計算機網絡安全概述

全概述2020全概述2020年5月計算機網絡安全概述19908034馬志剛互聯網絡(Internet)起源于1969年的ARPANet，最初用于軍事目的，1993年開始用于商業(yè)應用，進入快速發(fā)展階段。到目前為止，互連網已經覆蓋了175個國家和地區(qū)的數千萬臺計算機，用戶數量超過一億。隨著計算機網絡的普及，計算機網絡的應用向深度和廣度不斷發(fā)展。企業(yè)上網、政府上網、網上學校、網上購物，一個網絡化社會的雛形已經展現在我們面前。在網絡給人們帶來巨大的便利的同時，也帶來了一些不容忽視的問題，網絡信息的安全保密問題就是其中之一。一．網絡信息安全的涵義網絡信息既有存儲于網絡節(jié)點上信息資源，即靜態(tài)信息，又有傳播于網絡節(jié)點間的信息，即動態(tài)信息。而這些靜態(tài)信息和動態(tài)信息中有些是開放的，如廣告、公共信息等，有些是保密的，如:私人間的通信、政府及軍事部門、商業(yè)機密等。網絡信息安全一般是指網絡信息的機密性(Confidentiality)、完整性(Integrity)、可用性(Availability)及真實性(Authenticity)。網絡信息的機密性是指網絡信息的內容不會被未授權的第三方所知。網絡信息的完整性是指信息在存儲或傳輸時不被修改、破壞，不出現信息包的丟失、亂序等，即不能為未授權的第三方修改。信息的完整性是信息安全的基本要求，破壞信息的完整性是影響信息安全的常用手段。當前，運行于互聯網上的協議(如TCP/IP)等，能夠確保信息在數據包級別的完整性，即做到了傳輸過程中不丟信息包，不重復接收信息包，但卻無法制止未授權第三方對信息包內部的修改。網絡信息的可用性包括對靜態(tài)信息的可得到和可操作性及對動態(tài)信息內容的可見性。網絡信息的真實性是指信息的可信度，主要是指對信息所有者或發(fā)送者的身份的確認。前不久，美國計算機安全專家又提出了一種新的安全框架，包括：機密性(Confidentiality)、完整性(Integrity)、可用性(Availability)、真實性(Authenticity)、實用性(Utility)、占有性(Possession)，即在原來的基礎上增加了實用性、占有性，認為這樣才能解釋各種

,丟失了密鑰的網絡安全問題：網絡信息的實用性是指信息加密密鑰不可丟失(不是泄密,丟失了密鑰的信息也就丟失了信息的實用性，成為垃圾。網絡信息的占有性是指存儲信息的節(jié)點、磁盤等信息載體被盜用，導致對信息的占用權的喪失。保護信息占有性的方法有使用版權、專利、商業(yè)秘密性，提供物理和邏輯的存取限制方法；維護和檢查有關盜竊文件的審記記錄、使用標簽等。二.攻擊互聯網絡安全性的類型對互聯網絡的攻擊包括對靜態(tài)數據的攻擊和對動態(tài)數據的攻擊。對靜態(tài)數據的攻擊主要有：口令猜測：通過窮舉方式搜索口令空間，逐一測試，得到口令，進而非法入侵系統(tǒng)。IP地址欺騙：攻擊者偽裝成源自一臺內部主機的一個外部地點傳送信息包，這些信息包中包含有內部系統(tǒng)的源IP地址，冒名他人，竊取信息。指定路由：發(fā)送方指定一信息包到達目的站點的路由，而這條路由是經過精心設計的、繞過設有安全控制的路由。根據對動態(tài)信息的攻擊形式不同，可以將攻擊分為主動攻擊和被動攻擊兩種。被動攻擊主要是指攻擊者監(jiān)聽網絡上傳遞白信息流，從而獲取信息的內容(interception),或僅僅希望得到信息流的長度、傳輸頻率等數據，稱為流量分析(traficanalysis)。被動攻擊和竊聽示意圖如圖1、圖2所示：流量分析除了被動攻擊的方式外，攻擊者還可以采用主動攻擊的方式。主動攻擊是指攻擊者通過有選擇的修改、刪除、延遲、亂序、復制、

