TCP IP协议的安全隐患和防范措施论文okWord文档格式.docx

1、摘要：Internet的日益普及给人们的生活和工作方式带来了巨大的变革，人们在享受网络技术带来的便利的同时，安全问题也提上了议事日程，网络安全也成为计算机领域的研究热点之一。TCP/IP出现在20世纪70年代，80年代被确定为Internet的通信协议，到了今天，TCP/IP已经成为网络世界中使用最广泛、最具有生命力的通信协议，并且成为事实上的网络互连工业标准。本文在介绍因特网中使用的TCP/IP协议的基础上，对TCP/IP协议的安全性进行了较为全面的讨论，具体分析了TCP/IP协议的基本体系结构、各层的常用协议及安全隐患和防范措施。希望能对未来的信息社会中网络安全环境的形成有所帮助。关键字：

2、TCP/IP；安全性；网络；协议；体系结构绪论TCP/IP（Transmission Control Protocol/Intemet Protocol）是20世纪70年代中期美国国防部（DOD）为其研究性网络ARPNET开发的网络体系结构，ARPANET最初是通过租用的电话线将美国的几百所大学和研究所连接起来。随着卫星通信技术和无线技术的发展，这些技术也被应用到ARPNET网络中，已有的协议已不能解决这些通信网络的互联问题，于是就提出了新的体系结构，用于将不同的通信网络无缝连接。这种体系结构后来被称为TCP/IP参考模型。TCP/IP协议时Internet进行网际互联通信的基础，目前Inte

3、rnet能如此迅速在全球延伸，主要是由于TCP/IP协议族的开放性，它打破了异构网络之间的壁垒，把不同国家的各种网络连接起来，使Internet成为了没有明确物理界限的网际。从而人们充分的享受全球共享，也因为TCP/IP的开放性，给Internet带来安全隐患也是正常的。当Internet遍布世界以后，网络的环境发生了根本的变化，信任的问题变得突出起来，因此Internet出现了很多问题，由于自身的缺陷、网络的开放性以及黑客的攻击时造成互联网不安全的主要原因。TCP/IP作为Internet使用的标准协议集，是黑客实施网络攻击的重点目标。这种基于地址的协议本身就回泄露口令，运行一些无关的程序，

4、这些都是网络的本身的缺陷。互联网技术屏蔽了底层网络硬件细节，使得异种网络之间可以互相通信。这就给人们攻击网络以可乘之机。由于大量重要的应用程序都以TCP作为它们的传输层协议，因此TCP的安全性问题会给网络带来严重的后果。网络的开放性，TCP/IP协议完全公开，远程访问使许多攻击者无须到现场就能够得手，连接的主机基于互相信任的原则等等性质使网络更加不安全。第一章 TCP/IP概述TCP/IP的历史，TCP/IP起源于20世纪60年代末美国政府资助的一个网络分组交换研究项目，被用于当今所构筑的最大的开放式网络系统Internet之上。1.2 TCP与IP简介TCP和IP是两个独立且紧密结合的协议，

5、负责管理和引导数据报文在Internet上的传输，二者使用专门的报文头定义每个报文的内容。TCP负责和远程主机的连接；IP负责寻址，使报文被送到其该去的地方。1.3 网络协议与分层 计算机网络是为了实现计算机之间的通信，任何双方要成功地进行通信，必须遵守一定的信息交换规则和约定，这些信息交换规则和约定就称为通信协议（ protocol ）。计算机上的网络接口卡、通信软件、通信设备都是遵循一定的协议设计的，必须符合一定的协议规范。 为了减少协议设计的复杂性，大多数网络都按层或级的方式来组织，每一层都建立在它的下层之上。不同的网络在分层数量和各层的名字、内容与功能上都不尽相同，然而，在所有的网络中

6、，每一层的目的都是向它的上一层提供一定的服务，而把这种服务是如何实现的细节对上层加以屏蔽。 层按功能来划分，每一层都有特定的功能，它一方面利用下一层所提供的功能，另一方面又为其上一层提供服务。通信双方在相同层之间进行通话，通话规则和协定的整体就是该层的协议。每一层都有一个或多个协议，几个层合成一个协议栈（ protocol stack ）。协议的分层模型便于协议软件按模块方式进行设计和实现，这样每层协议的设计、修改、实现和测试都可以独立进行，从而减少复杂性。 不同机器内包含相同协议层的实体叫做对等进程，对等进程是利用协议进行通信的主体。相邻层之间通过接口来定义相互关系，接口定义下层向上层提供的

7、原语操作和服务。层和协议的集合叫做网络体系结构。1.4 OSI 参考模型 OSI 模型有七层，其分层原则如下： 根据不同层次的抽象分层； 每一层应当实现一个定义明确的功能； 每一层功能的选择应当有助于制定网络协议的国际标准； 各层边界的选择应尽量减少跨过接口的通信量；层数应足够多，以避免不同的功能混杂在同一层中；但也不能太多，否则体系结构会过于庞大。根据这些原则， ISO 在 1983 年推出的 OSI 参考模型如图 1-1 所示。图 1-1 OSI 七层参考模型 值得注意的是， OSI 参考模型本身并不是一个完整的网络体系结构，因为它并未确切地描述用于各层的协议和服务，它仅仅告诉我们每层应该

8、做什么。不过， ISO 已经为各层制定了标准，但它们并不是参考模型的部分，而是作为独立的国际标准公布的。1.4.1 OSI 各层简介 OSI 七层模型是指从物理层到应用层这七层，它不涉及通信的物理介质。随着网络技术的发展，特别是局域网的发展，后来对 OSI 七层模型进行了改进。修订之一就是非正式地增加了一些子层和新层，如增加了第 0 层，使之覆盖了象电缆连接器和光纤这样的硬件细节。本节我们只对 OSI 模型的七层的功能作简单描述。1. 物理层 物理层（ physical layer ）是 OSI 模型的最低层，它建立在物理通信介质的基础上，作为系统和通信介质的接口，用来实现数据链路实体间透明的

