[精选]13无线网络安全.pptx

《[精选]13无线网络安全.pptx》由会员分享，可在线阅读，更多相关《[精选]13无线网络安全.pptx（61页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。

1、第十章 无线网络的平安技术计算机网络平安概论2一、无线网络技术概述 无线网络是在无线设备之间、无线设备与传统有线网络如企业网、因特网设备之间充当传输机制的网络。v 无线个域网 个域v 无线局域网 局域v 无线城域网 城域v 蜂窝系统 广域v 卫星通信网络覆盖全球3无线个域网WPANu蓝牙Bluetooth技术uHomeRFuIrDA4无线个域网技术蓝牙蓝牙Bluetooth IEEE 802.15 WiMedia-工作在2.4GHZ,使用跳频技术-中低速率目前721Kbps,Bluetooth 2.0 12Mbps-支持语音和数据传输-适合用无线替代电缆的场合-低价位、低功耗-短距离 通常 1

2、0 M,最大100M-应用渐多无线耳机、蓝牙数码相机 等5无线个域网技术HomeRFl 专门为家庭用户设计的一种近距离网络技术标准l 使用跳频扩频方式，时分复用语音,CSMA/CA协议数据.提供TCP/IP集成，支持播送、多播.l 工作频率2.4GHZ，2Mbps 10Mbps,100M6无线个域网技术IrDAl IrDA Infrared Data Association利用红外线进行点对点通信的技术l FIR Fast Infrared,4Mbps,30度 VFIR,16Mbps,120度l USB-IrDA设备l 体积小、功率低、适合设备移动需要l 视距传输技术7无线城域网uIEEE 8

3、02.16a WiMax:World Interoperability for Microwave Access-数据传输率为70 Mbps-覆盖范围约为50公里-使用2GHz11GHz频带-在Wi-Fi AP设备中嵌入IEEE802.16a接口 uIntel和Alcatel推出基于WiMAX无线通信技术的产品 uETSI 研究HIPERMAN技术8WWAN-蜂窝系统Cellular Systemsl 2G GSM：Global System for Mobile munications l 2.5G-GPRS General Packet Radio Service-CDMA 2000 1x

4、 Code Division Multiple Access l 3G UMTS:Universal Mobile Tele munications System-最大2Mbps-支持IP ITU标准：-TD-SCDMA Time Division-Synchronous Code Division Multiple Access 基于GSM核心网，中国大唐电信-WCDMA 基于GSM核心网，欧洲Nokia等-CDMA 2000 基于CDMA1x核心网，Qual m l 后3G和4G 9卫星通信网络u宽覆盖、播送能力强、无地域条件限制u信道过失率、传播延迟、信道不对称u无线Internet的重

5、要组成局部u卫星IP网络,宽带网络-IP over Satellite-IP over Satellite ATMu改进TCP、通信流量拥塞控制和协议带宽效率 10无线局域网WLAN三大标准系列:IEEE 802.11 IEEE 802.11a Wi-Fi5 IEEE 802.11bWi-Fi:Wireless Fidelity ETSI ETSI HIPERLAN/1 ETSI HIPERLAN/2 的MMAC系列标准 HiSWANa HiSWANb11 IEEE 802.11系列标准12 三种IEEE WLAN标准比较802.11aWi-Fi 5802.11bWi-Fi802.11g兼容1

6、1b工作频率5G 2.4G 2.4G传输率54 Mbps 11 Mbps 54 Mbps调制类型OFDM正交频分复用DSSS直接序列展频 OFDM13 13两种ETSI WLAN 标准比较HIPERLAN/1 HIPERLAN/2 工作频率 5GHZ 5GHZ 带宽 20 Mbps 54Mbps14 802.11MAC层协调功能u分布协调功能DCFv支持分布式基于竞争的信道访问 CSMA/CAv既可用于基础设施BSS也可用于ad hoc IBSSu接入点协调功能 PCFv支持集中式 无竞争信道访问v将由一AP来控制对介质的所有访问v仅用于基础设施BSS v可伸缩性较差15WLAN的两种应用模式

7、u基础设施模式 Infrastructure-based WLAN的典型模式uad hoc 模式Infrastructure-less16基础设施模式 WLAN的典型模式17ad hoc模式计算机网络平安概论181.1无线网络的平安威胁u与传统的有线网络所共有的：v恶意的实体通过无线网络绕过防火墙的保护而获得对内部网络的非授权访问。v恶意用户偷窃合法用户的身份信息，在公司内部网络或外部网络中伪装成合法用户v恶意用户可能会破坏合法用户的隐私，并且跟踪他们的活动。v内部或外部的入侵者可能获得对网络管理的控制，从而破坏对网络的管理。计算机网络平安概论191.1无线网络的平安威胁u特有的平安漏洞：v传

