當前位置：首頁 > 编程资源 > 编程问答 >内容正文

编程问答

计算机网络核心知识（下）

發布時間：2025/3/15 编程问答 19 豆豆

生活随笔收集整理的這篇文章主要介紹了计算机网络核心知识（下）小編覺得挺不錯的,現在分享給大家,幫大家做個參考.

文章目錄

10 網絡安全基本原理
- 10.1 網絡安全基礎
- - 10.1.1 網絡安全狀況
  - 10.1.2 網絡安全基本概念
  - 10.1.3 網絡安全擬人模型
- 10.2 網絡安全威脅
- - 10.2.1 “壞蛋”們可能做什么？
  - 10.2.2 Internet安全威脅
- 10.3 密碼學基礎
- - 10.3.1 密碼學(cryptography)加解密框架
  - - 對稱密鑰加密
    - 公開密鑰加密
    - 破解加密方法
  - 10.3.2 傳統加密方法
  - - 替代密碼(substitution cipher)
    - 換位(transpositions)密碼
  - 10.3.3 現代加密技術
  - - 流密碼
    - 流密碼工作流程
    - 分組密碼
    - Feistel分組密碼結構
  - 10.3.4 數據加密標準: DES 結構概述
  - - DES的發展歷程
    - DES算法結構
  - 10.3.5 數據加密標準: DES結構詳述
  - - 初始置換IP(Initial Permutation)
    - 一輪DES加密過程
    - DES： $f$ 函數結構
    - $f$ 函數的基本操作
    - 逆初始置換(Inverse Initial Permutation)
    - 每輪子密鑰的生成
  - 10.3.6 DES的改進和AES的出現
  - - DES的安全性
    - DES的改進
    - 高級加密標準AES
    - Rijndael加密算法簡介
  - 10.3.7 公鑰密碼學（RSA）實現原理
  - - 公鑰加密算法
    - 實現RSA的前提
    - RSA: 生成公鑰/私鑰對
    - RSA: 加密、解密
    - RSA舉例
  - 10.3.8 公鑰密碼學（RSA）理論依據
  - - RSA: 另一個重要性質
    - RSA為什么安全?
    - RSA的實際應用
- 10.4 身份認證（Authentication）
- 10.5 報文完整性（消息完整性）
- - 10.5.1 什么是報文完整性？
  - 10.5.2 密碼散列函數
  - 10.5.3 散列函數算法
  - 10.5.4 報文摘要(Message digests)
  - 10.5.5 報文認證
- 10.6 數字簽名
- - 10.6.1 簡單數字簽名
  - 10.6.1 改進版數字簽名
- 10.7 密鑰分發中心（KDC)）—— 解決共享密鑰問題
- 10.8 認證中心(CA) —— 解決公鑰加密問題
11 網絡安全協議與技術
- 11.1 安全電子郵件
- - 11.1.1 安全電子郵件基本原理
  - - 電子郵件安全威脅
    - 電子郵件安全需求
    - 安全電子郵件基本原理實現
  - 11.1.2 安全電子郵件標準
  - - PEM標準
    - PGP標準
    - S/MIME標準
- 11.2 安全套接字層（SSL）
- - 11.2.1 Web應用安全
  - 11.2.2 SSL原理及實現概述
  - SSL: Secure Sockets Layer
  - - SSL和TCP/IP
    - 可以像PGP那樣實現某些安全功能
    - 簡化的(Toy)SSL: 一個簡單的安全信道
    - 簡化的SSL : 一個簡單的握手過程
    - 簡化的SSL : 密鑰派生
    - 簡化的SSL : 數據記錄
    - 簡化的SSL : 序列號
    - 簡化的SSL : 控制信息
    - 簡化的SSL : 總結
  - 11.2.3 SSL原理及實現詳述
  - - SSL協議棧
    - SSL密碼組(cipher suite)
    - SSL更改密碼規格協議
    - SSL警告協議
    - SSL握手協議
    - SSL記錄協議
  - 11.2.4 對SSL的握手協議和記錄協議更詳細的說明
  - - SSL握手過程
    - SSL握手消息及參數
    - SSL握手協議工作過程
    - SSL記錄協議
    - SSL記錄格式
  - 11.2.5 SSL的實際連接方式
- 11.3 IP安全（Sec）
- - - 虛擬專用網(VPN)
    - 典型VPN應用
    - VPN的功能
    - VPN關鍵技術
    - 隧道技術
    - 隧道協議
    - 典型VPN實現技術
  - 11.3.2 IPSec（1）
  - - IPsec體系結構
    - IPsec服務
    - IPsec的傳輸(transport)模式
    - IPsec的隧道(tunneling)模式
    - 兩個IPsec協議
    - IPsec模式與協議的4種組合!
  - 11.3.3 IPsec（2）
  - - 安全關聯(SA)
    - SA舉例
    - 安全關聯數據庫(SAD)
    - 安全策略數據庫(SPD)
  - 11.3.4 IPSec（3）
  - - IPsec數據報
    - IPsec的傳輸模式
    - IPsec的隧道模式
  - 11.3.5 IPsec（4）
  - - 數據報處理過程
    - enchilada內部各字段作用
    - IPsec序列號
  - 11.3.6 IPsec（5）
  - - SA的建立和密鑰管理
    - Internet密鑰交換(IKE)
    - IKE和IPSec
    - IKE: PSK與PKI
    - IKE的執行階段
  - 11.3.7 IPsec總結
- 11.4 無線局域網安全
- - 11.4.1 WEP的設計目標
  - 11.4.2 回顧: 對稱流密碼
  - 11.4.3 流密碼與分組獨立性
  - 11.4.4 WEP加密
  - 11.4.5 WEP解密概述
  - 11.4.6 利用一次性隨機數進行端點認證
  - 11.4.7 WEP的身份認證
  - 11.4.8 破解802.11WEP加密
  - 11.4.9 802.11i: 改進的安全
  - 11.4.10 802.11i: 運行的4個階段
  - 11.4.11 EAP: 擴展認證協議
- 11.5 防火墻
- - 11.5.1 為什么需要防火墻？
  - 11.5.2 無狀態分組過濾
  - 11.5.3 無狀態分組過濾：舉例
  - 11.5.4 訪問控制列表
  - 11.5.5 有狀態分組過濾
  - 11.5.6 應用網關
  - 11.5.7 防火墻、應用網關的局限性

10 網絡安全基本原理

10.1 網絡安全基礎

10.1.1 網絡安全狀況

-引自《2014年中國互聯網網絡安全報告》

截至2014年12月底：
- 網站總量為364.7萬
- 獨立域名為481.2萬
- ISP為1068家
- 網民規模為6.49億
- 手機網民規模達5.57億
- 互聯網普及率為47.9%
我國互聯網網絡安全狀況
- 總體平穩，形勢嚴峻
- 基礎網絡仍存在較多漏洞風險
  - 2014年，CNCERT/CC協調處理涉及電信企業漏洞事件1578起
  - CNVD(國家信息安全漏洞共享平臺)收錄與基礎電信企業軟硬件資產相關漏洞825個，66.2%與路由器、交換機等網絡設備相關
- 云服務日益成為網絡攻擊重點目標
- 域名系統面臨嚴峻的拒絕服務攻擊
  - 2014年，針對我國域名系統，流量規模達1Gbps以上的拒絕服務攻擊事件，日均約187起
- 針對重要網站的域名解析篡改攻擊頻發
- 網絡攻擊威脅逐漸向工業互聯網滲透
  - 2014年9月，出現一種遠程木馬“Havex”，利用OPC（開放通用通信協議）工業通信技術，掃描發現工業系統聯網設備，收集工控設備詳細信息并回傳
  - 可以接收、執行惡意代碼
- 分布式反射型攻擊逐漸成為拒絕服務攻擊的重要形式
- 涉及重要行業和政府部門的高危漏洞事件增多
- 基礎應用或通用軟硬件漏洞風險凸顯
  - “心臟出血”（Heartbleed）
  - “破殼”（Bash Shell Shock）
- 漏洞風險向傳統領域、智能終端領域泛華演進
- 網站數據和個人信息泄露仍呈高發態勢
- 移動應用程序成為數據泄露的心主體
- 移動惡意程序逐漸從主流應用商店向小型網站蔓延
- 具有短信攔截功能的移動惡意程序大爆發
- 針對金融、電信行業的網頁仿冒事件大幅增加
- 釣魚站點逐漸向云平臺遷移
- 針對政府部門和重要行業單位網站的網絡攻擊頻度、烈度和復雜度加劇
互聯網網絡安全一組數據（2014年）
- 木馬和僵尸程序監測：
  - 木馬或僵尸程序控制服務器IP地址總數104230(↓45.0%)
  - 木馬或僵尸程序受控主機IP地址總數為13991480(↓25.2%)
“飛客”蠕蟲監測：
- 全球互聯網月均近943萬臺主機IP地址感染“飛客”蠕蟲
移動互聯網安全監測：
- CNCERT/CC捕獲或通過廠商交換獲得的移動互聯網惡意程序樣本數為951059（↑35.3%）
  - 惡意扣費類居首，為522889（55.0%），資費消耗類（15.3%）、隱私竊取類（12.9%）分列二、三位
  - 針對Android平臺的占99.9%，其次是Symbian，占0.1%
網站安全監測：
- 我國境內被篡改網站數量為36969個（↑45.0%）
  - 政府網站1763個（↓27.4%）
- 監測到仿冒、釣魚頁面99409個
- 監測到40186個境內網站被植入后門
安全漏洞：
- CNVD收集新增漏洞9163個
- 前三甲漏洞：應用程序漏洞（68.5%）、Web應用漏洞（16.1%）、網絡設備漏洞（6.0%）
網絡，安全？
- 網絡安全嗎？
  - —不！
  - —不十分安全！
目標：網絡，安全！

