计算机网络安全总结版仅供参考清自己查漏补缺.docx
《计算机网络安全总结版仅供参考清自己查漏补缺.docx》由会员分享，可在线阅读，更多相关《计算机网络安全总结版仅供参考清自己查漏补缺.docx（22页珍藏版）》请在冰点文库上搜索。
计算机网络安全总结版仅供参考清自己查漏补缺
第3章单向散列函数
特征项SHA-1MD5
Hash值长度160bit（更安全）128bit
分组处理长度512bit512bit
步数80（慢4X20）64bit（4X16）
最大消息长度<=2的64次方bit不限
非线性函数个数3（第2、4轮相同）4
常数个数464
※※SHA-1算法–SHA–1与MD5的比较※※（SHA-1算法P44）
（1）安全性：
SHA-1所产生的摘要较MD5长32位。
若两种散列函数在结构上没有任何问题的话，SHA-1比MD5更安全
（2）速度：
两种方法都考虑了以32位处理器为基础的系统结构，但SHA-1的运算步骤较MD5多了16步，而且SHA-1记录单元的长度较MD5多了32位。
因此若是以硬件来实现SHA-1，其速度大约较MD5慢25%
（3）简易性：
两种方法都相当的简单，在实现上不需要很复杂的程序或是大量的存储空间。
然而总体上来讲，SHA-1每一步的操作都较MD5简单
※※消息认证码（MAC）※※P49
与密钥相关的单向散列函数通常称为MAC，即消
息认证码：
MAC=CK（M）
M为可变长的消息；K为通信双方共享的密钥；C为单向函数;
MAC可为拥有共享密钥的双方在通信中验证消息的完整性；也可被单个用户用来验证他的文件是否被改动
第4章公钥密码系统
数字签名:
公钥密码学使得数字签名成为可能。
用私钥加密信息，这时就称为对信息进行数字签名。
将密文附在原文后，称为数字签名。
其他人用相应的公钥去解密密文，将解出的明文与原文相比较，如果相同则验证成功，这称为验证签名。
PGP（PrettyGoodPrivacy）是一个强有力的电子邮件加密系统。
它是由许多人开发，在国际互联网上广为传播的免费软件。
PGP软件有3个主要功能：
（1）对存储在计算机上的文件加密。
加密的文件只能由知道密钥的人解密阅读。
（2）对电子邮件进行加密。
经加密的电子邮件只有收信人本人才能解密阅读。
（3）对文件或电子邮件作数字签名。
收件人可以用签名人的公开密钥签别真伪。
PGP的特点是使用单向散列算法和公开密钥技术对邮件内容进行签名，以保证信件内容无法被篡改且不可否认；使用对称和非对称加密技术保证邮件内容保密。
※※带加密的数字签名（P61-62）※※
通过把公钥密码和数字签名结合起来，我们能够产生一个协议，可把数字签名的真实性和加密的安全性合起来。
想象你写的一封信：
签名提供了原作者的证明，而信封提供了秘密性。
※※
RSA数字签名（P62）※※
这种密码体制采用了一对密钥——加密密钥和解密密钥（且从解密密钥推出加密密钥是不可行的），这一对密钥中，一个可以公开（称之为公钥），另一个为用户专用（私钥）。
陷门单向函数
公钥密码系统是基于陷门单向函数的概念。
单向函数是易于计算但求逆困难的函数，而陷门单向函数是在不知道陷门信息情况下求逆困难，而在知道陷门信息时易于求逆的函数。
公钥密码系统可用于以下三个方面：
（1）通信保密：
此时将公钥作为加密密钥，私钥作为解密密钥，通信双方不需要交换密钥就可以实现保密通信。
（2）数字签名：
将私钥作为加密密钥，公钥作为解密密钥，可实现由一个用户对数据加密而使多个用户解读。
（3）密钥交换：
通信双方交换会话密钥，以加密通信双方后续连接所传输的信息。
每次逻辑连接使用一把新的会话密钥，用完就丢弃。
