|
網絡安全技術概論 網絡安全技術指致力于解決諸如如何有效進行介入控制，以及何如保證數(shù)據(jù)傳輸?shù)陌踩缘募夹g手段，主要包括物理安全分析技術，網絡結構安全分析技術，系統(tǒng)安全分析技術，管理安全分析技術，及其它的安全服務和安全機制策略。 21世紀全世界的計算機都將通過Internet聯(lián)到一起,信息安全的內涵也就發(fā)生了根本的變化.它不僅從一般性的防衛(wèi)變成了一種非常普通的防范,而且還從一種專門的領域變成了無處不在.當人類步入21世紀這一信息社會,網絡社會的時候,我國將建立起一套完整的網絡安全體系,特別是從政策上和法律上建立起有中國自己特色的網絡安全體系. 一個國家的信息安全體系實際上包括國家的法規(guī)和政策,以及技術與市場的發(fā)展平臺.我國在構建信息防衛(wèi)系統(tǒng)時,應著力發(fā)展自己獨特的安全產品,我國要想真正解決網絡安全問題,最終的辦法就是通過發(fā)展民族的安全產業(yè),帶動我國網絡安全技術的整體提高. 網絡安全產品有以下幾大特點:第一,網絡安全來源于安全策略與技術的多樣化,如果采用一種統(tǒng)一的技術和策略也就不安全了;第二,網絡的安全機制與技術要不斷地變化;第三,隨著網絡在社會個方面的延伸,進入網絡的手段也越來越多,因此,網絡安全技術是一個十分復雜的系統(tǒng)工程.為此建立有中國特色的網絡安全體系,需要國家政策和法規(guī)的支持及集團聯(lián)合研究開發(fā).安全與反安全就像矛盾的兩個方面,總是不斷地向上攀升,所以安全產業(yè)將來也是一個隨著新技術發(fā)展而不斷發(fā)展的產業(yè). 信息安全是國家發(fā)展所面臨的一個重要問題.對于這個問題,我們還沒有從系統(tǒng)的規(guī)劃上去考慮它,從技術上,產業(yè)上,政策上來發(fā)展它.政府不僅應該看見信息安全的發(fā)展是我國高科技產業(yè)的一部分,而且應該看到,發(fā)展安全產業(yè)的政策是信息安全保障系統(tǒng)的一個重要組成部分,甚至應該看到它對我國未來電子化,信息化的發(fā)展將起到非常重要的作用. 技術分類 一.虛擬網技術 虛擬網技術主要基于近年發(fā)展的局域網交換技術(ATM和以太網交換）。交換技術將傳統(tǒng)的基于廣播的局域網技術發(fā)展為面向連接的技術。因此，網管系統(tǒng)有能力限制局域網通訊的范圍而無需通過開銷很大的路由器。 由以上運行機制帶來的網絡安全的好處是顯而易見的：信息只到達應該到達的地點。因此、防止了大部分基于網絡監(jiān)聽的入侵手段。通過虛擬網設置的訪問控制，使在虛擬網外的網絡節(jié)點不能直接訪問虛擬網內節(jié)點。但是，虛擬網技術也帶來了新的安全問題： 執(zhí)行虛擬網交換的設備越來越復雜，從而成為被攻擊的對象。 基于網絡廣播原理的入侵監(jiān)控技術在高速交換網絡內需要特殊的設置。 基于MAC的VLAN不能防止MAC欺騙攻擊。 以太網從本質上基于廣播機制，但應用了交換器和VLAN技術后，實際上轉變?yōu)辄c到點通訊，除非設置了監(jiān)聽口，信息交換也不會存在監(jiān)聽和插入（改變）問題。 但是，采用基于MAC的VLAN劃分將面臨假冒MAC地址的攻擊。因此，VLAN的劃分最好基于交換機端口。但這要求整個網絡桌面使用交換端口或每個交換端口所在的網段機器均屬于相同的VLAN。 網絡層通訊可以跨越路由器，因此攻擊可以從遠方發(fā)起。