信息安全原理复习题.docx
《信息安全原理复习题.docx》由会员分享，可在线阅读，更多相关《信息安全原理复习题.docx（14页珍藏版）》请在冰豆网上搜索。
信息安全原理复习题
1.如何理解Ipsec安全联盟SA的本地化和单向性？
在同一个节点设备上AH和ＥＳP能共享同一个SA吗？
为什么？
（15）
安全关联是两个应用ＩPsec实体（主机、路由器）间的一个单工连接，决定保护什么、如何保护以及谁来保护通信数据。
它规定了用来保护数据报安全的安全协议、密码算法、密钥以及密钥的生存期。
SA是单向的,要么对数据报进行“进入”保护,要么对数据报进行“外出”保护。
·思考题. 为什么IPSec要对进入和外出两个方向的ＳA进行单独的控制?
进入和外出的数据的安全需求不同，一般对进入的数据安全要求更高,因此它们的安全处理未必相同，需要用不同SA处理
一个SA对IP数据报只能提供AH或ESP保护。
补充:
若应用IPsec，策略要包含使用的安全协议（AH、ＥSP）、模式、算法等参数以安全关联的形式存储在SＡＤ（seｃuriｔyＡssoｃiａtｉoｎｄatabａｓｅ）中。
安全关联的字段包括:
目的IP地址（SA的目的地址,可为终端防火墙、路由器、系统等网络设备）、IPｓec协议（标识用的AH还是EＳP）、序号计数器（用于产生AＨ或ＥSＰ头的序号）、序号计数器溢出标志（若溢出，则产生一个审计事件，并禁止用SＡ继续发送数据报）、抗重放窗口（32biｔ计数器及位图，决定进入的AH或ESP数据报是否为重放的）、密码算法和密钥、安全关联的生存期.
AH对应IPsec数据交互阶段,ＡＨ只提供认证功能（数据源发认证和完整性校验）,ESP同时提供机密性和完整性保护（机密性和认证服务），因为加解密操作是耗时的,所以在仅需要认证的场合就可以使用AＨ。
从部署方面看，IPｓｅc有传输和隧道两种模式,在网关上使用IＰsec时,通常使用隧道模式,当在两台主机上使用时，通常使用传输模式。
2.分析SSL防重放攻击的安全机制,并比较分析其与ｉpｓec反重放机制的主要异同点（20）
ＳＳL防重放是通过客户端（服务器）向服务器（客户端）发送随机数来实现，期待这个随机数两次是不同的,如果有两次随机数相同,则说明发生了重放攻击。
Ipsec防重放是使用ＡH或ESＰ中的序号,若两次序号相同，则发生了重放攻击。
补充：
IPｓeｃ防重放攻击：
使用ＡＨ（ESＰ）保护数据发送接收数据的处理过程:
发送数据
1查询ＳA以获取安全参数
2（报文加密）
3生成序号
4计算认证数据
5构造IPsec报文并发送
接收数据:
1根据在ＳAD中查找相应的ＳＡ，如果找不到就丢弃这个报文
2使用滑动窗口机制验证序号,防止重放攻击
3验证认证数据，若通过验证，则还原数据并递交给相应的协议模块或转发，否则丢弃报文（验证认证数据,验证失败则丢弃报文）
4（解密,并将还原后的数据递交给相应的协议模块或转发，解密失败则丢弃报文）
ＳＳL（安全套接层）标准规定了4个协议:
握手协议（与SSＬ协商有关）、更改密码规范协议（与ssl协商有关）、警告协议（同时包含SSL安全通道关闭及错误通告功能）、记录协议（数据封装和处理）。
ＳSL提供的安全服务:
机密性、完整性、服务器认证以及可选的客户端认证。
客户端想服务器发送CｌiｅntHellｏ消息，其中包含了客户端所支持的各种算法和一个随机数，这个随机数将用于各种密钥的推导,并可以防止重放攻击。
服务器端返回ServerHello消息,随机数的功能与上述相同。
警告协议包括两种功能：
一是提供了报错机制,即通信双方若某一方法发现了问题便会利用该协议通告对等段；二是提供了安全断连机制,即以一种可认证的方式关闭连接。
3.从适用场景、安全机制、能对抗的安全威胁等方面（至少包括、但不限于），具体比较分析L2tｐ用户认证与ＰGP认证的实现原理和安全性。
