们不太熟悉的有TFTP服务、服务、NFS服务和服务和Finger服务等，这些服务都在不同程度上存在着安全缺服务等，这些服务都在不同程度上存在着安全缺陷。当用户使用防火墙保护站点时，就要考虑好应允许陷。当用户使用防火墙保护站点时，就要考虑好应允许提供那些服务、禁止那些服务等。提供那些服务、禁止那些服务等。2022-6-25网络安全概述24l2. TCP/IP 协议的安全缺陷lTCP/IP协议是因特网使用的最基本的通信协议，由于该协协议是因特网使用的最基本的通信协议，由于该协议在创建时只是想要扩展它，在定义议在创建时只是想要扩展它，在定义TCP/IP和其他相关协和其他相关协议时没有考虑其安全性

31、。现存的议时没有考虑其安全性。现存的TCP/IP协议有一些安全缺协议有一些安全缺陷，它们是：易被窃听和欺骗、脆弱的陷，它们是：易被窃听和欺骗、脆弱的TCP/IP服务、扩大服务、扩大了访问权限、复杂的配置等。了访问权限、复杂的配置等。l（1）易被窃听和欺骗）易被窃听和欺骗lTCP/IP协议中存在的漏洞之一是无法证实一台主机的身份，协议中存在的漏洞之一是无法证实一台主机的身份，并且比较容易冒充其他主机。在因特网这个特定环境下，要并且比较容易冒充其他主机。在因特网这个特定环境下，要在主机之间提供安全并且秘密的传输信道是比较困难的。因在主机之间提供安全并且秘密的传输信道是比较困难的。因此此TCP/IP

32、协议常常受到协议常常受到IP欺骗和网络窥探攻击。欺骗和网络窥探攻击。2022-6-25网络安全概述25l因特网上的大多数信息是没有加密的，口令系统是目前暴因特网上的大多数信息是没有加密的，口令系统是目前暴露最多的网络弱点。网络安全问题中约露最多的网络弱点。网络安全问题中约80%是由不安全的是由不安全的口令造成的，破解口令的工具软件可从网上免费获得，因口令造成的，破解口令的工具软件可从网上免费获得，因此，要经常更换因特网上的口令，以免受到攻击。此，要经常更换因特网上的口令，以免受到攻击。l在合理的网络中，系统管理员通过嗅探器可以方便地判断在合理的网络中，系统管理员通过嗅探器可以方便地判断网络问题

33、，例如：可确定出：哪台主机正占据着主要通信网络问题，例如：可确定出：哪台主机正占据着主要通信协议？多少通信量属于哪个网络协议？报文发送占用多少协议？多少通信量属于哪个网络协议？报文发送占用多少时间？相互主机的报文传送间隔时间？等等。同样，如果时间？相互主机的报文传送间隔时间？等等。同样，如果黑客使用嗅探器的话，也可以获得和管理员一样多的信息。黑客使用嗅探器的话，也可以获得和管理员一样多的信息。这将对网络安全造成极大的威胁，给用户带来不可估量的这将对网络安全造成极大的威胁，给用户带来不可估量的严重后果。严重后果。l实现窃听和欺骗行为的工具有很多，而且在网上都是免费实现窃听和欺骗行为的工具有很多，

34、而且在网上都是免费提供的。提供的。2022-6-25网络安全概述26（3）缺乏安全策略）缺乏安全策略l在因特网上，很多站点在防火墙的配置上几乎在因特网上，很多站点在防火墙的配置上几乎都无意识地扩大了访问的权限，结果权限被内都无意识地扩大了访问的权限，结果权限被内部人员滥用，这种行为没有得到网络管理人员部人员滥用，这种行为没有得到网络管理人员的有效制止，使黑客通过一些服务，从中获得的有效制止，使黑客通过一些服务，从中获得了有用的信息。了有用的信息。(4)复杂的系统配置复杂的系统配置l由于访问控制的配置比较复杂，有时会出现错由于访问控制的配置比较复杂，有时会出现错误的配置，结果使黑客有机可乘，给网

