《物聯(lián)網(wǎng)信息安全》(桂小林版)(第6章)課件

第六章系統(tǒng)安全桂小林2014.9.17第六章系統(tǒng)安全桂小林桂小林1

26.1系統(tǒng)安全的概念6.2惡意攻擊6.3入侵檢測6.4攻擊防護6.5網(wǎng)絡(luò)安全通信協(xié)議6.6本章小結(jié)本章內(nèi)容26.1系統(tǒng)安全的概念本章內(nèi)容桂小林2

3第六章系統(tǒng)安全基本要求熟悉系統(tǒng)安全的概念和各種隱患了解惡意攻擊的概念、來源和攻擊的原理了解入侵檢測的相關(guān)方法技術(shù)了解攻擊防護技術(shù)相關(guān)概念熟悉網(wǎng)絡(luò)安全通信協(xié)議根據(jù)本章文獻，參閱一篇感興趣的文獻并總結(jié)。3第六章系統(tǒng)安全基本要求桂小林3

46.1系統(tǒng)安全概念系統(tǒng)安全的范疇嵌入式節(jié)點的安全網(wǎng)絡(luò)通信系統(tǒng)的安全存儲系統(tǒng)的安全46.1系統(tǒng)安全概念系統(tǒng)安全的范疇桂小林4

56.1系統(tǒng)安全概念系統(tǒng)安全的隱患什么是安全威脅安全威脅是指對安全的一種潛在的侵害，威脅的實施稱為攻擊信息安全的威脅就是指某個主體對信息資源的機密性、完整性、可用性等所造成的侵害。系統(tǒng)缺陷系統(tǒng)缺陷又可稱為系統(tǒng)漏洞，是指應(yīng)用軟件、操作系統(tǒng)或系統(tǒng)硬件在邏輯設(shè)計上無意造成的設(shè)計缺陷或錯誤。惡意軟件攻擊惡意軟件的攻擊主要表現(xiàn)在各種木馬和病毒軟件對信息系統(tǒng)的破壞56.1系統(tǒng)安全概念系統(tǒng)安全的隱患桂小林5

66.1系統(tǒng)安全概念系統(tǒng)安全的隱患外部網(wǎng)絡(luò)攻擊TCPflood攻擊Smurf攻擊DDoS攻擊釣魚攻擊非授權(quán)和認證訪問行為否認非授權(quán)訪問66.1系統(tǒng)安全概念系統(tǒng)安全的隱患桂小林66.2惡意攻擊什么是惡意攻擊網(wǎng)絡(luò)惡意攻擊通常是指利用系統(tǒng)存在的安全漏洞或弱點，通過非法手段獲得某信息系統(tǒng)機密信息的訪問權(quán)，以及對系統(tǒng)部分或全部的控制權(quán)，并對系統(tǒng)安全構(gòu)成破壞或威脅。惡意攻擊的來源惡意軟件木馬蠕蟲病毒DDoS6.2惡意攻擊什么是惡意攻擊桂小林76.2惡意攻擊病毒攻擊的原理計算機病毒計算機病毒（ComputerVirus）的廣義定義是一種人為制造的、能夠進行自我復(fù)制的、具有對計算機資源的破壞作用的一組程序或指令的集合。《中華人民共和國計算機信息系統(tǒng)安全保護條例》中定義的計算機病毒是指編制或者在計算機程序中插入的破壞計算機功能或者破壞數(shù)據(jù)，影響計算機使用并且能夠自我復(fù)制的一組計算機指令或者程序代碼。6.2惡意攻擊病毒攻擊的原理桂小林86.2惡意攻擊病毒攻擊的原理病毒的特征可執(zhí)行性傳染性非授權(quán)性隱蔽性潛伏性破壞性寄生性不可預(yù)見性誘惑欺騙性6.2惡意攻擊病毒攻擊的原理桂小林96.2惡意攻擊病毒攻擊的原理病毒的分類引導(dǎo)型病毒文件型病毒復(fù)合型病毒宏病毒計算機蠕蟲特洛伊木馬6.2惡意攻擊病毒攻擊的原理桂小林106.2惡意攻擊病毒攻擊的原理病毒攻擊的原理分析以引導(dǎo)型病毒為例分析正常DOS自舉帶病毒的DOS自舉6.2惡意攻擊病毒攻擊的原理正常DOS自舉帶病毒的DOS自桂小林116.2惡意攻擊木馬攻擊的原理什么是木馬木馬是一種后門程序，黑客可以利用其盜取用戶的隱私信息，甚至遠程控制對方的計算機。完整的木馬程序一般由兩個部份組成，一個是服務(wù)器被控制端程序，一個是客戶端控制端程序。木馬典型攻擊原理當(dāng)服務(wù)器端在目標計算機上被執(zhí)行后，木馬打開一個默認的端口進行監(jiān)聽，當(dāng)客戶端（控制端）向服務(wù)器端（被控主機部分）提出連接請求，被控主機上的木馬程序就會自動應(yīng)答客戶端的請求，服務(wù)器端程序與客戶端建立連接后，客戶端（控制端）就可以發(fā)送各類控制指令對服務(wù)器端（被控主機）進行完全控制，其操作幾乎與在被控主機的本機操作權(quán)限完全相同。6.2惡意攻擊木馬攻擊的原理桂小林126.2惡意攻擊木馬攻擊的原理木馬植入原理通過電子郵件附件的方式捆綁在各類軟件中網(wǎng)頁掛馬木馬隱藏原理木馬程序隱藏啟動隱藏方式進程隱藏通信隱藏通過設(shè)備驅(qū)動和動態(tài)連接口隱藏

