信息安全技术期末复习重点

安全服务：加强数据处理系统和信息传输的安全性的一种服务。其目的在于利用一种或多种安全机制阻止安全攻击

安全机制：用来保护系统免受侦听、阻止安全攻击及恢复系统的机制。

安全攻击：任何危及系统信息安全的活动。

威胁：侵犯安全的可能性，在破坏安全或引起危害的环境，可能性行为或时间的情况下，会出现这种威胁。也就是说，威胁是利用脆弱性潜在危险。

攻击：对系统安全的攻击，它来源于一种具有智能的威胁。也就是说，有意违反安全服务和侵犯系统安全策略的（特别是在方法或技巧的）智能行为。

认证：保证通信的实体是它所声称的实体。

存取控制：阻止对资源的非授权使用。

数据保密性：保护数据免于非授权泄露。

连接保密性：保护一次连接中所有的用户数据

无连接保密性：保护单个数据块里的所有用户数据

选择域保密性：对一次连接或单个数据块里选定的数据部分提供保密性

流量保密性：保护那些可以通过观察流量而获得的信息

数据完整性：保证收到的数据确实是授权实体所发出的数据

具有恢复功能的连接完整性：提供一次连接中所有用户数据的完整性检测整个数据序列存在的修改、插入、删除或重放，且试图恢复之。

无恢复的连接性完整性：提供一次连接中所有用户数据的完整性检测整个数据序列存在的修改、插入、删除或重放，但不尝试恢复。

选择域连接完整性：提供一次连接中传输的单个数据块用户数据中选定部分的数据完整性，并判断选定域是否被修改

不可否认性：防止整个或部分通信过程中，任一通信实体进行否认的行为

源不可否认：证明消息是有特定方发出的

宿不可否认性：证明消息被特定方收到

加密：运用数学算法将数据转换成不可知的形式。数据的变换和复原依赖于算法和零个或多个加密密钥

数字签名：附加于数据元之后的数据，是对数据元的密码变换，以使得可证明数据源和完整性，并防止伪造

认证交换：通过信息交换来保证实体身份的各种机制

流量填充：在数据流空隙中插入若干位以阻止流量分析

路由控制：能够为某些数据选择特殊的物理上安全的路线并允许路由变化。

公证：利用可信的第三方来保证数据交换的某些性质

可信功能：据某些标准被认为是正确的

安全标签：资源的标志，指明该资源的安全属性

事件检测：检测与安全相关的事件

安全审计跟踪：收集的及潜在用于安全审计的数据，它是对系统记录和行为的独立回顾和检查

安全恢复：处理来自安全机制的请求，如事件处理、管理功能和采取恢复行为

被动攻击：它的特性是对传输进行窃听和检测，包括：信息内容泄露和流量分析

主动攻击：它包括对数据流进行篡改或伪造数据流，可分为：伪装、重放、消息篡改和拒绝服务

Kerberos原理：

认证过程具体如下：客户机向认证服务器（AS）发送请求，要求得到某服务器的证书，然后AS 的响应包含这些用客户端密钥加密的证书。证书的构成为：1) 服务器“ticket” ；2) 一个临时加密密钥（又称为会话密钥“session key”）。客户机将ticket （包括用服务器密钥加密的客户机身份和一份会话密钥的拷贝）传送到服务器上。会话密钥可以（现已经由客户机和服务器共享）用来认证客户机或认证服务器，也可用来为通信双方以后的通讯提供加密服务，或通过交换独立子会话密钥为通信双方提供进一步的通信加密服务。

公钥证书：它是标志网络用户身份信息的一系列数据，它用来在网络通信中识别通信各方的身份。它是由权威的第三方机构即CA中心签发。它采用公钥体制，用户掌握私钥，公开公钥。一个简单的公钥签名包括：证书序号，主体公钥值，认证机构名，主体身份信息，认证机构签名。

