這份重點(diǎn)是在準(zhǔn)備復(fù)試時(shí)邊看書和ppt邊手打的。掐指一算已經(jīng)是整整一個(gè)月前的事情惹。
這本教材是哈工程復(fù)試參考書目，但是網(wǎng)絡(luò)上關(guān)于它的材料比較少。把自己整理的重點(diǎn)放上來，希望能幫到期末、復(fù)試以及自學(xué)網(wǎng)絡(luò)安全的小可愛?
網(wǎng)絡(luò)安全
2.1基本協(xié)議

ARP地址解析協(xié)議：將局域網(wǎng)中的32bitIP地址→48bit物理地址（網(wǎng)卡的MAC地址）
ARP欺騙：計(jì)算機(jī)發(fā)出假冒的ARP查詢或應(yīng)答信息，然后將所有流向它的數(shù)據(jù)流轉(zhuǎn)移，以此偽裝成某臺機(jī)器或修改數(shù)據(jù)流向。通過偽造IP地址和MAC地址實(shí)現(xiàn)ARP欺騙，能夠在網(wǎng)絡(luò)中產(chǎn)生大量的ARP通信量使網(wǎng)絡(luò)阻塞或者實(shí)現(xiàn)“man in the middle” 進(jìn)行ARP重定向和嗅探攻擊。

ICMP控制消息協(xié)議：介于網(wǎng)絡(luò)層和傳輸層，傳輸網(wǎng)絡(luò)診斷信息（error）或咨詢信息（information），既傳輸差錯(cuò)報(bào)文，又傳輸控制報(bào)文。是監(jiān)控工具Ping和Traceroute的重要組成部分。
安全威脅：①濫用ICMP來中斷某些連接②利用ICMP對消息重定向（redirect）③死亡之ping。

TCP傳輸控制協(xié)議：由于IP數(shù)據(jù)包易丟失、被復(fù)制或亂序傳遞，TCP可以將數(shù)據(jù)包排序并進(jìn)行錯(cuò)誤檢查，重傳重組，同時(shí)實(shí)現(xiàn)虛電路間的連接。
安全威脅：①unix系統(tǒng)規(guī)定超級用戶才可創(chuàng)建1024以下端口（特權(quán)端口）；
②三次握手進(jìn)行連接時(shí)TCP協(xié)議處于半開放狀態(tài)下，SYNFlood攻擊會使服務(wù)器保持半開放連接狀態(tài)進(jìn)而無法完成三步握手協(xié)議，無法響應(yīng)其他客戶機(jī)的連接請求。
③序號攻擊：若攻擊者能預(yù)測目標(biāo)主機(jī)選擇的起始序號就可欺騙目標(biāo)主機(jī)。如Morris。

UDP用戶數(shù)據(jù)報(bào)協(xié)議：與TCP位于同一層，但是沒有連接建立的過程（TCP具有連接建立、撤銷和狀態(tài)維護(hù)的過程），沒有糾錯(cuò)和重傳機(jī)制，也沒有數(shù)據(jù)包檢測機(jī)制，進(jìn)行大流量數(shù)據(jù)傳輸時(shí)易造成堵塞主機(jī)或路由器并導(dǎo)致數(shù)據(jù)包丟失，沒有交換握手信息和序號的過程導(dǎo)致使用UDP實(shí)施欺騙比使用TCP簡單；用于交換消息的開銷比TCP小，適用于挑戰(zhàn)/響應(yīng)類型的應(yīng)用，如NFS,NTP,DNS(DNS也使用TCP)。
2.2網(wǎng)絡(luò)地址和域名管理

路由協(xié)議：一種在Internet上動態(tài)尋找恰當(dāng)路徑的機(jī)制，是支撐TCP/IP、IPX/SPX、AppleTalk等協(xié)議工作的基礎(chǔ)，目的是實(shí)現(xiàn)網(wǎng)絡(luò)互聯(lián)。

非對稱路由（返回通道與發(fā)送通道不一致）：
優(yōu)點(diǎn)：起到負(fù)載均衡作用；
缺點(diǎn)：有多個(gè)防火墻時(shí)會引發(fā)安全問題。

寬松路由（loose source route）：指定數(shù)據(jù)包必須經(jīng)過的確切路由地址，根據(jù)RFC1122，目標(biāo)主機(jī)必須使用逆通道作為返回路由，使得攻擊者可以假冒目標(biāo)主機(jī)信任的任一主機(jī)。（最容易的攻擊方式）。

源路由欺騙：IP地址并非是出廠時(shí)就與MAC地址固定在一起的，攻擊者通過自封包和修改網(wǎng)絡(luò)節(jié)點(diǎn)的IP地址冒充某個(gè)可信節(jié)點(diǎn)的IP地址。
源路由攻擊：獲取TCP序列號進(jìn)行序號攻擊。
防范：①拒絕接收含有源路由功能的數(shù)據(jù)包，關(guān)閉主機(jī)和路由器上的源路由功能；②拋棄由外部網(wǎng)進(jìn)來卻聲稱是內(nèi)部主機(jī)的報(bào)文。

RIP路由信息協(xié)議：動態(tài)路由選擇，用于自治系統(tǒng)內(nèi)的路由信息的傳遞，基于距離矢量算法，使用跳數(shù)衡量到達(dá)目標(biāo)地址的路由距離，只與15跳以內(nèi)的路由器交換信息。
安全缺陷：①通過RIP數(shù)據(jù)包注入，若攻擊主機(jī)比真正的源點(diǎn)主機(jī)距離更近則可能改變數(shù)據(jù)流方向；防范：采用備份路由/使用hopcount站計(jì)數(shù)衡量路徑長短②有些實(shí)現(xiàn)方案可以接收特定主機(jī)的路由，使檢測更加困難。