8、输信息没有加密或加密很弱，易被窍取、篡改和插入v无线连接的设备可能遭到DOS攻击v手持设备容易被盗窃，从而暴露敏感信息v病毒或其他恶意的代码可能会损害数据或无线连接，它们会传播到有线网络中去。v恶意的用户为了发起攻击或隐藏他们自己的行动而通过无线连接接入别人的网络中即中间人攻击v恶意的用户可能使用第三方、非信任的无线网络获得使用代理或其他组织的网络资源。v通过Ad Hoc 传输使得内部攻击成为可能。v无线网络的可靠性节能减耗问题等计算机网络平安概论201.2无线网络的平安现状u无线局域网络的平安标准IEEE 802.11i于2004年6月发布。该标准包括WPA的RSNRobust Securi

9、ty Networku蓝牙标准中，平安分为三种模式：无平安模式、效劳层加强平安模式和链路层加强平安模式。u无线自组织网络和无线传感器网络是当前平安研究的热点。如果一个系统靠外部指令而形成组织，就是他组织；如果不存在外部指令，系统按照相互默契的某种规则，各尽其责而又协调地自动地形成有序结构，就是自组织。自创生、自复制、自生长、自适应计算机网络平安概论212 无线局域网的平安性u无线局域网的开展v是计算机网络技术和无线通信相结合的产物v1977年IEEE802.11b标准的制定促使了各厂商产品的兼容，使无线局域网进入了一个飞速开展的阶段。v无线局域网的MAC层和物理层标准主要有IEEE802.11

10、bag.v无线局域网设备有无线网卡、无线网桥、接入点、无线路由器等。v无线局域网体系结构主要有两种：有基站的结构、没有基站的结构。计算机网络平安概论222 无线局域网的平安性u无线局域网的平安性v包括两个方面：访问控制和保密性。v主要有：效劳集标识Service Set ID,SSID、MAC地址过滤、WEP协议、端口访问控制技术802.1X以及2004年6月发布的IEEE802.11i标准标准。v效劳集标识是对不同的AP配置不同的SSID，要求无线工作站必须出示正确的SSID才能访问网络，这相当于一个口令字。因为每个无线工作站都 有一个唯一的MAC地址，通过在AP中手工维护一个MAC地址表可

11、以实现物理地址过滤。802.1X是一种基于端口的访问控制技术，无线工作站能否访问网络取决于认证的结果。其中WEP协议和802.11i标准是无线局域网开展过程中最重要的平安技术，它们是标准平安标准。计算机网络平安概论232.1 WEP 协议u WEP协议是IEEE802.11可选加密标准，实现在MAC层。绝大多数无线网卡和AP供给商支持WEP协议。u如果用户激活WEP，网卡或AP将使用流密钥加密Stream CipherIEEE802.11帧中的负荷局部，然后再发送数据。接收端的无线网卡或AP将解密接收的帧。所以，WEP协议只在无线发送端和无线接收端有效，一旦数据进入常规有线网络，数据不再被加密

12、。并置伪随机数生成器异或并置IV密文完整性算法初始化向量密钥Seed密钥流ICV明文WEP 加密过程计算机网络平安概论242.1 WEP 协议并置伪随机数生成器异或IV密文完整性算法ICVICV相等？密钥WEP解密过程计算机网络平安概论252.1 WEP 协议uWEP协议的平安性问题vWEP协议没有指定密钥分发的机制，因为WEP协议采用的是共享密钥，所以密钥分发过程中可能存在平安隐患。vWEP协议采用RC4算法，RC4算法本身有缺陷。vWEP标准允许IV重复使用平均大约每5小时重复一次。这一特性会使得攻击WEP变得更加容易。vWEP标准不提供自动修改密钥的方法。因此只能手动对AP及其移开工作站

13、重新设置密钥。由于在实际情况中，很少有人经常更新密钥，这样第三方可能收集无线局域局的流量，为密钥破解提供分析数据。v早期WEP中提供40位加密-密钥强度低。更现代的系统提供128位的WEP;128位的密钥长度减去24位的IV后，实际有效的密钥长度为104位，这在一定程度上加强了WEP协议。v如果协议不是非常地敏感，WEP协议也就足够了。但要注意WEP并不是无懈可击，使用WEP协议的时候，最好使用128位密钥;另外，IV应该经常变更，最好是每个数据包采用一个新的IV。这样可以使入侵者破解密钥更加困难。计算机网络平安概论262.2 IEEE802.11i 简介v在无线局域网开展的早期，MAC过滤和