6.2惡意攻擊木馬攻擊的原理桂小林136.3入侵檢測入侵檢測的概念入侵入侵是指在信息系統(tǒng)中進行非授權(quán)的訪問或活動，不僅指非系統(tǒng)用戶非授地登陸系統(tǒng)和使用系統(tǒng)資源，還包括系統(tǒng)內(nèi)的用戶濫用權(quán)力對系統(tǒng)造成的破壞，如非法盜用他人帳戶，非法獲得系統(tǒng)管理員權(quán)限，修改或刪除系統(tǒng)文件等。入侵檢測入侵檢測可以被定義為識別出正在發(fā)生的入侵企圖或已經(jīng)發(fā)生的入侵活動的過程。對外部入侵（非授權(quán)使用）行為的檢測。對內(nèi)部用戶（合法用戶）濫用自身權(quán)限的檢測。6.3入侵檢測入侵檢測的概念桂小林146.3入侵檢測入侵檢測的概念入侵檢測系統(tǒng)進行入侵檢測的軟件與硬件的組合便是入侵檢測系統(tǒng)（IntrusionDetectionSystem，IDS）入侵檢測的內(nèi)容試圖闖入成功闖入冒充其他用戶違反安全策略合法用戶的泄漏獨占資源以及惡意使用6.3入侵檢測入侵檢測的概念桂小林156.3入侵檢測入侵檢測系統(tǒng)組成數(shù)據(jù)源探測器分析器管理器管理員安全策略6.3入侵檢測入侵檢測系統(tǒng)桂小林166.3入侵檢測入侵檢測系統(tǒng)入侵檢測系統(tǒng)分類基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)（NetworkIntrusionDetectionSystem，NIDS）基于主機的入侵檢測系統(tǒng)（Host-basedIntrusionDetectionSystem，HIDS）NIDS優(yōu)勢：獨立與操作系統(tǒng)，檢測實時性強缺點：需要傳回大量的網(wǎng)絡(luò)數(shù)據(jù)包，無法分析加密數(shù)據(jù)，存在攻擊特征被拆分的情況等6.3入侵檢測入侵檢測系統(tǒng)桂小林176.3入侵檢測入侵檢測系統(tǒng)HIDS優(yōu)勢能很好的處理加密數(shù)據(jù)包可以綜合多個數(shù)據(jù)源進行分析高速網(wǎng)絡(luò)情況下不存在數(shù)據(jù)表丟失的情況缺點降低系統(tǒng)性能配置和維護困難逃避檢測存在數(shù)據(jù)欺騙的問題實時性較差6.3入侵檢測入侵檢測系統(tǒng)桂小林186.3入侵檢測入侵檢測系統(tǒng)入侵檢測的方法特征檢測統(tǒng)計檢測專家系統(tǒng)其他檢測方法6.3入侵檢測入侵檢測系統(tǒng)桂小林196.3入侵檢測入侵檢測系統(tǒng)入侵檢測的方法特征檢測統(tǒng)計檢測專家系統(tǒng)其他檢測方法基于免疫系統(tǒng)的檢測方法遺傳算法基于內(nèi)核的檢測方法6.3入侵檢測入侵檢測系統(tǒng)桂小林206.3入侵檢測入侵檢測系統(tǒng)蜜罐和蜜網(wǎng)蜜罐（Honeypot）Honeypot是一種網(wǎng)絡(luò)入侵檢測系統(tǒng)，它誘導(dǎo)攻擊者訪問預(yù)先設(shè)置的蜜罐而不是工作中網(wǎng)絡(luò)，可以提高檢測攻擊和攻擊者行為的能力，降低攻擊帶來的破壞蜜罐與NIDS相比較的特點較小的數(shù)據(jù)量減少誤報率捕獲漏報資源最小化6.3入侵檢測入侵檢測系統(tǒng)桂小林216.3入侵檢測入侵檢測系統(tǒng)蜜罐和蜜網(wǎng)蜜網(wǎng)（Honeynet）蜜網(wǎng)的概念由蜜罐發(fā)展而來，是由真實計算機組成的網(wǎng)絡(luò)系統(tǒng)，部署有入侵檢測系統(tǒng)，系統(tǒng)和網(wǎng)絡(luò)的安全防護級別設(shè)置較低，誘導(dǎo)入侵者進入系統(tǒng)，并監(jiān)控和記錄入侵者的行為蜜網(wǎng)和蜜罐的異同蜜網(wǎng)是一個網(wǎng)絡(luò)系統(tǒng)，而并非某臺單一主機蜜網(wǎng)中的所有系統(tǒng)都是標準的機器，上面運行的都是真實完整的操作系統(tǒng)及應(yīng)用程序