计算机网络安全

计算机网络安全与管理技术计算机网络安全网络安全概述网络安全问题网络安全措施数据加密技术

Internet的安全对称加密算法公共密钥算法防火墙技术防火墙的概念防火墙的类型本章讨论的主要内容：1.1网络安全问题计算机安全计算机系统的硬件、软件和数据库受到保护，不因偶然或者恶意的原因而遭到破坏、更改和显露，系统能连续正常运行3种计算机安全实体的安全计算机软硬件本身的安全运行环境的安全保证计算机在良好的环境下工作信息的安全保障信息不会被非法阅读、修改和泄露1.1网络安全问题网络安全面临的主要威胁黑客攻击：黑客非法进入网络窃取资源，如用户的帐号和密码、网上传输的数据等计算机病毒的侵袭：计算机病毒侵入网络，对网络资源进行破坏，使网络不能正常工作拒绝服务攻击：如“电子邮件炸弹”，使用户在短时间内收到大量无用的电子邮件，影响正常业务的运行，严重时会引起网络瘫痪1.1网络安全问题网络系统面临的安全威胁身份窃取非授权访问冒充合法用户数据窃取破坏数据的完整性拒绝服务事后否认数据流分析干扰系统正常运行病毒恶意攻击1.1网络安全问题导致网络不安全的因素环境：自然环境和社会环境对计算机网络的影响资源共享：相互的资源共享为异地用户提供了方便，但同时也为非法用户窃取和破坏信息创造了条件数据通信：信息在通信传输的过程中可能会遭到破坏或者窃听计算机病毒：计算机病毒侵入网络极易造成网络系统的瘫痪TCP/IP协议的安全缺陷：该协议力求简单高效，而缺少安全机制，如网上的流量没有加密，缺乏安全策略等1.1网络安全问题安全技术措施网络安全需要解决的安全问题用户认证在网上不透明地发送用户名和密码确信服务在Internet和Intranet上都有效，即避免在防火墙内外采取不同的安全措施在实时和存储转发情况下保护通信秘密确保信息在发送和接收间避免干扰保护秘密文件，只有授权用户才能访问1.2网络安全措施法律政策：安全的基石政府和主流厂商扮演重要角色技术措施：安全的保障防火墙技术、防病毒、信息加密、身份认证、授权等管理和审计：安全的防线实时监控企业安全状态、提供实时改变安全策略的恩能够里、对现有的安全漏洞实施检查，防患于未然1.2网络安全措施安全策略预防为主，对症下药安全策略的一般原则需求、风险、代价平衡分析综合性、整体性原则一致性原则：网络安全与网络生命周期同在易操作性适应性、灵活性可评价性1.2网络安全措施网络安全保障体系加强计算机安全立法《刑法》(19910.1)对计算机犯罪作了明文规定《中华人民共和国计算机信息网络国际联网管理暂行规定实施办法》《计算机信息系统保密管理暂行规定》《计算机信息网络国际联网安全保护管理办法》制定合理的网络管理措施加强网络使用人员的安全措施建立完善的安全管理体制和制度管理规范化、标准化、科学化1.2网络安全措施局域网安全技术实体访问控制，防止非工作人员接近系统保护网络介质，加强系统设备而后通信线路的定期检查和维修数据访问控制，只有授权用户才可访问系统资源数据存储保护，做好数据备份和安全保管计算机病毒防护，以预防为主1.2网络安全措施广域网安全技术数据通信加密采用DES、RSA算法等对通信数据加密通信链路安全保护选择保密性较好的通信线路和设备，如光纤，重要信息不采用无线电传输采用局域网络安全的各项措施2数据加密技术2.1Internet的安全由于Internet是一种真正意义的全球网，所以假如没有加密技术的帮助，所有的通信都会毫无“秘密”可言对一家打算从事电子商务的公司而言—亦即通过Internet销售产品和提供服务，通信的安全是一个最基本的前提在Internet网上，每个人都需要、而且有权利保护自己的个人隐私。某人上网之后，对隐私的这种要求并未消失隐私也不仅仅是信任谁和不信任谁的问题，它也包括匿名的权利。人们在赛伯空间里畅游的时候，一个经常被忽略的问题是个人保持匿名的权利加密技术可有效地解决这些问题2数据加密技术2.2对称加密算法对称加密算法要么以“块”的方式，要么以“流”的方式对输入进行处理“块加密算法”的例子包括DES、CAST和Blowfish等等，它每次对一个数据块进行处理。至于块的大小，则取决于算法本身(上例三种算法均采用64位的块长度)。对一个块的处理叫作加密算法的“处理单位”“流加密算法”每次处理的是数据的一个位(或者一个字节)。