14、SSID匹配是两项主要的平安技术。但较弱，就出现了WEP协议加密传输。为了弥补WEP的缺陷，端口访问控制技术IEEE802.1x和可扩展认证协议EAP被提出来。IEEE802.1x可以提供身份验证的网络访问。Wi-Fi保护接入Wi-Fi Protected Access，WPA是作为通向IEEE802.11i道路中不可缺少的一环而出现的。WPA的核心是临时密钥完整协议Temporal Key Protocol,TKIP.TKIP提高了平安强度，但没有解决根本问题。vTKIP：和WEP一样基于RC4算法，但TKIP密钥长度是128位，初始化向量长度由24位增加到48位，并对WEP协议进行了改造：

15、每发一个包重新生成一个新的密钥;消息完整性检查MIC;具有序列功能的初始向量;密钥生成和定期更新功能计算机网络平安概论272.2 IEEE802.11i 简介v2004年6月，IEEE802.11i工作组正式发布了IEEE802.11i，以加强无线局域网络的平安性。vIEEE802.11i标准包括WPA和RSN两局部。vRSN是AP与移动设备之间动态协商认证和加密算法。认证方案基于IEEE802.1X和EAP，加密算法定义了TKIP、CCMPCounter-Mode/CBC-MAC Protocol和WRAPWireless Robust Authenticated Protocol三种加密机

16、制。CCMP机制基于AESAdvanced Encryption Standard加密算法和CCMCounter-mode/CBC-MAC认证方式，是实现RSN的强制性要求。vCCMP：是一个基于AES算法的数据加密模式。CCMP也采用了48位具有序列功能的初始化向量IV，完整性检测算法采用CCM算法。AES是一种对称的块加密技术，使用128位分组加密数据，加密密钥长度也是128位。计算机网络平安概论282.2 IEEE802.11i 简介vIEEE802.1x和EAP：IEEE802.1x是一种基于端口的网络访问控制技术，它提供了一个用户认证的密钥分发的框架，用户只有在通过认证后才能访问网络

17、。IEEE802.1x和EAP相互配合实现用户认证和密钥分发，IEEE802.1x 本身并不提供实际的认证机制。EAP 对原有的机制进行了改进：双向认证机制，消除了中间人攻击;集中化认证管理和动态分配密钥机制，它解决了密钥管理上的困难;集中策略控制，当连接会话超时时，它将激活重新认证和生成新的密钥。计算机网络平安概论292.2 IEEE802.11i 简介vIEEE802.1x体系结构有三个实体：申请者、认证者和认证效劳器。认证者一般是AP，它有两个端口：受控端口和非受控端口。非受控端口只允许EAP帧通过。认证过程中，申请者通过非受控端口和AP交换信息，假设申请者通过认证，AP为申请者翻开受控

18、端口，申请者就可以通过受控端口访问网络了。申请者 认证者 认证效劳器EAP overRADIUSEAP overLAN计算机网络平安概论302.2 IEEE802.11i 简介vIEEE802.1x认证过程如下：申请者向AP发起认证请求;AP向认证效劳器转发申请者的认证请求;认证效劳器进行认证;认证效劳器发送同意或拒绝信息给AP;AP发送成功信息包或失败数据包给申请者。v802.11i标准中的认证方案基于802.1x和EAP，加密算法为AES。动态协商认证和加密算法使RSN可以不断开展，与最新的平安水平保持同步，添加新的算法应对新的威胁。由于采用动态协商、802.1x、EAP和AES，故RSN

19、比WEP和WPA可靠得多。缺点是RSN和以前的平安体系不兼容，不能在老的设备上运行，只有遵循了IEEE802.11i标准的设备才拥有实现加密算法所需的能力。申请者 认证者 认证效劳器EAP overRADIUSEAP overLAN计算机网络平安概论313.蓝牙平安性v 是提供短距离对等通讯的技术。是一种无线数据与语音通信的开放性全球标准，以低成本的近距离无线连接为基础，为固定与移动设备通信环境建立一个特别的连接。其目的是取代现有的PC机、打印机、机和移动 等设备上的有线接口。u 蓝牙Bluetooth IEEE 802.15 WiMedia-工作在2.4GHZ,使用跳频技术-中低速率目前72