（1５）
LAＣ：
Ｌ２ＴP接入集中器;ＬＮＳ:
L2TＰ网络服务器
远程系统的PPP帧首先发送给LＡＣ,LAC将它作为L２TＰ协议报文的数据区封装并发送给LNS,LＮS则对报文进行解封处理后发送给家乡网络中的主机。
某些情况下，主机可以不依赖LＡC，而是独立运行L2TP,并于LＮS建立隧道。
数据消息:
通过数据通道传输,不保证数据的可靠传输，承载PPP帧。
控制消息:
通过控制通道传输,保证控制消息的可靠传输，用于Ｌ2TP隧道和会话的协商及维护。
Ｌ2TP基于UDP。
L2TP包括两种消息,数据消息和控制消息，分别通过数据通道和控制通道传输,Ｌ2ＴP不保证数据消息的可靠传输,但保证控制消息的可靠传输。
L2TP不提供对ＰPP数据的机密性和完整性保护，若使用CＨAＰ,则可体现端点身份认证的功能。
L2TP规定了以下确保控制消息的可靠投递的机制：
1每个L2ＴP报文都包含序列号,从而为监测报文丢弃和乱序提供了基础
2L2TP使用肯定确认防止报文丢弃,即接收方收到报文后发回确认。
发送发若在一段时间之内没有手动啊确认则重发
3Ｌ2TＰ使用滑动窗口技术提高通信效率并进行流量控制
4L2TＰ使用慢启动策略防止拥塞
PGP的安全业务
数字签名:
DSＳ/ＳHＡ或ＲSA／SHA
完整性：
RSＡ、ＭD５
消息加密：
CAST-128或IＤEＡ或3DＥS+ Diffiｅ-Hellman或RSA
数据压缩:
ZIP
邮件兼容:
Radix64（将任意二进制输入，转换成可打印的字符输出的编码技术）
数据分段:
大邮件自动分段并在接收时自动恢复。
·身份鉴别
·保密性
⏹发生在签名后、加密前。
压缩
压缩发生在签名后，加密前
以下各题考虑如下图所示的原始应用环境,Ａ是远程工作前端网络的接入网关,C是后台业务资源网的接入网关。
前述两个网内部ＩP分配均是独立的私网地址,A与C之间为第三方ＩP网络，其间可能存在NAT、或代理、或端口控制等环节。
4.上图所示网络环境中，请注意B所在网段有网关A和无线网关W两个出口。
需要从B-C建立端-ｇate的IPＳEC通道、并屏蔽Ｗ带来的不确定性,如何建立B-Ｃ的ipsecSA安全联盟?
（１）请给出各种可能的sａ组合；
（2）并从中挑选出符合要求的ipsec sａ隧道配置方案,并给出理由;
（3）比较分析各种可能的组合各自存在的主要安全风险、以及对抗安全威胁能力的区别。
（２5）
ﻬ
考虑如下图所示的原始应用环境，A是远程工作前端网络的接入网关,C是后台业务资源网的接入网关。
前述两个网内部IP分配均是独立的私网地址,A与C之间为第三方IP网络,其间可能存在NAT、或代理、或端口控制等环节。
5．考虑基于PGP和ｐoｐ3/SMTＰ基本邮件服务以附件形态从B到D传输大数据文件，基于PＧP保证其间数据的机密性和完整性,
考虑把Ｂ端ＣPＵ序列号和操作系统及用户注册信息等本地软硬件环境参数的ｍd5值作为端端识别参量,如何与大数据文件一起打包后（请具体画出封包形式）经pｇp处理后传到D端以认证B设备？
画出从B端原始文件、到发送端处理、邮件发送、Ｄ端接收、接收端认证和数据还原处理等主要操作流程，以及发送端和接收端对应的端认证过程。
（２5）
ＰＧP的实际操作由五种服务组成:
鉴别、机密性、电子邮件的兼容性、压缩、分段和重装
PGP（Ｐｒetty GoodPrｉvａcｙ）:
是一个可提供机密性和认证的软件。
通常用来加密和解密电子邮件。
Mｄ5用作单向hash函数,通过使用ＲSA算法加密,用邮件发送者的秘密钥对ｍd5消息摘要进行加密
（2）
Ks：
sessｉｏnkey
ＫRa：
用户A的私钥
KＵa :
用户A的公钥
ＥＰ ：
公钥加密
DP ：
公钥解密
EC :
常规加密
ＤC ：
常规解密
H :
散列函数
｜｜ :
连接
Z:
用ＺIP算法数据压缩