蜜罐是通過把系統(tǒng)的脆弱性暴露給入侵者或是故意使用一些具有強烈誘惑性的信息的假信息來誘騙入侵者蜜網(wǎng)是在入侵檢測的基礎(chǔ)上實現(xiàn)入侵誘騙6.3入侵檢測入侵檢測系統(tǒng)桂小林226.3入侵檢測入侵檢測系統(tǒng)蜜網(wǎng)的原型系統(tǒng)防火墻入侵檢測系統(tǒng)二層網(wǎng)關(guān)蜜網(wǎng)6.3入侵檢測入侵檢測系統(tǒng)桂小林236.3入侵檢測入侵檢測系統(tǒng)病毒檢測檢測方法直接觀察法特征代碼法校驗和法行為監(jiān)測法軟件模擬法6.3入侵檢測入侵檢測系統(tǒng)桂小林246.4攻擊防護防火墻概念防火墻（Firewall）是一種用來加強網(wǎng)絡(luò)之間訪問控制的特殊網(wǎng)絡(luò)設(shè)備，常常被安裝在受保護的內(nèi)部網(wǎng)絡(luò)連接到Internet的點上，它對傳輸?shù)臄?shù)據(jù)包和連接方式按照一定的安全策略對其進行檢查，來決定網(wǎng)絡(luò)之間的通信是否被允許。防火墻內(nèi)的網(wǎng)絡(luò)稱為“可信賴的網(wǎng)絡(luò)”(trustednetwork)，而將外部的因特網(wǎng)稱為“不可信賴的網(wǎng)絡(luò)”(untrustednetwork)。防火墻可用來解決內(nèi)聯(lián)網(wǎng)和外聯(lián)網(wǎng)的安全問題。6.4攻擊防護防火墻桂小林256.4攻擊防護防火墻功能防火墻的功能有兩個：阻止和允許?！白柚埂本褪亲柚鼓撤N類型的通信量通過防火墻（從外部網(wǎng)絡(luò)到內(nèi)部網(wǎng)絡(luò)，或反過來）?！霸试S”的功能與“阻止”恰好相反。防火墻必須能夠識別通信量的各種類型。不過在大多數(shù)情況下防火墻的主要功能是“阻止”。6.4攻擊防護防火墻桂小林266.4攻擊防護防火墻在網(wǎng)絡(luò)中的位置G內(nèi)聯(lián)網(wǎng)可信賴的網(wǎng)絡(luò)不可信賴的網(wǎng)絡(luò)分組過濾路由器

R分組過濾路由器

R應(yīng)用網(wǎng)關(guān)外局域網(wǎng)內(nèi)局域網(wǎng)防火墻因特網(wǎng)6.4攻擊防護防火墻G內(nèi)聯(lián)網(wǎng)可信賴的網(wǎng)絡(luò)不可信賴的網(wǎng)絡(luò)分組桂小林276.4攻擊防護防火墻惡意軟件檢測防護工具惡意軟件檢測防護工具的工作原理(Android系統(tǒng))6.4攻擊防護防火墻惡意軟件檢測防護工具的工作原理(And桂小林286.4攻擊防護病毒查殺毒查殺就是指利用各類安全工具發(fā)現(xiàn)系統(tǒng)中隱藏的各類可疑病毒程序，并且能夠清除感染對象中的病毒，恢復(fù)被病毒感染前的原始信息的能力。病毒查殺工具運行原理圖(Android系統(tǒng)）6.4攻擊防護病毒查殺病毒查殺工具運行原理圖(Androi桂小林296.4攻擊防護沙箱工具沙箱是為一些來源不可信、具有破壞力或無法判定程序意圖的程序同實驗的環(huán)境。軟件安全判定沙箱工具工作原理(Android系統(tǒng)）6.4攻擊防護沙箱工具軟件安全判定沙箱工具工作原理(And桂小林306.4網(wǎng)絡(luò)安全通信協(xié)議協(xié)議協(xié)議是指兩個或多個以上參與者為完成某項特定的任務(wù)而采取的一系列步驟。通信協(xié)議通信協(xié)議是指通信各方關(guān)于通信如何進行所達成的一致性規(guī)則，即由參與通信的各方按確定的步驟做出一系列通信動作，是定義通信實體之間交換信息的格式及意義的一組規(guī)則。6.4網(wǎng)絡(luò)安全通信協(xié)議協(xié)議桂小林316.4網(wǎng)絡(luò)安全通信協(xié)議安全協(xié)議安全協(xié)議是指通過信息的安全交換來實現(xiàn)某種安全目的所共同約定的邏輯操作規(guī)則。網(wǎng)絡(luò)安全通信協(xié)議屬于安全協(xié)議，是指在計算機網(wǎng)絡(luò)中使用的具有安全功能的通信協(xié)議。