第二章-網(wǎng)絡安全體系結構

網(wǎng)絡平安技術（劉化君編著）機械工業(yè)出版社一般高等教化“十一五”計算機類規(guī)劃教材第2章網(wǎng)絡平安體系結構第2章網(wǎng)絡平安體系結構2.1OSI平安體系結構 2.1.1平安體系結構的5類平安服務 2.1.2平安體系結構的8種平安機制 2.1.3網(wǎng)絡平安防衛(wèi)體系架構2.2網(wǎng)絡通信平安模型 2.2.1網(wǎng)絡訪問平安模型 2.2.2網(wǎng)絡平安體系結構參考模型的應用2.3.可信計算 2.3.1可信計算的概念 2.3.2可信計算的關鍵技術 2.3.3可信計算的發(fā)展趨勢2.4網(wǎng)絡平安標準及管理 2.4.1網(wǎng)絡與信息平安標準體系 2.4.2網(wǎng)絡與信息平安標準化概況 2.4.3可信計算機系統(tǒng)平安評價準則 2.4.4網(wǎng)絡平安管理2.1OSI平安體系結構圖2-1OSI平安體系結構三維示意圖2.1OSI平安體系結構2.1.1平安體系結構的5類平安服務1）身份認證服務 身份認證服務也稱之為身份鑒別服務，這是一個向其他人證明身份的過程，這種服務可防止實體假冒或重放以前的連接，即偽造連接初始化攻擊。 身份認證是其它平安服務，如授權、訪問限制和審計的前提，它對通信中的對等實體供應鑒別和數(shù)據(jù)源點鑒別兩種服務。2）訪問限制服務 在網(wǎng)絡平安中，訪問限制是一種限制，限制那些通過通信連接對主機和應用系統(tǒng)進行訪問的實力。訪問限制服務的基本任務是防止非法用戶進入系統(tǒng)及防止合法用戶對系統(tǒng)資源的非法訪問運用。 訪問限制和身份認證是緊密結合在一起的，在一個應用進程被授予權限訪問資源之前，它必需首先通過身份認證。2.1OSI平安體系結構2.1.1平安體系結構的5類平安服務3）數(shù)據(jù)機密性服務數(shù)據(jù)機密性服務是指對數(shù)據(jù)供應平安愛護，防止數(shù)據(jù)被未授權用戶獲知。4）數(shù)據(jù)完整性服務數(shù)據(jù)完整性服務通過驗證或維護信息的一樣性，防止主動攻擊，確保收到的數(shù)據(jù)在傳輸過程中沒有被修改、插入、刪除、延遲等。5）不行否認服務不行否認服務主要是防止通信參與者事后否認參與。OSI平安體系結構定義了兩種不行否認服務：①發(fā)送的不行否認服務，即防止數(shù)據(jù)的發(fā)送者否認曾發(fā)送過數(shù)據(jù)；②接收的不行否認服務，即防止數(shù)據(jù)的接收者否認曾接收到數(shù)據(jù)。2.1OSI平安體系結構2.1.2平安體系結構的8種平安機制平安服務依靠于平安機制的支持。網(wǎng)絡平安機制可分為兩類：一類與平安服務有關，另一類與管理功能有關。OSI平安體系結構規(guī)定了8種平安機制。1.數(shù)據(jù)加密機制加密機制（EncryptionMechanisms）指通過對數(shù)據(jù)進行編碼來保證數(shù)據(jù)的機密性，以防數(shù)據(jù)在存儲或傳輸過程中被竊取。2.數(shù)字簽名機制數(shù)字簽名機制（DigitalSignatureMechanisms）指發(fā)信人用自己的私鑰通過簽名算法對原始數(shù)據(jù)進行數(shù)字簽名運算，并將運算結果，即數(shù)字簽名一同發(fā)給收信人。收信人可以用發(fā)信人的公鑰及收到的數(shù)字簽名來校驗收到的數(shù)據(jù)是否是由發(fā)信人發(fā)出的，是否被其它人修改過。數(shù)字簽名是確保數(shù)據(jù)真實性的基本方法。2.1OSI平安體系結構2.1.2平安體系結構的8種平安機制3.訪問限制機制訪問限制機制（AccessControlMechanisms）是網(wǎng)絡平安防護的核心策略，它的主要任務是按事先確定的規(guī)則確定主體對客體的訪問是否合法，以愛護網(wǎng)絡系統(tǒng)資源不被非法訪問和運用。4.數(shù)據(jù)完整性機制數(shù)據(jù)完整性機制（DataIntegrityMechanisms）是指通過數(shù)字加密（利用加密算法將明文轉換犯難以理解的密文和反過來將密文轉換為可理解形式的明文），保證數(shù)據(jù)不被篡改。