9、比特流传输。在设计上必须保证一方发送出二进制“ 1 ”时，另一方收到的也是“ 1 ”而不是“ 0 ”。 物理层是 OSI 中唯一设计通信介质的一层，它提供与通信介质的连接，描述这种连接的机械、电气、功能和规程特性，以建 立、维护和释放数据链路实体之间的物理连接。物理层向上层提供位信息的正确传送。 物理层协议定义了硬件接口的一系列标准，典型地如用多少伏特电压表示“ 1 ”，多少伏特表示“ 0 ”；一个比特持续多少时间；传输是双向的还是单向的；最初的连接如何建立和完成通信后连接如何终止；一次通信中发送方和接收方如何应答；设备之间连接件的尺寸和接头数；每根线的用途等。2. 数据链路层 数据链路层（

10、data link layer ）的主要任务是加强物理层传输原始比特的功能，使之对网络层显现为一条无错链路。它在相邻网络实体之间建立、维持和释放数据链路连接，并传输数据链路数据单元（帧， frame ）。它是将位收集起来，按包处理的第一个层次，它完成发送包前的最后封装，及对到达包进行首次检视。其主要功能为：（1）、 数据链路连接的建立与释放：在每次通信前后，双方相互联系以确认一次通信的开始和结束。数据链路层一般提供无应答无连接服务、有应答无连接服务和面向连接的服务等三种类型服务。（2）、 数据链路数据单元的构成：在上层交付的数据的基础上加入数据链路协议控制信息，形成数据链路协议数据单元。（3）

11、、 数据链路连接的分裂：当数据量很大时，为提高传输速率和效率，将原来在一条物理链路上传输的数据改用多条物理链路来传输（与多路复用相反）。（4）、 定界与同步：从物理连接上传输数的比特流中，识别出数据链路数据单元的开始和结束，以及识别出其中的每个字段，以便实现正确的接收和控制。（5）、 顺序和流量控制：用以保证发送方发送的数据单元能以相同的顺序传输到接收方，并保持发送速率与接收速率的匹配。（6）、 差错的检测与恢复：检测出传输、格式和操作等错误，并对错误进行恢复，如不能恢复则向相关网络实体报告。3. 网络层 网络层（ network layer ）关系到子网的运行控制，其关键问题之一是确定分组从

12、源端到目的端如何选择路由。本层维护路由表，并确定哪一条路由是最快捷的，及何时使用替代路由。路由既可以选用网络中固定的静态路由表，几乎保持不变，也可以在每一次会话开始时决定（如通过终端协商决定），还可以根据当前网络的负载状况，高度灵活地为每一个分组决定路由。 网络层的另一重要功能是传输和流量控制，它在子网中同时出现过多的分组时，提供有效的流量控制服务来控制网络连接上传输的分组，以免发生信息“堵塞”或“拥挤”现象。 网络层提供两种类型的网络服务，即无连接的服务（数据报服务）和面向连接的服务（虚电路服务）。网络层使较高层与连接系统所用的数据传输和交换技术相独立。 IP 协议工作在本层，它提供“无连接

13、的”或“数据报”服务。4. 传输层 传输层（ transport layer ）的基本功能是从会话层接收数据，在必要时把它们划分成较小的单元传递给网络层，并确保到达对方的各段信息准确无误。而且，这些任务都必须高效率地完成。 传输层是在网络层的基础上再增添一层软件，使之能屏蔽掉各类通信子网的差异，相用户进程提供一个能满足其要求的服务，其具有一个不变的通用接口，使用户进程只需了解该接口，便可方便地在网络上使用网络资源并进行通信。 通常情况下，会话层每请求建立一个传输连接，传输层就为其创建一个独立的网络连接。如果传输连接需要较高的信息吞吐量，传输层也可以为之创建多个网络连接，让数据在这些网络连接上分

14、流，以提高吞吐量。另一方面，如果创建或维持一个网络连接不合算，传输层可以将几个传输连接复用到一个网络连接上，以降低费用。在任何情况下，都要求传输层能使多路复用对会话层透明。传输层是真正的从源到目标“端到端”的层，也就是说，源端机上的某程序，利用报文头和控制报文与目标机上的类似程序进行对话。在传输层以下的各项层中，协议是每台机器和它直接相邻的机器间的协议，而不是最终的源端机和目标机之间的协议，在他们中间可能还有多个路由器。TCP 协议工作在本层，它提供可靠的基于连接的服务。它在两个端点之间提供可靠的数据传送，并提供端到端的差错恢复与流控。5. 会话层 会话层（ session layer ）允许

15、不同机器上的用户之间建立会话关系，即正式的连接。这种正式的连接使得信息的收发具有高可靠性。会话层的目的就是有效地组织和同步进行合作的会话服务用户之间的对话，并对它们之间的数据交换进行管理。 会话层服务之一是管理对话，它允许信息同时双向传输，或任意时刻只能单向传输。约属于后者，则类似于单线铁路，会话层将记录此时该轮到哪一方了。一种与会话有关的服务是令牌管理（ token management ），令牌可以在会话双方之间交换，只有持有令牌的一方可以执行某种关键操作。 另一种会话服务是同步（ synchronization ）。同步是在连续发送大量信息时，为了使发送的数据更加精细地结构化，在用户发送的数据中设置同步点，以便记录发送过程的状态，并且在错误发生导致会话中断时，会话实体能够从一个同步点恢复会话继