10.1.2 網絡安全基本概念

什么是網絡安全？
網絡安全是指網絡系統的硬件、軟件及其系統中的數據受到保護，不因偶然的或者惡意的原因而遭受到破壞、更改、泄露，系統連續可靠正常地運行，網絡服務不中斷。
網絡安全基本屬性
- 機密性(confidentiality): 只有發送方與預定接收方能夠理解報文內容
  - 發送方加密報文
  - 接收方解密報文
- 身份認證(authentication):
  發送方與接收方希望確認彼此的真實身份
- 信息完整性(message integrity): 發送方與接收方希望確保信息未被篡改（傳輸途中或者后期），發生篡改一定會被檢測到
- 可訪問與可用性(access and availability): 網絡服務必須對被授權用戶可訪問與可用
網絡安全的基本特征
- 相對性
  - 只有相對的安全，沒有絕對的安全
- 時效性
  - 新的漏洞與攻擊方法不斷發現
- 相關性
  - 新配置、新系統組件可能會引入新的安全問題
- 不確定性
  - 攻擊時間、攻擊者、攻擊目標和攻擊發起的地點都具有不確定性
- 復雜性
  - 網絡安全是一項系統工程，需要技術的和非技術的手段
- 重要性
  - 網絡安全關乎國家、政府、企業、個人的安全
網絡安全
- 網絡安全研究領域:
  - 入侵者（bad guys）如何攻擊計算機網絡
  - 如何防護網絡對抗攻擊
  - 如何設計網絡體系結構免疫（immune）攻擊
- Internet最初設計幾乎沒考慮安全性
  - 最初愿景: “一組彼此信任的互助用戶連接到一個透明網絡”進行信息共享🙂
  - Internet協議設計者扮演了“追趕者”（catchup）角色
  - 網絡安全需要在網絡各個層次考慮!

10.1.3 網絡安全擬人模型

擬人場景: Alice、Bob、Trudy
- 網絡安全領域的著名擬人模型
- Bob與Alice是期望進行安全通信的情侶
- Trudy是企圖破壞Bob和Alice通信的入侵者 (intruder)，試圖攔截、刪除或添加信息
網絡中的Bob、Alice？
- 電子交易過程的Web瀏覽器/服務器 (e.g., 網購)
- 網絡銀行的客戶/服務器
- DNS服務器
- 路由器之間交換路由表更新
- ……
網絡中的Trudy？
Trudy：Bad Guys .
- 通過Internet向主機植入惡意軟件（malware）
  - 病毒（virus）
  - 蠕蟲（worm）
  - 間諜軟件（spyware）：記錄鍵盤輸入、web站點訪問、向收集站點上傳信息等
  - ……
- 被感染主機可能加入僵尸網絡（botnet），用于發送垃圾郵件、DDoS攻擊等

10.2 網絡安全威脅

10.2.1 “壞蛋”們可能做什么？

Q: “壞蛋”們能做什么?
A:很多！

竊聽(eavesdrop): 竊聽信息
插入(insert):主動在連接中插入信息
假冒(impersonation): 可以通過偽造(spoof)分組中的源地址(或者分組的任意其他字段）
劫持(hijacking): 通過移除/取代發送發或者接收方“接管”(take over)連接
拒絕服務DoS(denial of service): 阻止服務器為其他用戶提供服務(e.g., 通過過載資源)

10.2.2 Internet安全威脅

映射(Mapping):
- 發起攻擊前: “探路”(case the joint) – 找出網絡上在運行什么服務
- 利用ping命令確定網絡上主機的地址
- 端口掃描(Port-scanning): 依次嘗試與每個端口建立TCP連接
- nmap (http://www.insecure.org/nmap/)，廣為使用的國外端口掃描工具之一
- 對策(Countermeasures)?
  - 記錄到達的網絡流量
  - 分析、識別出可疑活動( IP地址和端口被依次掃描)
分組“嗅探”(sniffing):
- 廣播介質(共享式以太網，無線網絡)
- 混雜(promiscuous)模式網絡接口可以接收/記錄所有經過的分組/幀
- 可以讀到所有未加密數據(e.g., 包括口令！)
- Wireshark就是一個典型免費的分組嗅探軟件
- 分組嗅探: 對策
  - 組織中的所有主機都運行軟件，周期性監測網絡接口是否工作在混雜模式
  - 每段廣播介質連接一臺主機(如交換式以太網)
IP欺騙(Spoofing):
- 直接由應用生成“原始”IP分組，可以設置分組的源IP地址字段為任意值
- 接收方無法判斷源地址是否被欺騙
- e.g.: C冒充B
- IP欺騙對策: 入口過濾(ingress filtering)
  - 路由器不轉發源IP地址無效的IP分組 (e.g., 源IP地址不屬于所連接網絡)
  - 很有效！但是不能強制所有網絡都執行入口過濾
在網絡安全領域，隱藏自己的一種手段就是IP欺騙——偽造自身的IP地址向目標系統發送惡意請求，造成目標系統受到攻擊卻無法確認攻擊源，或者取得目標系統的信任以便獲取機密信息。
這兩個目的對應著兩種場景：
場景一，常用于DDoS攻擊（分布式拒絕攻擊），在向目標系統發起的惡意攻擊請求中，隨機生成大批假冒源IP，如果目標防御較為薄弱，對收到的惡意請求也無法分析攻擊源的真實性，從而達到攻擊者隱藏自身的目的。
這類場景里一種很有意思的特殊情景來自于“反射”式DDoS攻擊，它的特點來自于利用目標系統某種服務的協議缺陷，發起針對目標系統輸入、輸出的不對稱性——向目標發起吞吐量相對較小的某種惡意請求，隨后目標系統因其協議缺陷返回大量的響應，阻塞網絡帶寬、占用主機系統資源。這時如果攻擊者的請求使用真實源地址的話，勢必要被巨大的響應所吞沒，傷及自身。這樣，攻擊者采取IP欺騙措施就勢在必行了。
場景二，原本A主機信任B主機，也就是B可以暢通無阻地獲取A的數據資源。而惡意主機C為了能同樣獲取到A的數據，就需要偽裝成B去和A通信。這樣C需要做兩件事：第一、讓B“把嘴堵上”，不再向A吐請求，比如向B主機發起DoS攻擊（拒絕服務攻擊），占用B的連接使其無法正常發出網絡包；第二、偽裝成B的IP和A交互。
拒絕服務DOS(Denial of service):
- 向接收方惡意泛洪(flood)分組，淹沒(swamp)接收方
  - 帶寬耗盡
  - 資源耗盡
- 分布式拒絕服務攻擊 (DDOS): 多個源主機協同淹沒接收方
- e.g., C與另一個遠程主機協同對A進行SYN攻擊
  - DDoS攻擊過程:
- 選擇目標
- 入侵(break into)網絡中主機（構建僵尸網絡）
- 控制僵尸主機向目標發送分組
- 選擇目標
- 入侵網絡中主機（構建僵尸網絡）
- 選擇反射服務器
  Internet安全威脅
- 借助反射服務器向目標發起攻擊
- DOS: 對策
  - 在到達主機前過濾掉泛洪分組(e.g., SYN)
    - 可能好壞一起扔
    - 追溯(traceback)攻擊源
    - SYN cookie[RFC 4987]
      - SYN cookie
      SYN Cookie是對TCP服務器端的三次握手協議作一些修改，專門用來防范SYN Flood攻擊的一種手段。它的原理是，在TCP服務器收到TCP SYN包并返回TCP SYN+ACK包時，不分配一個專門的數據區，而是根據這個SYN包計算出一個cookie值。在收到TCP ACK包時，TCP服務器在根據那個cookie值檢查這個TCP ACK包的合法性。如果合法，再分配專門的數據區進行處理未來的TCP連接。