數(shù)據(jù)完整性用以阻擋非法實體對交換數(shù)據(jù)的修改、插入、刪除以及在數(shù)據(jù)交換過程中的數(shù)據(jù)丟失。2.1OSI平安體系結構2.1.2平安體系結構的8種平安機制5.認證交換機制認證交換機制（AuthenticationMechanisms）是指通過信息交換來確保實體身份的機制，即通信的數(shù)據(jù)接收方能夠確認數(shù)據(jù)發(fā)送方的真實身份，以及認證數(shù)據(jù)在傳送過程中是否被篡改；主要有站點認證、報文認證、用戶和進程的認證等方式。6.通信流量填充機制通信流量填充機制（TrafficPaddingMechanisms）是指由保密裝置在多數(shù)據(jù)傳輸時，連續(xù)發(fā)出偽隨機序列，使得非法攻擊者不知哪些是有用數(shù)據(jù)、哪些是無用數(shù)據(jù)，從而挫敗攻擊者在線路上監(jiān)聽數(shù)據(jù)并對其進行數(shù)據(jù)流分析攻擊。2.1OSI平安體系結構2.1.2平安體系結構的8種平安機制7.路由限制機制路由限制機制（RoutingControlMechanisms）用于引導發(fā)送者選擇代價小且平安的特殊路徑，保證數(shù)據(jù)由源節(jié)點動身，經(jīng)最佳路由，平安到達目的節(jié)點。8.公證機制公證機制（NotarizationMechanisms）是指第三方（公證方）參與的簽名機制，主要用來對通信的沖突雙方因事故和信用危機導致的責任糾紛進行公證仲裁。公證機制一般要通過設立公證機構（各方都信任的實體）來實現(xiàn)。公證機構有適用的數(shù)字簽名、加密或完整性公證機制，當實體相互通信時，公證機構就運用這些機制進行公證。2.1OSI平安體系結構2.1.3網(wǎng)絡平安防護體系架構OSI平安體系結構通過不同層上的平安機制來實現(xiàn)。這些平安機制在不同層上的分布狀況如圖2-2所示。圖2-2網(wǎng)絡平安層次模型及各層主要平安機制分布2.1OSI平安體系結構2.1.3網(wǎng)絡平安防護體系架構圖2-2所示的網(wǎng)絡平安層次模型是基于ISO/OSI參考模型7層協(xié)議之上的信息平安體系。也就是說，OSI平安體系結構也是按層次來實現(xiàn)服務的。每一層供應的平安服務可以選擇，各層所供應服務的重要性也不一樣。表2-1供應了實現(xiàn)各種平安服務可以選用的平安機制，也顯示出供應各種平安服務的層次（ISO7498-2）。2.2網(wǎng)絡通信平安模型2.2.1網(wǎng)絡訪問平安模型圖2-3網(wǎng)絡通信平安模型在這個模型中，兩個方面用來保證平安：一是與收發(fā)相關的平安轉換，如對消息加密。這種平安轉換使得攻擊者不能讀懂消息，或者將基于消息的編碼附于消息后。二是雙方共享的某些隱私信息，并希望這些信息不為攻擊者所獲知。為了實現(xiàn)平安傳輸，還須要有可信的第三方。例如，由第三方負責將隱私信息（密鑰）安排給通信雙方，或者當通信雙方對于數(shù)據(jù)傳輸?shù)恼鎸嵭园l(fā)生爭吵時，由第三方來仲裁。2.2網(wǎng)絡通信平安模型2.2.1網(wǎng)絡訪問平安模型 歸納起來，由圖2-3所示的通信模型可知，在設計網(wǎng)絡平安系統(tǒng)時，應完成下述四個方面的基本任務： 1）設計一個用來執(zhí)行與平安相關的平安轉換算法，而且該算法是攻擊者無法破譯的； 2）產(chǎn)生一個用于該算法的隱私信息（密鑰）； 3）設計一個安排和共享隱私信息（密鑰）的方法； 4）指明通信雙方運用的協(xié)議，該協(xié)議利用平安算法和隱私信息實現(xiàn)特定的平安服務。2.2網(wǎng)絡通信平安模型2.2.1網(wǎng)絡訪問平安模型 并非全部的與平安相關的情形都可以用上述平安模型來描述。比如，萬維網(wǎng)(WWW)的平安模型就應另加別論。其平安模型可以接受如圖2-4所示的網(wǎng)絡訪問平安模型來描述。該模型的側重點在于如何有效地避開惡意訪問。