1、第第5 5章章 操作系统安全操作系统安全5.1 TCP/IP5.1 TCP/IP的基础知识的基础知识5.2 5.2 网络层的安全性网络层的安全性 5.3 5.3 WindowsWindows系统的安全性系统的安全性5.4 5.4 常见的操作系统安全漏洞常见的操作系统安全漏洞学习目标学习目标TCP/IP安全性安全性操作系统漏洞操作系统漏洞5.1 TCP/IP5.1 TCP/IP的基础知识的基础知识 20 20世纪世纪6060年代初年代初,DARPA(,DARPA(美国国防部高级研究项目美国国防部高级研究项目局局)投资建立了一个项目投资建立了一个项目,通过一个名为通过一个名为ARPANET(ARP
2、ANET(阿帕阿帕网网)的网络将全国各地的大学及硬件部门连接起来的网络将全国各地的大学及硬件部门连接起来.198.198年年,TCP/IP,TCP/IP协议取代了早先的协议取代了早先的ARPANETNCP(ARPANETNCP(网络控制协网络控制协议议)。用来运行这个网络的。用来运行这个网络的TCP/IPTCP/IP协议是开放的、简单协议是开放的、简单的和易于使用的。的和易于使用的。TCP/IPTCP/IP协议堆栈由四个层构成的。堆栈中的每个协议堆栈由四个层构成的。堆栈中的每个层都有明确定义的功能及用途，每一层都能导出经准层都有明确定义的功能及用途，每一层都能导出经准确定义的借口，在它上面或下
3、面的层可通过该借口与确定义的借口，在它上面或下面的层可通过该借口与之通信。之通信。应用层应用层传输层传输层网络层网络层数据链路层数据链路层四个层次见下图四个层次见下图:每个层的功能如下所述：每个层的功能如下所述：1.应用层应用层应用层直接为网络应用提供服务，使它们能通过网络应用层直接为网络应用提供服务，使它们能通过网络收发数据。收发数据。2.传输层传输层传输层负责向应用层提供服务。传输层负责向应用层提供服务。(1)(1)“面向连接面向连接”或者或者“无连接无连接”的数据传输。的数据传输。(2)(2)可靠或不可靠传输。可靠或不可靠传输。(3)(3)数据安全。数据安全。3.3.网络层网络层网络层用
4、于提供无连接服务，它负责对数据包进行网络层用于提供无连接服务，它负责对数据包进行路由选择。所谓路由选择。所谓“路由选择路由选择”，是指决定一个数据，是指决定一个数据包的具体传输路径，以最高的效率抵达目的地。包的具体传输路径，以最高的效率抵达目的地。4.4.数据链路层数据链路层数据链路层负责在物理媒介中传输数据包。数据链路层负责在物理媒介中传输数据包。5.2 5.2 网络层的安全性网络层的安全性5.2.1 5.2.1 网络层的安全性网络层的安全性5.2.2 IPSEC 5.2.2 IPSEC 5.2.1 5.2.1 网络层的安全性网络层的安全性 这里说的网络层指的是这里说的网络层指的是TCP/I
5、PTCP/IP网络体系结构中网络体系结构中IPIP层。对网络层的安全协议进行标准化的想法早就层。对网络层的安全协议进行标准化的想法早就有了，如有了，如“安全协议安全协议3 3号号”(SP3)(SP3)，网络层安全协网络层安全协议议(NLSP),(NLSP),集成化集成化NLSPNLSP等。这些提案的共同点多于等。这些提案的共同点多于不同点，它们用的都是不同点，它们用的都是IPIP封装技术。其本质是：纯封装技术。其本质是：纯文本的包被加密，封装在外层的文本的包被加密，封装在外层的IPIP报头里，用来对报头里，用来对加密的包进行加密的包进行INTERNETINTERNET上的路由选择。到达另一端上
6、的路由选择。到达另一端时，外层的时，外层的IPIP报头被拆开，报文被解密，然后送到报头被拆开，报文被解密，然后送到收报地点。收报地点。INTERNET INTERNET工程特遣组工程特遣组(LETF)(LETF)已经特许已经特许INTERNETINTERNET协协议安全协议议安全协议(IPSEC)(IPSEC)工作组，对工作组，对IPIP安全协议安全协议(IPSP)(IPSP)和对和对应的应的INTERNETINTERNET密钥管理协议密钥管理协议(IKMP)(IKMP)进行标准化工作。进行标准化工作。IPSPIPSP的主要目的是使需要安全措施的用户能够使用相的主要目的是使需要安全措施的用户能
