1、计算机网络安全与管理技术计算机网络安全与管理技术S10计算机网络技术计算机网络技术班班李俊杰李俊杰2003年5月 第2页 计算机网络安全计算机网络安全l网络安全概述网络安全概述 网络安全问题网络安全问题 网络安全措施网络安全措施l 数据加密技术数据加密技术 Internet Internet 的安全的安全 对称加密算法对称加密算法 公共密钥算法公共密钥算法l 防火墙技术防火墙技术 防火墙的概念防火墙的概念 防火墙的类型防火墙的类型本章讨论的主要内容：本章讨论的主要内容：2003年5月 第3页1.1 1.1 网络安全问题网络安全问题计算机安全计算机安全l计算机系统的硬件、软件和数据库受到保护，不
2、因偶计算机系统的硬件、软件和数据库受到保护，不因偶然或者恶意的原因而遭到破坏、更改和显露，系统能然或者恶意的原因而遭到破坏、更改和显露，系统能连续正常运行连续正常运行3 3 种计算机安全种计算机安全l实体的安全实体的安全计算机软硬件本身的安全计算机软硬件本身的安全l运行环境的安全运行环境的安全保证计算机在良好的环境下工作保证计算机在良好的环境下工作l信息的安全信息的安全保障信息不会被非法阅读、修改和泄露保障信息不会被非法阅读、修改和泄露2003年5月 第4页1.1 1.1 网络安全问题网络安全问题网络安全面临的主要威胁网络安全面临的主要威胁l黑客攻击：黑客非法进入网络窃取资源，如黑客攻击：黑客
3、非法进入网络窃取资源，如用户的帐号和密码、网上传输的数据等用户的帐号和密码、网上传输的数据等l计算机病毒的侵袭：计算机病毒侵入网络，计算机病毒的侵袭：计算机病毒侵入网络，对网络资源进行破坏，使网络不能正常工作对网络资源进行破坏，使网络不能正常工作l拒绝服务攻击：如拒绝服务攻击：如“电子邮件炸弹电子邮件炸弹”，使用，使用户在短时间内收到大量无用的电子邮件，影户在短时间内收到大量无用的电子邮件，影响正常业务的运行，严重时会引起网络瘫痪响正常业务的运行，严重时会引起网络瘫痪2003年5月 第5页1.1 1.1 网络安全问题网络安全问题网络系统面临的安全威胁网络系统面临的安全威胁l身份窃取身份窃取l非
4、授权访问非授权访问l冒充合法用户冒充合法用户l数据窃取数据窃取l破坏数据的完整性破坏数据的完整性l拒绝服务拒绝服务l事后否认事后否认l数据流分析数据流分析l干扰系统正常运行干扰系统正常运行l病毒恶意攻击病毒恶意攻击2003年5月 第6页1.1 1.1 网络安全问题网络安全问题导致网络不安全的因素导致网络不安全的因素l环境：自然环境和社会环境对计算机网络的影响环境：自然环境和社会环境对计算机网络的影响l资源共享：相互的资源共享为异地用户提供了方便，资源共享：相互的资源共享为异地用户提供了方便，但同时也为非法用户窃取和破坏信息创造了条件但同时也为非法用户窃取和破坏信息创造了条件l数据通信：信息在通
5、信传输的过程中可能会遭到破坏数据通信：信息在通信传输的过程中可能会遭到破坏或者窃听或者窃听 l计算机病毒：计算机病毒侵入网络极易造成网络系统计算机病毒：计算机病毒侵入网络极易造成网络系统的瘫痪的瘫痪lTCP/IPTCP/IP协议的安全缺陷：该协议力求简单高效，而缺协议的安全缺陷：该协议力求简单高效，而缺少安全机制，如网上的流量没有加密，缺乏安全策略少安全机制，如网上的流量没有加密，缺乏安全策略等等2003年5月 第7页2003年5月 第8页1.1 1.1 网络安全问题网络安全问题安全技术措施安全技术措施l网络安全需要解决的安全问题网络安全需要解决的安全问题用户认证用户认证在网上不透明地发送用户
6、名和密码在网上不透明地发送用户名和密码确信服务在确信服务在InternetInternet和和IntranetIntranet上都有效，即避免在防上都有效，即避免在防火墙内外采取不同的安全措施火墙内外采取不同的安全措施在实时和存储转发情况下保护通信秘密在实时和存储转发情况下保护通信秘密确保信息在发送和接收间避免干扰确保信息在发送和接收间避免干扰保护秘密文件，只有授权用户才能访问保护秘密文件，只有授权用户才能访问2003年5月 第9页1.2 1.2 网络安全措施网络安全措施法律政策：安全的基石法律政策：安全的基石l政府和主流厂商扮演重要角色政府和主流厂商扮演重要角色技术措施：安全的保障技术措施：