35、络安全误的配置，结果使黑客有机可乘，给网络安全带来危害。带来危害。2022-6-25网络安全概述273. TCP/IP服务的脆弱性（1） WWW服务服务 WWW（World Wide Web，中文名为万，中文名为万维网）服务可以说是因特网上最方便、最维网）服务可以说是因特网上最方便、最常用和最受用户欢迎的服务，它是由瑞士常用和最受用户欢迎的服务，它是由瑞士日内瓦欧洲粒子物理实验室发明的，目前日内瓦欧洲粒子物理实验室发明的，目前正广泛用于电子商务、远程教育、远程医正广泛用于电子商务、远程教育、远程医疗与信息服务等领域。疗与信息服务等领域。2022-6-25网络安全概述28超文本是超文本是WWW实

36、现的关键技术之一，是实现的关键技术之一，是WWW的信息组织的信息组织形式。形式。WWW是以超文本标注语言是以超文本标注语言HTML与超文本传输协与超文本传输协议议HTTP为基础的，集合了因特网上所有的为基础的，集合了因特网上所有的HTTP服务器，服务器，用超文本把用超文本把Web站点上的文件（包括文本、图形、声音、站点上的文件（包括文本、图形、声音、视频以及其他形式）以主页的形式连在一起存储在视频以及其他形式）以主页的形式连在一起存储在WWW服务器中。不管文件在何处，都可通过服务器中。不管文件在何处，都可通过Netscape Navigator和和 MicrosoftInternet Expl

37、orer浏览器搜索。浏览器搜索。信息资源用户通过游览器向信息资源用户通过游览器向WWW服务器发出请求，服务器发出请求，WWW服务器则根据请求内容从中选中某个页面发给客户服务器则根据请求内容从中选中某个页面发给客户端，经过游览器的解释后将图、文、声并茂的画面呈现给端，经过游览器的解释后将图、文、声并茂的画面呈现给用户，用户通过页面中的链接就可访问用户，用户通过页面中的链接就可访问WWW服务器及其服务器及其他类型的网络信息资源。当用户使用浏览器时，实际上是他类型的网络信息资源。当用户使用浏览器时，实际上是在申请相应的服务器。而这些服务器本身就存在着不安全在申请相应的服务器。而这些服务器本身就存在着

38、不安全隐患。隐患。2022-6-25网络安全概述29(2) 电子邮件服务电子邮件服务l电子邮件服务又称电子邮件服务又称E-mail服务，目前服务，目前E-mail地址已成为人地址已成为人们的通信地址，为因特网用户之间发送和接收消息提供了们的通信地址，为因特网用户之间发送和接收消息提供了一种现代化通信手段，在国际交往和电子商务中起到了很一种现代化通信手段，在国际交往和电子商务中起到了很重要的作用。重要的作用。l邮件服务器主要负责接收用户送来的邮件，然后根据收件邮件服务器主要负责接收用户送来的邮件，然后根据收件人的地址发送到对方的邮件服务器中。同时它还能接收由人的地址发送到对方的邮件服务器中。同时

39、它还能接收由其他邮件服务器发来的邮件，并根据收件人的地址分发到其他邮件服务器发来的邮件，并根据收件人的地址分发到相应的电子邮箱中。电子邮件附着的相应的电子邮箱中。电子邮件附着的Word文件或其他文文件或其他文件中有可能带有病毒，邮件箱被塞满的情况时有发生，电件中有可能带有病毒，邮件箱被塞满的情况时有发生，电子邮件炸弹令人烦恼，邮件溢出是子邮件炸弹令人烦恼，邮件溢出是E-mail的一个安全问题。的一个安全问题。2022-6-25网络安全概述30(3) 文件传输服务文件传输服务l文件传输服务主要是指文件传输服务主要是指FTP和和TFTP，这两个服务都是用，这两个服务都是用于传输文件的，但由于用的场