10.3 密碼學基礎

10.3.1 密碼學(cryptography)加解密框架

對稱密鑰加密

公開密鑰加密

破解加密方法

唯密文攻擊(cipher-text only attack): 入侵者(如 Trudy)只截獲到密文，基于對密文的分析進行破解
- 兩條途徑:
  - 暴力破解(brute force): 嘗試所有可能的密鑰
  - 統計分析
已知明文攻擊(knownplaintext attack): 入侵者已知(部分)明文以及與之匹配的密文
- e.g., 在單碼替代密碼(monoalphabetic cipher)中，入侵者已確認字母a,l,i,c,e,b,o的替換關系
選擇明文攻擊(chosenplaintext attack): 入侵者可以獲取針對選擇的明文的密文

10.3.2 傳統加密方法

大致可分為替代密碼和換位密碼。

替代密碼(substitution cipher)

利用一種東西替代另一種東西。

凱撒密碼(Casesar cipher)：一個字母替代另一個字母
- 將一個字母利用字母表中該字母后面的第k個字母替代
- 如k=3，“bob. i love you. alice”→“ere, l oryh brx. dolfh”
單碼(字母)替代密碼(monoalphabetic cipher)
多碼(字母)替代加密(polyalphabetic encryption)：使用多個單碼替代密碼，明文中不同位置的字母使用不同的單碼替代密碼
- 例如，使用采用兩個凱撒密碼的多碼替代加密：

換位(transpositions)密碼

重新排列明文中的字母。

置換法(permutation method)
- 將明文劃分為固定長度(d)的組，每個組內的字母按置換規則(f)變換位置
- 密鑰：(d, f)
- 例如：
列置換加密
- 將明文按行組成一個矩陣，然后按給定列順序輸出得到密文
  - 例如：
列置換加密-改進版
- 列置換加密的密鑰包括列數和輸出順序
  - 可以用一個單詞來表示
  - 單詞長度表示列數，單詞中的字母順序表示輸出順序
    - 例如：

10.3.3 現代加密技術

現代加密技術的基本操作包括經典的替代和置換
- 不再針對一個個字母，而是針對二進制位操作
現代加密技術主要分為：
- 對稱密鑰加密
- 非對稱密鑰加密（公開密鑰加密）
對稱密鑰加密：
- 流密碼（stream ciphers）
- 分組密碼，也稱塊密碼（block ciphers)

流密碼

基本思想：
- 首先利用密鑰K產生一個密鑰流：z=z0 z1 z2 …
- 然后使用如下規則對明文串x=x0 x1 x2…加密：
解密時，使用相同的密鑰流與密文做運算 (XOR)

流密碼工作流程

驚奇地發現，加解密過程其實是一樣的。

分組密碼

將明文序列劃分成長為m的明文組
各明文組在長為i的密鑰組的控制下變換成長度為n的密文組
通常取n＝m
- n>m 擴展分組密碼
- n<m 壓縮分組密碼
典型分組密碼結構：Feistel分組密碼結構
- 在設計密碼體制的過程中，Shannon提出了能夠破壞對密碼系統進行各種統計分析攻擊的兩個基本操作：擴散(diffusion)和混淆(confusion)
- 基于1949年Shannon提出的交替使用替代和置換方式構造密碼體制

這個結構的理論根據是啥？為什么這樣能破壞各種統計分析的攻擊？有空得去讀讀香農大師的論文！

Feistel分組密碼結構

基于“擴散”和“混亂”的思考，Feistel提出通過替代和置換交替操作方式構造密碼
Feistel是一種設計原則，并非一個特殊的密碼
加密：
解密：

Feistel結構的分組密碼安全性取決于：

分組長度
- 分組長度越大，安全性越高，加密速度越慢，效率越低
- 目前常用的分組加密算法的分組長度取64位
子密鑰的大小
- 子密鑰長度增加，安全性提高，加密速度降低
- 設計分組密碼時需要在安全性和加密效率之間進行平衡
循環次數
- 循環越多，安全性越高，加密效率越低
子密鑰產生算法
- 在初始密鑰給定的情況下，產生子密鑰的算法越復雜，安全性越高
輪函數
- 一般情況下，輪函數越復雜，加密算法的安全性越高

10.3.4 數據加密標準: DES 結構概述

DES的發展歷程

DES: Data Encryption Standard

IBM公司研制
1972年，美國國家標準局NBS (National Bureau of Standards)開始實施計算機數據保護標準的開發計劃。
1973年5月13日，NBS征集在傳輸和存貯數據中保護計算機數據的密碼算法。
1975年3月17日，首次公布DES算法描述。
1977年1月15日，正式批準為加密標準(FIPS-46)，當年7 月1日正式生效。
1994年1月的評估后決定1998年12月以后不再將DES作為數據加密標準。

DES算法結構

DES是16輪的Feistel結構密碼
DES是一個包含16個階段的 “替代--置換” 的分組加密算法
DES的分組長度是64位
- 64位的分組明文序列作為加密算法的輸入，經過16輪加密得到64位的密文序列
DES使用56位的密鑰
DES的每一輪使用48位的子密鑰
- 每個子密鑰是56位密鑰的子集構成

10.3.5 數據加密標準: DES結構詳述

初始置換IP(Initial Permutation)

把輸入的64位數據的排列順序打亂，每位數據按照下面規則重新組合

一輪DES加密過程

從一輪DES加密過程窺探整個過程的運作。

DES： $f$ 函數結構

黑盒變換
多個函數/操作(E、異或、S、P)的組合函數

$f$ 函數的基本操作

擴展變換：擴展變換（Expansion Permutation，也被稱為E-盒）將64位輸入序列的右半部分從32位擴展到48位。
- 確保最終的密文與所有的明文位都有關
  擴展變換不是亂來的，要根據一張表來開展。
S-盒替代（S-boxes Substitution）
P-盒置換（P-boxes Permutation）

逆初始置換(Inverse Initial Permutation)

初始置換和對應的逆初始置換操作并不會增強DES算法的安全性
主要目的是為了更容易地將明文和密文數據以字節大小放入DES芯片中

每輪子密鑰的生成

10.3.6 DES的改進和AES的出現

DES的安全性

DES的56位密鑰可能太小
- 1998年7月，EFE（電子前哨基金會）宣布攻破了DES算法，他們使用的是不到25萬美元的特殊的“DES破譯機”，這種攻擊只需要不到3天的時間。
DES的迭代次數可能太少
- 16次恰巧能抵抗差分分析
S盒（即替代函數S）中可能有不安全因素
DES的一些關鍵部分不應當保密
DES存在弱密鑰和半弱密鑰
針對DES的攻擊方法：
- 差分分析方法（Difference Analysis Method）
- 線性分析方法（Linear Analysis Method）
- 旁路攻擊法（Side-Channel Attack）

DES的改進

密碼分組鏈接（CBC-cipher block chaining）
- 加密算法的輸入是當前明文分組和前一次密文分組的異或
- 重復的明文分組不會在密文中暴露出重復關系
DES密鑰過短（56bits）→多重DES
3DES使用3個密鑰，執行3次DES算法，加密過程：
- 加密-解密-加密（EDE），即：
為了避免3DES使用3個密鑰進行三階段加密帶來的密鑰過長的缺點（168bit），Tuchman提出使用兩個密鑰的三重加密方法，這個方法只要求112bit密鑰，即令其K1=K3：
3DES的第二階段的解密并沒有密碼編碼學上的意義，唯一優點是可以使用3DES解密原來的單次DES加密的數據，即K1=K2=K3

