《河南理工大学网络信息安全复习总结.pdf》由会员分享，可在线阅读，更多相关《河南理工大学网络信息安全复习总结.pdf（11页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、网络安全复习大纲 第一章 网络信息安全综述 1 信息安全的概念 为了防止未经授权就对知识、实事、数据或能力进行使用、滥用、修改、破坏、拒绝使用或使信息被非法系统辨识、控制而采取的措施。网络信息安全：保护信息系统的硬件、软件及相关数据，使之不因为偶然或者恶意侵犯而遭受破坏、更改及泄露，保证信息系统能够连续、可靠、正常地运行。2 信息安全的目标 有的认为是机密性 完整性 抗否认性 可用性 通常强调所谓 CIA 三元组的目标，即保密性、完整性和可用性。3 信息安全的研究内容 信息安全基础研究内容主要包括密码学研究和网络信息安全基础理论研究 信息安全应用研究内容主要包括安全技术研究和平台安全研究 信息
2、安全管理研究内容主要包括安全策略研究 安全标准研究 安全测评研究 4 安全隐患类型 a)硬件的安全隐患；b)操作系统安全隐患；c)网络协议的安全隐患；d)数据库系统安全隐患；e)计算机病毒；f)管理疏漏，内部作案。5 安全体系结构（三维立体框架)(理解分层功能 安全手段 作用)第二章 分组密码体制 1 密码学的概念密：码学是研究如何实现秘密通信的科学，包括密码编码学和密码分析学。2 密码学的发展 1）古典密码：包括代换加密、置换加密。2）对称密钥密码：包括 DES 和 AES。3）公开密钥密码：包括 RSA、背包密码、McEliece 密码、Rabin、椭圆曲线、EIGamal D_H 等。3
3、 密码学模型对称加密 非对称加密 分组密码 流密码(对称密码 11 页图 2-1 非对称密码 12页图 2-2 分组密码 16 页图 2-4 流密码 36 页图 2-21 图 2-22）4 计算机网络加密技术（链路加密、节点加密和端到端加密）1 链路加密 不但要加密报文，还要加密报头。要传输到下一个节点必须解密再加密，直到到达目的节点。2）节点加密 在传输中的节点设置一个加、解密保护装置完成密钥转换。除保护装置外不出现明文。3）端到端加密 在发送、接收端才加、解密，中间节点不解密。5 古典加密方法（凯撒和维吉尼亚算法）恺撒密码就是单表代换密码置换限制为移位，所以这类密码又称为移位密码 密钥移位
4、固定 多表代换密码就是用一系列的不同置换代换明文中的字母。也就是在不同字母位置使用不同的替换规则维吉尼亚(Vigenere)密码密钥移位周期固定 6 原理（主要采用的两种机制：混淆和扩散香农）扩散就是让明文中的每一位影响密文中的许多位，或者说让密文中的每一位受明文中的许多位的影响 混淆就是将密文与密钥之间的统计关系变得尽可能复杂。7 分组密码的两种结构的特点及原理（先对明文消息分组，再逐组加密，称为分组密码 分组密码将明文分成固定长度的组，用同一密钥和算法对每一块加密，输出也是固定长度的密文。）Feistel 网络结构，每轮处理一半数据，加解密相似例如：DES SP 网络结构 SP 结构是 F
5、eistel 结构的推广，结构更加清晰，S（混淆层）是子密钥控制下的代换，P（扩散层）是置换，每轮处理完整数据，加解密不相似，是一种重要的结构 例如：AES 8 DES 的基本原理及应用 密文分组：64 bit 明文分组：64 bit 密钥：64 bit，其中 8bit 为校验位，实际 56 bit 轮数：16 轮（圈）加密函数：直接异或，8 个 6-4 S 盒。9 流密码相关概念 对称密码体制中对明文按字符逐位加密，称为流密码或序列密码 第三章 单向散列函数 1 单向散列函数概念 散列函数(又称 hash 函数，杂凑函数)是将任意长度的输入消息 M 映射成一个固定长度散列值 h 的特殊函数
6、特性及用途 哈希函数除了可用于数字签名方案之外，还可用于其它方面，诸如消息的完整性检测（一般哈希函数）、消息的起源认证检测（密码哈希函数）等。2 常用散列算法（MD5、SHA-1）的基本模型 P40 页 43 页 3 消息认证码 MAC 的概念及用途。消息认证码（MAC），是与密钥相关的的单向散列函数，也称为消息鉴别码或是消息校验和。MAC 可为拥有共享密钥的通信双方验证消息 的完整性，也可被单个用户用来验证文件是 否被改动。消息认证码消息Hash函数消息摘要公开信道认证码消息Hash函数消息摘要相等认证有效认证无效密钥K接收方发送方否是密钥K第四章公钥密码体制 1 公钥密码体制的基本思想和原