圖2-4網(wǎng)絡訪問平安模型2.2網(wǎng)絡通信平安模型2.2.2網(wǎng)絡平安體系結構參考模型的應用 作為全方位的網(wǎng)絡平安防護體系也是分層次的，不同層次反映了不同的平安需求。依據(jù)網(wǎng)絡的應用現(xiàn)狀和拓撲結構，可以將平安防護體系的層次劃分為物理層平安、系統(tǒng)層平安、網(wǎng)絡層平安、應用層平安和平安管理。1．物理環(huán)境的平安性（物理層平安） 該層次的平安包括通信線路的平安，物理設備的平安，機房的平安等。物理層的平安主要體現(xiàn)在通信線路的牢靠性（線路備份、網(wǎng)管軟件、傳輸介質），軟硬件設備平安性（替換設備、拆卸設備、增加設備），設備的備份，防災難實力，防干擾實力，設備的運行環(huán)境（溫度、濕度、煙塵），不間斷電源保障，等等。2.2網(wǎng)絡通信平安模型2.2.2網(wǎng)絡平安體系結構參考模型的應用2．操作系統(tǒng)的平安性（系統(tǒng)層平安） 該層次的平安問題來自網(wǎng)絡內所運用操作系統(tǒng)的平安，如WindowsNT，Windows2003/XP/Win7等。主要表現(xiàn)在三個方面，一是操作系統(tǒng)本身的缺陷帶來的擔憂全因素，主要包括身份認證、訪問限制、系統(tǒng)漏洞等；二是對操作系統(tǒng)的平安配置；三是病毒對操作系統(tǒng)的威逼。3．網(wǎng)絡系統(tǒng)的平安性（網(wǎng)絡層平安） 該層次的平安問題主要體現(xiàn)在網(wǎng)絡系統(tǒng)的平安性，包括網(wǎng)絡層身份認證，網(wǎng)絡資源的訪問限制，數(shù)據(jù)傳輸?shù)臋C密性與完整性，遠程接入的平安，域名系統(tǒng)的平安，路由系統(tǒng)的平安，入侵檢測的手段及防病毒技術等。2.2網(wǎng)絡通信平安模型2.2.2網(wǎng)絡平安體系結構參考模型的應用4．應用的平安性（應用層平安） 該層次的平安威逼主要來自于所運用的互聯(lián)網(wǎng)系統(tǒng)應用軟件和數(shù)據(jù)庫的平安性，包括Web服務、電子郵件系統(tǒng)、DNS等。此外，還包括惡意代碼對系統(tǒng)的平安威逼。5．管理的平安性（管理層平安） 網(wǎng)絡平安管理涉及的內容較多，包括技術和設備的管理、管理制度、部門與人員的組織規(guī)則等。尤其是平安管理的制度化在網(wǎng)絡平安中有著不行忽視的作用，嚴格的平安管理制度、責任明確的部門平安職責、合理的人員角色配置，都可以有效地增加網(wǎng)絡的平安性。2.3.可信計算2.3.1可信計算的概念 所謂可信計算，就是以為信息系統(tǒng)供應牢靠和平安運行環(huán)境為主要目標，能夠超越預設平安規(guī)則，執(zhí)行特殊行為的一種運行實體。ISO/IEC15408標準將可信計算定義為：一個可信的組件、操作或過程的行為在隨意操作條件下是可預料的，并能很好地反抗應用程序軟件、病毒，以及確定的物理干擾所造成的破壞。這種描述強調行為的可預料性，能反抗各種破壞，達到預期的目標。TCG對“可信”的定義是：針對所給定的目標，假如一個實體的行為總是能夠被預期，那么該實體則是可信的。這個定義將可信計算與已有的平安技術分開，可信強調行為過程及結果可預期，但并不等于行為是平安的；平安則主要強調網(wǎng)絡與信息系統(tǒng)的機密性、完整性、可用性等基本特性。這是兩個不同的概念。2.3.可信計算2.3.2可信計算的關鍵技術可信計算探討涵蓋多個學科領域，包括計算機科學與技術、通信技術、數(shù)學、管理科學、系統(tǒng)科學、社會學、心理學和法律等。由于可信計算概念來自于工程技術發(fā)展，基礎理論模型尚未建立，現(xiàn)有的體系結構也還是從工程實施上來構建的，缺乏科學嚴密性。但在理論探討上，它已受到國際社會的重視，如IEEE組織于2004年開辦了IEEETransactionsonDependableandSecureComputing雜志，特地刊發(fā)可信計算探探討文。主要內容包含：可信計算的基礎理論模型、可信計算的體系結構、可信軟件和可信計算的平安保障等。2.3.可信計算2.3.2可信計算的關鍵技術1.可信計算的基本屬性 可信計算環(huán)境的基本屬性一般包含牢靠性、平安性、完整性、機密性、可用性、可預料性、生存性、互操作性和可控性?？