《计算机网络技术基础与实战》课件第八章.pptx

1、构建网络的铜墙铁壁08章节导读 随着互联网的发展，人们对网络的依赖随着互联网的发展，人们对网络的依赖程度越来越高，网络中的潜在威胁也日益突程度越来越高，网络中的潜在威胁也日益突出。尤其近几年，不法分子对系统的攻击手出。尤其近几年，不法分子对系统的攻击手段愈加多样化，某种特定程度的技术远不足段愈加多样化，某种特定程度的技术远不足以确保一个系统的安全。网络安全最基本的以确保一个系统的安全。网络安全最基本的要领是要有预备方案，即不是在遇到问题的要领是要有预备方案，即不是在遇到问题的时候才去处理，而是通过对可能发生的问题时候才去处理，而是通过对可能发生的问题进行预测，在可行的最大范围内为系统制定进行预

2、测，在可行的最大范围内为系统制定安保对策，进行日常运维，构建网络的铜墙安保对策，进行日常运维，构建网络的铜墙铁壁，才是保障网络正常运行的重中之重。铁壁，才是保障网络正常运行的重中之重。0504030201了解防火墙和入侵检测系统的基本原理学习目标了解对称密码体制和非对称密码体质的区别熟悉常见的身份认证技术及安全协议掌握最常见的网络攻击手段及防范措施熟悉Windows 7系统的基本安全配置、MD5加密解密工具的使用以及IE浏览器的安全配置任务8.1 了解网络攻击与防范5 8.1.1 网络安全研究的主要问题计算机网络安全是涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、

3、信息论等多种学科的综合学科，包括网络管理、数据安全等很多方面。网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的因素或恶意的攻击而遭到破坏、更改、泄露，系统能连续可靠地正常运行，网络服务不中断。网络安全包括物理安全、逻辑安全、操作系统安全和网络传输安全。6 8.1.1 网络安全研究的主要问题物理安全物理安全是指用来保护计算机硬件和存储介质的装置和工作程序。物理安全包括防盗、防火、防静电、防雷击和防电磁泄漏等内容。(1)防盗。(2)防火。(3)防静电。(4)防雷击。(5)防电磁泄漏。1 17 8.1.1 网络安全研究的主要问题逻辑安全计算机的逻辑安全主要用口令、文件许可、加密、

4、检查日志等方法来实现。防止黑客入侵主要依赖于计算机的逻辑安全。逻辑安全可以通过以下措施来加强：(1)限制登录的次数，对试探操作加上时间限制；(2)把重要的文档、程序和文件加密；(3)限制存取非本用户自己的文件，除非得到明确的授权；(4)跟踪可疑的、未授权的存取企图。2 28 8.1.1 网络安全研究的主要问题操作系统安全操作系统是计算机中最基本、最重要的软件，同一计算机可以安装几种不同的操作系统。如果计算机系统需要提供给许多人使用，操作系统必须能区分用户，防止他们相互干扰。一些安全性高、功能较强的操作系统可以为计算机的不同用户分配账户。不同账户有不同的权限。操作系统不允许一个用户修改由其他账户

5、产生的数据。操作系统分为网络操作系统和个人操作系统，其安全内容主要包括如下几方面：(1)系统本身的漏洞；(2)内部和外部用户的安全威胁；(3)通信协议本身的安全性；(4)病毒感染。3 39 8.1.1 网络安全研究的主要问题网络传输安全网络传输安全是指信息在传播过程中出现丢失、泄露、受到破坏等情况。其主要内容如下：(1)访问控制服务：用来保护计算机和联网资源不被非授权使用。(2)通信安全服务：用来认证数据的保密性和完整性，以及各通信的可信赖性。4 410 8.1.2 网络攻击的主要手段1网络攻击的概念计算机网络攻击是指网络攻击者利用网络通信协议自身存在的缺陷、用户使用的操作系统内在缺陷或用户使

6、用的程序语言本身所具有的安全隐患，通过使用网络命令或者专门的软件非法进入本地或远程用户主机系统，获得、修改、删除用户系统的信息以及在用户系统上插入有害信息，降低、破坏网络使用性能等一系列活动的总称。11 8.1.2 网络攻击的主要手段12 8.1.2 网络攻击的主要手段2常见的攻击方法 为了获取访问权限，或者修改、破坏数据等，攻击者会综合利用多种攻击方法达到其目的。常见的攻击方式主要有以下几种：1.获取口令3.WWW欺骗技术2.放置特洛伊木马程序4.电子邮件攻击5.通过一个节点来攻击其他节点6.SQL注入攻击7.数据库入侵攻击8.跨站攻击13 8.1.2 网络攻击的主要手段 获取口令有多种方式