6.4網(wǎng)絡(luò)安全通信協(xié)議安全協(xié)議桂小林326.4網(wǎng)絡(luò)安全通信協(xié)議TCP/IP安全分析由于TCP/IP協(xié)議簇在早期設(shè)計時是以面向應(yīng)用為根本目的的，因此未能充分考慮到安全性及協(xié)議自身的脆弱性、不完備性，導(dǎo)致網(wǎng)絡(luò)中存在著許多可能遭受攻擊的漏洞。網(wǎng)絡(luò)層協(xié)議的安全隱患IP協(xié)議在實現(xiàn)通信的過程中并不能為數(shù)據(jù)提供完整性和機密性保護，缺少基于IP地址的身份認證機制，容易遭到IP地址欺騙攻擊6.4網(wǎng)絡(luò)安全通信協(xié)議TCP/IP安全分析桂小林336.4網(wǎng)絡(luò)安全通信協(xié)議傳輸層協(xié)議的安全隱患TCP協(xié)議的安全隱患服務(wù)器端維持大量的半連接列表而耗費一定的資源。序列號可計算UDP協(xié)議的安全隱患

不確認報文是否到達不進行流量控制不作糾錯和重傳6.4網(wǎng)絡(luò)安全通信協(xié)議傳輸層協(xié)議的安全隱患桂小林346.4網(wǎng)絡(luò)安全通信協(xié)議應(yīng)用層協(xié)議的安全隱患大部分協(xié)議以超級管理員的權(quán)限運行，一旦這些程序存在安全漏洞且被攻擊者利用，極有可能取得整個系統(tǒng)的控制權(quán)。許多協(xié)議采用簡單的身份認證方式，并且在網(wǎng)絡(luò)中以明文方式傳輸。6.4網(wǎng)絡(luò)安全通信協(xié)議應(yīng)用層協(xié)議的安全隱患桂小林356.4網(wǎng)絡(luò)安全通信協(xié)議TCP/IP的安全體系結(jié)構(gòu)SNMPPGPS/MIMEPEMSETIKETELNETHTTPSX.509RIPv2SNMPv3BGP-4SSLTLSTCPUDPIPsec（AH）IPsec（ESP）IPPPTPL2TPPPPL2F硬件設(shè)備驅(qū)動程序及介質(zhì)介入?yún)f(xié)議應(yīng)用層傳輸層網(wǎng)絡(luò)層鏈路層6.4網(wǎng)絡(luò)安全通信協(xié)議TCP/IP的安全體系結(jié)構(gòu)SNMP桂小林366.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議IPSec（IPSecurity）是IETF于1998年11月公布的IP安全標準，目標是為IPv4和IPv6提供透明的安全服務(wù)。IPSec通過對IP協(xié)議的分組進行加密和認證來保護IP協(xié)議的網(wǎng)絡(luò)傳輸協(xié)議族，用于保證數(shù)據(jù)的機密性、來源可靠性、無連接的完整性并提供抗重播服務(wù)。6.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議桂小林376.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議IPSec的組成AuthenticationHeader（AH，驗證報頭）協(xié)議定義了認證的應(yīng)用方法，提供數(shù)據(jù)源認證和完整性保證EncapsulatingSecurityPayload（ESP，封裝安全有效負載）協(xié)議定義了加密和可選認證的應(yīng)用方法，提供可靠性保證InternetKeyExchange（IKE，密鑰的交換標準）協(xié)議用于密鑰交換6.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議桂小林386.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議IPSec的體系結(jié)構(gòu)6.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議桂小林396.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議IPSec的工作模式傳輸模式傳送模式用來保護上層協(xié)議，用于兩個主機之間端對端的通信隧道模式也稱通道模式，是用來保護整個IP數(shù)據(jù)報，通常在SA的一端或是兩端都是安全網(wǎng)關(guān)時使用6.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議桂小林406.