|
随着人类社会生活对Internet需求的日益增长，网络安全逐渐成为Internet及各项网络服务和应用进一步发展的关键问题，特别是1993年以后Internet开始商用化，通过Internet进行的各种电子商务业务日益增多，加之Internet/Intranet技术日趋成熟，很多组织和企业都建立了自己的内部网络并将之与Internet联通。上述上电子商务应用和企业网络中的商业秘密均成为攻击者的目标。据统计，目前网络攻击手段有数千种之多，使网络安全问题变得极其严峻，据美国商业杂志《信息周刊》公布的一项调查报告称，黑客攻击和病毒等安全问题在2000年造成了上万亿美元的经济损失，在全球范围内每数秒钟就发生一起网络攻击事件。
一. 网络常见的攻击类型
1． 后门攻击
BO、SATANZ、Portal of DOOM、Silencer、NetBus、Netspy、GirlFriend、冰河等。
2． 拒绝服务攻击
SYN Flood、UDP Flood、winnuke、Kiss of Death、Wingate DoS、Land、con\con、ARP Spool等。
3． 分布式拒绝服务攻击
Tfn2k、trinoo、stachel、mstream等。
4． 扫描攻击
ISS扫描、Nessus扫描、nmap扫描、Superscan扫描、whisker扫描、Webtrends扫描、L3retriever扫描、ipe-syn-scan扫描等。
5． Web-cgi攻击
Test-cgi、handler、count.cgi、phf、PHP、Webgais、Websendmail、Webdist等。
6． Web-IIS攻击：NewDSN等。
7． Web-FrontPage攻击：Fpcount等。
8． Web-ColdFusion攻击：Openfile等。
9． 缓冲区溢出攻击
包括IMAP、Named、Qpop、FTP、mountd、Telnet等服务程序的缓冲区溢出攻击。
10． RPC攻击
包括对sadmind、ttdbserver、nisd、amd等RPC攻击。
11． ICMP攻击
主要包括利用大量ICMP Redirect包修改系统路由表的攻击和使用ICMP协议实施的拒绝服务攻击。
12． SMTP攻击（邮件攻击）
E-mail Debug等，以及利用SMTP协议实现HELO、RCPT TO、VRFY等缓冲区漏洞实施攻击。
13． 前奏攻击：SourceRoute等。
14． 病毒攻击：Happy 99、爱虫病毒、WinimDa等。
15． 口令攻击：telnet口令攻击、FTP口令攻击。
其他：IE5&ACCESS97等。
二. 数据加密技术
电子商务安全规范可分为安全、认证两方面的规范。
1安全规范
当前电子商务的安全规范包括加密算法、报文摘要算法、安全通信协议等方面的规范。
（1）加密算法
基本加密算法有两种：对称密钥加密、非对称密钥加密，用于保证电子商务中数据的保密性、完整性、真实性和非抵赖服务。
①对称密钥加密
对称密钥加密也叫秘密/专用密钥加密（Secret Key Encryption），即发送和接收数据的双方必须使用相同的/对称的密钥对明文进行加密和解密运算。最著名的对称密钥加密标准是数据加密标准（DataEncryptionStandard，简称DES）。目前已有一些比DES算法更安全的对称密钥加密算法，如：IDEA算法，RC2、RC4算法，Skipjack算法等。
②非对称密钥加密