高級加密標準AES

AES: Advanced Encryption Standard
NIST（美國國家標準技術研究所）對稱密鑰加密標準, 取代DES(2001年12月)
1997年NIST宣布征集AES算法，要求:
- 可公開加密方法
- 分組加密，分組長度為128位
- 至少像3DES一樣安全
- 更加高效、快
- 可提供128/192/256位密鑰
比利時學者Joan Daemen和Vincent Rijmen提出的 Rijndael加密算法最終被選為AES算法。
NIST在2001年12月正式頒布了基于Rijndael算法AES標準

Rijndael加密算法簡介

不屬于Feistel結構
加密、解密相似但不完全對稱
支持128/192/256數據塊大小
支持128/192/256密鑰長度
有較好的數學理論作為基礎
結構簡單、速度快
Rijndael算法特點：
- 分組長度和密鑰長度均可變（128/192/256bits）
- 循環次數允許在一定范圍內根據安全要求進行修正
- 匯聚了安全、效率、易用、靈活等優點
- 抗線性攻擊和抗差分攻擊的能力大大增強
- 如果1秒暴力破解DES，則需要149萬億年破解AES

10.3.7 公鑰密碼學（RSA）實現原理

研究動機：傳統的對稱密鑰加密有一定的缺陷
- 需要發送方與接收方知道共享的秘密密鑰
- Q: 最初如何商定密鑰（尤其“素未謀面”）?

于是乎公鑰加密技術應運而生：

公鑰加密算法

前提條件(理論基礎): 模運算
- x mod n = x除以n的余數
- 事實上：
- 因此：
- 舉例：x=14, n=10, d=2，則

實現RSA的前提

報文/信息(message): 僅僅是一個比特模式 (bit pattern)
每個比特模式可以表示為一個唯一的整數
因此，加密一個報文就等價于加密一個數
例如: m= 10010001，可以唯一地表示為十進制數145 ，為了加密m，我們可以加密對應的數(145) ，得到一個新的數（即密文）。

RSA: 生成公鑰/私鑰對

選擇2個大質數p和q。(e.g., 1024bits的大質數)

計算 n = pq，z = (p-1)(q-1)

選擇 e (滿足e<n)，使e與z 之間沒有公因子，即e, z互質(relatively prime)

選擇 d 使得ed-1剛好可以被z整除， (即: ed mod z = 1 ).

RSA: 加密、解密

RSA舉例

10.3.8 公鑰密碼學（RSA）理論依據

RSA: 另一個重要性質

RSA為什么安全?

RSA的安全性建立在“大數分解和素性檢測”這個數論難題的基礎上
- 既將兩個大素數相乘在計算上容易實現，而將該乘積分解的計算量相當大
假設已知Bob的公鑰(n,e)，那么有多大難度確定d，即私鑰(n,d)？
本質上需要在不知道兩個因子p和q的前提下，找出n的因子
- 分解一個大數是很困難的！

RSA的實際應用

RSA的缺陷：RSA的冪運算強度很大
- DES至少比RSA快100倍
實際應用中：
- 利用公鑰加密建立安全連接，然后建立第二個密鑰對稱會話密鑰，用于加密數據

會話密鑰(session key, KS)

Bob與Alice利用RSA交換對稱會話密鑰 $K_S$
一旦雙方確認 $K_S$ ，則利用會話密鑰加密/解密會話數據

也就是說，因為RSA需要的運算太多了，所以沒辦法給所有數據加密，那么我們就在建立安全連接的時候采取RSA，而之后就采取傳統的對稱加密技術。

10.4 身份認證（Authentication）

證明身份時會出現失效的情況，下面對每一代協議的失效情況都做了概述。

協議ap1.0
協議ap2.0
協議ap3.0
協議ap3.1
協議ap4.0
可抵御回放攻擊。

但是ap4.0需要共享密鑰，這是一種缺陷（必須事先知道共享密鑰），那么是否可以利用公鑰技術？
協議ap5.0

10.5 報文完整性（消息完整性）

10.5.1 什么是報文完整性？

報文/消息完整性(message integrity)，也稱為報文/消息認證（或報文鑒別），目標：
- 證明報文確實來自聲稱的發送方
- 驗證報文在傳輸過程中沒有被篡改
- 預防報文的時間、順序被篡改
- 預防報文持有期被修改
- 預防抵賴
  - 發送方否認
  - 接收方否認

10.5.2 密碼散列函數

密碼散列函數(Cryptographic Hash Function)：H(m)

散列算法公開
H(m)能夠快速計算
對任意長度報文進行多對一映射，均產生定長輸出
對于任意報文無法預知其散列值
不同報文不能產生相同的散列值
單向性：無法根據散列值倒推出報文
- 對于給定散列值h，無法計算找到滿足h = H(m)的報文m
抗弱碰撞性(Weak Collision Resistence-WCR)
- 對于給定報文x，計算上不可能找到y且y≠x，使得H(x)=H(y)
抗強碰撞性(Strong Collision Resistence-SCR)
- 在計算上，不可能找到任意兩個不同報文x和y(x≠y)，使得 H(x)=H(y)

Internet校驗和是優秀的密碼散列函數嗎？
答案：不是！

10.5.3 散列函數算法

MD5：被廣泛應用的散列函數(RFC 1321)
- 通過4個步驟，對任意長度的報文輸入，計算輸出128位的散列值
- MD5不是足夠安全
  - 996年，Dobbertin找到了兩個不同的512-bit塊，在MD5計算下產生了相同的散列值
SHA-1(Secure Hash Algorithm)：另一個正在使用的散列算法
- US標準 [NIST, FIPS PUB 180-1]
- SHA-1要求輸入消息長度 < $2^{64}$
- SHA-1的散列值為160位
- 速度慢于MD5，安全性優于MD5

10.5.4 報文摘要(Message digests)

10.5.5 報文認證

簡單方案：報文+報文摘要→擴展報文(m, H(m))
當H(m)=h時，說明接收的報文滿足完整性。
報文認證碼MAC(Message Authentication Code)：
報文m+認證密鑰s+密碼散列函數H→擴展報文(m, H(m+s))
這是簡單方案的改進版。

上述報文認證方案中存在的缺陷可以通過下一節講的數字簽名解決。

10.6 數字簽名

Q:如何解決下列與報文完整性相關的問題？
- 否認：發送方不承認自己發送過某一報文
- 偽造：接收方自己偽造一份報文，并聲稱來自發送方
- 冒充：某個用戶冒充另一個用戶接收或發送報文
- 篡改：接收方對收到的信息進行篡改
A:數字簽名(Digital signatures) ！
- 數字簽名技術是實現安全電子交易的核心技術之一
- 可驗證性(verifiable)
- 不可偽造性(unforgeable)
- 不可抵賴性(non-repudiation)

10.6.1 簡單數字簽名

使用公鑰加密技術直接對完整報文加密。

假設Alice收到報文m以及簽名 $K_B^-(m)$
Alice利用Bob的公鑰 $K_B^+$ 解密 $K_B^-(m)$ ，并檢驗 $K_B^+(K_B^-(m))=m$ 來證實報文m是Bob簽名的
如果 $K_B^+(K_B^-(m))=m$ 成立，則簽名m的一定是Bob的私鑰
于是：

10.6.1 改進版數字簽名

使用公鑰加密技術直接對報文摘要加密。

10.7 密鑰分發中心（KDC)）—— 解決共享密鑰問題

回顧身份認證協議：ap4.0
對稱密鑰問題
- 對稱密鑰問題:
  兩個實體在網上如何建立共享秘密密鑰？
- 解決方案:
  可信任的密鑰分發中心(Key Distribution Center-KDC)作為實體間的中介(intermediary)
密鑰分發中心
- Alice與Bob需要共享對稱密鑰.
- KDC：一個服務器
  - 每個注冊用戶(很多用戶)共享其與KDC的秘密密鑰
- Alice和Bob只知道自己與KDC之間的對稱密鑰，用于分別與KDC進行秘密通信.
KDC如何支持Bob和Alice確定用于彼此通信的共享對稱密鑰呢？

