第9章_Web安全技术

1、网络安全技术(jsh)第9章 Web安全(nqun)技术退 出共七十五页学习目的：了解因特网上的安全隐患、脆弱性及根源 掌握Web与电子商务安全技术(jsh) 初步掌握IP的安全技术 掌握E-mail安全技术 掌握安全扫描技术 、网络安全管理技术 掌握网络信息过滤技术 掌握身份认证技术 掌握VPN（Virtual Private Network）技术 学习重点：Web与电子商务安全技术E-mail安全技术 安全扫描技术 VPN（Virtual Private Network）技术 共七十五页91 因特网安全(nqun) 概述 共七十五页911 因特网上的安全隐患 Internet的安全隐患主要

2、源于计算机网络的脆弱性、网络通信协议本身固有的缺陷、网络软件与网络服务的漏洞、网络结构和网络硬件(yn jin)的安全缺陷等几个方面。 具体表现为： （1）Web具有双向的修改特性 （2）Web浏览、配置管理、内容发布等软件复杂，隐 藏潜在安全隐患 （3）Web通常是一个公司或机构的公告板 （4）用户往往是未经训练的 共七十五页912 因特网的脆弱性及根源(gnyun)计算机网络的脆弱性通常(tngchng)包括物理网络的脆弱性、过程网络的脆弱性以及通信链路脆弱性三种。脆弱性根源具体表现为：（1）电磁辐射 （2）搭线窃听 （3）串音 “黑客”的攻击手段可分为主动和被动攻击 主动攻击则意在篡改系

3、统中所含信息或者改变系统的状态及操作。 被动攻击不会导致对系统中所含信息的任何改动，而且系统的操作和状态也不被改变，因此被动攻击主要威胁信息的保密性。 共七十五页常见的主动攻击手段有：（1）冒充 （2）篡改 （3）抵赖 （4）其它 常见的被动攻击(gngj)手段有：（1）偷窃（2）分析 总之计算机和计算机网络安全措施是确保计算机与计算机网络正常运行的保护措施，尽管目前没有一种保护措施能确保网络达到100的安全，但安全措施却又是不可缺少的。 共七十五页 9 Web与电子商 务安全(nqun)技术 共七十五页921 Web与电子商务(din z shn w)的安全分析电子商务是在Internet上

4、运作的，它跨越国度、涉及多种技术平台。因此，其电子商务活动的安全性是人们最为关心的问题。目前在电子商务的安全方面主要体现在：对Web服务器的安全威胁、对Web浏览客户机的安全威胁和对服务器和客户机之间通信信道的威胁等。、对Web服务器的安全威胁一般来说Web服务的内容越丰富，功能越大，包含错误代码的概率就越高，有安全漏洞的概率也就越高。 Web服务器上最敏感的文件之一就是存放(cnfng)用户名的文件。 Web服务的数据库中会保存一些有价值的信息或隐私信息，如果被更改或泄露会造成无法弥补的损失。 共七十五页2对Web浏览客户机的安全(nqun)威胁活动内容是在静态页面中嵌入(qin r)对用户

5、是透明的程序，它可完成一些动作 。用户使用浏览器查看一个带有活动内容的页面时，这些小应用程序就会自动下载并开始在客户机上启动运行。企图破坏客户机的人可将破坏性的活动内容放进表面看起来完全无害的页面中。通常存在如下一些活动内容：（1）Java Applet。它使用Java 语言开发，实现各种 各样的客户端应用。 （2）ActiveX。ActiveX是一个控件，它封装由页面 设计者放在页面来执行特定任务的程序。 共七十五页众所周知，连接客户机同服务器的桥梁是互联网。但从互联网最初的设计思想“抗毁性”和“不可靠性”来看，互联网的主要目的不是为了提供安全传输，而是为了提供冗余传输，即为保证当一个或多个

6、通信线路被切断时仍能正常通信而设计。在网络上传输信息的保密性通常(tngchng)通过将信息转化为不可识别字符串来实现的。发展至今，互联网的不安全状态与最初相比也没有很大改观。对保密性的安全威胁 对完整性的安全威胁 对即需性的安全威胁 、对服务器和客户机之间通信(tng xn)信道的威胁共七十五页922 Web安全防护(fngh)技术1Web程序组件安全防护 对于一个连接到Internet上的计算机系统而言，最危险的事件之一就是从网上任意下载程序并在本机上运行它。因为没有一个操作系统能控制一个已经开始执行的程序的权限。Java通过“沙盒”机制来实现它的安全性。除了类似沙盒这样的权限限制机制外，