7、理（陷门单向函数和数学复杂性理论）每个用户都有一对预先选定的密钥：一个是公钥，以 k1 表示，用于加密另一个是私钥，以k2 表示，用于解密 公钥 k1 是公开的，任何人都可以得到，私钥是其拥有者自己保存。陷门单向函数：如果已知 K，由 c 计算 m 是不容易的，但如果知道陷门秘密 d(K)，由 c 就能容易的得到 m。所以单向函数不能用作加密，可以用陷门单向函数来解释公钥密码系统。公钥密码用于保密性和数字签名的方法 2 理解公钥密码用于保密性和数字签名的方法(详见课件)3 RSA 方法的原理及简单应用 1RSA 加密算法的过程 2 取两个随机大素数 p 和 q（保密）3 计算公开的模数 n=p
8、*q(公开)4 计算秘密的欧拉函数(n)=（p-1)*(q-1)（保密），丢弃 p 和 q，不要让任何人知道。5 随机选取整数 e,满足 gcd(e,(n)=1(公开 e 加密密钥)6 计算 d 满足 de1(mod(n)(保密 d 解密密钥)7 加密：将明文 x（按模为 r 自乘 e 次幂以完成加密操作，从而产生密文 y（X、Y 值在 0 到n-1 范围内）。Y=xe mod n 8 解密：将密文 y 按模为 n 自乘 d 次幂。X=Yd mod n 4 了解其他公钥密码体制；背包体制 1978 年提出 5 年后被 Shamir 破解 ElGamal 体制 1985年 基于有限域上计算离散对
9、数难解性，已用于DSS(数字签名标准）例：3x mod 17=5，解得：x=6 3x mod 13=7，无解 椭圆曲线体制(ECC)1985 年 基于离散对数 优点：安全性高；密钥短；灵活性好。5 掌握数字签名的概念、特性及签名过程，结合实例理解应用。了解数字签名分类。数字签名是信息发送者使用公开密钥算法技术，产生别人无法伪造的一段数字串。特性：签名是可信的：任何人都可以方便地验证签名的有效性。加密变换C=Ek（m）明文 m发送者 A信息传送信道密文 c解密变换m=Dk（c）明文 m接收者 B公开密钥 k加密解密加密器解密器私有密钥 k 签名是不可伪造的：除了合法的签名者之外，任何其他人伪造其
10、签名是困难的。这种困难性指实现时计算上是不可行的。签名是不可复制的：对一个消息的签名不能通过复制变为另一个消息的签名。如果一个消息的签名是从别处复制的，则任何人都可以发现消息与签名之间的不一致性，从而可以拒绝签名的消息。通过增加时间戳实现。（签名的过程）签名的分类：群签名(群数字签名)盲签名(盲数字签名)双重签名 签名与加密 签名提供真实性(authentication)先签名,后加密 加密提供保密性(confidentiality)先加密,后签名:“签名+加密”提供“真实性+保密性”第五章密钥管理技术 1 掌握 PKI 的概念及组成 PKI（Public Key Infrastructure
11、）是一个用公钥概念与技术来实施和提供安全服务的具有普适性的安全基础设施，它是创建、管理、存储、分布和作废证书的一系列软件、硬件、人员、策略和过程的集合。PKI 是经过多年研究形成的一套完整的 Internet 安全解决方案。它用公钥技术和规范提供用于安全服务的具有普适性的基础设施。用户可利用 PKI 平台提供的服务进行安全通信 PKI 系统由五个部分组成：认证中心 CA，注册机构 RA、证书库 CR、证书申请者、证书信任方。前三部分是 PKI 的核心，证书申请者和证书信任方则是利用 PKI 进行网上交易的参与者。2 数字证书的概念 一段包括用户身份信息、用户公钥信息以及身份验证机构数字签名的数
12、据 一个经证书认证中心（CA）签名的包括公钥拥有者信息及公钥信息的文件 消息 Hash函消息摘要 发 方A 相收 方B 加密算法 私钥 A 签名 消息 加密的 消息摘要 签名 消息 Hash函消息摘要 解密算法 公钥 A 签名有效 y 签名无效 n 3 CA 的功能 CA 系统的主要功能是对证书进行管理，包括颁发证书、废除证书、更新证书、验证证书、管理密钥等。权威、可信、第三方机构，为认证需求提供数字证书相关服务。4 密钥生命周期的含义 密钥产生 证书签发密钥使用证书检验密钥过期密钥更新密钥产生 结合实验理解证书的使用及用途。第六章信息隐藏技术 1掌握信息隐藏的概念及应用 信息隐藏是利用载体信
