信息与网络安全教学作者程光第八章绪论.ppt

第八章 IP和TCP层安全 TCP/IP 概述 IPSec概述 SSL协议 SSH协议 TCP/IP（Transmission Control Protocol / Internet Protocol）协议，即传输控制/网际协议，是互联网三的基础。它使得互联网上由不同厂家生产的、使用不同操作系统的网络设备联接在一起。它即可以用于专用网络的联接，也可以用于将不同的局域网络联接起来，是网际互联工业标准。 TCP/IP协议实际上是一个协议族，是由一套协议组成的。包括ARP、IP、ICMP、TCP、 UDP、SMTP、SNMP、FTP、TELNET等，而TCP和IP只是这个协议族中的两个重要协议。 TCP和IP是TCP/IP协议族中两个最重要的协议。 IP位于TCP/IP协议模型的网际层，它提供的是一种无连接的不可靠的服务。IP的任务就是将数据包尽量地向目的地传送，但它不能保证数据一定能到达。 TCP位于TCP/IP协议模型的传输控制层，在IP的上一层，它提供的是面向连接的可靠的服务。 TCP通过多个方法来保证传输的可靠性，如对传送的数据进行顺序编号、“三次握手”建立连接、对接收到的数据进行确认等。 网络嗅探 TCP的SYN Flooding 顺序号猜测 源路由欺骗 IP欺骗 TCP 连接劫持 ICMP攻击 其他攻击方式 网络嗅探是指攻击者使用工具软件（如Sniffer、Windows2000 Server的网络监视器Netmon）在网络接口上获取到他人的数据。 在以太网中，数据是以广播方式传递的。当网卡设为混杂模式时，就可以接收网络中所有的数据。 TCP/IP协议中的数据是以明文方式传送的，所以一些重要的信息如用户名、口令等就可能被攻击者获得，从而给他人造成损失。 TCP报头中使用32-bit来标志TCP连接中使用的顺序号。 如果初始序列号（ISN）的产生是有一定规律的，则可以比较容易地猜测出来。当攻击者获得了连接的初始序列号之后，就可以通过估算传送的数据量来估算出当前的顺序号。 通过猜测TCP连接中的顺序号，攻击者就可以通过伪造数据进行攻击。如：攻击者可以伪造IP地址与被攻击主机建立连接，可以伪造RST报文终止正常的TCP会话，可以插入虚假数据到正常的TCP会话。 ICMP（Internet Control Messages Protocol，网间控制报文协议）允许主机或路由器报告差错情况和提供有关异常情况的报告。 ICMP协议可以协助IP协议来进行差错控制。 ICMP不需要认证，这就使得攻击者通过伪造ICMP数据包来进行攻击。 攻击者通过伪造ICMP的“超时”或“目标不可达”消息，发送给通信双方或其中一方，就会中断此连接。通过伪造的“重定向”消息，攻击者也可以使某个主机发往特定目的地址的数据包经过攻击者的主机，从而对数据进行窃听或篡改。 DNS攻击 ：是指在根据域名进行认证或授权的系统中，攻击者通过修改DNS服务器中相应域名的解析地址而使攻击者非法获得合法IP的权限。 RIP攻击 ：是指在RIP路由协议中，攻击者通过发布虚假路由信息而使某些主机发给特定目的地址的数据经由攻击者的机器。 对现有协议的改进或扩展来增强网络的安全性，如使用IPSec、IPv6、SSL、SHTTP等协议 ； 通过加密、认证、防火墙、VPN等安全技术的综合应用来防范和处理网络中的安全问题。 目 录 TCP/IP 概述 IPSec概述 SSL协议 SSH协议 IPSec（IP安全，IP Security）的目的是为IP层传输提供安全服务。 安全服务集提供包括访问控制、数据完整性、数据源认证、抗重播(replay)保护和数据保密性在内的服务。这些服务是基于IP层的，提供对IP及其上层协议的保护。例如，TCP，UDP，ICMP，BGP等等。 IPSec（IP安全，IP Security）的目的是为IP层传输提供安全服务。 安全服务集提供包括访问控制、数据完整性、数据源认证、抗重播(replay)保护和数据保密性在内的服务。这些服务是基于IP层的，提供对IP及其上层协议的保护。例如，TCP，UDP，ICMP，BGP等等。 IPSec涉及到四个方面的协议： ? 安全协议――头部认证（Authentication Header，AH）和封装安全负载 （Encapsulating Security Payload， ESP）； ? 安全关联――Security Association，SA； ? 密钥管理――手动的，自动的（The Internet Key Exchange（IKE））； ? 认证和加密算法。 IPsec协议可以在主机和网关（如路由器、防火墙）上