20、1Kbps,Bluetooth 2.0 12Mbps-支持语音和数据传输-适合用无线替代电缆的场合-低价位、低功耗-短距离 通常 10 M,最大100M-应用渐多无线耳机、蓝牙数码相机 等计算机网络平安概论323.蓝牙平安性v平安模式：v无平安模式：设备不初始化任何平安过程。在此工作模式下，蓝牙设备工作在杂凑模式下，允许其他任何设备连接它。v效劳层加强平安模式：在逻辑链路控制和适配协议层L2CAP-Logical Link Control and Adaptation Protocol Level信道建立后，平安过程被初始化。在此模式下，一个平安管理器负责维护访问控制策略以及同别的协议和设备用

21、户的接口。各种平安策略及受限访问的信任级别将被定义。即一些效劳可以被访问而另一些效劳不能被访问，也由此引入了授权的概念。v链路层加强平安模式：信道建立之前，链路层加强平安模式被初始化。是一种内建的平安机制，支持认证和加密。这种机制基于成对设备秘密链路密钥的基础上，为生成此密钥，当两个设备第一次通信的时候，引入了一个匹配过程。计算机网络平安概论333.1 效劳层平安加强模式v平安管理器负责维护访问控制策略和别的设备的接口以及设备用户。所以通过平安管理器，可以控制同意对一些设备的访问，而拒绝对另一些设备的访问。即设备A是否容许访问效劳X。v平安管理器执行以下几个任务：v保存与效劳相关的平安信息v保

22、存与设备相关的平安信息v通过协议实现或应用程序来答复访问请求v在连接应用程序前执行认证和加密v初始化或处理来自设备用户的输入，并在设备层建立信任关系v启动质询PIN登录。计算机网络平安概论343.1 效劳层平安加强模式 User Interface ApplicationApplication ApplicationSecurityManagerRFCOMM(or other multiplexing Protocol)L2CAP HCI Link Manager/Link Controller Query RegistrationDeviceDatabaseServiceDatabaseGe

23、neralMgmtEntity蓝牙安全体系结构存储设备 相关信息。有三种信任级别：Trusted先前已被认证且链路密钥被保存在数据库中的设备、Untrusted不被信任的设备、未知设备，没有任何平安信息可以获得。存储效劳的平安级别。分为三个平安层次：需要授权的效劳、需要认证的效劳和需要加密的效劳计算机网络平安概论353.1 效劳层平安加强模式v访问被信任效劳的流程：远端设备请求访问;连接请求提交给L2CAP;L2CAP请求平安管理器决定是否同意访问 平安管理器查询设备和效劳数据库。v如果设备是被信任的设备，则或者执行认证和授权，或者不需要执行依赖于具体实现v如是非信任设备，平安管理器或终止设备

24、的连接，或者实行授权。当交换链路密钥时，认证将会发生。平安管理可能会呼叫应用层协议执行应用层认证方案，这一点依赖于控制访问的平安策略。通过平安管理接口，别的平安策略也可以被支持。v然后，平安管理器决定访问效劳是否需要链路加密。如果需要，在L2CAP协议层，密钥将被协商和交换，继续建立连接过程。计算机网络平安概论363.2 链路层平安加强模式v是指信道建立之前，初始化蓝牙设备的平安过程。是一种内建的平安机制，这种机制支持认证和加密，它基于秘密链路密钥的基础上。为了生成该密钥，两个设备第一次通讯时，使用一个称为匹配的过程。v链路层存在四种不同的实体来保证平安。唯一的48位蓝牙设备地址、用于认证的1

25、28位链路密钥Link Key、8-128位不等长的加密密钥、128位随机数。加密密钥取自于初始化时期，通常来自于认证密钥。每次加密激活过程都产生新的加密密钥。链路层平安是通过认证、匹配和加密完成。计算机网络平安概论373.2 链路层平安加强模式v密钥管理：链路密钥在初始化阶段生成。这个阶段两台正在通信的设备被关联或绑定。用户输入相同的PIN给两台设备，两台关联的设备同时导出链路密钥。初始化完成后，链路自动认证和进行链路加密。在蓝牙设备使用的PIN码的长度在1个字节和16个字节之间变化。PIN通过E2算法生成链路密钥。链路密钥分为组合密钥、单元密钥、主密钥和初始密钥。组合密钥和单元密钥是半永久

26、化的密钥，单元密钥是每个设备特有的私有密钥，组合密钥由通信双方的地址确定。主密钥用于播送，初始密钥仅在初始化过程中有效。链路密钥、96位的密码偏移COF和128位的随机数作为参数，利用E3生成报文加密密钥。报文加密进程由链路管理程序启动，加密进程在每次运行时都生成不同的报文密钥。PIN链路密钥96位密码偏移128位的随机数报文加密密钥E3 加 密 算 法 E2算法计算机网络平安概论383.2 链路层平安加强模式v认证：蓝牙中的鉴权采用竞争-应答机制。申请者对密钥字确实认使用对称密钥字经2-MOV协议进行认证。v申请者传送一个48位的地址给验证者。v验证者传送一个128位的随机数给申请者。v验证

