1、第9章 网络安全,9.1 网络安全概述 9.2 加密技术 9.3 防火墙技术 9.4 常见的黑客工具及攻击方法 9.5 远程攻击 9.6 网络病毒与防治,第9章 网络安全,【本章内容简介】计算机网络安全是保障计算机正常工作的基础。本章主要介绍了计算机网络安全的概念和内容，并对黑客常用的工具及其攻击方法进行较详细的介绍，分析黑客远程攻击的原理。在介绍网络安全的同时又系统的讨论网络病毒的防治方法。【本章重点难点】重点掌握计算机网络安全的概念、黑客工具的攻击方法及其抵御方法、计算机的远程攻击及网络病毒的防治。,9.1 网络安全概述,简单地说在网络环境里的安全指的是一种能够识别和消除不安全因素的能力。
2、,9.1.1 什么是安全,安全的一般性定义也必须解决保护财产的需要，包括信息和物理设备（例如计算机本身）。,9.1.2 网络安全潜在的威胁,1信息泄密主要表现为网络上的信息被窃听，这种仅窃听而不破 坏网络中传输信息的网络侵犯者被称为消极侵犯者。2信息被篡改这就是纯粹的信息破坏。这样的网络侵犯者被称为积 极侵犯者。积极侵犯者截取网上的信息包,并对之进行更 改使之失效,或者故意添加一些有利于自己的信息起到信 息误导的作用。积极侵犯者的破坏作用最大。,9.1.2 网络安全潜在的威胁,3传输非法信息流 用户可能允许自己同其他用户进行某些类型的通信, 但禁止其它类型的通信。如允许电子邮件传输而禁止文件
3、传送。4网络资源的错误使用如果不合理地设定资源访问控制,一些资源有可能被偶然或故意地破坏。,9.1.2 网络安全潜在的威胁,5非法使用网络资源非法用户登录进入系统使用网络资源,造成资源的 消耗,损害合法用户的利益。6计算机病毒已经成为威胁网络安全的最大威胁。,9.1.3 主要的网络安全服务,1保密性 2认证 3数据完整性 4防抵赖 5访问控制,9.1.4 网络安全服务与网络层次关系,图9-1 网络安全层次模型,9.1.5 安全策略的重要性,安全策略的目的是决定一个组织机构怎样来保护自 己。一般来说，策略包括两个部分：总体的策略和具体的规则。总体的策略用于阐明公司安全政策的总体思想，而具体的规则
4、用于说明什么活动是被允许的，什么活动是被禁止的。,首先，须对资源进行评估，包括硬件、软件、数据、文档等分出安全等级。 然后，对可能的威胁进行分析，包括非授权访问、信息泄漏和内部缺陷等等。 安全策略还应提出一般性的安全防护措施：存取控制、认证、密码技术、防火墙系统、操作系统安全、数据库系统安全、计算机病毒防护、审计和恢复等。,安全策略制定安全策略的依据如下：,9.1.6 目前网络安全的主要技术,1加密加密是使某些东西只能是某些特定的接收者可以知道的过程。 2认证认证过程试图验证一个用户，系统或系统进程的身份在这种验证发生时，依据系统管理员制定的参数而使真正的用户或系统能够获得相应的权限。 3访问
5、控制每个系统都要确保只有它们想要的个体，系统才允许他们访问。这种机制叫访问控制。 4审计审计是整个安全计划中的一个特征。,9.2 加密技术,数据加密是计算机网络安全很重要的一个部分。由于因特网本身的不安全性，我们不仅对口令进行加密，有时也对在网上传输的文件进行加密。为了保证电子邮件的安全，人们采用了数字签名这样的加密技术，并提供基于加密的身份认证技术。数据加密也使电子商务成为可能。 9.2.1 密码学的基本概念 密码学是保密学的一部分。保密学是研究密码系统或通信安全的科学，它包含两个分支：密码学和密码分析学。,(1)按将明文转换成密文的操作类型可分为：置换密码和易位密码。(2)按明文的处理方法
6、可分为：分组密码和序列密码。(3)按密钥的使用个数可分为：对称密码体制和非对称密码体制。,密码系统通常从3个独立的方面进行分类：,1置换密码和易位密码,在置换密码(substation cipher)中，每个或每组字母由另一个或另一组伪装字母所替换。 易位密码(transposition cipher)只对明文字母重新排序，但不隐藏它们。列易位密码是一种常用的易位密码，如图9.2所示。,密码： 列序号: 明文： pleasetransferonemilliondollarsto myswissbankaccountsixtwotwo 密文： AFLLSKSOSELAWAIATOOSSCTCLN
