第8章 網(wǎng)絡(luò)安全與信息安全
一、密碼學(xué)
1、密碼學(xué)是以研究數(shù)據(jù)保密為目的，對(duì)存儲(chǔ)或者傳輸?shù)男畔⒉扇∶孛艿慕粨Q以防止第三者對(duì)信息的竊取的技術(shù)。
2、對(duì)稱密鑰密碼系統(tǒng)(私鑰密碼系統(tǒng)):在傳統(tǒng)密碼體制中加密和解密采用的是同一密鑰。常見的算法有:DES、IDEA
3、加密模式分類:
(1)序列密碼:通過(guò)有限狀態(tài)機(jī)產(chǎn)生性能優(yōu)良的偽隨機(jī)序列，使用該序列加密信息流逐位加密得到密文。
(2)分組密碼:在相信復(fù)雜函數(shù)可以通過(guò)簡(jiǎn)單函數(shù)迭代若干圈得到的原則，利用簡(jiǎn)單圈函數(shù)及對(duì)合等運(yùn)算，充分利用非線性運(yùn)算。
4、非對(duì)稱密鑰密碼系統(tǒng)(公鑰密碼系統(tǒng)):現(xiàn)代密碼體制中加密和解密采用不同的密鑰。
實(shí)現(xiàn)的過(guò)程:每個(gè)通信雙方有兩個(gè)密鑰，K和K'，在進(jìn)行保密通信時(shí)通常將加密密鑰K公開(稱為公鑰)，而保留解密密鑰K'(稱為私鑰)，常見的算法有:RSA
二、鑒別
鑒別是指可靠地驗(yàn)證某個(gè)通信參與方的身份是否與他所聲稱的身份一致的過(guò)程，一般通過(guò)某種復(fù)雜的身份認(rèn)證協(xié)議來(lái)實(shí)現(xiàn)。
1、口令技術(shù)
身份認(rèn)證標(biāo)記:PIN保護(hù)記憶卡和挑戰(zhàn)響應(yīng)卡
分類:共享密鑰認(rèn)證、公鑰認(rèn)證和零知識(shí)認(rèn)證
(1)共享密鑰認(rèn)證的思想是從通過(guò)口令認(rèn)證用戶發(fā)展來(lái)了。
(2)公開密鑰算法的出現(xiàn)為
2、會(huì)話密鑰:是指在一次會(huì)話過(guò)程中使用的密鑰，一般都是由機(jī)器隨機(jī)生成的，會(huì)話密鑰在實(shí)際使用時(shí)往往是在一定時(shí)間內(nèi)都有效，并不真正限制在一次會(huì)話過(guò)程中。
簽名:利用私鑰對(duì)明文信息進(jìn)行的變換稱為簽名
封裝:利用公鑰對(duì)明文信息進(jìn)行的變換稱為封裝
3、Kerberos鑒別:是一種使用對(duì)稱密鑰加密算法來(lái)實(shí)現(xiàn)通過(guò)可信第三方密鑰分發(fā)中心的身份認(rèn)證系統(tǒng)?？蛻舴叫枰蚍?wù)器方遞交自己的憑據(jù)來(lái)證明自己的身份，該憑據(jù)是由KDC專門為客戶和服務(wù)器方在某一階段內(nèi)通信而生成的。憑據(jù)中包括客戶和服務(wù)器方的身份信息和在下一階段雙方使用的臨時(shí)加密密鑰，還有證明客戶方擁有會(huì)話密鑰的身份認(rèn)證者信息。身份認(rèn)證信息的作用是防止攻擊者在將來(lái)將同樣的憑據(jù)再次使用。時(shí)間標(biāo)記是檢測(cè)重放攻擊。
4、數(shù)字簽名:
加密過(guò)程為C=EB(DA(m)) 用戶A先用自己的保密算法(解密算法DA)對(duì)數(shù)據(jù)進(jìn)行加密DA(m)，再用B的公開算法(加密算法EB)進(jìn)行一次加密EB(DA(m))。
解密的過(guò)程為m= EA (DB (C)) 用戶B先用自己的保密算法(解密算DB)對(duì)密文C進(jìn)行解密DB (C)，再用A的公開算法(加密算法EA)進(jìn)行一次解密EA (DB (C))。只有A才能產(chǎn)生密文C，B是無(wú)法依靠或修改的，所以A是不得抵賴的DA(m)被稱為簽名。
三、訪問(wèn)控制
訪問(wèn)控制是指確定可給予哪些主體訪問(wèn)的權(quán)力、確定以及實(shí)施訪問(wèn)權(quán)限的過(guò)程。被訪問(wèn)的數(shù)據(jù)統(tǒng)稱為客體。
1、訪問(wèn)矩陣是表示安全政策的最常用的訪問(wèn)控制安全模型。訪問(wèn)者對(duì)訪問(wèn)對(duì)象的權(quán)限就存放在矩陣中對(duì)應(yīng)的交叉點(diǎn)上。
