实验一 常见对称密码算法的加解试验.docx
《实验一 常见对称密码算法的加解试验.docx》由会员分享，可在线阅读，更多相关《实验一 常见对称密码算法的加解试验.docx（41页珍藏版）》请在冰豆网上搜索。
实验一常见对称密码算法的加解试验
实验一常见对称密码算法的加/解试验
1.实验目标
◆对比了解常见对称密码算法的强度；
◆了解对称密码算法的工作方式。
2.考核点
◆常见对称密码算法的强度比较；
◆DES算法的弱密钥；
◆对称密码算法的工作模式——CBC。
3.实验环境
（1）硬件环境
◆CPU：
IntelPentiumIII500MHz或以上；
◆RAM：
256MB或以上；
◆硬盘：
至少有1GB或以上的空余磁盘空间。
（2）软件环境
有Apocalypso.exe的WindowsXP/2000/2003等（此软件不需安装）。
4.实验要求
（1）使用Apocalypso.exe分别完成DES加密、DES双重加密、Rijndael（AES）加密等加密试验；
（2）通过对比使用，说说你对DES和AES的直观认识！
5.实验要点与注意事项
◆仔细观察实验现象，认真思考现象背后的原理；
◆为使实验对比效果更加明显，建议待加密的“明文”为全零；
◆DES算法仅支持ASCII码；
◆通过试验对比DES和AES算法的强度。
实验二Hash函数实验
1.实验目标
◆了解Hash函数的技术特征及相应的用途；
◆体会为什么把文件的Hash值称作该文件的“指纹”。
2.考核点
◆Hash函数的技术特征和用途；
◆信息“完整性”的校验方法。
3.实验环境
（1）硬件环境
◆CPU：
IntelPentiumIII500MHz或以上；
◆RAM：
256MB或以上；
◆硬盘：
至少有1GB或以上的空余磁盘空间。
（2）软件环境
装有Win_MD5.exe的WindowsXP/2000/2003等（此软件不需安装）。
4.实验要求
（1）完成文件的“完整性”校验实验；
5.实验要点与注意事项
◆轻微改动明文内容，仔细对比试验结果，体会密码算法的“雪崩”效应；
◆可对大块文件进行Hash运算，体会对称算法的“速度”优势；
◆Hash函数对文件完整性的验证是如此的有效，在众多UNIX和Linux中都有实现，感兴趣的同学可以用“md5sum”命令在UNIX和Linux中测试。
实验三口令猜解实验
1.实验目标
◆掌握口令的猜解技巧；
◆通过试验总结“健壮的口令”应满足的条件。
2.考核点
◆何谓“健壮的口令”；
◆通过试验体会“字典攻击”、“穷举攻击”。
3.实验环境
（1）硬件环境
◆CPU：
IntelPentiumIII500MHz或以上；
◆RAM：
256MB或以上；
◆硬盘：
至少有1GB或以上的空余磁盘空间。
（2）软件环境
安装有AdvancedRARPasswordRecovery或LC5的WindowsXP/2000/2003等。
4.实验要求
（1）完成“字典攻击”和“穷举攻击”实验；
（2）体会“社会工程攻击”在口令猜解中的应用。
5.实验要点与注意事项
◆仔细观察实现现象，思考体会“密钥空间”的概念；
◆在使用字典工具生成“字典文件”是，一定要注意字典文件的大小；
通过多次的试验，总结口令猜解的技巧，体会其中“社会工程攻击”的思想。
实验四公钥技术相关实验
1.实验目标
◆通过数字签名、验证、加密和数字信封等试验，掌握公钥技术的应用。
2.考核点
◆数字签名、公钥加密和数字信封；
◆对信息安全中“机密性”、“完整性”和“不可否认性”的认识。
3.实验环境
（1）硬件环境
◆CPU：
IntelPentiumIII500MHz或以上；
◆RAM：
256MB或以上；
◆硬盘：
至少有２GB或以上的空余磁盘空间。
（2）软件环境
装有AdobeAcrobat7.0/8.0Professional的WindowsXP/2000/2003等。
4.实验要求
（1）创建“自签名证书”，并秘密保存；导出与私钥对应的个人公钥，公开给自己的合作者；
（2）私钥签名试验：
用自己的私钥签名一个PDF文档并公布；思考：
怎么识别签名？
（3）公钥验证试验：
拿到含有签名信息的PDF文档，任何人都可以用签名者的公钥来验证其签名；思考：
怎么才能拿到签名者的合法公钥？
可信中心还是其它？
（4）用合作伙伴的公钥和自己的私钥结合，加密一个PDF文档，看看都谁能打开它？
