GQZL: 计算机网络（三）

网络安全基本内容

操作系统内部的安全包括：
数据存储安全、应用程序安全、操作系统安全
网络安全：数据在传输过程中的安全

网络通信面临的四种威胁

(1) 截获——从网络上窃听他人的通信内容。

(2) 中断——有意中断他人在网络上的通信。

(3) 篡改——故意篡改网络上传送的报文。

(4) 伪造——伪造信息在网络上传送。

截获信息的攻击称为被动攻击，而更改信息和拒绝用户使用资源的攻击称为主动攻击。

示例场景

应用截获和篡改的场景：

例如:

1. 有一种攻击软件cain，可以捕获本网段所有计算机上网的流量，从中挑选出用户名和密码保存，
2. 淘宝账户也不例外；可以篡改域名解析的结果，即让你打开一个错误的网站（即DNS劫持。打开的错误网站称为钓鱼网站，如假的工商银行网站，假的网站做的和真的一模一样，所以当用户输入用户名和密码时，骗子网站就可以盗取用户名和密码信息。
3. 我们在访问银行或者带有支付密码的页面时，一定要看一看网站的域名是否可疑）。它利用的原理是arp欺骗，告知本网段的计算机，网关的MAC地址是它的MAC地址，这样本网段所有计算机访问外网的流量都过cain这台电脑，它再把流量往外发。

应用伪造的场景：
假设一个网站设置了只允许A计算机访问，那么B想要访问，可以等A关机之后，把自己的IP改成A计算机的IP，伪造自己是A来上网。

应用中断的场景：
arp欺骗中讲到的，在网络执法官上设置哪些计算机能上网，哪些不能；还有就是DOS攻击（拒绝服务式攻击），往目标计算机发送大量无用数据包和请求，把带宽都占掉。
DDOS攻击（分布式攻击）：由于个人主机上网有流量限制，一般也才几兆，自己一个人再怎么DOS攻击也占不了多少带宽，于是可以先在网上控制大量的服务器（称之为肉鸡），然后通过指令，命令这些肉鸡一起对目标计算机发动大量无用数据包进行DOS攻击，这样很快就会使目标计算机的网络瘫痪。这种攻击没有什么有效的应对措施，只能提高带宽了。

计算机面临的威胁

(1) 计算机病毒：会“传染”其他程序的程序，“传染”是通过修改其他程序来把自身或其变种复制进去完成的。
(2) 计算机蠕虫：通过网络的通信功能将自身从一个结点发送到另一个结点并启动运行的程序。消耗系统资源，一点点侵蚀CPU和内存。
(3) 特洛伊木马：一种程序，它执行的功能超出所声称的功能。例如盗号木马。木马和病毒有区别的地方在于，木马需要不断地和外界通信，即有流向外界的流量。比如，有一款叫“灰鸽子”的木马，攻击者把带有该木马的文件共享到网上，一旦有人从网上下载了该文件，并且点击了该文件，那被害者的计算机就中招了。这时灰鸽子木马会把中招的这台计算机和攻击者计算机相连，这样攻击者就可以利用灰鸽子木马软件远程控制中招的计算机。

注意：下载软件最好去官网下载，因为网上遍布的无数“软件园”上的软件，大多都是被修改过的破解版，我们无法辨别修改者是否在里面内嵌了病毒和木马。

(4) 逻辑炸弹：一种当运行环境满足某种特定条件时执行其他特殊功能的程序。

如何查看木马程序

（1）查看会话 netstat -nb是否有可疑会话

（2）在开始的运行中输入msconfig 查看服务， 然后隐藏微软服务，看看剩下的服务

（3）安装杀毒软件

加密技术

1. 对称加密
   对称加密是指加密密钥与解密密钥是相同的密码体制。这种加密系统又称为对称密钥系统。
   优点是加密效率高，速度快，缺点是秘钥需要双方先协商好，秘钥不适合在网上传输（在网上传输有被人截获的可能）；每两个人就得用一种秘钥，如果人数多的话秘钥也多，维护起来麻烦。