40、合不同，所以安全等级也不于传输文件的，但由于用的场合不同，所以安全等级也不同。同。TFTP服务用于局域网，在无盘工作站启动时用于传服务用于局域网，在无盘工作站启动时用于传输系统文件，因为它不带任何安全认证而且安全性极差，输系统文件，因为它不带任何安全认证而且安全性极差，所以常被人用来窃取密码文件所以常被人用来窃取密码文件/etc/passwd。FTP服务对服务对于局域网和广域网都可以用来下载任何类型的文件。网上于局域网和广域网都可以用来下载任何类型的文件。网上有许多匿名有许多匿名FTP服务站点，其中有许多免费的软件、图片服务站点，其中有许多免费的软件、图片和游戏，匿名和游戏，匿名FTP是人们常

41、使用的一种服务方式。当然，是人们常使用的一种服务方式。当然，FTP服务的安全性要好一些，起码它需要输入用户名称和服务的安全性要好一些，起码它需要输入用户名称和口令，而匿名口令，而匿名FTP服务就像匿名服务就像匿名WWW服务一样是不需要服务一样是不需要口令的，但用户权利同时也会受到严格的限制，匿名口令的，但用户权利同时也会受到严格的限制，匿名FTP存在一定的安全隐患。存在一定的安全隐患。2022-6-25网络安全概述31（4）Finger服务服务lFinger服务用于查询用户的信息，包括网服务用于查询用户的信息，包括网上成员的真实姓名、用户名、最近的登陆上成员的真实姓名、用户名、最近的登陆时间和

42、地点等，也可以用来显示当前登陆时间和地点等，也可以用来显示当前登陆在机器上的所有用户名，这对于入侵者来在机器上的所有用户名，这对于入侵者来说是无价之宝。因为它能告诉入侵者在本说是无价之宝。因为它能告诉入侵者在本机上的有效的登陆名，然后入侵就可以注机上的有效的登陆名，然后入侵就可以注意它们的活动。意它们的活动。2022-6-25网络安全概述329.3.1 拨号调制解调器访问安全9.3.2 RAS的安全性概述2022-6-25网络安全概述33l调制解调器是人们常用的一种通信设备，计算机是通过调调制解调器是人们常用的一种通信设备，计算机是通过调制解调器与电话线路连接实现远程通信。在发送端，调制制解调

43、器与电话线路连接实现远程通信。在发送端，调制解调器将计算机产生的数字信号转换成电话交换网可以传解调器将计算机产生的数字信号转换成电话交换网可以传送的模拟信号；在接收端，调制解调器将接收到的模拟数送的模拟信号；在接收端，调制解调器将接收到的模拟数据信号还原成数字信号传送给计算机。用户计算机无论在据信号还原成数字信号传送给计算机。用户计算机无论在什么地方，都可通过调制解调器和电话线访问因特网或局什么地方，都可通过调制解调器和电话线访问因特网或局域网。因此域网。因此,调制解调器已经给人们的工作和学习带来了调制解调器已经给人们的工作和学习带来了非常大的便利。但是，调制解调器在给人们带来方便的同非常大的

44、便利。但是，调制解调器在给人们带来方便的同时也带来了危险，黑客可以利用调制解调器入侵网络。时也带来了危险，黑客可以利用调制解调器入侵网络。l目前有很多加强拨号调制解调器安全的方法，如：使用一目前有很多加强拨号调制解调器安全的方法，如：使用一次性口令、基于位置的身份验证、设置回呼安全机制、增次性口令、基于位置的身份验证、设置回呼安全机制、增加核实身份服务器等。这些方法不是互相排斥的，而是相加核实身份服务器等。这些方法不是互相排斥的，而是相辅相成的，如果能将这些方法配合使用一定会收到事半功辅相成的，如果能将这些方法配合使用一定会收到事半功倍的效果。倍的效果。2022-6-25网络安全概述34（1）