非对称密钥加密也叫公开密钥加密（Public Key Encryption），由美国斯坦福大学赫尔曼教授于1977年提出。它主要指每个人都有一对唯一对应的密钥：公开密钥和私有密钥，公钥对外公开，私钥由个人秘密保存；用其中一把密钥来加密，就只能用另一把密钥来解密。商户可以公开其公钥，而保留其私钥；客户可以用商家的公钥对发送的信息进行加密，安全地传送到商户，然后由商户用自己的私钥进行解密。公开密钥加密技术解决了密钥的发布和管理问题，是目前商业密码的核心。使用公开密钥技术，进行数据通信的双方可以安全地确认对方身份和公开密钥，提供通信的可鉴别性。由此，公开密钥体制的建设是开展电子商务的前提。非对称加密算法主要有RSA、DSA、DiffieHellman、PKCS、PGP等。
（2）报文摘要算法
报文摘要算法（Message Digest Algorithms）即采用单向HASH算法将需要加密的明文进行摘要，而产生的具有固定长度的单向散列（HASH）值。其中，散列函数（HashFunctions）是将一个不同长度的报文转换成一个数字串（即报文摘要）的公式，该函数不需要密钥，公式决定了报文摘要的长度。报文摘要和非对称加密一起，提供数字签名的方法。
作者： 系统结构 2005-11-3 22:36 回复此发言
--------------------------------------------------------------------------------
2 网络安全知识点
报文摘要算法主要有安全散列标准、MD2系列标准。
（3）加密通信协议(SSL)
安全套接层协议（Secure Socket Layer）是一种保护WEB通讯的工业标准，主要目的是提供INTERNET上的安全通信服务，是基于强公钥加密技术以及RSA的专用密钥序列密码，能够对信用卡和个人信息、电子商务提供较强的加密保护。SSL在建立连接过程上采用公开密钥，在会话过程中使用专有密钥。SSL的缺陷是只能保证传输过程的安全，无法知道在传输过程中是否受到窃听，黑客可以此破译SSL的加密数据，破坏和盗窃WEB信息。新的SSL协议被命名为TLS（Transport Layer Security），安全可靠性可有所提高，但仍不能消除原有技术上的基本缺陷。
2认证规范
（1）数字签名
数字签名（Digital Signature）是公开密钥加密技术的一种应用，是指用发送方的私有密钥加密报文摘要，然后将其与原始的信息附加在一起，合称为数字签名。其使用方式是：报文的发送方从报文文本中生成一个128位或160位的单向散列值（或报文摘要），并用自己的私有密钥对这个散列值进行加密，形成发送方的数字签名；然后，将这个数字签名作为报文的附件和报文一起发送给报文的接收方；报文的接收方首先从接收到的原始报文中计算出128位的散列值（或报文摘要），接着再用发送方的公开密钥来对报文附加的数字签名进行解密；如果这两个散列值相同，那么接收方就能确认该数字签名是发送方的。通过数字签名能够实现对原始报文的鉴别与验证，保证报文的完整性、权威性和发送者对所发报文的不可抵赖性。数字签名机制提供了一种鉴别方法，普遍用于银行、电子贸易等，以解决伪造、抵赖、冒充、篡改等问题。
（2）数字证书
“数字证书”是一个经证书认证中心（CA）数字签名的、包含证书申请者（公开密钥拥有者）个人信息及其公开密钥的文件。基于公开密钥体制（PKI）的数字证书是电子商务安全体系的核心，用途是利用公共密钥加密系统来保护与验证公众的密钥。CA对申请者所提供的信息进行验证，然后通过向电子商务各参与方签发数字证书，来确认各方的身份，保证网上支付的安全性。
证书的格式遵循X.509标准。X.509证书包括有关证书拥有的个人或实体的信息及证书颁发机构的可选信息。实体信息包括实体名称、公用密钥、公用密钥运算法和可选的唯一主体id。目前，X.509标准已在编排公共密钥格式方面被广泛接受，已用于许多网络安全应用程序，其中包括IP安全（Ipsec）、安全套接层（SSL）、安全电子交易（SET）、安全多媒体INTERNET邮件扩展（S/MIME）等。
（3）密钥管理机制（PKI）
密钥管理是数据加密技术中的重要一环，密钥管理的目的是确保密钥的安全性（真实性和有效性）。
三. 防火墙技术