7、MOMANT ESILYNTWRNNTSOWDPAEDOBUOERIRICXB图9-2 一种易位密码,2分组密码和序列密码,分组密码的加密方式是首先将明文序列以固定长度进行分组，每一组明文用相同的密钥和加密函数进行运算。 分组密码的优点是：明文信息良好的扩散性；对插入的敏感性；不需要密钥同步；较强的适用性，适合作为加密标准。 分组密码的缺点是：加密速度慢；错误扩散和传播。 序列密码的加密过程是把报文、话音、图像、数据等原始信息转换成明文数据序列，然后将它同密钥序列进行逐位模2加（即异或运算），生成密文序列发送给接收者。 序列密码的优点是：处理速度快，实时性好；错误传播小；不易被破译；适用于军事
8、、外交等保密信道。 序列密码的缺点是：明文扩散性差；插入信息的敏感性差；需要密钥同步。,3加密技术概述,数据加密技术可以分为3类，即对称型加密、不对称型加密和不可逆加密。 加密技术用于网络安全通常有两种形式，即面向网络或面向应用服务。 从通信网络的传输方面，数据加密技术还可分为以下3类：链路加密方式、节点到节点方式和端到端方式。,4密码分析,密码分析的过程通常包括：分析(统计所截获的消息材料)、假设、推断和证实等步骤。 另外两种类型的攻击：选择密文和选择文本。它们很少作为密码分析技术，但仍是一种可能的攻击方法。 如果加密方案生成的密文符合以下两个条件之一，则加密方案是计算安全的： (1)破译密
9、文的成本超过了加密信息本身的价值。 (2)破译密文所要的时间超过了信息的有效期。,9.2.2 对称加密技术,对称加密也叫做常规加密、保密密钥或单密钥加密。 1对称加密的模型,目前经常使用的一些对称加密算法有：,(1)数据加密标准(Data Encryption Standard，DES)； (2)三重DES(3DES，或称TDEA)； (3)Rivest Cipher 5(RC-5)； (4)国际数据加密算法(International Data Encryption Algorithm, IDEA)。,2对称加密的要求,对称加密有两个安全要求： (1)需要强大的加密算法。 (2)发送方和接收
10、方必须用安全的方式来获得保密密钥的副本，必须保证密钥的安全。 3一些常用的对称加密算法 最常用的加密方案是美国国家标准和技术局(NIST)在1977年采用的数据加密标准（DES），它作为联邦信息处理第46号标准（FIPS PUB 46）。,9.2.3 公钥加密技术,公开密钥加密又叫做非对称加密。 1公钥加密体制的模型 公钥密码体制有两种基本的模型，一种是加密模型，另一种是认证模型。如图9-4所示。,图9-4 公钥密码体制模型,图9-5 公钥加密算法的演示,公钥加密方案由6个部分组成，如图9-5所示。,麦克的 公共密钥,泰德的 公共密钥,公钥加密技术的基本步骤如下：,每个用户都生成一对加密和解密
11、时使用的密钥。 每个用户都在公共寄存器或其他访问的文件中放置一个密钥，这个就是公钥。另一个密钥为私钥。每个用户都要保持从他人那里得到的公钥集合。 如果鲍伯想要向爱丽斯发送私有消息，鲍伯可以用爱丽斯的公钥加密消息。 当爱丽斯收到消息时，她可以用自己的私钥进行解密。其他接收方不能解密消息，因为只有爱丽斯知道她自己的私钥。 常规加密使用的密钥通常叫做保密密钥。公钥加密使用的密钥对叫做公钥或私钥。而私钥总是保密的。之所以叫做私钥，而不是保密密钥，就是为了避免与常规加密混淆。,2一些常用的公钥体制,RSA公钥体制是1978年由Rivest、Shamir和Adleman提出的一个公开密钥密码体制，RSA就
12、是以其发明者的首字母命名的。RSA体制被认为是迄今为止理论上最为成熟完善的一种公钥密码体制。 与对称密码体制如DES相比，RSA的缺点是加密、解密的速度太慢。因此，RSA体制很少用于数据加密，而多用在数字签名、密钥管理和认证等方面。 目前许多商业产品采用的公钥算法还有：Dime-Hellman密钥交换、数据签名标准DSS和椭圆曲线密码术等。,9.2.4 密钥管理,1密钥的生存周期所有的密钥都有生存期。这主要由于以下两个原因：(1)拥有大量的密文有助于密码分析；一个密钥使用得太多了，会给攻击者增大收集密文的机会。(2)假定一个密钥受到危及或用一个特定密钥的加密解密过程被分析，则限定密钥的使用期限