13、息的冗余性，将秘密信息隐藏在普通信息之中，通过发布普通信息将秘密信息发布出去。掩盖信息存在的事实 应用：数据保密 防止信息被截获 数据的不可抵赖性 电子商务、数字水印技术 数据的完整性 防篡改 数字作品的版权保护 是数字水印技术的一种重要应用 防伪 票据的防伪，数字票据可打印、可扫描 2数字水印的概念 数字水印是永久镶嵌在其他数据（宿主数据）中具有可鉴别性的数字信号或模式，并且不影响宿主数据的可用性 3数字水印不等同于信息隐藏，概念有区别 数字水印注重水印，用于版权保护，可公开 信息隐藏注重隐藏，不可见/不可察觉，要保密 第七章认证技术与访问控制 1掌握报文认证的主要内容 报文认证，是指两个通
14、信者之间建立通信联系后，每个通信者对收到的信息进行验证，以保证所收到的信息是真实的过程。报文源的认证；报文内容的认证；报文时间性的认证 2掌握身份认证的概念及身份认证技术（生物特征和零知识证明）、身份认证是指用户的真实身份与其所声称的身份是否相符的过程。包括：识别、验证 生物特征 指纹、虹膜和视网膜、DNA 零知识证明 交互式、非交互式 交互式零知识证明是由规定轮数组成的一个“挑战-应答”协议。非交互式证明者 P 公布一些不包括他本人任何信息的秘密消息，却能够让任何人相信这个秘密消息 3掌握 PPP 协议使用的认证机制及 AAA 认证的含义；PPP 提供的身份认证方法，包括：密码认证协议（PA
15、P）；挑战握手认证协议（CHAP）；扩展认证协议（EAP）AAA 指的是认证（Authentication）、授权（Authorization）和审计（Accounting），简称 AAA。认证指用户在使用网络系统中的资源时对用户身份的确认。授权是网络系统授权用户以特定的方式使用其资源。审计是网络系统收集、记录用户对网络资源的使用。4掌握访问控制概念、三要素，理解不同类型的访问控制模型的特点（DAC、MAC、RBAC）。访问控制（Access Control）是对信息系统资源的访问范围以及方式进行限制的策略。简单地说，就是防止合法用户的非法操作。三要素主体 客体 访问控制策略 MAC 是一种多
16、级访问控制策略，数据所有者无权决定文件的访问权限，权限由操作系统决定，可能覆盖所有者 MAC 对访问主体和受控对象标识两个安全标记：一个是具有偏序关系的安全等级标记；另一个是非等级分类标记 自主访问控制(DAC)配置的粒度小 配置的工作量大，效率低 强制访问控制(MAC)配置的粒度大 缺乏灵活性 RBAC(基于角色访问控制)模型的基本思想是将访问许可权分配给一定的角色，用户通过饰演不同的角色获得角色所拥有的访问许可权。访问控制是由各个用户在部门中所担任的角色来确定。第八章入侵检测技术 1掌握入侵检测的概念、了解入侵常用的手段和方法 入侵检测是指“通过对行为、安全日志或审计数据或其它网络上可以获
17、得的信息进行操作，检测到对系统的闯入或闯入的企图”入侵检测是检测和响应计算机误用的学科，其作用包括威慑、检测、响应、损失情况评估、攻击预测和起诉支持。入侵的方法和手段 端口扫描与漏洞攻击 密码攻击 网络监听 拒绝服务攻击 缓冲区溢出攻击 欺骗攻击 2入侵检测的实现方式（基于主机的 HIDS 和基于网络的 NIDS）的特点、掌握入侵检测方法和步骤入侵检测分类；主机 IDS：运行于被检测的主机之上，通过查询、监听当前系统的各种资源的使用运行状态，发现系统资源被非法使用和修改的事件，进行上报和处理。主要用于保护运行关键应用的服务器。通过监视与分析主机的审计记录和日志文件来检测入侵。主机 IDS 优势
18、(1)精确地判断攻击行为是否成功。(2)监控主机上特定用户活动、系统运行情况。(3)能够检测到 NIDS 无法检测的攻击。(4)适用加密的和交换的环境。(5)不需要额外的硬件设备。网络 IDS 是网络上的一个监听设备(或一个专用主机)，通过监听网络上的所有报文，根据协议进行分析，并报告网络中的非法使用者信息。基于网络的入侵检测系统：主要用于实时监控网络关键路径的信息，它监听网络上的所有分组来采集数据，分析可疑现象。网络 IDS 优势(1)实时分析网络数据，检测网络系统的非法行为；(2)网络 IDS 系统单独架设，不占用其它计算机系统的任何资源；(3)网络 IDS 系统是一个独立的网络设备，可以
