现代网络技术 第9章 网络安全与防火墙技术.pptVIP

第9章 网络安全与防火墙技术 9.1 计算机网络安全性问题 9.2 网络安全策略 9.3 网络安全机制 9.4 网络防火墙技术 9.1 计算机网络安全性问题 9.1.1 网络安全基本概念 网络安全强调的是：数据信息的完整性（Integrity）、可用性（Availability）和保密性（Confidentiality and Privacy）。所谓完整性是指保护信息不被非授权用户修改或破坏；可用性是指避免拒绝授权访问或拒绝服务；保密性是指保护信息不泄露给非授权用户。 9.1.2 网络安全的威胁因素 网络威胁是指安全性受到潜在破坏，计算机网络所面临的攻击和威胁因素主要来自人为和非人为因素。 中断（Interruption）：以可用性作为攻击目标，它毁坏系统资源，切断通信线路，造成文件系统不可用。 截获（Interception）：以保密性作为攻击目标，非授权用户通过某种手段获得对系统资源的访问，如窃听、非法拷贝等。 修改（Modifucation）：以完整性作为攻击目标，非授权用户不仅获得对系统资源的访问，而且对文件进行篡改，如改变数据文件中的数据或修改网上传输的信息等。 伪造（Fabrication）：以完整性作为攻击目标，非授权用户将伪造的数据插入到正常系统中，如在网络上散布一些虚假信息等。 9.1.3 网络安全的评估标准 在标准中，系统安全程度被分为A、B、C、D四类，每一类又分为若干等级，共有八个等级，它们从低到高分别是D、C1、C2、B1、B2、B3、A1、A2，其中D级系统的安全度最低，常见的无密码保护的个人计算机系统即属此类，通常具有密码保护的多用户的工作站系统属于C1级。 9.2 网络安全策略 l．对象认证（Entity Authentication） 安全认证是防止主动攻击的重要防御措施，它对于开放系统环境中的各种信息安全有重要的作用。认证就是识别和证实。 2．访问控制（Access Control） 访问控制是针对越权使用资源的防御措施。访问控制大体可分为自主访问控制和强制访问控制两类。 3．数据保密性（Data Confidentiality） 数据保密性是针对信息泄漏的防御措施，它又分为：信息保密、选择数据段保密与业务流保密等。 4．数据完整性（Data Integrity） 数据完整性是针对非法地篡改信息、文件和业务流而设置的防范措施，以保证资源可获得性。 5．防抵赖（Non-repudiation） 防抵赖是针对对方进行抵赖的防范措施，可用来证实发生过的操作。它可分为：对发送防抵赖、对递交防抵赖与公证。 9.3 网络安全机制 9.3.1 加密 密码学有着悠久而灿烂的历史，图9-2为密码技术中的加解密模型，在模型中将被加密的信息称为明文（Plaintext），明文经过以密钥（Key）为参数的函数转换（即加密）得到的结果称为密文（Ciphertext）。密文在信道上传输，入侵者（Intruder）可能会从信道上获得密文。 1. 秘密密钥加密 传统的加密技术是：发送方和接收方必须使用相同的密钥，而且密钥必须保密。 设发送方使用的加密函数encrypt有两个参数：密钥K和待加密数据M，加密后的数据为E，则E为： E＝encrypt（K，M） 而接收方使用的解密函数decrypt把上述过程逆运算，就产生了原来的数据M： M＝decrypt（K，E） 数学上，decrypt和encrypt互为逆函数，有： M=decrypt（K，encrypt（K，M）） 2. 公开密钥加密 这种用两把密钥加密和解密的方法可以表示成如下的数学形式，假设M表示一段数据，pub-ul表示用户U1的公开密钥，prv-ul表示用户U1的私有密钥，那么有： M=decrypt((pub-ul，encrypt(prv-ul，M)) 和 M＝decrypt(pry-ul，encrypt(pub-ul，M)) 9.3.2 鉴别 鉴别（Authe