网络安全体系结构

网络平安技术

〔第2版〕刘化君等编著教学课件第2章网络平安体系结构2.1OSI平安体系结构2.2网络通信平安模型 2.3可信计算2.4网络平安标准及管理

刘化君等编著图2-1OSI平安体系结构三维示意图2.1OSI平安体系结构

第2章网络平安体系结构2.1OSI平安体系结构

2.1.1平安体系结构的5类平安效劳 2.1.2平安体系结构的8种平安机制 2.1.3网络平安防御体系架构4第2章网络平安体系结构2.1.1平安体系结构的5类平安效劳1〕身份认证效劳 身份认证效劳也称之为身份鉴别效劳，这是一个向其他人证明身份的过程，这种效劳可防止实体假冒或重放以前的连接，即伪造连接初始化攻击。 身份认证是其它平安效劳，如授权、访问控制和审计的前提。2〕访问控制效劳 在网络平安中，访问控制是一种限制，控制那些通过通信连接对主机和应用系统进行访问的能力。访问控制效劳的根本任务是防止非法用户进入系统及防止合法用户对系统资源的非法访问使用。 访问控制和身份认证:在一个应用进程被授予权限访问资源之前，它必须首先通过身份认证。第2章网络平安体系结构2.1.1平安体系结构的5类平安效劳3〕数据机密性效劳数据机密性效劳是指对数据提供平安保护，防止数据被未授权用户获知。4〕数据完整性效劳数据完整性效劳通过验证或维护信息的一致性，防止主动攻击，确保收到的数据在传输过程中没有被修改、插入、删除、延迟等。5〕不可否认效劳不可否认效劳主要是防止通信参与者事后否认参与。OSI平安体系结构定义了两种不可否认效劳：①发送的不可否认效劳；②接收的不可否认效劳。第2章网络平安体系结构4.数据完整性机制数据完整性机制〔DataIntegrityMechanisms〕是指通过数字加密保证数据不被篡改。单个数据单元或字段的完整性发送实体给数据单元附加一个量接收实体产生一个相应的量数据单元流或字段流的完整性另外还需要某种明显的排序形式，如：顺序号、时间标记等2.1.2平安体系结构的8种平安机制第2章网络平安体系结构平安体系结构的8种平安机制5.认证交换机制认证交换机制〔AuthenticationMechanisms〕是指通过信息交换来确保实体身份的机制，即通信的数据接收方能够确认数据发送方的真实身份，以及认证数据在传送过程中是否被篡改；主要有站点认证、报文认证、用户和进程的认证等方式。使用鉴别信息〔如口令〕，由发送实体提供而由接收实体验证密码技术使用该实体的特征或占有物6.通信流量填充机制通信流量填充机制〔TrafficPaddingMechanisms〕是指由保密装置在无数据传输时，连续发出伪随机序列，使得非法攻击者不知哪些是有用数据、哪些是无用数据，从而挫败攻击者在线路上监听数据并对其进行数据流分析攻击。用来提供各种不同级别的保护，对抗通信业务分析只有在通信业务填充受到机制效劳保护时才是有效的2.1.2平安体系结构的8种平安机制第2章网络平安体系结构7.路由控制机制路由控制机制〔RoutingControlMechanisms〕用于引导发送者选择代价小且平安的特殊路径，保证数据由源节点出发，经最正确路由，平安到达目的节点。8.公证机制公证机制〔NotarizationMechanisms〕是指第三方〔公证方〕参与的签名机制，主要用来对通信的矛盾双方因事故和信用危机导致的责任纠纷进行公证仲裁。公证机构有适用的数字签名、加密或完整性公证机制，当实体相互通信时，公证机构就使用这些机制进行公证。2.1.2平安体系结构的8种平安机制第2章网络平安体系结构2.1.3网络平安防护体系架构OSI平安体系结构通过不同层上的平安机制来实现。这些平安机制在不同层上的分布情况如图2-2所示。图2-2网络平安层次模型及各层主要平安机制分布第2章网络平安体系结构2.1.3网络平安防护体系架构安全服务安全机制数据加密数字签名访问控制数据完整性认证交换通信流量填充路由控制公证提供该服务的层次身份认证对等实体鉴别√√