19、做到对黑客透明，因此其本身的安全性高；(4)既可以用于实时监测系统，也是记录审计系统，可以做到实时保护，事后分析取证；(5)通过与防火墙的联动，不但可以对攻击预警，还可以更有效地阻止非法入侵和破坏。(6)不会增加网络中主机的负担 3、两种实现方式的比较：1)如果攻击不经过网络则 NIDS 无法检测到，只能通过 HIDS 来检测；2)基于 NIDS 通过检查所有的包头来进行检测，而 HIDS 并不查看包头。HIDS 往往不能识别基于 IP 的拒绝服务攻击和碎片攻击；3)NIDS 可以研究数据包的内容，查找特定攻击中使用的命令或语法，这类攻击可以被实时检查包序列的 IDS 迅速识别；而 HIDS
20、无法看到负载，因此也无法识别嵌入式的数据包攻击。常用的方法有三种：静态配置分析、异常性检测方法和基于行为的检测方法。由此也划分了入侵检测的三个基本步骤：信息收集 数据分析 响应 入侵检测的分类 按系统分析的数据源分类 基于主机、基于网络、混合式 按体系结构分类 集中式、层次式、分布式 按分析方法分类 异常、误用(漏报率?误报率?)按响应方式分类 主动的、被动的 信息源 信息采集 数据预处理 检测模型 安全策略 响应处理 3掌握公共入侵检测框架 CIDF 的组成及工作原理；了解入侵检测系统的应用实例。事件产生器（Eventgenerators），用 E 盒表示；事件分析器（Eventanalyz
21、ers），用 A 盒表示；响应单元（Responseunits），用 R 盒表示；事件数据库（Eventdatabases），用 D 盒表示。（原理和实例可参考课件和课本）蜜网陷阱系统 Honeynet 第九章防火墙技术 1掌握防火墙的概念、分类、功能 防火墙一般是指在两个网络间执行访问控制策略的一个或一组系统，是架设在用户内部网络和外部公共网络之间的屏障，提供两个网络之间的单点防御，对其中的一个网络提供安全保护。网络防火墙：在可信和不可信网络间设置的保护装置，用于保护内部资源免遭非法入侵。防火墙的分类 从软、硬件形式上可以把防火墙分为如下 3 类：软件防火墙 硬件防火墙 芯片级防火墙 按照防
22、火墙在网络协议栈进行过滤的层次不同，可以把防火墙分为如下 3 类：包过滤防火墙，工作在网络层 电路级网关防火墙，工作在会话层 应用层网关防火墙，代理服务器型 按照防火墙在网络中的应用部署位 置，可以将防火墙分为如下 3 类：边界防火墙 个人防火墙 混合防火墙 防火墙的功能：（1）Internet 防火墙允许网络管理员定义一个中心“扼制点”来防止非法用户进入内部网络。（2）在防火墙上可以很方便地监视网络的安全性，并产生报警。（3）防火墙可以作为部署网络地址转换的逻辑地址。（4）防火墙是审计和记录 Internet 使用量的一个最佳地方。（5）防火墙也可以成为向客户发布信息的地点。掌握防火墙的设计
23、原则及应用，通过实验更进一步理解规则制定的方式方法；1）防火墙的安全策略 拒绝没有特别允许的任何事情（No 规则）假定防火墙应该阻塞所有的信息，只允许符合开放规则的信息进出。允许没有特别拒绝的任何事情（Yes 规则）假定防火墙只禁止符合屏蔽规则的信息，而转发所有其他的信息。2掌握防火墙的主要实现技术（包过滤和代理服务器）；包过滤型防火墙 1.工作原理 包过滤器一般安装在路由器上，工作在网络层（IP）。基于单个包实施网络控制，根据所收到的数据包的源地址、目的地址等参数与访问控制表比较来实施信息过滤。一般容许内网主机直接访问外网，而外网主机对内网的访问则要受到限制。代理服务器型防火墙 1.工作原理
24、 在防火墙主机上运行代理服务进程，通过该进程代理用户完成 TCP/IP 功能。针对不同的应用均有相应的代理服务。外网和内网连接必须通过代理服务器中转。代理服务可以实施用户论证、详细日志等功能和对具体协议及应用的过滤。3了解防火墙的部署及应用。（应用）1DMZ 网络 2.虚拟专用网 3.分布式防火墙（部署详见课件）第十章漏洞扫描技术 1理解网络扫描策略、安全漏洞类型（配置漏洞、设计漏洞和实现漏洞）、扫描技术实现原理及分类 扫描分成两种策略：被动式策略和主动式策略 主动式策略是基于网络的，它通过执行一些脚本文件模拟对系统进行攻击的行为并记录系统的反应，从而发现其中的漏洞。被动式策略就是基于主机之上