7、避免因程序的漏洞而使服务器受到攻击，在编写Web程序时还有以下一些要注意的地方。 （1）ID字段使用随机产生的大数，而不是连续的整数；（2）使用Session或加密的cookie来记录访问者的状态及必要信息；（3）处理输入内容(nirng)前，先核对提交的表单来源；（4）对输入数据要进行类型检查、非法字符检查、数组越界检查。 共七十五页 1 概述 安全套接层协议SSL（Secure Socket Layer）是一个用来保证安全传输文件的协议，它主要是使用公开密钥体制和.509数字证书技术保护(boh)信息传输的机密性和完整性，但它不能保证信息的不可抵赖性，主要适用于点对点之间的信息传输。SSL

8、协议包括子协议有： （1）SSL记录协议 （2）SSL握手协议 （3）SSL警告协议 923 SSL 共七十五页SSL体系结构图共七十五页 2 SSL握手过程（1）SSL握手过程具体过程： （2）服务器身份的认证（3）客户端身份的认证3、SSL的缺点 利用(lyng)SSL的攻击无法被入侵系统IDS（Intrusion Detection System）检测到。 对电子商务来说，问题并没有完全解决 共七十五页安全电子交易SET(SecureElectronic Transaction)，它采用公钥密码(m m)体制和X.509数字证书标准，保障网上购物信息的安全性。 SET的实现构架图 924

9、 电子商务的安全(nqun)技术 共七十五页 当前的主页防修改系统一般是 Client /Server结构，分为两层：控制台和Web服务器。也有三层结构的主机防修改系统，在控制台和Web服务器之间增加了代理层。这类系统主要包括监控和恢复两大功能 1主页监控监控策略： 实时监测 定时监测 间隔监测 分级监测 2主页恢复主页防修改系统的恢复部分包括对需要(xyo)恢复的Web文件和重要的系统文件的备份和恢复两大功能。 925 主页防修改(xigi)技术共七十五页 93 IP的安全(nqun) 技术共七十五页作为一个开放的协议平台，TCP/IP将越来越多的部门和人员用网络连接起来，但是安全性的缺乏减

10、慢了网络的发展速度(sd)。目前网络面临的各种安全性威胁主要包括：（1）数据泄露（2）数据完整性的破坏 （3）身份伪装 （4）拒绝服务 931 IP安全(nqun)概述共七十五页932 IP安全(nqun)体系结构1简介 IPSec使用了两种通信安全协议AH（Authentication Header）和ESP(Encapsulating Security Payload)，以及IKE（Internet Key Exchange）密钥管理协议来向IPv4或Ipv6数据(shj)提供可互操作的、高质量的、基于密码学的安全性。 总的来说，IPSec可以为IP层提供基于加密的互操作性强、高质量的通信

11、安全，所支持的安全服务包括存取控制、无连接的完整性、数据发起方认证和加密。 共七十五页 2安全关联 安全关联SA（Security Association）的概念是IPSec的基础。IPSec的两种协议（AH和ESP）均使用到SA。SA管理的两大任务就是SA的创建和删除。SA的管理既可手工进行(jnxng)，也可通过IKE来完成。 （1）手工方式。安全参数由管理员按安全策略手工指定、手工维护。 （2）IKE。SA的自动建立和动态维护是通过IKE进行的。 共七十五页3AH协议正如AH名称的字面意义一样，AH协议在所有数据报头加入一个密码(m m)，通过一个只有密钥持有人才知道的“数字签名”对用户

12、进行认证。AH只对没有分段的数据报起作用。AH也提供任何接收者处理的抗重播（部分序列完整性）服务，帮助抵抗拒绝服务攻击。 共七十五页 4ESP协议(xiy)ESP协议主要用来对IP数据报内容加密，此外它对认证也提供某种程度的支持。 ESP协议数据单元格式由三部分组成，除了头部、加密数据部分外，在实施认证时还包含一个可选的尾部。 ESP报头结构 共七十五页 5.ISAKMP协议 Internet安全关联和密钥管理协议ISAKMP(Internet Security Association ad Key Management Protocol)定义了通信双方信息沟通的构建方法，定义了保障通信安全所