2. 数据加密标准DES
   DES是世界上第一个公认的实用密码算法标准，它曾对密码学的发展做出了重大贡献。它属于常规密钥密码体制，是一种分组密码。
   在加密前，先对整个明文进行分组。每一个组长为64位。然后对每一个64位二进制数据进行加密处理，产生一组64位密文数据。最后将各组密文串接起来，即得出整个的密文。
   使用的密钥为64位（实际密钥长度为56位，有8位用于奇偶校验)。
   DES的保密性仅取决于对密钥的保密，而算法是公开的。尽管人们在破译DES方面取得了许多进展，但至今仍未能找到比穷举搜索密钥更有效的方法。
   目前较为严重的问题是DES的密钥的长度。56位密钥破解，需要3.5或21分钟，而128位密钥破解，需要5.4*10的18次方年，因此目前来看还是比较安全的。

3. 非对称加密
   非对称，顾名思义，加密秘钥和解密秘钥是不同的。加密和解密是一对密钥对，即公钥和私钥。秘钥成对使用，用公钥加密私钥解密或者用私钥加密公钥解密。公钥不能解公钥。这种方式的好处是，只要私钥自己保存好，公钥随便让别人用也没事。
   例如，A要求B,C,D给他发加密邮件。A只需把自己的公钥发给B,C,D，让他们用公钥加密，自己收到后用私钥解开。而B,C,D之间虽然都有公钥却破解不开。这就是比对称加密更好的地方。

4. 对称和非对称的结合加密
   非对称加密虽然更安全，更方便管理，但是有一个缺点，就是加密速度慢，效率低。我们可以利用对称和非对称的优点相结合来加密。
   例如，A需要B把一部电影加密后传过来。A把自己的公钥给了B，但是B先用一个对称秘钥来加密电影（假设对称秘钥为123），然后B再用A的公钥把对称秘钥123加密，由于这只是很短的字符串所以加密速度很快。A收到以后，先用私钥破解出123，再用123破解电影。

5. 数字签名

计算机世界里的数字签名，和现实世界里的纸质签名的作用是一样的，如果用来签合同，具有法律效益。
假设A给B签了一份电子版合同，签名需要用A的私钥签名，B拿着这份合同就有了保障，防止A毁约。因为只要A想要改合同，B就可以拿着A原来带有私钥的合同去法院起诉。数字签名可以防止抵赖；还能够检查签名之后内容是否被更改，内容如果更改则签名失效。有些软件在安装时会提醒签名失效，这就说明此软件已经被被人篡改过，里面可能有病毒。

数字签名过程：

如图所示，A需要给B发一份电子合同文件。首先，把合同用一个专用函数进行处理，不管源文件有多大，处理结束后都会生成一个128位的二进制，称为“摘要”。再用A的私钥把摘要进行加密，这个加密后的摘要，就叫A的数字签名。然后A把签名、公钥和源合同文件一起打包发送给B。B收到以后，如何判断合同没有被更改？首先B用A的公钥把摘要破解，得到原摘要；B再用同一个专用函数处理合同文件，又得到一个摘要；比较A送来的摘要和自己得到的摘要，如果相同，则说明合同未被篡改。因为一旦A改了合同，用函数处理过的摘要都会有改变。

证书颁发机构CA
A把自己的公钥给了B，那么B为什么相信这是你的公钥呢？这需要一个大家都信任的官方机构，来统一颁布管理各个企业的基本信息以及公私钥。

证书颁发机构作用：为企业和用户颁发数字证书，确认这些企业和个人的合法身份；发布证书吊销列表（证书丢了的话冻结证书并公开）；企业和个人信任证书颁发机构。

加密和数字签名的区别

加密是发送文件之前用对方公钥进行加密，对方收到后用自己的私钥解密；
而数字签名是发送文件之前用自己的私钥加密，对方收到后用自己的公钥解密。

安全套接字SSL层

位于传输层和应用层之间。

在发送方，SSL 接收应用层的数据（如 HTTP 或 IMAP 报文），对数据进行加密，然后把加了密的数据送往 TCP 套接字。在接收方，SSL 从 TCP 套接字读取数据，解密后把数据交给应用层。

1. 使用SSL的常见应用
   我们在上网的时候，一般的网页使用的是http协议，然而一旦涉及到输入账号和密码的网页，立马用到https协议；或者在网上发邮件收邮件，都用https协议，避免信息被他人捕获。https协议就是用了SSL加密。

2. SSL是如何实现的？
   为了提高加密效率和更加安全，SSL应用的是上面所讲的对称和非对称的结合。假如一浏览器访问一服务器，服务器首先把自己的公钥给浏览器，然后浏览器产生一个对称秘钥如123，先用123加密数据，再用公钥加密123，一起发给服务器。服务器收到后，先用私钥得到123，再用123解密数据。这是浏览器和服务器第一次通信的情况。以后的通信，都用123这个对称秘钥，就不用非对称加密了。简言之，私钥的作用就是为了客户端能安全地把对称秘钥送到服务器，否则如果客户端直接发给服务端，容易被别人捕获。