7、，包括：通过网络监听非法得到用户口令；在知道用户的账号后获取口令有多种方式，包括：通过网络监听非法得到用户口令；在知道用户的账号后(如用户电子邮件口令如用户电子邮件口令前面的部分前面的部分)利用一些专门软件强行破解；在获得一个服务器上利用一些专门软件强行破解；在获得一个服务器上的用户口令文件的用户口令文件(此文件成为此文件成为Shadow文件文件)后，用暴力破解程序破解用户口令。后，用暴力破解程序破解用户口令。获取口令1 114 8.1.2 网络攻击的主要手段特洛伊木马程序可以直接侵入用户的电脑并进行破坏。它常被伪装成工具程序或者游戏等，诱使用户打开带有特洛伊木马程序的邮件附件或从网上直接下载

8、，一旦用户打开了这些邮件的附件或者执行了这些程序，它们就会像古特洛伊人在敌人城外留下的藏满士兵的木马一样留在自己的电脑中，并在计算机系统中隐藏一个可以在Windows启动时悄悄执行的程序。放置特洛伊木马程序2 215 8.1.2 网络攻击的主要手段WWW欺骗技术是指要访问的网页已经被黑客篡改过。例如，黑客将用户要浏览网页的URL改写为指向黑客自己的服务器，当用户浏览目标网页的时候，实际上是向黑客服务器发出请求，黑客就可以达到欺骗的目的了。电子邮件攻击主要表现为两种方式：一是电子邮件轰炸和电子邮件“滚雪球”，也就是通常所说的邮件炸弹，指的是用伪造的IP地址和电子邮件地址向同一信箱发送数以千计、万

9、计甚至无穷多次的内容相同的垃圾邮件，致使受害人邮箱被“炸”，严重者可能会给电子邮件服务器操作系统带来危险，甚至造成服务器瘫痪。二是电子邮件欺骗，这类欺骗只要用户提高警惕，一般危害性不是太大。电子邮件攻击4 4WWW欺骗技术3 316 8.1.2 网络攻击的主要手段通过一个节点来攻击其他节点是指黑客在突破一台主机后，往往以此主机作为根据地，攻击其他主机(以隐蔽其入侵路径，避免留下蛛丝马迹)。他们可以使用网络监听方法，尝试攻破同一网络内的其他主机；也可以通过IP欺骗和主机信任关系攻击其他主机。这类攻击很狡猾，但由于IP欺骗等技术很难掌握，因此较少被黑客使用。SQL注入攻击技术自2004年开始逐步发

10、展，并日益流行，已成为WEB入侵的常青技术。这主要是因为网页程序员在编写代码时，没有对用户输入数据的合法性进行判断，使得攻击者可以构造并提交一段恶意的数据，根据返回结果来获得数据库内存储的敏感信息。由于编写代码的程序员技术水平参差不齐，一个网站的代码量往往又大得惊人，使得注入漏洞往往层出不穷，也给攻击者带来了突破的机会。SQL常用的注入工具有pangolin、NBSI3.0等。SQL注入攻击6 6通过一个节点来攻击其他节点5 517 8.1.2 网络攻击的主要手段数据库入侵包括默认数据库下载、暴库下载以及数据库弱口令连接等攻击方式。默认数据库漏洞是指部分网站在使用开源代码程序时，未对数据库路径

11、以及文件名进行修改，导致攻击者可以直接下载到数据库文件进行攻击。暴库下载攻击是指由于IIS存在%5C编码转换漏洞，因此攻击者在提交特殊构造的地址时，网站将数据库真实物理路径作为错误信息返回到浏览器中。攻击者即可以此下载到关键数据库。数据库弱口令连接入侵是指攻击者将通过扫推得到的弱口令，利用数据库连接工具直接连接到目标主机的数据库上，并依靠数据库的存储过程扩展等方式，添加后门账号、执行特殊命令。跨站攻击是指攻击者利用网站程序对用户输入过滤不足，输入可以显示在页面上对其他用户造成影响的HTML代码，从而盗取用户资料、利用用户身份进行某种动作或者对访问者进行病毒侵害的一种攻击方式。跨站攻击的目标是为

12、了盗取客户端的cookie或者其他网站用于识别客户端身份的敏感信息。获取到用户信息后，攻击者甚至可以假冒最终用户与网站进行交互。图8-2为XSS攻击的过程。跨站攻击8 8数据库入侵攻击 7 718 8.1.3 网络安全的常见防范技术1.数据加密技术5.网络入侵检测技术3.防火墙技术2.信息确认技术4.网络安全扫描技术6.黑客诱骗技术19 8.1.3 网络安全的常见防范技术数据加密技术对网络中传输的信息进行加密是保障信息安全最基本、最核心的技术措施和理论基础。信息加密是现代密码学的核心内容，其过程由形形色色的加密算法来实现，它以很小的代价提供很大的安全保护。在多数情况下，信息加密是保证信息机密性

