第七章 网络安全

本章重要概念

1）计算机网络上的通信面临的威胁可分为两大类，即被动攻击（如截获）和主动攻击(如中断、篡改、伪造)。主动攻击的类型有更改报文流、拒绝服务、伪造初始化、恶意程序（病毒、蠕虫、木马、逻辑炸弹、后门入侵、流氓软件）等。

2）计算机网络安全主要有以下一些内容：机密性、端点鉴别、信息的完整性、运行的安全性和访问控制。

3）密码编码学是密码体制的设计学，而密码分析学则是在未知密钥的情况下从密文推演出明文或密钥的技术。密码编码学与密码分析学合起来即为密码学。

4）如果不论截取者获得了多少密文，都无法唯一地确定出对应的明文，则这一密码体制称为无条件安全的（或理论上是不可破的)。在无任何限制的条件下，目前几乎所有实用的密码体制均是可破的。如果一个密码体制中的密码不能在一定时间内被可以使用的计算资源破译，则这一密码体制称为在计算上是安全的。

5）对称密钥密码体制是加密密钥与解密密钥相同的密码体制（如数据加密标准DES 和高级加密标准AES)。这种加密的保密性仅取决于对密钥的保密，而算法是公开的。公钥密码体制（又称为公开密钥密码体制）使用不同的加密密钥与解密密钥。加密密钥（即公钥）是向公众公开的，而解密密钥（即私钥或密钥）则是需要保密的。加密算法和解密算法也都是公开的。

6）目前最著名的公钥密码体制是RSA体制，它是基于数论中的大数分解问题的体制。

7）任何加密方法的安全性取决于密钥的长度，以及攻破密文所需的计算量，而不是简单地取决于加密的体制（公钥密码体制或传统加密体制）。

8）数字签名必须保证能够实现以下三点功能：（1）报文鉴别，即接收者能够核实发送者对报文的签名：（2）报文的完整性，即接收者确信所收到的数据和发送者发送的完全一样而没有被篡改过；（3）不可否认，即发送者事后不能抵赖对报文的签名。

9）鉴别是要验证通信的对方的确是自己所要通信的对象，而不是其他的冒充者。鉴别与授权是不同的概念。

10）报文摘要 MD 曾是一种鉴别报文的常用方法，后来有了更加安全的SHA-1。但目前最为安全的是SHA-2和SHA-3。

11）密钥管理包括：密钥的产生、分配、注入、验证和使用。密钥分配（或密钥分发）是密钥管理中最大的问题。密钥必须通过最安全的通路进行分配。目前常用的密钥分配方式是设立密钥分配中心KDC。

12）认证中心 CA是签发数字证书的实体，也是可信的第三方。CA把公钥与其对应的实体（人或机器）进行绑定和写入证书，并对证书进行数字签名。任何人都可从可信的地方获得认证中心CA的公钥来鉴别数字证书的真伪。

13）为了方便地签发数字证书，根CA可以有下面的多级的中间CA，负责给用户签发数字证书。这样就构成了信任链和证书链。

14）在网络层可使用协议IPsec。IPsec 支持IPv4 和IPv6。IPsec 数据报可以使用隧道方式工作。

15）运输层的安全协议曾经有SSL（安全套接字层）和TLS（运输层安全）。但SSL已被淘汰。目前使用的最新版本是TLS1.3。TLS对服务器的安全性进行鉴别，对浏览器与服务器的所有会话记录进行加密，并保证所传送的报文的完整性。

16）防火墙是一种特殊编程的路由器，安装在一个网点和网络的其余部分之间，目的是实施访问控制策略。防火墙里面的网络称为“可信的网络”，而把防火墙外面的网络称为“不可信的网络”。防火墙的功能有两个：一个是阻止（主要的），另一个是允许。

17）防火墙技术分为：网络级防火墙，用来防止整个网络出现外来非法的入侵（属于这类的有分组过滤和授权服务器）；应用级防火墙，用来进行访问控制（用应用网关或代理服务器来区分各种应用）。

18）入侵检测系统IDS 是在入侵已经开始，但还没有造成危害或在造成更大危害前，及时检测到入侵，以便尽快阻止入侵，把危害降低到最小。

彩蛋🎁

与谁同坐，明月清风我。

  • 宋 - 苏轼 《点绛唇 · 闲倚胡床》

恭喜你🎉，完成了对第七章《网络安全》部分的学习，下一章我们将学习互联网上的音频/视频服务。

⏩第八章 《互联网上的音频/视频服务》

资料来源

[1]计算机网络简明教程（第四版），谢希仁.