网络安全总结Word下载.docx

网络安全总结Word下载.docx

《网络安全总结Word下载.docx》由会员分享，可在线阅读，更多相关《网络安全总结Word下载.docx（17页珍藏版）》请在冰豆网上搜索。

非法使用：

某一资源被某个非授权的人或以某种

Morris：

因而需要确保正确性：

编写软件时：

内存分配

输入时：

编译工具

最小特权原则

认证失效

是许多攻击的根源、密码锁的作用

源地址有效性验证：

重发请求

协议缺陷

现有Internet的限制——TCP三次握手

密码学协议Sha1,DES

WEP与EAP

信息泄露

Finger

电话号码

DNS：

网络拓扑

拒绝服务（过度使用服务，使软硬件过度运行）

PingofDeath：

ICMP包

Teardrop：

IP碎片偏移重叠

UDP泛洪：

chargen服务—echo服务

SYN泛洪：

Land攻击：

源地址目的地址指向同一个位置

DOS：

RST位

DDoS：

分布式拒绝服务

指数攻击---病毒和蠕虫

●X.800的5类安全服务

认证、访问控制、数据保密性、数据完整性、不可否认性

●网络安全模型通常由6部分组成：

消息的发送方（信源）、消息的接收方（信宿）、安全变换、信息通道、可信的第三方和攻击者。

第二章TCP/IP协议族的安全性

●IP协议基本理解

一个IP数据报由首部和数据两部分组成。

首部的前一部分是固定长度，共20字节，是所有IP数据报必须具有的。

在首部的固定部分的后面是一些可选字段，其长度是可变的。

A.不能保证有序

B.不能保证完整性

——源地址的有效性：

基于IP地址的认证

IPsourcerouting

——有效载荷的完整性

C.非面向连接：

不可靠数据业务

——不能保证是否传送出去、仅传送一次

D.不能保证可靠的链路

——数据包的丢弃，TCP拥塞控制

E.数据包的分片与重组

——中间节点不能对小数据包进行拼装组合

——数据包重叠

G.无分类域间路由

——IP头部长度

——定向广播:

因为每个主机默认都会响应这个ping，导致链路流量过大而拒绝服务

IPv4报文格式：

●@ARP的安全性缺陷

通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞或者实现“maninthemiddle”进行ARP重定向和嗅探攻击。

每个主机都用一个ARP高速缓存存放最近IP地址到MAC硬件地址之间的映射记录。

MSWindows高速缓存中的每一条记录（条目）的生存时间一般为60秒，起始时间从被创建时开始算起。

默认情况下，ARP从缓存中读取IP-MAC条目，缓存中的IP-MAC条目是根据ARP响应包动态变化的。

因此，只要网络上有ARP响应包发送到本机，即会更新ARP高速缓存中的IP-MAC条目。

控制报文协议ICMP的安全缺陷

介于网络层和传输层的协议，它的主要功能是传输网络诊断信息。

ICMP传输的信息可以分为两类，一类是错误（error）信息，这一类信息可用来诊断网络故障。

ICMP只提供特定类型的错误汇报，它不能帮助IP协议成为“可靠”（reliable）的协议。

另一类信息是咨询（Informational）性质的，比如某台计算机询问路径上的每个路由器都是谁，然后各个路由器同样用ICMP包回答。

重定向、Pingofdeath、PathMTU

@传输控制协议TCP的安全性

IP数据包容易丢失、被复制和乱序传递，TCP用于提供可靠的链路。

重传重组

一般只有超级用户才可创建1024以下端口

三次握手：

SYNFlood

序号选择：

序号攻击

@用户数据报文协议UDP的安全缺陷

无纠错和重传

无数据包丢弃、复制或重排序

开销比TCP小

●IPv6数据报格式

第三章数字证书与公钥基础设施

●数字证书是一种具有权威性的电子文档，其作用是证明证书中所列用户身份与证书中所列公开密钥合法且一致。

是一个用户的身份与其所持有的公钥的结合。

●PKI是一种遵循标准的利用公钥理论和技术建立的提供安全服务的基础设施。

是创建、管理、存储、分发和撤销基于公钥加密数字证书所需要的一套硬件、软件、策略和过程的集合。

目的是从技术上解决网上身份认证、电子信息的完整性和不可抵赖性等安全问题。

为网络应用提供可靠的安全服务。

PKI包括数字证书CA、注册机构RA、证书发布库、密钥备份与恢复、撤销系统、PKI应用接口。

CA数字证书认证中心，是PKI体系的核心构建。

负责发放和管理数字证书。

注册机构RA是数字证书注册审批机构，是认证中心的延伸，与CA在逻辑上是一个整体，执行不同的功能。

证书发布库集中存放CA颁发的证书和撤销列表CRL。

●认证服务

身份识别与认证、验证证书的真伪、验证身份的真伪

●数据保密性服务（数字信封机制）

●数字证书基本字段：

●证书生成步骤：

密钥生成、注册、验证、证书生成。

●数字证书管理参与方：

最终用户、注册机构RA、证书机构CA

●密钥证书链

●证书撤销原因：

私钥被破解、CA发现签发数字证书时出错、证书持有者离职

●证书撤销列表CRL：

CRL仅列出在有效期内被撤销的证书，不包含过了有效期的失效证书。

CRL包含CA的签名

CRL包括CRL发布的日期、时间和下一个CRL发布的时间

CRL列出证书序号、撤销日期和时间、撤销原因

数字证书的安全性检查操作步骤：

证书有效期检查、签名检查、证书撤销状态检查

●PMI主要负责向业务应用系统提供与应用相关的授权服务管理，提供用户身份到应用授权的映射功能，实现与实际应用处理模式相对应的、与具体应用系统开发和管理无关的访问控制机制，极大地简化了应用中访问控制和权限管理系统的开发与维护，并减少了管理成本和复杂性。