是怎么打开的？
（5）完成“数字信封”综合试验：
加密、签名、验证。
5.实验要点与注意事项
◆私钥一定要秘密、可靠地保存（要额外备份），并且保护私钥的口令不能太简单和泄露；
◆私钥和公钥成对使用，一个加密，另一个用来解密；
◆公钥应该有“信任”级别。
实验五WindowsIPsec试验
1.实验目标
◆了解IPsec的体系结构；
◆掌握IPsec筛选器；
◆了解IPsec典型应用；
2.考核点
◆IPsec的部署与应用；
◆AH与ESP的保护方式
◆IPsec主机到主机的应用模式；
3.实验环境
（1）硬件环境
◆CPU：
IntelPentiumIII500MHz或以上；
◆RAM：
1024MB或以上；
◆硬盘：
至少有10GB或以上的空余磁盘空间。
（2）软件环境
VMwareWorkstation6.0、WindowsServer2003EnterpriseEdition、SnifferPro或NetworkMonitor、WindowsXPProfessional。
（3）实验拓扑
图3-1WindowsIPsec试验拓扑
（4）实验环境准备（可借助上一个试验环境）：
CA：
安装WindowsServer2003EnterpriseEdition，配置IP信息，安装域控制器，并升级域功能；
Web：
安装WindowsServer2003Standard/EnterpriseEdition及InternetInformationServices（IIS）的计算机，并安装微软自带的网络监视器（NetworkMonitor）；
●配置IP信息，安装IIS；
●创建用于测试的Web站点，（常规Web，最好与CA的DNS相结合）。
PC：
PC是一部运行WindowsXPProfessional的计算机，当作IPsec客户端；
4.实验要求及实验步骤
方案一：
使用基于“预共享密钥”认证的IPsec的传输模式（本试验侧重于IPsec筛选器的使用）
预备前提：
在PC中分别用ping命令和IE测试DNS的正常解析及Web的正常访问，并使用网络监视器来捕获和分析网络传输的明文数据；
PC：
IPsec客户端（我们一般习惯于客户机访问服务器的思维过程，因此先在客户端上配置更易上手），具体操作步骤如下：
（1）打开本机的“IP安全策略管理”和“IP安全监视器”，配置符合试验要求的安全策略。
具体如下：
【开始】→【运行】→【mmc】→【文件】→【添加/删除管理单元】→【添加】→【IP安全策略管理】→【添加】，在此处，我们选择“本地计算机”并完成操作。
添加【IP安全监视器】→【添加】→【关闭】→【确定】。
（2）在控制台根节点的“IP安全策略管理，在本地计算机”中，右击选择“创建IP安全策略”，在弹出的“IP安全策略向导”的帮助下，一步步创建所需的IP安全策略；
（3）在“IP安全策略向导”对话框中的“IP安全策略名称”页面的“名称”框中填入合适的（见名知意）IP安全策略名称，如“AllowPCPingWeb”，如下图3-2所示：
图3-2IP安全策略名称
（4）下一步，在【IP安全策略向导】对话框的“安全通讯请求”页面中取消“激活默认的响应规则”复选框；
（5）下一步，在“IP安全策略向导”对话框的“正在完成IP安全策略向导”页面中选中“编辑属性”复选框；
（6）完成IP安全策略向导的使用，在弹出的如图3-3所示的IP安全策略属性对话框中，在“常规选项卡”中取消“使用添加向导”复选框，并单击“添加”按钮，添加自定义的“IP安全规则”；
图3-3创建新IP安全规则
（7）在弹出的如图3-4所示的“新规则属性”对话框中的“IP筛选器列表”选项卡中，单击【添加】按钮；
图3-4创建新筛选器列表
（8）在弹出的如图3-5所示的“IP筛选器列表”对话框中的“名称”选项，填写合适的IP筛选器列表名称，（如：
AllowPCPingwebFilterList），取消“使用添加向导”复选框，并单击【添加】按钮；
图3-5添加IP筛选器
（9）在弹出的如图3-6所示的“筛选器属性”对话框中，在“寻址”选项卡，在“源地址”下拉列表框中选择“我的地址”，在“目标地址”下拉列表框中选择“一个特定的IP地址”，并在IP地址字段中填写正确的Web服务器地址，并确保“镜像”复选框有效；
图3-6筛选器属性地址对话框
（10）在如图3-7所示的“筛选器属性”对话框中，在“协议”选项卡中的“选择协议类型”下拉列表框中选择ping命令所需的“ICMP”协议；