注意：這里的R1不是ap4.0中的一次性數R，而是共享密鑰。

10.8 認證中心(CA) —— 解決公鑰加密問題

問題情景：
假如Alice要給Bob發送她的公鑰，但半路被Trudy攔住了，然后Trudy把她自己的公鑰發給Bob并聲稱那是Alice的公鑰。

回顧身份認證協議：ap5.0
比薩惡作劇
- Trudy針對Bob實施“比薩惡作劇”
  - Trudy創建郵件訂單:
  - Trudy利用她的私鑰簽名訂單
  - Trudy向比薩店發送訂單
  - Trudy向比薩店發送她的公鑰，但她聲稱這是 Bob的公鑰
  - 比薩店核實簽名；然后向Bob遞送4個臘腸比薩
  - Bob根本就不喜歡臘腸
公鑰問題
- 公鑰問題:
  - 當Alice獲得了Bob的公鑰 (通過web網站、 e-mail、磁盤等)，她怎么確認這真的是Bob的公鑰而不是Trudy的?
- 解決方案:
  - 可信任的認證中心(Certification Authority-CA)
認證中心
- 認證中心(CA): 實現特定實體E與其公鑰的綁定
- 每個E(如人、路由器等)在CA上注冊其公鑰.
  - E向CA提供“身份證明”.
  - CA創建綁定E及其公鑰的證書(certificate).
  - 證書包含由CA簽名的E的公鑰 – CA聲明：“這是E的公鑰”
  - 當Alice想要Bob的公鑰時:
    - 首先或取Bob的公鑰證書(從Bob或者其他地方).
    - 應用CA的公鑰，解密證書中簽名的公鑰，獲得Bob 公鑰
公鑰證書主要內容

11 網絡安全協議與技術

11.1 安全電子郵件

在應用層解決電子郵件安全問題。

11.1.1 安全電子郵件基本原理

電子郵件安全威脅

垃圾郵件
- 增加網絡負荷，占用服務器空間
詐騙郵件
- 能迅速讓大量受害者上當
郵件炸彈
- 短時間內向同一郵箱發送大量電子郵件
通過電子郵件/附件傳播網絡蠕蟲/病毒
電子郵件欺騙、釣魚式攻擊

電子郵件安全需求

機密性
- 只有真正的接收方才能閱讀郵件
完整性
- 電子郵件在傳輸過程中不被修改
身份認證性
- 電子郵件的發送者不被假冒
抗抵賴性
- 發信人無法否認發過電子郵件

安全電子郵件基本原理實現

1、2、3是逐步遞進的，其中3是1、2的結合，它是當今郵件傳輸中常用的加密方法。

要求郵件信息保密。本來，直接使用公鑰技術對郵件進行加密安全性更高，但是計算量太大了，所以就只能用公鑰技術對對稱密鑰加密而使用對稱加密技術對整個郵件信息加密了。

此時Alice不要求郵件的信息能保密（假如她向Bob示愛巴不得全世界知道），但要求發送者認證和報文完整性。

要求信息保密且發送者認證、報文完整性。

11.1.2 安全電子郵件標準

PEM標準

PEM（Privacy Enhanced Mail）標準
- IETF與IRTF研究增強E-Mail的保密以及PEM的標準化
- 1993年初，提出四份RFC(1421~1424)作為建議標準
- PEM的運行依賴PKI(公鑰基礎設施)，如CA
  - 沒有被廣泛配置
- PEM提供4種安全服務： ?
  - 郵件加密
  - 報文完整性
  - 發送方的認證
  - 防發送方否認

PGP標準

PGP（Pretty Good Privacy）標準
- Philip Zimmermann于1991年發布PGP 1.0
  - 事實上標準
- 可在各種平臺（Windows、UNIX等）免費運行
- 還可用于普通文件加密及軍事目的
- 所用算法被證實為非常安全：
  - 公鑰加密算法：RSA、DSS或Diffie-Hellman
  - 對稱加密算法：CAST、3DES或IDEA
  - 散列算法：MD5或SHA-1
PGP特點：
- 對郵件內容進行數字簽名，保證信件內容不被篡改
- 使用公鑰和對稱加密保證郵件內容機密且不可否認
- 公鑰的權威性由收發雙方或所信任的第三方簽名認證
- 事先不需要任何保密信道來傳遞對稱的會話密鑰
PGP功能框架
Alice期望PGP提供保密、發送者認證與報文完整性:
PGP報文的格式
PGP密鑰
- 安裝PGP時，軟件為用戶生成一個公開密鑰對
  - 公鑰放置用戶網站或某公鑰服務器上
  - 私鑰則使用用戶口令進行保護 ?
    - 用戶為隨機生成的RSA私鑰指定一個口令，只有給出口令才能將私鑰釋放出來使用
PGP公鑰認證機制與傳統CA差異較大：
- PGP公鑰可以通過可信的Web認證
- 用戶可以自己認證任何其信任的“公鑰/用戶名”對
- 用戶還可以為其他公鑰認證提供“擔保”
防止篡改公鑰的方法（假如Alice需要Bob的公鑰）：
- 直接從Bob手中得到其公鑰
- 通過電話認證密鑰
- 從雙方信任的David那里獲得Bob的公鑰
- 通過CA

S/MIME標準

S/MIME（Secure/Multipurpose Internet Mail Extensions）標準
- 提供數據保密、完整性和認證等安全服務
- 不僅限于郵件使用，可用于任何支持MIME數據的傳輸機制，如HTTP
- 增加了新的MIME數據類型：
  - “應用 /pkcs7-MIME”（application/pkcs7-MIME）
  - “復合/已簽名”（multipart/signed）
  - “應用 /pkcs7-簽名”（application/pkcs7-signature）等
- 只保護郵件的郵件主體，對頭部信息則不進行加密
- 認證機制依賴于層次結構的CA(Tree of Trust)
- 證書格式采用X.509規范

11.2 安全套接字層（SSL）

11.2.1 Web應用安全

Web安全威脅
- 攻擊與破壞事件層出不窮，需要安全Web服務
  - Web應用廣泛、服務器底層軟件復雜，可能隱藏安全漏洞
- Web安全威脅的分類：
  - 主動攻擊：篡改C/S之間信息或篡改Web站點信息（難防易檢）
  - 被動攻擊：監聽數據流獲取信息或進行信息量分析（難檢易防）
- 機密性
  - 網絡監聽、竊取數據
- 完整性
  - 修改用戶數據、修改傳輸的信息
- 拒絕服務
  - 偽造請求淹沒服務器
- 身份認證
  - 冒充合法用戶、偽造數據
- Web服務器的安全威脅
  - Web服務越強大，包含安全漏洞概率就越高
  - HTTP服務可在不同權限下運行
- Web瀏覽器的安全威脅
  - 活動Web頁可能隱藏惡意程序
- 通信信道的安全威脅
  - 監聽程序會威脅通信信道中所傳輸信息的機密性
  - 偽造、篡改、重放會威脅所傳輸信息的完整性
  - 缺乏身份認證使得冒充他人身份進行中間人攻擊
  - 缺乏數字簽名機制使得通信雙方能相互攻擊
  - 拒絕服務攻擊使得通信信道不能保證可用性
基于應用層實現Web安全
為特定應用定制特定安全服務，將安全服務直接嵌入在應用程序中。
基于傳輸層實現Web安全
- SSL或TLS可作為基礎協議棧的組成部分，對應用透明，也可直接嵌入到瀏覽器中使用
- 使用SSL或TLS后，傳送的應用層數據會被加密
  - 保證通信的安全
基于網絡層實現Web安全
- IPSec提供端到端（主機到主機）的安全機制
  - 通用解決方案
- 各種應用程序均可利用IPSec提供的安全機制
  - 減少了安全漏洞的產生

11.2.2 SSL原理及實現概述

由于內容較多，通過幾行文字并不能清晰表達出其主要內涵，所以強烈建議觀看配套視頻學習。💻video-安全套接字層

SSL: Secure Sockets Layer

廣泛部署的安全協議
- 幾乎所有瀏覽器和Web服務器都支持
- https
- 每年通過SSL交易額達數十億美元
實現：Netscape
變體：TLS(RFC 2246)
提供：
- 機密性(confidentiality)
- 完整性(integrity)
- 認證(authentication)
最初目標:
- Web電子商務交易
- 加密(尤其信用卡號)
- Web服務器認證
- 可選的客戶認證
- 方便與新商戶的商務活動 (minimum hassle)
可用于所有基于TCP的網絡應用
- 安全socket接口