7、够使用相应的加密安全体制。应的加密安全体制。网络层安全性的主要优点是它的透明性。也就是网络层安全性的主要优点是它的透明性。也就是说，安全服务的提供不需要应用程序、其他通信层次说，安全服务的提供不需要应用程序、其他通信层次和网络部件做任何改动。它的最主要的缺点是：网络和网络部件做任何改动。它的最主要的缺点是：网络层一般对属于不同进程和相应条例的包不做区别。层一般对属于不同进程和相应条例的包不做区别。5.2.2 IPSEC5.2.2 IPSEC IPSEC(IP SECURITY)IPSEC(IP SECURITY)产生于产生于IPV6IPV6的制定之中，用的制定之中，用于提供于提供IPIP层的安
8、全性。由于所有支持层的安全性。由于所有支持TCP/IPTCP/IP协议的主协议的主机进行通信时，都要经过机进行通信时，都要经过IPIP层的处理，所以提供了层的处理，所以提供了IPIP层的安全性就相当于为整个网络提供了安全通信础。层的安全性就相当于为整个网络提供了安全通信础。IPSECIPSEC的用途：的用途：(1)(1)保证保证INTERNETINTERNET上各分支办公点的安全连接。上各分支办公点的安全连接。(2)(2)保证保证INTERNETINTERNET上远程访问的安全。上远程访问的安全。(3)(3)通过外部网或内部网建立与合作伙伴的联系。通过外部网或内部网建立与合作伙伴的联系。(4)
9、(4)提高了电子商务的安全性。提高了电子商务的安全性。1.IPSEC1.IPSEC的优点：的优点：(1)IPESC(1)IPESC在传输层之下，对于应用程序来说是透明的。在传输层之下，对于应用程序来说是透明的。(2)IPSEC(2)IPSEC对终端用户来说是透明的，因此不必对用户进对终端用户来说是透明的，因此不必对用户进行安全机制的培训。行安全机制的培训。(3)(3)如果需要的话，如果需要的话，IPSECIPSEC可以为个体用户提供安全保障。可以为个体用户提供安全保障。(4)IPSEC(4)IPSEC正向正向INTERNETINTERNET靠拢，已经有一些机构部分或全靠拢，已经有一些机构部分或
10、全部执行了部执行了IPSECIPSEC。2.IPSEC2.IPSEC工作原理工作原理IPSECIPSEC提供三种不同的形式来保护通过公有或私有提供三种不同的形式来保护通过公有或私有IPIP网网络来传送的私有数据：络来传送的私有数据：(1)(1)认证认证可以确定所接受的数据与所发送的数据是可以确定所接受的数据与所发送的数据是一致的，同时可以确定申请发送者在实际上是真实发一致的，同时可以确定申请发送者在实际上是真实发送者，而不是伪装的。送者，而不是伪装的。(2)(2)数据完整数据完整保证数据从原发地到目的地的传送过保证数据从原发地到目的地的传送过程中没有任何不可检测的数据丢失与改变。程中没有任何不
11、可检测的数据丢失与改变。(3)(3)机密性机密性使相应的接受者能获取发送的真正内容，使相应的接受者能获取发送的真正内容，而无意获取数据的接受者无法获知数据的真正内容。而无意获取数据的接受者无法获知数据的真正内容。3.IPSEC3.IPSEC的实现方式的实现方式 IPSECIPSEC的一个最基本的优点是它可以在共享网络访的一个最基本的优点是它可以在共享网络访问设备，甚至是在所有的主机和服务器上完全实现，这问设备，甚至是在所有的主机和服务器上完全实现，这很大程度避免了升级任何网络相关资源的需要。在客户很大程度避免了升级任何网络相关资源的需要。在客户端，端，IPSECIPSEC架构允许使用在远程访问
12、介入路由器或基于架构允许使用在远程访问介入路由器或基于纯软件方式使用普通纯软件方式使用普通MODEMMODEM的的PCPC机和工作站，通过两种机和工作站，通过两种模式在应用上提供更多的弹性。模式在应用上提供更多的弹性。(1)(1)传送模式通常当传送模式通常当ESPESP在一台主机在一台主机(客户机或服务器客户机或服务器)上上实现时使用。传送模式使用原始明文实现时使用。传送模式使用原始明文IPIP头，并且只加密头，并且只加密数据，包括它的数据，包括它的TCPTCP和和UDPUDP头。头。(2)(2)隧道模式通常当隧道模式通常当ESPESP在关联到多台主机的网络访问介在关联到多台主机的网络访问介入