13、就相当于限制危险的发生。所谓一个密钥的生存周期是指授权使用该密钥的周期。密钥从产生到终结的整个生存期中，都需要加强保护。,通常情况下，一个密钥的生存周期主要经历以下几个阶段： (1)密钥的产生，也可能需要登记。(2)密钥分发(3)启用密钥停用密钥(4)替换密钥或更新密钥(5)撤销密钥(6)销毁密钥,2保密密钥的分发,密钥分发技术是指将密钥发送到数据交换的两方，而其他人无法看到的方法。密钥分发技术的实现方法有很多种，对交换双方A和B来讲： (1)可以由A选择密钥并实际传送到B； (2)由第三方选择密钥，并实际传送到A和B； (3)如果A和B已经在使用密钥了，则一方可以用旧密钥加密新密钥，然后再传
14、送给另一方； (4)如果A和B都与第三方C有加密连接，则C就可以通过对A和B的加密连接将密钥传送给A和B。,系统的配置由以下部分构成：,(1)密钥分发中心（KDC）：密钥分发中心确定哪些系统能够互相通信。当允许两个系统建立连接时，密钥分发中心就成为连接提供临时的会话密钥。 (2)前端处理机：前端处理机执行端一端加密，并代表主机或终端得到会话密钥。,图9-5 面向连接协议的自动密钥分发,3公钥的分发,(1)数字证书 数字证书是一条数字签名的消息，它通常用于证明某个实体的公钥的有效性。数字证书的类型有很多种，它们包括： X.509公钥证书； 简单PKI(Simple Public Key Infr
15、astructure)证书； PGP(Pretty Good Privacy)证书； 属性(attributel证书。,（a） 证书格式,Version number:3 Serial number:0000123 Issuing algorithm:SHA,DH,3837829 Issued by:Me Valid from/to:1/1/93 to12/31/98 Subject name:Alice Smith Subject Publish key information:DH,3813710 Signature:2393702347,（b）证书样式 图9-6 x.509版本3的证书结
16、构,下面介绍证书格式中的各个字段：,版本号：表示证书的版本(如版本1，版本2，或版本3)。 序列号：由证书颁发者分配的本证书的惟一标识符。 签名算法：签名算法是由对象标识符加上相关参数组成的标识符，用于说明本证书所用的数字签名算法。 颁发者：证书颁发者的可识别名。这是必须说明的。 有效期：证书有效的时问段。 主体：证书拥有者的可识别名，此字段必须非空。 主体公钥信息：主体的公钥以及算法标识符，这是必须说明的。 颁发者惟一标识符：证书颁发者的惟一标识符，仅在版本2和版本3中要求，属于可选项。 主体惟一标识符：证书拥有者的惟一标识符，仅在版本2和版本3中要求，属于可选项。 扩展：可选的标准和专用功
17、能字段。 签名：认证机构的数字签名。,(2)证书权威机构,证书权威机构(certificate Authority，CA)就是用户团体可信任的第三方，如政府部门或金融视构，它保证证书的有效性。CA负责注册证书、分发证书，并当证书包含的信息变得无效之后撤销(收回)证书。 用户以安全的方式向公钥证书权威机构出具他的公钥并得到证书，然后用户就可以公开这个证书。任何需要用户公钥的人都可以得到这个证书，并通过相关的信任签名来验证公钥的有效性。,9.3 防火墙技术,防火墙就是设置在被保护网络和外部网络之间的一道屏障，以防止发生不可预测的、潜在破坏性的侵入。 防火墙总体上分为包过滤、应用级网关和代理服务器等
18、几大类型。 9.3.1 防火墙的基本概念 1防火墙的定义 防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护。,防火墙的设计目标是：,(1)进出内部网的通信量必须通过防火墙。 (2)只有那些在内部网安全策略中定义了的合法的通信量才能够进出防火墙。 2使用防火墙的益处 Intemet防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它还是安全策略的一个部分。安全策略建立了全方位的防御体系来保护机构的信息资源。,引入防火