IP協(xié)議族各廠家實現(xiàn)的不完善，因此，在網絡層發(fā)現(xiàn)的安全漏洞相對更多，如IP sweep, teardrop, sync-flood, IP spoofing攻擊等。 二.防火墻枝術 網絡防火墻技術是一種用來加強網絡之間訪問控制,防止外部網絡用戶以非法手段通過外部網絡進入內部網絡,訪問內部網絡資源,保護內部網絡操作環(huán)境的特殊網絡互聯(lián)設備.它對兩個或多個網絡之間傳輸?shù)臄?shù)據(jù)包如鏈接方式按照一定的安全策略來實施檢查,以決定網絡之間的通信是否被允許,并監(jiān)視網絡運行狀態(tài). 防火墻產品主要有堡壘主機,包過濾路由器,應用層網關(代理服務器)以及電路層網關,屏蔽主機防火墻,雙宿主機等類型. 雖然防火墻是保護網絡免遭黑客襲擊的有效手段,但也有明顯不足:無法防范通過防火墻以外的其它途徑的攻擊,不能防止來自內部變節(jié)者和不經心的用戶們帶來的威脅,也不能完全防止傳送已感染病毒的軟件或文件,以及無法防范數(shù)據(jù)驅動型的攻擊. 自從1986年美國Digital公司在Internet上安裝了全球第一個商用防火墻系統(tǒng),提出了防火墻概念后,防火墻技術得到了飛速的發(fā)展.國內外已有數(shù)十家公司推出了功能各不相同的防火墻產品系列. 防火墻處于5層網絡安全體系中的最底層,屬于網絡層安全技術范疇.在這一層上,企業(yè)對安全系統(tǒng)提出的問題是:所有的IP是否都能訪問到企業(yè)的內部網絡系統(tǒng) 如果答案是"是",則說明企業(yè)內部網還沒有在網絡層采取相應的防范措施. 作為內部網絡與外部公共網絡之間的第一道屏障,防火墻是最先受到人們重視的網絡安全產品之一.雖然從理論上看,防火墻處于網絡安全的最底層,負責網絡間的安全認證與傳輸,但隨著網絡安全技術的整體發(fā)展和網絡應用的不斷變化,現(xiàn)代防火墻技術已經逐步走向網絡層之外的其他安全層次,不僅要完成傳統(tǒng)防火墻的過濾任務,同時還能為各種網絡應用提供相應的安全服務.另外還有多種防火墻產品正朝著數(shù)據(jù)安全與用戶認證,防止病毒與黑客侵入等方向發(fā)展. 1、使用Firewall的益處 保護脆弱的服務 通過過濾不安全的服務，F(xiàn)irewall可以極大地提高網絡安全和減少子網中主機的風險。 例如，F(xiàn)irewall可以禁止NIS、NFS服務通過，F(xiàn)irewall同時可以拒絕源路由和ICMP重定向封包。 控制對系統(tǒng)的訪問 Firewall可以提供對系統(tǒng)的訪問控制。如允許從外部訪問某些主機，同時禁止訪問另外的主機。例如，F(xiàn)irewall允許外部訪問特定的Mail Server和Web Server。 集中的安全管理 Firewall對企業(yè)內部網實現(xiàn)集中的安全管理，在Firewall定義的安全規(guī)則可以運用于整個內部網絡系統(tǒng)，而無須在內部網每臺機器上分別設立安全策略。如在Firewall可以定義不同的認證方法，而不需在每臺機器上分別安裝特定的認證軟件。外部用戶也只需要經過—次認證即可訪問內部網。 增強的保密性 使用Firewall可以阻止攻擊者獲取攻擊網絡系統(tǒng)的有用信息，如Finger和DNS。 記錄和統(tǒng)計網絡利用數(shù)據(jù)以及非法使用數(shù)據(jù) Firewall可以記錄和統(tǒng)計通過Firewall的網絡通訊，提供關于網絡使用的統(tǒng)計數(shù)據(jù)，并且，F(xiàn)irewall可以提供統(tǒng)計數(shù)據(jù)，來判斷可能的攻擊和探測。 