尽管近年来各种网络安全技术在不断涌现，但到目前为止防火墙仍是网络系统安全保护中最常用的技术。据公安部计算机信息安全产品质量监督检验中心对2000年所检测的网络安全产品的统计，在数量方面，防火墙产品占第一位，其次为网络安全扫描和入侵检测产品。
防火墙系统是一种网络安全部件，它可以是硬件，也可以是软件，也可能是硬件和软件的结合，这种安全部件处于被保护网络和其它网络的边界，接收进出被保护网络的数据流，并根据防火墙所配置的访问控制策略进行过滤或作出其它操作，防火墙系统不仅能够保护网络资源不受外部的侵入，而且还能够拦截从被保护网络向外传送有价值的信息。防火墙系统可以用于内部网络与Internet之间的隔离，也可用于内部网络不同网段的隔离，后者通常称为Intranet防火墙。
目前的防火墙系统根据其实现的方式大致可分为两种，即包过滤防火墙和应用层网关。包过滤防火墙的主要功能是接收被保护网络和外部网络间的数据包，根据防火墙的访问控制策略对数据包进行过滤，只准许授权的数据包通行。防火墙管理员在配置防火墙时根据安全控制策略建立包过滤的准则，也可以在建立防火墙之后，根据安全策略的变化对这些准则进行相应的修改、增加或者删除。每条包过滤的准则包括两个部分：执行动作和选择准则，执行动作包括拒绝和准许，分别表示拒绝或者允许数据包通行；选择准则包括数据包的源地址和目的地址、源端口和目的端口、协议和传输方向等。建立包过滤准则之后，防火墙在接收到一个数据包之后，就根据所建立的准则，决定丢弃或者继续传送该数据包。这样就通过包过滤实现了防火墙的安全访问控制策略。
作者： 系统结构 2005-11-3 22:36 回复此发言
--------------------------------------------------------------------------------
3 网络安全知识点
应用层网关位于TCP/IP协议的应用层，实现对用户身份的验证，接收被保护网络和外部之间的数据流并对之进行检查。在防火墙技术中，应用层网关通常由代理服务器来实现。通过代理服务器访问Internet网络服务的内部网络用户时，在访问Internet之前首先应登录到代理服务器，代理服务器对该用户进行身份验证检查，决定其是否允许访问Internet，如果验证通过，用户就可以登录到Internet上的远程服务器。同样，从Internet到内部网络的数据流也由代理服务器代为接收，在检查之后再发送到相应的用户。由于代理服务器工作于Internet应用层，因此对不同的Internet服务应有相应的代理服务器，常见的代理服务器有Web、Ftp、Telnet代理等。除代理服务器外，Socks服务器也是一种应用层网关，通过定制客户端软件的方法来提供代理服务。
防火墙通过上述方法，实现内部网络的访问控制及其它安全策略，从而降低内部网络的安全风险，保护内部网络的安全。但防火墙自身的特点，使其无法避免某些安全风险，例如网络内部的攻击，内部网络与Internet的直接连接等。由于防火墙处于被保护网络和外部的交界，网络内部的攻击并不通过防火墙，因而防火墙对这种攻击无能为力；而网络内部和外部的直接连接，如内部用户直接拨号连接到外部网络，也能越过防火墙而使防火墙失效。
四. 网络入侵检测技术
网络入侵检测技术也叫网络实时监控技术，它通过硬件或软件对网络上的数据流进行实时检查，并与系统中的入侵特征数据库进行比较，一旦现有被攻击的迹象，立刻根据用户所定义的动作做出反应，如切断网络连接，或通知防火墙系统对访问控制策略进行调整，将入侵的数据包过滤掉等。
网络入侵检测技术的特点是利用网络监控软件或者硬件对网络流量进行监控并分析，及时发现网络攻击的迹象并做出反应。入侵检测部件可以直接部署于受监控网络的广播网段，或者直接接收受监控网络旁路过来的数据流。为了更有效地发现网络受攻击的迹象，网络入侵检测部件应能够分析网络上使用的各种网络协议，识别各种网络攻击行为。网络入侵检测部件对网络攻击行为的识别通常是通过网络入侵特征库来实现的，这种方法有利于在出现了新的网络攻击手段时方便地对入侵特征库加以更新，提高入侵检测部件对网络攻击行为的识别能力。