7、安全的保障l防火墙技术、防病毒、信息加密、身份认证、防火墙技术、防病毒、信息加密、身份认证、授权等授权等管理和审计：安全的防线管理和审计：安全的防线l实时监控企业安全状态、提供实时改变安全实时监控企业安全状态、提供实时改变安全策略的恩能够里、对现有的安全漏洞实施检策略的恩能够里、对现有的安全漏洞实施检查，防患于未然查，防患于未然2003年5月 第10页1.2 1.2 网络安全措施网络安全措施安全策略安全策略l预防为主，对症下药预防为主，对症下药安全策略的一般原则安全策略的一般原则l需求、风险、代价平衡分析需求、风险、代价平衡分析l综合性、整体性原则综合性、整体性原则l一致性原则：网络安全与网络
8、生命周期同在一致性原则：网络安全与网络生命周期同在l易操作性易操作性l适应性、灵活性适应性、灵活性l可评价性可评价性2003年5月 第11页1.2 1.2 网络安全措施网络安全措施网络安全保障体系网络安全保障体系l加强计算机安全立法加强计算机安全立法刑法刑法(19910.1)(19910.1)对计算机犯罪作了明文规定对计算机犯罪作了明文规定中华人民共和国计算机信息网络国际联网管理暂行规中华人民共和国计算机信息网络国际联网管理暂行规定实施办法定实施办法计算机信息系统保密管理暂行规定计算机信息系统保密管理暂行规定计算机信息网络国际联网安全保护管理办法计算机信息网络国际联网安全保护管理办法l制定合理
9、的网络管理措施制定合理的网络管理措施加强网络使用人员的安全措施加强网络使用人员的安全措施建立完善建立完善 的安全管理体制和制度的安全管理体制和制度管理规范化、标准化、科学化管理规范化、标准化、科学化2003年5月 第12页1.2 1.2 网络安全措施网络安全措施局域网安全技术局域网安全技术l实体访问控制，防止非工作人员接近系统实体访问控制，防止非工作人员接近系统l保护网络介质，加强系统设备而后通信线路的定期检查和维保护网络介质，加强系统设备而后通信线路的定期检查和维修修l数据访问控制，只有授权用户才可访问系统资源数据访问控制，只有授权用户才可访问系统资源l数据存储保护，做好数据备份和安全保管数
10、据存储保护，做好数据备份和安全保管l计算机病毒防护，以预防为主计算机病毒防护，以预防为主2003年5月 第13页1.2 1.2 网络安全措施网络安全措施广域网安全技术广域网安全技术l数据通信加密数据通信加密采用采用DESDES、RSARSA算法等对通信数据加密算法等对通信数据加密l通信链路安全保护通信链路安全保护选择保密性较好的通信线路和设备，如光纤，重要信息不采用选择保密性较好的通信线路和设备，如光纤，重要信息不采用无线电传输无线电传输l采用局域网络安全的各项措施采用局域网络安全的各项措施2003年5月 第14页2 2 数据加密技术数据加密技术l2.1 2.1 Internet Intern
11、et 的安全的安全由于由于Internet Internet 是一种真正意义的全球网，所以假如没有是一种真正意义的全球网，所以假如没有加密技术的帮助，所有的通信都会毫无加密技术的帮助，所有的通信都会毫无“秘密秘密”可言可言对一家打算从事电子商务的公司而言对一家打算从事电子商务的公司而言亦即通过亦即通过InternetInternet销售产品和提供服务，通信的安全是一个最基本的前提销售产品和提供服务，通信的安全是一个最基本的前提在在InternetInternet网上，每个人都需要、而且有权利保护自己的网上，每个人都需要、而且有权利保护自己的个人隐私。某人上网之后，对隐私的这种要求并未消失个人隐