45、使用一次性口令）使用一次性口令l口令可以是静态的，要妥善保管好用户口令，不口令可以是静态的，要妥善保管好用户口令，不要将它写在明显的、别人能找到的地方，如本上要将它写在明显的、别人能找到的地方，如本上或桌子上。最好使用一次性口令，并且要考虑到或桌子上。最好使用一次性口令，并且要考虑到使用相对较安全的口令。避免使用用户名或其变使用相对较安全的口令。避免使用用户名或其变化形式、自己或亲友的生日、常用英文单词以及化形式、自己或亲友的生日、常用英文单词以及5或或5位以下的字符等容易破解的作为口令，以保位以下的字符等容易破解的作为口令，以保护好拨号服务器。在电话线上窃听口令不像在局护好拨号服务器。在电话

46、线上窃听口令不像在局域网上那样简单，因为入侵者需要把探针插入电域网上那样简单，因为入侵者需要把探针插入电话线来窃听电话。话线来窃听电话。2022-6-25网络安全概述35（2）基于位置的身份验证）基于位置的身份验证l利用利用GPS全球定位系统判断用户是否在规全球定位系统判断用户是否在规定的位置上进行拨号入网，如果不是在规定的位置上进行拨号入网，如果不是在规定的位置上，则拒绝入网。这种基于位置定的位置上，则拒绝入网。这种基于位置的身份验证方法，由于的身份验证方法，由于GPS定位系统的关定位系统的关系，所以技术上还不太成熟，另外，由于系，所以技术上还不太成熟，另外，由于其价格昂贵，所以，这样方法远

47、还没有普其价格昂贵，所以，这样方法远还没有普及，不过如果在特殊场合，它还是非常有及，不过如果在特殊场合，它还是非常有用的，比如在军事领域等。用的，比如在军事领域等。2022-6-25网络安全概述36（3）设置回呼安全机制）设置回呼安全机制l使用安全性能较好的调制解调器，如回拨调制解使用安全性能较好的调制解调器，如回拨调制解调器、安静调制解调器等。回拨调制解调器的功调器、安静调制解调器等。回拨调制解调器的功能是：当用户输入的用户名和口令被系统检验为能是：当用户输入的用户名和口令被系统检验为是一个合法的远程客户后就会断开连接，查到该是一个合法的远程客户后就会断开连接，查到该用户提供的或预置的电话号

48、码后，重新拨叫该电用户提供的或预置的电话号码后，重新拨叫该电话号码并建立连接。之后用户重新输入用户名和话号码并建立连接。之后用户重新输入用户名和口令而进入该系统。口令而进入该系统。l安静调制解调器在登录完成之前不会发出特殊的安静调制解调器在登录完成之前不会发出特殊的建立连接信号，这样就可以防止别人按顺序搜索建立连接信号，这样就可以防止别人按顺序搜索计算机拨号系统的电话号码。计算机拨号系统的电话号码。2022-6-25网络安全概述37（4）增加核实身份服务器）增加核实身份服务器l在因特网上增加一个用于核实身份的服务在因特网上增加一个用于核实身份的服务器，这样，用户只有通过该服务器验证才器，这样，

49、用户只有通过该服务器验证才能进入该系统，同时该服务器对登录情况能进入该系统，同时该服务器对登录情况进行审计，以帮助在事后发现谁以及何时进行审计，以帮助在事后发现谁以及何时进入该系统。进入该系统。2022-6-25网络安全概述38网络的安全性是因特网的一个重要问题，特别是当远程用户网络的安全性是因特网的一个重要问题，特别是当远程用户访 问 网 络 资 源 时 ， 其 安 全 性 更 显 得 尤 其 重 要 。 在访 问 网 络 资 源 时 ， 其 安 全 性 更 显 得 尤 其 重 要 。 在Windows NT操作系统域中，主域控制器是通过操作系统域中，主域控制器是通过RAS服务服务器实现其安

50、全性的。器实现其安全性的。RAS服务器只允许合法的域用户访服务器只允许合法的域用户访问，并且对已认证和注册的信息加密。如果远程用户和问，并且对已认证和注册的信息加密。如果远程用户和RAS服务器之间的物理连接被破坏，那么既使黑客得到服务器之间的物理连接被破坏，那么既使黑客得到了数据也是不能解密的。为了简化用户账号的管理，了数据也是不能解密的。为了简化用户账号的管理，RAS服务器的远程用户使用相同的账号数据库，而不需服务器的远程用户使用相同的账号数据库，而不需要不同的账号数据库。对于非授权用户来说，要不同的账号数据库。对于非授权用户来说，RAS服务服务器不仅能够拒绝访问，同时还能够及时了解它的目的

