一、計(jì)算機(jī)網(wǎng)絡(luò)面臨的安全性威脅

1、典型的網(wǎng)絡(luò)安全事件

• 1988年11月2日，美國康奈爾大學(xué)的學(xué)生羅伯特·莫里斯在網(wǎng)絡(luò)上釋放了Internet第一個(gè)“蠕蟲”程序，幾個(gè)小時(shí)之內(nèi)，數(shù)千臺電腦受傳染，損失接近1億美元。
• 2002年，黑客用Ddos攻擊13個(gè)根DNS中的8個(gè)，使整個(gè)Internet的通信受到破壞
• 2006年，“熊貓燒香”木馬致使我國數(shù)百萬臺計(jì)算機(jī)受感染。能終止反病毒軟件進(jìn)程并且會刪除擴(kuò)展名為gho的備份文件。
• 2010年，“維基解密”網(wǎng)站公開了多達(dá)9.2萬份駐阿美軍秘密文件。
• 2011年，CSDN網(wǎng)站被黑客攻擊，600余萬份注冊郵箱帳號和對應(yīng)的明文密碼泄漏，堪稱中國互聯(lián)網(wǎng)史上最大的泄密事件。
• 2017年5月12日晚，WannaCry蠕蟲病毒在全球大肆爆發(fā)。該病毒帶有加密功能，它利用Windows在445端口的安全漏洞潛入電腦并對多種文件類型加密，攻擊者稱需支付比特幣解鎖。

• 2018年3月，Facebook爆出史上最大數(shù)據(jù)泄露事件。SCL和劍橋分析公司利用了Facebook上5000萬用戶的個(gè)人資料數(shù)據(jù)。【劍橋分析公司被指利用5000萬用戶個(gè)人資料，來創(chuàng)建檔案，在2016美國總統(tǒng)大選期間針對這些人進(jìn)行定向宣傳。】
• Apple用戶只需透過 Group FaceTime 撥號給某人后，即使對方?jīng)]有接聽的話，系統(tǒng)都能夠藉著麥克風(fēng)接收到對方的說話，甚至是會在不知情下開啟相機(jī)鏡頭。 這意味著Apple 用戶將可能會不知不覺地曝露私隱，這個(gè)漏洞的出現(xiàn)對用戶而言絕對是一個(gè)極為嚴(yán)重的錯(cuò)誤。

2、安全的計(jì)算機(jī)網(wǎng)絡(luò)

• 數(shù)據(jù)保密性：用于加密數(shù)據(jù)以防被竊聽
• 端點(diǎn)鑒別：用于保證通信的真實(shí)性，證實(shí)接收的數(shù)據(jù)就來自所要求的源方。
• 數(shù)據(jù)完整性：用于保證所接受的消息為未經(jīng)插入、篡改或重放
• 訪問控制：用于防止對網(wǎng)絡(luò)資源的非授權(quán)訪問
• 不可否認(rèn)：防止通訊雙方中某一方抵賴所傳輸?shù)南?/li>

2.1 數(shù)據(jù)加密

• 利用技術(shù)手段將數(shù)據(jù)變成亂碼，到達(dá)目的地后再還原為原數(shù)據(jù)。
• 古典加密技術(shù)：Caesar密碼、單表置換密碼

二、兩類密碼體制

• 對稱密鑰密碼體制
  • 加密密鑰與解密密鑰是相同的密碼體制
  • 數(shù)據(jù)加密標(biāo)準(zhǔn) DES（ Data Encryption Standard ）
• 公鑰密碼體制
  • 使用不同的加密密鑰與解密密鑰
  • RSA 體制

1、對稱密鑰密碼體制 - DES

• DES使用相同的加密密鑰與解密密鑰
• DES 的保密性僅取決于對密鑰的保密，而算法是公開的。

2、公鑰密碼體制 - RSA

公鑰密碼體制產(chǎn)生的原因：

對稱密鑰密碼體制中的密鑰分配問題

對數(shù)字簽名的需求

• RSA使用不同的加密密鑰與解密密鑰。
• 加密密鑰(即公鑰) PK 是公開信息，而解密密鑰(即私鑰或秘鑰) SK 是需要保密的

• RSA基于數(shù)論中大數(shù)分解難題：分解兩個(gè)大素?cái)?shù)（100位~200位十進(jìn)制數(shù)）之積是公認(rèn)的數(shù)學(xué)難題。
• 雖然秘鑰 SK 是由公鑰 PK 決定的，但卻不能根據(jù) PK 計(jì)算出 SK。