2、訪問(wèn)控制表(ACL)每個(gè)訪問(wèn)者存儲(chǔ)有訪問(wèn)權(quán)力表，該表包括了他能夠訪問(wèn)的特定對(duì)象和操作權(quán)限。引用監(jiān)視器根據(jù)驗(yàn)證訪問(wèn)表提供的權(quán)力表和訪問(wèn)者的身份來(lái)決定是否授予訪問(wèn)者相應(yīng)的操作權(quán)限。
3、粗粒度訪問(wèn)控制:能夠控制到主機(jī)對(duì)象的訪問(wèn)控制
細(xì)粒度訪問(wèn)控制:能夠控制到文件甚至記錄的訪問(wèn)控制
4、防火墻作用:防止不希望、未經(jīng)授權(quán)的通信進(jìn)出被保護(hù)的內(nèi)部網(wǎng)絡(luò)，通過(guò)邊界控制強(qiáng)化內(nèi)部網(wǎng)絡(luò)的安全政策。
防火墻的分類:IP過(guò)濾、線過(guò)濾和應(yīng)用層代理
路由器過(guò)濾方式防火墻、雙穴信關(guān)方式防火墻、主機(jī)過(guò)濾式防火墻、子網(wǎng)過(guò)濾方式防火墻
5、過(guò)濾路由器的優(yōu)點(diǎn):結(jié)構(gòu)簡(jiǎn)單，使用硬件來(lái)降低成本;對(duì)上層協(xié)議和應(yīng)用透明，無(wú)需要修改已經(jīng)有的應(yīng)用。缺點(diǎn):在認(rèn)證和控制方面粒度太粗，無(wú)法做到用戶級(jí)別的身份認(rèn)證，只有針對(duì)主機(jī)IP地址，存在著假冒IP攻擊的隱患;訪問(wèn)控制也只有控制到IP地址端口一級(jí)，不能細(xì)化到文件等具體對(duì)象;從系統(tǒng)管理角度來(lái)看人工負(fù)擔(dān)很重。
6、代理服務(wù)器的優(yōu)點(diǎn):是其用戶級(jí)身份認(rèn)證、日志記錄和帳號(hào)管理。缺點(diǎn):要想提供全面的安全保證，就要對(duì)每一項(xiàng)服務(wù)都建立對(duì)應(yīng)的應(yīng)用層網(wǎng)關(guān)，這就極大限制了新應(yīng)用的采納。
7、VPN:虛擬專用網(wǎng)，是將物理分布在不同地點(diǎn)的網(wǎng)絡(luò)通過(guò)公共骨干網(wǎng)，尤其是internet聯(lián)接而成的邏輯上的虛擬子網(wǎng)。
8、VPN的模式:直接模式VPN使用IP和編址來(lái)建立對(duì)VPN上傳輸數(shù)據(jù)的直接控制。對(duì)數(shù)據(jù)加密，采用基于用戶身份的鑒別，而不是基于IP地址。隧道模式VPN是使用IP幀作為隧道的發(fā)送分組。
9、IPSEC是由IETF制訂的用于VPN的協(xié)議。由三個(gè)部分組成:封裝安全負(fù)載ESP主要用來(lái)處理對(duì)IP數(shù)據(jù)包的加密并對(duì)鑒別提供某種程序的支持。，鑒別報(bào)頭(AP)只涉及到鑒別不涉及到加密，internet密鑰交換IKE主要是對(duì)密鑰交換進(jìn)行管理。
四、計(jì)算機(jī)病毒
1、計(jì)算機(jī)病毒分類:操作系統(tǒng)型、外殼型、入侵型、源碼型
2、計(jì)算機(jī)病毒破壞過(guò)程:最初病毒程序寄生在介質(zhì)上的某個(gè)程序中，處于靜止?fàn)顟B(tài)，一旦程序被引導(dǎo)或調(diào)用，它就被激活，變成有傳染能力的動(dòng)態(tài)病毒，當(dāng)傳染條件滿足時(shí)，病毒就侵入內(nèi)存，隨著作業(yè)進(jìn)程的發(fā)展，它逐步向其他作業(yè)模塊擴(kuò)散，并傳染給其他軟件。在破壞條件滿足時(shí)，它就由表現(xiàn)模塊或破壞模塊把病毒以特定的方針表現(xiàn)出來(lái)。
五、網(wǎng)絡(luò)安全技術(shù)
1、鏈路層負(fù)責(zé)建立點(diǎn)到點(diǎn)的通信，網(wǎng)絡(luò)層負(fù)責(zé)尋徑、傳輸層負(fù)責(zé)建立端到端的通信信道。
2、物理層可以在通信線路上采用某些技術(shù)使得搭線偷聽變得不可能或者容易被檢測(cè)出。數(shù)據(jù)鏈路層，可以采用通信保密機(jī)進(jìn)行加密和解密。
3、IP層安全性
