1、1网络安全与管理问题问题原由原由计算机网络的广泛应用计算机网络的广泛应用,促进了社会的进步和繁荣促进了社会的进步和繁荣,并为人类社会创造了巨大财富。但由于计算机及其并为人类社会创造了巨大财富。但由于计算机及其网络自身的脆弱性以及人为的攻击破坏网络自身的脆弱性以及人为的攻击破坏,也给社会也给社会带来了损失带来了损失。因此因此,网络安全已成为重要研究课题。网络安全已成为重要研究课题。本章重点讨论网络安全技术本章重点讨论网络安全技术措施措施:计算机密码技术计算机密码技术、防火墙技术防火墙技术、虚拟专用网技术虚拟专用网技术、网络病毒防治技术网络病毒防治技术,以及网络管理技术。以及网络管理技术。教学教学
2、重点重点能力能力要求要求掌握：掌握：网络安全与管理的概念；网络安全与管理技网络安全与管理的概念；网络安全与管理技 术的应用。术的应用。熟悉：熟悉：计算机密码技术、防火墙技术、虚拟专用网计算机密码技术、防火墙技术、虚拟专用网 技术、网络病毒防治技术。技术、网络病毒防治技术。2 8.1 网络安全技术网络安全技术 8.6 网络管理技术网络管理技术 8.5 虚拟专用网技术虚拟专用网技术 8.4网络病毒防治技术网络病毒防治技术 8.2 数据加密与数字认证数据加密与数字认证 8.3 防火墙技术防火墙技术3知识结构防火墙技术防火墙技术网网络络安安全全与与管管理理网络安全技术网络安全技术网络病毒防治技术网络病
3、毒防治技术破密方法破密方法现代加密方法现代加密方法数字认证数字认证虚拟专用网虚拟专用网数据加密与数字认证数据加密与数字认证网络病毒的防治网络病毒的防治网络病毒的类型网络病毒的类型网络病毒的特点网络病毒的特点网络安全的评价标准网络安全的评价标准网络安全的基本概念网络安全的基本概念防火墙的基本结构防火墙的基本结构防火墙的基本类型防火墙的基本类型防火墙的基本功能防火墙的基本功能防火墙的基本概念防火墙的基本概念VPN的基本类型的基本类型VPN的安全协议的安全协议VPN的实现技术的实现技术VPN的基本概念的基本概念网络管理技术网络管理技术简单网络管理协议简单网络管理协议ISO网络管理功能域网络管理功能域
4、网络管理的逻辑结构网络管理的逻辑结构网络管理的基本概念网络管理的基本概念数据加密概念数据加密概念传统加密方法传统加密方法防火墙的安全标准与产防火墙的安全标准与产品品常用网络管理系统常用网络管理系统网络性能管理与优化网络性能管理与优化48.1 网络安全技术 随着计算机网络技术的发展，网络的安全性和可靠性成为各随着计算机网络技术的发展，网络的安全性和可靠性成为各层用户所共同关心的问题。人们都希望自己的网络能够更加可靠层用户所共同关心的问题。人们都希望自己的网络能够更加可靠地运行，不受外来入侵者的干扰和破坏，所以解决好网络的安全地运行，不受外来入侵者的干扰和破坏，所以解决好网络的安全性和可靠性，是保
5、证网络正常运行的前提和保障。性和可靠性，是保证网络正常运行的前提和保障。Internet防火墙防火墙学生区学生区Info GateInfo GateIISIIS服务服务WebWeb服务服务DMZDMZ区区教工区教工区安全安全 垃圾邮垃圾邮 内容内容审计审计 件网关件网关 过滤过滤数据库服务器群数据库服务器群应用服务器群应用服务器群58.1.1网络安全的基本概念 网络安全，是指网络系统的硬件、软件及其系统中的数据网络安全，是指网络系统的硬件、软件及其系统中的数据受到保护受到保护,不受偶然或者恶意的攻击而遭到破坏、更改、泄露，不受偶然或者恶意的攻击而遭到破坏、更改、泄露，系统连续可靠正常地运行，网
6、络服务不会中断。系统连续可靠正常地运行，网络服务不会中断。身份认证身份认证完整性完整性保密性保密性授权和访授权和访问控制问控制可用性可用性不可抵不可抵赖性赖性68.1.1网络安全的基本概念 一般认为，黑客攻击、计算机病毒和拒绝服务攻击等一般认为，黑客攻击、计算机病毒和拒绝服务攻击等3 3个个方面是计算机网络系统受到的主要威胁。方面是计算机网络系统受到的主要威胁。黑客攻击黑客攻击计算机病毒计算机病毒拒绝服务攻击拒绝服务攻击黑客使用专用工具和采取各种入侵手段非黑客使用专用工具和采取各种入侵手段非法进入网络、攻击网络法进入网络、攻击网络,并非法使用网络并非法使用网络资源。资源。计算机病毒侵入网络，对