13、的唯一方法。1 120 8.1.3 网络安全的常见防范技术信息确认技术信息确认技术通过严格限定信息的共享范围来达到防止信息被非法伪造、篡改和假置的目的。一个安全的信息确认方案应该能：使合法的接收者验证他收到的消息是否真实；发信者无法抵赖自己发出的消息；除合法发信者外，别人无法伪造消息；发生争执时可由第三方仲裁。按照其具体目的，信息确认系统可分为消息确认、身份确认和数字签名。消息确认是指约定的接收者能够证实消息是由约定发信者送出的，且在通信过程中未被篡改过。身份确认是指用户的身份能够被正确判定，最简单但却最常用的身份确认方法有个人识别号、口令、个人特征(如指纹)等。数字签名与日常生活中的手写签名

14、效果一样，它不但能使消息接收者确认消息是否来自合法方，而且可以为仲裁者提供发信者对消息签名的证据。2 221 8.1.3 网络安全的常见防范技术防火墙技术尽管近年来各种网络安全技术不断涌现，但到目前为止防火墙仍是网络系统安全保护中最常用的技术。防火墙系统是一种网络安全部件，它可以是硬件，也可以是软件，也可以是硬件和软件的结合。这种安全部件处于被保护网络和其他网络的边界，接收进出被保护网络的数据流，并根据防火墙所配置的访问控制策略进行过滤或做出其他操作。防火墙系统不仅能够保护网络资源不受外部的入侵，而且还能够拦截从被保护网络向外传送有价值的信息。防火墙系统可以用于内部网络与Internet之间的

15、隔离，也可用于内部网络不同网段的隔离，后者通常称为Intranet防火墙。3 322 8.1.3 网络安全的常见防范技术网络安全扫描技术网络安全扫描技术是指为使系统管理员能够及时了解系统中存在的安全漏洞，并采取相应防范措施，从而降低系统安全风险而发展起来的一种安全技术。利用安全扫描技术，可以对局城网络、Web站点、主机操作系统、系统服务及防火墙系统的安全漏洞进行扫描，同时系统管理员可以了解在运行的网络系统中存在的不安全的网络服务，在操作系统上存在的可能导致遭受缓冲区溢出攻击或者拒绝服务攻击的安全漏洞，还可以检测主机系统中是否被安装了窃听程序，防火墙系统是否存在安全漏洞和配置错误。网络安全扫描技

16、术主要有网络远程安全扫描、防火墙系统扫描、Web网站扫描、系统安全扫描等几种方式。4 423 8.1.3 网络安全的常见防范技术网络入侵检测技术网络入侵检测技术也叫网络实时监控技术，它通过硬件或软件对网络上的数据流进行实时检查，并与系统中的入侵特征数据库进行比较，一旦发现有被攻击的迹象，立刻根据用户所定义的动作做出反应，如切断网络连接，或通知防火墙系统对访问控制策略进行调整，将入侵的数据包过滤掉等。5 5黑客诱骗技术黑客诱骗技术是近期发展起来的一种网络安全技术，通过由网络安全专家精心设置的特殊系统来引诱黑客，并对黑客进行跟踪和记录。6 6任务8.2 认识网络安全的构成要素25 8.2 认识网络

17、安全的构成要素TCP/IP相关的安全要素如图所示。下面，我们对这些要素进行简要介绍。26 8.2.1 防火墙防火墙的概念1 1防火墙(Firewall)是一种硬体设备或软件系统，主要部署在内部网络和外部网络间，可防止外界恶意程序对内部系统的破坏，或阻止内部重要信息向外流出，有双向监督的功能，如图所示。27 8.2.1 防火墙防火墙的功能2 21）保护脆弱的服务防火墙作为阻塞点、控制点，能极大地提高内部网络的安全性，并通过过滤不安全的服务从而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，因此网络环境变得更安全。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP

18、重定向中的重定向路径。28 防火墙可以提供对系统的访问控制，如允许从外部访问某些主机，同时禁止访问另外的主机。例如，防火墙允许外部访问特定的Mail Server和Web Server。8.2.1 防火墙2）控制对系统的访问3）策略执行防火墙提供了制定和执行网络安全策略的手段。未设置防火墙时，网络安全取决于每台主机的用户。29 使用防火墙可以阻止攻击者获取攻击网络系统的有用信息，记录和统计网络数据以及非法使用数据，如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并在日志中进行记录，同时也能提供网络使用情况的统计数据。8.2.1 防火墙防火墙对企业内部网实现集中的安全管理。防火墙定义的

