潍坊学院 计算机与通信工程学院

第十五讲 网络安全技术

2

本讲主要内容 网络安全问题概述 加密与认证技术 防火墙技术 病毒与病毒的防治

3

11.1 网络安全问题概述11.1.1 网络安全的概念和安全控制模型

网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不会由于偶然或恶意的原因而遭到破坏、更改、泄露等意外发生

网络安全是一个涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论和信息论等多种学科的边缘学科。

4

图 11-1 网络安全的组成 操作安全

通信安全

TEM

通信安全

物理安全

工业安全

计算机安全

人员安全

网络安全

5

图 11-2 网络安全模型

6

11.1.2 安全威胁 安全威胁是指某个人、物、事件或概念对某一

资源的机密性、完整性、可用性或合法性所造成的危害。某种攻击就是某种威胁的具体实现。

安全威胁可分为故意的（如黑客渗透）和偶然的（如信息被发往错误的地址）两类。故意威胁又可进一步分为被动和主动两类。

7

1 ．安全攻击 对于计算机或网络安全性的攻击，最好通过在提供

信息时查看计算机系统的功能来记录其特性。当信息从信源向信宿流动时，图 11-3 列出了受到各种类型的攻击的情况。

截获 篡改 伪造中断

被动攻击 主 动 攻 击

目的站源站源站源站源站 目的站目的站目的站

8

2 ．基本的威胁 网络安全的基本目标是实现信息的机密性、完

整性、可用性和合法性。 4 个基本的安全威胁直接反映了这 4 个安全目标。

一般认为，目前网络存在的威胁主要表现在：（ 1 ）信息泄漏或丢失。 （ 2 ）破坏数据完整性。 （ 3 ）拒绝服务攻击。 （ 4 ）非授权访问。

9

3 ．主要的可实现的威胁 这些威胁可以使基本威胁成为可能，因此十分

重要。它包括两类：渗入威胁和植入威胁。 主要的渗入威胁有：假冒、旁路控制、授权侵

犯。 主要的植入威胁有：特洛伊木马、陷门。

10

4 ．潜在的威胁 对基本威胁或主要的可实现的威胁进行分析，

可以发现某些特定的潜在威胁，而任意一种潜在的威胁都可能导致发生一些更基本的威胁。

11密码学密码学

防火墙防火墙

接入控制接入控制

防病毒防病毒

入侵检测入侵检测

现有网络安全技术

12

11.2 加密与认证技术11.2.1 密码学的基本概念 密码学（或称密码术）是保密学的一部分。 保密学是研究密码系统或通信安全的科学，它

包含两个分支：密码学和密码分析学。 密码学是对信息进行编码实现隐蔽信息的一门

学问。密码分析学是研究分析破译密码的学问。两者相互独立，而又相互促进。

13

密码系统通常从 3 个独立的方面进行分类

（ 1 ）按将明文转换成密文的操作类型可分为：置换密码和易位密码。

（ 2 ）按明文的处理方法可分为：分组密码和序列密码。

（ 3 ）按密钥的使用个数可分为：对称密码体制和非对称密码体制。

14

11.2.2常规密钥密码体制 常规加密也叫作对称加密、保密密钥或单密钥

加密，它是 20世纪 70年代之前使用的惟一一种加密机制。它现在仍是最常用的两种加密类型之一，另一种是公开密钥加密机制。

15

1 ．常规加密的模型 常规加密又称对称加密，该方案有 5 个组成部分。 明文：作为算法输入的原始信息。 加密算法：加密算法可以对明文进行多种置换和转换。 共享的密钥：共享的保密密钥也是对算法的输入，算

法实际进行的置换和转换由保密密钥决定。 密文：作为输出的混合信息。它由明文和保密密钥决

定。对于给定的信息来讲，两种不同的密钥会产生两种不同的密文。

解密算法：这是加密算法的逆向算法。它以密文和同样的保密密钥作为输入，并生成原始明文。

16

图 11-5 常规加密体制模型

接收者发送者

加密算法加密算法 解密算法解密算法明文 X 传输的密文

共享的密钥共享的

密钥

明文 X

17

2 ．常规加密的要求（ 1 ）需要强大的加密算法。（ 2 ）发送方和接收方必须用安全的方式来获得

保密密钥的副本，必须保证密钥的安全。如果有人发现了密钥，并知道了算法，则使用此密钥的所有通信便都是可读取的。

18

11.2.3公开密钥加密技术 公开密钥加密又叫作非常规加密，公钥加密最初是由Diffie和 Hellman在 1976年提出的，这是几千年来文字加密的第一次真正革命性的进步。