51、和企器不仅能够拒绝访问，同时还能够及时了解它的目的和企图，并对该事件进行记录等。图，并对该事件进行记录等。2022-6-25网络安全概述39l通过在通过在RAS客户和客户和RAS服务器之间连接一个中间服务器之间连接一个中间的安全性主机，而使为的安全性主机，而使为RAS配置另一个级别的安配置另一个级别的安全机制成为可能。当使用中间的安全性主机时，全机制成为可能。当使用中间的安全性主机时，用户先要接受中间的安全性主机的审核，才能登用户先要接受中间的安全性主机的审核，才能登录到录到RAS服务器上。服务器上。l另外，另外，RAS可以提供回呼安全机制，即允许计算可以提供回呼安全机制，即允许计算机用户建立

52、从机用户建立从RAS客户到客户到RAS服务器之间的初始服务器之间的初始连接。连接。RAS服务器首先检验该客户是否为合法客服务器首先检验该客户是否为合法客户，如果是合法的远程客户并且这个用户使用了户，如果是合法的远程客户并且这个用户使用了回呼安全机制，则回呼安全机制，则RAS服务器就中断连接，立即服务器就中断连接，立即重新拨叫用户提供的或预置的重新拨叫用户提供的或预置的RAS客户的电话号客户的电话号码，并且重新检验客户的合法性。码，并且重新检验客户的合法性。2022-6-25网络安全概述409.4.1 IPSec概述9.4.2 IP和Ipv69.4.3 IPSec：AH和ESP9.4.4 IPS

53、ec：IKE2022-6-25网络安全概述41lIPSec(Internet安全协议安全协议)是一个工业标准网络安是一个工业标准网络安全协议，为全协议，为IP网络通信提供透明的安全服务，保网络通信提供透明的安全服务，保护护TCPIP通信免遭窃听和篡改，可以有效抵御通信免遭窃听和篡改，可以有效抵御网络攻击。网络攻击。IPSec有两个基本目标：保护有两个基本目标：保护IP数据数据包安全和为抵御网络攻击提供防护措施。包安全和为抵御网络攻击提供防护措施。lIPsec是是IPV6的一个组成部分，也是的一个组成部分，也是IPV4的一个的一个可选扩展协议。可选扩展协议。IPsec弥补了弥补了IPV4在协议设

54、计时在协议设计时缺乏安全性考虑的不足。缺乏安全性考虑的不足。lIPsec提供三种不同的形式来保护通过公有或私提供三种不同的形式来保护通过公有或私有有IP网络传送的私有数据。网络传送的私有数据。2022-6-25网络安全概述421） 认证：通过认证可以确定所接受的数据与所发认证：通过认证可以确定所接受的数据与所发送的数据是否一致，同时可以确定申请发送者在送的数据是否一致，同时可以确定申请发送者在实际上是真实的，还是伪装的发送者。实际上是真实的，还是伪装的发送者。2）数据完整性：通过验证，保证数据在从原发地）数据完整性：通过验证，保证数据在从原发地到目的地的传送过程中没有发生任何无法检测的到目的地

55、的传送过程中没有发生任何无法检测的丢失与改变。丢失与改变。3）保密：使相应的接收者能获取发送的真正内容，）保密：使相应的接收者能获取发送的真正内容，而无关的接收者无法获知数据真正的内容。而无关的接收者无法获知数据真正的内容。lIPsec有三个基本要素来提供以上三种保护形式：有三个基本要素来提供以上三种保护形式：验证头（验证头（AH）、封装安全载荷（）、封装安全载荷（ESP）和互联网）和互联网密钥管理协议（密钥管理协议（IKMP）。）。2022-6-25网络安全概述431.IPSec安全体系结构 目前，目前，IPSec已成为已成为IP安全体系结构的标准，包括以下内容：安全体系结构的标准，包括以下

