网络安全基础（转载）

最新推荐文章于 2022-10-10 17:54:27 发布

今夕落

最新推荐文章于 2022-10-10 17:54:27 发布

阅读量854

点赞数 3

分类专栏：计算机基础知识文章标签：网络安全

计算机基础知识专栏收录该内容

7 篇文章 0 订阅

订阅专栏

网络不安全因素与网络安全体系
恶意软件的防治：计算机病毒知识、计算机病毒防护软件、网络蠕虫病毒清除与预防、木马的检测与清除方法
黑客攻击及预防方法：拒绝服务攻击与防御、缓冲区溢出攻击与防御、程序漏洞攻击与防御、欺骗攻击与防御、端口描述、强化TCP/IP堆栈以抑御拒绝服务攻击、系统漏洞描述。
加密与数字签名：加密技术、数字签名技术、密钥管理、电子印章。
安全认证方法与技术：PKI、证书管理、身份认证。
网络安全应用协议：安全套接字层（Secure Socket Layer, SSL）、安全电子交易协议（Secure Electronic Transaction, SET）、HTTPS（Hypertext Transfer Protocol Over Secure Socket Layer）.
访问控制技术：自主访问控制、强制访问控制、基于角色访问控制、访问控制机制
企业网络安全隔离：划分子网隔离、VLAN子网隔离、逻辑隔离、物理隔离。
安全审计：审计内容、审计工具。
安全管理策略和制度。

Part 1：病毒与木马

计算机病毒，是指编制或在计算机程序中插入的破坏计算机功能或毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或程序代码。

在病毒的生存期内，典型的病毒经历4个阶段

潜伏阶段
繁殖阶段
触发阶段
执行阶段

病毒的分类和命名规则

病毒名的一般格式为：<病毒前缀>.<病毒名>.<病毒后缀>

1.系统病毒：其前缀Win32、PE、Win95等，感染Windows操作系统的exe和dll文件，并通过这些文件进行传播

2.蠕虫病毒：其前缀是Worm。通过网络或者系统漏洞进行传播

3.木马病毒前缀为Trojan,黑客病毒前缀Hack

4.脚本病毒的前缀是Script

5.后门病毒的前缀Backdoor

6.捆绑病毒的前缀是Joke。

多形病毒是一种较为高级的病毒，这种病毒在每次感染后会改变自己。

Part 2: 黑客攻击及其预防

1. 拒绝服务攻击（DoS）的方式：

SYN Flood
IP欺骗DoS
UDP洪水攻击
Ping洪流攻击
泪滴（Teardrop）攻击
Land攻击
Smurf攻击
Fraggle攻击（UDP应答消息）

