红沙漠>论坛 › 红沙漠法律问答 › 网络纠纷
发新帖 返回列表
查看: 67|回复: 0

计算机网络-网络安全基本原理

[复制链接]
玉面游龙

2

主题

2

帖子

6

积分

新手上路

Rank: 1

积分
6
发表于 2023-1-1 15:50:12 | 显示全部楼层 |阅读模式
网络安全状况
    总体平稳，形式严峻；
    分布式反射型攻击逐渐成为拒绝服务攻击的重要形式；
    网站数据和个人信息泄露仍呈高发态势；
    移动应用程序成为数据谢咯的新主体；
<hr/>网络安全
    网络安全的概念
        指网络系统中的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断；  
    网络安全基本属性
        机密性：只有发送方和预定接收方能够理解报文内容；
        身份认证：发送方和接收方希望确认彼此的身份；
        信息完整性：发送方和接收方希望确保信息未被篡改，如果被篡改，一定能检测到；
        可访问和可用性：网络服务必须对被授权用户可以访问与可用；
    网络安全的基本特征
        相对性
        时效性
        相关性
        不确定性
        复杂性
        重要性
    网络安全研究的领域
        入侵者如何攻击计算机网络；
        如何防护网络对抗攻击；
        如何设计网络体系结构免疫攻击；
<hr/>网络安全拟人模型
    Bob和Alice是期望进行安全通信的情侣；
    Trudy是企图破坏Bob和Alice通信的入侵者，视图拦截、删除或者添加信息；  



    网络中的Bob/Alice可以是什么呢？
        电子交易过程中的Web浏览器/服务器；
        网络银行中的客户/服务器；
        DNS服务器；
    网络中的Trudy
        通过Internet向主机植入恶意软件，病毒、蠕虫、间谍软件；
        被感染的主机可能加入僵尸网络，用于发送垃圾邮件，Dos攻击等；
<hr/>网络安全威胁
    网络中的Trudy能做些什么呢？
        窃听信息
        插入信息：在连接中插入信息；
        假冒：通过伪造分组中的源地址/或其他任意字段；
        劫持：通过移除/取代发送/接收方接管连接；
        拒绝服务（Dos（Denial of service））：阻止服务器为其他用户提供服务；
    网络安全威胁种类及其应对策略
        映射（Mapping）
            发起攻击前，“探路”--找到网络上在运行什么服务；
            利用ping命令确定网络上主机的地址；
            端口扫码：依次尝试与每个端口建立TCP连接；
            nmap，广为使用的国外端口扫码工具之一；
        映射--对策
            记录到达的网络流量；
            分析、识别出可以活动
        分组“嗅探”
            广播介质（共享式以太网、无线网络）；
            混杂模式网络接口可以接受/记录所偶遇经过的分组/帧；
            可以读到所有未加密数据
            分组嗅探软件：wireshark


        分组“嗅探”--对策
            组织中的所有主机都运行软件，周期监测网络接口是否工作在混杂模式；
            每个广播介质连接一天主机；
        IP欺骗
            直接由应用生成原始IP分组，可以设置分组的源IP地址字段为任意值；
            接收方无法判断源地址是否被欺骗；
        IP欺骗--对策（入口过滤）
            路由器不转发源IP地址无效的IP分组；
        拒绝服务（Dos）
            向接收方恶意泛洪分组，淹没接收方，导致接收方资源耗尽/带宽耗尽；
            分布式拒绝服务攻击（DDos）：多个源主机协同淹没接收方；


            DDoS攻击过程
                选择目标；
                入侵网络中主机（构建僵尸网络）；
                控制僵尸主机向目标发送分组；


            反射式DDos攻击
                选择目标；
                入侵网络中主机（构建僵尸网络）；
                选择反射服务器；
                借助反射服务器向目标发起攻击；