56、内容： 1) 体系结构。覆盖了定义体系结构。覆盖了定义IP安全技术的一般性概念、安全需求、定义安全技术的一般性概念、安全需求、定义和机制。和机制。 2）ESP协议。覆盖了使用协议。覆盖了使用ESP进行分组加密和可选的鉴别有关分组进行分组加密和可选的鉴别有关分组的格式和一般问题。的格式和一般问题。 3) AH协议。覆盖了使用协议。覆盖了使用AH进行分组鉴别的分组的格式和一般问题进行分组鉴别的分组的格式和一般问题 4) 加密算法。一组文档描述了怎样将不同的加密算法用加密算法。一组文档描述了怎样将不同的加密算法用ESP。 5) 鉴别算法。一组文档描述了怎样将不同的鉴别算法用于鉴别算法。一组文档描述了

57、怎样将不同的鉴别算法用于AH和和ESP可选的鉴别选项。可选的鉴别选项。 6) 密钥管理。描述密钥管理机制的文档。密钥管理。描述密钥管理机制的文档。 7) 解释域。包含了其他文档需要的为了彼此问相互联系的一些值。解释域。包含了其他文档需要的为了彼此问相互联系的一些值。 8) 策略。决定两个实体之间能否通信，以及如何进行通信。策略。决定两个实体之间能否通信，以及如何进行通信。2022-6-25网络安全概述442. IPsec的优势l与目前与目前TCP层或应用层的安全解决方案相比，层或应用层的安全解决方案相比，IPSec大致有以下的优大致有以下的优势：势：1） IPsec在传输层以上的应用程序来说是

58、透明的。由于在传输层以上的应用程序来说是透明的。由于IPSec位于较低位于较低的网络层，所以不会牵动上层的的网络层，所以不会牵动上层的TCP层或应用层。层或应用层。2） 当当IPSec路由或防火墙上安装路由或防火墙上安装IPsec时，无需更改用户或服务器系统时，无需更改用户或服务器系统中的软件设置。执行中的软件设置。执行IPsec后，就会为周边的通信提供强有力的安全后，就会为周边的通信提供强有力的安全保障。保障。3） IPsec对终端用户来说是透明的，因此不必对用户进行安全培训。对终端用户来说是透明的，因此不必对用户进行安全培训。4） IPsec还可以为个体用户提供安全保障，保护企业内部的敏感

59、信息，还可以为个体用户提供安全保障，保护企业内部的敏感信息，提供较大的管理弹性。提供较大的管理弹性。5）目前因特网的路由协议，主要是由路由器之间彼此交换路由信息而）目前因特网的路由协议，主要是由路由器之间彼此交换路由信息而建立整个路由架构。由于建立整个路由架构。由于IPSec可确保路由器之间的通讯安全，也因可确保路由器之间的通讯安全，也因此可加强路由架构的安全性，减少破坏的可能性。此可加强路由架构的安全性，减少破坏的可能性。2022-6-25网络安全概述453. IPSec的运作方式 IPSec的运作需先经过以下的步骤：的运作需先经过以下的步骤：1） 在初始化时，双方必须建立安全联结在初始化时

60、，双方必须建立安全联结(Security Associations)。这个步骤的主要目的是让双方。这个步骤的主要目的是让双方对于如何使用对于如何使用IPSec的方式达成共识，例如，选的方式达成共识，例如，选择何种安全功能；决定加密的算法；使用密钥的择何种安全功能；决定加密的算法；使用密钥的原则等等。原则等等。 2) 密钥交换。这个步骤主要是利用非对称加密法，密钥交换。这个步骤主要是利用非对称加密法，让双方各自拥有相同的密钥让双方各自拥有相同的密钥(Secret Key，专指，专指对称式加密法所用的密钥对称式加密法所用的密钥)。 3) 开始以安全的管道来传输信息。开始以安全的管道来传输信息。20