7、网络资源进行破计算机病毒侵入网络，对网络资源进行破坏，使网络不能正常工作，甚至造成整个坏，使网络不能正常工作，甚至造成整个网络的瘫痪。网络的瘫痪。攻击者在短时间内发送大量的访问请求，攻击者在短时间内发送大量的访问请求，而导致目标服务器资源枯竭，不能提供正而导致目标服务器资源枯竭，不能提供正常的服务。常的服务。78.1.1网络安全的基本概念 网络安全漏洞实际上是给不法分子以可乘之机的网络安全漏洞实际上是给不法分子以可乘之机的“通道通道”,大致可分为以下大致可分为以下3 3个方面。个方面。网络的漏洞网络的漏洞 服务器的漏洞服务器的漏洞操作系统的漏洞操作系统的漏洞包括网络传输时对协议的信任以及网络传
8、包括网络传输时对协议的信任以及网络传输漏洞，比如输漏洞，比如IPIP欺骗和信息腐蚀就是利用欺骗和信息腐蚀就是利用网络传输时对网络传输时对IPIP和和DNSDNS的信任。的信任。利用服务进程的利用服务进程的bugbug和配置错误和配置错误,任何向外任何向外提供服务的主机都有可能被攻击。这些漏提供服务的主机都有可能被攻击。这些漏洞常被用来获取对系统的访问权。洞常被用来获取对系统的访问权。WindowsWindows和和UNIXUNIX操作系统都存在许多安全操作系统都存在许多安全漏洞漏洞,如如InternetInternet蠕虫事件就是由蠕虫事件就是由UNIXUNIX的的安全漏洞引发的。安全漏洞引发
9、的。88.1.1网络安全的基本概念 要保证运行在网络环境中的信息安全要保证运行在网络环境中的信息安全,首先要解决的问题首先要解决的问题是如何防止网络被攻击。根据是如何防止网络被攻击。根据Steve KentSteve Kent提出的方法提出的方法,网络安网络安全攻击可分为被动攻击和主动攻击两大类，如图全攻击可分为被动攻击和主动攻击两大类，如图7-17-1所示。所示。图图 7-1 7-1 网络安全攻击分类网络安全攻击分类被动攻击被动攻击 截获截获(秘密秘密)分析信息内容分析信息内容 通信量分析通信量分析主动攻击主动攻击 拒绝拒绝 篡改篡改 伪造伪造 重放重放(可用性可用性)(完整性完整性)(真实
10、性真实性)(时效性时效性)被动攻击不修改信息内容，所以非常难以检测，因此防护被动攻击不修改信息内容，所以非常难以检测，因此防护方法重点是加密。主动攻击是对数据流进行破坏、篡改或产生方法重点是加密。主动攻击是对数据流进行破坏、篡改或产生一个虚假的数据流。一个虚假的数据流。98.1.1网络安全的基本概念 1中断（中断（Interruption）：）：中断是对可利用性的威胁。例如破坏信中断是对可利用性的威胁。例如破坏信息存储硬件、切断通信线路、侵犯文件管理系统等。息存储硬件、切断通信线路、侵犯文件管理系统等。2窃取（窃取（Interception）：）：入侵者窃取信息资源是对保密性的威入侵者窃取信息
11、资源是对保密性的威胁。入侵者胁。入侵者窃取线路上窃取线路上传送的数据，或非法拷贝文件和程序等。传送的数据，或非法拷贝文件和程序等。3篡改（篡改（Modification）：）：篡改是对数据完整性的威胁。例如改篡改是对数据完整性的威胁。例如改变文件中的数据，改变程序功能，修改网上传送的报文等。变文件中的数据，改变程序功能，修改网上传送的报文等。4假冒（假冒（Fabrication）：）：入侵者在系统中加入伪造的内容，如像入侵者在系统中加入伪造的内容，如像网络用户发送虚假的消息、在文件中插入伪造的记录等。网络用户发送虚假的消息、在文件中插入伪造的记录等。网络安全破坏的技术手段是多种多样的，了解最通
12、常的网络安全破坏的技术手段是多种多样的，了解最通常的破坏手段，有利于加强技术防患破坏手段，有利于加强技术防患。108.1.2网络安全的评价标准 计算机系统的安全等级由低到高顺序：计算机系统的安全等级由低到高顺序：D D；C1 C2C1 C2；B1 B2 B1 B2 B3B3；A A。如图。如图7-27-2所示。所示。图图 7-2 TCSEC7-2 TCSEC安全体系安全体系可信计算机系统可信计算机系统评测评测准则准则C2：受控访问保护受控访问保护C1：自主安全保护自主安全保护A1：验证设计验证设计D1：最小保护最小保护B2：结构安全保护结构安全保护B1：标志安全保护标志安全保护B3：安全域安全
13、域C类类A类类D类类B类类118.1.2网络安全的评价标准 20 20世纪世纪9090年代开始，一些国家和国际组织相继提出了新年代开始，一些国家和国际组织相继提出了新的安全评测准则。的安全评测准则。19911991年年,殴共体发布了殴共体发布了“信息技术安全评测信息技术安全评测准则准则”；19931993年，加拿大发布了年，加拿大发布了“加拿大可信计算机产品评加拿大可信计算机产品评测准则测准则”；19931993年年6 6月月,上述国家共同起草了一份通用准则上述国家共同起草了一份通用准则,并并将将CCCC推广为国际标准。国际安全评测标准的发展如图推广为国际标准。国际安全评测标准的发展如图7-3