策略執(zhí)行 Firewall提供了制定和執(zhí)行網絡安全策略的手段。未設置Firewall時，網絡安全取決于每臺主機的用戶。 2、 設置Firewall的要素 網絡策略 影響Firewall系統(tǒng)設計、安裝和使用的網絡策略可分為兩級，高級的網絡策略定義允許和禁止的服務以及如何使用服務，低級的網絡策略描述Firewall如何限制和過濾在高級策略中定義的服務。 服務訪問策略 服務訪問策略集中在Internet訪問服務以及外部網絡訪問（如撥入策略、SLIP/PPP連接等）。 服務訪問策略必須是可行的和合理的?？尚械牟呗员仨氃谧柚辜褐木W絡風險和提供用戶服務之間獲得平衡。典型的服務訪問策略是：允許通過增強認證的用戶在必要的情況下從Internet訪問某些內部主機和服務；允許內部用戶訪問指定的Internet主機和服務。 Firewall設計策略 Firewall設計策略基于特定的firewall，定義完成服務訪問策略的規(guī)則。通常有兩種基本的設計策略： 允許任何服務除非被明確禁止； 禁止任何服務除非被明確允許。 通常采用第二種類型的設計策略。 3、 Firewall的基本分類 包過濾型 包過濾型產品是防火墻的初級產品,其技術依據(jù)是網絡中的分包傳輸技術.網絡上的數(shù)據(jù)都是以"包"為單位進行傳輸?shù)?數(shù)據(jù)被分割成為一定大小的數(shù)據(jù)包,每一個數(shù)據(jù)包中都會包含一些特定信息,如數(shù)據(jù)的源地址,目標地址,TCP/UDP源端口和目標端口等.防火墻通過讀取數(shù)據(jù)包中的地址信息來判斷這些"包"是否來自可信任的安全站點 ,一旦發(fā)現(xiàn)來自危險站點的數(shù)據(jù)包,防火墻便會將這些數(shù)據(jù)拒之門外.系統(tǒng)管理員也可以根據(jù)實際情況靈活制訂判斷規(guī)則. 包過濾技術的優(yōu)點是簡單實用,實現(xiàn)成本較低,在應用環(huán)境比較簡單的情況下,能夠以較小的代價在一定程度上保證系統(tǒng)的安全. 但包過濾技術的缺陷也是明顯的.包過濾技術是一種完全基于網絡層的安全技術,只能根據(jù)數(shù)據(jù)包的來源,目標和端口等網絡信息進行判斷,無法識別基于應用層的惡意侵入,如惡意的Java小程序以及電子郵件中附帶的病毒.有經驗的黑客很容易偽造IP地址,騙過包過濾型防火墻. 網絡地址轉換(NAT) 是一種用于把IP地址轉換成臨時的,外部的,注冊的IP地址標準.它允許具有私有IP地址的內部網絡訪問因特網.它還意味著用戶不許要為其網絡中每一臺機器取得注冊的IP地址. 在內部網絡通過安全網卡訪問外部網絡時,將產生一個映射記錄.系統(tǒng)將外出的源地址和源端口映射為一個偽裝的地址和端口,讓這個偽裝的地址和端口通過非安全網卡與外部網絡連接,這樣對外就隱藏了真實的內部網絡地址.在外部網絡通過非安全網卡訪問內部網絡時,它并不知道內部網絡的連接情況,而只是通過一個開放的IP地址和端口來請求訪問.OLM防火墻根據(jù)預先定義好的映射規(guī)則來判斷這個訪問是否安全.當符合規(guī)則時,防火墻認為訪問是安全的,可以接受訪問請求,也可以將連接請求映射到不同的內部計算機中.當不符合規(guī)則時,防火墻認為該訪問是不安全的,不能被接受,防火墻將屏蔽外部的連接請求.網絡地址轉換的過程對于用戶來說是透明的,不需要用戶進行設置,用戶只要進行常規(guī)操作即可. 代理型 代理型防火墻也可以被稱為代理服務器,它的安全性要高于包過濾型產品,并已經開始向應用層發(fā)展.