12、私。某人上网之后，对隐私的这种要求并未消失隐私也不仅仅是信任谁和不信任谁的问题，它也包括匿名隐私也不仅仅是信任谁和不信任谁的问题，它也包括匿名的权利。人们在赛伯空间里畅游的时候，一个经常被忽略的权利。人们在赛伯空间里畅游的时候，一个经常被忽略的问题是个人保持匿名的权利的问题是个人保持匿名的权利加密技术可有效地解决这些问题加密技术可有效地解决这些问题2003年5月 第15页2 2数据加密技术数据加密技术l2.2 2.2 对称加密算法对称加密算法对称加密算法要么以对称加密算法要么以“块块”的方式，要么以的方式，要么以“流流”的方式对输入进行处理的方式对输入进行处理l“块加密算法块加密算法”的例子包
13、括的例子包括DES DES、CAST CAST 和和BlowfishBlowfish等等等，它每次对一个数据块进行处理。至于块的大小，等，它每次对一个数据块进行处理。至于块的大小，则取决于算法本身则取决于算法本身(上例三种算法均采用上例三种算法均采用6 4 6 4 位的块长位的块长度度)。对一个块的处理叫作加密算法的。对一个块的处理叫作加密算法的“处理单位处理单位”l“流加密算法流加密算法”每次处理的是数据的一个位每次处理的是数据的一个位(或者一个或者一个字节字节)。用一个键值适当地进行种子化处理，便能生成。用一个键值适当地进行种子化处理，便能生成一个位流一个位流(“(“位位”指二进制的指二进
14、制的“位位”)”)，可用它对输入，可用它对输入数据进行数据进行XOR XOR 运算运算无论块加密还是流加密，它们都特别适用于批量无论块加密还是流加密，它们都特别适用于批量加密加密2003年5月 第16页2 2数据加密技术数据加密技术l2.2 2.2 对称加密算法对称加密算法DESDES数据加密标准数据加密标准lDES DES 算法由算法由IBM IBM 发明，并于发明，并于1976 1976 年成为美国政府标准年成为美国政府标准lDESDES是一种数据分块的加密算法，数据长度为是一种数据分块的加密算法，数据长度为6464位，其位，其中中8 8位作为基偶校验位，有效密码长度为位作为基偶校验位，有
15、效密码长度为5656位位l首先将明文数据进行初始置换，得到首先将明文数据进行初始置换，得到6464位的混乱明文位的混乱明文组，再将其分为组，再将其分为2 2段，每段段，每段3232位位l然后进行乘积变换，在密匙的控制下，做然后进行乘积变换，在密匙的控制下，做1616次迭代次迭代l最后进行逆初始变换而得到密文最后进行逆初始变换而得到密文2003年5月 第17页2 2数据加密技术数据加密技术l2.2 2.2 对称加密算法对称加密算法IDEAIDEA国际数据加密算法国际数据加密算法lIDEAIDEA是行之有效的加密算法中最好、最安全的一种。是行之有效的加密算法中最好、最安全的一种。由瑞士联邦科学技术
16、学院由瑞士联邦科学技术学院(SFT)SFT)的的XuejiaXuejia Lai Lai 和和James Massey James Massey 提出提出lIDEAIDEA使用使用3 3 个个64 64 位的块，以进一步防范加密分析过程。位的块，以进一步防范加密分析过程。IDEAIDEA使用了密码反馈操作，使得算法强度更高使用了密码反馈操作，使得算法强度更高lIDEAIDEA的密钥长度为的密钥长度为128 128 位。当试图破译位。当试图破译IDEAIDEA时，它和时，它和DESDES一样没有泄露任何明文组成的信息一样没有泄露任何明文组成的信息lIDEAIDEA存在最低要求。为得到强有力的密文
17、，它在一个存在最低要求。为得到强有力的密文，它在一个编码块中需要编码块中需要64 64 位的信息文本位的信息文本IDEAIDEA是为有大量数据传输的是为有大量数据传输的FTP FTP 设计的设计的2003年5月 第18页2 2数据加密技术数据加密技术l2.2 2.2 对称加密算法对称加密算法优点：保密性高，难以破解优点：保密性高，难以破解不足不足l对称加密算法要求使用一个共享的密钥，密匙在传递对称加密算法要求使用一个共享的密钥，密匙在传递过程中容易泄露。由于一次不安全的密钥交换，加密过程中容易泄露。由于一次不安全的密钥交换，加密及身份验证技术的保密性有可能完全丧失及身份验证技术的保密性有可能完