發(fā)送者 A 用 B 的公鑰 PKB 對明文 X 加密（E 運(yùn)算）后，在接收者 B 用自己的私鑰 SKB 解密（D 運(yùn)算），即可恢復(fù)出明文：

解密密鑰是接收者專用的秘鑰，對其他人都保密。
加密密鑰是公開的，但不能用它來解密，即

加密和解密的運(yùn)算可以對調(diào)，即

3、對稱加密與公鑰加密的比較

三、數(shù)字簽名

• 數(shù)字簽名必須保證以下三點(diǎn)：
  (1) 報(bào)文鑒別——接收者能夠確信報(bào)文是發(fā)送者發(fā)送的，別人無法偽造對報(bào)文的簽名；
  (2) 報(bào)文的完整性——接收者能夠確信報(bào)文是完整的，沒有被纂改過；
  (3) 不可否認(rèn)——發(fā)送者事后不能抵賴對報(bào)文的簽名。

公鑰密碼體制實(shí)現(xiàn)數(shù)據(jù)加密如下：

公鑰密碼體制實(shí)現(xiàn)數(shù)字簽名
如何證明 B 偽造了報(bào)文?

因?yàn)槌?A 外沒有別人能具有 A 的私鑰，所以除 A 外沒有別人能產(chǎn)生這個(gè)密文。因此 B 相信報(bào)文 X 是 A 簽名發(fā)送的。若 A 要抵賴曾發(fā)送報(bào)文給 B，B 可將明文和對應(yīng)的密文出示給第三者。第三者很容易用 A 的公鑰去證實(shí) A 確實(shí)發(fā)送 X 給 B。反之，若 B 將 X 偽造成 X‘，則 B 不能在第三者前出示對應(yīng)的密文。這樣就證明了 B 偽造了報(bào)文。

公鑰密碼體制實(shí)現(xiàn)具有保密性的數(shù)字簽名

四、鑒別

• 驗(yàn)證通信的對方的確是自己要通信的對象而不是冒充者
• 報(bào)文鑒別
  • 接收者能夠確信報(bào)文是發(fā)送者發(fā)送的，別人無法偽造
  • 對每一個(gè)收到的報(bào)文都要鑒別報(bào)文的發(fā)送者
• 實(shí)體鑒別
  • 對通信的進(jìn)程進(jìn)行鑒別，通常在系統(tǒng)接入時(shí)驗(yàn)證一次

1、報(bào)文鑒別

• 數(shù)字簽名

缺點(diǎn)：對很長的報(bào)文進(jìn)行數(shù)字簽名開銷太大

• 報(bào)文摘要MD (Message Digest)

發(fā)送方：

A 將報(bào)文 X 經(jīng)過報(bào)文摘要算法運(yùn)算后得出很短的報(bào)文摘要 H

然后用自己的私鑰對 H 進(jìn)行數(shù)字簽名，得到MAC

將MAC其追加在報(bào)文 X 后面發(fā)送給 B

接收方：

首先把MAC和報(bào)文 X 分離

用A的公鑰對MAC進(jìn)行運(yùn)算，得出報(bào)文摘要 H ，對報(bào)文X計(jì)算出H，比較兩個(gè)H

優(yōu)點(diǎn)：短得多的定長報(bào)文摘要 H 進(jìn)行數(shù)字簽名開銷小

2、實(shí)體鑒別

A 發(fā)送給 B 的報(bào)文的被加密，使用的是對稱密鑰 KAB。
B 收到此報(bào)文后，用共享對稱密鑰 KAB 進(jìn)行解密，因而鑒別了實(shí)體 A 的身份。