√

3、4、6数据源点鉴别√√

3、4、7访问控制访问控制

√√

3、4、6、7数据机密性连接机密性√

√

1、2、3、4、6无连接机密性√

√

2、3、4、6选择字段机密性√

7数据流机密性√

√√

1、3、7数据完整性可恢复的连接完整性√

√

4不可恢复的连接完整性√

√

3、4、6选择字段连接完整性√

√

6无连接完整性√√

√

3、4、6选择字段无连接完整性√√

√

6不可否认发送的不可否认

√

√

√6接收的不可否认

√

√

√6第2章网络平安体系结构152.2网络平安模型

2.2.1网络访问平安模型 2.2.2网络系统平安模型第2章网络平安体系结构2.2.1网络访问平安模型 当需要保护数据传输以防攻击者危害数据的机密性、完整性、真实性时，就会涉及网络平安访问问题。假设，所讨论的通信模型如图2-3所示，通信的某一方假设要通过互联网将消息传送给另一方，那么通信双方必须协同处理这个消息的交换。图2-3网络访问平安模型两个方面用来保证平安：一是与收发相关的平安转换，如对消息加密。这种平安转换使得攻击者不能读懂消息，或者将基于消息的编码附于消息后。二是双方共享的某些秘密信息，并希望这些信息不为攻击者所获知。为了实现平安传输，还需要有可信的第三方。例如，由第三方负责将秘密信息〔密钥〕分配给通信双方。第2章网络平安体系结构2.2.1网络访问平安模型 归纳起来，由图2-3所示的通信模型可知，在设计网络平安系统时，应完成下述四个方面的根本任务： 1〕设计一个用来执行与平安相关的平安转换算法，而且该算法是攻击者无法破译的； 2〕产生一个用于该算法的秘密信息〔密钥〕； 3〕设计一个分配和共享秘密信息〔密钥〕的方法； 4〕指明通信双方使用的协议，该协议利用平安算法和秘密信息实现特定的平安效劳。第2章网络平安体系结构2.2.1网络访问平安模型 并非所有的与平安相关的情形都可以用上述平安模型来描述。比方，万维网(WWW)的平安模型。可以采用网络访问平安模型来描述。该模型的侧重点在于如何有效地防止恶意访问。图2-4网络访问平安模型第2章网络平安体系结构2.2.2网络系统平安模型1.网络系统平安P2DR模型Policy〔策略〕、Protection〔防护〕、Detection〔检测〕和Response〔响应〕。防护、检测和响应组成了一个的“完整的、动态〞的平安循环。第2章网络平安体系结构2.2.2网络系统平安模型2.网络系统平安PDRR模型

一个常见的网络系统平安模型是PDRR，即：防护、检测、响应和恢复。这四个局部构成一个动态的网络系统平安周期模型。第2章网络平安体系结构2.3.可信计算目的为了解决计算机和网络结构上的不平安，从根本上提高其平安性，必须从芯片、硬件结构和操作系统等方面综合采取措施，由此产生出可信计算的根本思想，其目的是在计算和通信系统中广泛使用基于硬件平安模块支持下的可信计算平台，以提高整体的平安性。可信是指“一个实体在实现给定目标时其行为总是如同预期一样的结果〞。强调行为的结果可预测和可控制。第2章网络平安体系结构2.3.1可信计算的概念