13、装置实现时使用。隧道模式处理整个入装置实现时使用。隧道模式处理整个IPIP数据包，包括数据包，包括全部全部ICP/IPICP/IP或或UDP/IPUDP/IP头和数据，它用自己的地址作为源头和数据，它用自己的地址作为源地址加入到新的地址加入到新的IPIP头头4.IPSEC4.IPSEC及及VPNVPN 由于企业及政府用户需要把它们的专用由于企业及政府用户需要把它们的专用WAN/LANWAN/LAN架构与互联网连接，以便访问互联网的服务，所以它架构与互联网连接，以便访问互联网的服务，所以它们非常热衷于部署安全的们非常热衷于部署安全的IPIP。用户需要把他们的网络。用户需要把他们的网络与互联网分隔
14、，但同时要在望上发送及接收网络包。与互联网分隔，但同时要在望上发送及接收网络包。安全的安全的IPIP就可以提供网上的认证及隐私机制。就可以提供网上的认证及隐私机制。所谓所谓VPNVPN是指物理上分布在不同地点的网络通过是指物理上分布在不同地点的网络通过公用骨干网连接而成逻辑上的虚拟子网，这里的公用公用骨干网连接而成逻辑上的虚拟子网，这里的公用网主要指网主要指INTERNETINTERNET。5.35.3传输层的安全性传输层的安全性5.3.1 5.3.1 传输层的安全传输层的安全性介绍性介绍 5.3.2 SSL5.3.2 SSL协议协议 5.3.15.3.1传输层的安全性性介绍传输层的安全性性介
15、绍 在在INTERNETINTERNET应用编程序中应用编程序中,通常使用关仪的进程间通信通常使用关仪的进程间通信(IPC)(IPC)机制来与不同层次的安全协议达交道机制来与不同层次的安全协议达交道.INTERNETINTERNET中提供安全服务的首先一个想法便是强化它的中提供安全服务的首先一个想法便是强化它的IPCIPC界面。界面。NETSCAPENETSCAPE通信公司遵循了这个思路，制定了通信公司遵循了这个思路，制定了建立在可靠的传输服务基础上的安全套接层协议建立在可靠的传输服务基础上的安全套接层协议(SSL)(SSL)。SSLSSL版本版本3 3于于19951995年年1212月制定，
16、它主要包含以下两个协议：月制定，它主要包含以下两个协议：(1)SSL(1)SSL记录协议涉及应用程序提供的信息的分段、压缩、记录协议涉及应用程序提供的信息的分段、压缩、数据认证和加密。数据认证和加密。(2)SSL(2)SSL握手协议用来交换版本号、加密算法、身份认证握手协议用来交换版本号、加密算法、身份认证并交换密钥。并交换密钥。5.3.2 SSL5.3.2 SSL协议协议1.1.概述概述 INTERNETINTERNET上的安全套接层上的安全套接层SSLSSL协议是协议是19941994年年年年底由底由NETSCAPENETSCAPE首先引入的，目前已有首先引入的，目前已有2.02.0和和3
17、.03.0版本。版本。其主要目的就是要解决其主要目的就是要解决WEBWEB上信息传输的安全顾虑。上信息传输的安全顾虑。SSLSSL协议位于协议位于TCP/IPTCP/IP协议与各种应用层协议之间，为数协议与各种应用层协议之间，为数据通讯提供安全支持据通讯提供安全支持应用层协议应用层协议(HTTP(HTTP、TELNETTELNET、NNTPNNTP、FTPFTP、SMTPSMTP等等)SSL握手协议握手协议(HANDSHAKE PROTOCOL)SSLSSL记录协议记录协议(RECORD PROTOCOL)(RECORD PROTOCOL)TCPTCP协议协议IPIP协议协议图5.7 SSL协
18、议在Internet各层中的位置SSLSSL协议提供的服务可以归纳为如下三个方面：协议提供的服务可以归纳为如下三个方面：(1)(1)用户和服务器的合法性认证。用户和服务器的合法性认证。(2)(2)加密数据以隐藏被传送的数据。加密数据以隐藏被传送的数据。(3)(3)维护数据的完整性。维护数据的完整性。2.SSL2.SSL记录协议记录协议SSLSSL协议包括两个子协议：协议包括两个子协议：SSLSSL记录协议和记录协议和SSLSSL握手协握手协议议SSLSSL记录协议包括了记录头和记录数据格式的规定记录协议包括了记录头和记录数据格式的规定(1)SSL(1)SSL记录头格式。记录头格式。SSLSSL