在IP加密傳輸信道技術(shù)方面，IETF已經(jīng)指定了一個(gè)IP安全性工作小組IPSEC來(lái)制訂IP安全協(xié)議IPSP和對(duì)應(yīng)的internet密鑰管理協(xié)議IKMP的標(biāo)準(zhǔn)。
(1)IPSEC采用了兩種機(jī)制:認(rèn)證頭部AH，提前誰(shuí)和數(shù)據(jù)完整性;安全內(nèi)容封裝ESP，實(shí)現(xiàn)通信保密。1995年8月internet工程領(lǐng)導(dǎo)小組IESG批準(zhǔn)了有關(guān)IPSP的RFC作為internet標(biāo)準(zhǔn)系列的推薦標(biāo)準(zhǔn)。同時(shí)還規(guī)定了用安全散列算法SHA來(lái)代替MD5和用三元DES代替DES。
4、傳輸層安全性
(1)傳輸層網(wǎng)關(guān)在兩個(gè)通信節(jié)點(diǎn)之間代為傳遞TCP連接并進(jìn)行控制，這個(gè)層次一般稱作傳輸層安全。最常見的傳輸層安全技術(shù)有SSL、SOCKS和安全RPC等。
(2)在internet編程中，通常使用廣義的進(jìn)程信IPC機(jī)制來(lái)同不同層次的安全協(xié)議打交道。比較流行的兩個(gè)IPC編程界面是BSD Sockets和傳輸層界面TLI。
(3)安全套接層協(xié)議SSL
在可靠的傳輸服務(wù)TCP/IP基礎(chǔ)上建立，SSL版本3，SSLv3于1995年12月制定。SSL采用公鑰方式進(jìn)行身份認(rèn)證，但是大量數(shù)據(jù)傳輸仍然使用對(duì)稱密鑰方式。通過(guò)雙方協(xié)商SSL可以支持多種身份認(rèn)證、加密和檢驗(yàn)算法。
SSL協(xié)商協(xié)議:用來(lái)交換版本號(hào)、加密算法、身份認(rèn)證并交換密鑰SSLv3提供對(duì)Deffie-Hellman密鑰交換算法、基于RSA的密鑰交換機(jī)制和另一種實(shí)現(xiàn)在Frotezza chip上的密鑰交換機(jī)制的支持。
SSL記錄層協(xié)議:它涉及應(yīng)用程序提供的信息的分段、壓縮數(shù)據(jù)認(rèn)證和加密SSLv3提供對(duì)數(shù)據(jù)認(rèn)證用的MD5和SHA以及數(shù)據(jù)加密用的R4主DES等支持，用來(lái)對(duì)數(shù)據(jù)進(jìn)行認(rèn)證和加密的密鑰可以有通過(guò)SSL的握手協(xié)議來(lái)協(xié)商。
SSL協(xié)商層的工作過(guò)程:當(dāng)客戶方與服務(wù)方進(jìn)行通信之前，客戶方發(fā)出問(wèn)候;服務(wù)方收到問(wèn)候后，發(fā)回一個(gè)問(wèn)候。問(wèn)候交換完畢后，就確定了雙方采用的SSL協(xié)議的版本號(hào)、會(huì)話標(biāo)志、加密算法集和壓縮算法。
SSL記錄層的工作過(guò)程:接收上層的數(shù)據(jù)，將它們分段;然后用協(xié)商層約定的壓縮方法進(jìn)行壓縮，壓縮后的記錄用約定的流加密或塊加密方式進(jìn)行加密，再由傳輸層發(fā)送出去。
5、應(yīng)用層安全性
6、WWW應(yīng)用安全技術(shù)
(1)解決WWW應(yīng)用安全的方案需要結(jié)合通用的internet安全技術(shù)和專門針對(duì)WWW的技術(shù)。前者主要是指防火墻技術(shù)，后者包括根據(jù)WWW技術(shù)的特點(diǎn)改進(jìn)HTTP協(xié)議或者利用代理服務(wù)器、插入件、中間件等技術(shù)來(lái)實(shí)現(xiàn)的安全技術(shù)。
(2)HTTP目前三個(gè)版本:HTTP0.9、HTTP1.0、HTTP1.1。HTTP0.9是最早的版本，它只定義了最基本的簡(jiǎn)單請(qǐng)求和簡(jiǎn)單回答;HTTP1.0較完善，也是目前使用廣泛的一個(gè)版本;HTTP1.1增加了大量的報(bào)頭域，并對(duì)HTTP1.0中沒(méi)有嚴(yán)格定義的部分作了進(jìn)一步的說(shuō)明。
(3)HTTP1.1提供了一個(gè)基于口令基本認(rèn)證方法，目前所有的WEB服務(wù)器都可以通過(guò) "基本身份認(rèn)證"支持訪問(wèn)控制。在身份認(rèn)證上，針對(duì)基本認(rèn)證方法以明文傳輸口令這一弱點(diǎn)，補(bǔ)充了摘要認(rèn)證方法，不再傳遞口令明文，而是將口令經(jīng)過(guò)散列函數(shù)變換后傳遞它的摘要。