2. 缓冲区溢出攻击

防御手段：

及时更新系统
应用软件补丁
关闭不必要的服务
编写正确的代码
缓冲区不可执行

3. 漏洞扫描

4. 端口扫描

part 3: 系统安全基础

计算机安全是指计算机资产的安全，即要保证这些计算机资产不受自然和人为的有害因素的威胁和危害。

1. 安全的基本要素

机密性（确保信息不暴露给未授权的实体或进程）

完整性（只有得到允许的人才能够修改数据，并能够差别数据是否已被篡改）

可用性（得到授权的实体在需要时可访问数据）

可控性（可以控制授权范围内的信息流向和行为方式）

可审查性（对出现的安全问题提供调查的依据和手段）

常见网络安全威胁的类型

1.窃听

2.假冒

3.重放

4.流量分析

5.数据完整性破坏

6.拒绝服务

7.资源的非授权使用

8.陷门和特洛伊木马

9.病毒

10.诽谤

网络安全隐患表现在如下几个方面：

1.物理安全性

2.软件安全漏洞

3.不兼容使用安全漏洞

4.选择合适的安全哲理

网络攻击分为以下几类：

1.被动攻击

2.主动攻击

3.物理临近攻击

4.内部人员攻击

5.分发攻击

安全措施的目标

1.访问控制

2.认证

3.完整性

4.审计

包括识别、记录、存储、分析与安全相关行为的信息，审计记录用于检查与安全相关的活动和负责人。

5.保密

基本安全技术

1.数据加密

2.数字签名

3.身份认证

4.防火墙

5.内容检查

二：信息加密技术

经典加密技术：

1.替换加密

2.换位加密

3.一次性填充

三：认证

实体认证：识别通信对方的身份，防止假冒，可以使用数字签名的方法

消息认证：验证消息在传送或存储过程中有没有被窜改，通常使用报文摘要的方法。

3.支持认证，使用经过散列口令字来限制更新信息的传播。

解决路由环路使用水平分割法，一条路由信息不会被发送给该信息的来源。

简单的水平分割方案：不能把从邻居学习到的路由发送给那个邻居，带有反向毒化的水平分割方案是：把从邻居学习到的路由费用设置为无限大，并立即发送给那个邻居。

四：数字签名

A向B发送签名的消息P

1.B可以验证消息P确实来源于A

2.A以后不能否认发送过P

3.B不能编造或改变消息P

基于密钥的数字签名：

基于公钥的数字签名：

五：报文摘要

散列（Hash）算法将任意长度的二进制串映射为固定长度的二进制串，这个长度较小的二进制串称为散列值。散列值是一段数据唯一的、紧凑的表示形式。

报文摘要算法：最广泛的是MD5，基本思想是用足够复杂的方法把报文位充分弄乱，使得每一个输出位都受到每一个输入位的影响。具体步骤如下：

1.分组和填充。把明文报文按512位分组，报文长度=448

2.附加。最后加上64位的报文长度字段，整个明文恰好为512的整数倍。

3.初始化。置4个32位长的缓冲区ABCD分别为：

A=01234567 B=89ABCDEF C=FEDCBA98 D=76543210

4.处理。最后产生128位的报文摘要。

安全散列算法（SHA）1993年由美国国家标准和技术协会提出，并被定义为安全散列标准（SHS）.SHA-1是1994年修订的版本，纠正了SHA一个未公布的缺陷。这种算法接收的输入报文小于2⁶⁴位，产生160位的报文摘要。

散列式报文认证码（HMAC）是利用对称密钥生成报文认证码的散列算法，可以提供数据完整性数据源身份认证。

六：数字证书

数字证书是各类终端实体和最终用户在网上进行信息交流及商务活动的身份证明，在电子交易的各个环节，交易的各方都需验证对方数字证书的有效性，从而解决相互间的信任问题。数字证书采用公钥体制。

数字证书是由权威机构——CA证书授权(Certificate Authority)中心发行的，能提供在Internet上进行身份验证的一种权威性电子文档，人们可以在因特网交往中用它来证明自己的身份和识别对方的身份。

数字证书包含版本、序列号、签名算法标识符、签发人姓名、有效期、主体名、和主体公钥信息并附有CA的签名。用户通过CA的签名来验证网站的真伪。在用户与网站进行安全通信时，用户发送数据时使用网站的公钥加密，收到数据时使用网站的公钥验证网站的数字签名；网站利用自身的私钥对发送的消息签名和对收到的消息解密。

Part 4：公钥基础结构

1. 密钥管理体制

密钥管理指处理密钥自产生到销毁的整个过程中的有关问题，包括：系统初始化，密钥的产生，存储，备份/恢复，装入，分配，保护，更新，控制，丢失，吊销及销毁。

当前主要的密钥管理体制有三种：

适用于封闭网，以传统的密钥管理中心为代表的KMI机制
适用于开放网的PKI机制
适用于规划化专用网的SPK机制

KMI机制

分发密钥的安全性依赖于秘密信道

KMI机制
分发类型	技术	特点
静态分发	点对点配置	可用单钥或双钥实现。单钥为鉴别提供可靠参数，但不提供不可否认服务。数字签名要求双钥实现
	一对多配置	可用单钥或双钥实现。只在中心保留所有各端的密钥，各端只保留自己的密钥。是建立秘密通道的主要办法
	格状网配置	可用单钥或双钥实现。也称为端商密钥，密钥配置量为全网n个终端中选2的组合数
动态分发	基于单钥的单钥分发	首先用静态分发方式配置的星状密钥配置，主要解决会话密钥的分发
动态分发	基于单钥的双钥分发	公私钥对都当估秘密变量