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議IPSec工作模式比較傳輸模式隧道模式AH驗證IP有效載荷和IP報頭及IPv6擴展報頭的選擇部分驗證各個內(nèi)部的IP包（內(nèi)部報頭加上IP有效載荷），加上外部IP報頭和外部IPv6擴展報頭的選擇部分ESP加密IP有效載荷和跟在ESP報頭后面的任何IPv6擴展加密內(nèi)部IP包具有身份驗證的ESP加密IP有效載荷和跟在ESP報頭后面的任何IPv6擴展；驗證IP有效載荷，但沒有IP報頭加密內(nèi)部IP包和驗證內(nèi)部IP包6.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議傳輸模式隧道模式AH驗桂小林416.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議安全關(guān)聯(lián)(SecurityAssociation，SA)為了正確封裝和提取IPsec的數(shù)據(jù)包，有必要采取一套專門的方案，將安全服務(wù)、密鑰等與要保護的通信數(shù)據(jù)聯(lián)系在一起，這樣的構(gòu)建方案稱為安全關(guān)聯(lián)。SA是發(fā)送者和接收者兩個IPsec系統(tǒng)之間的一個單向邏輯連接，若要在一個對等系統(tǒng)間進行源和目的的雙向安全通信，則需要兩個SA。安全關(guān)聯(lián)SA通過一個三元組（安全參數(shù)索引SPI、目的IP地址和安全協(xié)議AH或ESP）來唯一標識。6.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議桂小林426.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議抗重播服務(wù)IPSec協(xié)議通過數(shù)據(jù)包使用一個序列號和一個滑動的接收窗口實現(xiàn)抗重播服務(wù)每個IPSec頭內(nèi)，都包含了一個獨一無二、且單調(diào)遞增的序列號接收窗口的大小可為大于32的任何值，但推薦為64。從性能考慮，窗口大小最好是最終實施IPSec的那臺計算機的字長度的整數(shù)倍6.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議桂小林436.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議ESP協(xié)議ESP的作用是提供機密性保護、有限的流機密性保護、無連接的完整性保護、數(shù)據(jù)源認證和抗重放攻擊等安全服務(wù)ESP支持傳輸模式和隧道模式ESP可以單獨使用，也可以和AH結(jié)合使用。一般ESP不對整個數(shù)據(jù)包加密，而是只加密IP包的有效載荷部分，不包括IP頭。但在端對端的隧道通信中，ESP需要對整個數(shù)據(jù)包加密6.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議桂小林446.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議ESP協(xié)議ESP報頭的結(jié)構(gòu)示意圖ESP的兩種工作模式6.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議ESP報頭的結(jié)構(gòu)示意圖桂小林456.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議AH協(xié)議AH協(xié)議用于為IP數(shù)據(jù)包提供數(shù)據(jù)完整性、數(shù)據(jù)包源地址驗證和一些有限的抗重播服務(wù)與ESP協(xié)議相比，AH不提供對通信數(shù)據(jù)的加密服務(wù)，但能比ESP提供更加廣的數(shù)據(jù)驗證服務(wù)AH工作原理在每一個數(shù)據(jù)包上添加一個身份驗證報頭。此報頭包含一個被加密的hash值（可以將其當(dāng)作數(shù)字簽名，只是它不使用證書），此hash值在整個數(shù)據(jù)包中計算，因此對數(shù)據(jù)的任何更改將導(dǎo)致hash值無效，這樣就提供了完整性保護。