(4)針對(duì)HTTP協(xié)議的改進(jìn)還有安全HTTP協(xié)議SHTTP。最新版本的SHTTP1.3它建立在HTTP1.1基礎(chǔ)上，提供了數(shù)據(jù)加密、身份認(rèn)證、數(shù)據(jù)完整、防止否認(rèn)等能力。
(5)DEC-Web
WAND服務(wù)器是支持DCE的專用Web服務(wù)器，它可以和三種客戶進(jìn)行通信:第一是設(shè)置本地安全代理SLP的普通瀏覽器。第二種是支持SSL瀏覽器，這種瀏覽器向一個(gè)安關(guān)以SSL協(xié)議發(fā)送請(qǐng)求，SDG再將請(qǐng)求轉(zhuǎn)換成安全RPC調(diào)用發(fā)給WAND，收到結(jié)果后，將其轉(zhuǎn)換成SSL回答，發(fā)回到瀏覽器。第三種是完全沒(méi)有任何安全機(jī)制的普通瀏覽器，WANS也接受它直接的HTTP請(qǐng)求，但此時(shí)通信得不到任何保護(hù)。
六、安全服務(wù)與安全與機(jī)制
1、ISO7498-2從體系結(jié)構(gòu)的觀點(diǎn)描述了5種可選的安全服務(wù)、8項(xiàng)特定的安全機(jī)制以及5種普遍性的安全機(jī)制。
2、5種可選的安全服務(wù):鑒別、訪問(wèn)控制、數(shù)據(jù)保密、數(shù)據(jù)完整性和防止否認(rèn)。
3、8種安全機(jī)制:加密機(jī)制、數(shù)據(jù)完整性機(jī)制、訪問(wèn)控制機(jī)制、數(shù)據(jù)完整性機(jī)制、認(rèn)證機(jī)制、通信業(yè)務(wù)填充機(jī)制、路由控制機(jī)制、公證機(jī)制，它們可以在OSI參考模型的適當(dāng)層次上實(shí)施。
4、5種普遍性的安全機(jī)制:可信功能、安全標(biāo)號(hào)、事件檢測(cè)、安全審計(jì)跟蹤、安全恢復(fù)。
5、信息系統(tǒng)安全評(píng)估準(zhǔn)則
(1)可信計(jì)算機(jī)系統(tǒng)評(píng)估準(zhǔn)則TCSEC:是由美國(guó)國(guó)家計(jì)算機(jī)安全中心于1983年制訂的，又稱桔皮書。
(2)信息技術(shù)安全評(píng)估準(zhǔn)則ITSEC:由歐洲四國(guó)于1989年聯(lián)合提出的，俗稱白皮書。
(3)通用安全評(píng)估準(zhǔn)則CC:由美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)研究所NIST和國(guó)家安全局NSA、歐洲四國(guó)以及加拿大等6國(guó)7方聯(lián)合提出的。
(4)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則:我國(guó)國(guó)家質(zhì)量技術(shù)監(jiān)督局于1999年發(fā)布的國(guó)家標(biāo)準(zhǔn)。
6、可信計(jì)算機(jī)系統(tǒng)評(píng)估準(zhǔn)則
TCSEC共分為4類7級(jí):D，C1，C2，B1，B2，B3，A1
D級(jí)，安全保護(hù)欠缺級(jí)，并不是沒(méi)有安全保護(hù)功能，只是太弱。
C1級(jí)，自主安全保護(hù)級(jí)，
C2級(jí)，受控存取保護(hù)級(jí)，
B1級(jí)，結(jié)構(gòu)化保護(hù)級(jí)
B3級(jí)，安全域級(jí)
A1，驗(yàn)證設(shè)計(jì)級(jí)。
七、評(píng)估增長(zhǎng)的安全操作代價(jià)
為了確定網(wǎng)絡(luò)的安全策略及解決方案:首先，應(yīng)該評(píng)估風(fēng)險(xiǎn)，即確定侵入破壞的機(jī)會(huì)和危害的潛在代價(jià);其次，應(yīng)該評(píng)估增長(zhǎng)的安全操作代價(jià)。
安全操作代價(jià)主要有以下幾點(diǎn):
(1)用戶的方便程度
(2)管理的復(fù)雜性
(3)對(duì)現(xiàn)有系統(tǒng)的影響