公钥证书包括：

?版本号。其默认值为第1版。如果证书中需有发放者惟一标识符或主体惟一标识符，

则版本号一定是2；如果有一个或多个扩充域，则版本号为3。

?证书序列号。由CA发放，值唯一。

?签名算法标识符。签名算法及参数

?发放者名称。CA的名称

?有效期。起始时间和终止时间。

?主体名称。

?主体的公钥信息。

?发放者惟一标识符。

?主体惟一标识符。

?扩充域。

公钥证书作用及特性

保密性

通过使用收件人的公钥证书对电子邮件加密，只有收件人才能阅读加密的邮件。

完整性

利用发件人公钥证书在传送前对电子邮件进行公钥签名，不仅可以确定发件人身份，而且可以判断发送的信息在传递过程中是否被篡改过。

身份认证

利用发件人公钥证书在传送前对电子邮件进行公钥签名可以确定发件人身份，从而识破冒充的他人。

不可否认性

发件人的公钥证书只有发件人唯一拥有，发件人进行签名后，就不能否认发送过某个文件。第三章

PGP的处理流程

PGP加密系统是采用公开密钥加密与传统密钥加密相结合的一种加密技术。它使用一对数学上相关的钥匙，其中一个（公钥）用来加密信息，另一个（私钥）用来解密信息。

PGP采用的传统加密技术部分所使用的密钥称为“会话密钥”（sek）。每次使用时，PGP 都随机产生一个128位的IDEA会话密钥，用来加密报文。公开密钥加密技术中的公钥和私钥则用来加密会话密钥，并通过它间接地保护报文内容。

PGP中的每个公钥和私钥都伴随着一个密钥证书。它一般包含以下内容：

密钥内容(用长达百位的大数字表示的密钥)

密钥类型(表示该密钥为公钥还是私钥)

密钥长度(密钥的长度，以二进制位表示)

密钥编号(用以唯一标识该密钥)

创建时间

用户标识(密钥创建人的信息，如姓名、电子邮件等)

密钥指纹(为128位的数字，是密钥内容的提要表示密钥唯一的特征)

中介人签名(中介人的数字签名，声明该密钥及其所有者的真实性，

包括中介人的密钥编号和标识信息)

PGP把公钥和私钥存放在密钥环(KEYR)文件中。PGP提供有效的算法查找用户需要的密钥。

PGP在多处需要用到口令，它主要起到保护私钥的作用。由于私钥太长且无规律，所以难以记忆。PGP把它用口令加密后存入密钥环，这样用户可以用易记的口令间接使用私钥。

PGP的每个私钥都由一个相应的口令加密。PGP主要在3处需要用户输入口令：需要解开收到的加密信息时，PGP需要用户输入口令，取出私钥解密信息

当用户需要为文件或信息签字时，用户输入口令，取出私钥加密

对磁盘上的文件进行传统加密时，需要用户输入口令

第四章：

VPN的优缺点：

优点：

?VPN能提供更综合和安全的解决方案。

?VPN安全地把远端用户、分公司和合作伙伴通过Internet连接成一个扩展的网络。

?ISP提供便宜的接入方式（通过专线或电话线），使企业可以节省用在昂贵的专线，

长途呼叫和免费电话的费用。

?当IPSEC在防火墙或路由器上实施后，它可以对所有的数据流提供强有力的安全保

护。在公司内的数据流就不用花费时间在安全相关的处理上。

?如果外来的数据流都强制性的要通过防火墙而且使用IP协议，那么IPSec协议就可

以强制性的使用。

?IPSec位于传输层以下（TCP，UDP），所以对于上层的应用程序是透明的。当IPSec

在防火墙或者路由器上实现时，对于用户程序或服务器程序都不需要进行任何的修改。即使IPSec在端系统上实施，上层的的软件，包括应用程序都没有影响。

缺点：

VPN网络容易遭受窃听、篡改报文内容、拒绝服务、修改报文目的地址等攻击；

内部人员的攻击难以防范

IPSec两种传输模式的区别：

?IPSec传输模式：通常用于在两个网络终端主机与终端主机的通信中对传输层以上的数据提供加密保护。该模式只对IP包内部的载荷进行加密保护，而不对ip包头进行保护。传输模式的安全关联应用在两台主机之间；