13、需的状态交换方式，还提供了对对方身份进行验证的方法，密钥交换时交换信息的方法，以及(yj)对安全服务进行协商的方法。 ISAKMP描述了协商的两个独立阶段。 第一阶段：通信双方彼此间建立一个巳通过身分验证和安全保护的通道。第二阶段：用这个通过了验证和安全保护的通道为另一个不同的协议协商安全服务。 共七十五页 6IKE协议 IKE协议是IPSec中最为重要的部分，在用IPSec保护一个IP数据报之前，必须先建立一个SA，IKE则用于动态建立并管理工作SA，IKE代表IPSec对SA进行协商，并自动对SAD进行填充。 IKE协议的安全性保护主要体现(txin)在5个方面：（1）机密性保护 （2）完

14、整性保护及身份验证 （3）抵抗拒绝服务攻击 （4）防止中间人攻击 （5）完美向前保密 共七十五页 7IPSec的处理 IPSec协议引擎(ynqng)都要调用策略管理模块，查询SPD，确定为该数据报使用的安全策略。根据策略管理模块的查询结果，引擎对该数据报做出3种可能的处理之一：（1）丢弃 （2）绕过IPSec （3）应用IPSec 共七十五页933 Windows2000的IPSec技术(jsh) 1Windows 2000的安全管理模式 2自动(zdng)密钥管理 3安全服务 4实例共七十五页94 E-mail安全(nqun)技术共七十五页941 E-mail安全(nqun)概述 电子邮件

15、已经逐渐成为我们生活中不可缺少的一部分，但是它在带给我们方便和快速的同时，也存在(cnzi)一些安全方面的问题。例如，垃圾邮件、诈骗邮件、邮件炸弹，通过电子邮件传播的病毒等。 942 E-mail的安全隐患 E-mail的安全性主要有以下直接或间接的几方面：（1）密码被窃取（2）邮件内容被截获 （3）附件中带有大量病毒 （4）邮箱炸弹的攻击 （5）本身设计上的缺陷 共七十五页 1PGP的历史及概述(i sh) 2PGP的算法 3PGP的安全性943 PGP（Pretty Good Privacy）944 S/MIMES/MIME是Secure Multipurpose Internet Mai

16、lExtensions的简称，它是从PEM（Privacy Enhanced Mail）和MIME发展而来的。最初由RSA DataSecurity公司开发。目的使不同产品的开发者能使用兼容的加密技术创建能互通的消息传输(chun sh)代理。 共七十五页945 PGP软件的使用(shyng)实例 PGP安装完成后，用户要做的第一件事就是创建一个自己的密钥对。当产生一个密钥（即一个RSA密钥对）时，要提供密钥的大小、密钥名字、一个通过短语（口令(kulng)）,然后还要给出一些随机的击键。根据这些密钥参数产生的实际内容就是用户的PGP密钥。 共七十五页95 安全扫描(somio) 技术共七十五

17、页 在网络安全技术中，安全扫描技术是一类比较重要的技术，也称为脆弱性评估（Vulnerability Assessment）。 目前(mqin)，安全扫描技术主要分两类：基于主机的安全扫描和基于网络的安全扫描。 1基于主机的扫描技术基于主机的安全扫描一般采用Client/Server的架构，主机型安全漏洞扫描器的主要功能如下： 重要资料锁定 密码检测 系统日志文件和文字文件分析 动态式的警讯 分析报表 加密 安全知识库的更新 951 安全(nqun)扫描技术的分类共七十五页 2基于网络的扫描检测技术 基于网络的扫描检测技术采用积极的、非破坏性的办法来检测系统是否有可能(knng)被攻击崩溃，它