代理服務器位于客戶機與服務器之間,完全阻擋了二者間的數(shù)據(jù)交流.從客戶機來看,代理服務器相當于一臺真正的服務器;而從服務器來看,代理服務器又是一臺真正的客戶機.當客戶機需要使用服務器上的數(shù)據(jù)時,首先將數(shù)據(jù)請求發(fā)給代理服務器,代理服務器再根據(jù)這一請求向服務器索取數(shù)據(jù),然后再由代理服務器將數(shù)據(jù)傳輸給客戶機.由于外部系統(tǒng)與內部服務器之間沒有直接的數(shù)據(jù)通道,外部的惡意侵害也就很難傷害到企業(yè)內部網絡系統(tǒng). 代理型防火墻的優(yōu)點是安全性較高,可以針對應用層進行偵測和掃描,對付基于應用層的侵入和病毒都十分有效.其缺點是對系統(tǒng)的整體性能有較大的影響,而且代理服務器必須針對客戶機可能產生的所有應用類型逐一進行設置,大大增加了系統(tǒng)管理的復雜性。 監(jiān)測型監(jiān)測型 防火墻是新一代的產品,這一技術實際已經超越了最初的防火墻定義.監(jiān)測型防火墻能夠對各層的數(shù)據(jù)進行主動的,實時的監(jiān)測,在對這些數(shù)據(jù)加以分析的基礎上,監(jiān)測型防火墻能夠有效地判斷出各層中的非法侵入.同時,這種檢測型防火墻產品一般還帶有分布式探測器,這些探測器安置在各種應用服務器和其他網絡的節(jié)點之中,不僅能夠檢測來自網絡外部的攻擊,同時對來自內部的惡意破壞也有極強的防范作用.據(jù)權威機構統(tǒng)計,在針對網絡系統(tǒng)的攻擊中,有相當比例的攻擊來自網絡內部.因此,監(jiān)測型防火墻不僅超越了傳統(tǒng)防火墻的定義,而且在安全性上也超越了前兩代產品 雖然監(jiān)測型防火墻安全性上已超越了包過濾型和代理服務器型防火墻,但由于監(jiān)測型防火墻技術的實現(xiàn)成本較高,也不易管理,所以在實用中的防火墻產品仍然以第二代代理型產品為主,但在某些方面也已經開始使用監(jiān)測型防火墻.基于對系統(tǒng)成本與安全技術成本的綜合考慮,用戶可以選擇性地使用某些監(jiān)測型技術.這樣既能夠保證網絡系統(tǒng)的安全性需求,同時也能有效地控制安全系統(tǒng)的總擁有成本. 實際上,作為當前防火墻產品的主流趨勢,大多數(shù)代理服務器(也稱應用網關)也集成了包過濾技術,這兩種技術的混合應用顯然比單獨使用具有更大的優(yōu)勢.由于這種產品是基于應用的,應用網關能提供對協(xié)議的過濾.例如,它可以過濾掉FTP連接中的PUT命令,而且通過代理應用,應用網關能夠有效地避免內部網絡的信息外泄.正是由于應用網關的這些特點,使得應用過程中的矛盾主要集中在對多種網絡應用協(xié)議的有效支持和對網絡整體性能的影響上。 4、 建設Firewall的原則 分析安全和服務需求 以下問題有助于分析安全和服務需求： √ 計劃使用哪些Internet服務(如http，ftp，gopher)，從何處使用Internet服務(本地網，撥號，遠程辦公室)。 √ 增加的需要，如加密或拔號接入支持。 √ 提供以上服務和訪問的風險。 √ 提供網絡安全控制的同時，對系統(tǒng)應用服務犧牲的代價。 策略的靈活性 Internet相關的網絡安全策略總的來說，應該保持一定的靈活性，主要有以下原因： √ Internet自身發(fā)展非?？?，機構可能需要不斷使用Internet提供的新服務開展業(yè)務。新的協(xié)議和服務大量涌現(xiàn)帶來新的安全問題，安全策略必須能反應和處理這些問題。 √ 機構面臨的風險并非是靜態(tài)的，機構職能轉變、網絡設置改變都有可能改變風險。 遠程用戶認證策略 √ 遠程用戶不能通過放置于Firewall后的未經認證的Modem訪問系統(tǒng)。 √ PPP/SLIP連接必須通過Firewall認證。 √ 對遠程用戶進行認證方法培訓。 撥入/撥出策略 √ 撥入/撥出能力必須在設計Firewall時進行考慮和集成。 √ 外部撥入用戶必須通過Firewall的認證。 Information Server策略 √ 公共信息服務器的安全必須集成到Firewall中。 √ 必須對公共信息服務器進行嚴格的安全控制，否則將成為系統(tǒng)安全的缺口。 √ 為Information server定義折中的安全策略允許提供公共服務。 √ 對公共信息服務和商業(yè)信息(如email)講行安全策略區(qū)分。 Firewall系統(tǒng)的基本特征 √ Firewall必須支持．“禁止任何服務除非被明確允許”的設計策略。 √ Firewall必須支持實際的安全政策，而非改變安全策略適應Firewall。 √ Firewall必須是靈活的，以適應新的服務和機構智能改變帶來的安全策略的改變。 √ Firewall必須支持增強的認證機制。 √ Firewall應該使用過濾技術以允許或拒絕對特定主機的訪問。 √ IP過濾描述語言應該靈活，界面友好，并支持源IP和目的IP，協(xié)議類型，源和目的TCP/UDP口，以及到達和離開界面。 √ Firewall應該為FTP、TELNET提供代理服務，以提供增強和集中的認證管理機制。如果提供其它的服務(如NNTP，http等)也必須通過代理服務器。 √ Firewall應該支持集中的SMTP處理，減少內部網和遠程系統(tǒng)的直接連接。 √ Firewall應該支持對公共Information server的訪問，支持對公共Information server的保護，并且將Information server同內部網隔離。 √ Firewall可支持對撥號接入的集中管理和過濾。 √ Firewall應支持對交通、可疑活動的日志記錄。 √ 如果Firewall需要通用的操作系統(tǒng)，必須保證使用的操作系統(tǒng)安裝了所有己知的安全漏洞Patch。 √ Firewall的設計應該是可理解和管理的。 √ Firewall依賴的操作系統(tǒng)應及時地升級以彌補安全漏洞。 5、選擇防火墻的要點 (1) 安全性：即是否通過了嚴格的入侵測試。 (2) 抗攻擊能力：對典型攻擊的防御能力 (3) 性能：是否能夠提供足夠的網絡吞吐能力 (4) 自我完備能力：自身的安全性，F(xiàn)ail-close (5) 可管理能力：是否支持SNMP網管 (6) VPN支持 (7) 認證和加密特性 (8) 服務的類型和原理 (9)網絡地址轉換能力 三.病毒防護技術 病毒歷來是信息系統(tǒng)安全的主要問題之一。由于網絡的廣泛互聯(lián)，病毒的傳播途徑和速度大大加快。 我們將病毒的途徑分為： (1 ) 通過FTP，電子郵件傳播。 (2) 通過軟盤、光盤、磁帶傳播。 (3) 通過Web游覽傳播，主要是惡意的Java控件網站。 (4) 通過群件系統(tǒng)傳播。 病毒防護的主要技術如下： (1) 阻止病毒的傳播。 在防火墻、代理服務器、SMTP服務器、網絡服務器、群件服務器上安裝病毒過濾軟件。在桌面PC安裝病毒監(jiān)控軟件。 (2) 檢查和清除病毒。 使用防病毒軟件檢查和清除病毒。 (3) 病毒數(shù)據(jù)庫的升級。 