(4)對(duì)不同平臺(tái)的支持
一、密碼學(xué)
1、密碼學(xué)是以研究數(shù)據(jù)保密為目的，對(duì)存儲(chǔ)或者傳輸?shù)男畔⒉扇∶孛艿慕粨Q以防止第三者對(duì)信息的竊取的技術(shù)。
2、對(duì)稱密鑰密碼系統(tǒng)(私鑰密碼系統(tǒng)):在傳統(tǒng)密碼體制中加密和解密采用的是同一密鑰。常見的算法有:DES、IDEA
3、加密模式分類:
(1)序列密碼:通過(guò)有限狀態(tài)機(jī)產(chǎn)生性能優(yōu)良的偽隨機(jī)序列，使用該序列加密信息流逐位加密得到密文。
(2)分組密碼:在相信復(fù)雜函數(shù)可以通過(guò)簡(jiǎn)單函數(shù)迭代若干圈得到的原則，利用簡(jiǎn)單圈函數(shù)及對(duì)合等運(yùn)算，充分利用非線性運(yùn)算。
4、非對(duì)稱密鑰密碼系統(tǒng)(公鑰密碼系統(tǒng)):現(xiàn)代密碼體制中加密和解密采用不同的密鑰。
實(shí)現(xiàn)的過(guò)程:每個(gè)通信雙方有兩個(gè)密鑰，K和K'，在進(jìn)行保密通信時(shí)通常將加密密鑰K公開(稱為公鑰)，而保留解密密鑰K'(稱為私鑰)，常見的算法有:RSA
二、鑒別
鑒別是指可靠地驗(yàn)證某個(gè)通信參與方的身份是否與他所聲稱的身份一致的過(guò)程，一般通過(guò)某種復(fù)雜的身份認(rèn)證協(xié)議來(lái)實(shí)現(xiàn)。
1、口令技術(shù)
身份認(rèn)證標(biāo)記:PIN保護(hù)記憶卡和挑戰(zhàn)響應(yīng)卡
分類:共享密鑰認(rèn)證、公鑰認(rèn)證和零知識(shí)認(rèn)證
(1)共享密鑰認(rèn)證的思想是從通過(guò)口令認(rèn)證用戶發(fā)展來(lái)了。
(2)公開密鑰算法的出現(xiàn)為
2、會(huì)話密鑰:是指在一次會(huì)話過(guò)程中使用的密鑰，一般都是由機(jī)器隨機(jī)生成的，會(huì)話密鑰在實(shí)際使用時(shí)往往是在一定時(shí)間內(nèi)都有效，并不真正限制在一次會(huì)話過(guò)程中。
簽名:利用私鑰對(duì)明文信息進(jìn)行的變換稱為簽名
封裝:利用公鑰對(duì)明文信息進(jìn)行的變換稱為封裝
3、Kerberos鑒別:是一種使用對(duì)稱密鑰加密算法來(lái)實(shí)現(xiàn)通過(guò)可信第三方密鑰分發(fā)中心的身份認(rèn)證系統(tǒng)?？蛻舴叫枰蚍?wù)器方遞交自己的憑據(jù)來(lái)證明自己的身份，該憑據(jù)是由KDC專門為客戶和服務(wù)器方在某一階段內(nèi)通信而生成的。憑據(jù)中包括客戶和服務(wù)器方的身份信息和在下一階段雙方使用的臨時(shí)加密密鑰，還有證明客戶方擁有會(huì)話密鑰的身份認(rèn)證者信息。身份認(rèn)證信息的作用是防止攻擊者在將來(lái)將同樣的憑據(jù)再次使用。時(shí)間標(biāo)記是檢測(cè)重放攻擊。
4、數(shù)字簽名:
加密過(guò)程為C=EB(DA(m)) 用戶A先用自己的保密算法(解密算法DA)對(duì)數(shù)據(jù)進(jìn)行加密DA(m)，再用B的公開算法(加密算法EB)進(jìn)行一次加密EB(DA(m))。
解密的過(guò)程為m= EA (DB (C)) 用戶B先用自己的保密算法(解密算DB)對(duì)密文C進(jìn)行解密DB (C)，再用A的公開算法(加密算法EA)進(jìn)行一次解密EA (DB (C))。只有A才能產(chǎn)生密文C，B是無(wú)法依靠或修改的，所以A是不得抵賴的DA(m)被稱為簽名。
三、訪問(wèn)控制
訪問(wèn)控制是指確定可給予哪些主體訪問(wèn)的權(quán)力、確定以及實(shí)施訪問(wèn)權(quán)限的過(guò)程。被訪問(wèn)的數(shù)據(jù)統(tǒng)稱為客體。
1、訪問(wèn)矩陣是表示安全政策的最常用的訪問(wèn)控制安全模型。訪問(wèn)者對(duì)訪問(wèn)對(duì)象的權(quán)限就存放在矩陣中對(duì)應(yīng)的交叉點(diǎn)上。