公开密钥算法的特点:
（1）发送者用加密密钥PK对明文X加密后，在接收者用解密密钥SK解密，即可恢复出明文，或写为：
DSK（EPK（X））X
解密密钥是接收者专用的秘密密钥，对其他人都保密。
此外，加密和解密的运算可以对调，即EPK（DSK（X））X
（2）加密密钥是公开的，但不能用它来解密，即
DPK（EPK（X））X
（3）在计算机上可以容易地产生成对的PK和SK。
（4）从已知的PK实际上不可能推导出SK，即从PK到SK是“计算上不可能的”。
（5）加密和解密算法都是公开的。
数字签名的方法
基本的数字签名协议是简单的：
1.Alice用她的私钥对文件加密，从而对文件签名。
2.Alice将签名的文件传给Bob。
3.Bob用Alice的公钥解密文件，从而验证签名。
这个协议不需要第三方去签名和验证。
甚至协议的双方也不需要第三方来解决争端；如果Bob不能完成第3步，那么他知道签名是无效的。
1.签名是可信的。
当Bob用Alice的公钥验证信息时，他知道是由Alice签名的。
2.签名是不可伪造的。
只有Alice知道她的私钥。
3.签名是不可重用的。
签名是文件的函数，并且不可能转换成另外的文件。
4.被签名的文件是不可改变的。
如果文件有任何改变，文件就不可能用Alice的公钥验证成功。
5.签名是不可抵赖的。
Bob不用Alice的帮助就能验证Alice的签名。
Diffie-Hellman密钥交换（P56）
如果Alice和Bob想在不安全的信道上交换密钥，他们可以采用如下步骤：
（1）Alice和Bob协商一个大素数p及p的本原根a，a和p可以公开；
（2）Alice秘密产生一个随机数x，计算X=axmodp，然后把X发送给Bob；
（3）Bob秘密产生一个随机数y，计算Y=aymodp，然后把Y发送给Alice；
（4）Alice计算k=Yxmodp；
（5）Bob计算k'=Xymodp。
第6章-信息隐藏技术
信息隐藏不同于传统的加密
信息隐藏不同于传统的加密，其目的不在于限制正常的资料存取，而在于保证隐藏数据不被侵犯和重视。
隐藏的数据量与隐藏的免疫力始终是一对矛盾，目前还不存在一种完全满足这两种要求的隐藏方法。
※※信息隐藏技术和传统的密码技术的区别※※
区别在于:
密码仅仅隐藏了信息的内容，而信息隐藏不但隐藏了信息的内容而且隐藏了信息的存在。
信息隐藏技术提供了一种有别于加密的安全模式。
在这一过程中的载体信息的作用实际上包括两个方面，一是提供传递信息的信道；二是为隐藏信息的传递提供伪装。
※※我们可以按照不同的标准对数字水印进行分类：
※※
¢从水印的载体上可以分为静止图像水印、视频水印、声音水印、文档水印和黑白二值图像水印
¢从外观上可分为可见水印和不可见水印※
（更准确地说应是可察觉水印和不可察觉水印）
¢从水印加载方法是否可逆上可分为可逆、非可逆、半可逆、非半可逆水印
¢根据采用的用户密钥的不同可分为私钥（Secret-key）水印和公钥（Public-key）水印
数字水印的主要应用领域
1.版权保护2.加指纹3.标题与注释4.篡改提示5.使用控制
数据隐写术（替换系统）：
例如，设一段24位BMP文件的数据为：
01100110，00111101，10001111，00011010，00000000，10101011，00111110，10110000，
则其字节的奇偶排序为：
0，1，1，1，0，1，1，1。
现在需要隐藏信息79，79转化为8位二进制数为01001111，将这两个数列相比较，发现第三、四、五位不一致，于是对这段24位BMP文件数据的某些字节的奇偶性进行调整，使其与79转化的8位二进制数相一致：