14、7-3所示所示。19931993年加拿大可年加拿大可信计算机产品评信计算机产品评测准则测准则19911991年欧洲信息年欧洲信息技术安全评测准技术安全评测准则则19911991年美国联邦年美国联邦政府评测标准政府评测标准19831983年美国国防年美国国防部可信计算机评部可信计算机评测准则测准则19961996年国际通用年国际通用准则（准则（CCCC）19991999年年CCCC成为成为国际标准国际标准图图 7-3 7-3 国际安全评测标准的发展与联系国际安全评测标准的发展与联系128.1.2网络安全的评价标准 1 1级级用户自主保护级：用户自主保护级：它的安全保护机制使用户具备自主安全保护它
15、的安全保护机制使用户具备自主安全保护的能力，保护用户的信息免受非法的读写破坏。的能力，保护用户的信息免受非法的读写破坏。2 2级级系统审计保护级：系统审计保护级：除具备第一级外，要求创建和维护访问的审除具备第一级外，要求创建和维护访问的审计跟踪记录，使所有的用户对自己的行为的合法性负责。计跟踪记录，使所有的用户对自己的行为的合法性负责。3级级安全标记保护级：安全标记保护级：除具备上一级外，要求以访问对象标记的安除具备上一级外，要求以访问对象标记的安全级别限制访问者的访问权限，实现对访问对象的强制保护。全级别限制访问者的访问权限，实现对访问对象的强制保护。4级级结构化保护级：结构化保护级：在继承
16、前面功能基础上，将安全保护机制划分在继承前面功能基础上，将安全保护机制划分为关键部分和非关键部分，从而加强系统的抗渗透能力。为关键部分和非关键部分，从而加强系统的抗渗透能力。5级级访问验证保护级：访问验证保护级：这一个级别特别增设了访问验证功能，负责这一个级别特别增设了访问验证功能，负责仲裁访问者对访问对象的所有访问活动。仲裁访问者对访问对象的所有访问活动。138.1.3网络安全措施 在网络设计和运行中应考虑一些必要的安全措施，以便在网络设计和运行中应考虑一些必要的安全措施，以便使网络得以正常运行。网络的安全措施主要从物理安全、访使网络得以正常运行。网络的安全措施主要从物理安全、访问控制、传输
17、安全和网络安全管理等问控制、传输安全和网络安全管理等4 4个方面进行考虑。个方面进行考虑。物理安全性包括机房的安全、所有网络的网络设备（包物理安全性包括机房的安全、所有网络的网络设备（包括服务器、工作站、通信线路、路由器、网桥、磁盘、打印括服务器、工作站、通信线路、路由器、网桥、磁盘、打印机等）的安全性以及防火、防水、防盗、防雷等。网络物理机等）的安全性以及防火、防水、防盗、防雷等。网络物理安全性除了在系统设计中需要考虑之外，还要在网络管理制安全性除了在系统设计中需要考虑之外，还要在网络管理制度中分析物理安全性可能出现的问题及相应的保护措施。度中分析物理安全性可能出现的问题及相应的保护措施。访
18、问控制措施的主要任务是保证网络资源不被非法使用访问控制措施的主要任务是保证网络资源不被非法使用和非常规访问。其包括以下个方面：和非常规访问。其包括以下个方面：148.1.3网络安全措施 1入网访问控制：入网访问控制：控制哪些用户能够登录并获取网络资源，控制控制哪些用户能够登录并获取网络资源，控制准许用户入网的时间和入网的范围。准许用户入网的时间和入网的范围。2网络的权限控制：网络的权限控制：是针对网络非法操作所提出的一种安全保护是针对网络非法操作所提出的一种安全保护措施，用户和用户组被授予一定的权限。措施，用户和用户组被授予一定的权限。3目录级安全控制：目录级安全控制：系统管理权限系统管理权限
19、、读权限读权限、写权限写权限、创建权限创建权限、删除权限、修改权限、文件查找权限和存取控制权限删除权限、修改权限、文件查找权限和存取控制权限8种。种。4属性安全控制：属性安全控制：网络管理员给文件、目录等指定访问属性，将网络管理员给文件、目录等指定访问属性，将给定的属性与网络服务器的文件、目录和网络设备联系起来。给定的属性与网络服务器的文件、目录和网络设备联系起来。5网络服务器安全控制：网络服务器安全控制：包括设置口令锁定服务器控制台，设定包括设置口令锁定服务器控制台，设定登录时间限制、非法访问者检测和关闭的时间间隔等。登录时间限制、非法访问者检测和关闭的时间间隔等。158.1.3网络安全措施
