计算机网络安全基础知识复习

一.概述

计算机安全：对于一个自动化的信息系统，采取措施确保信息系统资源(包括硬件、软件、固件、信息数据和通信)的完整性，可用性和保密性。

目标/服务：认证；访问控制；数据保密性；数据完整性，不可否认性，可用性.

安全攻击:任何危及信息系统安全的行为。

安全机制：用来检测、阻止攻击或从攻击状态恢复到正常状态的过程(或实现该过程的设备)

安全服务：加强数据处理系统和信息传输的安全性的一种处理过程或通信服务，目的在于利用一种或多种安全机制进行反攻击。

****安全攻击的分类:****主动攻击和被动攻击。

主动攻击试图改变系统资源或影响系统运行；主动攻击分为伪装、重放、消息修改和拒绝服务。

被动攻击试图获取或利用系统的信息但并不影响系统资源。被动攻击分为信息内容泄露和流量分析;

二、密码

****密码算法中的两个基本函数是什么？ ****

代换和置换。

明文：原始的消息。密文：加密后的消息。

加密：从明文到密文的变换过程。

解密：从密文到明文的变换过程。密码/密码体制：加密方案。

密码编码学：研究各种加密方案的领域。密码分析学：解密消息的技术。

密码学：密码编码学和密码分析学。

按钥匙的数量及对应关系,可分为对称加密、非对称加密；按加密对象处理单位的大小可分为块/分组密码、流密码；按加密机制区分,可分为替代和变位。

对称密码：加解双方共同拥有一个密钥，或者可以互相推导的密钥。

非对称密码：加密解密使用不同的密钥，于是每方都有两个密钥，其一用于加密，另一用于解密。

块/分组密码：分组密码将数据按一系列分组（块）进行处理。典型的分组大小为128位。

流密码：流密码以位序列的形式对数据进行操作

对称与非对称对比****：

( 1 )安全性，加密方案的安全性取决于密钥长度和攻破密码所需的计算量。目前无法分出二者谁更优越，综合说来，公钥方案并不比私钥方案更好。

(2 )通用性，公钥加密方案所需的计算量太大，在当前形势下，并不是每一台机器都可以承受的。

(3)方便性，二者在密钥分发时都需要一个代理中心，公钥方案还需要某种形式的协议，并不见得简单高效。

凯撒密码，单表替换密码，playfair密码，vigenere密码，DES，3DES，RC4，RSA

分组密码的工作模式：电子密码本（ECB），密码块链接（CBC），填充密码块链接（PCBC），密文反馈（CFB），输出反馈（OFB），计数器模式（CTR）。

三、密码应用

公钥密码体制的三种应用是什么？

1、加密/解密：发送方用接收方公钥对信息加密

2、数字签名：发送方用自身的私钥对消息“签名”

3、密钥交换：通信双方交换会话密钥（传统密码的密钥）

消息认证或数字签名方法有哪两层功能？

消息认证或数字签名方法包含认证和鉴别两个功能。

下层有产生认证符的函数（认证符是用来产生认证消息的值）

上层协议将该函数作为原语，使接收方可以验证消息的真实性

什么是公钥证书？

证书包括公钥和公钥拥有者的标志，整个数据块由可信第三方签名。是一种数字签名的声明，它将公钥的值绑定到持有对应私钥的个人、设备或服务的身份。

抗弱碰撞和抗强碰撞之间的区别是什么？

强碰撞性：指找出相同散列值的不同消息是困难的。

弱碰撞性：根据消息找出相同的散列值的另一消息是困难的。

差别在于：强碰撞性是在不知消息内容，根据散列值找另一消息。弱碰撞性，根据消息找另一消息（这种情况下，消息已知，散列值当然已知）。相比强碰撞性，弱碰撞性只需要修改消息内容，就有可能获得散列值相同的另一消息，所以“弱”。

消息认证或数字签名方法有哪两层功能？

下层有产生认证符的函数（认证符是用来产生认证消息的值）

上层协议将该函数作为原语，使接收方可以验证消息的真实性

TLS记录协议传输包括哪些步骤？

（1）记录协议接收到应用数据；

（2）数据分块，每个块最大2^14即16 KB；

（3）数据压缩（可选）；

（4）添加消息认证码（MAC）或HMAC（用于验证消息的完整性和可靠性）；

（5）使用协商的加密算法加密数据。

数字签名是基于公钥密码体制（非对称密钥密码体制）的。必须保证以下三点：

报文鉴别****：接收者能够核实发送者对报文的签名；

报文的完整性****：接收者不能伪造对报文的签名或更改报文内容。

不可否认****：发送者事后不能抵赖对报文的签名；

报文摘要,MD5，SHA

无线局域网，IEEE802.11i，IEEE802.1x

EAP是可扩展认证协议。它是一个网络访问和授权协议的框架,可以封装多种认证方法，在客户和服务器之间使用。EAP的协议层次为:(图参考书中)