第三位：
将10001111变为10001110，该字节由奇变为偶。
第四位：
将00011010变为00011011，该字节由奇变为偶。
第五位：
将00000000变为00000001，该字节由偶变为奇。
经过这样的调整，此24位BMP文件数据段字节的奇偶性便与79转化的8位二进制数完全相同，这样，8个字节便隐藏了一个字节的信息。
综上所述，将信息嵌入BMP文件的步骤为：
（1）将待隐藏信息转化为二进制数据流。
（2）将BMP文件图像数据部分的每个字节的奇偶性与上述二进制数据流进行比较。
（3）通过调整字节最低位的“0”或“1”，改变字节的奇偶性，使之与上述二进制数据流一致，即将信息嵌入到24位BMP图像中。
•信息提取是把隐藏的信息从伪装媒体中读取出来，其过程正好与信息嵌入相反：
（1）判断BMP文件图像数据部分每个字节的奇偶性，若字节中“1”的个数为偶数，则输出“0”；若字节中“1”的个数为奇数，则输出“1”。
（2）每判断8个字节，便将输出的8位数组成一个二进制数（先输出的为高位）。
（3）经过上述处理，得到一系列8位二进制数，便是隐藏信息的代码，将代码转换成文本、图像、声音，就是隐藏的信息。
由于原始24位BMP图像文件隐藏信息后，其字节数值最多变化1（因为是在字节的最低位加“1”或减“1”），该字节代表的颜色浓度最多只变化了1/256.
嵌入信息的数量与所选取的掩护图像的大小成正比.
提高最低比特位替换法容量的方法有两种：
第一种是固定增加每个像素的替换量。
每个像素都替换3个比特的信息时，人眼仍然很难察觉出异样。
但直接嵌入4个比特的信息时，在图像灰阶值变化和缓的区域（SmoothArea）就会出现一些假轮廓（FalseContouring）。
第二种方法是先考虑每个像素本身的特性，再决定要在该像素中嵌入多少比特的信息量。
数字水印
数字水印技术正是适应这一要求发展起来的，与信息伪装技术相比，数字水印是为了保护数字产品的版权，而要对数字产品加载所有者的水印信息，以便在产品的版权产生纠纷时作为证据。
第七章-PKI技术
PKI（PublicKeyInfrastructure）是利用公钥密码技术提供一套安全基础平台的技术和规范。
PKI的目的是给用户提供安全服务的。
CA及其他相关软件、硬件、协议、安全策略、设备等构成了一个安全平台，这个平台就被称为ＰＫＩ。
PKI功能：
PKI首先必须有可信任的认证机构，在公钥技术基础上实现证书的产生，管理，存档，发放以及证书撤销管理等功能，并包括实现这些功能的硬件，软件，人力资源，相关策略和操作规范以及为PKI体系中的各成员提供的安全服务。
证书权威（CA）
数字证书具有唯一性,它将实体的公开密钥同实体本身联系在一起;
数字证书就是用户的身份与之所持有的公钥的结合。
在结合之前，由一个可信任的认证机构——证书权威（CA）来证实用户的身份。
CA的功能和组成
CA是PKI的核心
CA的基本功能是证书发放、证书更新、证书撤消※※
※※CA组成图（记住图）※※
信任模型：
（1）层次模型：
（2）对等模型和网状模型：
（3）混合模型：
第8章-身份认证、访问控制与系统审计
计算机安全模型（经典模型）
经典安全模型包含如下基本要素：
（1）明确定义的主体和客体；
（2）描述主体如何访问客体的一个授权数据库；
（3）约束主体对客体访问尝试的参考监视器；
（4）识别和验证主体和客体的可信子系统；
（5）审计参考监视器活动的审计子系统。
可以看出，这里为了实现计算机系统安全所采取的基本安全措施，即安全机制有身份认证、访问控制和审计。
参考监视器是主体/角色对客体进行访问的桥梁.