19、安全规则可以运行于整个内部网络系统，而无须在内部网每台机器上分别设立安全策略；可以定义不同的认证方法，而不需要在每台机器上分别安装特定的认证软件；外部用户也只需要经过一次认证即可访问内部网。4）集中的安全管理5）对网络存取和访问进行监控审计30 除了安全作用，防火墙还支持具有Internet服务特性的企业内部网络技术体系VPN。VPN可将企事业单位分布在全世界各地的LAN或专用子网有机地连成一个整体，不仅省去了专用通信线路，而且为信息共享提供了技术保障。8.2.1 防火墙通过防火墙对内部网络的划分，可实现内部网络重点网段的隔离，从而限制局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私

20、是内部网络非常关心的问题。一个内部网络中不引人注意的细节可能包含有关安全的线索而引起外部攻击者的兴趣，甚至因此暴露内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节的服务。6）防止内部信息的外泄7）与VPN结合31 8.2.1 防火墙防火墙的分类3 3防火墙的实现从层次上大体可分为包过滤防火墙，代理防火墙和复合型防火墙三类，如图8-5所示。随着技术的发展，防火墙产品还在不断完善、发展，目前出现的新技术类型主要有状态监视技术、安全操作系统、自适应代理技术、实时侵入检测系统等。混合使用数据包过滤技术、代理服务技术和一些新技术是未来防火墙的趋势。32 8.2.1 防火墙防火墙的缺陷4 4由

21、于互联网的开放性，防火墙也有一些弱点，并不能完全保护网络不受攻击。防火墙的主要缺陷有：(1)防火墙对绕过它的攻击行为无能为力。(2)防火墙无法防范病毒，不能防止感染了病毒的软件或文件的传输。要防范病毒，只能安装反病毒软件。(3)防火墙需要有特殊的较为封闭的网络拓扑结构来支持。网络安全性的提高往往以牺牲网络服务的灵活性、多样性和开放性为代价。33 8.2.2 入侵检测系统入侵检测的概念1 1入侵检测(Intrusion Detection，ID)就是通过监测并分析计算机系统的某些信息检测入侵行为，并做出反应。入侵检测系统所检测的系统信息包括系统记录、网络流量、应用程序日志等。入侵是指未经授权的计

22、算机使用者以及不正当使用计算机的合法用户(内部威胁)，危害或试图危害资源的完整性、保密性、可用性的行为。入侵检测的研究开始于20世纪80年代，进入20世纪90年代成为研究与应用的热点，其间出现了许多研究原型与商业产品。在实际应用中，入侵检测比以上简单的定义要复杂得多，一般是通过各种入侵检测系统(Intrusion Detection System，IDS)来实现各种入侵检测的功能。34 8.2.2 入侵检测系统入侵检测系统的原理及应用2 2入侵检测系统主要执行如下任务：(1)监视、分析用户及系统活动。(2)对系统构造和弱点进行审计。(3)识别反应已知的进攻活动模式并向相关人士报警。(4)对异常

23、行为模式进行统计分析。(5)评估重要系统和数据文件的完整性。(6)对操作系统进行审计跟踪管理，并识别用户违反安全策略的行为。35 8.2.2 入侵检测系统入侵检测系统的分类3 31)根据数据来源不同分类根据数据来源不同，入侵检测系统可分为基于网络的入侵检测系统和基于主机的入侵检测系统。(1)网络型入侵检测系统。网络型入侵检测系统的实现方式是将某台主机的网卡设置成混杂模式，监听本网段内的所有数据包并进行判断或直接在路由设备上放置入侵检测模块。一般来说，网络型入侵检测系统担负着保护整个网络的任务。(2)主机型入侵检测系统。主机型入侵检测系统是以系统日志、应用程序日志等作为数据源。当然也可以通过其他

24、手段(如检测系统调用)从所有的主机上收集信息进行分析。36 8.2.2 入侵检测系统入侵检测系统的分类3 32)根据检测方法不同进行分类入侵检测系统根据检测的方法不同可分为异常检测和误用检测两种，如图8-6所示。37 8.2.2 入侵检测系统CIDF模型(Common Intrusion Detection Framework，公共入侵检测框架)是一个入侵检测系统(Instrusion Detection System，IDS)的通用模型，它将一个入侵检测系统分为以下组件：(1)事件产生器：从整个计算环境中获得事件，并向系统的其他部分提供此事件。(2)事件分析器：分析得到的数据，并产生分析结果

25、。(3)响应单元：对分析结果做出反应的功能单元。它可以做出切断连接、改变文件属性等强烈反应，也可以只是简单的报警。(4)事件数据库：存放各种中间和最终数据的位置的统称。它可以是复杂的数据库，也可以是简单的文本文件。入侵检测系统技术分析4 438 8.2.2 入侵检测系统入侵检测的基本流程5 5入侵检测的基本流程如图8-7所示，详细的过程为：网络报文捕获IP层协议解码TCP/UDP/ICMP协议解码TCP状态跟踪应用层协议解码攻击特征检测报警及动态响应。根据CIDF模型，各个环节的对应关系是：网络报文捕获、IP层协议解码、TCP/UDP/ICMP协议解码、TCP状态跟踪、应用层协议解码对应事件产