3. SSL的三种功能
   (1)SSL服务器鉴别：允许用户证实服务器的身份。具有SSL功能的浏览器维持一个表，上面有一些可信赖的认证中心CA (Certificate Authority)和它们的公钥。浏览器访问一个网站，会用该网站的证书来验证是不是真的网站。
   (2) 加密的SSL会话：客户和服务器交互的所有数据都在发送方加密，在接收方解密。
   (3) SSL客户鉴别：允许服务器证实客户的身份。服务器也可以要求用用户的证书证明用户的身份。

4. 其他使用SSL的安全协议
   imaps=TCP+993
   pop3s=TCP+995
   smtps=TCP+465
   https=TCP+443

防火墙

**防火墙是由软件、硬件构成的系统，是一种特殊编程的路由器，用来在两个网络之间实施接入控制策略。**接入控制策略是由使用防火墙的单位自行制订的，为的是可以最适合本单位的需要。
防火墙内的网络称为“可信赖的网络”，而将外部的因特网称为“不可信赖的网络”。防火墙可用来解决内联网和外联网的安全问题。

防火墙技术一般分为两类：
(1) 网络级防火墙——用来防止整个网络出现外来非法的入侵。属于这类的有分组过滤和授权服务器。基于数据包、源地址、目标地址、协议和端口控制流量

分组过滤	授权服务器
检查所有流入本网络的信息，然后拒绝不符合事先制订好的一套准则的数据	检查用户的登录是否合法。

(2) 应用级防火墙——从应用程序来进行接入控制。通常使用应用网关或代理服务器来区分各种应用。

例如:可以只允许通过访问万维网的应用，而阻止 FTP 应用的通过。基于数据包、源地址、目标地址、协议、端口、用户名、时间段。可以看见数据包内容，防止病毒进入内网。

问题

• 入侵检测与防火墙有何不同？各有什么优缺点？
  答：1. 防火墙的优点：
  它能增强机构内部网络的安全性，用于加强网络间的访问控制，防止外部用户非法使用内部网的资源，保护内部网络的设备不被破环，防止内部网络的敏感数据被窃取。防火墙系统决定了哪些内部服务可以被外界访问；外界的哪些人可以访问内部的哪些服务，以及哪些外部服务可以被内部人员访问。
  2. 防火墙的缺点：
  对于发生在内网的攻击无能为力；对于部分攻击，可以绕过防火墙，防止防火墙发现不了；防火墙的策略是静态的，不能实施动态防御；等等。

  3.入侵检测的优点：入侵检测系统扫描当前网络的活动，监视和记录网络的流量，根据定义好的规则来过滤从主机网卡到网线上的流量，提供实时报警。大多数的入侵检测系统可以提供关于网络流量非常详尽的分析。它们可以监视任何定义好的流量。很多系统对FTP, HTTP, 和Telnet流量都有默认的设置，还有其他的流量，如NetBus， 本地和远程登录失败等。也可以自己定制策略。如果定义了策略和规则，便可以获得FTP, SMTP, Telnet和任何其他的流量。这种规则有助于追查该连接和确定网络上发生过什么，以及现在正在发生什么。这些程序在需要确定网络中策略实施的一致性情况时是非常有效的工具。
  4.入侵检测的缺点：目前入侵检测技术的方法主要停留在异常检测统计方法和误用检测方法上，这两种方法度还存在问题。网络入侵技术在不断地的发展，入侵的行为表现出不确定性，多样性等特点。网路应用的发展又带来新的安全问题。如高速网络技术出现流量大的特点，那么基于网络的入侵检测系统如何适应这种情况？基于主机审计数据怎样做到既减少数据量，又能有效地检测到入侵？入侵检测研究领域急需其他学科知识提供新的入侵检测解决方法。入侵检测只是仅仅试图发现计算机网络中的安全问题，要解决网络安全的问题还需要其他的网络安全技术。

综上所述：其实防火墙和入侵检测各有优缺。打个比方，防火墙就相当于一栋大楼外的门卫系统，而入侵检测就相当于大楼内的监控系统，两者缺一不可。应该将入侵检测系统与防火墙联动起来， 当入侵检测系统发现到有入侵行为时，应及时报告防火墙，以阻断入侵。