27、者使用地址、随机数、链路密钥作为输入，利用E1算法计算认证响应。申请者执行相同的过程。v申请者返回计算结果给验证者v如果两者计算结果相等，则继续连接建立过程。计算机网络平安概论393.2 链路层平安加强模式v加密：蓝牙标准允许3种不同的加密模式支持加密：加密模式1，任何流量都没有加密;加密模式2，播送流量没有被加密，但单播流量被加密。加密模式3，所有的信息都被加密。加密过程如下：v链路密钥、时钟信号、地址和随机数作为输入，利用密钥生成器计算出加密密钥。v加密密钥、系统时钟和蓝牙设备地址作为参数，利用E0算法生成密钥流。v密钥流和明文异或，生成密文;和密文异或生成明文。计算机网络平安概论403.

28、3 蓝牙平安问题v蓝牙平安性是相对的，在其体系中有诸多弱点可以利用：v单元密钥重用的问题单元密钥是蓝牙设备单元生成的链路密钥，单元密钥在互相信任地利用同一单元密钥匹配的设备间使用是平安的。但如果存在这样一种情况，A设备和B设备通讯使用A的单元密钥。过一段时间，A和C通讯，也同样使用A的单元密钥。而B保存了A的单元密钥。这样B就可以使用A的单元密钥解密A和C的数据流，或者冒充C。所以具有相同单元密钥的设备可以模拟其他任何和它匹配的设备。vPIN码.用于生成链路密钥的PIN太短，容易被第三方猜到。不存在生成分布式系统的PIN的方法。在具有很多用户的蓝牙网络建立PIN非常困难。规模性问题会产生平安问

29、题。计算机网络平安概论413.3 蓝牙平安问题v认证问题。Chengallge-response机制的伪随机数生成器，可能会产生一个静态的或循环产生的伪随机数。不存在用户认证。只有设备认证。设备认证方案仅仅是单向的，可能会遭到中间人攻击，因此双向认证机制应该被采纳。v其他平安问题 蓝牙设备应开发限定非限制的用户请求连接的功能，如超时功能。隐私平安，如果一个特定用户的蓝牙设备被捕获，则这个用户的活动就可能被跟踪。不存在端到端的平安。被加密的信息仅在两个蓝牙设备中间被加密。审计等平安效劳不存在，可以在蓝牙网络中的特定点利用这些平安效劳。计算机网络平安概论424 第三代移动通信网的平安性v3G不仅提

30、供了更高的带宽，而且允许人们以平安的方式传输音频和视频信息。UMTSUniversal Mobile Tele munication System是最重要的3G标准，它的平安方案有如下一些功能：双向认证、密钥协商、块加密、完整性算法和加密算法。v平安体系结构由一些平安功能和平安机制组成。平安功能分为5类，每一类面对特定的平安威胁并且到达某一平安目标。UMTS的五类功能是：网络接入平安:提供平安地访问3G效劳并且防止对无线链路的攻击 网络域平安：保证效劳商网络中的结点平安地交换信令并且防止对有线网络的攻击。用户域平安：平安地访问移动站 应用域平安：是使在用户方和效劳提供方的应用程序平安地交换信息

31、。平安的可视性和可配置性：使用户明白提供了那些平安措施并且这些平安效劳的提供是否依赖于平安功能的激活。计算机网络平安概论434 第三代移动通信网的平安性 用户应用 效劳商应用终端设备用户业务识别模式移动终端接入网络业务网络家用环境传输层家/业务层应用层UMTS 的平安体系计算机网络平安概论444 第三代移动通信网的平安性u网络接入平安：分为实体认证、加密和数据完整性三类。v实体认证：包括用户及网络认证。用户认证：用效劳的网络去证实用户的身份网络认证:用户去证实他所连接的网络是用户归属网络授权的效劳网络v数据加密：包括算法与密钥的协商、数据的保密性问题。加密算法：移动设备和效劳网络能够平安地协商