        Dos攻击--对策
            在到达主机前过滤掉泛洪分组；
            追溯攻击源；
<hr/>密码学基础
    密码学术语


    对称秘钥加密
        发送方和接收方拥有相同的加密密钥；


        发送方和接收方如何确认密钥值？
            通过安全信道传输密钥；？
    公开密钥加密  


    破解加密方法
        唯密文攻击
            入侵者只截获到密文，基于对密文的分析进行破解；
            破解途径
                暴力破解；
                统计分析；
        已知明文攻击
            入侵者已知部分明文以及与之匹配的密文；
    传统加密方法
        替代密码
            用一个东西替代另一个东西；
            凯撒密码（单码替代密码）：一个字母替代另一个字母；
            多码替代密码：使用多个单码替代密码，明文中不同位置的字母使用不同的单码替代密码；


        换位密码
            重新排列明文中的字母
            置换法：将明文划分为固定长度（d）的组，每个组内的字母按置换规则变换位置；


                列置换加密：将明文按行组成一个矩阵，然后按给定列顺序输出得到密文；
                可以通过英文单词标识，其中字母个数代表列数，字母在单词中出现的顺序代表输出顺序；


    现代加密技术
        现代加密技术的基本操作包括经典的替代和置换，这些操作是针对二进制位进行操作；
        加密技术分类
            对称密钥加密；
            非对称密钥加密；
        对称密钥加密
            流密码；
            分组密码/块密码；
    流密码
        首先利用密钥K产生一个密钥流z，
        然后使用规则对明文串进行加密；
        解密时，使用相同的密钥流与密文做异或运算；


    分组密码
        将明文划分为长为m的明文组；
        各明文组在长为i的密钥组的控制下变换为长度为n的密文组；
        通常取n=m；
            若n>m，扩展分组密码；
            若n<m，压缩分组密码；
        典型的分组密码结构：Feistel分组密码结构；
            基于1949年Shannon提出的交替使用替代和置换方式构造密码体制；
            基于“扩散”和“混乱”的思考，Feistel提出通过替代和置换交替操作方式构造密码；
        Feistel加密解密原理
            加密


            解密


        Feistel结构的分组密码的安全性分析
            分组长度：分组长度越大，安全性越高，目前常用的分组长度是64位；
            子密钥的大小：子密钥长度增加，安全性越高，加密速度越慢，所以在设计分组密码时需要在安全性和加密效率之间进行平衡；
            循环次数：循环越多，安全性越高，加密效率越低；
            子密钥产生算法：在初始密钥给定的情况下，产生子密钥的算法越复杂，安全性越高；
            轮函数：轮函数越复杂，加密算法的安全性越高；
    数据加密标准：DES
        Data Encryption Standard
        IBM公司研制；1977.7.1~1998.12
        DES是16轮的Feistel分组密码；
        DES的分组长度是64位；
        DES每一轮使用48位的子密钥；


    DES加密过程
        初始置换IP
            把输入的64位数据的排列顺序打乱，按照一定的规则重新组合；
        一轮DES加密过程


        DES：f函数结构
            黑盒变换，多个函数/操作（E、异或、S、P）的组合函数
            f函数的基本操作
                扩展变换：E盒，将64位输入序列的右半部分从32位扩展到48位；
                S-盒替代
                P-盒置换
                逆初始置换
        DES的安全性
            DES的56位密钥可能太小；
            DES的迭代次数可能太少；
            S-盒中可能有不安全因素；
            DES存在弱密钥和半弱密钥；
            针对DES的攻击方法：
                差分分析；
                线性分析；
                旁路攻击；
    公钥密码学
        对称密钥加密
            发送方和接收方有共享的秘密密钥；
        公开密钥加密
            完全不同的方法，公开密钥完全公开；私有密钥只有接收方知道；


    RSA加密算法的前提
        x mod n = x除以n的余数；
        [(a mod n) + (b mod n)] mod n = (a+b) mod n
        [(a mod n) - (b mod n)] mod n = (a-b) mod n
        [(a mod n) * (b mod n)] mod n = (a*b) mod n
        那么


    RSA生成公钥/私钥对
        选择2个大质数p和q；1024位的大质数；
        计算n=p*q，z=（p-1）*（q-1）
        选择e，满足e<n，使得e和z之间没有公因子，即e和z互质；
        选择d使得e*d-1刚好可以被z整除（e*d mod z = 1）；
        得出公钥（n，e）；私钥（n，d）
    RSA：加密、解密


