最新信息安全原理复习题Word文档格式.docx
《最新信息安全原理复习题Word文档格式.docx》由会员分享，可在线阅读，更多相关《最新信息安全原理复习题Word文档格式.docx（15页珍藏版）》请在冰点文库上搜索。
2（报文加密）
3生成序号
4计算认证数据
5构造IPsec报文并发送
接收数据：
1根据<
SPI，目的IP地址，安全协议>
在SAD中查找相应的SA，如果找不到就丢弃这个报文
2使用滑动窗口机制验证序号，防止重放攻击
3验证认证数据，若通过验证，则还原数据并递交给相应的协议模块或转发，否则丢弃报文（验证认证数据，验证失败则丢弃报文）
4（解密，并将还原后的数据递交给相应的协议模块或转发，解密失败则丢弃报文）
SSL（安全套接层）标准规定了4个协议：
握手协议（与SSL协商有关）、更改密码规范协议（与ssl协商有关）、警告协议（同时包含SSL安全通道关闭及错误通告功能）、记录协议（数据封装和处理）。
SSL提供的安全服务：
机密性、完整性、服务器认证以及可选的客户端认证。
客户端想服务器发送ClientHello消息，其中包含了客户端所支持的各种算法和一个随机数，这个随机数将用于各种密钥的推导，并可以防止重放攻击。
服务器端返回ServerHello消息，随机数的功能与上述相同。
警告协议包括两种功能：
一是提供了报错机制，即通信双方若某一方法发现了问题便会利用该协议通告对等段；
二是提供了安全断连机制，即以一种可认证的方式关闭连接。
3.从适用场景、安全机制、能对抗的安全威胁等方面（至少包括、但不限于），具体比较分析L2tp用户认证与PGP认证的实现原理和安全性。
LAC：
L2TP接入集中器；
LNS：
L2TP网络服务器
远程系统的PPP帧首先发送给LAC，LAC将它作为L2TP协议报文的数据区封装并发送给LNS，LNS则对报文进行解封处理后发送给家乡网络中的主机。
某些情况下，主机可以不依赖LAC，而是独立运行L2TP，并于LNS建立隧道。
数据消息：
通过数据通道传输，不保证数据的可靠传输，承载PPP帧。
控制消息：
通过控制通道传输，保证控制消息的可靠传输，用于L2TP隧道和会话的协商及维护。
L2TP基于UDP。
L2TP包括两种消息，数据消息和控制消息，分别通过数据通道和控制通道传输，L2TP不保证数据消息的可靠传输，但保证控制消息的可靠传输。
L2TP不提供对PPP数据的机密性和完整性保护，若使用CHAP，则可体现端点身份认证的功能。
L2TP规定了以下确保控制消息的可靠投递的机制：
1每个L2TP报文都包含序列号，从而为监测报文丢弃和乱序提供了基础
2L2TP使用肯定确认防止报文丢弃，即接收方收到报文后发回确认。
发送发若在一段时间之内没有手动啊确认则重发
3L2TP使用滑动窗口技术提高通信效率并进行流量控制
4L2TP使用慢启动策略防止拥塞
PGP的安全业务
数字签名:
DSS/SHA或RSA/SHA
完整性：
RSA、MD5
消息加密:
CAST-128或IDEA或3DES+Diffie-Hellman或RSA
数据压缩:
ZIP
邮件兼容:
Radix64（将任意二进制输入，转换成可打印的字符输出的编码技术）
数据分段：
大邮件自动分段并在接收时自动恢复。
·
身份鉴别
保密性
⏹发生在签名后、加密前。
压缩
压缩发生在签名后，加密前
以下各题考虑如下图所示的原始应用环境，A是远程工作前端网络的接入网关，C是后台业务资源网的接入网关。
前述两个网内部IP分配均是独立的私网地址，A与C之间为第三方IP网络，其间可能存在NAT、或代理、或端口控制等环节。
4.上图所示网络环境中，请注意B所在网段有网关A和无线网关W两个出口。
需要从B-C建立端-gate的IPSEC通道、并屏蔽W带来的不确定性，如何建立B-C的ipsecSA安全联盟？
（1）请给出各种可能的sa组合；
（2）并从中挑选出符合要求的ipsecsa隧道配置方案，并给出理由；
（3）比较分析各种可能的组合各自存在的主要安全风险、以及对抗安全威胁能力的区别。
（25）
考虑如下图所示的原始应用环境，A是远程工作前端网络的接入网关，C是后台业务资源网的接入网关。
5.考虑基于PGP和pop3/SMTP基本邮件服务以附件形态从B到D传输大数据文件，基于PGP保证其间数据的机密性和完整性，
考虑把B端CPU序列号和操作系统及用户注册信息等本地软硬件环境参数的md5值作为端端识别参量，如何与大数据文件一起打包后（请具体画出封包形式）经pgp处理后传到D端以认证B设备？