插入數據流或數據流的一部分以達到其非法目的。主動攻擊可以歸納為中斷、篡改、偽造三種（見圖3）。中斷是指阻斷由發(fā)送方到接收方的信息流，使接收方無法得到該信息，這是針對信息可用性的攻擊（如圖4）。篡改是指攻擊者修改、破壞由發(fā)送方到接收方的信息流，使接收方得到錯誤的信息，從而破壞信息的完整性（如圖5）。偽造是針對信息的真實性的攻擊,攻擊者或者是首先記錄一段發(fā)送方與接收方之間的信息流，然后在適當時間向接收方或發(fā)送方重放（playback）這段信息，或者是完全偽造一段信息流，冒充接收方可信任的第三方，向接收方發(fā)送。（如圖6）O網絡安全機制應具有的功O網絡安全機制應具有的功臺匕目匕由于上述威脅的存在，因此采取措施對網絡信息加以保護，以使受到攻擊的威脅減到最小是必須的。一個網絡安全系統(tǒng)應有如下的功能：.身份識別：身份識別是安全系統(tǒng)應具備的最基本功能。這是驗證通信雙方身份的有效手段，用戶向其系統(tǒng)請求服務時，要出示自己的身份證明，例如輸入UserID和Password而系統(tǒng)應具備查驗用戶的身份證明的能力，對于用戶的輸入，能夠明確判別該輸入是否來自合法用戶。.存取權限控制：其基本任務是防止非法用戶進入系統(tǒng)及防止合法用戶對系統(tǒng)資源的非法使用。在開放系統(tǒng)中，網上資源的使用應制訂一些規(guī)定：一是定義哪些用戶可以訪問哪些資源，二是定義可以訪問的用戶各自具備的讀、寫、操作等權限。.數字簽名：即通過一定的機制如RSA公鑰加密算法等，使信息接收方能夠做出“該信息是來自某一數據源且只可能來自該數據源”的判斷。．保護數據完整性：既通過一定的機制如加入消息摘要等，以發(fā)現信息是否被非法修改，避免用戶或主機被偽信息欺騙。．審計追蹤：既通過記錄日志、對一些有關信息統(tǒng)計等手段，使系統(tǒng)在出現安全問題時能夠追查原因。．密鑰管理：信息加密是保障信息安全的重要途徑，以密文方式在相對安全的信道上傳遞信息，可以讓用戶比較放心地使用網絡，如果密鑰泄露或居心不良者通過積累大量密文而增加密文的破譯機會，都會對通信安全造成威脅。因此，對密鑰的產生、存儲、傳遞和定期更換進行有效地控制而引入密鑰管理機制，對增加網絡的安全性和抗攻擊性也是非常重要的。四。網絡信息安全常用技術通常保障網絡信息安全的方法有兩大類：以“防火墻”技術為代表的被動防衛(wèi)型和建立在數據加密、用戶授權確認機制上的開放型網絡安全保障技術。．防火墻技術：“防火墻”(Firewall)安全保障技術主要是為了保護與互聯網相連的企業(yè)內部網絡或單獨節(jié)點。它具有簡單實用的特點，并且透明度高,可以在不修改原有網絡應用系統(tǒng)的情況下達到一定的安全要求。防火墻一方面通過檢查、分析、過濾從內部網流出的IP包，盡可能地對外部網絡屏蔽被保護網絡或節(jié)點的信息、結構，另一方面對內屏蔽外部某些危險地址，實現對內部網絡的保護。．數據加密與用戶授權訪問控制技術：與防火墻相比，數據加密與用戶授權訪問控制技術比較靈活，更加適用于開放網絡。用戶授權訪問控制主要用于對靜態(tài)信息的保護，需要系統(tǒng)級別的支持，一般在操作系統(tǒng)中實現。數據加密主要用于對動態(tài)信息的保護。前面已經提到，對動態(tài)數據的攻擊分為主動攻擊和被動攻擊，我們注意到，對于主動攻擊，雖無法避免，但卻可以有效的檢測；而對于被動攻擊，雖無法檢測，但卻可以避免，而實現這一切的基礎就是數據加密。數據加密實質上是對以符號為基礎的數據進行移位和置換的變換算法。這種變換是受稱為密鑰的符號串控制的。