18、利用了一系列的脚本模拟对系统进行攻击的行为，然后对结果进行分析。网络型安全漏洞扫描器主要的功能如下： 服务扫描侦测 后门程序扫描侦测 密码破解扫描侦测 应用程序扫描侦测 拒绝服务扫描侦测 系统安全扫描侦测 分析报表 安全知识库的更新 共七十五页安全扫描系统可以对目标系统可能提供的各种网络服务（如Ftp、Http等）进行全面的扫描，尽可能收集目标系统远程(yunchng)主机和网络的有用信息，并模拟前面我们介绍的一些攻击行为找出可能的安全漏洞，例如错误配置的网络服务、系统或网络应用的漏洞等。 952 安全扫描(somio)系统的设计安全扫描系统的核心逻辑机构可以分为以下5个主要组成部分：（1）策

19、略分析部分 ；（2）获取检测工具部分 ；（3）获取数据部分 ；（4）事实分析部分 ；（5）报告分析部分 。 2安全扫描的逻辑结构 1设计原理 共七十五页 1常见的免费扫描仪工具 （1）Nessus （2）Nmap （3）NSS（网络安全扫描程序） （4）SATAN（安全管理员网络分析工具） （5）X-Scan 2常见的商业安全扫描产品(chnpn)（1）系统扫描器（System Scanner） （2）数据库扫描器（DataBase Scanner） （3）互联网扫描器（Internet Scanner） 953 安全(nqun)扫描工具与产品共七十五页Brute Force Password

20、-Guessing为经常改变的账号、口令和服务测试其安全性Daemons检测Unix进程(Windows服务)Network检测SNMP和路由器及交换调和漏洞Denial of Service检测中断操作系统和程序的漏洞。一些检测将暂停相应的服务NFS/X Windows检测网络网络文件系统和X-Windows的漏洞RPC检测特定的远程过程调用SMTP/FTP检测SMTP和FTP的漏洞Web Server Scan and CGI-Bin检测Wcb服务器的文件和程序(如IIS，CGI，脚本和Http)NT Users，Groups，and Passwords检测NT用户，包括用户，口令策略，解

21、锁策略Browser Policy检测IE和Netscape浏览器漏洞Security Zones检测用于访问互联网安全区域的权限漏洞Port Scans检测标准的网络端口和服务Firewalls检测防火墙设备，确定安全和协议漏洞Proxy/DNS检测代理服务或域名系统的漏洞IP Spoofing检测是否计算机接收到可疑信息Critical NT Issues包含NT操作系统强壮性安全测试和与其相关的活动NT Groups/Networking检测用户组成员资格和NT网络安全漏洞NetBIOS Misc检测操作系统版本和补丁包，确认日志存取，列表，显示NetBIOS提供的信息Shares/DC

22、OM检测NetBOIS共享和DCOM对象。使用DCOM可以测试注册码权限和缺省安全级别NT Registry包括检测主机注册信息的安全性，保护SNMP子网的密匙NT Services包括检测NT正在运行的服务和与之相关安全漏洞共七十五页96 网络安全 管理(gunl)技术共七十五页961 网络安全管理(gunl)的必要性 网络安全管理是指对所有计算机网络应用体系中各个方面的安全技术和产品进行统一的管理和协调，进而从整体上提高整个计算机网络的防御入侵、抵抗攻击的能力的体系。 在现有的计算机网络应用系统中加入计算机全面安全管理职能单元(dnyun)的必要性在于：实现各类计算机安全技术、产品之间的协

23、调和联动，实现有机化。充分发挥各类安全技术和产品的功能。 整体安全能力大幅度提高。 实现计算机安全手段与现有计算机网络应用系统的一体化。 使全网安全事件准确定位以及全网安全策略制定成为可能。 共七十五页962 传统(chuntng)的网络管理技术及其发展 由于网络安全管理与网络管理技术天生的血缘关系，前者也经常采用网络管理的一些机制(jzh)，所以我们首先来看一下传统的网络管理技术及其发展。 目前新的网络管理趋势是向分布式、智能化和综合化方向发展，下面谈谈一些网络管理技术的新发展情况。 1基于Web的管理 2基于CORBA的管理 3采用Java技术的管理 4面向智能Agent的开放式管理共七十