蓮乃膫€方面予以理解：①用戶身份唯一性認證，這是對運用者的信任；②平臺軟硬件配置的正確性，體現(xiàn)運用者對平臺運行環(huán)境的信任；③應用程序的完整性和合法性，體現(xiàn)應用程序運行的可信；④平臺之間的可驗證性，指網(wǎng)絡環(huán)境下平臺之間的相互信任。2.3.可信計算2.3.2可信計算的關鍵技術2.可信平臺模塊 可信平臺模塊（TPM）事實上是一個含有密碼運算和存儲部件的小型片上系統(tǒng)（SystemonChip，SOC）,由CPU、存儲器、I/O、密碼運算部件、隨機數(shù)產(chǎn)生器和嵌入式操作系統(tǒng)等部件組成。TPM的核心功能在于對CPU處理的數(shù)據(jù)進行加密，同時監(jiān)測系統(tǒng)底層的狀態(tài)。它不運用計算機的內存和外存，工作獨立于操作系統(tǒng)和BIOS；在內部實現(xiàn)一些公開的平安算法，以便于與其它部件的接口標準化。2.3.可信計算2.3.2可信計算的關鍵技術3.可信計算平臺體系結構 可信計算平臺是以可信平臺模塊(TPM)為核心，把CPU、操作系統(tǒng)、應用軟件和網(wǎng)絡基礎設施融合為一體的完整體系結構。一個典型的可信個人計算機平臺上的軟件體系結構，主要分為三層：可信平臺模塊(TPM)、可信軟件棧(TrustedSoftwareStack，TSS)和應用軟件，如圖2-6所示。2.3.可信計算2.3.3可信計算的發(fā)展趨勢對于TCG的各種相識始終存在不同的看法與爭論，但不管怎么說，可信計算的使命還是旨在解決大多數(shù)平安問題。明顯，僅靠TPM和TCM遠遠不夠，僅靠可信計算也是不夠的；完全通過認證的方法不行能解決全部的平安問題。隨著人們對可信計算提出的更高要求，可信計算發(fā)展戰(zhàn)略近來已發(fā)生很大變更，正向兩個方向邁進，一是從終端到網(wǎng)絡，二是從網(wǎng)絡基礎設施到終端。目前，TCG成員包括全球150個大型IT企業(yè)，包括Intel、AMD、IBM、HP、Microsoft等在內的公司，正在探討建立一個以標準為核心的信息平安基礎設施，其中包括了幾乎全部的平安產(chǎn)品的應用，發(fā)展前景是通過規(guī)范、探討和商業(yè)運作將其建成一個基于硬件的平臺。另外，可信計算的全部產(chǎn)品都必需基于標準的接口，不但在TPM環(huán)境下能夠得到支持，在非TPM環(huán)境下也能得到支持。2.4網(wǎng)絡平安標準及管理2.4.1網(wǎng)絡與信息平安標準體系圖2-7網(wǎng)絡與信息平安標準體系示意圖2.4網(wǎng)絡平安標準及管理2.4.2網(wǎng)絡與信息平安標準化概況1.國外網(wǎng)絡與信息平安標準化簡況 20世紀70年頭以美國為首的西方發(fā)達國家就已起先關注網(wǎng)絡與信息平安標準，到20世紀90年頭隨著互聯(lián)網(wǎng)的普及運用，網(wǎng)絡與信息平安標準日益受到世界各國和各種組織的關注。目前世界上與信息平安標準化有關的主要組織機構有ISO、IEC、ITU、IETF、IEEE和ETSI。2.國內網(wǎng)絡與信息平安標準探討現(xiàn)狀 我國始終高度關注網(wǎng)絡與信息平安標準化工作，從20世紀80年頭就已經(jīng)起先網(wǎng)絡與信息平安標準的探討，現(xiàn)在已正式發(fā)布相關國家標準60多個。另外，信息產(chǎn)業(yè)部、公安部、平安部、國家保密局等也相繼制訂、頒布了一批網(wǎng)絡與信息平安的行業(yè)標準，為推動網(wǎng)絡與信息平安技術在各行業(yè)的應用發(fā)揮了主動的作用。2.4網(wǎng)絡平安標準及管理2.4.3可信計算機系統(tǒng)平安評價準則 在網(wǎng)絡系統(tǒng)可信度的評估中，美國國防部制訂的可信計算機系統(tǒng)平安評價準則（TCSEC）具有重要的歷史地位和作用；我國依據(jù)自己的信息平安狀況也制訂了系列評價標準。 在可信計算機系統(tǒng)評價準則（TCSEC）中，將計算機系統(tǒng)平安劃分為四類七級，由高到低依次是：A、B3、B2、B1、C2、C1和D，其中A級為最