20、 6网络检测和锁定控制：网络检测和锁定控制：网络管理员对网络实施监控，服务器应网络管理员对网络实施监控，服务器应记录用户对网络资源的访问，对于非法访问应报警。记录用户对网络资源的访问，对于非法访问应报警。7 网络端口和节点的安全控制：网络端口和节点的安全控制：网络服务器端口使用自动回呼设网络服务器端口使用自动回呼设 备备、静默调制解调器加以保护静默调制解调器加以保护,并以加密形式识别节点的身份并以加密形式识别节点的身份。8防火墙控制：防火墙控制：防火墙成为是互连网络上的首要安全技术，是设防火墙成为是互连网络上的首要安全技术，是设置在网络与外部之间的一道屏障。置在网络与外部之间的一道屏障。建立物
21、理安全的传输媒介建立物理安全的传输媒介 对传输数据进行加密：对传输数据进行加密：保密数据在进行数据通信时应保密数据在进行数据通信时应加密，包括链路加密和端到端加密。加密，包括链路加密和端到端加密。168.1.3网络安全措施 除了技术措施外，加强网络的安全管理，制定相关配套除了技术措施外，加强网络的安全管理，制定相关配套检查和检查和互协互协渗透测试渗透测试安全设计安全设计设备配置设备配置安全漏洞安全漏洞分析分析安全策略安全策略安全需求安全需求安全结构安全结构安全评估安全评估安全评估安全评估安全评估安全评估的规章制度、确定安全管的规章制度、确定安全管理等级、明确安全管理范理等级、明确安全管理范围、
22、采取系统维护方法和围、采取系统维护方法和应急措施等应急措施等,对网络安全、对网络安全、可靠地运行，将起到很重可靠地运行，将起到很重要的作用。实际上，网络要的作用。实际上，网络安全策略是一个综合安全策略是一个综合,要要从可用性、实用性、完整从可用性、实用性、完整性、可靠性和保密性等方性、可靠性和保密性等方面综合考虑，才能得到有面综合考虑，才能得到有效的安全策略效的安全策略。178.2 数据加密与数字认证 数据加密和数字认证是数据加密和数字认证是网络信息安全的核心技术。网络信息安全的核心技术。其中，数据加密是保护数据其中，数据加密是保护数据免遭攻击的一种主要方法；免遭攻击的一种主要方法；数字认证是
23、解决网络通信过数字认证是解决网络通信过程中双方身份的认可，以防程中双方身份的认可，以防止各种敌手对信息进行篡改止各种敌手对信息进行篡改的一种重要技术。的一种重要技术。数据加密和数字认证的数据加密和数字认证的联合使用，是确保信息安全联合使用，是确保信息安全的有效措施。的有效措施。Internet加密数据流加密数据流供应商供应商采购单位采购单位SSLSSL安全安全论证网关论证网关WebWeb服务器服务器188.2.1数据加密概念 计算机密码学是研究计算机信息加密、解密及其变换的新计算机密码学是研究计算机信息加密、解密及其变换的新兴科学兴科学,密码技术是密码学的具体实现密码技术是密码学的具体实现,它
24、包括它包括4 4个方面：保密个方面：保密(机密机密)、消息验证、消息完整和不可否认性。、消息验证、消息完整和不可否认性。1保密（保密（privacy）：）：在通信中消息发送方与接收方都希望保密，在通信中消息发送方与接收方都希望保密，只有消息的发送者和接收者才能理解消息的内容。只有消息的发送者和接收者才能理解消息的内容。2验证（验证（authentication）：）：安全通信仅仅靠消息的机密性是不安全通信仅仅靠消息的机密性是不够的，必须加以验证，即接收者需要确定消息发送者的身份。够的，必须加以验证，即接收者需要确定消息发送者的身份。3完整（完整（integrity）：）：保密与认证只是安全通信
25、中的两个基本要保密与认证只是安全通信中的两个基本要素，还必须保持消息的完整素，还必须保持消息的完整,即消息在传送过程中不发生改变。即消息在传送过程中不发生改变。4不可否认（不可否认（nonrepudiation）：）：安全通信的一个基本要素就是安全通信的一个基本要素就是不可否认性，防止发送者抵赖（否定）。不可否认性，防止发送者抵赖（否定）。198.2.1数据加密概念 密码技术包括数据加密和解密两部分密码技术包括数据加密和解密两部分。加密是把需要加密加密是把需要加密的报文按照以密码钥匙（简称密钥）为参数的函数进行转换，的报文按照以密码钥匙（简称密钥）为参数的函数进行转换，产生密码文件；解密是按照