26、生器；攻击特征检测对应事件分析器、报警及动态响应对应响应单元、日志记录对应事件数据库。39 8.2.2 入侵检测系统40 8.2.2 入侵检测系统入侵检测系统的缺陷6 6入侵检测系统作为网络安全防护的重要手段，目前还存在很多问题，主要包括以下两点：1)高误报率高误报率的原因主要有：一是正常请求误认为是入侵行为；二是对IDS用户不关心事件的报警。导致IDS产品高误报率的原因是IDS检测精度过低和用户对误报概念的不确定。2)缺乏主动防御功能入侵检测技术作为一种被动且功能有限的安全防御技术，缺乏主动防御功能。因此，需要在新一代IDS产品中加入主动防御功能，才能变被动为主动。41 8.2.3 反病毒反

27、病毒技术特点1 1(1)不存在能够防治未来产生的所有病毒的反病毒软硬件。(2)不存在能够让未来的所有反病毒软硬件都无法检测的病毒软件。(3)目前的反病毒软件和硬件以及安全产品是易耗品，必须经常更新、升级。(4)病毒产生在前，反病毒手段滞后将是长期的过程。42 8.2.3 反病毒目前广泛应用的反病毒技术2 21)特征码扫描法 特征码扫描法是指分析出病毒的特征病毒码并集中存放于病毒代码库文件中，在扫描时将扫描对象与特征代码库比较，如有吻合，则判断为感染病毒。该技术简单有效，安全彻底。但查杀病毒滞后，并且庞大的特征码库会造成查毒速度下降。2)虚拟执行技术 该技术通过虚拟执行方法查杀病毒，可以对付加密

28、、变形、异型及病毒生产机生产的病毒，具有如下特点：(1)在查杀病毒时，机器虚拟内存会模拟出一个“指令执行虚拟机器”。(2)在虚拟机环境中虚拟执行(不会被实际执行)可疑带毒文件。(3)在执行过程中，从虚拟机环境内截获文件数据，如果含有可疑病毒代码，则杀毒后将其还原到原文件中，从而实现对各类可执行文件内病毒的查杀。43 8.2.3 反病毒目前广泛应用的反病毒技术3 33)文件实时监控技术 文件实时监控技术是指通过利用操作系统底层接口技术，对系统中所有类型的文件或指定类型的文件进行实时的行为监控，一旦有病毒传染或发作时就及时报警，从而实现对病毒的实时、永久、自动监控。这种技术能够有效控制病毒的传播途

29、径，但是实现难度较大，系统资源的占用率也会有所降低44 8.2.3 反病毒用户病毒防治使用方法4 4(1)学习电脑知识，增强安全意识。(2)经常对电脑内容进行备份。(3)开机时打开实时监控，定时对电脑文件进行扫描。(4)经常对操作系统打补丁，对反病毒软件进行升级。(5)一旦病毒破坏导致数据丢失，通过备份进行修复或者通过专业公司进行灾难恢复。任务8.3 密码学基础46 8.3.1 密码体制与算法据不完全统计，到目前为止，已经公开发表的各种加密算法多达数百种。如果按照收发双方密钥是否相同来分类，可以将这些加密算法分为对称密码体制和公钥密码体制，下面分别介绍这两种技术。2.公钥密码体制与算法1.对称

30、密码体制与算法47 8.3.1 密码体制与算法1)对称密码体制的含义对称密码体制的含义 对称密码体制是一种传统密码体制，也称为私钥密码体制。在对称加密系统中，加密对称密码体制是一种传统密码体制，也称为私钥密码体制。在对称加密系统中，加密和解密采用相同的密钥。因为加解密密钥相同，需要通信的双方必须选择和保存他们共同和解密采用相同的密钥。因为加解密密钥相同，需要通信的双方必须选择和保存他们共同的密钥，各方必须信任对方不会将密钥泄密出去，才可以实现数据的机密性和完整性。对的密钥，各方必须信任对方不会将密钥泄密出去，才可以实现数据的机密性和完整性。对称密码体制的加解密原理如图称密码体制的加解密原理如图

31、8-8所示。所示。对称密码体制的含义1 148 8.3.1 密码体制与算法49 8.3.1 密码体制与算法2)常见的对称密码算法常见的对称密码算法DES(Data Encryption Standard数据加密标准数据加密标准)算法及其变形算法及其变形Triple DES(三重三重DES、GDES(广义广义DES)、欧洲的、欧洲的IDEA和日本的和日本的FEALN、RC5等是目前常见的几种对称加密算法。等是目前常见的几种对称加密算法。DES标准由美标准由美国国家标准局提出，主要应用于银行业的电子资金转帐国国家标准局提出，主要应用于银行业的电子资金转帐(Electronic Funels Tra