24、五页 ESM（Enterprise Security Management）是目前国际上兴起的一种整体安全管理框架，它的主要思想是采用多种智能Agent和安全控制中心，在统一安全策略（Security Policy）指导下，将系统中的各个(gg)安全部件协同起来，实现总体的安全策略，并且能够在多个安全部件协同的基础上实现实时监控、报表处理、统计分析等。这样的体系架构具备适应性强（能够适用于各种网络和系统环境）、可扩充性强、集中化安全管理等优点，已成为网络安全整体解决方案的发展方向。963 基于(jy)ESM理念的安全管理机制共七十五页964 网络安全管理体系实现(shxin)的功能 安全管理系

25、统是信息系统安全的必要组成部分，一般来说，安全管理系统需要实现以下的功能：（1）实现对系统中多种安全机制的统一监控和管理 （2）实现各类安全设施之间的互动和联动（3）实现基于权限控制(kngzh)的统一管理和区域自治（4）实现安全事件事务处理（5）实现各类实时报警措施（6）实现安全事件和数据的宏观统计分析和决策支持（7）支持应急响应 共七十五页965安全管理系统与 常见安全技术(jsh)或产品的关系 安全管理系统是通过对系统中各种安全机制的统一管理来实现整体安全性的提升。在常见的安全管理系统的设计中，通常包含总体控制部分以及和各种安全技术及产品的接口部分。安全管理系统与各种安全机制(或子系统)

26、有如下一些(yxi)关系：1安全管理系统同加密系统的关系2安全管理系统与防火墙的关系 3安全管理系统与入侵检测系统的关系 4安全管理系统与病毒系统的关系 5安全管理系统与身份认证、访问控制系统的关系 6安全管理系统与扫描系统的关系 7安全管理系统同网络管理系统的关系 共七十五页97 网络信息 过滤(gul)技术共七十五页 互联网在给人们带来方便的同时，也经常受到人们的批评。因为它提供的基本信息结构常被用来散布违法或攻击性的内容，反动言论以及色情信息等，提别是大量的色情信息和不良信息已经对青少年的成长造成(zo chn)了巨大的危害。大部分人认为互联网不应该无限制的发布这些内容，因此提出了一些方

27、法来进行不良信息的过滤。这些方法可以分为两类：一类是信息阻塞，另一类是内容定级和自我鉴定。共七十五页 对于有些不良信息，我们希望能从源头进行控制，阻塞这些信息的进入(jnr)，基于源的信息阻塞就是这样的信息过滤技术，它实际上是由局域网、广域网等网络得的主管或ISP对用户所能访问的站点、内容进行限制，它们负责阻塞那些不良的信息进入自己的网络。从技术上说，这样做有两种方法：在网络层阻塞和在应用层阻塞。 1网络层上的阻塞 在网络层阻塞需要路由器或防火墙来检查进来得到IP包得到源IP地址，将它们与黑名单比较，然后再决定是继续转发（如果IP地址没有进入黑名单）还是丢弃该包（如果IP地址在黑名单上），这种

28、阻塞也称为IP地址阻塞。 971 信息(xnx)阻塞共七十五页 2应用层上的阻塞 在应用层阻塞内容，需要代理服务器和应用层网关来检查源信息，从而决定是否(sh fu)为相应的应用协议请求提供服务。 很明显没，这样阻塞不良信息内容要比在网络层阻塞更为有效，这种阻塞也叫URL阻塞。 IP地址阻塞和URL阻塞在技术上都是可行的，但存在着一些共同的缺陷：黑名单的更改往往跟不上如今Internet飞速的发展；用户采用一个不在案黑名单的Proxy服务器就可以访问那些原本被阻塞的站点（这种情况可以通过与网络监视系统协作，由监视系统通过关键字发现不良信息后通知防火墙进行源的阻塞）。此外，一个被强制列入黑名单的

29、站点可能会比没有列入黑名单之前更引人注目，这样就成了一个比技术问题更复杂的问题。 共七十五页 内容分级与自我鉴定是由内容提供者和用户共同控制的，但是在这种情况下，由内容或产品的提供者对他们的内容进行评定登记，然后Internet用户和ISP用户据此来保护自己，他们可以凭借一些已有的客观标准，自己判断一个Web站点上的内容是否合法，也就是他们对自己实际访问的内容负责。 1PICS PICS（Platform for Internet Content Selection），互联网内容选择平台是最初工业界为促进内容定级和自我鉴定而采取的第一个步骤。 PICS主要包括以下部分：（1）分级服务(fw)