26、密钥参数进行解密产生密码文件；解密是按照密钥参数进行解密,还原成原文件还原成原文件。数据加密和解密过程是在信源发出与进入通信之间进行加密，数据加密和解密过程是在信源发出与进入通信之间进行加密，经过信道传输经过信道传输,到信宿接收时进行解密到信宿接收时进行解密,以实现数据通信保密。以实现数据通信保密。数据加密和解密过程如图数据加密和解密过程如图7-47-4所示。所示。加加 密密密钥密钥报报 文文解解 密密原报文原报文图图 7 7-4-4 加密解密模型加密解密模型明文明文密文传输密文传输明文明文信源信源加密单元加密单元解密单元解密单元信宿信宿208.2.1数据加密概念 加密和解密是通过密钥来实现的
27、。如果把密钥作为加密体加密和解密是通过密钥来实现的。如果把密钥作为加密体系标准，则可将密码系统分为单钥密码（又称对称密码或私钥系标准，则可将密码系统分为单钥密码（又称对称密码或私钥密码）体系和双钥密码（又称非对称密码或公钥密码）体系。密码）体系和双钥密码（又称非对称密码或公钥密码）体系。在单钥密码体制下，加密密钥和解密密钥是一样的。在这在单钥密码体制下，加密密钥和解密密钥是一样的。在这种情况下，由于加密和解密使用同一密钥（密钥经密钥信道传种情况下，由于加密和解密使用同一密钥（密钥经密钥信道传给对方），所以密码体制的安全完全取决于密钥的安全。给对方），所以密码体制的安全完全取决于密钥的安全。双钥
28、密码体制是双钥密码体制是1976年年W.Diffie和和M.E.Heilinan 提出的一提出的一种新型密码体制。种新型密码体制。1977年年Rivest,Shamir和和Adleman提出提出RSA密密码体制。在双钥密码体制下码体制。在双钥密码体制下,加密密钥与解密密钥是不同的加密密钥与解密密钥是不同的,它它不需要安全信道来传送密钥，可以公开加密密钥，仅需保密解不需要安全信道来传送密钥，可以公开加密密钥，仅需保密解密密钥。密密钥。218.2.2传统加密方法 单字母加密方法：单字母加密方法：是用一个字母代替另一个字母是用一个字母代替另一个字母,它它把把A A变成变成E E，B B变成变成F F
29、，C C变为变为G G，D D变为变为H H。多字母加密方法：多字母加密方法：密钥是简短且便于记忆的词组。密钥是简短且便于记忆的词组。保持明文的次序，而把明文字符隐藏起来。转换密码法保持明文的次序，而把明文字符隐藏起来。转换密码法不是隐藏它们，而是靠重新安排字母的次序。不是隐藏它们，而是靠重新安排字母的次序。把明文中的字母重新排列把明文中的字母重新排列,字母本身不变，但位置变了。字母本身不变，但位置变了。常见的有简单变位法、列变位法和矩阵变位法。常见的有简单变位法、列变位法和矩阵变位法。就是用一页上的代码来加密一些词，再用另一页上的代就是用一页上的代码来加密一些词，再用另一页上的代码加密另一些
30、词，直到全部的明文都被加密。码加密另一些词，直到全部的明文都被加密。228.2.3现代加密方法 DES DES加密算法是一种通用的现代加密方法加密算法是一种通用的现代加密方法,该标准是在该标准是在5656位密钥控制下位密钥控制下,将每将每6464位为一个单元的明文变成位为一个单元的明文变成6464位的密码。位的密码。采用多层次复杂数据函数替换算法，使密码被破译的可能性采用多层次复杂数据函数替换算法，使密码被破译的可能性几乎没有。几乎没有。相对于相对于DESDES的的5656位密钥，它使用位密钥，它使用128128位的密钥，每次加密位的密钥，每次加密一个一个6464位的块。这个算法被加强以防止一
31、种特殊类型的攻击位的块。这个算法被加强以防止一种特殊类型的攻击,称为微分密码密钥。称为微分密码密钥。IDEA IDEA的特点是用了混乱和扩散等操作的特点是用了混乱和扩散等操作,主要有三种运算：主要有三种运算：异或、模加、模乘，并且容易用软件和硬件来实现。异或、模加、模乘，并且容易用软件和硬件来实现。IDEAIDEA算算法被认为是现今最好的、最安全的分组密码算法，该算法可法被认为是现今最好的、最安全的分组密码算法，该算法可用于加密和解密。用于加密和解密。238.2.3现代加密方法 邮件内容邮件内容C CH=MDS(C)H=MDS(C)S=ENS=ENRSA(H)(H)KSM=C+SM=C+S随机