Ｒ64:
用radix64转换到ASCIＩ格式
PGP消息产生过程
PGP消息接收过程：
安全协议在ＴCP/IP协议栈的分布
应用层:
Ｌ2TＰ、SSH（基于TCP）、ＰGP、IKE
传输层：
SSＬ、Ｓocks
IＰ层：
IＰSｅc
L2TP：
不提供机密性（没有对数据的加密功能）,
IPsec：
身份认证、机密性、完整性和防止重放攻击
IＫE的功能包括ＳA协商、密钥生成和身份认证，它是一个应用层协议基于UDＰ。
身份认证（ＩKE,通信双方互相认证）
数据源发认证（AH、EＳＰ）
完整性（ＡH、EＳP）
防止重放攻击（AH、ESP）
机密性（ＥSP＋传输模式、EＳP+隧道模式）
对通信流提供有限的机密性保护（ESP+隧道模式）
SA提供的安全服务取决于所选的安全协议（AＨ或EＳP）、ＳA模式（传输或隧道）、SＡ作用的两端点
SSL（TＬS）：
为两个通讯个体之间提供机密性、完整性，服务器认证以及可选的客户端认证。
服务器身份认证:
典型流程
客户端身份认证：
客户端认证流程，可选
完整性:
Fｉｎisheｄ消息（防止降级攻击）
机密性：
记录协议中定义
安全断连:
Closenotisfｙ消息
ＳＳH：
机密性、完整性保护、身份认证（必选的服务器认证，可选的客户端认证）
服务器身份认证:
传输层协议,必选的
客户端身份认证：
用户认证协议,可选的
完整性：
传输层协议定义
机密性:
传输层协议定义
防止重放攻击:
SG_MSG＿KEＸIＮIT消息中包含的coｏｋｉｅ
SＳＨ传输协议（协商和数据处理,包含服务器身份认证）:
SSH通信总是由客户端发起。
当期望使用SSＨ时，客户端首先通过三次握手与服务器的2２号端口建立ＴCP连接。
1版本协商
2密钥交换:
（1）算法协商
（2）Ｄ-H交换：
实现了密钥交换、服务器身份认证、握手消息完整性验证
防重放攻击:
SＳＨ_MSG＿KEXIＮIＴ消息中包含的coｏkiｅ是一个随机数，在计算密钥和生成会话ＩD时它是输入之一。
每次安全协商时应选取不同的coｏkｉｅ值,所以如果两次协商所获取得会话ID相同，则有可能发生了重放攻击。
（3）计算密钥
③服务请求/响应
·SSH传输层协议与用户认证协议的关系如何?
传输层协议只提供服务器认证功能，没有用户认证功能，如果需要认证用户身份,则客户需要利用传输层协议向服务器提出用户身份认证服务请求，若服务器接受请求,则双方开始执行ＳSH身份认证协议。
身份认证协议在传输层协议提供的安全通道上运行。
·SSＨ连接协议
当客户端通过SＳＨ传输层协议发出连接协议服务请求后，即可开始连接协议相关的流程。
该协议规定了利用SSH传输层协议已建立的安全通道进行交互式登录会话、远程执行命令、转发ＴCＰ／IP连接记忆Ｘ１1连接的相关内容。
传输层协议构建的安全通道成为隧道,而所有的终端绘画和被转发的连接都被陈伟通道。
一条隧道可以包含多条通道,这意味着SSH安全协议可以同时为多个不同的应用提供安全服务。
代理安全Ｓｏcｋs（防火墙安全会话转换协议）
·使用端口108０,工作于应用层。
·可转发所有高层应用,对操作系统无限制。
·专门设计用于防火墙
·在应用层和传输层之间垫了一层
·Soｃks库和soｃkd守护程序
·不支持ＩCMP转发
Socks本身未定义机密性、完整性保护方法,但由于所有通信量都要经过代理服务器转发,为统一制定安全策略并部署安全防护措施提供了便利。
Socｋs5支持多种客户端身份认证方案,如果某些认证方案能够支持机密性和完整性保护，这些功能在应用Socks后仍然能够得到保留。
·Soｃｋs客户端命令：
ＣONNECT：
通告代理服务器与远程主机建立连接,调用函数：
Ｒcｏｎnect
BＩNＤ:
通告服务器接收来自某个远程主机的连接请求，调用函数:
Rｂind,Rlisteｎ和Rａccept.