19、墙的好处有以下几点：,(1)保护脆弱的服务 (2)控制对系统的访问 (3)集中的安全管理 (4)增强的保密性 (5)记录和统计网络利用数据以及非法使用数据的情况 (6)策略执行,3防火墙的缺点,防火墙也有自身的限制，这些缺陷包括： (1)防火墙无法阻止绕过防火墙的攻击。Intemet系统可能具有通过拨号连接到ISP去的功能。 (2)防火墙无法阻止来自内部的威胁，比如一个恼怒的雇员或无意间帮助外部入侵者的雇员造成的攻击。 (3)防火墙无法防止病毒感染程序或文件的传输。,4防火墙的功能,防火墙能有效地防止外来的入侵，它在网络系统中的作用是： (1)控制进出网络的信息流向和信息包。 (2)提供使用和
20、流量的日志和审计。 (3)隐藏内部IP地址及网络结构的细节。 (4)提供虚拟专用网(VPN)功能。,9.3.2 防火墙的设计策略,1防火墙实现站点安全策略的技术 (1)服务控制确定在围墙外面和里面可以访问的Intemet服务类型。 (2)方向控制启动特定的服务请求并允许它通过防火墙，这些操作是具有方向 性的。 (3)用户控制根据请求访问的用户来确定是否提供该服务。 (4)行为控制控制如何使用某种特定的服务。,2防火墙在大型网络系统中的部署,根据网络系统的安全需要，可以在如下位置部署防火墙： (1)在局域网内的VLAN之间控制信息流向时加入防火墙。 (2)Intranet与Internet之间连
21、接时加入防火墙。 (3)在广域网系统中，由于安全的需要，总部的局域网可以将各分支机构的局域网看成不安全的系统，总部的局域网和各分支机构连接时，一般通过公网ChinaPac、ChinaDDN和Frame Relay等连接，需要采用防火墙隔离，并利用某些软件提供的功能构成虚拟专网VPN。 (4)总部的局域网和分支机构的局域网是通过Inteirnet连接的，需要各自安装防火墙，并组成虚拟专网。 (5)在远程用户拨号访问时，加入虚拟专网。 (6)利用一些防火墙软件提供的负载平衡功能，ISP可在公共访问服务器和客户端问加入防火墙进行负载分担、存取控制、用户认证、流量控制和日志纪录等功能。 (7)两网对接
22、时，可利用硬件防火墙作为网关设备实现地址转换(NAT)、地址映射(MAP)、网络隔离(DMZ，De-Militarized Zone，非军事区，其名称来源于朝鲜战争的三八线)及存取安全控制，消除传统软件防火墙的瓶颈问题。,9.4 常见的黑客工具及攻击方法,9.4.1 常见的黑客工具及其攻击原理 为了保障网络的安全，下面介绍几款流行的黑客工具及有效的防范技术。 1、Password Crackers 2、L0phtCrack 3、War Dialers 除此之外，还要定期作渗透测试，找出电话交换器内不合法的调制解调器。选用一个好的工具去寻找与网络连接的调制解调器。对于被发现、但未登记的调制解调器
23、，要么拿掉它们，要么重新登记。,9.4.2 黑客常用的攻击手段,1、获取口令 2、电子邮件攻击 3、特洛伊木马攻击 4、诱入法 5、寻找系统漏洞,9.5 远程攻击,1、什么是远程攻击： 远程计算机的定义是一台远程计算机是这样一台机器，它不是你正在其上工作的平台，而是能利用某协议通过Internet网或任何其他网络介质被使用的计算机。 2、远程攻击过程： 进行远程攻击的第一步并不需要和攻击目标进行密切地接触。入侵者的第一个任务是决定他要对付谁。此类信息的获得毋需干扰目标的正常工作。此类的某些信息可通过下面的技术获得： (1)运行一个查询命令host。 (2)、WHOIS查询。 (3)、运行一些U
24、senet和WEB查询。,9.6 网络病毒与防治,1网络病毒的特点及危害性 (1)破坏性强 (2)传播性强 (3)具有潜伏性和可激发性 (4)针对性强 (5)扩散面广,2充分利用Novell网本身的安全体系,防止网络服务器受病毒的感染可采取如下措施。 (1)将网络服务器的整个硬盘划分为 NetWare分区 (2)多用无盘工作站。 (3)规定用户的访问权限，尽可能少用超级用户登录。 (4)加强系统管理。提高网络系统的操作安全性。 (5)工作站是网络的入口，只要将此入口管好，就能有效地防止病毒的入侵。 3采用Station Lock 网络防毒方法4重点立足于服务器的防毒，选用可靠的网络防病毒 软件5清除网络病毒的过程,