病毒數(shù)據(jù)庫應不斷更新，并下發(fā)到桌面系統(tǒng)。 (4) 在防火墻、代理服務器及PC上安裝Java及ActiveX控制掃描軟件，禁止未經許可的控件下載和安裝。 四.入侵檢測技術 利用防火墻技術，經過仔細的配置，通常能夠在內外網之間提供安全的網絡保護，降低了網絡安全風險。但是，僅僅使用防火墻、網絡安全還遠遠不夠： (1) 入侵者可尋找防火墻背后可能敞開的后門。 (2) 入侵者可能就在防火墻內。 (3) 由于性能的限制，防火焰通常不能提供實時的入侵檢測能力。 入侵檢測系統(tǒng)是近年出現(xiàn)的新型網絡安全技術，目的是提供實時的入侵檢測及采取相應的防護手段，如記錄證據(jù)用于跟蹤和恢復、斷開網絡連接等。 實時入侵檢測能力之所以重要首先它能夠對付來自內部網絡的攻擊，其次它能夠縮短hacker入侵的時間。 入侵檢測系統(tǒng)可分為兩類： √ 基于主機 √ 基于網絡 基于主機的入侵檢測系統(tǒng)用于保護關鍵應用的服務器，實時監(jiān)視可疑的連接、系統(tǒng)日志檢查，非法訪問的闖入等，并且提供對典型應用的監(jiān)視如Web服務器應用。 基于網絡的入侵檢測系統(tǒng)用于實時監(jiān)控網絡關鍵路徑的信息，其基本模型如右圖示： 上述模型由四個部分組成： 入侵檢測系統(tǒng)的基本模型(1) Passive protocol Analyzer網絡數(shù)據(jù)包的協(xié)議分析器、將結果送給模式匹配部分并根據(jù)需要保存。 (2) Pattern-Matching Signature Analysis根據(jù)協(xié)議分析器的結果匹配入侵特征，結果傳送給Countermeasure部分。 (3) countermeasure執(zhí)行規(guī)定的動作。 (4) Storage保存分析結果及相關數(shù)據(jù)。 基于主機的安全監(jiān)控系統(tǒng)具備如下特點： (1) 精確，可以精確地判斷入侵事件。 (2) 高級，可以判斷應用層的入侵事件。 (3) 對入侵時間立即進行反應。 (4) 針對不同操作系統(tǒng)特點。 (5) 占用主機寶貴資源。 基于網絡的安全監(jiān)控系統(tǒng)具備如下特點： (1) 能夠監(jiān)視經過本網段的任何活動。 (2) 實時網絡監(jiān)視。 (3) 監(jiān)視粒度更細致。 (4) 精確度較差。 (5) 防入侵欺騙的能力較差。 (6) 交換網絡環(huán)境難于配置。 基于主機及網絡的入侵監(jiān)控系統(tǒng)通常均可配置為分布式模式： (1) 在需要監(jiān)視的服務器上安裝監(jiān)視模塊(agent)，分別向管理服務器報告及上傳證據(jù)，提供跨平臺的入侵監(jiān)視解決方案。 (2) 在需要監(jiān)視的網絡路徑上，放置監(jiān)視模塊(sensor),分別向管理服務器報告及上傳證據(jù)，提供跨網絡的入侵監(jiān)視解決方案。 選擇入侵監(jiān)視系統(tǒng)的要點是： (1) 協(xié)議分析及檢測能力。 (2) 解碼效率(速度)。 (3) 自身安全的完備性。 (4) 精確度及完整度，防欺騙能力。 (5) 模式更新速度。 五.安全掃描技術 網絡安全技術中，另一類重要技術為安全掃描技術。安全掃描技術與防火墻、安全監(jiān)控系統(tǒng)互相配合能夠提供很高安全性的網絡。 安全掃描工具源于Hacker在入侵網絡系統(tǒng)時采用的工具。商品化的安全掃描工具為網絡安全漏洞的發(fā)現(xiàn)提供了強大的支持。 