2、訪問(wèn)控制表(ACL)每個(gè)訪問(wèn)者存儲(chǔ)有訪問(wèn)權(quán)力表，該表包括了他能夠訪問(wèn)的特定對(duì)象和操作權(quán)限。引用監(jiān)視器根據(jù)驗(yàn)證訪問(wèn)表提供的權(quán)力表和訪問(wèn)者的身份來(lái)決定是否授予訪問(wèn)者相應(yīng)的操作權(quán)限。
3、粗粒度訪問(wèn)控制:能夠控制到主機(jī)對(duì)象的訪問(wèn)控制
細(xì)粒度訪問(wèn)控制:能夠控制到文件甚至記錄的訪問(wèn)控制
4、防火墻作用:防止不希望、未經(jīng)授權(quán)的通信進(jìn)出被保護(hù)的內(nèi)部網(wǎng)絡(luò)，通過(guò)邊界控制強(qiáng)化內(nèi)部網(wǎng)絡(luò)的安全政策。
防火墻的分類:IP過(guò)濾、線過(guò)濾和應(yīng)用層代理
路由器過(guò)濾方式防火墻、雙穴信關(guān)方式防火墻、主機(jī)過(guò)濾式防火墻、子網(wǎng)過(guò)濾方式防火墻
5、過(guò)濾路由器的優(yōu)點(diǎn):結(jié)構(gòu)簡(jiǎn)單，使用硬件來(lái)降低成本;對(duì)上層協(xié)議和應(yīng)用透明，無(wú)需要修改已經(jīng)有的應(yīng)用。缺點(diǎn):在認(rèn)證和控制方面粒度太粗，無(wú)法做到用戶級(jí)別的身份認(rèn)證，只有針對(duì)主機(jī)IP地址，存在著假冒IP攻擊的隱患;訪問(wèn)控制也只有控制到IP地址端口一級(jí)，不能細(xì)化到文件等具體對(duì)象;從系統(tǒng)管理角度來(lái)看人工負(fù)擔(dān)很重。
6、代理服務(wù)器的優(yōu)點(diǎn):是其用戶級(jí)身份認(rèn)證、日志記錄和帳號(hào)管理。缺點(diǎn):要想提供全面的安全保證，就要對(duì)每一項(xiàng)服務(wù)都建立對(duì)應(yīng)的應(yīng)用層網(wǎng)關(guān)，這就極大限制了新應(yīng)用的采納。
7、VPN:虛擬專用網(wǎng)，是將物理分布在不同地點(diǎn)的網(wǎng)絡(luò)通過(guò)公共骨干網(wǎng)，尤其是internet聯(lián)接而成的邏輯上的虛擬子網(wǎng)。
8、VPN的模式:直接模式VPN使用IP和編址來(lái)建立對(duì)VPN上傳輸數(shù)據(jù)的直接控制。對(duì)數(shù)據(jù)加密，采用基于用戶身份的鑒別，而不是基于IP地址。隧道模式VPN是使用IP幀作為隧道的發(fā)送分組。
9、IPSEC是由IETF制訂的用于VPN的協(xié)議。由三個(gè)部分組成:封裝安全負(fù)載ESP主要用來(lái)處理對(duì)IP數(shù)據(jù)包的加密并對(duì)鑒別提供某種程序的支持。，鑒別報(bào)頭(AP)只涉及到鑒別不涉及到加密，internet密鑰交換IKE主要是對(duì)密鑰交換進(jìn)行管理。
四、計(jì)算機(jī)病毒
1、計(jì)算機(jī)病毒分類:操作系統(tǒng)型、外殼型、入侵型、源碼型
2、計(jì)算機(jī)病毒破壞過(guò)程:最初病毒程序寄生在介質(zhì)上的某個(gè)程序中，處于靜止?fàn)顟B(tài)，一旦程序被引導(dǎo)或調(diào)用，它就被激活，變成有傳染能力的動(dòng)態(tài)病毒，當(dāng)傳染條件滿足時(shí)，病毒就侵入內(nèi)存，隨著作業(yè)進(jìn)程的發(fā)展，它逐步向其他作業(yè)模塊擴(kuò)散，并傳染給其他軟件。在破壞條件滿足時(shí)，它就由表現(xiàn)模塊或破壞模塊把病毒以特定的方針表現(xiàn)出來(lái)。
五、網(wǎng)絡(luò)安全技術(shù)
1、鏈路層負(fù)責(zé)建立點(diǎn)到點(diǎn)的通信，網(wǎng)絡(luò)層負(fù)責(zé)尋徑、傳輸層負(fù)責(zé)建立端到端的通信信道。
2、物理層可以在通信線路上采用某些技術(shù)使得搭線偷聽變得不可能或者容易被檢測(cè)出。數(shù)據(jù)鏈路層，可以采用通信保密機(jī)進(jìn)行加密和解密。
3、IP層安全性
在IP加密傳輸信道技術(shù)方面，IETF已經(jīng)指定了一個(gè)IP安全性工作小組IPSEC來(lái)制訂IP安全協(xié)議IPSP和對(duì)應(yīng)的internet密鑰管理協(xié)議IKMP的標(biāo)準(zhǔn)。
