第2章 网络安全协议.ppt

1、第2章 网络安全协议,防灾科技学院灾害信息工程系,主讲教师:孙晓玲,第二章 网络安全协议,基本协议的安全 高级协议的安全,2.1 基本协议的安全,物理层协议的安全 网络层协议的安全 传输层协议的安全 应用层协议的安全,2.1 基本协议的安全,2.1.1 物理层协议的安全 物理层安全威胁主要指网络周边环境和物理特性引起的网络设备和线路的不可用而造成的网络系统的不可用。 设备老化 设备被盗 意外故障 设备损毁,2.1.2 网络层协议的安全 网络层的安全威胁主要有两类：IP欺骗和ICMP攻击。 IP欺骗技术的一种实现方法是把源IP地址改成一个错误的IP地址，接收主机不能判断源IP地址的正确性，由此形

2、成欺骗。 ICMP在IP层检查错误和其他条件。ICMP信息能够被用于攻击远程网络或主机，利用ICMP来消耗带宽从而有效地摧毁站点。,2.1 基本协议的安全,2.1 基本协议的安全,2.1.3 传输层协议的安全 具体的传输层安全措施取决于具体的协议。 TLS(传输层安全)协议在TCP的顶部提供了如身份验证、完整性检验以及机密性保证这样的安全服务。,2.1 基本协议的安全,2.1.4 应用层协议的安全 应用层安全被分解成网络层、操作系统、数据库的安全，应用系统复杂多样，不存在一种安全技术能够完全解决一些特殊应用系统的安全问题。,2.2 高级协议的安全,SMTP协议的安全 FTP协议的安全 IP协议

3、的安全 TCP协议的安全 DNS协议的安全 SSL协议的安全 Finger和Whois协议的安全,2.2 高级协议的安全,2.2.1 SMTP协议的安全 1. SMTP简介和工作机制 SMTP：简单邮件传输协议,图2-1 SMTP模型,2.2 高级协议的安全,具体工作方式为： 发送SMTP在接到用户的邮件请求后，判断此邮件是否为本地邮件，若是则直接投送到用户的邮箱，否则向DNS查询远端邮件服务器的MX记录，并建立与远端接收SMTP之间的一个双向传送通道，此后SMTP命令由发送SMPT发出，由接收SMTP接收，而应答则反向传送。,2.2 高级协议的安全,一旦传送通道建立，SMTP发送者发送MAI

4、L命令指明邮件发送者。 如果SMTP接收者可以接收邮件则返回OK应答。 SMTP发送者再发出RCPT命令确认邮件是否接收到。如果SMTP接收者接收到，则返回OK应答；如果未接收到，则发出拒绝接收应答，双方将如此重复多次。 当接收者收到全部邮件后会接收到特别的序列，如果接收者成功处理了邮件，则返回OK应答。,2.2 高级协议的安全,2. SMTP安全性分析 发送邮件过程中，MAIL和RCPT命令都可能被监听，分析其参数获知邮件的来源和去向。 VRFY和EXPN命令也能被监听，攻击者可以掌握用户名和邮箱地址，进行假冒攻击。 攻击者截获DATA命令，然后用自己伪造的邮件内容代替原邮件内容发给接收者，

5、进行假冒攻击。 攻击者利用TURN命令可以逃避邮件过滤防火墙的检查。 通过对reverse-path的修改，可以直接导致邮件误投。,2.2 高级协议的安全,2.2.2 FTP协议的安全 FTP：文件传输协议 1. 工作原理 FTP应用需要建立两条TCP连接，一条是控制连接，另一条是数据连接。,2.2 高级协议的安全,FTP采用两种TCP连接来传输文件： 控制连接以通常的客户服务器方式建立。服务器以被动的方式打开21号端口，等待客户的连接。客户主动打开21号端口建立连接。 当文件在客户与服务器之间传输时，就创建一个数据连接。,2.2 高级协议的安全,2. FTP协议的安全 FTP的安全性主要包括

6、以下4个方面。 非法用户禁止在服务器上进行FTP操作。 FTP用户不能读取未经系统所有者允许的文件或目录。 未授权时，FTP用户不能在服务器上建立或删除文件或目录。 挑战攻击。,2.2 高级协议的安全,2.2.3 IP协议的安全 1. IPSec策略 IPSec使用两个协议为流量提供安全性：认证包头(AH)协议和封装安全负载(ESP)协议。 AH提供了无连接的完整性、数据起源的身份验证和一个可选的防止重放的服务。 ESP能够提供机密性和受限制的流量机密性，它也能提供无连接的完整性、数据起源的身份验证和防止重放服务。,2.2 高级协议的安全,2. 设置安全等级 1) 阻塞传输 该策略让IPSec

7、封锁来自从A计算机到B计算机所有传输。 2) 加密传输 该传输允许在计算机之间通信，数据必须经过加密以防窃听，使用ESP协议来加密数据。,2.2 高级协议的安全,3) 签名传输 该传输用来防止“中间人”攻击，用于数字签名的AH协议是在网络包的结尾添加一位，以验证数据在传输中是否被改变。 4) 无须签名或者无须加密，允许未加改变地传输 这是安全性的缺省设置。允许所有数据进行传输，无须验证数据完整性。,2.2 高级协议的安全,3. 配置IPSec安全性 配置IPSec过滤动作时，有3种可选动作。 允许： IPSec安全策略中的允许选项是缺省值。 阻塞：使用阻塞过滤选项时，网络中不允许运行满足相应的