图3-7筛选器属性协议对话框
（11）在如图3-7中的“筛选器属性”对话框中，在“描述”选项卡中的“描述”字段中填写合适的筛选器名称，如：
AllowPCPingWeb；确定，完成筛选器的创建。
（12）如图3-8所示，在完成的IP筛选器列表中，选中我们刚刚创建的IP筛选器列表，单击“筛选器操作”选项卡；
图3-8创建筛选器操作
（13）在如图3-9所示的“新规则属性”对话框中的“筛选器操作”选项卡中，取消“使用添加向导”复选框，单击【添加】按钮；
图3-9添加新的筛选器操作
（14）在如图3-10所示的“新筛选器操作属性”对话框中，在“安全措施”选项卡，选中“协商安全”复选框，并单击【添加】按钮；
图3-10新筛选器操作属性
（15）在如图3-11弹出的“新增安全措施”对话框中，选中“仅保持完整性”复选框，并单击“确定”按钮；
图3-11新增安全措施
（16）在“新筛选器属性”对话框中，在“常规”选项卡的“名称”字段为筛选器操作填写合适的名称，如：
“AllowPＣPingWebWithAH”，单击确定，完成筛选器操作的创建。
（17）在如图3-12所示的“新规则属性”对话框中，在“筛选器操作”选项卡中，选中我们刚刚创建的筛选器操作，点击“身份验证方法”选项卡，
图3-12创建身份验证方法
（18）如图3-13所示在“新规则属性”对话框中的“身份验证方法”选项卡上单击【添加】按钮；
图3-13添加新身份验证方法
（19）如图3-14在弹出的“新身份验证方法属性”对话框中，选中“使用此字符串（预共享密钥）”并在对话框中填写合适的“预共享密钥”；
图3-14预共享密钥身份验证
（20）单击“确定”，返回上一级选项卡，如图3-15所示，在“身份验证方法首选顺序”框内，上移“预共享的密钥”为首选身份验证方法，并应用；
图3-15身份验证方法优先级
（21）在“新规则属性”对话框中的“隧道设置”选项卡，默认选择“此规则不指定IPsec隧道”；
（22）在“新规则属性”对话框中的“连接类型”选项卡，默认选择“所有网络连接”；
（23）至此，PC端的自定义的IP安全策略设置完毕；只需右键选中自定义的策略，单击“指派”即可。
◆Web：
2003web服务器端配置
（1）打开本机的“IP安全策略管理”和“IP安全监视器”，配置自定义的安全策略，具体方法同上；
（2）在本机，创建自定义的IP安全策略，与在PC计算机上的配置相对应，配置方法同上，配置内容概要如下：
AllowPCPingWebWithAH，步骤如下：
1）新建IP安全策略名称：
AllowPCPingweb；
2）新建IP安全规则：
AllowPCPingWeb；
3）新建IP安全筛选器列表：
AllowPCPingWebFilterList；
4）新建IP筛选器“AllowPCPingWeb”，其属性为；
源IP
目标IP
协议
镜像
我的
PC
ICMP
是
5）新建筛选器操作：
Ø安全措施：
协商安全；
Ø安全和加密选项：
仅完整性；
Ø名称：
AllowPCPingWebWithAH；
6）身份验证方法：
预共享密钥（HeNanXinHua）；
7）隧道设置：
无；
8）连接类型：
所有网络连接；
（3）至此，Web端的自定义的IP安全策略设置完毕，“指派”使其生效即可。
◆Web：
测试自定义的IP安全策略
（1）ping测试：
在第一次Ping过程中，会出现如下图所示的协商过程和通信过程。
若只有协商过程，则说明IP安全策略定义有不一致的地方，检查并重新配置。
注意：
若PC端打开了XPSP2自带的防火墙，Ping不能成功。
图3-16Ping测试AH的传输模式
（2）网络监视器：
如图3-17所示，用网络监视器捕获并察看数据传输过程。
可以清晰地看到：
●对等体在使用IPsec的AH传输模式保护通信传输之前，进行了“十次”协商；
●IPsec通过添加“ESP”报头保护了IP的上层协议——ICMP；
注意：
IPsec不是使用是AH协议来“仅保持完整性”的吗？
怎么会是ESP呢？
在图3-11的“仅保持完整性”选项的背后，隐藏的实质是用ESP协议的SHA-1算法来保持完整性的。
若要使用AH协议的完整性保护，可在图3-11的自定义选项内选配。
那么问题是：
AH协议的完整性保护和ESP协议的完整性保护，在安全上有什么区别呢？