(1)IPSEC采用了兩種機(jī)制:認(rèn)證頭部AH，提前誰(shuí)和數(shù)據(jù)完整性;安全內(nèi)容封裝ESP，實(shí)現(xiàn)通信保密。1995年8月internet工程領(lǐng)導(dǎo)小組IESG批準(zhǔn)了有關(guān)IPSP的RFC作為internet標(biāo)準(zhǔn)系列的推薦標(biāo)準(zhǔn)。同時(shí)還規(guī)定了用安全散列算法SHA來(lái)代替MD5和用三元DES代替DES。
4、傳輸層安全性
(1)傳輸層網(wǎng)關(guān)在兩個(gè)通信節(jié)點(diǎn)之間代為傳遞TCP連接并進(jìn)行控制，這個(gè)層次一般稱作傳輸層安全。最常見的傳輸層安全技術(shù)有SSL、SOCKS和安全RPC等。
(2)在internet編程中，通常使用廣義的進(jìn)程信IPC機(jī)制來(lái)同不同層次的安全協(xié)議打交道。比較流行的兩個(gè)IPC編程界面是BSD Sockets和傳輸層界面TLI。
(3)安全套接層協(xié)議SSL
在可靠的傳輸服務(wù)TCP/IP基礎(chǔ)上建立，SSL版本3，SSLv3于1995年12月制定。SSL采用公鑰方式進(jìn)行身份認(rèn)證，但是大量數(shù)據(jù)傳輸仍然使用對(duì)稱密鑰方式。通過(guò)雙方協(xié)商SSL可以支持多種身份認(rèn)證、加密和檢驗(yàn)算法。
SSL協(xié)商協(xié)議:用來(lái)交換版本號(hào)、加密算法、身份認(rèn)證并交換密鑰SSLv3提供對(duì)Deffie-Hellman密鑰交換算法、基于RSA的密鑰交換機(jī)制和另一種實(shí)現(xiàn)在Frotezza chip上的密鑰交換機(jī)制的支持。
SSL記錄層協(xié)議:它涉及應(yīng)用程序提供的信息的分段、壓縮數(shù)據(jù)認(rèn)證和加密SSLv3提供對(duì)數(shù)據(jù)認(rèn)證用的MD5和SHA以及數(shù)據(jù)加密用的R4主DES等支持，用來(lái)對(duì)數(shù)據(jù)進(jìn)行認(rèn)證和加密的密鑰可以有通過(guò)SSL的握手協(xié)議來(lái)協(xié)商。
SSL協(xié)商層的工作過(guò)程:當(dāng)客戶方與服務(wù)方進(jìn)行通信之前，客戶方發(fā)出問(wèn)候;服務(wù)方收到問(wèn)候后，發(fā)回一個(gè)問(wèn)候。問(wèn)候交換完畢后，就確定了雙方采用的SSL協(xié)議的版本號(hào)、會(huì)話標(biāo)志、加密算法集和壓縮算法。
SSL記錄層的工作過(guò)程:接收上層的數(shù)據(jù)，將它們分段;然后用協(xié)商層約定的壓縮方法進(jìn)行壓縮，壓縮后的記錄用約定的流加密或塊加密方式進(jìn)行加密，再由傳輸層發(fā)送出去。
5、應(yīng)用層安全性
6、WWW應(yīng)用安全技術(shù)
(1)解決WWW應(yīng)用安全的方案需要結(jié)合通用的internet安全技術(shù)和專門針對(duì)WWW的技術(shù)。前者主要是指防火墻技術(shù)，后者包括根據(jù)WWW技術(shù)的特點(diǎn)改進(jìn)HTTP協(xié)議或者利用代理服務(wù)器、插入件、中間件等技術(shù)來(lái)實(shí)現(xiàn)的安全技術(shù)。
(2)HTTP目前三個(gè)版本:HTTP0.9、HTTP1.0、HTTP1.1。HTTP0.9是最早的版本，它只定義了最基本的簡(jiǎn)單請(qǐng)求和簡(jiǎn)單回答;HTTP1.0較完善，也是目前使用廣泛的一個(gè)版本;HTTP1.1增加了大量的報(bào)頭域，并對(duì)HTTP1.0中沒(méi)有嚴(yán)格定義的部分作了進(jìn)一步的說(shuō)明。
(3)HTTP1.1提供了一個(gè)基于口令基本認(rèn)證方法，目前所有的WEB服務(wù)器都可以通過(guò) "基本身份認(rèn)證"支持訪問(wèn)控制。在身份認(rèn)證上，針對(duì)基本認(rèn)證方法以明文傳輸口令這一弱點(diǎn)，補(bǔ)充了摘要認(rèn)證方法，不再傳遞口令明文，而是將口令經(jīng)過(guò)散列函數(shù)變換后傳遞它的摘要。