19、的记录头可以是的记录头可以是2 2个或个或3 3个字节个字节长的编码。长的编码。SSLSSL记录头包含的信息包括：记录头的长度、记录头包含的信息包括：记录头的长度、记录数据的长度、记录数据中是否有粘贴数据。记录数据的长度、记录数据中是否有粘贴数据。(2)SSL(2)SSL记录数据的格式。记录数据的格式。SSLSSL记录的数据由三部分组成：记录的数据由三部分组成：MACMAC数据、实际数据和填充数据。数据、实际数据和填充数据。3.SSL3.SSL握手协议握手协议SSLSSL握手协议利用握手协议利用SSLSSL记录协议，在支持记录协议，在支持SSLSSL的客户端和的客户端和服务器之间建立安全传输通
20、道之后提供一系列消息，服务器之间建立安全传输通道之后提供一系列消息，用来实现用来实现(1)(1)在客户端验证服务器在客户端验证服务器(2)(2)允许客户端和服允许客户端和服务器选择双方都支持的加密算法、密钥算子务器选择双方都支持的加密算法、密钥算子(3)(3)在服务在服务器端验证客户器端验证客户(4)(4)用公钥加密算法产生用公钥加密算法产生“共享秘密共享秘密”(5)(5)建立加密建立加密SSLSSL连接连接4.SSL4.SSL协议采用的加密和认证算法协议采用的加密和认证算法(1)(1)加密算法和会话密钥。加密算法和会话密钥。(2)(2)认证算法。认证算法。1）服务器的认证服务器的认证2）客户
21、的认证客户的认证3）会话层的密钥分配协议会话层的密钥分配协议l SKEIPSKEIP（Simple Key Exchange for Internet Simple Key Exchange for Internet ProtocolProtocol）。）。l PhoturisPhoturis。l ISAKMPISAKMP（InternetInternet安全协会的密钥管理协议）。安全协会的密钥管理协议）。5.5.对协议安全性的分析对协议安全性的分析(1)(1)监听和中间人式攻击。监听和中间人式攻击。(2)(2)流量数据分析式攻击。流量数据分析式攻击。(3)(3)截取再拼接式攻击。截取再拼接式
22、攻击。(4)(4)报文重发式攻击。报文重发式攻击。(5)(5)密钥管理问题。密钥管理问题。5.4 5.4 应用层的安全性应用层的安全性5.4.1 5.4.1 应用层的安全性应用层的安全性5.4.2 5.4.2 安全超文本传输协议安全超文本传输协议(SHTTP)(SHTTP)5.4.15.4.1应用层的安全性应用层的安全性 一般来说，在应用层提供安全服务有几种可能的做法，一般来说，在应用层提供安全服务有几种可能的做法，第一个想到的做法大概就是对每个应用分别进行修改。第一个想到的做法大概就是对每个应用分别进行修改。在在RFC1421RFC1421至至14241424中，中，IETFIETF规定了以
23、私用强化邮件规定了以私用强化邮件(PEM)(PEM)来为基于来为基于SMTPSMTP的电子邮件系统提供安全服务。的电子邮件系统提供安全服务。PEMPKIPEMPKI是是按层次组织的，由下述三个层次构成按层次组织的，由下述三个层次构成(1)(1)顶层为顶层为INTERNETINTERNET安全政策登记机构安全政策登记机构(IPRA)(IPRA)(2)(2)次层为安全政策证书颁发机构次层为安全政策证书颁发机构(PCA)(PCA)(3)(3)底层为证书颁发机构底层为证书颁发机构(CA)(CA)5.4.2安全超文本传输协议(SHTTP)安全套接层安全套接层(SSL)(SSL)系统由网景公司提出，安全超
24、文系统由网景公司提出，安全超文本传输协议本传输协议(S(SHTTP)HTTP)是是COMMERCE NET COMMERCE NET 公司提出的，公司提出的，这是用因特网进行安全信息传输的两个协议。这是用因特网进行安全信息传输的两个协议。SSLSSL和和S SHTTPHTTP支持客户机和服务器对彼此在安全支持客户机和服务器对彼此在安全WWWWWW会话过程会话过程中的加密和解密活动的管理。中的加密和解密活动的管理。SSLSSL和和S SHTTPHTTP有不同的目标。有不同的目标。SSLSSL是支持两台计算是支持两台计算机间的安全连接，而机间的安全连接，而S SHTTPHTTP则是为安全地传输信息。则是为安全地传输信息。SSLSSL和和S SHTTPHTTP都是透明地自动完成发出信息的加密和收都是透明地自动完成发出信息的加密和收到信息的解密工作。到信息的解密工作。SSLSSL处于传输层，而处于传输层，而S SHTTPHTTP处于应处于应用层。用层。