●“仅保持完整性”模式没有加密IP的上层数据——明文传输；
图3-17网络监视器捕获的IPsec数据包解析
（3）IP安全监视器：
如图3-18所示，打开控制台根节点下的IP安全监视器，可以看到整个IP安全策略的配置信息和传输细节的统计。
因此，依据IP安全监视器进行IPsec通信的排错，是个不错的选择。
图3-18IP安全监视器的统计信息
方案一的进一步练习：
目的在于熟练掌握IP安全策略的使用
分别在PC和Web上自定义以下IP安全策略：
（1）AllowPCPingWebWithESP（在原来基础上，只需改“筛选器操作”、“安全措施”中的“仅保持完整性”为“加密并保持完整性”即可）；
注意：
每次IPsec策略改变之后，在测试时最好用网络监视器来捕获通信过程，以从根本上验证IPsec策略并对比分析IPsec协议的细节。
此乃学习网络的最佳之路。
（2）AllowPCAccessWeb80WithAH（在原来基础上，只需改动“筛选器”的“协议”选项即可）；
●PC端，IP筛选器“AllowAccessWeb80Filter”；
源IP
目标IP
协议
源端口
目标端口
镜像
我的
Web
TCP
任意
80
是
●Web端IP筛选器：
IP安全策略定义完成后，要用IE和网络监视器来验证
源IP
目标IP
协议
源端口
目标端口
镜像
我的
PC
TCP
80
任意
是
（3）AllowPCAccessWeb80WithAH&ESP（在2基础上，只需改动“筛选器操作”中的“安全措施”即可）；
（4）AllowPCAccessWeb80andPingWebWithAH&ESP（在原来基础上，只需添加“筛选器”的“协议”选项）；
方案二：
使用基于“KerberosV5”认证的IPsec的传输模式
基于“预共享密钥”认证方式的IPsec安全性最差，但却拥有最广泛的兼容性；当前在Window企业环境下，活动目录已成为一种基本的部署，在没有公钥基础设施的企业环境中，基于KerberosV5认证方案IPsec已成为最佳选择。
●CA：
在CA的“ActiveDirectory用户和计算机”中，创建用于试验客户端PC的域管理员（DomainAdmini）帐户和成员服务器Web的域管理员帐户；
●PC：
使本机加入域环境，用相应的域管理员帐户登录；检查此用户是否有配置本机的“IP安全策略管理”的权限，若没有重启系统并检查域帐户权限；
●Web：
使本机加入域环境，用相应的域用户登录；检查此用户是否有配置本机的“IP安全策略管理”的权限，若没有重启系统并检查域帐户权限；
说明：
两个测试系统（Web和PC）必须是同一（或受信任）域的成员。
参照试验一的步骤，分别在PC和Web上创建相应的IP安全策略，例如：
保护PC对Web服务器TCP80端口的访问；仅把身份验证方法设置为默认的Kerveros即可；
注意：
以前自定义的IP安全策略，最好全部删除；
●PC端：
Ø新建IP安全策略名称：
AllowAccesswebPolicy；
Ø新建IP安全规则：
AllowAccessWeb；
Ø新建IP安全筛选器列表：
AllowAccessWebFilterList；
Ø新建IP筛选器“AllowAccessWeb80Filter”：
源IP
目标IP
协议
源端口
目标端口
镜像
我的
Web
TCP
任意
80
是
Ø新建筛选器操作：
✓安全措施：
协商安全；
✓安全和加密选项：
加密并保持完整性；
✓名称：
AllowAccessWebWithESP；
Ø身份验证方法：
默认Kerberos；
Ø隧道设置：
无；
Ø连接类型：
LAN；
●Web端：
Ø新建IP安全策略名称：
AllowPCAccesswebPolicy；
Ø新建IP安全规则：
AllowPCAccessWeb；
Ø新建IP安全筛选器列表：
AllowPCAccessWebFilterList；
Ø新建IP筛选器“AllowPCAccessWeb80”：
源IP
目标IP
协议
源端口
目标端口
镜像
我的
PC
TCP
80
任意
是
Ø新建筛选器操作：
✓安全措施：
协商安全；
✓安全和加密选项：
加密并保持完整性；
✓名称：
AllowPCAccessWebWithESP；
Ø身份验证方法：
默认Kerberos；
Ø隧道设置：
无；
Ø连接类型：
LAN；
方案三：
使用基于“证书”的IPsec的传输模式