30、（2）PICS标签的内容 （3）标签的传输 （4）通过Http申请PICS 标签 （5）向一个分级服务申请标签 972 信息(xnx)定级与自我鉴定共七十五页 娱乐软件顾问委员会（Recreational Software Advisory Council，RSAC）是20世纪90年代中期为了规范儿童视频游戏的内容(nirng)而在美国国会中分出的机构。 2RSACi级别暴 力裸 体性语 言级别4恣意的而且非常无理的暴力极具挑逗性的正面媒体表演暴露的性行为极度仇恨或粗鲁的语言，非常暴露的性内容级别3带血腥的杀戮场面，人被杀或受到伤害正面裸体非暴露性的性抚摸蛮横、粗俗的语言、手势等，使用带侮辱性

31、的称谓级别2杀戮，人或生物遭到伤害或被杀死半裸穿着衣服的性抚摸一般性的脏话，与性无关的解剖学术语级别1打斗，对有生命物体的伤害暴露服装充满激情的轻吻轻微的秽语，或针对身体的轻微措施级别0没有侵犯性的暴力行为，没有自然的或以外的暴力事件无裸体场面浪漫故事，没有任何性行为的描写不令人讨厌的言语共七十五页 3使用内容(nirng)定级和自我鉴定的实例 当前主流浏览器之一就支持PICS和RSACi，它可以使用分级审查来控制在互联网上可以访问(fngwn)的内容类型，启动“分级审查”功能后，只有那些满足要求标准的已经分级的内容才能在浏览器窗口显示出来。启用“分级审查”功能的操作如下： 在IE浏览器中打开

32、“查看”菜单，从中选择“Internet选项”命令，打开它的对话框，并选择“内容”选项卡（如图9-4所示）。 在“分级审查”框中单击“启用”安钮，随后屏幕上出现一个名为“分级审查”的对话框，你将看到面板上共有4个审查标准，只需简单拖动滑动条就可以设置了。 分级审查设定完成后会弹出一个“创建监护人密码”的面板（如图9-6所示），输入监护人密码，最后按“确定”按钮，然后会弹出一个窗口，告诉你分级审查已经启用。（如图9-4）（如图9-7）所示：共七十五页 图9-4 内容(nirng)选项卡 图9-5 分级(fn j)审查对话框 共七十五页 图9-6 创建(chungjin)监护人“密码”的面板 图9

33、-7 分级(fn j)审查启用 共七十五页除了以上所谈的两种方法外，其他还有一些客户端的封锁软件，这些技术被称之为本地信息审查技术，包括：URL或IP限制(xinzh)、文字拦截、图像审查、屏幕监视等。URL或IP限制功能与前面所说的基于源的阻塞基本类似，只不过是在主机端执行。文字拦截功能可以按关键字拦截本机通过网络传输的信息，不仅是流入的信息。而且可以是从本地流出的信息，这样可以防止一些本机的机密信息或者其他不良信息的外泄，此外，还可以拦截各种文件，可以采用与实时防病毒类似的开发特定设备驱动程序或采用钩子技术，在系统打开文件之前发现有害或者不良的文字信息，给出警告，予以拦截，文字拦截主要针对

34、的是一些文本、Html、WPS、Word等文件。图像审查功能采用特定的识别技术，在用户打开图像文件之前识别出是否含有不良信息，自动予以警告、拦截。至于屏幕监视功能则主要定时地抓拍屏幕图像，保存起来，以供审查之用。973其它的一些客户端封锁(fn su)软件共七十五页98 身份(shn fen)认证 技术共七十五页981 身份认证(rnzhng)概述认证技术是网络信息安全理论与技术的一个重要方面。身份认证是安全系统中的第一道关卡，用户(yngh)在访问安全系统之前，首先经过身份认证系统识别身份，然后访问监控器，根据用户(yngh)的身份和授权数据库决定用户(yngh)是否能够访问某个资源。一旦身