32、加密算法。加密密钥：移动设备用户和效劳网络保持密钥一致。用户数据的保密性：第三方不能通过无线接口偷听用户数据。信令数据的保密性：第三方不能通过无线接口偷听信令数据。v数据完整性：包括完整性算法及密钥的协商一致等。完整性算法：移动设备和效劳网络能够平安地协商完整性算法完整性密钥：移动设备用户和效劳网络保持完整性密钥一致。数据和信令的完整性：该属性能够验证接收方接收到的数据是来自发送方，数据并没有在发送过程中被第三方修改。接收到的信令也是原始的信令。计算机网络平安概论454 第三代移动通信网的平安性u网络域平安：分为网络设备认证、数据平安、数据完整性和数据源认证三类。v网络设备认证：效劳商的一个网

33、络设备和另一个网络设备相互认证，网络设备间在交换数据时能相互识别。v数据平安：效劳商设备在交换数据时不能被第三方偷听，数据必须加密。密钥通过密钥协商机制而获得。v数据完整性和数据源认证：接收方可以验证接收到的数据是来自于发送方，在数据传送过程中没有被修改。完整性密钥通过协商而获得。计算机网络平安概论464 第三代移动通信网的平安性u用户域平安：包括USIM识别用户以及终端设备识别USIM两局部。vUSIM识别用户：UMTS SIM对用户进行认证后，用户才能无限制地访问UMTS SIM，否则用户对UMTS SIM的访问受到限制。v终端设备识别UMIS：终端设备对UMTS SIM的访问是受限的，终

34、端设备对UMTS SIM进行认证后才能无限制地访问USTM SIM。u应用域平安v确保效劳方和终端应用间传送的数据是平安的，网络效劳方可以选定平安级别。效劳方和终端应用间传送的数据是通过应用平安通道的。所以，数据在整个传输过程中无线和有线局部，不能被窃听。计算机网络平安概论474 第三代移动通信网的平安性u平安的可视化和可配置：v可视性：平安措施是否对用户透明，平安事件是否通知用户。v无线连接局部平安性：通知用户在无线接入时，数据是否加密。v有线连接局部的平安性：通知用户数据在有线网络传输时，是否被加密。u平安等级：通知用户效劳商所提供的平安等级。u可配置性：用户和其手持设备可配置是否使用或提

35、供某项效劳。v启用、禁止用户USIM认证v接受、拒绝非加密呼入。v是否建立非加密呼叫。v接受、拒绝某些非加密算法。计算机网络平安概论485 移动Ad Hoc网络的平安性u移动自组网Ad Hoc是一种新型的无线网络。这是一种对等网络具有网络自主性、动态拓朴、带宽限制和变化的链路容量、能量限制、多跳通信、分布式控制、有限的平安性等特征。它同一般的无线网络不同，不依赖于固定的基础设施。它由具有无线收发能力的节点组成，各节点互相连接而形成移动自组网络。移动自组网络主要应用于 事和对平安敏感的环境。平安性和可靠性是它的最大考验。u对等 Peer-to-Peer，简写为P2P 网络是指由具有同等角色和能力

36、的独立结点所组成的计算机网络。据此特性，其结点也称为对等结点peers。对等网络的参与者既是资源效劳和内容提供者Server，也是资源效劳和内容获取者Client 计算机网络平安概论495.1 移动Ad Hoc网络的平安目标u可用性：当网络受到攻击时，仍然存活的能力。DOS可能在任何移动自组网络的任何一层发生。在物理层和MAC层，敌对方可能在物理信道发射较强的信号来阻塞通讯。在网络层，敌对方可能破坏网络协议。在高层，可能破坏高层效劳。如密钥管理效劳。u机密性：确保信息对未授权第三方是保密的。路由信息也需要保密，路由信息可能会为对方指明攻击的目标。u完整性：是指信息在传送过程中没有被破坏。无线信

37、道的干扰以及恶意的攻击都可能破坏信息的完整性。u可认证性：确认对方节点的身份。u抗抵赖性：当从被占领节点收到错误信息时，抗抵赖性可以确保利用该消息通知其他节点该节点已被对方占领。计算机网络平安概论505.2 移动Ad Hoc网络的面临的考验u无线信道使得对Ad Hoc网络的偷听、伪装、消息重放、消息修改等攻击非常容易。偷听破坏机密性,主动攻击可能被敌方删除消息、插入错误消息、修改消息、以及伪装成一个合法的节点，这样破坏了网络的可用性、数据的完整性、可认证性以及抗抵赖性。u 初 始 序 列 号 猜 测 是 在 信 息 对 抗 中 谋 求 信 息 优 势 的 一 项 关 键技 术。采 用 混 沌