(4)針對(duì)HTTP協(xié)議的改進(jìn)還有安全HTTP協(xié)議SHTTP。最新版本的SHTTP1.3它建立在HTTP1.1基礎(chǔ)上，提供了數(shù)據(jù)加密、身份認(rèn)證、數(shù)據(jù)完整、防止否認(rèn)等能力。
(5)DEC-Web
WAND服務(wù)器是支持DCE的專用Web服務(wù)器，它可以和三種客戶進(jìn)行通信:第一是設(shè)置本地安全代理SLP的普通瀏覽器。第二種是支持SSL瀏覽器，這種瀏覽器向一個(gè)安關(guān)以SSL協(xié)議發(fā)送請(qǐng)求，SDG再將請(qǐng)求轉(zhuǎn)換成安全RPC調(diào)用發(fā)給WAND，收到結(jié)果后，將其轉(zhuǎn)換成SSL回答，發(fā)回到瀏覽器。第三種是完全沒(méi)有任何安全機(jī)制的普通瀏覽器，WANS也接受它直接的HTTP請(qǐng)求，但此時(shí)通信得不到任何保護(hù)。
六、安全服務(wù)與安全與機(jī)制
1、ISO7498-2從體系結(jié)構(gòu)的觀點(diǎn)描述了5種可選的安全服務(wù)、8項(xiàng)特定的安全機(jī)制以及5種普遍性的安全機(jī)制。
2、5種可選的安全服務(wù):鑒別、訪問(wèn)控制、數(shù)據(jù)保密、數(shù)據(jù)完整性和防止否認(rèn)。
3、8種安全機(jī)制:加密機(jī)制、數(shù)據(jù)完整性機(jī)制、訪問(wèn)控制機(jī)制、數(shù)據(jù)完整性機(jī)制、認(rèn)證機(jī)制、通信業(yè)務(wù)填充機(jī)制、路由控制機(jī)制、公證機(jī)制，它們可以在OSI參考模型的適當(dāng)層次上實(shí)施。
4、5種普遍性的安全機(jī)制:可信功能、安全標(biāo)號(hào)、事件檢測(cè)、安全審計(jì)跟蹤、安全恢復(fù)。
5、信息系統(tǒng)安全評(píng)估準(zhǔn)則
(1)可信計(jì)算機(jī)系統(tǒng)評(píng)估準(zhǔn)則TCSEC:是由美國(guó)國(guó)家計(jì)算機(jī)安全中心于1983年制訂的，又稱桔皮書。
(2)信息技術(shù)安全評(píng)估準(zhǔn)則ITSEC:由歐洲四國(guó)于1989年聯(lián)合提出的，俗稱白皮書。
(3)通用安全評(píng)估準(zhǔn)則CC:由美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)研究所NIST和國(guó)家安全局NSA、歐洲四國(guó)以及加拿大等6國(guó)7方聯(lián)合提出的。
(4)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則:我國(guó)國(guó)家質(zhì)量技術(shù)監(jiān)督局于1999年發(fā)布的國(guó)家標(biāo)準(zhǔn)。
6、可信計(jì)算機(jī)系統(tǒng)評(píng)估準(zhǔn)則
TCSEC共分為4類7級(jí):D，C1，C2，B1，B2，B3，A1
D級(jí)，安全保護(hù)欠缺級(jí)，并不是沒(méi)有安全保護(hù)功能，只是太弱。
C1級(jí)，自主安全保護(hù)級(jí)，
C2級(jí)，受控存取保護(hù)級(jí)，
B1級(jí)，結(jié)構(gòu)化保護(hù)級(jí)
B3級(jí)，安全域級(jí)
A1，驗(yàn)證設(shè)計(jì)級(jí)。
七、評(píng)估增長(zhǎng)的安全操作代價(jià)
為了確定網(wǎng)絡(luò)的安全策略及解決方案:首先，應(yīng)該評(píng)估風(fēng)險(xiǎn)，即確定侵入破壞的機(jī)會(huì)和危害的潛在代價(jià);其次，應(yīng)該評(píng)估增長(zhǎng)的安全操作代價(jià)。
安全操作代價(jià)主要有以下幾點(diǎn):
(1)用戶的方便程度
(2)管理的復(fù)雜性
(3)對(duì)現(xiàn)有系統(tǒng)的影響
(4)對(duì)不同平臺(tái)的支持