用一个键值适当地进行种子化处理，便能生成一个位流(“位”指二进制的“位”)，可用它对输入数据进行XOR运算无论块加密还是流加密，它们都特别适用于批量加密2数据加密技术2.2对称加密算法DES数据加密标准DES算法由IBM发明，并于1976年成为美国政府标准DES是一种数据分块的加密算法，数据长度为64位，其中8位作为基偶校验位，有效密码长度为56位首先将明文数据进行初始置换，得到64位的混乱明文组，再将其分为2段，每段32位然后进行乘积变换，在密匙的控制下，做16次迭代最后进行逆初始变换而得到密文2数据加密技术2.2对称加密算法IDEA国际数据加密算法IDEA是行之有效的加密算法中最好、最安全的一种。由瑞士联邦科学技术学院(SFT)的XuejiaLai和JamesMassey提出IDEA使用3个64位的块，以进一步防范加密分析过程。IDEA使用了密码反馈操作，使得算法强度更高IDEA的密钥长度为128位。当试图破译IDEA时，它和DES一样没有泄露任何明文组成的信息IDEA存在最低要求。为得到强有力的密文，它在一个编码块中需要64位的信息文本IDEA是为有大量数据传输的FTP设计的2数据加密技术2.2对称加密算法优点：保密性高，难以破解不足对称加密算法要求使用一个共享的密钥，密匙在传递过程中容易泄露。由于一次不安全的密钥交换，加密及身份验证技术的保密性有可能完全丧失密匙量大，难以进行管理无法满足网上陌生人进行私人谈话的保密性要求难以解决数字签名验证的问题主要问题：密匙在传递过程中容易泄露2数据加密技术2.3公共密钥算法RSA算法1978年出现的RSA算法，其名字来源于它的发明者：RonRivest，AdiShamir以及LeonardAdlemanRSA的安全依赖于大数分解假如已知两个非常大的质数的乘积，那么很难解析出到底是哪两个质数相乘的结果(因数分解)RSA的重要特点是其中一个密钥可用来加密数据，另一个密钥可用来解密这意味着任何人都能用你的公共密钥对一条消息进行加密，而只有你才能对它进行解密。另外，你也可用自己的私人密钥对任何东西进行加密，而拿到你的公共密钥的任何人都能对其解密。这个概念在“非拒认”及数字签名中是非常重要的2数据加密技术2.3公共密钥算法RSA算法RSA的一个缺点是速度非常慢，而且能处理的数据最多只能有它的密钥的模数大小例如，一个1024位的RSA公共密钥只能对少于或等于那个长度的数据进行加密(实际最多只能有1013位，因为用RSA定义如何加密时，还要进行编码，这又要用去11位的长度)但RSA的速度使其不适合进行大批量的数据加密然而，RSA也并非一无是处。相反，对于象密钥交换和数字签名这样的重要技术来说，它已成为一种事实上的标准2数据加密技术2.3公共密钥算法身份验证公共密钥加密可用来进行身份验证，只需构建一个所谓的“数字签名”即可数字签名的特点难以伪造：只有私人密钥的持有人才能生成签名无法抵赖：由于极难伪造，所以对于一份经过签名的文档来说，签署人很难抵赖这不是自己的“手迹”不可更改：一经签名，文档便不能修改不能转移：签名不能移走，并加入另一个不相干的文档3防火墙技术3.1防火墙概念防火墙是由计算机硬件和软件组成的一个或一组系统，用于增强内部网络和Internet之间的访问控制防火墙的设计目的保护易受攻击的服务，只有预先被允许的服务才能通过防火墙控制对特殊站点的访问集中化的安全管理对网络存取访问进行记录和统计3防火墙技术3.1防火墙概念防火墙网关图7-1防火墙的基本功能过滤器过滤器内部局域网Internet3防火墙技术3.1防火墙概念防火墙安全控制基本准则一切未被允许的都是禁止的先封锁所有信息流，然后对希望提供的服务逐项开放一切未被禁止的都是允许的转发所有的信息流，然后逐项屏蔽有害的服务第一种准则有利于安全性，第二种准则有利于灵活性和使用方便3防火墙技术3.2防火墙的类型网络级防火墙网络级防火墙一般根据源、目的地址做出决策一台简单的路由器是“传统的”网络级防火墙，因

为它不能做出复杂的决策，不能判断出一个包的实际含意或包的实际出处现代网络级防火墙已变得越来越复杂，可以保持流经它的接入状态、一些数据流的内容等等有关信息许多网络级防火墙之间的一个重要差别是防火墙可以使传输流直接通过，因此要使用这样的防火墙通常需要分配有效的IP地址块网络级防火墙一般速度都很快，对用户很透明3防火墙技术3.2防火墙的类型网络级防火墙图7-2路由器级包过滤3防火墙技术3.2防火墙的类型应用级防火墙应用级防火墙一般是运行代理服务器的主机，它不允许传输流在网络之间直接传输，并对通过它的传输流进行记录和审计应用级防火墙在确认连接后要求用户输入口令，以进行严格的用户认证，然后再向用户提示所连接的主机信息在某些情况下，设置了应用级防火墙后，可能会对性能造成影响，会使防火墙不太透明应用级防火墙一般会提供更详尽的审计报告，比网络级防火墙