32、加密密钥随机加密密钥E1=ENIDEA(M)E2=ENRSA(K)KRP将将E1+E2E1+E2寄出寄出发送邮件发送邮件收到收到E1+E2E1+E2K=DERSA(E2)KRSM=DEIDEA(E1)K将将M分离成分离成C和和SH1=MD5(C)取得收信人的取得收信人的分开密钥分开密钥KPS1=DERSA(H1)KPS1=S?NoNoYesYes接收此邮件接收此邮件 拒绝此邮件拒绝此邮件接收邮件接收邮件 RSARSA是屹今为止最著名是屹今为止最著名、最完善、使用最广泛的一种最完善、使用最广泛的一种公匙密码体制公匙密码体制。RSARSA算法的要算法的要点在于它可以产生一对密钥点在于它可以产生一对
33、密钥,一个人可以用密钥对中的一一个人可以用密钥对中的一个加密消息，另一个人则可个加密消息，另一个人则可以用密钥对中的另一个解密以用密钥对中的另一个解密消息。任何人都无法通过公消息。任何人都无法通过公匙确定私匙，只有密钥对中匙确定私匙，只有密钥对中的另一把可以解密消息。的另一把可以解密消息。取得收信人的取得收信人的分开密钥分开密钥KRP248.2.3现代加密方法 HashHash函数又名信息摘要（函数又名信息摘要（Message DigestMessage Digest）函数，是基于）函数，是基于因子分解或离散对数问题的函数，可将任意长度的信息浓缩为因子分解或离散对数问题的函数，可将任意长度的信
34、息浓缩为较短的固定长度的数据。这组数据能够反映源信息的特征，因较短的固定长度的数据。这组数据能够反映源信息的特征，因此又可称为信息指纹（此又可称为信息指纹（Message Fingerprint)Message Fingerprint)。HashHash函数具有函数具有很好的密码学性质很好的密码学性质,且满足且满足HashHash函数的单向函数的单向、无碰撞基本要求。无碰撞基本要求。量子加密系统是加密技术的新突破。量子加密法的先进之量子加密系统是加密技术的新突破。量子加密法的先进之处在于这种方法依赖的是量子力学定律。传输的光量子只允许处在于这种方法依赖的是量子力学定律。传输的光量子只允许有一个
35、接收者，如果有人窃听，窃听动作将会对通信系统造成有一个接收者，如果有人窃听，窃听动作将会对通信系统造成干扰。通信系统一旦发现有人窃听，随即结束通信，生成新的干扰。通信系统一旦发现有人窃听，随即结束通信，生成新的密钥。密钥。258.2.4破密方法 就是尝试所有可能的密钥组合，虽然这种密钥尝试通常就是尝试所有可能的密钥组合，虽然这种密钥尝试通常是失败的，但最终总会有一个密钥让破译者得到原文。是失败的，但最终总会有一个密钥让破译者得到原文。密码分析是在不知密钥的情况下利用数学方法破译密文密码分析是在不知密钥的情况下利用数学方法破译密文或找到秘密密钥。常见的密码分析有如下两种：或找到秘密密钥。常见的密
36、码分析有如下两种：已知明文的破译方法：已知明文的破译方法：是当密码分析员掌握了一段是当密码分析员掌握了一段明文和对应的密文明文和对应的密文,目的是发现加密的密钥。在实际应用中目的是发现加密的密钥。在实际应用中,获得某些密文所对应的明文是可能的。获得某些密文所对应的明文是可能的。选定明文的破译方法：选定明文的破译方法：密码分析员设法让对手加密密码分析员设法让对手加密一段分析员选定的明文，并获得加密后的结果一段分析员选定的明文，并获得加密后的结果,以获得确定以获得确定加密的密钥。加密的密钥。268.2.4破密方法 为了防止密码破译为了防止密码破译,可以采取一些相应的技术措施。目前可以采取一些相应的
37、技术措施。目前通常采用的技术措施以下通常采用的技术措施以下3 3种。种。好的加密算法：好的加密算法：一个好的加密算法往往只有用穷举法一个好的加密算法往往只有用穷举法才能得到密钥，所以只要密钥足够长就会比较安全。才能得到密钥，所以只要密钥足够长就会比较安全。20世纪世纪70708080年代密钥长通常为年代密钥长通常为48486464位，位，9090年代年代,由于发达国家不由于发达国家不准许出口准许出口6464位加密产品，所以国内大力研制位加密产品，所以国内大力研制128128位产品。位产品。保护关键密钥保护关键密钥（KCKKCK：KEY CNCRYPTION KEYKEY CNCRYPTION
38、KEY）。）。动态会话密钥：动态会话密钥：每次会话的密钥不同。每次会话的密钥不同。动态或定期变换会话密钥是有好处的，因为这些密钥是动态或定期变换会话密钥是有好处的，因为这些密钥是用来加密会话密钥的，一旦泄漏，被他人窃取重要信息，将用来加密会话密钥的，一旦泄漏，被他人窃取重要信息，将引起灾难性的后果。引起灾难性的后果。278.2.5数字认证 数字认证是一种安全防护技术，它既可用于对用户身份数字认证是一种安全防护技术，它既可用于对用户身份进行确认和鉴别进行确认和鉴别,也可对信息的真实可靠性进行确认和鉴别也可对信息的真实可靠性进行确认和鉴别,以防止冒充、抵赖、伪造、篡改等问题。数字认证技术包括以防止