DNS域名系統(tǒng)：分布式數(shù)據(jù)系統(tǒng)，實(shí)現(xiàn)域名到IP之間的相互映射。
安全威脅：
①DNS欺騙：DNS的查詢請求基于UDP，客戶端對DNS應(yīng)答包僅通過隨機(jī)發(fā)生的查詢ID和UDP端口號驗(yàn)證，且只接受首先到達(dá)的應(yīng)答包，為DNS欺騙提供了機(jī)會。
步驟：1）Arp欺騙。欺騙者向用戶發(fā)送偽造的arp應(yīng)答報(bào)文，更新用戶本地的arp緩存，使用戶認(rèn)為欺騙者為網(wǎng)關(guān)。這樣，在用戶向本地DNS服務(wù)器發(fā)送請求時(shí)，數(shù)據(jù)的流向就改為用戶—欺騙者—網(wǎng)關(guān)—本地DNS服務(wù)器。欺騙者通過sniffer軟件，嗅探到DNS請求包的ID和端口號。2）欺騙者利用得到的ID和端口號，優(yōu)先向用戶發(fā)送偽造DNS應(yīng)答，用戶在對ID和端口號進(jìn)行核對后認(rèn)為是正確的應(yīng)答。此時(shí)用戶訪問的域名已經(jīng)被替換為欺騙者偽造的IP。3）本地DNS服務(wù)器發(fā)送的真的DNS應(yīng)答包因?yàn)橥碛趥卧彀?#xff0c;用戶收到后丟棄。（前提：攻擊者與用戶處于同一局域網(wǎng)）
*不滿足前提時(shí)，攻擊者對DNS緩存進(jìn)行攻擊（如生日攻擊），使DNS緩存中毒。
②分布式拒絕服務(wù)攻擊DDos：攻擊者通過龐大的被控主機(jī)群向目標(biāo)DNS服務(wù)器發(fā)送DNS查詢請求，使其過載以及網(wǎng)絡(luò)線路堵塞。
③DNS軟件漏洞攻擊：Dos攻擊（發(fā)送特定數(shù)據(jù)包請求使BIND自動關(guān)閉無法應(yīng)答）、緩沖區(qū)溢出攻擊（利用DNS軟件對輸入的請求字符串不做嚴(yán)格檢查的安全漏洞，構(gòu)造特殊數(shù)據(jù)包使緩沖區(qū)溢出后執(zhí)行特殊代碼獲取控制權(quán)）
④管理缺陷
防范措施：防范ARP攻擊、采用UDP隨機(jī)端口、建立靜態(tài)IP映射、運(yùn)行最新版本BIND、限制查詢、利用防火墻、利用交叉檢驗(yàn)、利用DNSsec機(jī)制、TCP區(qū)轉(zhuǎn)移。
DNSsec機(jī)制：兼容現(xiàn)有協(xié)議的基礎(chǔ)上引入加密和認(rèn)證體系，允許校驗(yàn)應(yīng)答信息的可靠性。

NAT網(wǎng)絡(luò)地址轉(zhuǎn)換協(xié)議：將私有（保留）地址轉(zhuǎn)換為合法IP地址的轉(zhuǎn)換技術(shù)，解決了IPv4地址短缺的問題，有效避免來自網(wǎng)絡(luò)外部的攻擊，隱藏并保護(hù)網(wǎng)絡(luò)內(nèi)部的計(jì)算機(jī)。
安全威脅：①不能與加密協(xié)調(diào)工作，不能對加密的應(yīng)用數(shù)據(jù)流進(jìn)行檢查；②與IPsec沖突。③單點(diǎn)攻擊：SYN flood/Ping flood。
2.3電子郵件協(xié)議

SMTP簡單郵件傳輸協(xié)議：最常用，使用25號端口。
安全威脅：①主叫方通過命令指定一個(gè)返回地址，本地主機(jī)無法驗(yàn)證正確性（無法確認(rèn)發(fā)信人）；②可能成為Dos攻擊的工具攻擊郵件服務(wù)器；③最常見的實(shí)現(xiàn)方案Sendmail中包含很多C代碼并常以root用戶權(quán)限工作造成安全漏洞，可能會被網(wǎng)絡(luò)蠕蟲利用；④開放中繼允許任何人之間進(jìn)行郵件傳遞造成危險(xiǎn)，比如收到垃圾郵件（使用郵件托付mail submission認(rèn)證功能拒絕接受開放中繼）；⑤垃圾郵件spam；

POP3郵局協(xié)議：規(guī)定如何將個(gè)人計(jì)算機(jī)連接到網(wǎng)絡(luò)郵件服務(wù)器上來下載郵件。使用110端口。
安全威脅：口令以明文傳輸或以明文形式存儲在服務(wù)器上；POP3服務(wù)器軟件在認(rèn)證結(jié)束前以root權(quán)限運(yùn)行，給服務(wù)器帶來風(fēng)險(xiǎn)。

IMAP消息訪問協(xié)議：一種郵件獲取協(xié)議，支持摘要瀏覽、選擇性下載附件、支持離線閱讀，運(yùn)行在TCP/IP協(xié)議之上，使用143號端口。
不足：挑戰(zhàn)/響應(yīng)機(jī)制使用了一個(gè)共享密鑰且必須存儲在服務(wù)器上；協(xié)議復(fù)雜度太高。

MIME多用途網(wǎng)際郵件擴(kuò)充協(xié)議：服務(wù)器通過說明MIME類型通知接收方/瀏覽器發(fā)送的多媒體數(shù)據(jù)類型。
安全威脅：①缺少M(fèi)IME可能引起計(jì)算機(jī)崩潰；②MIME編碼消息可能帶有攻擊代碼；③MIME分段攻擊；④郵寄可執(zhí)行程序和含有危險(xiǎn)動作的PostScript文件，其中蠕蟲和病毒傳播的主要根源就是通過電郵發(fā)送可執(zhí)行程序，或者發(fā)送含有偽造的“From：”命令行的MIME信息。
3.數(shù)字證書與公鑰基礎(chǔ)設(shè)施

PKI(Public Key Infrastructure)即提供安全服務(wù)的公鑰基礎(chǔ)設(shè)施，目的是從技術(shù)上解決網(wǎng)上身份認(rèn)證、電子信息的完整性和不可否認(rèn)性等安全問題為網(wǎng)絡(luò)應(yīng)用提供可靠的安全服務(wù)。PKI是遵循標(biāo)準(zhǔn)的密鑰管理平臺，提供密鑰和證書管理。組成包括：證書機(jī)構(gòu)CA（發(fā)放和管理數(shù)字證書）、注冊機(jī)構(gòu)RA（對證書申請進(jìn)行資格審查）、證書發(fā)布庫（存放頒發(fā)證書與證書撤銷列表供公眾查詢）、密鑰備份與恢復(fù)（僅針對加/解密密鑰）、證書撤銷、PKI應(yīng)用接口

PKI的應(yīng)用：①認(rèn)證服務(wù)（身份識別與認(rèn)證）②數(shù)據(jù)完整性服務(wù)（使用數(shù)字簽名確認(rèn)數(shù)據(jù)沒有被修改過）③數(shù)據(jù)保密性服務(wù)（“數(shù)字信封”機(jī)制：使用接收方的公鑰加密對稱密鑰）④不可否認(rèn)服務(wù)（從技術(shù)上保證實(shí)體對行為的認(rèn)可，主要是數(shù)據(jù)來源、接收與接收后的不可否認(rèn)性）⑤公證服務(wù)（數(shù)據(jù)認(rèn)證：有效性和正確性）。

數(shù)字證書：是一個(gè)用戶的身份與其所持有的公鑰的結(jié)合，由證書機(jī)構(gòu)CA對證書進(jìn)行數(shù)字簽名證明有效性。
生成參與方：參與方：最終用戶、RA（簽發(fā)、維護(hù)、撤銷）、CA（接收和驗(yàn)證最終用戶的信息、為最終用戶生成密鑰、接收和授權(quán)密鑰備份與恢復(fù)請求、接收與授權(quán)證書撤銷請求）；
生成步驟：密鑰生成-注冊-驗(yàn)證-證書生成；

屬性證書AC：結(jié)構(gòu)與數(shù)字證書相似，不包含用戶的公鑰而是在實(shí)體及其一組屬性之間建立聯(lián)系，在授權(quán)服務(wù)中控制對網(wǎng)絡(luò)、數(shù)據(jù)庫等的訪問和對特定物理環(huán)境的訪問。

PKI實(shí)例：PKI/CA認(rèn)證系統(tǒng)=簽發(fā)系統(tǒng)Authority+密鑰管理中心系統(tǒng)KMC+申請注冊系統(tǒng)RA+證書發(fā)布系統(tǒng)DA+在線證書狀態(tài)查詢系統(tǒng)OCSP.