画出从B端原始文件、到发送端处理、邮件发送、D端接收、接收端认证和数据还原处理等主要操作流程，以及发送端和接收端对应的端认证过程。
PGP的实际操作由五种服务组成：
鉴别、机密性、电子邮件的兼容性、压缩、分段和重装
PGP（PrettyGoodPrivacy）：
是一个可提供机密性和认证的软件。
通常用来加密和解密电子邮件。
Md5用作单向hash函数，通过使用RSA算法加密，用邮件发送者的秘密钥对md5消息摘要进行加密
（2）
Ks:
sessionkey
KRa:
用户A的私钥
KUa:
用户A的公钥
EP:
公钥加密
DP:
公钥解密
EC:
常规加密
DC:
常规解密
H:
散列函数
||:
连接
Z:
用ZIP算法数据压缩
R64:
用radix64转换到ASCII格式
PGP消息产生过程
PGP消息接收过程：
安全协议在TCP/IP协议栈的分布
应用层：
L2TP、SSH（基于TCP）、PGP、IKE
传输层：
SSL、Socks
IP层：
IPSec
L2TP：
不提供机密性（没有对数据的加密功能），
IPsec：
身份认证、机密性、完整性和防止重放攻击
IKE的功能包括SA协商、密钥生成和身份认证，它是一个应用层协议基于UDP。
身份认证（IKE，通信双方互相认证）
数据源发认证（AH、ESP）
完整性（AH、ESP）
防止重放攻击（AH、ESP）
机密性（ESP+传输模式、ESP+隧道模式）
对通信流提供有限的机密性保护（ESP+隧道模式）
SA提供的安全服务取决于所选的安全协议（AH或ESP）、SA模式（传输或隧道）、SA作用的两端点
SSL（TLS）：
为两个通讯个体之间提供机密性、完整性，服务器认证以及可选的客户端认证。
服务器身份认证：
典型流程
客户端身份认证：
客户端认证流程，可选
Finished消息（防止降级攻击）
机密性：
记录协议中定义
安全断连：
Closenotisfy消息
SSH：
机密性、完整性保护、身份认证（必选的服务器认证，可选的客户端认证）
传输层协议，必选的
用户认证协议，可选的
传输层协议定义
防止重放攻击：
SG_MSG_KEXINIT消息中包含的cookie
SSH传输协议（协商和数据处理，包含服务器身份认证）：
SSH通信总是由客户端发起。
当期望使用SSH时，客户端首先通过三次握手与服务器的22号端口建立TCP连接。
1版本协商
2密钥交换：
（1）算法协商
（2）D-H交换：
实现了密钥交换、服务器身份认证、握手消息完整性验证
防重放攻击：
SSH_MSG_KEXINIT消息中包含的cookie是一个随机数，在计算密钥和生成会话ID时它是输入之一。
每次安全协商时应选取不同的cookie值，所以如果两次协商所获取得会话ID相同，则有可能发生了重放攻击。
（3）计算密钥
③服务请求/响应
SSH传输层协议与用户认证协议的关系如何?
传输层协议只提供服务器认证功能，没有用户认证功能，如果需要认证用户身份，则客户需要利用传输层协议向服务器提出用户身份认证服务请求，若服务器接受请求，则双方开始执行SSH身份认证协议。
身份认证协议在传输层协议提供的安全通道上运行。
SSH连接协议
当客户端通过SSH传输层协议发出连接协议服务请求后，即可开始连接协议相关的流程。
该协议规定了利用SSH传输层协议已建立的安全通道进行交互式登录会话、远程执行命令、转发TCP/IP连接记忆X11连接的相关内容。
传输层协议构建的安全通道成为隧道，而所有的终端绘画和被转发的连接都被陈伟通道。
一条隧道可以包含多条通道，这意味着SSH安全协议可以同时为多个不同的应用提供安全服务。
代理安全Socks（防火墙安全会话转换协议）
使用端口1080，工作于应用层。
可转发所有高层应用，对操作系统无限制。
专门设计用于防火墙
在应用层和传输层之间垫了一层
Socks库和sockd守护程序
不支持ICMP转发
Socks本身未定义机密性、完整性保护方法，但由于所有通信量都要经过代理服务器转发，为统一制定安全策略并部署安全防护措施提供了便利。
Socks5支持多种客户端身份认证方案，如果某些认证方案能够支持机密性和完整性保护，这些功能在应用Socks后仍然能够得到保留。
Socks客户端命令：
CONNECT：
通告代理服务器与远程主机建立连接，调用函数：
Rconnect
BIND：
通告服务器接收来自某个远程主机的连接请求，调用函数：
Rbind，Rlisten和Raccept.