38、时 间 序 列 分 析 方 法 和 线 性 回 归 法，提 出 了一 种 新 的 初 始 序 列 号 猜 测 算 法。并 加 以 验 证 和 形 式 化 政 明，结 果 说 明，该 方 法 增 大 了TCP Reset 攻 击 的 成 功 概 率，攻 击发 送17个RST 包 在10毫 秒 之 内 即 可 断 开 目 标TCP 连 接。目前操作系统的ISN生成算法仍然存在平安风险。计算机网络平安概论515.2 移动Ad Hoc网络的面临的考验u节点可能布置在敌对环境中。不仅要考虑到从外部网络发生的恶意攻击，而且应该考虑从这些被占领的节点上发生的攻击，因此应该有分布式体系结构。u拓朴结构和成员是

39、动态的，节点之间的信任关系也是动态变化的。因此只具有静态平安解决方案是不够的，其平安机制应能适应它的动态变化。u最后，Ad Hoc网络可能包括成百成千个节点，因此，平安机制应该适应大规模网络。计算机网络平安概论525.3 移动Ad Hoc网络的平安研究现状u主要集中于平安路由、密钥管理、被俘节点探测和入侵检测等方面。u平安路由主要可分为三类：v先应式Proactive,它是一种表驱动式Table Driven路由，这一类中有平面路由方案Flat Routing有DSDV、WRP、FSR等、分级路由方案Hierarchical Routing有Bergano等;反响式Reactive,它是一种随

40、选式平安On-Demand路由，主要有LMR、AODV、DRS等;混合式Hybird,即区域路由Zone.v平安路由研究的主要目的是为了在局部节点被占领或路由协议受到攻击时它仍然存活的能力。v身份平安认证和密钥管理策略，可以用来对付网络外部的攻击者。节点的认证是排除外部攻击节点的有效手段。自组织公共密钥机制、基于PKI的局部化认证机制、异步分布式密钥管理策略等。vIDS。是分布式的只能收集到局部不完整的信息进行综合判断。目前对Ad Hoc IDS的研究还不很充分，主要表达在：数据不充分，容易漏报;由于需要全局联合分析，对性能影响较大;无法区分DOS效劳还是节点处于效劳区外;无法解决假报情况。计

41、算机网络平安概论536.无线传感器网络的平安性u随机分布的集成有传感器、数据处理单元和通信模块的微小节点通过自组织的方式构成网络，借助于节点中内置的形式多样的传感器测量所在周边环境中的热、红外、声纳、雷达和地震波信号，从而探测包括温度、湿度、噪声、光强度、压力、移动物体大小、速度和方向等众多人们感兴趣的物质现象。u在通信方式上，虽可采用有线、无线、红外和光等多种形式，但一般认为短距离的无线低功率通信技术最适合于传感器网络使用，一般称为无线传感器网络。计算机网络平安概论546.1 无线传感器网络的体系结构基站Internet任务管理器敌方或妥协节点传感节点计算机网络平安概论556.2 无线传感器

42、网络的节点特征u微小、低价、低耗节点v能耗运行时一般只有10毫安，睡眠时10微安u可密集部署在观察目标附近u自主处理能力-节点可动态增加或减少u计算机或控制一个或多个传感器，并且利用无线连接接入外部网络u范围一般只有几十米u计算机、传感器、天线和电池组封装在一个微小容器中。u由此可见：v传统网络平安机制不能直接应用于传感器网络中传感器设备在计算能力、能耗、通讯能力等方面受到限制节点部署在可以访问的区域，易受到物理上的攻击传感器网络和它的物理环境紧密交互，也带来了平安问题计算机网络平安概论566.3 无线传感器网络中的密钥建立问题u传感器节点需要和它的邻居节点以及信息会聚节点建立密钥。u在全网内

43、建立共享密钥。u利用共享密钥去建立链路密钥，一对通讯设备建立了链路密钥后删除共享密钥不利于节点的动态增加与删除u利用公共密钥加密DH机制建立密钥。好处是一个节点可以和另一个节点建立平安密钥。u在每一对通讯设备间预先配置对称密钥，但扩展性不好u利用一个可信的基站在节点启动时分发密钥给节点，这种机制对基站的健壮性要求较高。u未来的研究是希望获得包括更好随机密钥和公共密钥等方案。目的是为了建立健壮的密钥分发机制。u当前的研究进展主要集中于密钥的分发和管理，解决的消息层面的平安问题。计算机网络平安概论576.4 平安传感器网络的其它问题u加密和认证：当数据被加密时，需要在开销和平安水平两方面平衡。对于