39、冒充、抵赖、伪造、篡改等问题。数字认证技术包括数字签名、数字时间戳、数字证书和认证中心等。数字签名、数字时间戳、数字证书和认证中心等。“数字签名数字签名”是数字认证技术中其中最常用的认证技术是数字认证技术中其中最常用的认证技术。在日常工作和生活中，人们对书信或文件的验收是根据亲。在日常工作和生活中，人们对书信或文件的验收是根据亲笔签名或盖章来证实接收者的真实身份。在书面文件上签名笔签名或盖章来证实接收者的真实身份。在书面文件上签名有两个作用：一是因为自己的签名难以否认，从而确定了文有两个作用：一是因为自己的签名难以否认，从而确定了文件已签署这一事实；二是因为签名不易伪冒，从而确定了文件已签署这
40、一事实；二是因为签名不易伪冒，从而确定了文件是真实的这一事实。但是，在计算机网络中传送的报文又件是真实的这一事实。但是，在计算机网络中传送的报文又如何签名盖章呢，这就是数字签名所要解决的问题。如何签名盖章呢，这就是数字签名所要解决的问题。28KeyKey数数字字签签名名初初始始文文件件签签名名文文件件加加密密的的签签名名文文件件数数字字签签名名初初始始文文件件数数字字摘摘要要数数字字摘摘要要正正确确初初始始文文件件HASHHASH编码编码一一致致KeyKeyKeyKeyKeyKey数数字字摘摘要要初初始始文文件件8.2.5数字认证 在网络传输中如果发送方和接收方的加密、解密处理两在网络传输中如
41、果发送方和接收方的加密、解密处理两者的信息一致，则说明发送的信息原文在传送过程中没有被者的信息一致，则说明发送的信息原文在传送过程中没有被破坏或篡改破坏或篡改,从而得到准确的原文。传送过程如图从而得到准确的原文。传送过程如图7-77-7所示所示。图图 7-7 数字签名的验证及文件的窜送过程数字签名的验证及文件的窜送过程298.2.5数字认证 在电子交易中在电子交易中,同样需要对交易文件的日期和时间信息采同样需要对交易文件的日期和时间信息采取安全措施，数字时间戳就是为电子文件发表的时间提供安全取安全措施，数字时间戳就是为电子文件发表的时间提供安全保护和证明的。保护和证明的。DTSDTS是网上安全
42、服务项目是网上安全服务项目,由专门的机构提供。由专门的机构提供。数字时间戳是一个加密后形成的凭证文档数字时间戳是一个加密后形成的凭证文档,它包括三个部分：它包括三个部分：需要加时间戳的文件的摘要需要加时间戳的文件的摘要 DTSDTS机构收到文件的日期和时间机构收到文件的日期和时间 DTADTA机构的数字签名机构的数字签名 数字时间戳的产生过程：用户首先将需要加时间戳的文件数字时间戳的产生过程：用户首先将需要加时间戳的文件用用HASHHASH编码加密形成摘要，然后将这个摘要发送到编码加密形成摘要，然后将这个摘要发送到DTSDTS机构，机构，DTSDTS机构在加入了收到文件摘要的日期和时间信息后，
43、再对这机构在加入了收到文件摘要的日期和时间信息后，再对这个文件加密（数字签名），然后发送给用户。个文件加密（数字签名），然后发送给用户。308.2.5数字认证 数字认证从某个功能上来说很像是密码，是用来证实你的数字认证从某个功能上来说很像是密码，是用来证实你的身份或对网络资源访问的权限等可出示的一个凭证。数字证书身份或对网络资源访问的权限等可出示的一个凭证。数字证书包括：包括：1客户证书：客户证书：以证明他（她）在网上的有效身份。该证书一般是以证明他（她）在网上的有效身份。该证书一般是由金融机构进行数字签名发放的，不能被其它第三方所更改。由金融机构进行数字签名发放的，不能被其它第三方所更改。2
44、商家证书：商家证书：是由收单银行批准、由金融机构颁发、对商家是否是由收单银行批准、由金融机构颁发、对商家是否具有信用卡支付交易资格的一个证明。具有信用卡支付交易资格的一个证明。3网关证书：网关证书：通常由收单银行或其它负责进行认证和收款的机构通常由收单银行或其它负责进行认证和收款的机构持有。客户对帐号等信息加密的密码由网关证书提供。持有。客户对帐号等信息加密的密码由网关证书提供。4CA系统证书：系统证书：是各级各类发放数字证书的机构所持有的数字证是各级各类发放数字证书的机构所持有的数字证书，即用来证明他们有权发放数字证书的证书。书，即用来证明他们有权发放数字证书的证书。318.2.5数字认证