利用网络入侵检测技术可以实现网络安全检测和实时攻击识别，但它只能作为网络安全的一个重要的安全组件，网络系统的实际安全实现应该结合使用防火墙等技术来组成一个完整的网络安全解决方案，其原因在于网络入侵检测技术虽然也能对网络攻击进行识别并做出反应，但其侧重点还是在于发现，而不能代替防火墙系统执行整个网络的访问控制策略。防火墙系统能够将一些预期的网络攻击阻挡于网络外面，而网络入侵检测技术除了减小网络系统的安全风险之外，还能对一些非预期的攻击进行识别并做出反应，切断攻击连接或通知防火墙系统修改控制准则，将下一次的类似攻击阻挡于网络外部。因此通过网络安全检测技术和防火墙系统结合，可以实现了一个完整的网络安全解决方案。
附:
一.CA中心的安全应用--数字证书颁发
CA (Certificate Authority)
CA技术是安全认证技术的一种它基于公开密钥体系通过安全证书来实现 安全证书采用国际标准的X.509证书格式主要包括
证书的版本号
发证CA的身份信息
持证用户的身份信息
持证用户的公钥
CA中心所发放的数字安全证书可以应用于公众网络上的商务活动和行政作业活动，包括支付型和非支付型电子商务活动，其应用范围涉及需要身份认证及数据安全的各个行业，包括传统的商业、制造业、流通业的网上交易，以及公共事业、金融服务业、工商税务海关、政府行政办公、教育科研单位、保险、医疗等网上作业系统。它主要应用于网上购物、企业与企业的电子贸易、安全电子邮件、网上证券交易、网上银行等方面。
作者： 系统结构 2005-11-3 22:36 回复此发言
--------------------------------------------------------------------------------
4 网络安全知识点
二. 密钥的管理内容
1.一个好的密钥管理系统应该做到:
(1)密钥难以被窃取;
(2)在一定条件下窃取了密钥也没有用，密钥有使用范围和时间的限制;
(3)密钥的分配和更换过程对用户透明，用户不一定要亲自掌管密钥.
a. 管理方式
层次化的密钥管理方式，用于数据加密的工作密钥需要动态产生；工作密钥由上层的加密密钥进行保护，最上层的密钥称为主密钥，是整个密钥管理系统的核心；多层密钥体制大大加强了密码系统的可靠性，因为用得最多的工作密钥常常更换，而高层密钥用的较少，使得破译者的难度增大。
b. 密钥的生成
密钥的生成与所使用的算法有关。如果生成的密钥强度不一致，则称该算法构成的是非线性密钥空间，否则称为是线性密钥空间。
c. 分配、传递
密钥的分配是指产生并使使用者获得一个密钥的过程；密钥的传递分集中传送和分散传送两类。集中传送是指将密钥整体传送，这时需要使用主密钥来保护会话密钥的传递，并通过安全渠道传递主密钥。分散传送是指将密钥分解成多个部分，用秘密分享的方法传递，只要有部分到达就可以恢复，这种方法适用于在不安全的信道中传输。
d. 密钥的保存
密钥既可以作为一个整体保存，也可以分散保存。整体保存的方法有人工记忆、外部记忆装置、密钥恢复、系统内部保存；分散保存的目的是尽量降低由于某个保管人或保管装置的问题而导致密钥的泄漏。
e. 备份、销毁
密钥的备份可以采用和密钥的分散保存一样的方式，以免知道密钥的人太多；密钥的销毁要有管理和仲裁机制，否则密钥会被有意无意的丢失，从而造成对使用行为的否认。
2. 密钥的分配技术
密钥的分配技术解决的是在网络环境中需要进行安全通信的端实体之间建立共享的对称密钥问题。
密钥分配中心方式KDC（Key Distribution Center)