SSL和TCP/IP

SSL為網絡應用提供應用編程接口 (API)
C語言和Java語言的 SSL庫/類可用

可以像PGP那樣實現某些安全功能

但是，需要發送字節流以及交互數據
需要一組密鑰用于整個連接
需要證書交換作為協議的一部分：握手階段

簡化的(Toy)SSL: 一個簡單的安全信道

從簡單的框架可以得到SSL的最核心的思想。

握手(handshake): Alice和Bob利用他們的證書、私鑰認證（鑒別）彼此，以及交換共享密鑰
密鑰派生(key derivation): Alice和Bob利用共享密鑰派生出一組密鑰
數據傳輸(data transfer): 待傳輸數據分割成一系列記錄
連接關閉(connection closure): 通過發送特殊消息，安全關閉連接

下面以幾小節來解釋上述四種技術。

簡化的SSL : 一個簡單的握手過程

MS: 主密鑰
EMS: 加密的主密鑰

簡化的SSL : 密鑰派生

不同加密操作使用不同密鑰會更加安全
- 例如：報文認證碼(MAC)密鑰和數據加密密鑰
4個密鑰：
- Kc = 用于加密客戶向服務器發送數據的密鑰
- Mc = 用于客戶向服務器發送數據的MAC密鑰
- Ks = 用于加密服務器向客戶發送數據的密鑰
- Ms =用于服務器向客戶發送數據的MAC密鑰
通過密鑰派生函數(KDF)實現密鑰派生
- 提取主密鑰和（可能的）一些額外的隨機數，生成密鑰

密鑰是如何派生的？

客戶一次數、服務器一次數和預主密鑰輸入偽隨機數發生器
- 產生主密鑰MS
主密鑰和新一次隨機數輸入另一個隨機數發生器: “密鑰塊(key block)”
密鑰塊“切片”:
- 客戶MAC密鑰
- 服務器MAC密鑰
- 客戶加密秘鑰
- 服務器加密秘鑰
- 客戶初始向量(IV)
- 服務器初始向量(IV)

（注意，client和server使用的是相同的隨機數生成函數，所以它們派生密鑰是相同的。因為需要相同的鑰匙才能解密嘛，這個很容易理解。）

簡化的SSL : 數據記錄

為什么不直接加密整條發送給TCP的字節流?
因為要將字節流分割為一系列記錄用于實現MAC技術。
- MAC放到哪兒?
  - 如果放到最后，其實就只能加密整條發送給TCP的字節流，這時只有全部數據收全才能進行完整性認證。
  - e.g 就好比我們打開qq聊天窗，我只要把我想要發的每一條信息都發送完了對方才能收到我的信息，這樣子與qq聊天的即時性是相違背的。
  - e.g., 對于即時消息應用，在顯示一段消息之前，如何針對發送的所有字節進行完整性檢驗？
方案：將字節流分割為一系列記錄
- 每個記錄攜帶一個MAC
- 接收方可以對每個記錄進行完整性檢驗
問題：對于每個記錄，接收方需要從數據中識別出MAC
- 需要采用變長記錄
  一條記錄中不同分段的內容是規定好的，比如規定把MAC放到記錄的尾部，那么接收端就知道接收到的記錄的尾部是MAC

簡化的SSL : 序列號

待解決的問題: 攻擊者可以捕獲和重放記錄或者重新排序記錄
解決方案: 在MAC中增加序列號
- MAC = MAC(Mx, sequence||data)
- 注意: 記錄中沒有序列號域
待解決的問題: 攻擊者可以重放所有記錄
解決方案: 使用一次性隨機數(nonce)

簡化的SSL : 控制信息

待解決的問題: 截斷攻擊
- 攻擊者偽造TCP連接的斷連段，惡意斷開連接
- 一方或雙方認為對方已沒有數據發送
解決方案: 記錄類型, 利用一個類型的記錄專門用于斷連
- type 0用于數據記錄；type 1用于斷連
MAC = MAC(Mx, sequence||type||data)

簡化的SSL : 總結

一個使用了SSL加密方式的消息傳輸的示例：

11.2.3 SSL原理及實現詳述

上一節知識對SSL進行了簡化版的介紹，還有幾個問題沒有說明：

每個域多長？
采用哪種加密協議？
需要協商嗎？
協商的內容：
- 允許客戶與服務器支持不同加密算法
- 允許客戶與服務器在數據傳輸之前共同選擇特定的算法

SSL協議棧

介于HTTP與TCP之間的一個可選層
- 絕大多數應用層協議可直接建立在SSL之上
SSL不是一個單獨的協議，而是兩層協議

SSL密碼組(cipher suite)

密碼組(cipher suite)
- 公開密鑰算法(public-key algorithm)
- 對稱加密算法(symmetric encryption algorithm)
- MAC算法
SSL支持多個密碼組
協商(negotiation): 客戶與服務器商定密碼組
- 客戶提供選項(choice)
- 服務器挑選其一

SSL更改密碼規格協議

更改密碼規格協議(Change Cipher Spec Protocol)
- 更新當前連接的密鑰組
  - 標志著加密策略的改變
- 位于SSL記錄協議之上
- ContentType=20
- 協議只包含一條消息（一個值為1的字節）

SSL警告協議

警告協議(Alert Protocol)
- Alert消息：
  - 當握手過程或數據加密等出錯或發生異常時，為對等實體傳遞SSL警告或終止當前連接
  - 位于SSL記錄協議之上
  - ContentType=21
  - 協議包含兩個字節：警告級別和警告代碼

SSL握手協議

握手協議(Handshake Protocol)
- 協商結果是SSL記錄協議的基礎， ContentType=22
- SSL v3.0的握手過程用到三個協議：握手協議、更改密碼規格協議和警告協議
目的：
- 服務器認證/鑒別
- 協商: 商定加密算法
- 建立密鑰
- 客戶認證/鑒別(可選)

SSL記錄協議

SSL中上層所有協議內容都要被封裝再記錄中。

記錄協議(Record Protocol)
- 描述SSL信息交換過程中的記錄格式
- 所有數據（含SSL握手信息）都被封裝在記錄中
- 一個記錄由兩部分組成：記錄頭和數據

11.2.4 對SSL的握手協議和記錄協議更詳細的說明

SSL握手過程

客戶發送其支持的算法列表，以及客戶一次隨機數(nonce)

服務器從算法列表中選擇算法，并發回給客戶：選擇 + 證書 + 服務器一次隨機數

客戶驗證證書，提取服務器公鑰，生成預主密鑰 (pre_master_secret)，并利用服務器的公鑰加密預主密鑰，發送給服務器

客戶與服務器基于預主密鑰和一次隨機數分別獨立計算加密密鑰和MAC密鑰

客戶發送一個針對所有握手消息的MAC

服務器發送一個針對所有握手消息的MAC

最后2步的意義：保護握手過程免遭篡改
- 客戶提供的算法，安全性有強、有弱
  - 明文傳輸
- 中間人攻擊可以從列表中刪除安全性強的算法
- 最后2步可以預防這種情況發生
  - 最后兩步傳輸的消息是加密的
為什么使用兩個一次隨機數？
- 假設Trudy嗅探Alice與Bob之間的所有報文
- 第二天，Trudy與Bob建立TCP連接，發送完全相同的記錄序列
  - Bob(如Amazon)認為Alice對同一產品下發兩個分離的訂單
  - 解決方案: Bob為每次連接發送完全不同的一次隨機數
    - 確保兩天的加密密鑰不同
  - Trudy的報文將無法通過Bob的完整性檢驗

SSL握手消息及參數

SSL握手協議工作過程

SSL記錄協議

SSL記錄協議的操作步驟：
- 將數據分段成可操作的數據塊
- 對分塊數據進行數據壓縮
- 計算MAC值
- 對壓縮數據及MAC值加密
- 加入SSL記錄頭
- 在TCP中傳輸

SSL記錄格式

記錄頭（record header）的結構

11.2.5 SSL的實際連接方式

11.3 IP安全（Sec）

### 11.3.1 VPN #### 專用網(PN) - `動機`：安全 - `專用網絡PN`(Private Networks)：基于專屬的網絡設備、鏈路或協議等建設的專門服務于特定組織機構的網絡。 - 民航網絡、鐵路網絡、銀行網絡、…… - 成本問題：路由器、鏈路、DNS基礎設施等

虛擬專用網(VPN)