18、全丧失l密匙量大，难以进行管理密匙量大，难以进行管理l无法满足网上陌生人进行私人谈话的保密性要求无法满足网上陌生人进行私人谈话的保密性要求l难以解决数字签名验证的问题难以解决数字签名验证的问题l主要问题：密匙在传递过程中容易泄露主要问题：密匙在传递过程中容易泄露2003年5月 第19页2 2数据加密技术数据加密技术l2.3 2.3 公共密钥算法公共密钥算法RSARSA算法算法l19781978年出现的年出现的RSARSA算法，其名字来源于它的发明者：算法，其名字来源于它的发明者：Ron Ron RivestRivest ，AdiAdi Shamir Shamir 以及以及Leonard Leo
19、nard AdlemanAdlemanlRSARSA的安全依赖于大数分解的安全依赖于大数分解假如已知两个非常大的质数的乘积，那么很难解析出到假如已知两个非常大的质数的乘积，那么很难解析出到底是哪两个质数相乘的结果底是哪两个质数相乘的结果(因数分解因数分解)RSA RSA 的重要特点是其中一个密钥可用来加密数据，另一的重要特点是其中一个密钥可用来加密数据，另一个密钥可用来解密个密钥可用来解密l这意味着任何人都能用你的公共密钥对一条消息进这意味着任何人都能用你的公共密钥对一条消息进行加密，而只有你才能对它进行解密。另外，你也行加密，而只有你才能对它进行解密。另外，你也可用自己的私人密钥对任何东西进
20、行加密，而拿到可用自己的私人密钥对任何东西进行加密，而拿到你的公共密钥的任何人都能对其解密。这个概念在你的公共密钥的任何人都能对其解密。这个概念在“非拒认非拒认”及数字签名中是非常重要的及数字签名中是非常重要的2003年5月 第20页2 2数据加密技术数据加密技术l2.3 2.3 公共密钥算法公共密钥算法RSARSA算法算法lRSARSA的一个缺点是速度非常慢，而且能处理的数据最多的一个缺点是速度非常慢，而且能处理的数据最多只能有它的密钥的模数大小只能有它的密钥的模数大小例如，一个例如，一个1024 1024 位的位的RSARSA公共密钥只能对少于或等于那公共密钥只能对少于或等于那个长度的数据
21、进行加密个长度的数据进行加密(实际最多只能有实际最多只能有1013 1013 位，因为位，因为用用RSARSA定义如何加密时，还要进行编码，这又要用去定义如何加密时，还要进行编码，这又要用去11 11 位的长度位的长度)l但但RSA RSA 的速度使其不适合进行大批量的数据加密的速度使其不适合进行大批量的数据加密l然而，然而，RSARSA也并非一无是处。相反，对于象密钥交换也并非一无是处。相反，对于象密钥交换和数字签名这样的重要技术来说，它已成为一种事实和数字签名这样的重要技术来说，它已成为一种事实上的标准上的标准2003年5月 第21页2 2数据加密技术数据加密技术l2.3 2.3 公共密钥
22、算法公共密钥算法身份验证身份验证l公共密钥加密可用来进行身份验证，只需构建一个所谓的公共密钥加密可用来进行身份验证，只需构建一个所谓的“数字签名数字签名”即可即可l数字签名的特点数字签名的特点1.1.难以伪造：只有私人密钥的持有人才能生成签名难以伪造：只有私人密钥的持有人才能生成签名2.2.无法抵赖：由于极难伪造，所以对于一份经过签名的文档来无法抵赖：由于极难伪造，所以对于一份经过签名的文档来说，签署人很难抵赖这不是自己的说，签署人很难抵赖这不是自己的“手迹手迹”3.3.不可更改：一经签名，文档便不能修改不可更改：一经签名，文档便不能修改4.4.不能转移：签名不能移走，并加入另一个不相干的文档
23、不能转移：签名不能移走，并加入另一个不相干的文档2003年5月 第22页3 3 防火墙技术防火墙技术l3.1 3.1 防火墙概念防火墙概念防火墙是由计算机硬件和软件组成的一个或一组系统，防火墙是由计算机硬件和软件组成的一个或一组系统，用于增强内部网络和用于增强内部网络和InternetInternet之间的访问控制之间的访问控制防火墙的设计目的防火墙的设计目的l保护易受攻击的服务，只有预先被允许的服务才能通过防保护易受攻击的服务，只有预先被允许的服务才能通过防火墙火墙l控制对特殊站点的访问控制对特殊站点的访问l集中化的安全管理集中化的安全管理l对网络存取访问进行记录和统计对网络存取访问进行记录