35、份认证系统被攻破，那么系统的所有安全措施将形同虚设。黑客攻击的目标往往就是身份认证系统。因此要加快对我国的信息安全的建设，加强身份认证理论及其应用的研究是一个非常重要的课题。 共七十五页单机状态下用户登录计算机，一般有以下几种形式验证用户身份： 用户所知道的东西，如口令、密码。 用户所拥有的东西，如智能卡、身份证、护照、密钥盘。 用户所具的有的生物特征，如指纹、声音、视网膜扫描、DNA等。下面分别进行讨论(toln)。1基于口令的认证方式基于口令的认证方式是最常用的一种技术。用户输入自己的口令，计算机验证并给予用户相应的权限。这种方式很重要的问题是口令的存储。一般有两种方法： （1）直接明文存

36、储口令 （2）Hash散列存储口令 982 单机状态下的身份(shn fen)认证共七十五页2基于智能卡的认证(rnzhng)方式 基于智能卡的认证方式是一种双因素的认证方式（PIN+智能卡），即使PIN或智能卡被窃取，用户仍不会被冒充。智能卡提供(tgng)硬件保护措施和加密算法，可以利用这些功能加强安全性能，例如：可以把智能卡设置成用户只能得到加密后的某个秘密信息，从而防止秘密信息的泄露。智能卡具有硬件加密功能，有较高的安全性。每个用户持有一张智能卡，智能卡存储用户个性化的秘密信息，同时在验证服务器中也存放该秘密信息。进行认证时，用户输入PIN（个人身份识别码），智能卡认证PIN，成功后，

37、即可读出智能卡中的秘密信息，进而利用该秘密信息与主机之间进行认证。共七十五页3基于生物特征的认证方式基于生物认证的方式是以人体惟一的、可靠的、稳定的生物特征（如指纹、虹膜、脸部、掌纹等）为依据，采用计算机强大的计算功能和网络技术进行图像处理和模式识别。 （1）指纹识别技术 指纹特征 指纹识别：指纹识别技术主要涉及4个功能：读取指纹图像、提取特征、保存数据(shj)和比对。 （2）虹膜识别技术 虹膜 算法 录入和识别 共七十五页983 网络(wnglu)环境下的身份认证 网络环境(hunjng)下的身份证较为复杂，主要是要考虑到验证身份的双方一般都是通过网络而非直接交互 ，像根据指纹等手段就难以

38、实现。同时大量的黑客随时随地都可能尝试向网络渗透，截获合法用户口令并冒名顶替以合法身份入网，所以目前一般采用高强度的密码认证协议技术来进行身份认证。 1一次性口令技术 美国科学家Leslie Lamport首次提出了利用散列函数产生一次性口令的思想，即用户每次登录系统时使用的口令是变化的。 2PPP 中的认证协议 PPP有3个主要的组成部分： 在串行链路上封闭数据报（Datagrams）方法。 建立、配置和测试数据链路连接（Data-link Connection）的LCP协议。 建立和配置不同网络层协议的一组NCP协议（Network Control Protocol）。共七十五页 3RAD

39、IUS协议 RADIUS（Remote Authentication Dial-in User Service）由朗讯公司(n s)提出的客户/服务器安全协议，是一个拨号网络中提供注册、验证功能的工业标准，现已成为Internet的正式协议标准 RADUIS的特点： RADUIS使用UDP作为传输协议 RADUIS服务器能支持多种认证方法 RADIUS的认证过程： 接入服务器从用户那里获得取用户名和口令，将其同用户的一些其他信息打成RADIUS数据包向RADIUS服务器发送，通常称为认证请求包。 RADIUS服务器收到认证请求包后，首先查看接入服务器是否已经登记，然后根据包中用户名、口令等信息

40、验证用户是否合法。 接入服务器收到访问接受/拒绝包时，首先要判断包中的签名是否正确，如果不正确将认为收到了一个非法的包。 共七十五页 4Kerberos认证服务 Kerberos是麻理省工学院的Project Athena针对分布式环境的开放式系统开发的鉴别机制，它已被开放软件(run jin)基金会（OSF）的分布式计算环境（DCE），以及许多网络操作系统供应商所采用。 Kerberos系统应满足这样的要求： 安全 可靠 透明 可伸缩共七十五页984 Windows NT安全(nqun)认证子系统 Windows NT的安全子系统主要由本地安全授权LSA、安全管理SAM和安全参考监视器SRM