这是当前一种主流方式。每个节点或用户只需保管与KDC之间使用的密钥加密密钥，而KDC为每个用户保管一个互不相同的密钥加密密钥。
当两个用户需要通信时，需向KDC申请，KDC将工作密钥（也称会话密钥）用这两个用户的密钥加密密钥分别进行加密后送给这两个用户。在这种方式下，用户不用保存大量的工作密钥，而且可以实现一报一密，但缺点是通信量大，而且需要有较好的鉴别功能，以识别KDC和用户。
KDC方式还可以变形为电话号码本方式，适用于非对称密码体制。通过建立用户的公开密码表，在密钥的连通范围内进行散发，也可以采用目录方式进行动态查询，用户在进行保密通信前，首先产生一个工作密钥并使用对方的公开密钥加密传输，对方获悉这个工作密钥后，使用对称密码体制与其进行保密通信。此外还有离散对数方法和智能卡方式，基本的思想是利用数学的方法使得别人无法获得密钥。
3. 公开密钥的全局管理机制
公开密钥体制主要针对开放型的大型互联网络的应用环境而设计的，这种网络环境中需要有一个协调的公开密钥管理机制，以保证公开密钥的可靠性。
公开密钥的管理一般基于公证机制，即需要一个通信的A、B双方都信任的第三方N来证明A和B的公开密钥的可靠性，这需要N分别对A和B的公开密钥进行数字签名，形成一个证明这个公开密钥可靠性的证书。在一个大型网络中，这样的公证中心可以有多个，另外这些公证中心若存在信任关系，则用户可以通过一个签名链去设法验证一个公证中心签发的证书。公开密钥管理的另外一个重要方面是如何撤消过去签发，但是现在已经失效的密钥证书。
4.基于X.509证书的PKI（Public Key Infrastructure）
它是一种行业标准或者行业解决方案，在X.509方案中,默认的加密体制是公钥密码体制。为进行身份认证，X.509标准及公共密钥加密系统提供了数字签名的方案。用户可生成一段信息及其摘要(亦称作信息“指纹”)。用户用专用密钥对摘要加密以形成签名,接收者用发送者的公共密钥对签名解密,并将之与收到的信息“指纹”进行比较,以确定其真实性。
作者： 系统结构 2005-11-3 22:36 回复此发言
--------------------------------------------------------------------------------
5 网络安全知识点
PKI是提供公钥加密和数字签名服务的系统或平台，目的是为了管理密钥和证书。它能够为所有网络应用透明地提供采用加密和数字签名等密码服务所必需的密钥和证书管理。一个机构通过采用PKI框架管理密钥和证书可以建立一个安全的网络环境。
PKIX（PublicKeyInfrastructureonX.509，简称PKIX）系列标准由IETFPKIX工作小组制定，定义了X.509证书在INTERNET上的使用，证书的生成、发布和获取，各种产生和分发密钥的机制，以及怎样实现这些标准的轮廓结构等。
三.IPsec与VPN简介
IPSec，因特网协议安全，是由IETF（Internet Engineering Task Force）定义的一套在网络层提供IP安全性的协议。
1. 基于Ipsec的VPN，如阿姆瑞特VPN，由两部分组成：
1.Internet密钥交换协议(IKE)
2.IPsec协议(AH/ESP/二者都有)
第一部分，IKE是初始协商阶段，两个VPN端点在这个阶段协商使用哪种方法为下面的IP数据流提供安全。而且，通过定义一套安全联盟（SA），IKE用于管理连接；SA面向每个连接的。SA是单向的，因此每个Ipsec连接至少有2个SA。在IKE（因特网密钥交换）部分对此有更详细的描述。
另一部分是IKE协商后，用加密和认证方法实际传输的IP数据。有几种方法，如IPsec协议ESP, AH或两者结合在一起都可以做到这一点。IPsec
协议（ESP/AH）部分对此进行了解释。
2. 建立VPN事件的流程可做如下简要描述：
IKE协商如何保护IKE