PKI机制

解决了分发密钥时依赖秘密信道的问题

PKI机制
项目	PKI	KMI
作用特性	良好的扩展性，适用于开放业务	很好的封闭性，适合专用业务
服务功能	只提供数字签名服务	提供加密和签名功能
信任逻辑	第三方管理模式	集中式的主管方管理模式
负责性	个人负责的技术体系	单位负责制
应用角度	主外	主内

一个标准的PKI域必须具备以下主要内容：

认证机构(Certificate Authority, CA)：CA是PKI的核心执行机构，是PKI的主要组成部分，通常称为认证中心。从广义上讲，认证中心还应包括证书申请注册机构(Registration Authority, RA),它是数字证书的申请注册、证书签发和管理机构。
证书和证书库：
密钥备份和恢复
密钥和证书更新
客户端软件
支持交叉认证
自动管理历史密钥

SPK机制

为了更好了解决密钥管理的问题，提出了种子化公钥(SPK)和种子化双钥（SDK）体系。在SPK体制中可以实现：

多重公钥（双钥）,即LPK/LDK, 用RSA公钥算法实现

组合公钥（双钥）,即CPK/CDK，用离散对数DLP或椭圆曲线密码ECC实现。它是电子商务和电子政务中比较理想的密钥解决方案。

对密钥的威胁

1.私钥的泄露

2.私钥或公钥的真实性丧失

3.私钥或公钥未经授权使用，例如使用失效的密钥或违例使用密钥。

密钥的种类

1.基本密钥Kp（用户密钥）:

2.会话密钥Ks：交换数据时使用的密钥

3.密钥加密密钥Ke

4.主机密钥Km

5.在双钥体制下，有公钥和私钥、签字密钥和认证密钥之分

密钥管理体制

1.KMI技术（密钥管理基础结构）具有很好的封闭性

2.PKI技术（公钥基础结构）具有很好的扩展性

现代加密技术

1.DES(Data Encryption Standard)：美国政府1977年采用的加密标准，最初是由IBM公司在70年代初期开发的。美国政府在1981年又将DES进一步规定为ANSI 标准。是一对对称密钥系统，加密和解密使用相同的密钥。它通常选取一个64位的数据块，使用56位的密钥，在内部实现多次替换和变位操作来达到加密的目的。共享密钥算法

2.三重DES

3.IDEA

4.AES（高级加密标准）

5.流加密算法和RC4

6.公钥加密算法

7.RSA

RSA是一种分组密码算法，以分组为单位进行加解密。

2ⁿ <分组位数 <= 2ⁿ⁺¹

第三方认证Kerberos 和 PKI

由于公钥可以对外公开，通常用于加密和签名认证（这样与之通信的多个用户可以共用一个加密密钥，密钥管理开销小），私钥是用户自己保管的，通常用于解密和签名。

八：虚拟专用网（VPN）

实现VPN的关键技术主要有如下几种

1.隧道技术

2.加解密技术

3.密钥管理技术

4.身份认证技术

虚拟专用网可以通过第二层隧道协议实现，这些隧道协议（PPTP，L2TP）都是把数据封装在点对点协议（PPP）的帧中在因特网上传输

应用层安全协议

1.S-HTTP

2.PGP

3.S/MIME

Kerberos是一项认证服务

一次性密钥、序列号和时间戳都是对会重放攻击的有效手段，Kerberos系统采用一次性密钥和时间戳来防止重放攻击。

IPSec的功能可以划分为下面三类：

1.认证头（AH）

2.封装安全负荷（ESP）

3.Internet密钥交换协议（IKE）

IPSec有两种工作模式（网络层安全协议）

传输模式：AH或ESP被插入到IP头和有效载荷之间

隧道模式：在AH或ESP前面会生成一个新的IP头

L2TP和PPTP是链路层安全协议

TLS是传输层安全协议

九：可信任系统

1.D级，最低保护

2.C级，自定式保护

3.B级，强制式保护

4.A级，可验证保护

ISO 7489-2 标准

描述了开放系统互联安全的体系结构，提出设计安全的信息系统的基础架构中应该包含5种安全服务（安全功能）、能够对这5种安全服务提供支持的8类安全机制和普遍安全机制，以及需要进行的5种OSI安全管理方式。其中5种安全服务为：