45、持卡人持卡人CCACCA持卡证件持卡证件商家商家MCAMCA商家证件商家证件支持网关支持网关PCAPCA支付网关证件支付网关证件根根CACA品牌品牌CACA地方地方CACA图图 7-8 CA7-8 CA认证体系的层次结构认证体系的层次结构 认证中心是承担网上安全电子交易认证服务、签发数字认证中心是承担网上安全电子交易认证服务、签发数字证书并能确认用户身份的服务机构。它的主要任务是受理数证书并能确认用户身份的服务机构。它的主要任务是受理数字凭证的申请，签发数字证书及对数字证书进行管理。字凭证的申请，签发数字证书及对数字证书进行管理。CACA认证体系由根认证体系由根CACA、品牌、品牌CACA、地
46、方、地方CACA以及持卡人以及持卡人CACA、商家、商家CACA、支付网关、支付网关CACA等不等不同层次构成，上一级同层次构成，上一级CACA负责下一级负责下一级CACA数字数字证书的申请签发及管证书的申请签发及管理工作。理工作。32图图 7-9 7-9 防火墙的逻辑结构示意图防火墙的逻辑结构示意图 为了防止病毒和黑客，可在该网络和为了防止病毒和黑客，可在该网络和InternetInternet之间插入一之间插入一个中介系统，竖起一道用来阻断来自外部通过网络对本网络的个中介系统，竖起一道用来阻断来自外部通过网络对本网络的威胁和入侵的安全屏障，其作用与古代防火砖墙有类似之处，威胁和入侵的安全屏
47、障，其作用与古代防火砖墙有类似之处，人们把这个屏障就叫做人们把这个屏障就叫做“防火墙防火墙”，其逻辑结构如图，其逻辑结构如图7-97-9所示所示。8.3 防火墙技术 外部网络外部网络内部网络内部网络338.3.1防火墙的基本概念 所有内部和外部网络之间传输的数据必须通过防火墙所有内部和外部网络之间传输的数据必须通过防火墙。只有被授权的合法数据即防火墙系统中安全策略允许只有被授权的合法数据即防火墙系统中安全策略允许的数据可以通过防火墙。的数据可以通过防火墙。防火墙本身不受各种攻击的影响。防火墙本身不受各种攻击的影响。过滤不安全服务：过滤不安全服务：防火墙应封锁所有的信息流防火墙应封锁所有的信息流
48、,然后对然后对希望提供的安全服务逐项开放，把不安全的服务或可能有安全希望提供的安全服务逐项开放，把不安全的服务或可能有安全隐患的服务一律扼杀在萌芽之中。隐患的服务一律扼杀在萌芽之中。过滤非法用户和访问特殊站点：过滤非法用户和访问特殊站点：防火墙允许所有用户防火墙允许所有用户和站点对内部网络进行访问，然后网络管理员按照和站点对内部网络进行访问，然后网络管理员按照IPIP地址对未地址对未授权的用户或不信任的站点进行逐项屏蔽。授权的用户或不信任的站点进行逐项屏蔽。348.3.2防火墙的基本功能 防火墙作为阻塞点、控制点，能极大地提高一个内部网络防火墙作为阻塞点、控制点，能极大地提高一个内部网络的安全
49、性，并通过过滤不安全的服务而降低风险。的安全性，并通过过滤不安全的服务而降低风险。通过以防火墙为中心的安全方案配置，能将所有安全软件通过以防火墙为中心的安全方案配置，能将所有安全软件（口令、加密、身份认证、审计等）配置在防火墙上。（口令、加密、身份认证、审计等）配置在防火墙上。所有的外部访问都经过防火墙时，防火墙就能记录下这些所有的外部访问都经过防火墙时，防火墙就能记录下这些访问，为网络使用情况提供统计数据。当发生可疑信息时防火访问，为网络使用情况提供统计数据。当发生可疑信息时防火墙能发出报警，并提供网络是否受到监测和攻击的详细信息。墙能发出报警，并提供网络是否受到监测和攻击的详细信息。利用防
50、火墙可以实现内部网重点网段的隔离，从而限制了利用防火墙可以实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。局部重点或敏感网络安全问题对全局网络造成的影响。358.3.3防火墙的基本类型网络级防火墙主要用来防止整个网络出现外来非法的入侵。网络级防火墙主要用来防止整个网络出现外来非法的入侵。图图 7-107-10 包过滤路由器的工作原理示意图包过滤路由器的工作原理示意图内部网络内部网络物理层物理层分组过滤规则分组过滤规则数据链跑层数据链跑层Internet外部网络外部网络网络层网络层物理层物理层数据链跑层数据链跑层网络层网络层包过滤路由器包过滤路由器368.3.
