1、信息安全概论,第4讲 2008年x月y日,第2章 信息安全体系结构,2.1 技术体系结构概述 2.2安全机制 2.3 OSI安全体系结构 2.4应用体系结构 2.5 组织体系结构与管理体系结构,2.3 OSI安全体系结构,标准组织 ISO国际标准化组织 OSI 开放系统互连 ITU国际电信联盟 OSI安全体系结构的颁布 ISO于1988年发布了7498-2标准开放系统互连（OSI）参考模型的安全体系结构部分。 ITU于 1990年把它作为X.800推荐标准。 中国于1995年我国把它作为国家标准GB/T9387.2-1995颁布。,目标,体系结构定义的回顾信息安全的技术体系结构是研究在特定应用
2、环境或类别下，采用妥善定义的信息安全机制，构建、实现相关的安全目标或安全服务的科学。OSI安全体系结构的目标把安全特征按照功能目标分配给OSI的层，以加强OSI结构的安全性。提供一个结构化的框架，以便供应商和用户据此评估安全产品。,意义和方法,OSI安全体系结构对于构建网络环境下的信息安全解决方案具有指导意义。 其核心内容是为异构计算机的进程与进程之间的通信安全性，定义了五类安全服务、八类安全机制以及安全服务分层的思想，并描述了OSI的安全管理框架，最后又描述了这些安全服务、安全机制在7层中的配置关系。从而为网络通信安全体系结构的研究奠定了重要基础。,2.3.1 OSI的7层网络与TCP/IP
3、模型,层次化结构有效地实现了各个层次功能的划分并定义了规范的接口，使得每一层的功能简单、易于实现和维护。,1.OSI的7层协议模型,图2.3 OSI的7层协议模型,2.一些术语,层次化结构有效地实现了各个层次功能的划分并定义了规范的接口，使得每一层的功能简单、易于实现和维护。 例如，它使网络的设计者不需要把注意力放在具体物理传输媒介、具体应用细节上，而专注于网络的拓扑结构。 每一层中的活动元素称为实体。位于不同系统上同一层的实体称为对等实体。不同系统之间的通信可以由对等实体间的逻辑通信来实现。对某一层上的通信所使用的规则称为该层上的通信协议。协议按照所属的层次顺序排列而成的协议序列称为协议栈。
4、,3. 通信机制,事实上，除了在最底层物理层，上进行的是实际的通信之外，其余各对等实体之间进行的都是虚通信或逻辑通信。高层实体之间的通信是调用相邻低层实体之间的通信实现的，如此下去总是要经过物理层才能实现通信。N+1层实体要想把数据D传送到对等实体手中，它将调用N层提供的通信服务，在被称为服务数据单元（SDU）的D前面加上协议头（PH），传送到对等的N层实体手中，而N层实体去掉协议头，把信息D交付到N+1层对等实体手中。,4. TCP/IP模型,我们熟悉的英特网（Internet）实际上不是由7层组成，而是由应用层、传输层（TCP/UDP）、网络互联层（IP）和网络接口层组成。它们的位置关系参
5、看图2.4。它的通信模式和OSI的7层模型差不多。,应用层对应于OSI的应用层、表示层和会话层的组合，为应用程序访问网络通信提供接口。常见的协议包括FTP（文件传输协议）、TELNET（远程终端协议）、SMTP（简单邮件传输协议）、HTTP（超文本传输协议）等。,传输层对应于OSI的传输层，为高层提供一定的数据可靠性和完整性。包括两个传输协议TCP和UDP，前者提供面向连接的传输服务，后者提供面向非连接的传输服务。,网络互联层与OSI的网络层对应，处理建立、保持、释放连接，以及路由等功能，该层上的协议为IP协议。,网络接口层对应于OSI的数据链路层和物理层的组合，负责把IP包封装为适合于物理网
6、络上传输的帧，并解决数据帧和比特传输的纠错问题。不同的网络介质有不同的协议。,2.3.2 OSI的安全服务,OSI的五类安全服务是 鉴别 机密性 完整性 访问控制 抗抵赖 实际上是一些要实现的安全目标，但在OSI框架之下，认为每一层和它的上一层是一种服务关系，因此，把这些安全目标称为安全服务是相当自然的。,五类安全服务的分类,1. 鉴别,（1）对等实体鉴别 即提供实体的身份识别服务。该服务能够确定一个实体没有冒充其他实体，使对方（对等实体）确信他正在和所声称的另一实体在通信。（2）数据原发鉴别 确认所接收到的数据的来源是所声称的实体，但对于数据的重放不提供保护。,2. 机密性,该服务保护数据不
7、被非授权地泄漏。 （3）连接机密性为一层上建立的一个连接上的所有数据提供机密性保护服务。对一些层来说保护全部的连接数据是合适的，但对另一些层来说不必要。（4）无连接机密性 仅对一层上协议的某个服务数据单元SDU提供机密性保护服务。（5）选择字段机密性 为所选择的某个字段提供机密性保护服务，这些字段可以是一层上连接传输的一部分数据，也可以是一层上非连接传输的一个SDU中的一个字段。（6）通信业务流机密性 使通信业务流量具有随机特征，从而攻击者无法通过观察通信流量推断其中的机密信息。,3. 完整性,（7）带恢复的连接完整性为一层上建立的一个连接上的所有数据提供完整性检查，即检查整个SDU序列中所有
8、SDU的数据是否被篡改、检查SDU序列没有被删除、插入或乱序。一旦出现差错该服务将提供重传或纠错等恢复操作。（8）不带恢复的连接完整性 与带恢复的连接完整性的唯一不同是，检查到差错后不进行补救。（9）选择字段的连接完整性 为一层的一个连接传输的所选择部分字段提供完整性检查。检查这些SDU字段序列中的数据是否被篡改、检查字段序列没有被删除、插入或乱序。（10）无连接完整性 对一层上协议的某个服务数据单元SDU提供完整性检查服务，确认是否被篡改。（11）选择字段的无连接完整性 仅对一层上协议的某个服务数据单元SDU的部分字段提供完整性检查服务，确认是否被篡改。,4. 访问控制与抗抵赖,（12）访问
9、控制是防止对资源的非授权使用。抗抵赖服务又分为：为数据的发送方（13）提供交付证据 为数据的接收方提供（14）原发证据。,2.3.3 OSI安全机制,身份识别在OSI中称为鉴别交换特定安全机制 加密、数字签名、访问控制、数据完整性、鉴别交换、通信量填充、路由控制、公证共8种 普遍性安全机制 可信功能度、安全标记、事件检测、安全审计追踪、安全恢复共5种特定安全机制中除了数据完整性外都属于我们定义的安全防护范畴，而OSI的普遍安全机制除了可信功能度外对应于我们的安全检测和恢复范围。,2.3.4 安全服务与特定安全机制的关系,2.3.5 层次化结构中服务的配置,作业,1ISOIEC 74982中定义的14种安全服务指的是哪些？2. ISOIEC 74982中定义的8种特定安全机制是哪些？5普遍性安全机制是哪些？,