在傳統(tǒng)的加密算法中，加密密鑰與解密密鑰是相同的，或者可以由其中一個推知另一個，稱為對稱密鑰算法。這樣的密鑰必須秘密保管，只能為授權用戶所知，授權用戶既可以用該密鑰加密信息，也可以用該密鑰解密信息。DES(DataEncryptionStandard)是對稱加密算法中最具代表性的,它是IBM公司W.tuchman和C.meyer在1971年到1972年研制成功的，在1977年5月由美國國家標準局頒部為數據加密標準。DES可以對任意長度的數據加密，密鑰長度64比特，實際可用密鑰長度56比特，加密時首先將數據分為64比特的數據塊，采用ECB(ElectronicCodeBook)、CBC(CiperBlockChaining)、CFB(CiperBlockFeedback)等模式之一，每次將輸入的64比特明文變換為64比特密文。最終，將所有輸出數據塊合并，實現數據加密。如果加密、解密過程各有不相干的密鑰，構成加密、解密密鑰對，則稱這種加密算法為非對稱加密算法，或稱為公鑰加密算法，相應的加密、解密密鑰分別稱為公鑰、私鑰。在公鑰加密算法下，公鑰是公開的，任何人可以用公鑰加密信息，再將密文發(fā)送給私鑰擁有者；私鑰是保密的，用于解密其接收的公鑰加密過的信息。典型的公鑰加密算法如RSA(RonaldLRivest,AdiShamir,LeonardAdleman)，是目前使用比較廣泛的加密算法。在互聯網上的數據安全傳輸，如NetscapeNavigator和MicrosoftInternetExplorer都使用了該算法。RSA算法建立在大數因子分解的復雜性上，簡單來說，先選取兩個素數p、q，一般要求兩數均大于10的100次冪，計算n=p*q，z=(p-1)*(q-1)，選擇一個與z互質的數d,找一個數e滿足d*e三1(modz)，將(e,n)作為公鑰，將(d,z)作為密鑰。RSA的保密性在于n的分解難度上，如果n分解成功，則可推知(d，z)，也就無保密性可言了。有了信息加密的手段，我們就可以對動態(tài)信息采取保護措施了。為了防止信息內容泄露，我

們可以將被傳送的信息加密，使信息以密文的形式在網絡上傳輸。這樣，攻擊者即使截獲了信息，也只是密文，而無法知道信息的內容。為了檢測出攻擊者篡改了消息內容，可以采用認證的方法，即或是對整個信息加密，或是由一些消息認證函數(MAC函數)生成消息認證碼(MessageAuthenticationCode)，再對消息認證碼加密，隨信息一同發(fā)送。攻擊者對信息的修改將導致信息與消息認證碼的不一致，從而達到檢測消息完整性的目的。為了檢測出攻擊者偽造信息，可以在信息中加入加密的消息認證碼和時間戳，這樣，若是攻擊者發(fā)送自己生成的信息，將無法生成對應的消息認證碼，若是攻擊者重放以前的合法信息，接收方可以通過檢驗時間戳的方式加以識別。五。對網絡信息安全的前景的展望隨著網絡的發(fā)展，技術的進步，網絡安全面臨的挑戰(zhàn)也在增大。一方面，對網絡的攻擊方式層出不窮：1996年以報道的攻擊方式有400種，1997年達到1000種，1998年即達到4000種，兩年間增加了十倍，攻擊方式的增加意味著對網絡威脅的增大；隨著硬件技術和并行技術的發(fā)展，計算機的計算能力迅速提高，原來認為安全的加密方式有可能失效，如1994年4月26日，人們用計算機破譯了RSA發(fā)明人17年前提出的數學難題：一個129位數數字中包含的一條密語，而在問題提出時預測該問題用計算機需要850萬年才能分解成功；針對安全通信措施的攻擊也不斷取得進展，如1990年6月20日美國科學家找到了155位大數因子的分解方法，使“美國的加密體制受到威脅”。另一方面，網絡應用范圍的不斷擴大，使人們對網絡依賴的程度增大，對網絡的破壞造