PMI權(quán)限/授權(quán)管理基礎(chǔ)設(shè)施：屬性證書AC、屬性管理機(jī)構(gòu)/屬性權(quán)威AA、屬性證書庫等的集合體。以向用戶和應(yīng)用程序提供權(quán)限管理和授權(quán)服務(wù)為目標(biāo)。主要負(fù)責(zé)向業(yè)務(wù)應(yīng)用系統(tǒng)提供與應(yīng)用相關(guān)的授權(quán)服務(wù)管理，提供用戶身份到應(yīng)用授權(quán)的映射功能，實(shí)現(xiàn)與實(shí)際應(yīng)用處理模式相對應(yīng)的、與具體應(yīng)用系統(tǒng)開發(fā)和管理無關(guān)的訪問控制機(jī)制，極大簡化了應(yīng)用中訪問控制和權(quán)限管理系統(tǒng)的開發(fā)與維護(hù)，減少管理成本和復(fù)雜性。

PKI與PMI的區(qū)別：PMI主要進(jìn)行授權(quán)管理，證明“你能做什么”；PKI主要進(jìn)行身份認(rèn)證，證明“你是誰”。

實(shí)現(xiàn)PMI的機(jī)制：
①基于Kerberos：基于對稱密碼技術(shù)，但不便于密鑰管理和單點(diǎn)失敗的問題，最適用于大量的實(shí)時(shí)事務(wù)處理環(huán)境中的授權(quán)管理。
②基于策略服務(wù)器概念：有一個(gè)中心服務(wù)器用來創(chuàng)建、維護(hù)和驗(yàn)證身份、組合角色，便于實(shí)行單點(diǎn)管理，但易形成通信瓶頸，最適用于地理位置相對集中的實(shí)體環(huán)境，具有很強(qiáng)的中心管理控制功能。
③基于屬性證書：分布式解決方案，具有失敗拒絕的優(yōu)點(diǎn)，但性能不高，適用于支持不可否認(rèn)服務(wù)的授權(quán)管理。

PMI模型：目標(biāo)+權(quán)限持有者+權(quán)限驗(yàn)證者。

4.密鑰管理
25. 密鑰管理：處理密鑰從產(chǎn)生到最終銷毀的整個(gè)過程中的有關(guān)問題，包括系統(tǒng)的初始化及密鑰的產(chǎn)生、存儲、備份/恢復(fù)、裝入、分配、保護(hù)、更新、控制、丟失、撤銷和銷毀等內(nèi)容。
26. 密鑰管理中的常見威脅：①秘密鑰的泄露；②密鑰的確證性（authenticity）的喪失，即共享或關(guān)于一個(gè)密鑰的實(shí)體身份的知識或可證實(shí)性；③密鑰未經(jīng)授權(quán)使用。
27. 密鑰種類：
①基本密鑰/初始密鑰/用戶密鑰Kp：在較長時(shí)間內(nèi)由一對用戶專用的秘密鑰，可與會話密鑰一起控制密鑰產(chǎn)生器，產(chǎn)生用于加密數(shù)據(jù)的密鑰流。
②會話密鑰/專用密鑰Ks：通信雙方在一次通話或數(shù)據(jù)交換時(shí)用的密鑰，保護(hù)數(shù)據(jù)時(shí)為數(shù)據(jù)加密密鑰，保護(hù)文件時(shí)為文件密鑰，時(shí)間短暫。
③密鑰加密密鑰/次主密鑰/輔助（二級）密鑰/密鑰傳送密鑰Ke：對密鑰加密時(shí)采用的密鑰，每節(jié)點(diǎn)應(yīng)互不相同。
④主機(jī)主密鑰Km：對密鑰加密密鑰進(jìn)行加密的密鑰。

密鑰產(chǎn)生方式：
? 理想的主機(jī)密鑰：隨機(jī)性、不可重復(fù)性、不可預(yù)測性；
? 密鑰加密密鑰：安全算法、二極管噪聲產(chǎn)生器、偽隨機(jī)數(shù)產(chǎn)生器；
? 會話密鑰、數(shù)據(jù)加密密鑰：安全算法。

密鑰分配：研究密鑰的分發(fā)和傳送問題，使用一串?dāng)?shù)字或密鑰對通信雙方所交換的秘密信息進(jìn)行加密、解密、傳送等操作以實(shí)現(xiàn)保密通信或認(rèn)證簽名等。

秘密信息共享的三種方法：
①利用安全信道實(shí)現(xiàn)密鑰傳遞；
由通信雙方直接面議或通過可靠信使傳遞密鑰，成本高，保證及時(shí)性和安全性，偶爾出現(xiàn)丟失、泄密。可采用分層方式即信使只傳送密鑰加密密鑰，或?qū)⒚荑€拆分傳送，或使用主密鑰對會話密鑰加密。
②利用雙鑰體制建立安全信道傳遞；
運(yùn)算量大，不適合用于實(shí)時(shí)數(shù)據(jù)加解密，適合用來進(jìn)行密鑰分配。一公一私，發(fā)送方使用公鑰對會話密鑰加密，收方收到密文后使用私鑰解密可得會話密鑰。公鑰可通過驗(yàn)證接收方的數(shù)字證書獲得。
③利用特定物理現(xiàn)象（如量子技術(shù)）實(shí)現(xiàn)密鑰傳遞。
量子密碼不可竊聽、不可破譯。

密鑰分配的基本工具：認(rèn)證技術(shù)（保障）、協(xié)議技術(shù)（流程）。

密鑰分配的基本模式：
①點(diǎn)對點(diǎn)分配：每對用戶共享一個(gè)密鑰，N個(gè)用戶需要N(N-1)/2個(gè)密鑰。只適用小型網(wǎng)。
②中心化密鑰管理：將一個(gè)可信的聯(lián)機(jī)服務(wù)器作為密鑰分配KDC或轉(zhuǎn)遞KTC中心。各用戶只需保存一個(gè)與KDC或KTC共享的長期密鑰。

可信第三方TTP：
①參與方式：協(xié)調(diào)（中間人，為AB通信提供實(shí)時(shí)服務(wù)AB屬于不同安全區(qū)域時(shí)尤為重要）、聯(lián)機(jī)（實(shí)時(shí)參與AB每次協(xié)議的執(zhí)行，不必參與通信）、脫機(jī)（不實(shí)時(shí)參與AB的協(xié)議，而是預(yù)先向AB提供雙方執(zhí)行協(xié)議所需信息，對計(jì)算資源要求低，但撤銷權(quán)宜時(shí)不方便證書發(fā)放管理機(jī)構(gòu)常采用此種方式）。
②其他功能：密鑰服務(wù)器（KDC/KTC）；密鑰管理設(shè)備；密鑰查閱服務(wù)；時(shí)戳代理；仲裁代理；托管代理。

