计算机网络与互联网知识点总结（七）

最新推荐文章于 2022-10-11 20:22:21 发布

bwqiang

最新推荐文章于 2022-10-11 20:22:21 发布

阅读量620

点赞数

分类专栏：计算机网络与互联网

本文链接：https://blog.csdn.net/bwqiang/article/details/105616996

版权

计算机网络与互联网专栏收录该内容

11 篇文章 1 订阅

订阅专栏

七、网络安全

1、网络安全问题概述

1.1 计算机网络面临的安全性威胁

两种：被公攻击和主动攻击。

1. 被动攻击

攻击者从网络上窃听他人的通信。称为截获。攻击者观察和分析某一个协议数据单元PDU不干扰信息流。又称为流量分析。

2. 主动攻击

（1）篡改：攻击者篡改网络上的报文。
（2）恶意程序：分为计算机病毒：传染其他程序，通过修改其他程序把自身或其变种复制进去、计算机蠕虫：将自身发送到另一结点并启动、特洛伊木马：执行某种恶意的功能、逻辑炸弹：运行环境满足某种特定条件执行其他特殊功能的程序。
拒绝服务：攻击者向因特网某个服务器不停发送大量分组，使因特网或服务器无法提供正常服务。也称为：拒绝服务DoS、分布式拒绝服务DDoS、网络带宽攻击、连通性攻击。
采取措施：（1）防止析出报文内容和流量分析。（2）防止恶意程序。（3）检查更改报文流和拒绝服务。

1.2 计算机网络安全的内容

1. 保密性

保密性计算机安全最重要内容。

2. 安全协议设计

形式化方法、经验分析两种方法分析协议的安全性。

3. 访问控制

也叫存取控制或接入控制。

1.3 一般的数据加密模型

用户A向用户B发送明文X，通过加密算法E运算后，得出密文Y。
加密和解密用的密钥串K，是秘密字符串（比特串）。
$Y=E_K(X)$ 加密。
$D_K(Y)=D_K(E_K(X))=X$ 解密。
密码编码学和密码学分析综合称为密码学。
要研制出在计算机上（不是理论）不可破的密码体制。不能再一定时间内破译，称为在计算机上是安全的。

2、两类密码体制

2.1 对称密钥密码体制

即加密密钥与解密密钥是相同的密码体制。
数据加密标准DES是对称密钥密码体制。是一种分组密码，每组是64位长的二进制数据。DES的保密性仅取决于对密钥的保密，算法时公开的。
在DES后出现国际数据加密算法IDEA。

2.2 公钥密码体制

使用不同的加密密钥与解密密钥。
加密密钥PK公开，解密密钥SK保密。
任何加密方法的安全性取决于密钥的长度，以及攻破密钥密文所需的计算量。

3、数字签名

纸质可以亲笔签名，网络文电满足三点功能：
（1）接收者能够核实发送者对报文的签名。其他人无法伪造，叫做报文鉴别。
（2）接收者确信收到的数据和发送者所发内容一致，叫做报文的完整性。
（3）发送者事后不能对报文签名的抵赖。叫做不可否认。
下图，数字签名的实现：
下图，具有保密性的数字签名：

4、鉴别

鉴别是要验证通信的对方的确是自己所要通信的对象，而不是其他的冒充者。一种是报文鉴别，一种是实体鉴别。
授权：所进行的过程是否被允许。

4.1 报文鉴别

报文摘要MD是报文鉴别的简单方法。
过程：A将较长的报文X经过报文摘要算法得到报文摘要H，用自己的私钥对H进行D运算，即数字签名，得到已签名的报文摘要，称为报文鉴别码MAC，追加到X的后面。B收到的事“报文X + 报文鉴别码MAC”。将其分离。
分离后做两件事：（1）用A的公钥对报文鉴别吗MAC进行E运算，还原H。（2）对报文X进行摘要运算。是否得出同样的报文摘要H。一样则以极高的概率认为是A传来的，否则不是。
对H进行数字签名要比对整个签名要简单，资源小，效果一样。不可伪造，时候可检验的进而不可否认的。
报文摘要算法是散列函数也叫密码编码的检验码。是一种精心选择的一种单向函数。

4.2 实体鉴别

实体鉴别是在系统接入的全部持续时间内对和自己通信的对方实体只需验证一次。
有明显漏洞：重放攻击：C截获A的报文，发送给B，B以为C就是A。C甚至可以截获A的IP地址。
C冒充A与B通信，实际A没有与B通信，B给A打电话询问便知。
中间人攻击：C截获A的信息，冒充与B联系，B的信息C截获，冒充B与A联系。

5、密钥分配

密钥管理：包括密钥的产生、分配、注入、验证、使用。
密钥分配：派非常可靠的信使携带密钥分配，叫做网外分配方式，已不再适用，采用网内分配方式。

5.1 对称密钥的分配

常用的密钥分配方式是设立密钥分配中心KDC。任务就是需要进行秘密通信的用户临时分配一个会话密钥（仅使用一次）。
用户A和用户B在KDC分配主密钥，A要和B通信，KDC用随机数产生“一次一密”，报文包含A转给B的票据，B收到A的票据解密。

5.2 公钥的分配

认证中心CA，里面有公钥及其拥有者的表示信息（人名或IP地址）。

6、因特网使用的安全协议

6.1 网络层安全协议

1. IPsec协议

IPsec就是“IP安全协议”，鉴别首部AH协议和封装安全有效载荷ESP协议。
发送数据报IPsec之前，源实体和目的实体之间创立一条网络层的逻辑连接，安全关联。IPsec就把传统的因特网无连接的网络层变为具有逻辑连接的一个层。

2. IPsec数据报格式

两种工作方式：运输方式和隧道方式（用来实现虚拟专用网络VPN）。

3. IPsec的其他构件

一个发送IPsec的实体，可能要用到多条安全关联SA。SA存放在安全关联数据库SAD。

6.2 运输层安全协议

万维网提供购物时，需要安全问题。
（1）服务器时正常销售商。（2）客户和销售商确保报文内容不被修改。（3）信用卡号等不被窃听。
使用两种协议：（1）安全套接字层SSL。（2）运输层安全TLS。
SSL作用在端系统应用层的HTTP和运输层之间，在TCP之上建立起来的一个安全通道，通过TCP传输的应用层数据提供安全保障。
在SSL 3.0基础上设计了TLS协议，为所有基于TCP的网络应用提供安全数据传输服务。
运输层原来还有一个安全电子交易SET协议，因特网上进行安全信用卡交易的协议。但是昂贵。
SSL/TSL处在应用层和运输层之间。应用层使用最多的就是HTTP，不局限于HTTP。
当使用普通不加密的浏览器查看网页时，HTTP直接使用TCP连接，这时SSL/TLS不起作用。
当使用信用卡支付时，HTTP调用SSL/TLS对整个网络进行加密。网址栏原来显示http的地方，变成https了。s代表security，提示是使用的是提供安全服务的HTTP协议。
SSL接收应用层的数据（HTTP或IMAP报文），对数据加密，送往TCP套接字。在接收方，SSL从TCP套接字读取数据，解密后把数据交给应用层。
SSL提供的安全服务归纳为三种：
（1）SSL服务器鉴别，允许用户证实服务器的身份。
（2）SSL客户鉴别，SSL的可选安全服务，允许服务器证实客户身份。
（3）加密的SSL会话，检测报文是否被篡改。