学习记录575@网络分层下各层密码算法概述

网络分层协议

互联网通信主要是在TCP/IP通信协议的基础上建立起来的.TCP/IP体系结构共分5层，由上到下分别是应用层、传输层（TCP)、网络层（IP)、数据链路层和实体层.实体层也称为物理层.使用不同协议的网络由网间连接器互联，网间连接器简称为网关.网关可设在5层中的任何一层.除了TCP/IP通信协议外还有其他网络通信协议，为方便起见，用开放式系统互联模型（OSI)表示那些不使用TCP/IP通信协议的网络体系结构.
OSI模型共有7层，它在TCP/IP体系的应用层与传输层之间加入了表示层和会话层两层、TCP/IP体系结构的应用层与OSI的应用层和表示层对应，TCP/IP体系结构的传输层和OSI的会话层和传输层对应，TCP/IP体系结构的其他三层与OSI的其他三层一一对应.

OSI各层的功能简述如下：

1. 应用层与应用程序接口，用于支持应用程序和用户端处理，包括远程登录远程文件传输、电子邮件和万维网浏览等应用程序
2. 表示层将终端平台各种数据表示形式相互转换，使通信各方不会因为平台不同而读不懂收到的数据 会话层用于双方建立、管理和终止连接会话
3. 传输层用于给通信两端提供可靠连接，包括网包排序、网包流量、拥塞控制、网包差错处理和通信质量管理等功能
4. 网络层用于传递网包，其功能包括寻址和路由
5. 数据链路层包括媒体访问控制和逻辑链接控制两个子层，它将网络层数据封装成网帧供网络媒体传输使用
6. 实体层将网帧变成媒体信号通过网络媒体传输到通信各方.

数据从应用层开始，每经过一层就被封装进一个新的网包。这就好比将一个小信封逐层装入一个更大的新信封内，每个新信封的封面上都附有具体的传送信息在TCP/IP体系中应用层数据分块后经过TCP层、IP层和数据链接层后分别装入TCP包、IP包及与网络硬件设备相关的网帧.每个网包都有头部和载荷，而网帧除了头部和载荷外，还可能带有尾部，用于检错之用.比如，以太网网帧除了头部和载荷外，还带有一个32比特长的循环冗余校验（CRC)尾部.网包的头部提供传送和处理信息.TCP包的载荷是应用层的数据，IP包的载荷是TCP包，而网帧的载荷是IP包.网帧最后由实体层经网络媒体传输出去.下图展示了这一传输过程：

在网络中的不同层次中部署的密码算法所得到的保密效果是不一样的。

部署在应用层的密码算法

用户数据在应用层加密和认证后经过网络各层逐层封装时均无须解密和被认证，所以加密的数据在传输的各个环节都是保密的。这是典型的端点到端点的安全保护
封装用户数据的TCP包头部及IP包头部都将以明文形式出现，这些信息能有效地帮助窃听者进行流量分析.窃听者也会很容易修改截获的网包.比如，窃听者可以修改写在IP包头的目标地址将其送往别的地方.

部署在传输层的密码算法

封装用户数据的TCP包在传输层加密和认证，包括载荷和头部.因此，加密的网包在传输过程中经过传输层网关（或交换器）时必须先被解密，完成TCP协议操作后再由新网关加密.所以用户数据对这些网关不保密.部署在传输层的密码算法，不影响终端应用程序的使用，用户无须对应用程序做任何修改就可直接使用.
封装TCP包的IP包头部将以明文形式出现，这些信息能帮助窃听者进行一定程度的流量分析.

部署在网络层的密码算法

TCP包在网络层加密和认证，封装TCP包的IP包（包括载荷和头部）也可在这里加密和认证，如果只对TCP包进行加密或认证，不对封装TCP包的IP包头进行加密或认证，称其为传输模式，如果对整个封装TCP包的IP包进行加密或认证，则称其为隧道模式.
使用隧道模式加密的IP包必须启用起始网关不加密的IP包封装后才能传递到达下一个网关地址后该IP包必须先被解密，如果原IP包头部的目标地址未到，则必须由新网关将原IP包加密，封进不加密的新网关的IP包后接着往下一个网关传递.所以用户数据对这些网关不保密.这是典型的链到链安全保护.部署在网络层的密码算法不影响终端应用程序的使用.
封装原IP包的网关IP包头部以明文形式出现，这些信息使窃听者只能进行非常有限的流量分析.

部署在数据链接层的密码算法

封装IP包的与网络硬件相关的网帧在数据链接层加密，包括其头部、载荷和尾部.因此，它必须用不加密的起始网关的网帧封装后才能传递.到达下一个数据链接层网关后它必须先被解密，如果原网帧或原IP包头部的目标地址未到，则必须由新网关将原网帧加密，封进不加密的新网关的网帧后接着往下一个数据链接层网关传递.所以用户数据对这些网关不保密.部署在数据链接层的密码算法不影响终端应用程序的使用.
封装原网帧的网关网帧以明文形式出现，这些信息使窃听者只能进行非常有限的流量分析.

实现密码算法的硬件和软件

密码算法可通过硬件和软件实现，即通过专用集成电路（ASIC)技术将加密算法做成硬件，或编写程序将加密算法做成软件，嵌入在应用层的加密算法通常为软件，嵌入在数据链接层的加密算法通常为硬件，而嵌入在其他网络层的密码算法可以是软件，也可以是硬件，用硬件实施密码算法的优点是计算速度快，但不容易改动，而且成本较高，用软件实施密码算法的优点是机动性好，修改方便，容易推广到不同的操作平台，而且成本较低，但计算速度较慢，近年来发展起来的可编程网络处理器（例如英特尔公司的IXP网络处理器系列）可望同时提供硬件的计算速度和软件的机动性

但他们的所作所为不仅仅是高估了公众的购买力，毕竟只有在实际做过测试之后他们才能判定市场的购买力。他们犯下的代价更为昂贵的错误是指望牛市一直持续下去。我猜测其中的原因在于这拨儿人都曾经取得了巨大的成功，尤其是成功来得过于迅速，这让他们毫不怀疑自己可以在牛市掉头向下之前完成这笔交易。他们都是知名人士，在专业交易者和证券公司中拥趸众多。