密鑰交換協(xié)議：
①單鑰體制的密鑰建立協(xié)議：分為密鑰傳輸協(xié)議與密鑰協(xié)商協(xié)議。兩方用戶都分別與密鑰分配中心KDC（即Trent）共享一個(gè)密鑰。
缺點(diǎn)：協(xié)議安全性完全依賴Trent的安全性；Trent可能成為影響系統(tǒng)性能的瓶頸；Trent出現(xiàn)故障會影響整個(gè)系統(tǒng)的正常工作。
②雙鑰體制的密鑰交換協(xié)議：公鑰+會話密鑰，雙方公鑰存放在數(shù)據(jù)庫中。
缺點(diǎn)：中間人攻擊（Men-in-the-middle Attack），竊聽、修改、刪除消息，或截獲數(shù)據(jù)庫查詢指令，或進(jìn)入數(shù)據(jù)庫修改雙方公鑰。之所以有效，是因?yàn)锳B無法驗(yàn)證他們正在與另一方會話。
③聯(lián)鎖協(xié)議Interlock：一半密文既不可解密，也不可重新加密，可有效抵擋中間人攻擊。
④采用數(shù)字簽名的密鑰交換：可信實(shí)體Trent對雙方公鑰進(jìn)行數(shù)字簽名，簽名的公鑰包含在數(shù)字證書中。可有效防止假冒攻擊（攻擊者無法獲得雙方的私鑰），防止中間人攻擊（攻擊者無法獲得Trent的私鑰）。
⑤密鑰和消息廣播：發(fā)送者使用隨機(jī)數(shù)作為會話密鑰對消息進(jìn)行加密，從數(shù)據(jù)庫中得到接收方的公鑰并對加密后的信息再次加密，發(fā)送方廣播加密的信息和所有加密的密鑰。可以在存儲轉(zhuǎn)發(fā)網(wǎng)絡(luò)上實(shí)現(xiàn)，且服務(wù)器不必是安全可信的。
⑥D(zhuǎn)iffie-Hellman密鑰交換協(xié)議：安全性建立在計(jì)算離散對數(shù)難題的基礎(chǔ)上，但無法抵抗中間人攻擊，因?yàn)闆]有對通信雙方的身份進(jìn)行認(rèn)證。

認(rèn)證的密鑰交換協(xié)議：將認(rèn)證與密鑰建立結(jié)合。
密鑰認(rèn)證是為了確保自己是和安全的一方通信，而不是和中間人通信。包括隱式密鑰認(rèn)證、密鑰確證、顯式密鑰認(rèn)證。
分類：
①基于單鑰體制的密鑰交換協(xié)議：大嘴青蛙協(xié)議、Yahalom協(xié)議、NeedhamSchroeder協(xié)議、Otway-Rees協(xié)議、Neuman-Stubblebine協(xié)議、Kerberos協(xié)議。
②基于雙鑰體制的密鑰交換協(xié)議：如Diffie-Hellman協(xié)議
③基于混合體制的密鑰交換協(xié)議：如DASS協(xié)議、Denning-Sacco協(xié)議、Woo-Lam協(xié)議、EKE協(xié)議；
e.g：Kerberos協(xié)議：AB各與Trent共享一個(gè)密鑰，采用時(shí)戳技術(shù)保證消息新鮮性；AB 通信的會話密鑰由A產(chǎn)生。運(yùn)行前提是每個(gè)用戶必須具有與Trent同步的時(shí)鐘，通過設(shè)立有效時(shí)間間隔，可檢測到重放攻擊。
EKE加密密鑰交換協(xié)議：既采用單鑰又采用雙鑰，采用共享密鑰對隨機(jī)生成的公鑰加密，通信雙方可實(shí)現(xiàn)相互認(rèn)證并共享一個(gè)會話密鑰K。

選用/設(shè)計(jì)協(xié)議需考慮的因素：認(rèn)證的特性、認(rèn)證的互易性、密鑰的新鮮性、密鑰的控制、有效性、第三方參與、是否采用證書、不可否認(rèn)性。

密鑰的保護(hù)、存儲與備份：
保護(hù)：保證環(huán)境安全、密鑰不能以明文形式出現(xiàn)。
①終端密鑰的保護(hù)：使用二級通信密鑰（終端主密鑰）對會話密鑰進(jìn)行加密保護(hù)，終端主密鑰存儲于主密鑰寄存器中，由主機(jī)對各終端主密鑰進(jìn)行管理。
②主機(jī)密鑰的保護(hù)：主密鑰原則
③密鑰分級保護(hù)管理法：

存儲：保證密鑰的機(jī)密性、認(rèn)證性、完整性，防止泄露與被修改。
備份：安全員保管、共享密鑰協(xié)議。

密鑰的泄露、撤銷、過期與銷毀：
泄露與撤銷：一旦泄露要及時(shí)撤銷。補(bǔ)救方法是及時(shí)更換密鑰。
有效期：①短期密鑰：如會話密鑰（至少一天一換）
②長期性密鑰：如密鑰加密密鑰（一月或一年一換）
③用于加密數(shù)據(jù)文件或存儲數(shù)據(jù)的密鑰不能經(jīng)常更換
④公鑰密碼的秘密密鑰由具體應(yīng)用確定，一般以年計(jì)，過期密鑰也要保留。
銷毀：舊密鑰要及時(shí)銷毀，碎紙機(jī)、多次重寫、自毀裝置。
5.防火墻原理與設(shè)計(jì)

防火墻：由軟件和硬件組成的系統(tǒng)，處于安全的網(wǎng)絡(luò)和不安全的網(wǎng)絡(luò)之間，根據(jù)系統(tǒng)管理員設(shè)置的訪問控制規(guī)則對數(shù)據(jù)流進(jìn)行過濾。
? 不足：防外不防內(nèi)；繞過防火墻的連接無效；必須允許重要的服務(wù)通過，也為攻擊預(yù)留了通道。
? 設(shè)計(jì)要求：
a) 所有進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)流都必須通過防火墻；
b) 只允許經(jīng)過授權(quán)的數(shù)據(jù)流通過防火墻；
c) 防火墻自身對入侵是免疫的。
d) 與防火墻的功能實(shí)現(xiàn)不相干但又可能給防火墻自身帶來安全威脅的網(wǎng)絡(luò)服務(wù)和應(yīng)用程序應(yīng)當(dāng)從防火墻中剝離出去。如NIS\rlogin
?
?
? 包過濾-電路級網(wǎng)關(guān)-應(yīng)用級網(wǎng)關(guān)-狀態(tài)檢測-內(nèi)核代理結(jié)構(gòu)/自適應(yīng)代理。
? 分類：
根據(jù)過濾層次：包過濾防火墻、電路級網(wǎng)關(guān)防火墻、應(yīng)用級網(wǎng)關(guān)防火墻。

