节网络安全课件

第九章网络安全9.1基本概念9.2加密算法9.3机密性9.4认证9.5数字签名9.6密钥分发9.7因特网安全9.8防火墙和IDS9.9DDoS攻击第九章网络安全9.1基本概念9.1基本概念9.1.1病毒、蠕虫、木马和漏洞9.1.2安全特性9.1.3网络攻击9.1.4安全防护9.1.5密码学9.1基本概念9.1.1病毒、蠕虫、木马和漏洞安全特性机密性、完整性、可用性、不可否认性和可控性。机密性：保护信息不被非授权用户访问完整性：保护信息不被非授权修改或破坏；可用性：避免拒绝授权访问或拒绝服务；不可否认：对通信对象的身份认证和事后的不可抵赖（non-repudiation）。

安全特性机密性、完整性、可用性、不可否认性和可控性。安全攻击安全攻击加解密模型加解密模型9.2加密算法9.2.1对称密钥加密9.2.2公开密钥加密9.2.3两者比较9.2加密算法9.2.1对称密钥加密对称密钥加密对称密钥加密公开密钥加密公开密钥加密9.3机密性9.3.1基于对称密钥加密的机密性保护9.3.2基于公开密钥加密的机密性保护9.3机密性9.3.1基于对称密钥加密的机密性保护基于对称密钥加密的机密性保护基于对称密钥加密的机密性保护基于公开密钥加密的机密性保护基于公开密钥加密的机密性保护9.4认证9.4.1基于对称密钥加密的认证9.4.2基于公开密钥加密的认证9.4认证9.4.1基于对称密钥加密的认证9.4.1基于对称密钥加密的认证9.4.1基于对称密钥加密的认证简化后的挑战－应答认证协议简化后的挑战－应答认证协议9.5数字签名9.5.1对整个文档进行签名9.5.2对报文摘要进行签名9.5数字签名9.5.1对整个文档进行签名9.5.1对整个文档进行签名9.5.1对整个文档进行签名9.5.2对文档摘要进行签名9.5.2对文档摘要进行签名9.6密钥管理9.6.1对称密钥分发9.6.2公开密钥分发9.6密钥管理9.6.1对称密钥分发Diffie-Hellman密钥交换Diffie-Hellman密钥交换密钥分发中心KDC密钥分发中心KDCKerberos服务器Kerberos服务器Kerberos例子Kerberos例子CA层次CA层次9.7因特网安全9.7.1IP层的安全：IPSec9.7.2传输层安全TLS9.7.3极好私密性（PGP）9.7.4VPN9.7因特网安全9.7.1IP层的安全：IPSec9.7.1IP层的安全：IPSecIPSec（IPSecurity）是IETF设计的一组协议，用来对因特网上传送的IP报文提供安全服务。IPSec没有规定任何特定的加密算法或认证方法。相反，它只提供了安全框架、机制和一组协议用于让实体自动选择加密、认证或散列算法。9.7.1IP层的安全：IPSecIPSec（IPSecIPSec协议族加密算法认证头部AH（AuthenticationHeader）封装安全有效载荷ESP（EncapsulatingSecurityPayload）因特网密钥交换IKE（InternetKeyExchange）因特网安全与密钥管理协议ISAKMP（InternetSecurityAndKeyManagementProtocol）IPSec协议族加密算法传输方式传输方式隧道方式隧道方式AHAHESPESP9.7.2传输层安全TLS9.7.2传输层安全TLSTLS协议TLS协议9.7.3极好私密性（PGP）极好私密性PGP（PrettyGoodPrivacy）是由PhilZimmermann发明的。PGP对电子邮件提供4个方面的安全（机密性、完整性、认证和不可否认）。PGP使用数字签名（报文摘要和公钥加密的组合）来提供完整性、认证和不可否认。同时，PGP使用对称密钥和公钥的组合进行加密来提供保密。9.7.3极好私密性（PGP）极好私密性PGP（Prett在发送方的PGP在发送方的PGP在接收方的PGP在接收方的PGP9.7.4VPN采用租用线路组建专用网的好处是安全性、可靠性高，而且在专用网内部可以使用私有地址，不需要向因特网管理机构申请IP地址；但是专用网的建设费用非常高。一种解决问题的方法是基于因特网上组建专用网，这就是虚拟专用网（VirtualPrivateNetwork，VPN）。9.7.4VPN采用租用线路组建专用网的好处是安全性、可靠隧道在因特网上构建VPN的最主要技术是隧道。隧道技术是利用一种网络协议来传输另一种网络协议。隧道通过某种封装协议，将帧或报文封装在隧道协议的报文中在网络中传输，在隧道出口处将隧道报文解封装，取出其中的帧或报文。隧道技术涉及了三种网络协议，隧道（封装）协议、承载（传送、投递）协议和乘客协议。隧道在因特网上构建VPN的最主要技术是隧道。典型拨号VPN业务示意图典型拨号VPN业务示意图VPN例子VPN例子9.8防火墙和IDS9.8防火墙和IDS报文过滤报文过滤应用层网关应用层网关9.9DDoS攻击拒绝服务（DenialofService，DoS）攻击方式有很多种，从广义上讲，任何可以通过合法的方式使服务器不能提供正常服务的攻击手段都属于DoS攻击的范畴。最