32、nsfer，EFT)领域，领域，其密钥长度为其密钥长度为56 b；Triple DES使用两个独立的使用两个独立的56 b密钥对所要交换的信息进行密钥对所要交换的信息进行3次加密，从次加密，从而使其有效长度达到而使其有效长度达到112 b；RC2和和RC4方法是方法是RSA数据安全公司的对称加密专利算法，它们数据安全公司的对称加密专利算法，它们采用可变的密钥长度，通过规定不同的密钥长度，提高或降低安全的程度。采用可变的密钥长度，通过规定不同的密钥长度，提高或降低安全的程度。对称密码体制的含义1 150 8.3.1 密码体制与算法3)对称密码算法的优缺点对称密码算法的优缺点对称密码算法的优点是系

33、统开销小，算法简单，加密速度快，适合加密大量数据，是目前对称密码算法的优点是系统开销小，算法简单，加密速度快，适合加密大量数据，是目前用于信息加密的主要算法。尽管对称密码术有一些很好的特性，但它也存在着明显的缺陷，用于信息加密的主要算法。尽管对称密码术有一些很好的特性，但它也存在着明显的缺陷，例如进行安全通信前需要以安全方式进行密钥交换。这一步骤在某种情况下是可行的，但例如进行安全通信前需要以安全方式进行密钥交换。这一步骤在某种情况下是可行的，但在某些情况下会非常困难，甚至无法实现在某些情况下会非常困难，甚至无法实现。对称密码体制的含义1 151 8.3.1 密码体制与算法1)公钥密码体制含义

34、公钥密码体制含义公钥密码体制的发现是密码学发展史上的一次革命。从古老的手工密码到机电式密码直至公钥密码体制的发现是密码学发展史上的一次革命。从古老的手工密码到机电式密码直至运用计算机的现代对称密码，对称密码系统虽然越来越复杂，但都建立在基本的替代和置运用计算机的现代对称密码，对称密码系统虽然越来越复杂，但都建立在基本的替代和置换工具的基础上，而公钥密码体制的编码系统基于数学中的单向陷门函数。更重要的是，换工具的基础上，而公钥密码体制的编码系统基于数学中的单向陷门函数。更重要的是，公钥密码体制采用了两个不同的密钥，这对在公开的网络上进行保密通信、密钥分配、数公钥密码体制采用了两个不同的密钥，这对

35、在公开的网络上进行保密通信、密钥分配、数字签名和认证有着深远的影响。公钥密码体制的加解密原理如图字签名和认证有着深远的影响。公钥密码体制的加解密原理如图8-9所示。所示。公钥密码体制与算法2 252 8.3.1 密码体制与算法53 8.3.1 密码体制与算法2)常见的公钥加密算法常见的公钥加密算法 RSA、ElGamal、背包算法、背包算法、Rabin(Rabin加密法是加密法是RSA方法的特例方法的特例)、Diffie-Hellman(D-H)密钥交换协议中的公钥加密算法、密钥交换协议中的公钥加密算法、Elliptic Curve Cryptography(ECC，椭圆曲线加密算法，椭圆曲线

36、加密算法)是目是目前常见的几种公钥加密算法前常见的几种公钥加密算法。公钥密码体制与算法2 254 8.3.1 密码体制与算法3)公钥加密算法的优缺点公钥加密算法的优缺点 公公钥加密算法因为加解密密钥不同，即使加密密钥泄露也不会影响数据的安全性，因钥加密算法因为加解密密钥不同，即使加密密钥泄露也不会影响数据的安全性，因此公钥加密算法提供了更高的安全性。它的缺点主要是产生密钥很麻烦，运算代价高，加此公钥加密算法提供了更高的安全性。它的缺点主要是产生密钥很麻烦，运算代价高，加解密速度较慢。解密速度较慢。公钥密码体制与算法2 255 8.3.2 身份认证技术 静态静态密码是最简单也是最常用的身份认证方

37、法，它是基于密码是最简单也是最常用的身份认证方法，它是基于“你知道什么你知道什么”的验证手段。的验证手段。用户的密码由用户自己设定，只有他自己才知道，因此只要能够正确输入密码，计算机就用户的密码由用户自己设定，只有他自己才知道，因此只要能够正确输入密码，计算机就认为他就是这个用户认为他就是这个用户。因此。因此，静态密码是一种极不安全的身份认证方式，可以说基本上没，静态密码是一种极不安全的身份认证方式，可以说基本上没有任何安全性可言。有任何安全性可言。静态密码1 1 动态动态口令技术是一种让用户的密码按照时间或使用次数不断动态变化，每个密码只使用一次的口令技术是一种让用户的密码按照时间或使用次数