IKE协商如何保护Ipsec
Ipsec在VPN中传输数据
Internet密钥交换协议(IKE)
这部分描述IKE，因特网密钥交换协议，及其使用的参数。
加密和认证数据比较直接，唯一需要的是加密和认证算法，及其使用的密钥。因特网密钥交换协议（IKE），用作分配这些对话用密钥的一种方法，而且在VPN端点间，规定了如何保护数据的方法。
3.IKE主要有三项任务：
a.为端点间的认证提供方法
b.建立新的IPsec连接（创建一对SA）
c.管理现有连接
IKE跟踪连接的方法是给每个连接分配一组安全联盟（SA）。SA描述与特殊连接相关的所有参数，包括使用的Ipsec协议(ESP/AH/二者兼有)，加密/解密和认证/确认传输数据使用的对话密钥。SA本身是单向的，每个连接需要一个以上的SA。大多数情况下，只使用ESP或AH，每个连接要创建2个SA，一个描述入站数据流，另一个描述出站数据流。同时使用ESP和AH的情况中就要创建4个SA。
4.IKE 协商
协商对话参数过程中包含许多阶段和模式。下面对其进行具体描述。
事件流程如下描述：
IKE阶段1
协商应该如何保护IKE
IKE阶段2
协商应该如何保护Ipsec
源自阶段1的密钥交换生成一些新的加密信息，以提供VPN数据流加密和认证中使用的对话密钥。
IKE和Ipsec连接都有使用期限的限制，使用时间（秒）和数据大小（KB）来描述。使用期限用于防止连接建立的时间过长，从密码学的角度看，这是有必要的。IPSec的使用期限一般要比IKE的使用期限短。这样通过进行阶段2协商时，对Ipsec连接再次加密。不必进行另外的阶段1协商直至到IKE使用期限。
5.IKE 协议
IKE提议是如何保护数据的建议。发起IPsec连接的VPN网关，作为发起者会发出提议列表，提议表建议了不同的护连接的方法。
协商连接可以是通过VPN来保护数据流的Ipsec连接，或是IKE连接，保护IKE协商本身。
响应的VPN网关，在接收到此提议表后，就会根据自己的安全策略选择最适合的提议，并根据已选择的提议做出响应。如果没有找到可接受的提议，就会做出没有可接受提议的响应，并可能提供原因。提议包括需要的全部参数，如加密和认证数据使用的算法，以及IKE参数中描述的其他参数。
IKE 阶段1 - IKE安全协商
一个IKE协商可分两个阶段。第一阶段（阶段1），通过确认远端网关是否具有匹配的Pre-Shared密钥，来进行2个VPN网关或VPN客户端的相互认证。
可是，因为我们不希望以明文方式公布太多的协商信息，所以我们还是要保护其余的IKE协商信息。可以用前面描述的方法做到这一点，即通过发起者向响应者发送提议列表来完成。一旦这个工作完成，响应者选择并接受其中的一个提议后，将尝试着认证VPN的另一端，以确保它就是要认可的一端，并校验远端网关正是所期望的。通过Pre-Shared密钥、证书或公开密钥加密能够完成认证。Pre-Shared密钥是目前最常见的认证方法。阿姆瑞特防火墙VPN模式支持Pre-Shared
密钥和证书两种方式。
IKE 阶段2 - IPsec安全协商
另一个协商是在阶段2进行的，详细说明了Ipsec的连接参数。
在阶段2，我们将从阶段1的Diffie-Hellman密钥交换中摘取新的密钥信息，并将其作为保护VPN数据流的会话密钥。
如果使用PFS（完善的转发机密），每个阶段2协商中，会进行新的Diffie-Hellman交换。虽然这种操作比较慢，但可确保密钥不依赖于以前用过的任何密钥，不从同样的初始密钥材料中摘取密钥。这就保证了在不太安全的事件中，危及了某些密钥安全时，而不衍生出并发的密钥。
一旦完成阶段2协商，就会建立VPN连接，以备使用。
|
上海市商城路341号紫光大厦1305室 
+0086-21-58878998 
+0086-21-58879030
HappyFreeAngel@hotmail.com