身份识别与验证，即身份认证是主体/角色获得访问授权的第一步，这也是早期黑客入侵系统的突破口。
访问控制是在主体身份得到认证后，根据安全策略对主体行为进行限制的机制和手段。
审计作为一种安全机制，它在主体访问客体的整个过程中都发挥着作用，为安全分析提供了有利的证据支持。
它贯穿于身份认证、访问控制的前前后后。
同时，身份认证、访问控制为审计的正确性提供保障。
它们之间是互为制约、相互促进的。
根据访问控制策略的不同，访问控制一般分为自主访问控制、强制访问控制、基于角色的访问控制、基于任务的访问控制、使用控制等。
自主访问控制是以前计算机系统中实现较多的访问控制机制，它是根据访问者的身份和授权来决定访问模式的。
强制访问控制是将主体和客体分级，然后根据主体和客体的级别标记来决定访问模式。
“强制”主要体现在系统强制主体服从访问控制策略上。
基于角色的访问控制的基本思想是：
授权给用户的访问权限通常由用户在一个组织中担当的角色来确定。
它根据用户在组织内所处的角色作出访问授权和控制，但用户不能自主地将访问权限传给他人。
PMI
访问控制就是控制用户访问资源的权限，如何证明用户所具有的权限正是PMI要做的事情。
PMI概述
授权管理基础设施PMI（PrivilegeManagementInfrastructure）是国家信息安全基础设施（NationalInformationSecurityInfrastructure，NISI）的一个重要组成部分。
目标是：
向用户和应用程序提供授权管理服务
提供用户身份到应用授权的映射功能
提供与实际应用处理模式相对应的、与具体应用系统开发和管理无关的授权和访问控制机制
简化具体应用系统的开发与维护。
PMI功能
授权管理基础设施PMI是一个由属性证书（AttributeCertificate,AC）、属性权威（AttributeAuthority,AA）、属性证书库等部件构成的综合系统，用来实现权限和证书的产生、管理、存储、分发和撤销等功能。
PMI使用属性证书表示和容纳权限信息，通过管理证书的生命周期实现对权限生命周期的管理。
属性证书的申请、签发、撤销、验证流程对应着权限的申请、发放、撤销、使用和验证的过程。
而且，使用属性证书进行权限管理使得权限的管理不必依赖某个具体的应用，而且利于权限的安全分布式应用。
PMI与PKI的比较
授权管理基础设施PMI以资源管理为核心，对资源的访问控制权统一交由授权机构统一处理。
同公钥基础设施PKI相比，两者主要区别在于：
PKI证明用户是谁，而PMI证明这个用户有什么权限，能干什么，而且授权管理基础设施PMI需要公钥基础设施PKI为其提供身份认证。
PMI与PKI在结构上是非常相似的。
信任的基础都是有关权威机构，由他们决定建立身份认证系统和属性特权机构。
在PKI中，由有关部门建立并管理根CA，下设各级CA、RA和其它机构；在PMI中，由有关部门建立权威源点SOA（SourceOfAuthority），下设分布式的AA和其它机构。
PMI实际上提出了一个新的信息保护基础设施，能够与PKI和目录服务紧密地集成，并系统地建立起对认可用户的特定授权，对权限管理进行了系统的定义和描述，完整地提供了授权服务所需过程。
PMI系统的架构
PMI授权服务体系以高度集中的方式管理用户和为用户授权，并且采用适当的用户身份信息来实现用户认证，主要是PKI体系下的数字证书，也包括动态口令或者指纹认证技术。
安全平台将授权管理功能从应用系统中分离出来，以独立和集中服务的方式面向整个网络，统一为各应用系统提供授权管理服务。
PMI在体系上可以分为三级，分别是信任源点SOA中心、属性权威机构AA中心和AA代理点。
在实际应用中，这种分级体系可以根据需要进行灵活配置，可以是三级、二级或一级。
图.授权管理系统的总体架构示意图
授权管理系统说明
1.权威源点SOA
•权威源点（SOA中心）是整个授权管理体系的中心业务节点，也是整个PMI的最终信任源和最高管理机构。
•SOA中心的职责主要包括：