因为公钥是建立在数学函数基础上的，而不是建立在位方式的操作上的。更重要的是，公钥加密是不对称的，与只使用一种密钥的对称常规加密相比，它涉及到两位独立密钥的使用。这两种密钥的使用已经对机密性、密钥的分发和身份验证领域产生了深远的影响。

公钥加密算法可用于下面一些方面：数据完整性、数据保密性、发送者不可否认和发送者认证。

19

1 ．公钥加密体制的模型

接收者发送者

E加密算法

E加密算法

D解密算法

D解密算法

加密密钥 PK 解密密钥 SK

明文 X 密文 Y = EPK(X)

密钥对产生源密钥对产生源

明文 X = DSK(EPK(X))

20

2 ．常用的公钥体制 RSA公钥体制是 1978年Rivest、 Shamir和 Adleman提出的一个公开密钥密码体制， RSA就是以其发明者姓名的首字母命名的。 RSA体制被认为是迄今为止理论上最为成熟完善的一种公钥密码体制。

该体制的构造基于 Euler定理，它利用了如下的基本事实：寻找大素数是相对容易的，而分解两个大素数的积在计算上是不可行的。 RSA算法的安全性建立在难以对大数提取因子的基础上。所有已知的证据都表明，大数的因子分解是一个极其困难的问题。

与对称密码体制如 DES相比， RSA的缺点是加密、解密的速度太慢。因此， RSA体制很少用于数据加密，而多用在数字签名、密钥管理和认证等方面。

21

11.2.4 数字签名 数字签名提供了一种签别方法，普遍用于银行、电子商业等，以解决伪造、冒充、篡改、抵赖等问题。

数字签名必须保证以下三点：(1) 接收者能够核实发送者对报文的签名；(2) 发送者事后不能抵赖对报文的签名；(3) 接收者不能伪造对报文的签名。 现在已有多种实现各种数字签名的方法。但采

用公开密钥算法要比采用常规密钥算法更容易实现。

22

数字签名的实现

DD

SK PK

用公开密钥 核实签名

用秘密密钥 进行签名

X

发送者 A 接收者 B

DSK(X) XEE

23

数字签名的实现 B 用已知的 A 的公开加密密钥得出 EPKA(DSKA(X))

X。因为除 A 外没有别人能具有 A 的解密密钥 SKA，所以除 A 外没有别人能产生密文 DSKA(X)。这样， B 相信报文 X 是 A 签名发送的。

若 A 要抵赖曾发送报文给 B， B 可将 X 及 DSKA(X)出示给第三者。第三者很容易用 PKA去证实 A 确实发送 X 给 B。反之，若 B 将 X 伪造成 X‘，则 B 不能在第三者前出示DSKA(X’)。这样就证明了 B 伪造了报文。

24

11.3 防火墙技术11.3.1 防火墙概述

一般来说，防火墙是设置在被保护网络和外部网络之间的一道屏障，以防止发生不可预测的、潜在破坏性的侵入。它可以通过监测、限制、更改跨越防火墙的数据流，尽可能的对外部屏蔽内部网络的信息、结构和运行状况，以此来实现网络的安全保护。

一个防火墙可以是一个实现安全功能的路由器、个人计算机、主机或主机的集合等，通常位于一个受保护的网络对外的连接处，若这个网络到外界有多个连接，那么需要安装多个防火墙系统。

25

防火墙可以提供以下服务：（ 1 ）限定人们从一个特别的控制点进入或离开；（ 2 ）保证对主机的应用安全访问；（ 3 ）防止入侵者接近你的其它防御设施；（ 4 ）有效防止破坏者对客户机和服务器所进行

的破坏；（ 5 ）监视网络。

26

11.3.2 防火墙系统结构 防火墙的系统结构一般分为以下几种： （ 1 ）屏蔽路由器屏蔽路由器 Internet内部主机代理服务器

屏蔽路由器 Internet 内部主机

代理服务器

27

（ 2 ）双目主机结构 它包含一个有两个网络接口的代理服务器系统，关闭正常 IP路由功能，并安装运行网络代理服务程序。有一个包过滤防火墙，用于连接 Internet。

