2.4 传输层的安全威胁

传输层处于通信子网和资源子网之间起着承上启下的作用。传输层也支持多种安全服务：

对等实体认证服务；
访问控制服务；
数据保密服务；
数据完整性服务；
数据源点认证服务。

传输层控制主机间传输的数据流。传输层存在两个协议——传输控制协议（TCP）和用户数据报协议（UDP）

传输控制协议（TCP）
TCP是一个面向连接的协议，两台计算机通信，必须通过握手和信息交换。TCP保证了可靠的传输。一旦一个连接建立并且数据开始传输时，如果有任何部分的信息在传输中丢失，TCP将重新传送。TCP协议多用于互联网服务。

建立一个TCP连接

建立TCP连接必须经过三次握手。

1.客户端通过激活一个TCP包头中的SYN标记来执行一个Active open。这个TCP报头包括用于连接的端口号、序列号子段中出师序列号（ISN），这个号是随机产生的，客户端和服务器传输数据流时用于同步；

2.服务器通过向客户端发送自己的SYN而执行一个passive open，包含服务器的ISN和对于客户端的一个确认（ACK）；

3. 最后，客户端返回一个ACK给服务器。现在客户端和服务器可以通过比特流来传输数据，并且建立连接了。

结束一个TCP连接

1.服务器通过激活FIN标志执行一个active close，这个行动终止了从服务器到客户机的数据流；
2.客户端通过发送一个ACK到服务器，执行一个passive close；
3.客户端也发送它自己的FIN给服务器，以种植从客户端到服务器的数据流；
4.最后服务器发送一个ACK返回给客户端，TCP连接被终止了。

用户数据报协议（UDP）

UDP是一个非面向连接的协议。它经常用作广播类型的协议，如音频和视频数据流，它更快并占作用更少的带宽。但UDP不保持连接，也不能保证信息的正确，也不能重复被中断的传输。

UDP很少有安全隐患，因为主机发送一个UDP信息并不期望收到一个回复，在这种数据报文里面嵌入一个恶意的活动是很困难的。

端口

TCP和UDP都使用端口的概念。进入计算机的网络数据包都包含一个端口号，并且被操作系统发送到相应的程序。TCP和UDP都有65536个可用端口。

IANA规定前1023个端口作为wll-know端口保留下来，专门用于服务器端的应用程序。程序使用未定义的或者大于1023的端口，不需要向IANA提出申请。这一点很重要，因为网络安全很大程度上依赖于控制网络数据包的能力，必须能够准确地确定这些数据包流向哪些计算机和程序。

#####

传输层的安全性

在Internet应用程序中，通常使用广义进程间通信（IPC）机制来与不同层次的安全协议打交道。

在Internet中提供安全服务的一个最初想法便是强化它的IPC界面，具体做法包括双端实体认证、数据加密密钥的交换等。Netscape公司遵循这个思路，制定了建立在可靠的传输服务基础上的安全套接层协议（SSL）。SSL V3于1995年12月制定，主要包含以下两个协议。

·SSL记录协议；
·SSL握手协议。

网络层安全机制的主要优点是它的透明性，即安全服务的提供不要求应用层作任何改变，这对传输层来说是做不到的。传输层安全机制的主要缺点就是要对传输层的IPC（广义进程间通信）界面和应用程序两端都进行修改。另一个缺点是基于UDP的通信很难在传输层建立起安全的机制来。

与网络层相比，传输层的安全机制主要优点是它提供基于对进程的（而不是对主机的）安全服务。