44、点点通讯、端端加密能够获得较高的平安效果，这需要在全网范围内建立密钥以及它们相互兼容。共享密钥简化了这种工作，但中间节点可以偷听数据流。早期的传感器网络使用链路层加密。u硬件加密只会减少计算量，不会缩短数据包的长度，近来研究说明软件加密对当今传感器应用已足用。加州大学的TinySec系统它仅增加了5%-10%的开销。加密仅仅增加数据包的长度，对于吞吐量和延迟几乎没有影响。计算机网络平安概论586.4 平安传感器网络的其它问题u隐私性。需要相关法律法规以及技术上的响应。u反拒绝效劳攻击。常用方法是利用扩频技术。当阻塞仅仅影响一局部网络的时候，可以利用高级的方法，使数据流绕过被阻塞的网络局部。更高

45、级的方法还在研究。u平安路由。当前路由协议有许多缺乏：v攻击者可以利用DOS攻击而阻塞路由，注入错误的路由信息包导致路由的不一致性。v简单的认证可以防止注入攻击，但攻击者可以利用重放攻击。v路由协议特别容易受到节点捕获攻击，攻击者通过对路由协议的分析，捕获一个节点，从而控制整个网络。需要设计更高级的平安路由协议。计算机网络平安概论596.4 平安传感器网络的其它问题u节点捕获：在传统网络中，物理上的平安是可以实现的。而传感器网络的节点通常放在攻击者能够接近的地方，从而使得攻击者可以捕获传感器节点，修改程序，设置置换他们的恶意的程序。u一些研究者设计一种路由协议对抗这种攻击，在发送每一个路由信息

46、包的同时发送一些无关的路由信息包，以进行一致性验证。u 9、静夜四无邻，荒居旧业贫。6月-236月-23Thursday,June 1,2023u 10、雨中黄叶树，灯下白头人。02:00:5302:00:5302:006/1/2023 2:00:53 AMu 11、以我独沈久，愧君相见频。6月-2302:00:5302:00Jun-2301-Jun-23u 12、故人江海别，几度隔山川。02:00:5302:00:5302:00Thursday,June 1,2023u 13、乍见翻疑梦，相悲各问年。6月-236月-2302:00:5302:00:53June 1,2023u 14、他乡生白

47、发，旧国见青山。01 六月 20232:00:53 上午02:00:536月-23u 15、比不了得就不比，得不到的就不要。六月 232:00 上午6月-2302:00June 1,2023u 16、行动出成果，工作出财富。2023/6/1 2:00:5302:00:5301 June 2023u 17、做前，能够环视四周；做时，你只能或者最好沿着以脚为起点的射线向前。2:00:53 上午2:00 上午02:00:536月-23u 9、没有失败，只有暂时停止成功！。6月-236月-23Thursday,June 1,2023u 10、很多事情努力了未必有结果，但是不努力却什么改变也没有。02:

48、00:5302:00:5302:006/1/2023 2:00:53 AMu 11、成功就是日复一日那一点点小小努力的积累。6月-2302:00:5302:00Jun-2301-Jun-23u 12、世间成事，不求其绝对圆满，留一份缺乏，可得无限完美。02:00:5302:00:5302:00Thursday,June 1,2023u 13、不知香积寺，数里入云峰。6月-236月-2302:00:5302:00:53June 1,2023u 14、意志坚强的人能把世界放在手中像泥块一样任意揉捏。01 六月 20232:00:53 上午02:00:536月-23u 15、楚塞三湘接，荆门九派通。

49、六月 232:00 上午6月-2302:00June 1,2023u 16、少年十五二十时，步行夺得胡马骑。2023/6/1 2:00:5302:00:5301 June 2023u 17、空山新雨后，天气晚来秋。2:00:53 上午2:00 上午02:00:536月-23u 9、杨柳散和风，青山澹吾虑。6月-236月-23Thursday,June 1,2023u 10、阅读一切好书如同和过去最杰出的人谈话。02:00:5302:00:5302:006/1/2023 2:00:53 AMu 11、越是没有本领的就越加自命非凡。6月-2302:00:5302:00Jun-2301-Jun-23

50、u 12、越是无能的人，越喜欢挑剔别人的错儿。02:00:5302:00:5302:00Thursday,June 1,2023u 13、知人者智，自知者明。胜人者有力，自胜者强。6月-236月-2302:00:5302:00:53June 1,2023u 14、意志坚强的人能把世界放在手中像泥块一样任意揉捏。01 六月 20232:00:53 上午02:00:536月-23u 15、最具挑战性的挑战莫过于提升自我。六月 232:00 上午6月-2302:00June 1,2023u 16、业余生活要有意义，不要越轨。2023/6/1 2:00:5302:00:5301 June 2023u