• 使用不重?cái)?shù)進(jìn)行鑒別 【不重?cái)?shù)就是一個(gè)不重復(fù)使用的大隨機(jī)數(shù)】

• 使用不重?cái)?shù)進(jìn)行鑒別（公鑰密碼體制）

• 中間人攻擊

五、密鑰分配

• 對稱密鑰的分配
  • 目前常用的密鑰分配方式是設(shè)立密鑰分配中心 KDC (Key Distribution Center)，通過 KDC 來分配密鑰。

    密鑰分配中心 KDC 的任務(wù)是給需要進(jìn)行通信的兩個(gè)用戶臨時(shí)分配一個(gè)對稱密鑰，且僅在這次通信中使用。

• 公鑰的分配
  • 一個(gè)值得信賴的機(jī)構(gòu)——即認(rèn)證中心CA (Certification Authority)來管理

1、對稱密鑰的分配

• 密鑰分配協(xié)議：Kerberos
• Kerberos既是鑒別協(xié)議，也是密鑰分配中心KDC

2、公鑰的分配

公鑰的傳輸過程也存在風(fēng)險(xiǎn)，如果中間商篡改了公鑰，那么他就可以偽造數(shù)字簽名

通過認(rèn)證中心CA (Certification Authority)來將公鑰與其對應(yīng)的實(shí)體（人或機(jī)器）進(jìn)行綁定。認(rèn)證中心一般由政府出資建立。

六、運(yùn)輸層安全協(xié)議

現(xiàn)在廣泛使用的有以下兩個(gè)協(xié)議：

• 安全套接字層 SSL (Secure Socket Layer)
• 運(yùn)輸層安全 TLS (Transport Layer Security)

SSL/TLS 的位置

• 在發(fā)送方，SSL 接收應(yīng)用層的數(shù)據(jù)（如 HTTP ），對數(shù)據(jù)進(jìn)行加密，然后把加了密的數(shù)據(jù)送往 TCP 套接字。
• 在接收方，SSL 從 TCP 套接字讀取數(shù)據(jù)，解密后把數(shù)據(jù)交給應(yīng)用層。

1、SSL安全會話建立過程如下

2、TLS 工作流程

此為服務(wù)端單向認(rèn)證，還有客戶端/服務(wù)端雙向認(rèn)證，流程類似，只不過客戶端也有自己的證書，并發(fā)送給服務(wù)器進(jìn)行驗(yàn)證

TLS：位于 HTTP 和 TCP 之間的協(xié)議，其內(nèi)部有 TLS握手協(xié)議、TLS記錄協(xié)議
HTTPS 經(jīng)由 HTTP 進(jìn)行通信，但利用 TLS 來保證安全，即 HTTPS = HTTP + TLS【HTTPS 使用 TLS 保證安全，這里的“安全”分兩部分，一是傳輸內(nèi)容加密、二是服務(wù)端的身份認(rèn)證】

2.1 TLS 使用的密碼技術(shù)

偽隨機(jī)數(shù)生成器：秘鑰生成隨機(jī)性，更難被猜測

對稱密碼：對稱密碼使用的秘鑰就是由偽隨機(jī)數(shù)生成，相較于非對稱密碼，效率更高

消息認(rèn)證碼：保證消息信息的完整性、以及驗(yàn)證消息信息的來源

公鑰密碼：證書技術(shù)使用的就是公鑰密碼

數(shù)字簽名：驗(yàn)證證書的簽名，確定由真實(shí)的某個(gè) CA 頒發(fā)

證書：解決公鑰的真實(shí)歸屬問題，降低中間人攻擊概率

TLS 是一系列密碼工具的框架，作為框架，它也是非常的靈活，體現(xiàn)在每個(gè)工具套件它都可以替換，即：客戶端與服務(wù)端之間協(xié)商密碼套件，從而更難的被攻破，例如使用不同方式的對稱密碼，或者公鑰密碼、數(shù)字簽名生成方式、單向散列函數(shù)技術(shù)的替換等。

文章參考：https://blog.csdn.net/ustccw/article/details/76691248 以及 謝希仁著. 計(jì)算機(jī)網(wǎng)絡(luò)（第7版）

總結(jié)

以上是生活随笔為你收集整理的计算机网络体系结构 - 网络安全的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。