网络安全培训第4章分解.pptVIP

第4章 网络信息安全服务;4.1 机密性服务;4.1.1 文件机密性;4.1.2 信息传输机密性;;;4.1.3 通信流机密性;4.2 完整性服务;4.2.1 文件完整性;;4.2.2 信息传输完整性;4.3 可用性服务;4.3.1 后备;4.3.2 在线恢复;4.3.3 灾难恢复;4.4 可审性服务;4.4.1 身份标识与身份鉴别;;;;;4.4.2 网络环境下的身份鉴别;1. 身份认证技术;;2. 身份认证协议;;;;;在实际网络环境中，采用证书（certificate）的方式来分发公钥。证书是一种特殊格式的数据记录，它包含有证书代表的通信参与方的名字、身份信息、公钥以及签发机构、签发日期、序列号、有效期等相关数据，由证书权威机构（Certificate Authority,CA）用自己的私钥进行签名。 证书权威机构扮演可信第三方的角色，它是大家信任的组织、机构。所有的公钥认证系统都采用了证书方式，证书被设计存放在目录服务系统中，通信参与方拥有CA的公钥，可以从目录服务中获得通信对方的证书，通过验证CA签名可以相信证书中列出的对方公钥。 KDC方式和CA方式是分发密钥的主要技术，它们各有自己明显的优势和缺陷。公钥方式的身份认证协议安全强度要高，但是计算开销大，因此越来越多的安全系统倾向于利用公钥进行认证和建立对称的会话密钥，利用传统密钥进行大量数据传输的方法，例如SSL协议、PGP等。;4.4.3 审计功能;;4.5 数字签名;由于公钥密码的每个用户都有两个密钥，所以实际上有两个算法，如用户A，一个是加密算法EA，一个是解密算法DA。 若A要向B送去信息m，A可用A的保密的解密算法DA对m进行加密得DA（m）,再用B的公开算法EB对DA（m）进行加密得 C＝EB（DA（m）） B收到密文C后先用他自己掌握的解密算法DB对C进行解密得 DB（C）＝DB（EB（DA（m）））＝DA（m） 再用A的公开算法EA对DA（m）进行解密得 EA（DA（m））＝m 从而得到了明文m。 由于C只有A才能产生，B无法伪造或修改C，所以A也不能抵赖，这样就能达到签名的目的。不是所有公钥系统都具有数字签名的能力，RSA第一个提出这样的功能。;4.6 Kerberos鉴别;;;;KDC自治管理的计算机和用户等通信参与方的全体称为领域（realm）,领域是从管理角度提出的概念，与物理网络或者地理范围等无关。 在实际使用中，为了方便， 通常选择与Internet域名系统一致的名字来命名领域。不同领域中的用户之间的身份认证也是可以进行的，Kerberos定义了通过共享密钥进行领域间用户认证的方式。 Kerberos保持一个它的客户方以及密钥的数据库，这些密钥是KDC与客户方之间共享的，是不能被第三方知道的。 如果客户是用户，该密钥就是用户口令经过Hash生成的，需要使用Kerberos认证服务的其他网络服务也需要进行登记并且在登记时协商共享密钥，这些密钥往往是机器随机生成的。;Kerberos总结;;;4.7 公钥基础设施;;;;;;4.8 访问控制;;;;;;4.9 本章小结;;;;习题;;;;