動機：安全+成本
虛擬專用網VPN(Virtual Private Networks)：通過建立在公共網絡(如Internet)上的安全通道，實現遠程用戶、分支機構、業務伙伴等與機構總部網絡的安全連接，從而構建針對特定組織機構的專用網絡。
- 虛擬：“安全通道”不實際獨占公共網絡的資源，是一條邏輯的穿過公共網絡的安全、穩定的隧道
- 通過隧道技術、加密技術、密鑰管理、認證和訪問控制等，實現與專用網類似的安全性能

典型VPN應用

VPN的功能

數據機密性保護
數據完整性認證
數據源身份認證
防重放攻擊
訪問控制

VPN關鍵技術

隧道技術
數據加密
身份認證
密鑰管理
訪問控制
網絡管理

隧道技術

構建VPN的核心技術
隧道：通過Internet提供安全的點到點(或端到端) 的數據傳輸“安全通道”
- 實質上是一種封裝
VPN隧道利用隧道協議對通過隧道傳輸的數據進行封裝
- 使數據安全穿越公共網絡(通常是Internet)
- 通過加密和認證以確保安全
- 數據包進入隧道時，由VPN封裝成IP數據報
- 通過隧道在Internet上安全傳輸
- 離開隧道后，進行解封裝，數據便不再被保護

隧道協議

隧道協議內包括以下三種協議：
- 乘客協議（Passenger Protocol）
- 封裝協議（Encapsulating Protocol）
- 承載協議（Carrier Protocol）
常見VPN隧道協議：
- 第二層隧道：PPTP、L2TP
  - 主要用于遠程客戶機訪問局域網方案
- 第三層隧道：IPSec
  - 主要用于網關到網關、或網關到主機方案
  - 不支持遠程撥號訪問

典型VPN實現技術

IPSec：最安全、適用面最廣
SSL：具有高層安全協議的優勢
L2TP：最好的實現遠程接入VPN的技術
典型VPN技術結合：IPSec與SSL、IPSec 與L2TP

11.3.2 IPSec（1）

IPsec體系結構

IPsec服務

機密性(confidentiality )
數據完整性(data integrity)
源認證/鑒別(origin authentication)
重放攻擊預防(replay attack prevention)
提供不同服務模型的兩個協議:
- ·AH
- ESP

IPsec的傳輸(transport)模式

IPsec數據報的發送與接收均由端系統完成
主機是IPsec感知的(IPsec-ware)

IPsec的隧道(tunneling)模式

- 邊緣路由器是IPsec感知的(IPsec-ware)

兩個IPsec協議

提供IPsec服務的兩個協議:
- AH：在IP數據報文頭中的協議號為51
- ESP：在IP數據報文頭中的協議號為50
認證頭協議AH(Authentication Header)
- 提供源認證/鑒別和數據完整性檢驗，但不提供機密性
封裝安全協議ESP(Encapsulation Security Protocol)
- 提供源認證/鑒別、數據完整性檢驗以及機密性 - 比AH應用更廣泛

IPsec模式與協議的4種組合!

11.3.3 IPsec（2）

安全關聯(SA)

發送數據前，從發送實體到接收實體之間需要建立安全關聯SA (security association)
- SA是單工的: 單向
發送實體與接收實體均需維護SA的狀態信息
- 回顧: TCP連接的端點也需要維護狀態信息
- IP是無連接的；IPsec是面向連接的！
- 例如：
安全關聯主要參數：
- 安全參數索引(SPI)：32位SA唯一標識(ID)
- 加密密鑰、認證密鑰
- 密碼算法標識
- 序列號(32位)
  - 抗重放攻擊
- 抗重播窗口
  - 接收方使用滑動窗口檢測惡意主機重放數據報
- 生存周期
  - 規定SA的有效使用周期
- 運行模式：傳輸模式或隧道模式
- IPSec隧道源、目的地址

SA舉例

R1為SA存儲:

32位SA標識(ID) : 安全參數索引SPI (Security Parameter Index)
起點(origin)SA接口(200.168.1.100)
終點(destination)SA接口(193.68.2.23)
加密類型(e.g., 3DES with CBC)
加密密鑰
完整性檢驗類型(e.g., HMAC with MD5)
認證/鑒別密鑰

安全關聯數據庫(SAD)

IPsec端點將SA狀態保存在安全關聯數據庫SAD (security association database)中
- 在處理IPsec數據報時，定位這些信息
對于n個銷售人員，1個分支機構的VPN，總部的路由器R1的SAD中存儲2 + 2n條SAs
兩倍的SA，因為需要雙向。
當發送IPsec數據報時，R1訪問SAD，確定如何處理數據報
當IPsec數據報到達R2
- R2檢驗IPsec數據報中的SPI
- 利用SPI檢索SAD
- 處理數據報

安全策略數據庫(SPD)

Security Policy Database (SPD)
安全策略(SP):定義了對什么樣的數據流實施什么樣的安全處理
有一些數據流是需要加密的，而有一些不需要。
- 應用IPSec、繞過、丟棄
安全策略組成了SPD，每個記錄就是一條SP
- 提取關鍵信息填充到一個稱為“選擇符”的結構
  - 包括目標IP、源IP、傳輸層協議、源和目標端口等
- 利用選擇符去搜索SPD，檢索匹配的SP
安全處理需要的參數存儲在SP指向的SA結構

11.3.4 IPSec（3）

IPsec數據報

傳輸模式AH
隧道模式AH
傳輸模式ESP
隧道模式ESP

IPsec的傳輸模式

IPsec的隧道模式

11.3.5 IPsec（4）

數據報處理過程

R1: 將原IP數據報轉換為IPsec數據報
- 檢索SPD，確定處理策略
- 檢索SAD，確定SA
- 在原IP數據報(包括原IP首部域！)后面附加“ESP尾部”.
- 利用SA定義的算法與密鑰，加密上述結果.
- 在加密結果前面附加“ESP頭”，創建“enchilada”.
- 針對整個enchilada，利用SA定義的算法與密鑰，創建報文認證碼MAC；
- 在enchilada后面附加MAC，構成載荷(新IP數據報載荷)；
- 構造全新的IP頭，包含所有經典的IPv4首部字段；
- 將新IP頭附加在載荷的前面
R2: 解封IPsec數據報
- 原始IP數據報中提取選擇符，并搜索SPD，確定處理策略
  - 丟棄或轉入系統IP協議棧進行后繼處理
- 判斷是否為IPsec數據報
- 從頭部提取，并檢索SAD
  - 若找不到SA，則觸發IKE或丟棄包；
  - 若找到，則根據SA解封數據報，得到原始IP數據報

enchilada內部各字段作用

ESP尾部：填充以便應用分組密碼
ESP首部：
- SPI，接收實體基于此知道該做什么
- 序列號，抵抗重放攻擊
ESP的MAC認證字段，基于共享的秘密密鑰

IPsec序列號

對于新SA，發送方初始化序列號為0
每次通過SA發送數據報:
- 發送方增加序列號計數器（加1）
- 將計數器值置于序列號字段
目的：
- 預防嗅探與回放分組攻擊
- 接收重復的、已認證的IP分組，會破壞正常服務
方法：
- 根據序列號，接收方檢驗分組是否重復
- 無需記錄所有已接收分組，而是利用一個窗口，檢查窗口內的分組是否重復

11.3.6 IPsec（5）

SA的建立和密鑰管理

IPsec支持兩種方式的SA建立和密鑰管理：

手工方式
- 所有的信息需要手工配置
- SA永遠存在
- 適用于結構簡單的網絡
自動方式
- SA可以通過協商方式產生
- SA過期以后重新協商，提高了安全性
- 適用于較復雜拓撲和較高安全性的網絡

Internet密鑰交換(IKE)

前面的例子：在IPsec端點，手工建立IPsec SA
對于幾百個端點規模的VPN，手工設置密鑰是不可行的
替代方案：IPsec IKE (Internet Key Exchange)
IKE協議可自動管理SA的建立、協商、修改和刪除，是IPSec唯一的密鑰管理協議
IKE：
- ISAKMP(Internet Security Association and Key Management Protocol)的通用框架
  - 定義了協商、建立、修改和刪除SA過程的通用框架
- OAKLEY的密鑰交換模式
  - 一個密鑰交換協議，允許認證過的雙方通過不安全的網絡交換密鑰參數
- SKEME的共享和密鑰更新技術
  - 提供了IKE交換密鑰的算法