授权管理策略的管理、应用授权受理、AA中心的设立审核及管理和授权管理体系业务的规范化等。
2.属性权威机构AA
•属性权威机构AA中心是PMI的核心服务节点，是对应于具体应用系统的授权管理分系统，由具有设立AA中心业务需求的各应用单位负责建设，并与SOA中心通过业务协议达成相互的信任关系。
•AA中心的职责主要包括：
应用授权受理、属性证书的发放和管理，以及AA代理点的设立审核和管理等。
•AA中心需要为其所发放的所有属性证书维持一个历史记录和更新记录。
3.AA代理点
•AA代理点是PMI的用户代理节点，也称为资源管理中心，是具体应用用户的接口。
是对应AA中心的附属机构，接受AA中心的直接管理，由各AA中心负责建设，报经主管的SOA中心同意，并签发相应的证书。
•AA代理点的职责主要包括:
应用授权服务代理和应用授权审核代理等，负责对具体的用户应用资源进行授权审核，并将属性证书的操作请求提交到AA进行处理。
4.访问控制执行者
•访问控制执行者是指用户应用系统中具体对授权验证服务的调用模块，因此，实际上并不属于PMI，但却是授权管理体系的重要组成部分。
•访问控制执行者的主要职责是：
将最终用户针对特定的操作授权所提交的授权信息（属性证书）连同对应的身份验证信息（公钥证书）一起提交到授权服务代理点，并根据授权服务中心返回的授权结果，进行具体的应用授权处理。
对PMI系统的要求
•PMI通过结合授权管理系统和身份认证系统补充了PKI的弱点，提供了将PKI集成到应用计算环境的模型。
PMI权限管理和授权服务基础平台应该满足下面的要求：
•平台策略的定制应该灵活，能够根据不同的情况定制出不同的策略。
•平台管理功能的操作应该简单。
•平台应该具有很好的扩展能力。
•平台应该具有较好的效率，避免决策过程明显地影响访问速度。
•平台应该独立于任何应用。
基于PMI技术的授权管理模式主要存在以下三个方面的优势：
1.授权管理的灵活性
•基于PMI技术的授权管理模式可以通过属性证书的有效期以及委托授权机制来灵活地进行授权管理，从而实现了传统的访问控制技术领域中的强制访问控制模式与自主访问控制模式的有机结合，其灵活性是传统的授权管理模式所无法比拟的。
2.授权操作与业务操作相分离
•基于授权服务体系的授权管理模式将业务管理工作与授权管理工作完全分离，更加明确了业务管理员和安全管理员之间的职责分工，可以有效地避免由于业务管理人员参与到授权管理活动中而可能带来的一些问题。
加强了授权管理的可信度。
3.多授权模型的灵活支持
•基于PMI技术的授权管理模式将整个授权管理体系从应用系统中分离出来，授权管理模块自身的维护和更新操作将与具体的应用系统无关。
PMI技术的授权管理模式及其优点
•授权服务体系主要是为网络空间提供用户操作授权的管理，即在虚拟网络空间中的用户角色与最终应用系统中用户的操作权限之间建立一种映射关系。
•目前建立授权服务体系的关键技术主要是授权管理基础设施PMI技术。
•PMI技术通过数字证书机制来管理用户的授权信息，并将授权管理功能从传统的应用系统中分离出来，以独立服务的方式面向应用系统提供授权管理服务。
第9章操作系统安全
账户的安全设置
1．Windows账户简介
•在Windows操作系统中，用户被分成许多组，组和组之间有不同的权限，当然，一个组的用户和用户之间也可以有不同的权限。
Windows中常见的用户组如下：
（1）Administrators，管理员组。
（2）PowerUsers，高级用户组。
（3）Users，普通用户组。
（4）Guests，访客/来宾组。
（5）Everyone，顾名思义，计算机上的所有用户都属于这个组。
•Administrators组中有一个在系统安装时就创建的默认用户Administrator，Administrator账户具有对计算机的完全控制权限，并可以根据需要向用户指派用户权利和访问控制权限。
•Guests组下也有一个默认用户Guest，但是在默认情况下，它是被禁用的。