PMI与PKI的区别：

PKI你是谁、PMI你能做什么

●PMI模型包括三部分：

目标、权限持有者、权限验证者。

第四章网络加密与密钥管理

●链路加密：

链路加密对网络中两个相邻节点之间传输的数据加密保护；

任意一对节点和相应调制解调器之间都装有相同的密码机，并配置相同的密钥；

不同节点之间的密码机和密钥不一定相同。

加密优点：

网络中传输的消息由报头和报文组成。

链路加密，报文和报头同时加密；

掩盖了传输的起点和终点。

链路上的信息均以密文形式存在。

填充技术可以掩盖消息的频率和长度特性。

加密缺点：

在中间传输节点上存在明文。

对链路两端的设备进行同步，影响网络性能。

当通过卫星网络等极端环境下，同步等问题更为严峻。

对称密钥带来的密钥分发、密钥管理和密钥更新问题。

节点加密：

链路上的信息均以密文形式存在，在中间传输节点上不存在明文。

缺点：

节点加密，仅对报文加密，报头和路由信息以明文形式传输；

暴露了传输的起点和终点。

端到端加密：

对一对用户（不是节点）之间的数据连续地提供保护，解决在消息交换过程中由于错误路由带来的泄密。

优点：

从原点到终点始终以密文形式存在，传输过程中不解密。

有节点损坏也不会带来泄密。

系统开销小。

避免了同步问题。

不影响其他用户。

不对目的地址加密。

混合加密：

端到端和链路混合加密：

报文将被两次加密，报头由链路方式加密。

链路加密与端到端加密各自的优点。

●好坏密钥区分：

基本密钥：

基本密钥、用户密钥

存在较长时间，能与会话密钥一起控制密钥产生器

会话密钥：

数据加密密钥

短期的；

可事先约定或协议分配；

限制了同一密钥加密的密文量。

密钥加密密钥：

次主密钥

对密钥加密的密钥，各节点应该互不相同。

主机主密钥

好密钥：

（1）真正随机、等概率，如掷硬币、掷骰子等；

（2）避免使用特定算法的弱密钥；

（3）双钥系统的密钥更难以产生，因为必须满足一定的数学关系；

（4）为了便于记忆，密钥不能选得过长，而且不可能选完全随机的数串，要选用易记而难猜中的密钥；

（5）采用密钥揉搓或杂凑技术，将易记的长句子（10～15个英文字的通行短语），经单向杂凑函数变换成伪随机数串（64bit）。

●密钥分配的三种方式：

一是利用安全信道实现密钥传递；

二是利用双钥体制建立安全信道传递：

三是利用特定的物理现象（如量子技术）实现密钥传递

●可信第三方TTP三种参与方式：

协调（Inline）、联机（Online）和脱机（Offline）

在协调方式下，T足一个中间人，为A与B之间通信提供实时服务；

在联机方式下，T实时参与A和B每次协议的执行，但A和B之间的通信不必经过T；

在脱机方式下，T不实时参与A和B的协议，而是预先向A和B提供双方执行协议所需的信息。

●密钥认证（确保自己是在和安全的一方通信，而不是和中间人通信）的三种方式：

隐式密钥认证

密钥确证

显式密钥认证

●采用双钥体制的中间人攻击

（1）A1ice将其公钥发送给Bob。

Mallorv截获这公钥，并将他自己的公钥发送给Bob。

（2）Bob将其公钥发送给A1ice。

Mallorv截获这一公钥，并将他自己的公钥发送给Alice。

（3）当Alice采用“Bob”的公钥对消息加密并发送给Bob时，Mallorv会将其截获。

由于这条消息实际上采用了Mallory的公钥进行加密，因此Mallory可以采用其私钥对密文解密，并采用Bob的公钥对消息重新加密后发送给Bob。

（4）当Bob采用“Alice”的公钥对消息加密并发送给A1ice时，Mallory会将其截获。

由于这条消息实际上采用了Mallory的公钥进行加密，因此Mallory可以采用其私钥对密文解密，并采用Alice的公钥对消息重新加密后发送给Alice。

即使Bob和Alice的公钥存储在数据库中，这一攻击形式仍然有效。

截获数据库查询指令。

进入数据库修改Alice和Bob的公钥。

●联锁协议

（1）Alice发送她的公钥给Bob；

（2）Bob发送他的公钥给Alice；

（3）A1ice用Bob的公钥对消息加密，此后，她将一半密文发送给Bob；

（4）Bob用Alice的公钥对消息加密，此后，他将一半密文发送给A1ice；

（5）Alice发送另一半密文给Bob；

（6）Bob将A1ice的两部分密文组合在一起，并采用其私钥解密，Bob发送他的另一半密文给Alice；

（7）Alice将Bob的两部分密文组合在一起，并采用其私钥解密。

一半密文既不可以解密，又不可以重新加密

第五章防火墙原理与设计

●防火墙是由软件和硬件组成的系统，处于安全的网络和不安全的网络之间，根据系统管理员设置的访问控制规则，对数据流进行过滤。

防火墙对数据流的处理有三种：

允许、拒绝、丢弃

●对防火墙功能的理解（判断）

防火墙的不足：

防外不防内；

绕过防火墙的连接无效；

必须允许重要的服务通过，也为攻击预留了通道。

●防火墙基本类型及工作网络层次

包过滤、电路级、应用级防