38、不断动态变化，每个密码只使用一次的技术，它是基于技术，它是基于“你有什么你有什么”的验证手段，采用一种称之为动态令牌的专用硬件，内置电源、密码的验证手段，采用一种称之为动态令牌的专用硬件，内置电源、密码生成芯片和显示屏生成芯片和显示屏。动态口令2 256 8.3.2 身份认证技术短信密码以手机短信形式请求包含短信密码以手机短信形式请求包含6位随机数的动态密码。身份认证系统以短信形式发送随位随机数的动态密码。身份认证系统以短信形式发送随机的机的6位密码到客户的手机上，客户在登录或者交易认证时候输入此动态密码，从而确保系位密码到客户的手机上，客户在登录或者交易认证时候输入此动态密码，从而确保系统身

39、份认证的安全性。它利用统身份认证的安全性。它利用“你有什么你有什么”方法，具有以下优点：方法，具有以下优点：(1)安全性。安全性。(2)普及性。普及性。(3)易收费。易收费。(4)易维护。易维护。短信密码3 357 8.3.2 身份认证技术 USB Key是一种使用是一种使用USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用的密钥或数字证书，利用USB Key内置的密码学算法实现对用户身份的认证。基于内置的密码学算法实现对用户身份的认证。基于USB Key的身份认证系统主要有两种应用模式：一是基于冲击的身份认

40、证系统主要有两种应用模式：一是基于冲击/响应的认证方式，二是基于响应的认证方式，二是基于PKI体系体系的认证方式的认证方式。USB Key 认证4 458 8.3.2 身份认证技术 生物识别技术是指采用每个人独一无二的生物特征来验证用户身份的技术，常见的有生物识别技术是指采用每个人独一无二的生物特征来验证用户身份的技术，常见的有指纹识别、虹膜识别等指纹识别、虹膜识别等。生物识别技术5 5 声纹是借助声谱仪绘出的声音图像。研究表明，年龄、语言习惯、发音器官等的差异声纹是借助声谱仪绘出的声音图像。研究表明，年龄、语言习惯、发音器官等的差异会导致声纹各不相同，且声纹从十几岁到五十几岁基本不变。这是构

41、成声纹识别的基础，会导致声纹各不相同，且声纹从十几岁到五十几岁基本不变。这是构成声纹识别的基础，即以声纹唯一性作为识别身份的手段即以声纹唯一性作为识别身份的手段。声纹识别技术6 659 8.3.3 安全协议 安全协议就是具有安全性的通信协议，所以又称为安全通信协议。换句话说，安全协安全协议就是具有安全性的通信协议，所以又称为安全通信协议。换句话说，安全协议是完成信息安全交换所共同约定的逻辑操作规则。安全协议的目的是通过正确地使用密议是完成信息安全交换所共同约定的逻辑操作规则。安全协议的目的是通过正确地使用密码技术和访问控制技术来解决网络通信的安全问题。由于安全协议通常要运用到密码技术，码技术和

42、访问控制技术来解决网络通信的安全问题。由于安全协议通常要运用到密码技术，所以又称密码协议。安全协议中有关身份验证的部分，也被称为认证协议。所以又称密码协议。安全协议中有关身份验证的部分，也被称为认证协议。安全协议概述1 160 8.3.3 安全协议根据安全协议的概念，安全协议除了具有协议和通信协议的基本特点外，还应包含以下基本要素：根据安全协议的概念，安全协议除了具有协议和通信协议的基本特点外，还应包含以下基本要素：(1)保证信息交换的安全保证信息交换的安全。(2)使用密码技术使用密码技术。(3)具有严密的共同约定的逻辑交换具有严密的共同约定的逻辑交换规则。规则。(4)使用访问控制等安全机制使

43、用访问控制等安全机制。安全协议的基本要素2 261 8.3.3 安全协议 关于安全协议的分类，尤其是严格的分类是一件很难的事情，从不同的角度出发，就会关于安全协议的分类，尤其是严格的分类是一件很难的事情，从不同的角度出发，就会有不同的分类方法。根据安全协议的功能分类无疑比较合理，也容易被人们接受。根据不同有不同的分类方法。根据安全协议的功能分类无疑比较合理，也容易被人们接受。根据不同的验证功能，协议分类如表的验证功能，协议分类如表8-1所示。所示。安全协议的分类3 362 8.3.3 安全协议安全协议的分类3 3协议类型协议类型主主 要要 功功 能能认证协议认证协议实现认证功能，包括消息认证、

