传输层安全解读.ppt

第 2 部分 网络安全应用 第 4 章 密钥分配和用户认证 第 5 章 传输层安全 第 6 章 无线网络安全 第 7 章 电子邮件安全 第 8 章 IP 安全 第 5 章 传输层安全 提纲 ? Web 安全需求 ? 安全套接字层 SSL ? 传输层安全 TLS ? HTTPS ? 安全盾 SSH 提要 ? 安全套接字层 SSL 提供 TCP 和使用 TCP 的应用之间 的安全服务。互联网标准称为 传输层安全 TLS ? SSL/TLS 使用 对称加密 提供消息的 机密性服务 ，使 用 消息认证码 提供消息的 完整性服务 。 ? HTTPS 是指 HTTP 和 SSL 的组合，实现 Web 浏览器 和 Web 服务器之间的安全通信。 ? 安全盾 SSH 提供远程安全登录和其他安全的客户 / 服 务器服务。 一、 Web 安全需求 ? 互联网是双向的。 ? 日益成为信息或产品的主要出口，以及处理商务的 平台。 ? 底层软件复杂，相应的可能会隐藏很多潜在的安全 缺陷。 ? Web 服务器可以作为进入公司或机构的整个计算机 联合体的跳板使用。 ? 用户多是临时的和未经培训的，缺乏警觉感，也没 有对安全风险给予有效防范的工具和知识。 案 例 ? 96 年 8 月 17 日，美国司法部的网络服务器遭到黑客入侵，并 将“美国司法部”的主页改为“美国不公正部”，将司法部 部长的照片换成了希特勒，将司法部徽章换成了纳粹党徽， 并加上一幅色情女郎的图片作为所谓司法部部长的助手，此 外，还留下了很多攻击美国司法政策的文字。 ? 96 年 9 月 18 日，黑客光顾美国中情局的网络服务器，将其主 页由“中央情报局”改为 I“ 中央愚蠢局”。 ? 96 年 12 月 29 日，黑客入侵美国空军的全球网网址并将其主页 肆意改动，其中有关空军介绍、新闻发布等内容被替换成一 段简短的黄色录像，且声称美国政府所说的一切都是谎言。 迫使美国国防部一度关闭了其他 80 多个官方网址。 案 例 ? 2000 年 2 月，著名的 Yahoo 、 eBay 等高利润站点遭到持 续两天的拒绝服务攻击，商业损失巨大。 ? 2002 年 6 月，日本 2002 年世界杯组委会的官方网站由于 黑客成功侵入并在该网站上发布侮辱性内容而被迫关闭。 ? 2006 年 2 月，为抗议丹麦发行伊斯兰教先知穆罕默德的 卡通漫画，已有数百家该国的网站遭到了黑客的攻击， 在上面写满了赞美伊斯兰教和谴责这些卡通画的语言， 其中一些还被放置了被焚的丹麦国旗的照片。 案 例 ? 百度“被黑” 大致攻击过程解剖如下： 1 、 2010 年 1 月 12 日上午约 6 点起，百度域名 DNS 服务器被劫持更 换，同时主域名已经被解析到一个荷兰的 IP ； 2 、域名被更换后，访问百度时页面自动跳转到一租用雅虎服务 器的空间；该 IP 的网站实际使用英文雅虎下的租用空间，因 此访问百度旗下网站时，会出现英文雅虎的出错信息页面。 3 、由于页面请求数量过于庞大导致雅虎服务器瘫痪或者流量超 限，服务器瘫痪； 4 、服务器瘫痪后，访问百度的网民页面自动跳转到雅虎的提示 页面； 5 、在超限之前，部分网民访问伊朗网军的黑客页面，攻击者在 百度首页自称是“ Iranian Cyber Army” （伊朗网军）的组织 承认篡改了百度主页，并留下阿拉伯文字； 6 、 2010 年 1 月 12 日上午，国内大部分城市用户和海外用户只能通 过未被劫持的百度备用域名访问； 7 、 2010 年 1 月 12 日上午约 11 点起，陆续恢复正常访问； 案 例 Web 安全威胁分类 主动攻击 被动攻击 服务器 浏览器 服务器和浏览器之间的流量 网络安全 系统安全 Web 流量安全方法 二、安全套接字层 SSL ? SSL ： Secure Socket Layer 。 ? 1994 年， Netscape 公司开发了 SSL 协议，专门用于 保护 Web 通讯 ，目前已经有 SSL1.0 、 SSL2.0 、 SSL3.0 。 ? SSL 使用 TCP 提供一种可靠地端到端的安全服务。 ? 下面讲述 SSL3.0 的工作原理。 1 、 SSL 体系结构 SSL 握手 协议 SSL 密码变 更规格协议