AH報頭位置在IP報頭和傳輸層協(xié)議頭之間。AH由協(xié)議號“51”標識6.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議桂小林466.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議AH協(xié)議AH的報頭格式IP包在兩種模式下增加AH的位置和效果圖6.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議AH的報頭格式IP包在桂小林476.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議IKE協(xié)議IKE協(xié)議是IPSec目前正式確定的密鑰交換協(xié)議IKE是一種混合型協(xié)議，由ISAKMP、Oakley和SKEME組成，沿用了ISAKMP的基礎(chǔ)，Oakley的模式以及SKEME的共享和密鑰更新技術(shù)使用了兩個交換階段，階段一用于建立IKESA，階段二利用已建立的IKESA為IPsec協(xié)商具體的一個或多個安全關(guān)聯(lián)，即建立IPsecSAIKE允許四種認證方法，分別是基于數(shù)字簽名的認證、基于公鑰加密的認證、基于修訂的公鑰加密的認證和基于預(yù)共享密鑰的認證6.4網(wǎng)絡(luò)安全通信協(xié)議IPSec協(xié)議桂小林486.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議SSL協(xié)議是一個傳輸層安全協(xié)議。SSL協(xié)議由Netscape公司于1994年11月提出并率先實現(xiàn)，即SSLV2.0Internet-Draft版本1996年3月推出了SSLV3.0Internet-Draft版本,最終被IETF所采納，并制定為傳輸層安全標準。協(xié)議的目標是保證兩個應(yīng)用間通信的保密性和可靠性，可在服務(wù)器和客戶機兩端同時實現(xiàn)支持優(yōu)勢在于它與應(yīng)用層協(xié)議獨立無關(guān)，高層的應(yīng)用層協(xié)議能透明的建立于SSL協(xié)議之上6.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議桂小林496.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議SSL協(xié)議提供三方面服務(wù)認證用戶和服務(wù)器，確保數(shù)據(jù)發(fā)送到正確的客戶機和服務(wù)器加密數(shù)據(jù)以防止數(shù)據(jù)中途被竊取維護數(shù)據(jù)的完整性，確保數(shù)據(jù)在傳輸過程中不被改變6.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議桂小林506.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議SSL協(xié)議工作流程建立網(wǎng)絡(luò)連接選擇與該連接相關(guān)的加密方式和壓縮方式識別雙方的身份確定本次傳輸密鑰傳輸加密數(shù)據(jù)關(guān)閉網(wǎng)絡(luò)連接6.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議桂小林516.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議SSL協(xié)議的分層結(jié)構(gòu)應(yīng)用層協(xié)議（HTTP、Telnet、FTP、SMTP等）SSL握手協(xié)議（HandshakeProtocol）SSL記錄協(xié)議（RecordProtocol）TCP協(xié)議IP協(xié)議SSL協(xié)議6.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議應(yīng)用層協(xié)議（HTTP、Te桂小林526.