所谓可信计算，就是以为信息系统提供可靠和平安运行环境为主要目标，能够超越预设平安规那么，执行特殊行为的一种运行实体。可信计算是平安的根底，从可信根出发，解决PC机结构所引起的平安问题。第2章网络平安体系结构2.3.1可信计算的概念ISO/IEC15408标准将可信计算定义为：一个可信的组件、操作或过程的行为在任意操作条件下是可预测的，并能很好地抵抗应用程序软件、病毒，以及一定的物理干扰所造成的破坏。这种描述强调行为的可预测性，能抵抗各种破坏，到达预期的目标。TCG对“可信〞的定义是：针对所给定的目标，如果一个实体的行为总是能够被预期，那么该实体那么是可信的。注意：可信强调行为过程及结果可预期，但并不等于行为是平安的；平安那么主要强调网络与信息系统的机密性、完整性、可用性等根本特性。这是两个不同的概念。第2章网络平安体系结构可信计算具有以下功能：确保用户唯一身份、权限、工作空间的完整性/可用性确保存储、处理、传输的机密性/完整性确保硬件环境配置、操作系统内核、效劳及应用程序的完整性确保密钥操作和存储的平安确保系统具有免疫能力，从根本上阻止病毒和黑客等软件的攻击第2章网络平安体系结构2.3.2可信计算平台定义了TPMTPM=TrustedPlatformModule可信平台模块；定义了访问者与TPM交互机制通过协议和消息机制来使用TPM的功能；TPM应包含密码算法引擎受保护的存储区域2.3.2可信计算平台〔终端〕可信计算终端基于可信赖平台模块〔TPM〕,以密码技术为支持、平安操作系统为核心安全应用组件安全操作系统安全操作系统内核密码模块协议栈主板可信BIOSTPM(密码模块芯片)可信计算平台第2章网络平安体系结构2.3.3可信计算的开展趋势可信云计算〔可信云计算平台TCCP〕嵌入式实时操作系统可信计算技术〔实时性、低功耗〕可信计算组织〔TCG〕：平安嵌入式平台白皮书可信军用计算设备第2章网络平安体系结构2.3.3可信计算的开展趋势已发布的Windows8版本全面实现可信计算功能，它使用特定的芯片TrustedPlatformModule〔可信平台模块〕，并与操作系统紧密整合。芯片和操作系统协同工作的方式已经标准化，但制定标准的可信计算组成员全部是美国公司。TrustedComputing可以确定软件和硬件是否匹配，判断安装了哪些应用程序。在理论上，微软可以防止Windows8操作系统运行除MicrosoftWord之外的字处理程序，TrustedComputing让用户失去了对计算机的控制。第2章网络平安体系结构2.4网络平安标准及管理2.4.1网络与信息平安标准体系网络与信息平安标准体系示意图第2章网络平安体系结构2.4.2网络与信息平安标准化概况1.国外网络与信息平安标准化简况 目前世界上与信息平安标准化有关的主要组织机构有ISO、IEC、ITU、IETF、IEEE和ETSI。2.国内网络与信息平安标准研究现状 信息产业部(工信部)、公安部、平安部、国家保密局等也相继制订、公布了一批网络与信息平安的行业标准，为推动网络与信息平安技术在各行业的应用发挥了积极的作用。2.4.3可信计算机系统平安评价准那么 在网络系统可信度的评估中，美国国防部制订的可信计算机系统平安评价准那么〔TCSEC〕具有重要的历史地位和作用；我国根据自己的信息平安状况也制订了系列评价标准。 在可信计算机系统评价准那么〔TCSEC〕中，将计算机系统平安划分为四类七级，由高到低依次是：A、B3、B2、B1、C2、C1和D，其中A级为最高，见表2-2所列。第2章网络平安体系结构2.4.3可信计算机系统平安评价准那么1.国际评价标准〔可信计算机系统评价准那么TCSEC〕2.我国评价标准〔计算机信息系统平安保护等级划分准那么GB17859-1999〕第2章网络平安体系结构2.4.3可信计算机系统平安评价准那么表2-2TCSEC平安级别分类类别级别名称主要特征DD安全保护欠缺级没有安全保护CC1自主安全保护级自主存取控制C2受控存取保护级单独的可查性，安全标记BB1标记安全保护级强制存取控制，安全标记B2结构化保护级面向安全的体系结构，有较好的抗渗透能力B3安全域保护级存取监控，有高抗渗透能力AA验证设计级形式化的最高级描述和验证第2章网络平安体系结构2.4.4网络平安管理1.平安管理的概念 平安管理(SecurityManagement，SM)是以管理对象的平安为任务和目标所进行的各种管理活动。 网络平安管理包含的内容非常之多，就实际管理工作而言，大致可划分为设备的平安管理、平安策略管理、平安风险控制、平安审计等。第2章网络平安体系结构思考与练