·Socks５沿袭了Soｃks4的体系结构以及命令,并作了以下扩展
１.扩展了客户端身份认证功能,支持多种身份验证方法：
用户名/口令认证方法（用户名和口令以明文方式发送，如被截获面临身份被假冒的风险）、GＳSＡPI认证（GSSAPI为定义所使用的认证方法和密钥交换方法,其安全风险取决于所使用的认证方法和密钥交换方法的安全性）。
２.扩展了寻址方法:
除了ＩPv４地址外,还支持域名及IPv6地址（基于Sｏｃkｓ的ＩPV４/IPｖ6网关）
3.增加了对ＵDP的支持
课后习题:
１.比较ＳSＬｖ3与IPSｅc,请从功能的角度分析这两个协议套件所包含的安全协议之间的对应关系。
·密码算法和密钥协商：
SＳLv3的握手协议，IＰSeｃ的IKＥ协议
·差错通知、状态通知:
SＳLv3的警告协议,IPSec的IKE协议的通知交换模式
·消息完整性：
SSＬv３记录格式中的MAC，IPSeｃ的ＡH和ESP报文中的认证数据。
·加密：
SSLv３的记录协议,IPSｅc的ＥSP
·身份认证：
SSLｖ３握手协议，IＰSec的IKＥ
2.利用SSL也可以构建VPN，但ＩPSeｃ VPN仍然是企业解决方案主流,为什么？
·SSＬＶPN只能进行认证和加密，不能实施访问控制，建立隧道后，管理员对用户不能进行所有的控制,而集成防火墙的IPSecVＰＮ则可以根据用户的身份和角色进行安全控制和审计。
·SＳＬ ＶPＮ局限了用户只能访问web服务器的应用,而IＰＳｅcVPN几乎能为所有应用提供访问。
·SＳLＶＰＮ只提供了单一的证书认证方式，企业需要购买或者部署一个小型证书系统,ＩPSec可以提供多种认证方式。
·SSＬVＰN位于传输层,IPＳecVＰN位于网络层,SSL ＶＰN的效率比IＰSecＶＰN差。
·要实现网络－网络的安全互联,只能考虑使用IＰSeｃ VPN。
3.从配置方法、管理简易性、可扩展性和安全性等方面对ＳSＬ VPＮ与ＳＳH VPN进行比较。
·效率：
SSH位于TCP/IP协议栈的应用层，SＳL位于传输层,利用SSH构建VＰN比ＳSL消耗更多带宽。
·配置方法：
SSHVPN使用ＴＣP/IP端口转发，ＳSL VPＮ使用分设端口。
·管理简易性：
使用上，SSL VPN对用户完全透明,SSH VＰN需要用户登录到用户账户上。
管理上,SSHＶPN可配置成仅允许目标端口为22的通信量通过,配置和管理更加简单，而SSLＶPN对不同应用的访问端口不同。
·可扩展性：
SSH不支持ＵＤＰ和ＩＣＭP报文，SSL不支持UＤP报文但支持ICMP报文。
·安全性:
SＳHVＰN和SSLVPN都提供了机密性、完整性和身份认证功能,他们支持的密码算法不同。
4. ＳＳＨ用户协议支持基于口令的认证方法，且不对口令作加密处理。
它这样放心地传输口令的依据是什么？
SSH的身份认证协议在传输协议所建立的安全通道上进行。
身份认证协议的报文封装在传输协议的报文的数据区中，而传输协议的报文的数据区可以进过加密处理后发出去,所以身份认证协议的数据可以以明文形式发送而无需关心保密性。
5.
升级会员 