安全掃描工具通常也分為基于服務器和基于網絡的掃描器。 基于服務器的掃描器主要掃描服務器相關的安全漏洞，如password文件，目錄和文件權限，共享文件系統(tǒng)，敏感服務，軟件，系統(tǒng)漏洞等，并給出相應的解決辦法建議。通常與相應的服務器操作系統(tǒng)緊密相關。 基于網絡的安全掃描主要掃描設定網絡內的服務器、路由器、網橋、變換機、訪問服務器、防火墻等設備的安全漏洞，并可設定模擬攻擊，以測試系統(tǒng)的防御能力。通常該類掃描器限制使用范圍(IP地址或路由器跳數(shù))。網絡安全掃描的主要性能應該考慮以下方面： (1) 速度。在網絡內進行安全掃描非常耗時。 (2) 網絡拓撲。通過GUI的圖形界面，可迭擇一步或某些區(qū)域的設備。 (3) 能夠發(fā)現(xiàn)的漏洞數(shù)量。 (4) 是否支持可定制的攻擊方法。通常提供強大的工具構造特定的攻擊方法。因為網絡內服務器及其它設備對相同協(xié)議的實現(xiàn)存在差別，所以預制的掃描方法肯定不能滿足客戶的需求。 (5) 報告，掃描器應該能夠給出清楚的安全漏洞報告。 (6) 更新周期。提供該項產品的廠商應盡快給出新發(fā)現(xiàn)的安生漏洞掃描特性升級，并給出相應的改進建議。 安全掃描器不能實時監(jiān)視網絡上的入侵，但是能夠測試和評價系統(tǒng)的安全性，并及時發(fā)現(xiàn)安全漏洞 六. 認證和數(shù)字簽名技術 認證技術主要解決網絡通訊過程中通訊雙方的身份認可，數(shù)字簽名作為身份認證技術中的一種具體技術，同時數(shù)字簽名還可用于通信過程中的不可抵賴要求的實現(xiàn)。 認證技術將應用到企業(yè)網絡中的以下方面： (1) 路由器認證，路由器和交換機之間的認證。 (2) 操作系統(tǒng)認證。操作系統(tǒng)對用戶的認證。 (3) 網管系統(tǒng)對網管設備之間的認證。 (4) VPN網關設備之間的認證。 (5) 撥號訪問服務器與客戶間的認證。 (6) 應用服務器(如Web Server)與客戶的認證。 (7) 電子郵件通訊雙方的認證。 數(shù)字簽名技術主要用于： (1) 基于PKI認證體系的認證過程。 (2) 基于PKI的電子郵件及交易(通過Web進行的交易)的不可抵賴記錄。 認證過程通常涉及到加密和密鑰交換。通常，加密可使用對稱加密、不對稱加密及兩種加密方法的混合。 UserName/Password認證 該種認證方式是最常用的一種認證方式，用于操作系統(tǒng)登錄、telnet、rlogin等，但由于此種認證方式過程不加密，即password容易被監(jiān)聽和解密。 使用摘要算法的認證 Radius(撥號認證協(xié)議)、路由協(xié)議(OSPF)、SNMP Security Protocol等均使用共享的Security Key，加上摘要算法(MD5)進行認證，由于摘要算法是一個不可逆的過程，因此，在認證過程中，由摘要信息不能計算出共享的security key，敏感信息不在網絡上傳輸。市場上主要采用的摘要算法有MD5和SHA-1。 基于PKI的認證 使用公開密鑰體系進行認證和加密。該種方法安全程度較高，綜合采用了摘要算法、不對稱加密、對稱加密、數(shù)字簽名等技術，很好地將安全性和高效率結合起來。后面描述了基于PKI認證的基本原理。這種認證方法目前應用在電子郵件、應用服務器訪問、客戶認證、防火墻驗證等領域。 該種認證方法安全程度很高，但是涉及到比較繁重的證書管理任務。 七.VPN技術 八.應用系統(tǒng)的安全技術 |
|
|