?IPSec隧道模式：应用于两个路由器之间，或者一个路由器与一台主机之间进行IP 包的加密传输。该模式将原IP包头和ip载荷都进行加密，并将它们封装到一个新的IP包中传输。隧道模式的安全关联则应用在通信双方至少有一方时安全网关或防火墙的情况下。

IPSec的两个安全协议AH和ESP

认证头部协议AH：它使用一个hash函数和一个对称密钥来产生一个报文再要，将此报文摘要插入认证头部AH。根据IPSec是传输模式或者是隧道模式，将AH放入相应的位置。AH协议不提供对载荷数据的保密。

封装安全载荷协议ESP：ESP协议相比AH协议加入了一个头部和一个尾部，并实现对载荷数据的加密。ESP的认证数据加在包的尾部，将认证数据的计算结果直接在尾部，处理较方便。它不仅实现了加密还实现了认证。

第五章：

SSL(Secure Sockets Layer 安全套接层),及其继任者传输层安全（Transport Layer Security，TLS）是为网络通信提供安全及数据完整性的一种安全协议。

SSL协议提供的服务主要有：

1）认证用户和服务器，确保数据发送到正确的客户机和服务器；

2）加密数据以防止数据中途被窃取；

3）维护数据的完整性，确保数据在传输过程中不被改变。

SSL协议工作流程：

服务器认证阶段：1）客户端向服务器发送一个开始信息“Hello”以便开始一个新的会话连接；2）服务器根据客户的信息确定是否需要生成新的主密钥，如需要则服务器在响应客户的“Hello”信息时将包含生成主密钥所需的信息；3）客户根据收到的服务器响应信息，产生一个主密钥，并用服务器的公开密钥加密后传给服务器；4）服务器回复该主密钥，并返回给客户一个用主密钥认证的信息，以此让客户认证服务器。

用户认证阶段：在此之前，服务器已经通过了客户认证，这一阶段主要完成对客户的认证。经认证的服务器发送一个提问给客户，客户则返回（数字）签名后的提问和其公开密钥，从而向服务器提供认证。