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議SSL記錄協(xié)議SSL記錄協(xié)議為每一個SSL連接提供以下兩種服務(wù)機密性(Confidentiality)：SSL記錄協(xié)議會協(xié)助雙方產(chǎn)生一把共有的密鑰，利用這把密鑰來對SSL所傳送的數(shù)據(jù)做傳統(tǒng)式加密。消息完整性(MessageIntegrity)：SSL記錄協(xié)議會協(xié)助雙方產(chǎn)生另一把共有的密鑰，利用這把密鑰來計算出消息認證碼。6.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議桂小林536.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議SSL記錄協(xié)議的運作模式ApplicationdataFragmentCompressAddMACEncryptAppendSSLrecordheader6.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議Applicationd桂小林546.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議SSL握手協(xié)議握手協(xié)議用來讓客戶端及服務(wù)器確認彼此的身份。協(xié)助雙方選擇連接時所使用的加密算法、MAC算法、及相關(guān)密鑰握手協(xié)議由一些客戶與服務(wù)器交換的消息所構(gòu)成，每一個消息都含有以下三個字段類型(Type)，1個字節(jié)：表示消息的類型，總共有十種。長度(Length)，3個字節(jié)：消息的位組長度。內(nèi)容(Content)，大于或等于1個字節(jié)，與此消息有關(guān)的參數(shù)。6.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議桂小林556.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議SSL握手協(xié)議的消息類型消息種類參數(shù)hello_requestclient_helloserver_hellocertificateserver_key_exchangecertificate_requestserver_donecertificate_verifyclient_key_exchangefinishedNullVersion,random,sessionid,ciphersuite,compressionmethodVersion,random,sessionid,ciphersuite,compressionmethod一連串的X.509v3的證書Parameters,signatureType,authoritiesNullSignatureParameters,signatureHashvalue6.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議消息種類參數(shù)hell桂小林566.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議SSL握手過程6.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議桂小林576.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議SSL協(xié)議安全性分析客戶端假冒SSL協(xié)議無法提供基于UDP應(yīng)用的安全保護SSL協(xié)議不能對抗通信流量分析針對基于公鑰加密標準(PKCS)協(xié)議的自適應(yīng)選擇密文攻擊進程中的主密鑰泄漏磁盤上的臨時文件可能遭受攻擊6.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議桂小林586.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議SSL協(xié)議安全性分析不規(guī)范應(yīng)用引起的問題對證書的攻擊和竊取中間人攻擊安全盲點IE瀏覽器的SSL身份鑒別缺陷6.