由于活动目录的协议复杂且需要开放很多的端口，因此IPsec并不适合保护域成员及其与控制器之间的通信安全；
在部署有公钥基础设施的企业环境中，基于“证书”或“智能卡”认证是最安全的认证方案，基于证书的IPsec应用也就是最安全传输保护方案。
CA：
（部分借助方案二的试验环境，只需额外添加证书的自动颁发即可）
启用IPsec证书模板：
在CA的“证书颁发机构”中右击“证书模板”选择“新建”“要颁发的证书模板”选择“IPsec”，单击确定，如图3-19所示；
图3-19启用IPsec证书模板
设置CA来自动注册IPsec证书，请执行下列步骤：
1）在域控制器上，编辑“默认组策略”；
2）在控制台树中，依序打开计算机配置、Windows设置、安全设置、公钥策略及自动证书请求设置；
3）右击“自动证书请求设置”，指向“新建”，再单击“自动证书请求”，在“欢迎使用自动证书请求设置向导”页面上，单击“下一步”，在“证书模板”对话框中，选中“IPsec”，如下图所示；
图3-20自动证书申请设置
4）单击下一步，在完成自动证书请求设置向导页面上，单击完成。
刷新组策略：
●PC：
（可借助方案二的试验环境，只需额外添加证书的自动申请即可）
Ø重启或刷新组策略；通过组策略申请IPsec证书；
Ø察看PC是否已获得IPsec证书，察看方法：
方法一：
控制台根节点→证书→计算机账户→本地计算机，确定；打开“控制台根节点”下的→证书（本地计算机）→个人→证书下查看是否有计算机证书。
有，说明证书已通过组策略自动分发，如下图所示；没有，可以在此处单击右键，选择“所有任务”→“申请新证书”，使用“证书申请向导”来完成证书申请；若还申请不到，说明上面的配置出了问题，请重新配置。
图3-21本地计算机证书控制台
方法二：
在CA的证书颁发机构中，察看已颁发的证书中是否有VPN客户端的用户证书。
按照前面的的试验配置自定义IP安全策略，只把前面例子中的身份方法改为“使用由此证书颁发机构颁发的证书”即可，见下图，并选择自创建的证书颁发机构（CA），确定，并确保“身份验证方法首选顺序”为证书，为避免意外，可以将Kerberos删除。
图3-22设置身份验证方式——证书
●Web：
Ø重启或刷新组策略；通过组策略申请IPsec证书；
Ø察看Web服务器是否已获得IPsec证书，察看方法同上；
Ø在Web服务器上配置与PC相对应的IPsec策略，具体方法同上。
●Web：
测试自定义的IP安全策略
ØPing测试与网络监视器捕获，请同学们在试验时要把试验现象记录进试验手册。
5.实验要点与注意事项
◆本试验步骤复杂，可逐步配置，逐步试验；
◆在配置（定制）IPsec策略时，最好不要用“向导”，按照自己事先的规划，以使试验步骤不跳跃太大；
◆本实验的关键在于熟练掌握“IPsec筛选器、保护方式及身份验证方法”的灵活应用，（WindowsIPsec位于系统内核的TCP/IP协议栈之中，因此IPsec筛选器也就成了最好的防火墙——高效、安全）；
◆可以使用“IPsec安全监视器”，来检查IPsec策略和验证IPsec通信；
◆本实验逐步尝试IPsec的多种身份认证方法，并对比起灵活性、易用性和安全性；
◆进一步的参考资源：
为隔离组创建IPsec策略。
（
实验六WindowsVPN试验
1.实验目标
◆VPN的概念与应用；
◆IPsec的体系结构与应用；
◆企业CA的管理——证书模板的使用与根CA信任；
◆双因子认证——智能卡登陆
2.考核点
◆VPN的特征、隧道技术；
◆IPsec的部署与应用；
◆证书模板与根CA的自动信任；
◆目前三种通用的VPN解决方案：
PPTPVPN、L2TPVPN、EAP-TLSVPN。
3.实验环境
（1）硬件环境
◆CPU：
IntelPentiumIII500MHz或以上；
◆RAM：
1024MB或以上；
◆硬盘：
至少有10GB或以上的空余磁盘空间。
（2）软件环境
VMwareWorkstation6.0、WindowsServer2003EnterpriseEdition、WindowsServer2003StandardEdition、SnifferPro或NetworkMonitor、WindowsXPProfessional。
（3）实验拓扑
图3-23VPN试验拓扑
（4）实验环境准备（部分可借助上一个试验环境）：
升级会员 