鉴别服务
访问控制
数据完整性
数据保密性
抗抵赖性

8类安全机制：

加密
数据签名
访问控制
数据完整性
数据交换
业务流填充
路由控制
公证

Part 5: 电子签名和数字签名

电子签名：指在数据电文中以电子形式所含、所附或在逻辑上与数据电文有联系的数据，它用于鉴别与数据电文相关的签名人和表明签名人认可数据电文所含信息。

数字签名要求：

发送者事后不能否认发送的报文签名
接收者能够核实发送者发送的报文签名
接收者不能伪造发送者的报文签名
接收者不能对发送者的报文进行部分篡改
网络中的某一用户不能冒充另一用户作为发送者或接收者

Part 6：文件加密

加密算法： RC4, RC5, AES

文件加密软件：文件加密超级大师，超级加密3000

EFS（Encrypting File System）是微软公司开发的，基于NTFS文件系统的一个组件。

Part 7：网络安全应用协议（SSL, SET, HTTPS）

1. SSL(传输层 PORT 443)

SSL是工作在传输层的安全协议，结合了信息加密解密、数字签名与签证两大技术。

SSL Handshake && SSL Record

SSL协议主要包括记录协议、警告协议和握手协议。

记录协议用于在客户机和服务器之间交换应用数据；
告警协议用来为对等实体SSL的相关警告。用于标示在什么时候发生了错误或两个主机间的会话在什么时候终止；
握手协议用于产生会话状态的密码参数，允许服务器和客户机相互验证、协商加密和MAC算法及秘密密钥，用来保护在SSL记录中传送的数据。

2. HTTPS（应用层）

3. SET

服务器与客户端都必须拥有证书。 SET可以实现在交易涉及的各方间提供安全的通信信道，通过使用X.509数字证书来提供信任，可以保证信息的机密性。

SET协议的参与者：

消息者（网上交易发起方）
商人（网上交易服务商）
银行（信用卡发卡人）
获得者（处理交易的金融机构）
支付网关
CA中心

Part 8: 访问控制技术（保证网络资源不被非法使用和访问）

访问控制 = 策略 + 机制

访问控制包括3个要素：主体 && 客体 && 控制策略

主体（Subject）：是可以对其他实体施加动作的主动实体，有时也称为用户（User）或访问者（被授权使用计算机的人员）。
客体（Object）：是接受其他实体访问的被动实体。
控制策略：是主体对客体的操作行为集合约束条件集。

访问控制模型：

MAC（强制型访问控制）模型是一种多级访问控制策略，它的主要特点是系统对访问主体和受控对象实行强制访问控制，系统事先给访问主体和受控对象分配不同的安全级别属性，在实施访问控制时，系统先对访问主体和受控对象的安全级别属性进行比较，再决定访问主体能否访问该受控对象。
RBAC（基于角色的访问控制，Role-Based Access）： RBAC模型是基本思想是将访问许可权分配给一定的角色，用户通过饰演不同的角色获得角色所拥有的访问许可权。
基于任务的访问控制模型（TBAC Model， Task-Based Access Control Model）是从应用和企业层角度来解决安全问题，以面向任务的观点，从任务（活动）的角度来建立安全模型和实现安全机制，在任务处理的过程中提供动态实时的安全管理。在TBAC中，对象的访问权限控制并不是静止不变的，而是随着执行任务的上下文环境发生变化。
基于对象的访问控制模型（OBAC Model, Object-Based Access Control Model）中，将访问控制列表与受控对象或受控对象的属性相关联，并将访问控制选项设计成为用户、组或角色及其对应权限的集合；同时允许对策略和规则进行重用、继承和派生操作。

原文地址：https://www.cnblogs.com/elewei/p/4624600.html