Socks5沿袭了Socks4的体系结构以及命令，并作了以下扩展
1.扩展了客户端身份认证功能，支持多种身份验证方法：
用户名/口令认证方法（用户名和口令以明文方式发送，如被截获面临身份被假冒的风险）、GSSAPI认证（GSSAPI为定义所使用的认证方法和密钥交换方法，其安全风险取决于所使用的认证方法和密钥交换方法的安全性）。
2.扩展了寻址方法：
除了IPv4地址外，还支持域名及IPv6地址（基于Socks的IPV4/IPv6网关）
3.增加了对UDP的支持
课后习题：
1.比较SSLv3与IPSec，请从功能的角度分析这两个协议套件所包含的安全协议之间的对应关系。
密码算法和密钥协商：
SSLv3的握手协议，IPSec的IKE协议
差错通知、状态通知：
SSLv3的警告协议，IPSec的IKE协议的通知交换模式
消息完整性：
SSLv3记录格式中的MAC，IPSec的AH和ESP报文中的认证数据。
创业首先要有“风险意识”，要能承受住风险和失败。
还要有责任感，要对公司、员工、投资者负责。
务实精神也必不可少，必须踏实做事；
加密：
SSLv3的记录协议，IPSec的ESP
培养动手能力□学一门手艺□打发时间□兴趣爱好□·
身份认证：
SSLv3握手协议，IPSec的IKE
2.利用SSL也可以构建VPN，但IPSecVPN仍然是企业解决方案主流，为什么？
手工艺制品是我国一种传统文化的象征，它品种多样，方式新颖，制作简单，深受广大学生朋友的喜欢。
当今大学生的消费行为表现在追求新颖，追求时尚。
追求个性，表现自我的消费趋向：
购买行为有较强的感情色彩，比起男生热衷于的网络游戏，极限运动，手工艺制品更得女生的喜欢。
SSLVPN只能进行认证和加密，不能实施访问控制，建立隧道后，管理员对用户不能进行所有的控制，而集成防火墙的IPSecVPN则可以根据用户的身份和角色进行安全控制和审计。
调研要解决的问题：
SSLVPN局限了用户只能访问web服务器的应用，而IPSecVPN几乎能为所有应用提供访问。
SSLVPN只提供了单一的证书认证方式，企业需要购买或者部署一个小型证书系统，IPSec可以提供多种认证方式。
开了连锁店，最大的好处是让别人记住你。
“漂亮女生”一律采用湖蓝底色的装修风格，简洁、时尚、醒目。
“品牌效应”是商家梦寐以求的制胜法宝。
SSLVPN位于传输层，IPSecVPN位于网络层，SSLVPN的效率比IPSecVPN差。
要实现网络-网络的安全互联，只能考虑使用IPSecVPN。
“碧芝”的成功归于他的唯一，这独一无二的物品就吸引了各种女性的眼光。
3.从配置方法、管理简易性、可扩展性和安全性等方面对SSLVPN与SSHVPN进行比较。
效率：
SSH位于TCP/IP协议栈的应用层，SSL位于传输层，利用SSH构建VPN比SSL消耗更多带宽。
配置方法：
SSHVPN使用TCP/IP端口转发，SSLVPN使用分设端口。
小饰品店往往会给人零乱的感觉，采用开架陈列就会免掉这个麻烦。
“漂亮女生”像是个小超市，同一款商品色彩丰富地挂了几十个任你挑，拿上东西再到收银台付款。
这也符合女孩子精挑细选的天性，更保持了店堂长盛不衰的人气。
管理简易性：
使用上，SSLVPN对用户完全透明，SSHVPN需要用户登录到用户账户上。
管理上，SSHVPN可配置成仅允许目标端口为22的通信量通过，配置和管理更加简单，而SSLVPN对不同应用的访问端口不同。
标题：
大学生“负债消费“成潮流2004年3月18日·
可扩展性：
SSH不支持UDP和ICMP报文，SSL不支持UDP报文但支持ICMP报文。
安全性：
SSHVPN和SSLVPN都提供了机密性、完整性和身份认证功能，他们支持的密码算法不同。
400-500元1326%4.SSH用户协议支持基于口令的认证方法，且不对口令作加密处理。
它这样放心地传输口令的依据是什么？
自制性手工艺品。
自制饰品其实很简单，工艺一点也不复杂。
近两年来，由于手机的普及，自制的手机挂坠特别受欢迎。
SSH的身份认证协议在传输协议所建立的安全通道上进行。
身份认证协议的报文封装在传输协议的报文的数据区中，而传输协议的报文的数据区可以进过加密处理后发出去，所以身份认证协议的数据可以以明文形式发送而无需关心保密性。
5.
升级会员 