*防火墻通常建立在TCP/IP模型基礎(chǔ)上。
*防火墻工作的層次越高，檢查數(shù)據(jù)包中的信息越多，工作周期越長，安全保護(hù)等級越高。
40. 靜態(tài)包過濾防火墻：采用路由器上的過濾模塊實(shí)現(xiàn)，無需采用專門設(shè)備，低開銷，每個(gè)網(wǎng)絡(luò)入口都可配備。
a) 工作原理：對兩個(gè)方向的每一個(gè)數(shù)據(jù)包根據(jù)一組過濾規(guī)則對數(shù)據(jù)包中IP頭和協(xié)議頭等特定域（數(shù)據(jù)源地址、目的地址、源端口號、目的端口號、應(yīng)用或協(xié)議）進(jìn)行檢查和判定從而進(jìn)行過濾。工作于網(wǎng)絡(luò)層。
b) 實(shí)現(xiàn)的三個(gè)功能：①接收到達(dá)的每個(gè)數(shù)據(jù)包；②對數(shù)據(jù)包采用過濾規(guī)則；③若無規(guī)則與數(shù)據(jù)包頭信息匹配，則對包施加默認(rèn)規(guī)則。
c) 訪問控制規(guī)則庫：將特定域與規(guī)則逐條比較；默認(rèn)規(guī)則包括允許一切或拒絕一切；可規(guī)定拒絕或接收發(fā)往/來自某特定IP地址或地址范圍的數(shù)據(jù)包；可規(guī)定拒絕或接收發(fā)往/來自某特定服務(wù)端口的數(shù)據(jù)包。
d) 配置步驟：明確企業(yè)網(wǎng)絡(luò)的安全策略；用邏輯表達(dá)式表示數(shù)據(jù)包的類型；語法重寫。
e) 安全威脅：
①檢查是按順序進(jìn)行的，所以過濾規(guī)則順序極其重要；
②無法識別偽造IP地址，可能受到IP地址欺騙攻擊；
③不檢查數(shù)據(jù)包的凈荷部分，可能遭受隱信道攻擊；
④沒有狀態(tài)感知能力，不能動態(tài)打開端口。
f) 優(yōu)缺點(diǎn)：網(wǎng)絡(luò)性能影響小，成本低；
安全性低，缺少狀態(tài)感知能力，創(chuàng)建訪問控制規(guī)則比較困難。
41. 動態(tài)包過濾防火墻：根據(jù)當(dāng)前網(wǎng)絡(luò)狀態(tài)檢查數(shù)據(jù)包，兼具安全性和透明性，所有客戶端軟件不加修改即可工作，過濾規(guī)則表動態(tài)化。
a) 工作原理：具有狀態(tài)感知能力，工作在網(wǎng)絡(luò)層/傳輸層，既對數(shù)據(jù)包頭信息進(jìn)行檢查（與靜態(tài)包過濾原理一致），又可對連接進(jìn)行處理，能感知新建連接與已建連接的區(qū)別，若某包與外出數(shù)據(jù)包有相同連接，則無需檢查直接放行。可處理TCP和UDP協(xié)議。
b) 特點(diǎn)：①面向連接；②將連接狀態(tài)記錄于RAM表單，后續(xù)數(shù)據(jù)包與RAM表單比較，在系統(tǒng)內(nèi)核層實(shí)現(xiàn)；
c) 實(shí)現(xiàn)方式：動態(tài)改變規(guī)則集；模仿電路級防火墻。
d) 安全性討論：
①FTP數(shù)據(jù)通道的安全性，要對21號端口（FTP命令通道）進(jìn)行特別處理；
②具有性能差異。來源1.是否支持對稱多處理技術(shù)2.建立連接的方式；
③有些防火墻不滿足三步握手協(xié)議，接收第一個(gè)SYN數(shù)據(jù)包時(shí)就打開新連接，使服務(wù)器易受偽裝IP地址攻擊，如單數(shù)據(jù)包攻擊（如LAND、PING OF DEATH、Tear Drop）。
e) 優(yōu)缺點(diǎn)：網(wǎng)絡(luò)性能影響小，安全性優(yōu)于靜態(tài)包過濾，狀態(tài)感知帶來性能提升；
檢查字段有限，不檢查凈荷，易受偽裝IP地址欺騙，創(chuàng)建規(guī)則較難，不一定遵循TCP三次握手協(xié)議而引入風(fēng)險(xiǎn)。
42. 電路級網(wǎng)關(guān)：又名線路級網(wǎng)關(guān)，類似中繼計(jì)算機(jī)的作用，作為服務(wù)器接收外來請求，有內(nèi)部主機(jī)請求訪問外部網(wǎng)絡(luò)時(shí)充當(dāng)代理服務(wù)器。當(dāng)有效連接建立后僅進(jìn)行轉(zhuǎn)發(fā)不再過濾。如SOCKS（其實(shí)是一種網(wǎng)絡(luò)代理協(xié)議）。
a) 工作原理：是包過濾防火墻的擴(kuò)展，工作在會話層。除了基本的包過濾檢查，還增加了對連接建立過程中的握手信息及序列號合法性的驗(yàn)證。
①阻止了IP數(shù)據(jù)包端到端的流動；②IP層存在的碎片攻擊、firewalking等問題都會在中繼主機(jī)上終結(jié)；③在兩個(gè)無任何IP連通性的網(wǎng)絡(luò)之間架起了一道橋梁；④一般可直接建立電路連接，有時(shí)需要網(wǎng)關(guān)協(xié)助。
b) 處理過程：接收-檢查更多字段-處理。
c) 安全性討論：
①對網(wǎng)絡(luò)性能影響較小；
②一旦建立連接，任何應(yīng)用均可通過連接運(yùn)行，缺少對數(shù)據(jù)包內(nèi)容的過濾。
d) 優(yōu)缺點(diǎn)：對網(wǎng)絡(luò)性能有一定程度的影響，切斷了外部網(wǎng)絡(luò)到防火墻后的服務(wù)器的直 接連接，比包過濾防火墻具有更高的安全性；不能對數(shù)據(jù)凈荷進(jìn)行檢測，無法提供應(yīng)用級的安全保障，當(dāng)增加新的內(nèi)部程序或資源時(shí)，需要對網(wǎng)關(guān)代碼進(jìn)行修改
43. 應(yīng)用級網(wǎng)關(guān)：只對特定服務(wù)的數(shù)據(jù)流進(jìn)行過濾，為特定的應(yīng)用服務(wù)編寫特定的應(yīng)用代理即“服務(wù)代理”。
a) 工作原理：截獲進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)包，運(yùn)行代理程序來回復(fù)制和傳遞通過網(wǎng)關(guān)的信息，起代理服務(wù)器的作用，避免直接連接。
b) 與電路級網(wǎng)關(guān)的差別：代理針對應(yīng)用；在應(yīng)用層對整個(gè)數(shù)據(jù)包進(jìn)行檢查。
c) 工作原理：運(yùn)行的代理程序?qū)?shù)據(jù)包進(jìn)行逐個(gè)檢查和過濾而不再只是簡單復(fù)制；對應(yīng)用協(xié)議中的特定信息或命令進(jìn)行過濾，即關(guān)鍵詞過濾或命令字過濾；采用“強(qiáng)應(yīng)用代理”技術(shù)。