25、，对系统中不合适的设置，脆弱的口令以及其他同安全规则抵触的对象进行检查。被动式扫描不会对系统造成破坏，而主动式扫描对系统进行模拟攻击，可能会对系统造成破坏。1）配置漏洞 配置漏洞是由于软件的默认配置或者不恰当的配置导致的安全漏洞。（2）设计漏洞 设计漏洞主要指软件、硬件和固件设计方面的安全漏洞。（3）实现漏洞 实现漏洞主要由软件、硬件和固件的实现错误引起的安全漏洞。如缓冲区溢出漏洞。两类漏洞扫描技术主机漏洞扫描网络扫描 2结合常用漏扫工具进一步认识漏扫的作用。常见扫描工具 1、nmap2、Internet Scanner3、nessus（详见课件及实验）第十一章网络安全协议 1 掌握网络安全协
26、议的概念及常用的高层安全协议；安全协议（Security protocol，又称密码协议，Cryptographic protocol）。安全协议是建立在密码体制基础上的一种交互通信协议，它运用密码算法和协议逻辑来实现认证和密钥分配等目标 2 掌握 IPSec 的组成及协议的两种工作模式（传输模式和隧道模式）；IPSec 协议网络层 IPSec 保护涉及的主要组件 安全协议 安全关联数据库(Security associations database,SAD)密钥管理 安全机制 安全策略数据库(Security policy database,SPD)传输模式 IPSec 主要对上层协议提供保
27、护，通常用于两个主机之间端到端的通信。隧道模式 IPSec 提供对所有 IP 包的保护，主要用于安全网关之间，可以在公共 Internet 上构成 VPN。使用隧道模式，在防火墙之后的网络上的一组主机可以不实现 IPSec 而参加安全通信。局域网边界的防火墙或安全路由器上的 IPSec 软件会建立隧道模式 SA，主机产生的未保护的包通过隧道连到外部网络。3 了解 SSL 的体系结构及应用 SSL 的应用实例-为 IIS 配置 SSL 加密 以 Windows Server 2003(简称 Windows 2003)系统为例，介绍如何在 IIS6 服务器中应用 SSL安全加密机制功能。生成证书请
28、求文件 申请 IIS 网站证书 安装证书服务 颁发 IIS 网站证书 （SSL体系结构）导入 IIS 网站证书 配置 IIS 服务器 4 理解应用层安全协议 SET、PGP、S/MIME 的基本原理及用途。SET（Secure Electronic Transaction，安全电子交易）是一种安全交易协议，S/MIME、PGP是用于安全电子邮件的一种标准。它们都可以在相应的应用中提供机密性、完整性和不可抵赖性等安全服务 SET 主要是为了解决用户、商家和银行之间通过信用卡支付的交易而设计的，以保证支付信息的机密、支付过程的完整、商户及持卡人的合法身份、以及可操作性。SET 中的核心技术主要有公
29、开密匙加密、电子数字签名、电子信封、电子安全证书等。物理层链路层网络层传输层会话层表示层应用层OSI协议层加密/安全技术安全协议信道加密PPTP/L2TPIPSecSSL/TLS信源加密SOCKS应用相关应用程序网关/保密网关静态包过滤动态包过滤握手协议修改密文协议报警协议SSL记录协议TCPIPPGP（Pretty Good Privacy）对电子邮件提供安全服务的协议，通过加密、签名和认证来保护邮件内容的保密性、完整性和抗抵赖性，源代码是免费的。S/MIME(Secure Multipurpose Internet Mail Extensions,多用途网际邮件扩充协议)。S/MIME已被用于 Microsoft 和 Netscape 最新版本的网络浏览器，并赢得了其它制造信息产品的厂家的支持 第十二章其他网络安全技术 1理解 windows 操作系统安全策略（结合课件和实验），了解数据库安全的主要安全机制；数据库的主要安全机制 用户标识与鉴别 存取控制 数据库加密 推理控制 2掌握计算机病毒的概念、特点、工作原理（引导型和文件型）。计算机病毒就是能够通过某种途径潜伏在计算机存储介质（或程序里）当达到某种条件时即被激活的、具有对计算机资源进行破坏作用的一组程序或指令集合。主要特征如下：可执行性 传染性和破坏性 潜伏性 隐蔽性 针对性 可触发性