如果没有特别必要，无须启用此账户。
Windows账户安全设置
（1）停用不必要的账户：
可用的账户越多，被黑客利用的可能性就越大，所以用不到的账户一律删除或停用。
（2）管理员账户改名：
Administrator账户不能停用，黑客知道这个账户名，就可以一遍又一遍地尝试它的密码，把Administrator账户改名可以有效地防止这一点。
•不要使用Admin之类的名字，改了等于没改，尽量把它伪装成普通账户，如改成user-one。
（3）设置陷阱账户：
Administrator账户改名之后，可以再创建一个Administrator账户，让它隶属于【Guests】组，权限最小，并且加上一个超长的复杂密码，这就是陷阱账户。
第10章-数据库系统安全
数据库加密的必要性
虽然DBMS在操作系统的基础上增加了不少安全措施，例如基于权限的访问控制等，但操作系统和DBMS对数据库文件本身仍然缺乏有效的保护措施，有经验的黑客会“绕道而行”，直接利用操作系统工具窃取或篡改数据库文件内容。
这种隐患被称为通向DBMS的“隐秘通道”，它所带来的危害一般数据库用户难以觉察。
分析和堵塞“隐秘通道”被认为是B2级的安全技术措施。
对数据库中的敏感数据进行加密处理，是堵塞这一“隐秘通道”的有效手段。
数据库加密的基本要求
一般来说，一个良好的数据库加密系统应该满足以下基本要求：
1.支持各种粒度加密
2.良好的密钥管理机制
3.合理处理数据
4.不影响合法用户的操作
数据库加密系统分成两个功能独立的主要部件：
一个是加密字典及其管理程序，另一个是数据库加/解密引擎
数据库加密的方法及加密粒度
数据库加密如果采用序列密码，那么同步将成为一个大问题。
当需要对大片密文中的极小部分解密时，如何同步密文与密钥呢？
所以数据库加密一般采用分组密码。
对于分组密码中常用的工作模式，又该如何确定呢？
考虑到数据库中会有大量相同的数据，比如性别、职务、年龄等信息，我们应该采用CBC（密文分组链接）模式。
对于在DBMS上实现的加密，加密的粒度可以细分为基表、记录、字段或数据元素。
数据库加密系统的密钥管理
数据库加密系统密钥的产生、管理有自己的特点。
密钥的产生应满足下列条件：
（１）在产生大量密钥的过程中，产生 重复密钥的概率要尽可能的低；
（２）从一个数据项的密钥推导出另一个数据项的密钥在计算上是不可行的；
（３）即使知道一些明文值的统计分布，要从密文中获取未知明文，在计算上是不可行的。
数据库系统的安全框架可以划分为三个层次：
⑴网络系统层次；
⑵宿主操作系统层次；
⑶数据库管理系统层次。
SQL注入攻击防范办法
（1）对前台传入参数按数据类型进行严格匹配
（2）对于单一变量，如果有必要，过滤或替换掉输入数据中的空格
（3）将一个单引号替换成两个连续的单引号
（4）限制输入数据的有效字符种类，排除对数据库操作有特殊意义的字符（如“--”）
（5）限制表单或查询字符串输入的长度
第11章计算机病毒
八种常见的黑客攻击方式：
死亡之ping，泪滴攻击，源路由，IP地址欺骗，SYN洪水攻击，序列号猜测，LAND攻击，TCP会话劫持（前4个是IP协议,,后4个是TCP协议）
黑客攻击技术概述
●协议漏洞渗透；
●密码分析还原；
●应用漏洞分析与渗透；
●社会工程学；
●恶意拒绝服务攻击；
●病毒或后门攻击。
VPN的基本原理（可以解决什么问题）
虚拟专用网（VPN，VirtualPrivateNetwork），是指将物理上分布在不同地点的专用网络，通过不可信任的公共网络构造成逻辑上的虚拟子网，进行安全的通信。
这里公共网络主要指Internet.用户无需投入巨资建立自己的专用网,就能保证安全.
VPN的结构与基本原理图
VPN关键技术
⏹隧道技术
⏹加解密技术
⏹密钥管理技术
⏹用户与设备身份认证技术
⏹访问控制
VPN协议
现有的封装协议分为２类：
第２层隧道协议（数据链路层）
PPTP（PointtoPointTunnelingProt
升级会员 