d) 特點(diǎn)：在更高層上過濾信息，自動創(chuàng)建必要規(guī)則，因此更易配置；對真?zhèn)€數(shù)據(jù)包進(jìn)行檢查；缺乏對新應(yīng)用、協(xié)議的支持。
e) 安全性討論：
①檢查內(nèi)容更多，更復(fù)雜；
②不是采用通用機(jī)制處理數(shù)據(jù)包，而是采用特定的代理程序處理特定應(yīng)用服務(wù)的數(shù)據(jù)包；
③容易記錄和控制所有進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)流；
④需要編寫專門的用戶程序或用戶接口，只支持重要服務(wù)，范圍有限；
⑤不適合復(fù)雜網(wǎng)絡(luò)環(huán)境，若高并發(fā)、大流量可能會擁塞或死機(jī)；
⑥可以解決IP地址缺乏的問題，運(yùn)行的FTP代理程序可以傳輸文件。
f) 優(yōu)缺點(diǎn)：安全性高、認(rèn)證功能強(qiáng)大、日志功能強(qiáng)大、規(guī)則配置簡單；
靈活性差（一個(gè)代理for一個(gè)應(yīng)用）、代理配置繁瑣、性能瓶頸。
44. 狀態(tài)檢測防火墻：基于連接的狀態(tài)檢測機(jī)制，將屬于同一連接的所有包作為一個(gè)數(shù)據(jù)流的整體看待，構(gòu)成連接狀態(tài)表。通過狀態(tài)表和規(guī)則表的配合對表中的各個(gè)連接狀態(tài)因素加以識別。多數(shù)只工作于網(wǎng)絡(luò)層。
a) 工作原理：
①通信信息：即所有7層協(xié)議的當(dāng)前信息。分析多層標(biāo)志，在所有層上進(jìn)行過濾，安全性更全面；
②通信狀態(tài)：即以前的通信信息。無需事先打開端口，對于無連接的協(xié)議如UDP,RPC將創(chuàng)建虛會話信息進(jìn)行跟蹤；
③應(yīng)用狀態(tài)：即其他相關(guān)應(yīng)用的信息。理解和學(xué)習(xí)各種協(xié)議和應(yīng)用以支持最新應(yīng)用，從應(yīng)用程序中收集狀態(tài)信息存入狀態(tài)表以做檢測策略；
④操作信息：即在數(shù)據(jù)包中能執(zhí)行邏輯運(yùn)算或數(shù)學(xué)運(yùn)算的信息。面向?qū)ο?#xff0c;基于多方面因素，利用靈活表達(dá)式形式構(gòu)造策略規(guī)則；
b) 安全性討論：
①有的狀態(tài)檢測防火墻不能對內(nèi)部主機(jī)發(fā)出的數(shù)據(jù)包的序列號進(jìn)行檢測，內(nèi)部主機(jī)可偽裝成其他主機(jī)的IP；
②仍采用C/S模式，在應(yīng)用層上截獲和檢查每個(gè)數(shù)據(jù)包，但影響防火墻性能；
③依賴引擎中的算法識別和處理應(yīng)用層數(shù)據(jù)。
c) 優(yōu)缺點(diǎn)：具有動態(tài)包過濾的所有優(yōu)點(diǎn)且更安全，提供集成的動/狀態(tài)包過濾功能，以動態(tài)包過濾模式運(yùn)行時(shí)速度很快，采用SMP兼容更快；
采用單線程進(jìn)程對性能影響很大，沒有打破C/S模式產(chǎn)生安全風(fēng)險(xiǎn)，依賴于Inetd進(jìn)程，并發(fā)連接數(shù)受到極大限制。
45. 切換代理Cutoff Proxy：動/狀態(tài)包過濾與電路級代理的結(jié)合。分為兩個(gè)階段：連接建立和連接完成。建立階段-電路級代理-會話層；完成階段-動態(tài)包過濾-網(wǎng)絡(luò)層。
a) 與電路級代理區(qū)別：切換代理無法打破C/S模式。
b) 優(yōu)缺點(diǎn)：對網(wǎng)絡(luò)性能影響比電路級網(wǎng)關(guān)小，對三次握手進(jìn)行驗(yàn)證降低IP欺騙風(fēng)險(xiǎn)
未打破C/S模式，具有動態(tài)包過濾的缺陷，不檢查數(shù)據(jù)包凈荷，難于創(chuàng)建規(guī)則，安全性不及電路級網(wǎng)關(guān)。
6.入侵檢測系統(tǒng)
46. 入侵檢測概述：入侵包括攻擊者非法取得系統(tǒng)控制權(quán)、收集系統(tǒng)漏洞信息并由此對系統(tǒng)造成危害的行為。入侵檢測是對企圖入侵、正在進(jìn)行的入侵或已經(jīng)發(fā)生的入侵行為進(jìn)行識別的過程。
47. IDS的任務(wù)：
①信息收集（探測、收集用戶在網(wǎng)絡(luò)、系統(tǒng)、DB及應(yīng)用系統(tǒng)中活動的狀態(tài)和行為）；
②信息分析（對信息進(jìn)行模式匹配、統(tǒng)計(jì)分析和完整性分析）
③安全響應(yīng)（發(fā)現(xiàn)入侵行為后進(jìn)行響應(yīng)）
48. IDS的主要功能：對防火墻進(jìn)行合理補(bǔ)充。包括網(wǎng)絡(luò)流量的跟蹤與分析、已知攻擊特征的識別功能、異常行為的分析統(tǒng)計(jì)與響應(yīng)功能、特征庫的在線和離線升級功能、數(shù)據(jù)文件的完整性檢查功能、自定義的響應(yīng)功能、系統(tǒng)漏洞的預(yù)報(bào)警功能、IDS探測器集中管理功能。
49. IDS的評價(jià)標(biāo)準(zhǔn)：性能測試（高負(fù)載下的運(yùn)行情況）、功能測試（擴(kuò)展性、可定制、完備性）、用戶可用性測試。
50. IDS通用模型：數(shù)據(jù)收集器/探測器+檢測器/分析器/檢測引擎+知識庫+控制器。
51. 入侵檢測原理及主要方法：
①異常檢測：基于行為，識別主機(jī)或網(wǎng)絡(luò)中的異常行為。基于“攻擊與正常活動具有明顯差異”的假設(shè)。方法：統(tǒng)計(jì)異常檢測法、特征選擇異常檢測法、基于貝葉斯推理/網(wǎng)絡(luò)異常檢測法、基于模式預(yù)測異常檢測法。
②誤用檢測：基于知識，基于“所有入侵行為和手段都能表達(dá)為一種模式或特征“的假設(shè)。方法：基于條件的概率誤用檢測方法、基于專家系統(tǒng)誤用檢測方法、基于狀態(tài)遷移分析誤用檢測方法、基于鍵盤監(jiān)控誤用檢測方法、基于模型誤用檢測方法。
③其他技術(shù)：
基于概率統(tǒng)計(jì)的檢測：最常用，對用戶歷史行為建立模型，如IDES；
基于神經(jīng)網(wǎng)絡(luò)的檢測：不成熟，對基于概率方法進(jìn)行改進(jìn)，訓(xùn)練困難；
基于專家系統(tǒng)的檢測：基于由專家經(jīng)驗(yàn)事先定義的規(guī)則的推理系統(tǒng)，不全面、效率低；
基于模型推理的檢測：為某些行為建立模型，為不同攻擊者和系統(tǒng)建立特定攻擊腳本；