44、数据源认证和实体认证密钥管理协议密钥管理协议实现建立共享密钥的功能。可以通过密钥分配来建立共享密钥，这也是目前密钥管理的主要方法；也可以通过密钥交换来共享密钥，如IKE。所以包括密钥分配、密钥交换等密钥管理协议不可否认协议不可否认协议通过协议的执行达到抗抵赖的目的，包括发方不可否认协议、收方不可否认协议、数字签名协议等信息安全交换协议信息安全交换协议实现信息的安全交换功能63 8.3.3 安全协议 目前，对安全协议进行分析的方法主要有两大类：一类是攻击检验方法，一类是形式化目前，对安全协议进行分析的方法主要有两大类：一类是攻击检验方法，一类是形式化的分析方法。所谓攻击检验方法就是搜集目前使用对

45、协议的有效攻击方法，逐一对安全协议的分析方法。所谓攻击检验方法就是搜集目前使用对协议的有效攻击方法，逐一对安全协议进行攻击，检验安全协议是否具有抵抗这些攻击的能力。在分析的过程中主要使用自然语言进行攻击，检验安全协议是否具有抵抗这些攻击的能力。在分析的过程中主要使用自然语言和示意图对安全协议所交换的消息进行剖析。这种分析方法往往是非常有效的，关键在于攻和示意图对安全协议所交换的消息进行剖析。这种分析方法往往是非常有效的，关键在于攻击方法的选择。形式化的分析方法是指采用各种形式化的语言或者模型为安全协议建立模型，击方法的选择。形式化的分析方法是指采用各种形式化的语言或者模型为安全协议建立模型，并

46、按照规定的假设和分析、验证方法证明协议的安全性。目前，形式化的分析方法是研究的并按照规定的假设和分析、验证方法证明协议的安全性。目前，形式化的分析方法是研究的热点，但是就其实用性来说，还没有什么突破性的进展。热点，但是就其实用性来说，还没有什么突破性的进展。安全协议的分类3 3任务8.4 任务挑战65 8.4.1 Windows 7系统的基本安全配置熟悉熟悉Windows 7系统的安全配置。系统的安全配置。任务目的1 1 一台装有一台装有Windows 7系统的虚拟机。系统的虚拟机。任务准备2 266 8.4.1 Windows 7系统的基本安全配置1)修改修改Windows 系统注册表的安全

47、配置系统注册表的安全配置用用“Regedit”命令启动注册表编辑器，配置命令启动注册表编辑器，配置Windows 系统注册表中的安全项，步骤如下：系统注册表中的安全项，步骤如下：(1)关闭关闭 Windows 远程注册表服务，通过任务远程注册表服务，通过任务栏的栏的“开始开始运行运行”，输入，输入“regedit”进入注进入注册表编辑器；找到注册表中的册表编辑器；找到注册表中的HKEY_LOCAL_ MACHINE SYSTEM CurrentControlSetServices下的下的“RemoteRegistry”项，右键点击项，右键点击“RemoteRegistry”项，选择项，选择“删

48、除删除”，如图，如图8-10所示。所示。任务步骤3 367 8.4.1 Windows 7系统的基本安全配置(2)修改注册表防范修改注册表防范IPC$攻击。查找注册表中的攻击。查找注册表中的“HKEY_LOCAL_MACHINE SYSTEMCurrentControlSetControlLSA”的的“RestrictAnonymous”项，单击右键，选择项，单击右键，选择“修修改改”；在弹出的；在弹出的“编辑编辑DWORD值值”数值数据框中填入数值数据框中填入“1”将将“RestrictAnonymous”项设置项设置为为“1”，然后单击，然后单击“确定确定”按钮，如图按钮，如图8-11所示

49、。所示。68 8.4.1 Windows 7系统的基本安全配置(3)修改注册表关闭默认共享。在注册表中找到修改注册表关闭默认共享。在注册表中找到“Parameters”，在空白处单击右键，选择新，在空白处单击右键，选择新建建DWORD值，在值，在“AutoShareServer”下的数值数据框中填入下的数值数据框中填入“0”，如图，如图8-12所示。所示。69 8.4.1 Windows 7系统的基本安全配置2)修改修改Windows系统的安全服务设置系统的安全服务设置点击点击“控制面板控制面板”“管理工具管理工具”“本地安全策略本地安全策略”“安全设置安全设置”“本地策略本地策略”“安全安全

50、选项选项”，找到，找到“网络访问不允许网络访问不允许SAM账户和共享的匿名枚举账户和共享的匿名枚举”，单击右键选择属性，点击，单击右键选择属性，点击“已已启用启用”和和“应用应用”，如图，如图8-13和图和图8-14所示。所示。70 8.4.1 Windows 7系统的基本安全配置71 8.4.1 Windows 7系统的基本安全配置如图如图8-15所示，在安全设置中，将所示，在安全设置中，将“交互式登录：不显示最后的登录名交互式登录：不显示最后的登录名”配置为已启用后，再配置为已启用后，再次登录系统时，不会显示上次的登录名。次登录系统时，不会显示上次的登录名。72 8.4.1 Windows