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議桂小林596.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議TLS協(xié)議提供保密性和數(shù)據(jù)完整性該協(xié)議由兩層組成TLS記錄協(xié)議TLS握手協(xié)議TLS協(xié)議三個階段對等協(xié)商支援的密鑰算法基于私鑰加密交換公鑰、基于PKI證書的身份認證基于公鑰加密的數(shù)據(jù)傳輸保密。6.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議桂小林606.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議TLS記錄協(xié)議的連個基本特性私有對稱加密用以數(shù)據(jù)加密（DES、RC4等）。對稱加密所產(chǎn)生的密鑰對每個連接都是唯一的，且此密鑰基于另一個協(xié)議（如握手協(xié)議）協(xié)商可靠信息傳輸包括使用密鑰的MAC進行信息完整性檢查。6.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議桂小林616.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議TLS握手協(xié)議三個基本屬性可以使用非對稱的或公共密鑰的密碼技術(shù)來認證對等方的身份。該認證是可選的，但至少需要一個結(jié)點方共享加密密鑰的協(xié)商是安全的對偷竊者來說協(xié)商加密是難以獲得的。此外經(jīng)過認證過的連接不能獲得加密，即使是進入連接中間的攻擊者也不能。協(xié)商是可靠的沒有經(jīng)過通信方成員的檢測，任何攻擊者都不能修改通信協(xié)商。6.4網(wǎng)絡(luò)安全通信協(xié)議SSL協(xié)議桂小林626.4網(wǎng)絡(luò)安全通信協(xié)議SSH協(xié)議協(xié)議結(jié)構(gòu)6.4網(wǎng)絡(luò)安全通信協(xié)議SSH協(xié)議桂小林636.4網(wǎng)絡(luò)安全通信協(xié)議SSH協(xié)議SSH傳輸層協(xié)議SSH傳輸層協(xié)議主要在不安全的網(wǎng)絡(luò)中為上層應(yīng)用提供一個加密的通信信道SSH傳輸層協(xié)議提供服務(wù)器身份認證、通信加密、數(shù)據(jù)完整性效驗以及數(shù)據(jù)壓縮等多項安全服務(wù)6.4網(wǎng)絡(luò)安全通信協(xié)議SSH協(xié)議桂小林646.4網(wǎng)絡(luò)安全通信協(xié)議SSH協(xié)議SSH傳輸層協(xié)議流程6.4網(wǎng)絡(luò)安全通信協(xié)議SSH協(xié)議桂小林656.4網(wǎng)絡(luò)安全通信協(xié)議SSH協(xié)議SSH身份認證協(xié)議SSH用戶認證協(xié)議提供服務(wù)器對用戶的認證三種認證方式公鑰認證方式口令認證方式基于主機的認證方式。連接協(xié)議主要功能是完成用戶請求的各種具體網(wǎng)絡(luò)服務(wù)6.4網(wǎng)絡(luò)安全通信協(xié)議SSH協(xié)議桂小林666.4網(wǎng)絡(luò)安全通信協(xié)議HTTPSHypertextTransferProtocoloverSecureSocketLayer由Netscape開發(fā)并內(nèi)置于其瀏覽器中，用于對數(shù)據(jù)進行壓縮和解壓操作，并返回網(wǎng)絡(luò)上傳送回的結(jié)果是以安全為目標的HTTP通道，是HTTP的安全版HTTPS的安全基礎(chǔ)是SSL6.4網(wǎng)絡(luò)安全通信協(xié)議HTTPS桂小林676.4網(wǎng)絡(luò)安全通信協(xié)議HTTPS訪問網(wǎng)頁流程用戶：在瀏覽器的地址欄里輸入HTTP層：將用戶需求翻譯成HTTP請求，如GET/index.htmHTTP/1.1HostSSL層:借助下層協(xié)議的的信道，安全的協(xié)商出一份加密密鑰，并用此密鑰來加密HTTP請求。TCP