基于免疫的檢測：吸取自然免疫系統(tǒng)的特征，使系統(tǒng)適應(yīng)性、自我調(diào)節(jié)、可擴(kuò)展；
新：適用數(shù)據(jù)挖掘技術(shù)、移動代理技術(shù)。
52. IDS的體系結(jié)構(gòu)：
組件劃分：事件（網(wǎng)絡(luò)數(shù)據(jù)包、日志）、事件產(chǎn)生器、事件分析器、響應(yīng)單元、事件數(shù)據(jù)庫。
功能結(jié)構(gòu)：事件提取、入侵分析、入侵響應(yīng)、遠(yuǎn)程管理。
53. IDS分類：
①按數(shù)據(jù)來源：
基于網(wǎng)絡(luò)的IDS（快、不易受攻擊、資源消耗少、誤報(bào)率高）、基于主機(jī)的IDS（誤報(bào)少、實(shí)時(shí)性差）、分布式IDS。
②按入侵檢測策略：
濫用檢測（減少系統(tǒng)負(fù)擔(dān)、需要不斷升級）、異常檢測（可檢測未知入侵、易誤報(bào)漏報(bào)、不適應(yīng)用戶行為突然改變）、完整性分析（只要攻擊導(dǎo)致改變都能發(fā)現(xiàn)、采用批處理實(shí)時(shí)響應(yīng)性差）
54. IDS的前沿技術(shù)：
①NIDS: 基于網(wǎng)絡(luò)，根據(jù)網(wǎng)絡(luò)流量、網(wǎng)絡(luò)數(shù)據(jù)包和協(xié)議來分析入侵檢測。
常用技術(shù)：模式、表達(dá)式或字節(jié)匹配，頻率或穿越閾值，低級事件的相關(guān)性，統(tǒng)計(jì)學(xué)意義上的非常規(guī)事件檢測。
優(yōu)點(diǎn)：成本低，攻擊者轉(zhuǎn)移證據(jù)困難，實(shí)時(shí)檢測和響應(yīng)，能檢測未成功的攻擊和企圖，操作系統(tǒng)獨(dú)立。
關(guān)鍵技術(shù)：IP碎片重組（先重組再檢測，避免碎片攻擊）、TCP流重組（重組通過TCP連接交換的數(shù)據(jù)）、TCP狀態(tài)檢測（避免基于規(guī)則的誤報(bào)，有效避免stick攻擊）、協(xié)議分析（利用協(xié)議的有序性，根據(jù)協(xié)議到固定位置取值，假如狀態(tài)特性分析即為狀態(tài)協(xié)議分析，提高性能、準(zhǔn)確性、反規(guī)避能力）、零復(fù)制（采用DMA數(shù)據(jù)傳輸技術(shù)和內(nèi)存區(qū)域映射技術(shù)減少數(shù)據(jù)復(fù)制次數(shù)，實(shí)現(xiàn)CPU零參與，解決“抓包”瓶頸）、蜜罐（吸引潛在攻擊者的陷阱，收集分析現(xiàn)有威脅的信息）。
②HIDS:基于主機(jī)，檢測系統(tǒng)文件、進(jìn)程和日志文件尋找可疑活動。
特點(diǎn)：監(jiān)視特定的系統(tǒng)活動，適用于加密和文件交換，近實(shí)時(shí)的檢測和應(yīng)答，不需要額外的硬件。
關(guān)鍵技術(shù)：文件和注冊表保護(hù)、網(wǎng)絡(luò)安全防護(hù)、IIS保護(hù)（針對HTTP請求、緩沖區(qū)溢出、關(guān)鍵字和物理目錄）、文件完整性分析。
③DIDS：由數(shù)據(jù)采集構(gòu)件、通信傳輸構(gòu)件、入侵檢測分析構(gòu)件、應(yīng)急處理構(gòu)件和用戶管理構(gòu)件組成。
55. IDS發(fā)展方向：寬帶高速實(shí)時(shí)檢測技術(shù)、大規(guī)模分布式檢測技術(shù)、數(shù)據(jù)挖掘技術(shù)、更先進(jìn)的檢測算法、入侵響應(yīng)技術(shù)。
7.VPN技術(shù)、身份認(rèn)證、網(wǎng)安新技術(shù)
56. VPN基礎(chǔ)概念：
①概念：（virtual private network）將物理上分布在不同地點(diǎn)的網(wǎng)絡(luò)通過公用網(wǎng)絡(luò)連接而構(gòu)成邏輯上的虛擬子網(wǎng)。
②特點(diǎn)：費(fèi)用低，安全保障，服務(wù)質(zhì)量保證，可擴(kuò)充性和靈活性，可管理性。
③分類：
根據(jù)訪問方式：移動用戶遠(yuǎn)程訪問VPN連接（鏈路上的第一個(gè)數(shù)據(jù)包總是由遠(yuǎn)程訪問客戶機(jī)提出）；網(wǎng)關(guān)-網(wǎng)關(guān)VPN連接（鏈路兩端分別是專用網(wǎng)絡(luò)的兩個(gè)不同部分）。
④關(guān)鍵技術(shù)：隧道技術(shù)（在公用網(wǎng)使用隧道協(xié)議建立一條數(shù)據(jù)通道傳輸數(shù)據(jù)包）、加解密技術(shù)（加解密認(rèn)證信息和通信數(shù)據(jù)等）、密鑰管理技術(shù)（保證密鑰在公用數(shù)據(jù)網(wǎng)行安全傳遞）、身份認(rèn)證技術(shù)、訪問控制。
57. 隧道協(xié)議：對數(shù)據(jù)包添加報(bào)頭進(jìn)行封裝（或封裝后加密）的規(guī)則協(xié)議。分為兩類：
①第二層隧道協(xié)議：對數(shù)據(jù)鏈路層（OSI第二層）的數(shù)據(jù)包進(jìn)行封裝，主用于構(gòu)建遠(yuǎn)程訪問VPN，如PPTP、L2TP、L2F.
特點(diǎn)：簡單易行，但擴(kuò)展性不好；沒有提供內(nèi)在的安全機(jī)制，不能提供企業(yè)和外部客戶及供應(yīng)商之間會話的保密性要求。
②第三層隧道協(xié)議：對網(wǎng)絡(luò)層（OSI第三層）的網(wǎng)絡(luò)協(xié)議數(shù)據(jù)包進(jìn)行封裝，主用于構(gòu)建LAN-to-LAN型網(wǎng)關(guān)，如IPSec、GRE、多協(xié)議標(biāo)記交換MPLS。
58. 常見的VPN類型：
1）IPSec VPN:在IPv6協(xié)議制定時(shí)產(chǎn)生，對IP數(shù)據(jù)包進(jìn)行加密和認(rèn)證。包括AH(認(rèn)證首部協(xié)議，只涉及認(rèn)證，抵御中間人攻擊與IP數(shù)據(jù)包重放攻擊)、ESP(封裝安全負(fù)荷協(xié)議，主要負(fù)責(zé)加密IP數(shù)據(jù)包)、IKE(密鑰交換協(xié)議，動態(tài)建立安全關(guān)聯(lián))。面向企業(yè)。
工作模式：隧道模式（對整個(gè)IP數(shù)據(jù)包進(jìn)行加密或認(rèn)證）、傳輸模式（只對IP數(shù)據(jù)包凈荷進(jìn)行加密或認(rèn)證）。