8、IP过滤条件的协议。 协商安全性：如果一项过滤条件得到匹配，协商安全性选项可以让管理员设置对数据的加密算法。,2.2 高级协议的安全,4. IPSec策略认证 Kerberos v5常用于Windows server 2003，是其缺省认证方式。使用时，既对用户的身份进行认证，也对网络服务进行验证。,2.2 高级协议的安全,2.2.4 TCP协议的安全 1. TCP序列号猜测攻击 攻击者试图通过猜测出要攻击的系统用于下一次连接时所使用的ISN(初始序列号)来达到欺骗攻击对象的目的。,2.2 高级协议的安全,2. TCP SYN洪泛攻击原理 TCP SYN洪泛攻击通过消耗服务器的两类资源来达到攻

9、击目的。 1)SYN Cache（请求队列） 攻击者使用大量的并不存在的IP地址同时向服务器发送TCP连接请求，服务器响应并等待源IP连接确认，导致请求队列溢出，服务器无法处理新的连接请求，无法向正常用户提供服务。,2.2 高级协议的安全,2) SYN Cookie（缓冲区） TCP在将连接请求插入到请求队列中的同时，会在本机内存中开辟相应的内存空间用于建立相关的数据结构和保存状态。 大量的SYN请求信息将使服务器开辟大量的缓冲区，将系统内存资源耗尽，导致系统瘫痪。,2.2 高级协议的安全,2.2.5 DNS协议的安全 1. DNS的工作原理 通过用户友好名称查找计算机和服务。当用户在应用程序

10、中输入DNS名称时，DNS服务可以将此名称解释为与之相关的其他信息，一般为IP地址。,2.2 高级协议的安全,2. DNS欺骗攻击 当一个DNS服务器使用了来自一个恶意DNS服务器的错误信息，那么该服务器就被欺骗了。 DNS欺骗的几种方法： 1) 缓存感染 黑客使用DNS请求，将数据放入一个DNS服务器的缓存当中。这些信息会在客户进行DNS访问时返回给客户，从而将客户引导到入侵者所设置的运行木马的Web服务器或邮件服务器上，然后黑客从这些服务器上获取用户信息。,2.2 高级协议的安全,2) DNS信息劫持 入侵者通过监听客户端和DNS服务器的对话，猜测服务器响应给客户端的DNS查询ID。黑客在

11、DNS服务器之前将虚假的响应交给客户，从而欺骗客户端去访问恶意的网站。 3) DNS重定向 攻击者能够将DNS名称查询重定向到恶意DNS服务器。攻击者可以获得DNS服务器的写权限。,2.2 高级协议的安全,3. DNS的防范方法 直接用IP访问重要的服务，避开DNS欺骗攻击。 加密所有对外的数据流。,2.2 高级协议的安全,2.2.6 SSL协议的安全 SSL协议是一个用于在因特网上进行保密通信的安全协议，它位于TCP层和应用层之间，对应用层透明。 SSL协议的主要应用范围是HTTP协议。,2.2 高级协议的安全,1. SSL的工作原理 通信时，首先初始化握手协议，以建立一个SSL对话时段。握

12、手结束后，对通信进行加密，并且检查信息的完整性，直到该对话时段结束为止。,2.2 高级协议的安全,握手协议内容包括： 1) 通信双方进行交互，认证身份。 2) 双方协商确定一组密码套件用于加密需传播的 信息。 3) 双方协商加密信息时使用的密钥。 4) 双方使用协商的加密算法和加密密钥加密交换的信息。,2.2 高级协议的安全,SSL协议的分层结构,2. SSL的体系结构,2.2 高级协议的安全,握手层允许通信实体在应用SSL协议传送数据之前相互验证身份、协商加密算法、生成密钥等。 记录层封装各种高层协议，具体实施压缩与解压缩、加解密、计算与验证MAC等与安全有关的操作。,2.2 高级协议的安全

13、,3. SSL协议的安全性 1) 记录层协议的安全性 防止被动窃听 SSL协议使用对称加密算法和临时生成的短期 会话密钥对所有的应用层数据加密。 防止主动攻击 主要采用足够安全的密钥长度，就能够保证 SSL协议记录层免受这对保密性的主动攻击。,2.2 高级协议的安全,流量分析 流量分析的目的是通过观察未加密的域和未受 保护的属性获得保密信息。SSl协议的序列加密未 使用填充机制，因此应用序列加密时SSL协议密文 的长度揭示了明文的长度,2.2 高级协议的安全,2) 握手协议的安全性 验证主体的有效性 在SSL协议中，通过检查主体的证书实现对主体的验证。 验证方得到被验证方的证书后，对证书进行各

14、种检查。 不同验证模式抗“中间人”攻击的能力 SSL协议支持3种验证模式：客户和服务器都被验证、 只验证服务器、完全匿名。当服务器被验证时，无论密钥交 换算法使用RSA还是Diffie-Hellman，握手过程都能防 止“中间人”攻击。,2.2 高级协议的安全,握手消息中的MAC SSL握手协议中有几处应用MAC结构做消息完 整性检查。,2.2 高级协议的安全,2.2.7 Finger和Whois协议的安全性 1. Finger协议的安全 1) Finger协议的基本原理 Finger服务可查询在目标主机上有账号的用户的个人信息，而不论这个用户当前是否登录在被查询的机器上。这些信息包括登录名、最近在何时何地登录的情况以及用户自己提供的简介。,2.2 高级协议的安全,2) Finger协议的安全 Finger显示了用户的敏感信息。关于是否运行Finger以及响应中该出现哪些信息等方面，安全管理员应该做出明确的决定。 取消或限制Finger服务 追踪使用F