41、等组成(z chn)。 （1）本地安全授权部分提供了许多服务程序，保障用户获得存取系统的许可权。 （2）安全账户管理部分保存安全账户数据库(SAM Database)，该数据库包含所有组和用户的信息。 （3）安全参考监视器负责访问控制和审查策略，由LSA支持。SRM提供客体(文件、目录等)的存取权限，检查主体(用户帐户等)的权限，产生必要的审查信息。（4）Windows NT有一个安全登录序列，用以防止不可信应用窃取用户名和口令序列，并有用户帐号和口令等管理能力。 共七十五页 （5）为了登录WindowsNT(包括通过网络登录)，每一用户必须首先进行域以及用户名识别。每一域以及用户名惟一地标识

42、了一个用户，在系统内部，使用SID(Security Identifier)予以表征。（6）Windows NT允许每一用户账号有一对应的口令。TFM(trusted Facility Manual)说明了怎样确保所有(suyu)用户账号都 有口令，而且该口令在用户登录时必须键入以便鉴别用户身份。（7）口令存储在SAM(Security Accounts Manager)数据库中并由DAC机制保护，以防止非法访问。 Windows NT安全(nqun)子系统共七十五页 9 9 VPN技术(jsh)共七十五页 要确保远程网络之间能够安全通信，VPN（Virtual Private Network

43、，虚拟专用网络）是一种很好的技术选择。 1VPN的基本原理 VPN是一种网络技术，通常用以实现相关组织或个人跨开放、分布式的互联网的安全通信。其实质是，利用共享的互联网设施(shsh)，模拟“专用”广域网，最终以极低的费用为远程用户提供能和专用网络相媲美的保密通信服务。VPN用户都希望以最小的代价，使数据安全性得到的一定程度保证。互联网具有极为广泛的网络覆盖范围、远比长途通信费用低廉的接入费用等优点，却存在内在的不安全性，促使用户根据自身业务特点和需要，或者自己构建VPN，或者直接向VPN服务供应商购买合适的VPN服务。自构VPN称为基于用户设备的VPN，此时，用户在已有的网络设备基础上，适当

44、扩充功能和（或）添置设备，利用互联网连接远程网络。991 VPN概述(i sh)共七十五页 2VPN的应用 VPN技术是应用户的远程(yunchng)安全通信需求而产生的，特定的需求规定了VPN技术的特定应用领域。目前，VPN主要有3个应用领域：远程接入网、内联网和外联网。说明了如下： 远程接入网主要用于企业内部人员的移动或远程办公，也可以用于商家为其顾客提供B2C（Busness to Censumer） 的安全访问服务。内联网主要用于企业内部各分支机构的互联 。外联网主要为某个企业和其合作伙伴提供许可范围内的信息共享服务。 共七十五页992 VPN的关键安全(nqun)技术目前，VPN主要

45、采用(ciyng)5项技术来保证安全，这5项技术分别是隧道技术（Tunneling）、加解密技术（Encryption & Decryption）、密钥管理技术（Key Management）、使用者与设备身份认证技术（Authentication）和访问控制技术（Access Control）。后4种技术在本书的有关章节已得到详细展开，所以这里我们只对隧道技术重点讨论。隧道技术按其拓扑结构分为点对点隧道和点对多点隧道。 共七十五页993 VPN的实现(shxin)方法 对VPN的分类有多种方法，每一类VPN都有其特有的实现方法。根据VPN主要设备的归属不同，VPN可分为基于用户设备的VPN和

46、基于网络的VPN；根据VPN运行在哪一层上，将VPN分成L2VPN（Layer 2 VPN，第二层VPN）和L3VPN（ Layer 3 VPN，第三层VPN）。一个(y )VPN是由若干个由隧道连接的VPN设备组成，每个VPN设备在与其关联的多个隧道和其他网络借口间以合适的方式转发分组。这种分组转发的方式决定了该VPN是L2VPN还是L3BPN，若分组被中继或桥接转发，则该VPN是L2VPN；否则，该VPN是L3VPN，分组将被路由转发。L2VPN可以进一步细分为：VLL（Virtual Leased Line，虚拟租借线路）、VPDN（Virtual Private Dial Network，虚拟专用拨号网络）和VPLS（Virtual Private LAN Segment，虚拟专用局域网段）。而L3VPN又称为VPRN（Virtual Privat