h
33
2、被屏蔽主机体系结构
h
34
3、被屏蔽子网体系结构
h
35
15.7 VPN
1、VPN概念 VPN是Virtual Private Network的简称 是将物理分布在不同地点的网络通过公用骨干网，尤其是Internet联接而成逻辑上的虚拟子网 为了保障信息的安全，VPN技术采用了鉴别、访问控制、保密性、完整性等措施，以防止信息被泄
h
46
15.9 入侵检测
15.9.1 入侵检测概念
入侵检测是从计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络 或系统中是否有违反安全策略的行为和遭到袭击的迹象的一种机制。
h
47
15.9.2. 入侵检测系统基本结构 CIDF模型的基本组成：
• 事件产生器 • 事件分析器 • 响应单元 • 事件数据库
日志审计
数据加密
应急响应 h
6
15.2 密码学
15.2.1 密码学基本原理
密码学是以研究数据保密为目的，对存储或者传输的信息采取秘密的交换以防止第三者对信息的窃取 的技术。
h
7
图 15.1 密码学模型
h
8
15.2.2 对称密钥密码技术
是在密码体制中加密和解密采用同一密钥的技术，又称私钥 密码技术。
h
2
本章学习要点：
1.网络信息安全基本概念。
2.密码学基本原理以及两种密码技术。
3.鉴别的基本原理以及公钥基础设施PKI及数字签名。
4.访问控制的基本原理。
5.网络安全层次模型及各层的安全技术。
6.防火墙技术基本概念、主要技术类型以及体系结构。
7.VPN基本概念。
8.IPSec基本概念。
9.入侵检测概念。
h
16
图 15.3 链式结构Hash函数
h
17
2、数字签名
数字签名是通信双方在网上交换信息用公钥密码防止伪造和欺 骗的一种身份签证。
若A要向B送去信息m，A可用A的保密的解密算法DA对m进行加密得 DA(m)，再用B的公开算法EB对DA(m)进行加密得
C＝EB(DA(m)) B收到密文C后先用他自己掌握的解密算DB对C进行解密得
10. 计算机病毒概念。
h
3
15.1 网络信息安全基本概念
15.1.1 网络信息安全的含义
网络信息安全是计算机网络的机密性、完整性和可用性的集合
机密性指通过加密数据防止信息泄露
完整性指通过验证防止信息篡改
可用性指得到授权的实体在需要时可使用网络资源
h
4
15.1.2 网络层面的安全需求
维护信息载体的安全运行是网络层面的安全目标。
(2)已知m计算H(m)是容易的。
(3)已知C1=H(m1)，找m2≠m1， H(m1)=H(m2) 是困难的。
(4)C=H(m),C与m的每一比特相关，并具有高度扩散性。
Hash函数便可以利用它来作为数字签名。
h
14
图 15.2 PKI体系结构
h
15
利用分组密码构造Hash函数 明文m或密钥k任改变一比特都将引起密文C近一半的比特值发生变化
露、篡改和复制
h
36
15.7.1 VPN类型 • AccessVPN • IntranetVPN • ExtranetVPN
h
37
图 15.9 Access VPN
h
38
图 15.10 Intranet VPN
h
39
图 15.11 Extranet VPN
h
40
15.7.2 VPN技术 • 密码技术 • 身份认证技术 • 隧道技术 • 密钥管理技术
密码学是以研究数据保密为目的，对存储或者传输的信息采取秘密的交换以防止第三 者对信息的窃取的技术。在传统密码体制中加密和解密采用的是同一密钥，称为对称 密钥密码系统。现代密码体制中加密和解密采用不同的密钥，称为非对称密钥密码系 统。
鉴别是指可靠地验证某个通信参与方的身份是否与他所声称的身份一致的过程，一般 通过某种复杂的身份认证协议来实现。Kerberos鉴别是一种使用对称密钥加密算法来 实现通过可信第3方密钥分发中心(KDC)的身份认证系统。公钥基础设施(PKI)是在分布 式计算系统中提供的使用公钥密码系统和X.509证书安全服务的基础设施。数字签名是 通信双方在网上交换信息用公钥密码防止伪造和欺骗的一种身份签证。
PGP 采用了分布式的信任模型，即由每个用户自己决 定该信任哪些用户 。
S-HTTP Web上使用的超文本传输协议（HTTP）的安全增 强版本，提供了文件级的安全机制。
SET 安全交易技术（STT）协议，规定了信用卡持卡 人用其信用卡通过Internet进行付费的方法。
h
26
通用安全服务API (GSS-API)