Internet 包 过滤路 由器

代理服务器 内部主机

Web 服务器

28

（ 3 ）屏蔽主机结构

Internet 包过滤路由器

代理服务器

路由器 内部主机

29

（ 4 ）屏蔽子网结构 将网络划分为三个部分： Internet(外网 )、DMZ（分军事区）、内网。 Internet与 DMZ区通过外部屏蔽路由器隔离， DMZ区与内网通过内部屏蔽路由器隔离。 Internet

外部屏蔽路由器

内部主机

内部屏蔽路由器

壁垒主机 对外服务器

DMZ区

30

11.3.3 防火墙分类 从构成上可以将防火墙分为以下几类：（ 1 ）硬件防火墙（ 2 ）软件防火墙（ 3 ）软硬结合防火墙

31

11.3.4 防火墙的设计策略 防火墙设计策略基于特定的防火墙，定义完成

服务访问策略的规则。 通常有两种基本的设计策略：允许任何服务除

非被明确禁止；禁止任何除非被明确允许。

32

1 ．防火墙实现站点安全策略的技术（ 1 ）服务控制。 （ 2 ）方向控制。 （ 3 ）用户控制。 （ 4 ）行为控制。

33

2 ．防火墙在大型网络系统中的部署

（ 1 ）在局域网内的 VLAN之间控制信息流向时加入防火墙。

（ 2 ） Internet与 Internet 之间连接时加入防火墙。（ 3 ）在广域网系统中，由于安全的需要，总部的局域

网可以将各分支机构的局域网看成不安全的系统，总部的局域网和各分支机构连接时，一般通过公网 ChinaPac， ChinaDD和 NFrame Relay等连接，需要采用防火墙隔离，并利用某些软件提供的功能构成虚拟专网 VPN。

34

2 ．防火墙在大型网络系统中的部署

（ 4 ）总部的局域网和分支机构的局域网是通过 Internet连接的，需要各自安装防火墙，并组成虚拟专网。

（ 5 ）在远程用户拨号访问时，加入虚拟专网。（ 6 ）利用一些防火墙软件提供的负载平衡功能， ISP可在公共访问服务器和客户端间加入防火墙进行负载分担、存取控制、用户认证、流量控制和日志记录等功能。

（ 7 ）两网对接时，可利用硬件防火墙作为网关设备实现地址转换（ NAT）、地址映射（MAP）、网络隔离（ DMZ， De-Militarized Zone，非军事区，其名称来源于朝鲜战争的三八线）及存取安全控制，消除传统软件防火墙的瓶颈问题。

35

11.4 病毒与病毒的防治 11.4.1 病毒的种类及特点 1 ．病毒的种类多种多样，主要有以下 6 种。（ 1 ）文件型的病毒（ 2 ）引导扇区病毒（ 3 ）宏病毒（ 5 ）多形性病毒（ 6 ）伙伴病毒

36

2 ．网络病毒的特点 Internet的发展孕育了网络病毒，由于网络的互联性，病毒的威力也大大增强。网络病毒具有以下特点：

（ 1 ）破坏性强。（ 2 ）传播性强。（ 3 ）具有潜伏性和可激发性。（ 4 ）针对性强。（ 5 ）扩散面广。

37

11.4.2 病毒的传播途径与防治1 ．计算机病毒有以下 4 种传播途径。 第一种途径：通过不可移动的计算机硬件设备

进行传播，这些设备通常有计算机专用芯片和硬盘等。

第二种途径：通过移动存储设备来传播，这些设备包括软盘、磁盘等。

第三种途径：通过计算机网络进行传播。 第四种途径：通过点对点通信系统和无线通道传播。

38

2 ．病毒的防治 病毒在发作前是难以发现的，因此所有的防病

毒技术都是在系统后台运行的，先于病毒获得系统的控制权，对系统进行实时监控，一旦发现可疑行为，就阻止非法程序的运行，利用一些专门的技术进行判别，然后加以清除。

反病毒技术包括检测病毒和清除病毒两方面，而病毒的清除都是以有效的病毒探测为基础的。目前广泛使用的主要检测病毒的方法有特征代码法、校验和法、行为监测法、感染实验法等。

39

小结 网络安全问题概述

什么叫网络安全 有哪些安全威胁 现有哪些网络安全技术

加密与认证技术 密码学基本概念 常规与非常规密码体制的基本思想

防火墙技术 作用 原理 布置位置

病毒与病毒的防治 病毒种类 防冶病毒方法