構(gòu)成：管理模塊、密鑰分配和生成模塊、身份認(rèn)證模塊、數(shù)據(jù)加/解密模塊、數(shù)據(jù)分組封裝/分解模塊、加密函數(shù)庫。
特點(diǎn)：成本高，需要在每臺計(jì)算機(jī)上配置相應(yīng)的安全策略。
2）SSL/TLS VPN:傳輸層安全協(xié)議VPN，TLS（即SSL）協(xié)議主要用于HTTPS協(xié)議。
特點(diǎn)：用戶不需安裝和配置客戶端軟件，只需安裝一個(gè)瀏覽器；允許使用數(shù)字簽名和證書，提供強(qiáng)大認(rèn)證功能。面向用戶。
原理：采用HTTP反向代理，通過web瀏覽器訪問，即插即用，連接TLS服務(wù)器。
所需協(xié)議：握手協(xié)議（建立在可靠的傳輸協(xié)議上，為高層協(xié)議提供數(shù)據(jù)封裝、壓縮和加密等功能，主要用于會話參數(shù)加密）、TLS記錄協(xié)議（建立在TCP/IP之上，用于在實(shí)際數(shù)據(jù)傳輸開始前通信雙方進(jìn)行身份認(rèn)證、協(xié)商加密算法和交換加密密鑰）、警告協(xié)議（提示何時(shí)TSL協(xié)議發(fā)生錯(cuò)誤或兩主機(jī)間的會話何時(shí)終止，TSL協(xié)議失效時(shí)才會被激活）。
優(yōu)點(diǎn)：無需安裝客戶端軟件，適用大多數(shù)設(shè)備、操作系統(tǒng)，支持網(wǎng)絡(luò)驅(qū)動器訪問，無需對遠(yuǎn)程設(shè)備或網(wǎng)絡(luò)進(jìn)行改變，資源控制能力較強(qiáng)，費(fèi)用低，安全性良好，可繞過防火墻和代理服務(wù)器進(jìn)行訪問，加密內(nèi)嵌于瀏覽器無需額外軟件。
缺點(diǎn)：認(rèn)證方式單一，應(yīng)用局限性大（僅適用于數(shù)據(jù)庫-應(yīng)用服務(wù)器-web服務(wù)器-瀏覽器這一模式），僅對應(yīng)用通道加密，不能對應(yīng)用層消息數(shù)字簽名，不支持LAN-to-LAN，加密不如IPSec，不能保護(hù)UDP通道安全。
59. 身份認(rèn)證：
系統(tǒng)組成：示證者P/申請者C、驗(yàn)證者V、攻擊者、*可信者；
要求：正確識別的概率極大化、不可傳遞性、抗已知攻擊、計(jì)算有效性、通信有效性、秘密參數(shù)安全存儲、交互識別、第三方實(shí)時(shí)參與、第三方可信性、可證明安全性。
分類：身份驗(yàn)證、身份識別。
實(shí)現(xiàn)途徑：所知Knowledge、所有Possesses、個(gè)人特征Characteristics。
60. 口令認(rèn)證系統(tǒng)：
口令選擇原則：易記、難猜、抗暴力破解。
控制措施：抑制系統(tǒng)消息、限制試探次數(shù)、限定有效期、雙口令系統(tǒng)、限制最小長度、封鎖用戶系統(tǒng)、保護(hù)root根口令、系統(tǒng)生成口令。
檢驗(yàn)方法：反應(yīng)法（被檢口令與易猜測口令對比，如RPC、CRACK、OPUS，費(fèi)時(shí)間，無法保障驗(yàn)證之間的安全性）、支持法（用戶自選口令，系統(tǒng)檢驗(yàn)安全性）。
安全存儲：一般方法（加密形式存儲口令或存儲口令的單項(xiàng)雜湊值）、UNIX系統(tǒng)中的口令存儲（口令＋12bit填充后迭代加密25次輸出11字符密文）、用智能卡令牌Token產(chǎn)生一次性口令（本質(zhì)由隨機(jī)數(shù)產(chǎn)生器生成，一般用于第三方認(rèn)證，用戶需要輸入PIN，被截獲也難以使用）
61. 個(gè)人特征的身份證明：手寫簽字、指紋、語音、視網(wǎng)膜圖樣、虹膜圖樣、臉型；
設(shè)計(jì)考慮因素：安全設(shè)備的系統(tǒng)強(qiáng)度、用戶的可接受性、系統(tǒng)成本。
62. 黑客攻擊的主要技術(shù)：緩沖區(qū)溢出、木馬、計(jì)算機(jī)病毒（宏病毒和網(wǎng)絡(luò)蠕蟲）、分布式拒絕服務(wù)攻擊、窮舉攻擊（Brute Force）、Sniffer報(bào)文截獲。
63. 一次性口令認(rèn)證：在登錄過程中加入不確定因素，通過某種運(yùn)算（一般是單向函數(shù)如MD5、SHA）使每次登錄時(shí)用戶使用密碼都不同以抵御口令竊取和搭線竊聽攻擊。
現(xiàn)用方案：①挑戰(zhàn)/響應(yīng)機(jī)制：客戶端將認(rèn)證請求發(fā)往服務(wù)器得到挑戰(zhàn)值，使用令牌計(jì)算后得到一次性口令傳回服務(wù)器端進(jìn)行認(rèn)證；
②口令序列機(jī)制：使用單向函數(shù)計(jì)算n個(gè)數(shù)值按次序作為n次登錄的口令打印出來，僅支持服務(wù)器對用戶單方面認(rèn)證，無法防范假冒服務(wù)器欺騙用戶，迭代到0或口令泄露系統(tǒng)必須初始化；
③時(shí)間同步機(jī)制：把當(dāng)前時(shí)間作為不確定因素產(chǎn)生一次性口令，簡單方便，通信量小，要求時(shí)鐘偏差不能太大；
④事件同步機(jī)制：計(jì)數(shù)器同步機(jī)制，使用密鑰K和計(jì)數(shù)器數(shù)值+1作為雜湊函數(shù)的輸入。

基于證書的認(rèn)證：
實(shí)現(xiàn)步驟：①生成、存儲與發(fā)布數(shù)字證書（CA將數(shù)字證書發(fā)給用戶，服務(wù)器數(shù)據(jù)庫以
二進(jìn)制格式存儲副本）；
②發(fā)送用戶名和數(shù)字證書；
③服務(wù)器隨機(jī)生成挑戰(zhàn)值；
④用戶對隨機(jī)挑戰(zhàn)值簽名（用戶對挑戰(zhàn)值進(jìn)行雜湊運(yùn)輸再輸入口令打開私鑰文件
對其簽名，將簽名發(fā)送給服務(wù)器進(jìn)行驗(yàn)證）；
⑤服務(wù)器向用戶返回相應(yīng)消息。

網(wǎng)安發(fā)展的新趨勢與新挑戰(zhàn)：

新型網(wǎng)安技術(shù)

總結(jié)

以上是生活随笔為你收集整理的网络安全（刘建伟/毛剑版本）重点整理/复试/期末的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。