防火墙的作用是防止不希望的、未经授权的通信进出被保护的 内部网络，通过边界控制强化内部网络的安全政策
h
28
图 15.8 防火墙在网络中的位置
h
29
2、防火墙的功能 访问控制功能 内容控制功能 全面的日志功能 集中管理功能 自身的安全和可用性 流量控制 网络地址转换 虚拟专用网
h
30
h
53
15.11 本章小结
网络信息安全是计算机网络的机密性、完整性和可用性的集合，是在分布网络环境中 ，对信息载体（处理载体、存储载体、传输载体）和信息的处理、传输、存储、访问 提供安全保护，以防止数据、信息内容或能力被非授权使用、篡改和拒绝服务。完整 的信息安全保障体系应包括保护、检测、响应、恢复等4个方面。
h
41
15.8 IPSEC
15.8.1 IPSec概念
是一种由IETF设计的端到端的确保IP层通信安全的机制
IPSec协议可以为IP网络通信提供透明的安全服务
h
42
15.8.2 IPSec功能 作为一个隧道协议实现了VPN通信 保证数据来源可靠 保证数据完整性 保证数据机密性
h
43
15.8.3 IPSec体系结构
从加密模式上可分为序列密码和分组密码两大类。
最常见的对称密钥密码算法有DES和IDEA。DES算法是IBM开发 的，并于1977年被美国政府采纳为非机密信息的加密标准。
对称密钥密码系统具有加解密速பைடு நூலகம்快、安全强度高等优点。
h
9
15.2.3 不对称密钥密码技术
是在密码体制中加密和解密采用不同的两个相关的密钥技术， 又称公钥密码技术。
3种身份认证技术：
口令技术
身份认证标记
密码身份认证协议
h
11
15.3.2 Kerberos鉴别
Kerberos鉴别是一种使用对称密钥加密算法来实现通过可信第3 方密钥分发中心(KDC)的身份认证系统。
提供了网络通信方之间相互的身份认证手段，而且并不依赖于 主机操作系统和地址。
3个通信参与方，即需要验证身份的通信双方再加上一个双方都 信任的第3方，即密钥分发中心。
SSL记录层协议 SSL协商协议
h
23
高层协议 SSL协商层 SSL记录层
传输层 低层协议
图 15.5 SSL结构图
h
24
图 15.6 SSL协议会话过程示意图
h
25
15.5.4 应用层安全
根据所传送内容不同的安全要求的应用安全机制。
常用的协议有：
PEM 为基于SMTP的电子邮件系统提供安全服务。
h
48
图 15.13 CIDF模型 h
49
15.9.3 入侵检测系统分类 • 基于主机的入侵检测系统 • 基于网络的入侵检测系统 • 基于内核的入侵检测系统 • 分布式入侵检测系统
h
50
15.10 计算机病毒
15.10.1. 计算机病毒概念
计算机病毒是一种靠修改其它程序来插入或进行自身拷贝， 从而感染其它程序的一段程序。
PKI支持使用者在建立的安全领域中进行加密密钥和证书的使用和管理，提 供密钥管理、证书管理以及安全政策管理等。
CA创建并签发证书
h
13
15.3.4 Hash函数与数字签名
1、 Hash函数
对于任意长度的信息m，经过Hash函数运算后得出一固定 长度的数，比如64比特，并满足：
(1) 已 知 Hash 函 数 的 输 出 ， 要 求 它 的 输 入 是 困 难 的 ， 即 已 知 C=H(m)，求m是困难的。
安全威胁包括：
物理侵犯
系统漏洞
网络入侵
恶意软件
存储损坏
安全措施包括：
门控系统
存储备份
防火墙
日志审计
防病毒
h
应急响应
5
15.1.3 信息层面的安全需求
维护信息自身的安全使用是信息层面的安全目标。
对信息的安全威胁包括：
身份假冒
非法访问
信息泄露
数据受损
事后否认
安全措施包括：
身份认证
内容过滤
访问控制
Kerberos保持一个它的客户方以及密钥的数据库，这些密钥是 KDC与客户方之间共享的，是不能被第3方知道的。
h
12
15.3.3 公钥基础设施(PKI)
在分布式计算系统中提供的使用公钥密码系统和X.509证书安全服务的基础 设施。
PKI产品和服务允许使用者在网络上建立一个安全领域，在该领域中可以签 发密钥和证书。
最常用的不对称密钥算法是RSA算法。
公钥密码技术的优点是密钥发行与管理方面较私钥密码方便， 但处理速度较慢，通常将两者结合使用，达到最佳性能。
h
10
15.3 鉴别
15.3.1鉴别的基本原理
鉴别是指可靠地验证某个通信参与方的身份是否与他所声称 的身份一致的过程，一般通过某种复杂的身份认证协议来实现 。