24、和统计2003年5月 第23页3 3 防火墙技术防火墙技术l3.1 3.1 防火墙概念防火墙概念防火墙网关图7-1 防火墙的基本功能过滤器过滤器内部局域网Internet2003年5月 第24页3 3 防火墙技术防火墙技术l3.1 3.1 防火墙概念防火墙概念防火墙安全控制基本准则防火墙安全控制基本准则l一切未被允许的都是禁止的一切未被允许的都是禁止的先封锁所有信息流，然后对希望提供的服务逐项开放先封锁所有信息流，然后对希望提供的服务逐项开放l一切未被禁止的都是允许的一切未被禁止的都是允许的转发所有的信息流，然后逐项屏蔽有害的服务转发所有的信息流，然后逐项屏蔽有害的服务l第一种准则有利于安全性
25、，第二种准则有利于灵活性和使第一种准则有利于安全性，第二种准则有利于灵活性和使用方便用方便2003年5月 第25页3 3 防火墙技术防火墙技术l3.2 3.2 防火墙的类型防火墙的类型网络级防火墙网络级防火墙l网络级防火墙一般根据源、目的地址做出决策网络级防火墙一般根据源、目的地址做出决策l一台简单的路由器是一台简单的路由器是“传统的传统的”网络级防火墙，因网络级防火墙，因为它不能做出复杂的决策，不能判断出一个包的实为它不能做出复杂的决策，不能判断出一个包的实际含意或包的实际出处际含意或包的实际出处l现代网络级防火墙已变得越来越复杂，可以保持流现代网络级防火墙已变得越来越复杂，可以保持流经它的
26、接入状态、一些数据流的内容等等有关信息经它的接入状态、一些数据流的内容等等有关信息l许多网络级防火墙之间的一个重要差别是防火墙可许多网络级防火墙之间的一个重要差别是防火墙可以使传输流直接通过，因此要使用这样的防火墙通以使传输流直接通过，因此要使用这样的防火墙通常需要分配有效的常需要分配有效的IPIP地址块地址块l网络级防火墙一般速度都很快，对用户很透明网络级防火墙一般速度都很快，对用户很透明2003年5月 第26页3 3 防火墙技术防火墙技术l3.2 3.2 防火墙的类型防火墙的类型网络级防火墙网络级防火墙图7-2 路由器级包过滤2003年5月 第27页3 3 防火墙技术防火墙技术l3.2 3
27、.2 防火墙的类型防火墙的类型应用级防火墙应用级防火墙l应用级防火墙一般是运行代理服务器的主机，它不应用级防火墙一般是运行代理服务器的主机，它不允许传输流在网络之间直接传输，并对通过它的传允许传输流在网络之间直接传输，并对通过它的传输流进行记录和审计输流进行记录和审计l应用级防火墙在确认连接后要求用户输入口令，以应用级防火墙在确认连接后要求用户输入口令，以进行严格的用户认证，然后再向用户提示所连接的进行严格的用户认证，然后再向用户提示所连接的主机信息主机信息l在某些情况下，设置了应用级防火墙后，可能会对在某些情况下，设置了应用级防火墙后，可能会对性能造成影响，会使防火墙不太透明性能造成影响，会
28、使防火墙不太透明l应用级防火墙一般会提供更详尽的审计报告，比网应用级防火墙一般会提供更详尽的审计报告，比网络级防火墙实施更保守的安全模型络级防火墙实施更保守的安全模型2003年5月 第28页3 3 防火墙技术防火墙技术l3.2 3.2 防火墙的类型防火墙的类型应用级防火墙应用级防火墙图7-4 代理服务器2003年5月 第29页小结小结l计算机网络的发展使得安全问题显得越来越重要计算机网络的发展使得安全问题显得越来越重要l计算机安全不仅要依靠技术手段，更需要依靠法计算机安全不仅要依靠技术手段，更需要依靠法律来保护律来保护l对称加密算法比公共密匙算法快，但后者比前者对称加密算法比公共密匙算法快，但后者比前者易传递，因而在安全协议中易传递，因而在安全协议中(例如例如SSL)SSL)，两种算两种算法均得到了应用法均得到了应用l防火墙可以被认为是这样一对机制：一种机制是防火墙可以被认为是这样一对机制：一种机制是拦阻传输流通行，另一种机制是允许传输流通过拦阻传输流通行，另一种机制是允许传输流通过l防火墙的最重要的概念就是它实现了一种访问控防火墙的最重要的概念就是它实现了一种访问控制策略制策略