IKE和IPSec

IKE為IPSec提供服務：
- 密鑰交換與管理
- 身份認證：通信對等體的認證
- IPSec SA的協商與管理

IKE: PSK與PKI

認證可以通過：
- 預共享密鑰 (PSK)，或者
- 公鑰基礎設施PKI (公開/私有密鑰對以及證書).
PSK：基于共享的秘密密鑰
- 運行IKE認證彼此，并建立IPsec SAs (每個方向一個)
- 包括加密秘鑰和認證密鑰
PKI：基于公開/私有密鑰對以及證書
- 運行IKE認證彼此，并建立IPsec SAs (每個方向一個)
- 類似于SSL的握手過程

IKE的執行階段

IKE包括兩個階段：

階段1：建立雙向IKE SA(也稱為ISAKMP安全關聯)
- 為雙方進一步的IKE通信提供機密性、數據完整性以及數據源認證服務
- 注意：IKE SA不同于IPsec SA
- 兩種模式：
  - 野蠻模式(aggressive mode)
    – 3個消息交互，使用較少的消息
  - 主模式(main mode)
    – 6個消息交互
    – 主模式提供身份保護(identity protection)，并且更靈活
階段2：基于ISAKMP協議，進行IPsec SA的安全協商

11.3.7 IPsec總結

IKE用于交換算法、秘密密鑰、SPI
采用AH協議或者ESP協議 (或者兩者)
- AH提供完整性、源認證服務
- ESP提供完整性、源認證以及機密性服務
IPsec對等端可以是：
- 兩個端系統
- 兩個路由器/防火墻
- 一個路由器/防火墻與一個端系統

11.4 無線局域網安全

11.4.1 WEP的設計目標

WEP(Wired Equivalent Privacy): 有線等效保密
對稱密鑰加密
- 機密性
- 主機認證
- 數據完整性
自同步: 每個分組單獨加密
- 給定加密分組和密鑰，便可以解密；即便前序分組丟失，也可以繼續成功解密分組(與CBC不同)
高效
- 可以由硬件或軟件實現

11.4.2 回顧: 對稱流密碼

將密鑰流的每個字節與明文的每個字節進行異或，得到密文：
WEP使用RC4算法

11.4.3 流密碼與分組獨立性

回顧WEP設計目標: 每個分組獨立加密
如果對于n+1號幀使用的密鑰流，是在n號幀的密鑰流之后，那么每個幀就不是獨立加密的
- 需要知道n號幀使用的密鑰流截止到哪里
WEP的解決方案：初始密鑰+針對每個分組的新 IV（初始向量），產生針對每個分組的密鑰流

11.4.4 WEP加密

發送端針對數據(data)計算完整性校驗值ICV(Integrity Check Value)
- 4字節的散列值/CRC，用于數據完整性校驗
每端有104位的共享密鑰
發送端生成24位初始向量(IV)，附加到密鑰上：得到128位密鑰
發送端還要附加keyID (8位字段)
將128位密鑰輸入到偽隨機數發生器，產生密鑰流
利用RC4算法對幀中“數據+ICV”進行加密：
- 將密鑰流與“數據+ICV”逐個字節異或(XOR)
- 將IV和keyID附加到加密數據，構成載荷
- 將載荷插入到802.11幀中

11.4.5 WEP解密概述

接收端提取IV
將IV和共享密鑰輸入偽隨機數發生器，得到密鑰流
將密鑰流與加密部分逐個字節異或(XOR)，解密得到數據與ICV
利用ICV校驗數據完整性
- 注意: 這里采用的消息完整性驗證方法與報文認證碼 MAC以及數字簽名(利用PKI)不同.

11.4.6 利用一次性隨機數進行端點認證

一次性隨機數(nonce): 一個生命期內只用一次的數R

如何證明Alice是“真實的”：Bob向Alice發送一次性隨機數nonceR， Alice必須利用共享密鑰加密并返回R。

11.4.7 WEP的身份認證

注意:

并非所有AP都進行認證，即便使用了WEP
AP會在信標幀(beacon frame)中指示是否需要認證
認證需要在關聯前進行

11.4.8 破解802.11WEP加密

安全漏洞:

每幀一個24位的IV→IV最終會被重用
IV以明文傳輸→重用IV容易被監測
攻擊:
Trudy誘使Alice加密已知明文：d1 d2 d3 d4 …
Trudy知道: ci = di XOR kiIV
Trudy已知ci和di，因此可以計算得到kiIV
Trudy得到加密密鑰序列：k1IV k2IV k3IV …
下一次IV被重用時，Trudy便可以成功解密！

11.4.9 802.11i: 改進的安全

多種（更強的）可選的加密方法
提供密鑰分發
利用獨立于AP的認證服務器
IEEE 802.11i 服務：
- 認證
- 訪問控制
- 數據與完整性加密

11.4.10 802.11i: 運行的4個階段

11.4.11 EAP: 擴展認證協議

EAP：客戶(移動端)與認證服務器間的端-端協議
EAP運行在兩段獨立的“鏈路”上
- 移動端到AP(EAPoL: EAP over LAN)
- AP到認證服務器(RADIUS over UDP)

11.5 防火墻

11.5.1 為什么需要防火墻？

預防拒絕服務攻擊（DoS）:

SYN泛洪: 攻擊者建立許多虛假TCP連接，耗盡資源，導致“真正”的連接無法建立
預防非法修改/內部數據訪問:
e.g., 攻擊者替換CIA網站主頁
只允許對內部網絡的授權訪問：
認證的用戶/主機
三種類型的防火墻:
無狀態分組過濾器(stateless packet filters)
有狀態分組過濾器(stateful packet filters)
應用網關(application gateways)

11.5.2 無狀態分組過濾

內部網絡通過路由器防火墻(router firewall)與Internet連接
路由器逐個分組過濾，決策是否轉發/丟棄分組，依據：
- 源IP地址、目的IP地址
- TCP/UDP源、目的端口號
- ICMP報文類型
- TCP SYN和ACK標志位
- ……

11.5.3 無狀態分組過濾：舉例

例1: 阻止協議字段=17，以及源或目的端口號=23 的數據報進入與離開
- 結果: 所有進入或離開的UDP流量，以及Telnet 連接均被阻止
例2: 阻止進入的、 ACK=0的TCP段
- 結果: 阻止外部客戶與內部主機主動建立TCP 連接，但是允許內部（內部發送的TCP段ACK=1）客戶與外部主機主動建立連接

11.5.4 訪問控制列表

ACL(Access Control Lists): 規則表，自頂向下應用于到達的分組：(action, condition)對

11.5.5 有狀態分組過濾

無狀態分組過濾器: 笨拙
- 不加以區分放行滿足條件的所有分組
- 例如：放行dest port = 80、ACK=1的分組，即使沒有建立TCP連接:
有狀態分組過濾器: 跟蹤每個TCP連接
- 跟蹤連接建立(SYN)、拆除(FIN): 根據狀態確定是否放行進入或外出的分組
- 超時的非活動連接: 不再允許分組通過
擴展ACL，以便在放行分組前，檢測連接狀態表

11.5.6 應用網關

基于應用數據以及 IP/TCP/UDP 頭部字段過濾分組
例如：允許特定用戶 telnet外部網絡

要求所有Telnet用戶通過網關Telnet外部網絡；

對于授權的用戶，網關代理用戶與目的主機建立 Telnet連接，并且在兩個連接之間進行數據中繼；

路由器阻止所有不是由網關發起的Telnet連接。

11.5.7 防火墻、應用網關的局限性

IP欺騙(spoofing): 路由器不知道數據是否來自于聲稱的源
如果多個應用需要特殊處理，則每個應用需要一個應用網關
客戶軟件必須知道如何連接網關
- e.g., 必須配置Web瀏覽器的代理服務器的 IP地址
過濾器經常對UDP流量使用“全部通過”或者 “全部不通過”策略
折衷(tradeoff): 確定安全級別
- 與外部網絡的通信度
很多安全防護級別很高的網站仍然遭受攻擊

完結撒花

創作不易，看完記得點贊喔。

總結

以上是生活随笔為你收集整理的计算机网络核心知识（下）的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。

上一篇： CCF受理“大数据专家委员会”2019年
下一篇：作者：鲍玉斌（1968-），男，博士，东