    RSA的理论依据




    RSA的安全性建立在“大数分解和素性检测”这个数论难题的基础上；两个大素数相乘在计算上容易实现，而将该乘积分解的计算量相当大；
    RSA的实际应用
        RSA的幂运算强度很大；
        DES至少比RSA快100倍；
        利用公钥加密建立安全连接，然后建立第二个密钥-对称会话密钥，用于加密数据；
        会话密钥
            Bob和Alice利用RSA交换对称会话密钥Ks，利用Ks加密/解密会话数据；
<hr/>身份认证（Authentication）
    AP协议来完成身份认证
    AP1.0：Alice 声明I am Alice


    AP2.0：在IP分组中声明I am Alice


    AP3.0：在AP2.0基础上添加秘密口令进行“证明”


    AP3.1：对AP3.0进行改进，对秘密口令进行加密


    AP4.0：主要目的是为了解决Ap3.1的失效场景：回放攻击；
        双方通信的时候，发送随机数R，通过共享密钥对R进行加密解密；


    AP5.0：利用一次性随机数以及公钥加密技术


    AP5.0失效场景：中间人攻击


<hr/>报文完整性/报文验证
    目标：
        证明报文确实来自声称的发送方；
        验证报文在传输过程中没有被篡改；
        预防报文的时间、顺序被篡改；
        预防报文持有期被修改；
        预防抵赖（发送方/接收方否认）；
    密码散列函数
        散列算法公开；
        可以快速计算；
        对任意长度报文进行多对一映射，均产生定长输出；
        对任意报文无法预知其散列值；
        不同报文不能产生相同的散列值；
        单向性：无法根据散列值倒推出报文；
        抗弱碰撞性：对于给定的报文X，不可能存在报文Y，与X经散列函数计算后得到相同的散列值；
        抗强碰撞性：没有两个不同的报文经计算后得到相同的散列值；
    散列函数算法（MD5）
        被广泛应用的散列函数；
        通过4个步骤，对任意长度的报文输入，计算输出128位的散列值；
    散列函数算法（SHA-1）
        US标准；
        要求输入报文长度＜2**64；
        输出160位的散列值；
        和MD5相比，速度较慢，安全性高；
    报文摘要
        对报文m应用散列函数H，得到固定长度的散列码，成为保卫摘要，也被称为数字指纹；


    报文认证
        简单方案：报文+报文摘要=扩展报文


        报文认证码（MAC）：报文+认证密钥+密码散列函数H=扩展报文


<hr/>数字签名
    利用数字签名技术来解决如下报文完整性的问题；
        否认：发送方否认自己发送过某一报文；
        伪造：接收方自己伪造一份报文，并生成来自发送方；
        冒充：某个用户冒充另一个用户接受/发送报文；
        篡改：接收方对收到的信息进行篡改；
    数字签名技术是实现安全电子交易的核心技术之一，具有可验证性、不可伪造性、不可抵赖性；
    数字签名过程
        报文加密技术是数字签名的基础；


        发送方用自己的私钥对报文进行加密；
        发送方将报文+公钥算法加密的报文发送给接收方；
        接收方利用发送方的公钥解密加密的报文；
        接收方验证报文=解密加密的报文；
        可以证实如下几点：
            发送方签名了报文；   
            没有其他人签名报文的可能；
            发送方签名的报文内容和接收到的是一致的；
    签名报文摘要


<hr/>密钥分发中心（KDC）
    对称密钥共享问题
        两个实体在网上如何建立共享秘密密钥？
    解决方案
        可信任的密钥分发中心（Key Distribution Center）作为实体键的中介；
    密钥分发过程


<hr/>认证中心（CA）
    公钥问题
        当Alice获得了Bob的公钥，如何确认这就是Bob的公钥呢？
    解决方案
        可信任的认证中心（Certificate Authority）
    认证中心
        实现特定主体与其公钥的绑定；




    公钥证书上的主要内容
        序列号
        证书持有信息
        证书发行者信息
        有效期
        发行者数字签名
回复

使用道具 举报

发新帖 返回列表
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表