SET协议成员：持卡人特约商家支付网关收单银行发卡机构认证机构

SET协议加密流程

?对接收方的数字证书进行认证；

?对要发送的消息明文进行hash运算，生成消息摘要；

?用发送方私有密钥对消息摘要加密，生成数字签名；

?随机生成对称密钥；

?用对称密钥对消息明文进行加密，生成消息密文；

?用接收方的公开密钥对对称密钥加密，得到数字信封；

?将消息密文、数字签名、数字信封及发送方数字证书发送给接收方

SET协议解密流程

?对发送方的数字证书进行认证；

?用接收方的秘密密钥对数字信封解封，得到对称密钥；

?用对称密钥对消息密文解密，得到消息明文；

?用发送方的公开密钥对数字签名解密，得到消息摘要；

?对消息明文进行hash运算，得到重新计算的消息摘要；

?比较两个消息摘要，确认消息的完整性；

?如果两个摘要相同，说明消息是相应方发送的，并且在传输中没有被篡改，那么保

存消息明文；

SET购物流程

?持卡人选择要购买的商品

?持卡人填写订单

?持卡人选择付款方式，此时SET开始介入

?持卡人发送给商家一个完整的订单及要求付款的指令。

?商家接受订单后，向持卡人的金融机构请求支付认可。

?商家给发送订单确认信息给顾客，顾客端软件记录交易日志，以备将来查询。

?商家给顾客装运货物，或完成定购服务。

?商家从持卡人的金融机构请求支付。

SET协议流程图

商家向持卡人提供商店的证书以使持卡人确认商店的合法性；

持卡人向商家提供数字签名、订单和数字证书；

商家向收单银行请求交易授权，收单银行返回交易授权；

商家向持卡人发送订单确定、交易完成；

商家向收单银行发送请款请求，银行回复请款请求

双重签名：

?首先生成两条消息的摘要，将两个摘要连接起来，生成一个新的摘要（成为双重签

名）。

?然后用发送者的私有密钥加密，为了让接收者验证双重签名，还必须将另外一条消

息的摘要一起传过去。

?验证时，先生成消息摘要，将它和另外一个消息摘要连接起来，生成新的摘要，如

果与解密后的双重签名相等，就可以确定消息是真实的。

SET协议如何实现安全：

?常规密码体制

?公开密钥密码体制

?数字信封

?数字签名

?消息摘要

第六章：

IDS的分类：按照分析方法分：异常检测模型，误用检测模式

按照数据来源分：基于主机的IDS，基于网络的IDS，混合型IDS

按照系统各模块的运行方式分：集中式，分布式

根据系统时效性分：脱机分析和联机分析

入侵检测系统的作用：

入侵检测系统作为一种积极主动的安全防护工具，提供了对内部攻击、外部攻击和误操作的实时防护，在计算机网络和系统受到危害之前进行报警、拦截和响应。它具有以下主要作用：

1）通过检测和记录网络中的安全违规行为，检测网络犯罪，防止网络入侵事件的发生；2）检测其它安全措施未能阻止的攻击或安全违规行为；

3）检测黑客在攻击前的探测行为，预先给管理员发出警报；

4）报告计算机系统或网络中存在的安全威胁；

5）提供有关攻击的信息，帮助管理员诊断网络中存在的安全弱点，利于其进行修补；6）在大型、复杂的计算机网络中布置入侵检测系统，可以显著提高网络安全管理的质量。

入侵检测的基本构成：事件产生器，事件分析器，事件数据库，响应单元

入侵检测的原理应该结合具体的入侵检测类型进行分析。

第七章

防火墙的基本功能：

隔离不通网络，限制安全问题的扩散；

很方便地记录网络上的各种非法活动，监视网络的安全性；

可作为内部和外部网络地址变换之处，缓解地址空间短缺的问题或者隐藏内网的结构；

可作为IPSec的平台。

?防火墙功能

?包过滤技术

?网络地址转换

?代理服务

?状态检查

防火墙优点：

防火墙是网络安全的屏障

防火墙可以强化网络安全策略

对网络存取和访问进行监控审计

防止内部信息的外泄

防火墙的缺点：

?不能防护绕过防火墙的攻击

?不能防护发自内部的攻击

?不能防护被病毒感染的程序或文件

防火墙提供的四种控制技术：用户控制，服务控制，数据流控制，行为控制。

防火墙的三种类型：包过滤路由，应用层网关，电路层网关

包过滤防火墙：

?优点:

?实现简单

?对用户透明

?速度快

?缺点:

?设置包过滤规则比较困难

?缺乏认证

应用层网关防火墙：

?优点:

?比包过滤更为安全

?只需要开放少部分允许的程序

?便于对进入的数据流进行记录和审计

?缺点:

?对每个连接要进行额外的处理

防火墙的配置：

1.屏蔽主机模式（单宿堡垒主机）：由一个包过滤路由器连接外部网络，同时一个堡垒主机安装在内部网络上。堡垒主机只有一块网卡，与外部网络相连。通常在路由器上设定过滤规则，并使这个单宿堡垒主机成为从internet唯一可访问的主机，确保内部网络不受未被授权的外部用户的攻击。而intranet内部的客户机，可以受控制地通过屏蔽主机和路由器访问internet。

2.屏蔽主机模式（双宿堡垒主机）：堡垒主机有两块网卡，一块连接内部网络，一块连接包过滤路由器。双宿堡垒主机在应用层提供代理服务，与单宿型相比更加安全。

3.屏蔽子网模式：在intranet和internet之间建立一个被隔离的子网，用两个包过滤路由器将这一子网分别于intranet和internet分开。两个包过滤路由器放在子网的两端，在子网内构成一个“缓冲地带”，两个路由器一个控制intranet数据流，另一个控制internet数据流，intranet和internet均可访问屏蔽子网，但禁止它们穿过屏蔽子网通信。