《计算机网络》 第七章 网络安全

7.5.1 网络层安全协议

IP不具备任何安全性，无法保证①数据机密性 ②数据完整性 ③数据来源认证

IPsec 提供了标准、健壮且包含广泛的机制保证IP 层安全

1.IPsec协议族概述

IPsec不是单一协议，而是协议族

IPsec 是个框架:允许通信双方选择合适的算法和参数

三部分组成：

①IP安全数据报格式：

• 鉴别首部AH协议（提供源点鉴别和数据完整性，但不能保密）
• 封装安全有效载荷ESP协议（提供源点鉴别和数据完整性，保密）

②加密算法：三个协议

③互联网密钥交换IKE协议

2.安全关联

发送IP安全数据报前，在源实体和目的实体间需创建一条网络层的逻辑连接，称安全关联SA

安全关联是从源点到终点的单向连接

若n个员工进行双向安全通信，一共需要创建(2 + 2n)条安全关联SA

3.IP安全数据报的格式

7.5.2 运输层安全协议

1.安全套接字层SSL

SSL作用在端系统应用层的HTTP 和运输层之间，在TCP之上建立起一个安全通道，为通过TCP 传输的应用层数据提供安全保障。

2.运输层安全TLS

在发送方，TLS 接收应用层的数据，对数据进行加密，然后把加密后的数据送往 TCP 套接字

在接收方，TSL从 TCP 套接字读取数据，解密后把数据交给应用层。

协议TLS具有双向鉴别的功能：

①两个前提：.服务器需要有一个有效的CA 证书来证明自己、浏览器应具有一些手段来证明服务器是安全和可信的

②握手阶段：使用握手协议、会话阶段：使用记录协议

客户A和服务器B最好使用不同密钥，主密钥分割成四个不同的密钥：

• 客户A发送数据时使用的会话密钥KA
• 客户A发送数据时使用的MAC密钥MA
• 服务器B发送数据时使用会话密钥KB
• 服务器B发送数据时使用的MAC密钥MB

7.5.3 应用层安全协议

仅讨论应用层中有关电子邮件的安全协议

发送电子邮件是个即时行为，是单向报文的安全问题

PGP：完整的电子邮件安全软件包，包括加密、鉴别、电子签名、压缩等技术，足够安全

7.6 系统安全：防火墙与入侵检测

用户入侵：进行未授权登录、非法获取更高级别权限

软件入侵：传播病毒、拒绝服务攻击

7.6.1 防火墙

防火墙是一种特殊编程的路由器，安装在一个网点和网络的其余部分之间，目的是实施访问控制策略。是一种控制进出网络边界的分组

两类防火墙技术：

①分组过滤路由器

具有分组过滤功能的路由器。

过滤规则：基于分组的网络层或运输层首部信息

• 无状态的：独立地处理每一个分组
• 有状态的：跟踪每个连接或会话的通信状态，根据状态信息决定是否转发分组

优点：简单高效，对用户透明。

缺点：不能对高层数据进行过滤。

②应用网关

也称为代理服务器，合法转发给服务器，不合法丢弃报文。

实现基于应用层数据的过滤和高层用户鉴别

缺点：每种应用都需要一个不同的应用网关、在应用层转发和处理报文，处理负担较重、对应用程序不透明，需要在应用程序客户端配置应用网关地址

7.6.2 入侵检测系统

入侵检测：深度分析与检测进入的分组，发现疑似入侵行为

入侵检测系统IDS：能在入侵已经开始，但未造成危害前及时检测，尽快阻止。采用深度分组检查，能检测多种网络攻击：网络映射、端口扫描、DoS攻击、蠕虫和病毒、系统漏洞攻击等。

写在最后

在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。

需要完整版PDF学习资源私我