试论TCP／IP协议体系的安全性.pdfVIP

兰±星生星生茎垫堂皇翌塑兰塾塑壅堕兰查垒垡笙苎 堕塞：!!!! 试论TCP／IP协议体系的安全性 未艳琴 (苏州大学计算机系苏州215006) zjiang@publicl．sz．js．c“ TCP／IP协议的发胜状况。 关键词：Internet TCP／|P协议安伞 近年术，利用lnccrn cc作案的事件频频发生，导致绝晦信息被窃取、蠡复数据破删脒、叫络系统遵破舢，等严母后 粜、给眦户造成极大的威胁。j摹管已采取r一牡直争措施，并R也己起到r根人的竹甩，怛M络中仍存托着许多生 个缺I Ⅲ绕TCP／IP的曩伞件闷题进行讨论． 1 TCP／IP的协议结构 ml义。TcPnP的协}义结构如l鳘fl所爪。 传送m议 叫络接【f悱议 臣三][三口 物理列吣议 臣翌]臣至田 幽l 1℃P，lP的挑I义结构 新的心}fj协泌还n：小断涌现。传送甚的作用是提供J衄甩程序问(端到端)的通{卉擞务。设堪肯两个}J’议：传输{宰镏| 坍泌。l、cp和用户数据搬协泌UDP．前肯提供-矗甜靠的血向连接的数姑传送胜务，后肯提{j}尤连接的廓效术的数捌传 层．JC土要1_作肯：负责接收lP数掘搬．通过M络向外发送，或名从州络2+接收物理帧．抽…IP数捌报，阳I：联传 2协议安全性分析 2l TcP协议 jTcP使用。三次槲r机制柬建■一条连接．W r的第一个搬义为sYN包，第一二个搬史为sYN／AcK也．友’州它m 符笫。卜SYN包㈣时继续水下过程，第三个撤殳仅仅足一个心符，表爪为ACK包．蔚A为垃接方．B为响心方．!I 悯叫能的威胁为： 一121— 堕塞：!望! 笙±星!曼盐箜塑兰叁塑塑主茎塑望笪堂查垒堡笙奎 一一一一． ．一 ·攻击者监听B方发出的SYN／ACK报文． ·攻击者向B方发送RST2色_,．接着发送SYN包，假冒A方发起新的连接． ·B方响应新连接，并发送连接响应报文SYN／ACK． ·攻击者再假冒A方向B方发送ACK包． 这样攻击者便达到了破坏连接的作用．若攻击者群趁机插入有害数据包，则后果更严熏． TCP协议把通过连接而传输的数据看成是字节流，用一个32位整数对传送的宁节编号．初始序列母(ISN)n： TCP握手时产生，产生机制与协议实现有关．攻击者只要向目标主机发送一个连接请求，邸可获得}：次连接的ISN． 冉通过多次测量米砖I传输路径，得到进攻主机到目标主机之间数据包传送的来回时间Rn．已知j：次连接的ISN和 R1可，很容易就能预测下一次连接的ISN．若攻击者假冒信任主机向目标主机发tIITCP连接。并预测到H标主机的 TCP序列号．攻击者就能伪造有害数据包t使之被H标主机接受． 2．2IP协议和[CMP协议 【P协议是TCPIIP中最重要的协议之一，提供无连接的数据报传输机制．其主要功能有：寻址、路由选择、分段 和组装．传送层把报空分成若干个数据报．每个数据报在网关中进行路由选择，穿越一个个物理瑚络从源主机到达 日标主机．如传输过程中数据报可能被分成小段。以满足物理剐络中最大传输单元长度的篓求。每一小段都与作一 个独口的数据报被传输．其中只有第一个数据搬含有TCP层的端u信息．在过滤性防火墙中根据数据报的端L』号检 盘是卉合法，这样后续数据报町以不经检查丽直接通过．攻击者若发送一系列有意设置的数据报．以非法端u号为 数据的后续数据报覆盖前面的具有合法端口号的数据报．那么该路由器防火墙．i-_的过滤规则被旁路．从嘶攻毒者使 返到，进攻目的． !CMP是在研何屠中与IP--起使用的协议．如果一个蛐美4i为IP分组选择路由或者小能递交1P分组、威名‘渤试到 某种彳iiF常状态如删络拥挤影响IP分组的传递，那么就{；孽要ICMP米通知源端主机采取描旌．避免或纠正这类问题． 1