(1)EAP层位于认证方法与数据链路层之间。

(2)在认证方法上，可以使用多种形式，如EAP-TLS,EAP-TTLS等，它们的认证数据皆可经由EAP封装以传递。

(3)在数据链路层，可以经由PPP及多种局域网协议来传递EAP数据。

(4)在EAP层，可直接使用EAP，或是IEEE802.1X。

PGP(良好的保密)工作过程分为发送(加密)与接收(解密)，两者工作顺序上互逆，提供对电子邮件的安全服务。假设A用户向B用户发邮件，其加密过程是:

(1)使用MD5生成消息的散列序列。

(2)使用A的私钥加密散列序列。

(3)将消息明文与加密后的散列序列连接起来。

(4 )使用ZIP压缩连接后的消息。

(5)根据用户A的输入，生成对称密钥，并使用该密钥以密码反馈模式加密压缩后的消息，将所使用的对称密钥用B用户的公钥加密后连接在密文后方。

(6)进行基64转换，这样就可以以ASCII码形式将邮件在网上传递。

解密过程是加密过程逆序排列。

IPSec是一组基于网络层的，应用密码学的安全通信协议族。IPSec不是具体指哪个协议，而是一个开放的协议族。IPSec VPN体系结构主要由AH、ESP和IKE协议套件组成。

IPsec（IP安全）包含三个功能：认证、保密和密钥管理。

AH：认证算法、密钥、密钥生命期和相关的参数。

传输模式ESP：为上层协议提供保护。

隧道模式ESP：对整个IP数据包提供保护。

SSL:SSL分为四个部分，分别是SSL握手协议，SSL修改密码规范协议，SSL警报协议，SSL记录协议。

在其对高层数据加工时，由SSL记录协议完成，其过程为：

(1)分块，将高层数据分成相应的信息块。

(2)压缩，对信息块进行压缩，压缩算法可以为空，即不压缩。

(3)计算相应的报文摘要，并加密链接到信息块上。

(4)加密，对上一步形成的信息块进行加密。

(5)添加SSL记录协议报头。

VPN

云计算，云计算的安全需求，需要提供以下的安全机制。

(1)可靠的认证机制和密钥管理方案。

(2)高强度数据机密性和完整性服务。

(3)可靠的密钥管理机制。

(4)密文查询、秘密数据挖掘、安全云计算技术。

(5)可靠和高智能的处理能力。

(6)抗网络攻击，具有入侵检测和病毒检测能力。

(7)恶意指令分析和预防，访问控制及灾难恢复机制。

(8)保密日志跟踪和行为分析， 恶意行为模型的建立。

(9)具有数据安全备份、数据安全销毁以及流程全方位审计能力。

(10)移动设备的识别、定位和追踪机制。

账户劫持:账户劫持通常还伴随着证书的窃取，使得可以破坏数据、服务的及机密性、完整性和可用性。可行的应对策略有:(1)禁止用户之间和服务器之间共享证书。(2)采用双因子认证技术。(3)采用前瞻性监视来检测未授权活动。(4)理解云服务提供商的安全策略与服务等级协议。

四.系统安全

恶意软件，病毒、蠕虫、木马、垃圾邮件、僵尸、后门、钓鱼、间谍软件、键盘记录器等。

恶意软件：破坏受害者数据、应用程序或操作系统的保密性、完整性和可用性。

病毒：一种可以自我复制的恶意软件。

蠕虫：一种可以独立运行并可将自己的完整版本传播到网络中其他主机上的计算机程序。

木马：一种看起来有着有用功能，但同时也存在潜在的恶意功能的计算机程序。垃圾邮件：为经请求的批量电子邮件。

僵尸：在被感染计算机上对其他计算机实施攻击的程序。

后门：可以绕过正常安全检查，并且能够不经授权而直接访问相关功能的机制。

间谍软件：用来在计算机上收集信息并将其传送到其他系统的软件。

键盘记录器：在受到危害的系统中捕获用户敲击键盘的记录。

当前蠕虫技术主要具有以下几个特点:

(1)跨平台，新的蠕虫，除了windows平台也可以攻击其它一些平台，诸如unix平台的各个流行版本。

(2)多种攻击手段，新的蠕虫通常有多种方式来对系统进行渗透。

(3)超快速扩散，新的蠕虫利用多种技术来优化传播速度，从而在短时间内定位到尽可能多的易受攻击计算机。

(4)多态，多态技术可以躲避检测、过滤和实时分析等防范手段

(5)变形，除了改变自身的形态,变形蠕虫能够在不同的传播阶段改变其行为模式。

(6)传输载体，蠕虫是多种恶意载荷的理想载体。

(7)0-day漏洞的利用，利用未知漏洞以达到攻击的突发性和分布性。

拒绝服务攻击，泛洪ping，泛洪SYN，DDoS，反射式

ping洪泛：通过无休止的连通测试来消耗资源。

SYN洪泛：黑客向目标机器发送数量极大的连接请求，目标机器对每一个请求都需要回复，并会为

每一个潜在的连接分配相应的表空间，但黑客的机器是不会完成三次握手的过程的，在超时之前目

标机器的表空间没有得到释放，这样，数量极其庞大的半连接会把目标机器的资源耗尽，而使其对

外呈现“拒绝服务”的状态。

直接式DDoS：控制多台机器同时向B发动ping测试，即利用死循环ping发向B，并构造大的随机数

据包，通过无休止的连通测试来消耗B的各种资源。

反射式DDoS：增加了另一层机器（反射器）。通过反射器向目标主机发送响应数据包。与直接式

DDoS相比，攻击波及的计算机更多，危害性也更强。

ping命令用来测试两点间的连通性，如果A发起过程，其行为是A组织数据包，其中有双方地址、时间以及随机数据，然后将其发送给B ;B收到信息后，地址反向，即发回给A，打上时间戳，送给A，A收到后，两个时间运算后可得出两点间通信所需要花费的时间。

A若用ping泛洪来攻击B，即利用死循环ping发向B.并构造大的随机数据包，通过无休止的连通测试来消耗B的各种资源，直至达到DoS的目的。

若可以控制多台机器同时向B发动ping测试，那么B 会更快的消耗尽资源， 此时便是DDoS了。

入侵/入侵者，隐秘用户，假冒用户， 违法用户。口令管理，计算机生成口令，先验口令校验，后验口令校验，用户教育。入侵检测，基于规则，统计异常。

隐秘用户：夺取系统超级控制权，并使用该权限逃避审计和访问控制，或者阻止生成审计记录的入侵者。

假冒用户：未经授权使用计算机的用户和突破系统的访问控制从而冒用合法用户账号的入侵者。

违法用户：指未经授权访问数据、程序和资源的合法用户；或者已经获得授权访问，但是滥用权限的合法用户。

基于规则检测：定义一个规则集，用于判定给定行为是否为入侵者行为。这通常被称为签名的检测。

统计异常检测：收集一段时间内合法用户的行为，然后对其行为做统计测试，判定该行为是否是合法用户的行为。

防火墙，包过滤防火墙，状态检测防火墙，应用层网关，电路层网关。

状态检查防火墙：通过建立出站TCP连接的目录来增强TCP通信的安全规则。

应用层网关：在应用层流量中起转发器的作用。

电路层网关：由应用层网关为某些应用执行的功能模块。

包过滤防火墙：对所有进入防火墙的分组进行过滤，其过滤规则是基于IP、 TCP、UDP协议头部的相关信息。

分组过滤完成下列技术功能:

(1)接收每个到达的分组。

(2)对分组采用规则，根据相关协议的头部字段中的相关信息进行处理，如果与某预设的规则匹配，则根据该规则对分组进行转发或抛弃的操作。

(3)如果没有适配的规则，则使用默认操作。默认操作可预设为转发或抛弃，为安全起见，一般默认操作应设置为抛弃。

考虑一台自动取款机（ATM），用户通过提供个人验证码（PIN）和银行卡来访问账户。给出该系统的保密性、完整性等安全要求，并针对每个安全要求给出重要性程度：

用户的银行卡和个人信息（身份证号，人脸识别等）是绑定在一起的。个人信息的安全性和完整性都非常高，假如信息泄露，也许会造成不可估量的损失，所以银行系统一定要做好保密防泄漏工作。假如银行卡丢失或者个人PIN泄露的话，为了防止财产损失，用户可以持身份证明去银行冻结自己的账户，或者挂失重新办卡。对录入密码错误达到一定次数的卡，ATM机可以吞卡，以避免盗窃者进一步试验密码。

其次PIN码也很重要，它可以配合银行卡在ATM机上登录用户的账户界面，完成取款，转账等等操作。但是它的完整性低于个人身份信息。

最后是银行卡片，银行卡片必须配合PIN码使用，所以它的安全性和完整性都相对较低，卡片丢失也可以挂失补办。

简要解释base64编码。

Base64是一种“二进制转换到文本”的编码方式，它能够将任意二进制数据转换为ASCII字符串的形式，以便在只支持文本的环境中也能够顺利地传输二进制数据。

第1步，将待转换的字符串每三个字节分为一组，每个字节占8bit，那么共有24个二进制位。

第2步，将上面的24个二进制位每6个一组，共分为4组。

第3步，在每组前面添加两个0，每组由6个变为8个二进制位，总共32个二进制位，即四个字节。

第4步，根据Base64编码对照表获得对应的值。

数据包过滤防火墙有哪些弱点？

1、不能防范黑客攻击。包过滤防火墙的工作基于一个前提，就是网管知道哪些 IP 是可信网络，哪些是不可信网络的 IP 地址。但是随着远程办公等新应用的出现，网管不可能区分出可信网络与不可信网络的界限，对于黑客来说，只需将源IP包改成合法IP即可轻松通过包过滤防火墙，进入内网，而任何一个初级水平的黑客都能进行IP地址欺骗。

2、不支持应用层协议。假如内网用户提出这样一个需求，只允许内网员工访问外网的网页（使用 HTTP 协议），不允许去外网下载电影（一般使用FTP协议）。

3、不能处理新的安全威胁。