2011年下學期

《計算機網絡安全技術與應用》課程期末復習指導

《計算機網絡安全技術與應用》課程介紹了計算機網絡安全的概念

以及網絡安全體系結構、數據加密技術、網絡操作系統安全、數據庫

與數據安全、PKI技術、防火墻工作原理及應用、計算機病毒防治、

入侵檢測系統和無線網絡安全技術等。要求學生掌握的主要內容有：

計算機網絡安全的基本概論；數據加密技術；操作系統的安全與訪問

控制；數據庫與數據安全；PKI技術；防火墻技術；計算機病毒防治

和入侵檢測技術等。通過學習這些內容，為今后開展計算機網絡安全

技術領域的研究和開發工作打下良好的基礎。

為了同學更好地復習和掌握這門課程的知識，下面按照教學大綱

要求，對各章的復習要點進行歸納總結，并給出相應的練習題及解答,

供大家復習時參考。

第1章緒論

1.什么是網絡安全

所謂“安全”，字典中的定義是為防范間諜活動或蓄意破壞、犯

罪、攻擊而采取的措施；將安全的一般含義限定在計算機網絡范

疇，網絡安全就是為防范計算機網絡硬件、軟件、數據偶然或蓄

意被破壞、篡改、竊聽、假冒、泄露、非法訪問并保護網絡系統

持續有效工作的措施總和。

2.網絡安全保護范圍

網絡安全與信息安全、計算機系統安全和密碼安全密切相關，但

涉及的保護范圍不同。信息安全所涉及的保護范圍包括所有信息資

源；計算機系統安全將保護范圍限定在計算機系統硬件、軟件、文件

和數據范疇，安全措施通過限制使用計算機的物理場所和利用專用軟

件或操作系統來實現；密碼安全是信息安全、網絡安全和計算機系統

安全的基礎與核心，也是身份認證、訪問控制、拒絕否認和防止信息

竊取的有效手段。

O

3.網絡安全目標

?網絡安全的最終目標就是通過各種技術與管理手段實現網絡信

息系統的可靠性、保密性、完整性、有效性、可控性和拒絕否

認性。

?1)保密性保密性(Confidentiality)是指信息系統

防止信息非法泄露的特性，信息只限于授權用戶使用。保密性

主要通過信息加密、身份認證、訪問控制、安全通信協議等技

術實現。信息加密是防止信息非法泄露的最基本手段。

?2)完整性完整性(Integrity)是指信息未經授權不

能改變的特性。完整性與保密性強調的側重點不同，保密性強

調信息不能非法泄露，而完整性強調信息在存儲和傳輸過程中

不能被偶然或蓄意修改、刪除、偽造、添加、破壞或丟失，信

息在存儲和傳輸過程中必須保持原樣。

2

?3)有效性有效性(AvailabiIity)是指信息資源容許

授權用戶按需訪問的特性(信息系統面向用戶服務的安全特

性)。信息系統只有持續有效，授權用戶才能隨時、隨地根據

自己的需要訪問信息系統提供的服務。

4、軟件漏洞

?軟件漏洞(Flaw)是指在設計與編制軟件時沒有考慮對非正常

輸入進行處理或錯誤代碼而造成的安全隱患，也稱為軟件脆弱性

(VulnerabiIity)或軟件隱錯(Bug)。

?5、網絡系統面臨的威脅

?網絡系統面臨的威脅主要來自外部的人為影響和自然環境的影

響，其中包括對網絡設備的威脅和對網絡中信息的威脅。這些威脅主

要表現為：非法授權訪問、假冒合法用戶、病毒破壞、線路竊聽、黑

客入侵、干擾系統正常運行、修改或刪除數據等。這些威脅大致可分

為無意威脅和故意威脅兩大類。

1)無意威脅無意威脅是在無預謀的情況下破壞系統的安全

性、可靠性或信息的完整性等。

2)故意威脅故意威脅實際上就是“人為攻擊”。由于網絡

本身存在脆弱性，因此總有某些人或某些組織想方設法利用網絡系統

達到某種目的。

3

攻擊者對系統的攻擊范圍從隨便瀏覽信息到使用特殊技術對系

統進行攻擊，以便得到有針對性的信息。這些攻擊又可分為被動攻擊

和主動攻擊。被動攻擊是指攻擊者只通過監聽網絡線路上的信息流

獲得信息內容，或獲得信息的長度、傳輸頻率等特征，以便進行信息

流量分析攻擊。主動攻擊是指攻擊者對傳輸中的信息或存儲的信息

進行各種非法處理，有選擇地更改、插入、延遲、刪除或復制這些信

息。

6、網絡信息安全框架

網絡信息安全可看成一個由多個安全單元組成的集合。其中，每

個單元都是一個整體，包含了多個特性。一般來說，人們從3個主要

特性一一安全特性、安全層次和系統單元來理解安全單元。該安全單

元集合可用一個三維安全空間來描述，如圖所示。該三維安全空間反

映了信息系統安全需求和安全結構的共性。

4

網絡信息安全框架

7、P2DR模型

P2DR模型是一種常用的網絡安全模型，如圖所示。P2DR模型

包含4個主要部分：安全策略、防護、檢測和響應。防護、檢測和響

應組成了一個所謂的“完整”、“動態”的安全循環。

安全策略

P2DR網絡安全模型

8、實體安全技術和訪問控制技術

1）實體安全技術網絡實體安全（物理安全）保護就是指采

取一定措施對網絡的硬件系統、數據和軟件系統等實體進行保護和對

自然與人為災害進行防御。

5

2）訪問控制技術訪問控制就是規定哪些用戶可訪問網絡系

統，對要求入網的用戶進行身份驗證和確認，這些用戶能訪問系統的

哪些資源，他們對于這些資源能使用到什么程度等。

第2章數據加密技術

1.密碼學的發展

密碼學的發展可分為兩個主要階段：第一個階段是傳統密碼學階

段，即古代密碼學階段，該階段基本上依靠人工和機械對信息進行加

密、傳輸和破譯；第二階段是計算機密碼學階段，該階段又可細分為

兩個階段，即使用傳統方法的計算機密碼學階段和使用現代方法的計

算機密碼學階段。在20世紀70年代，密碼學的研究出現了兩大成果,

一個是1977年美國國家標準局（NBS）頒布的聯邦數據加密標準

（DES）,另一個是1976年由Diffie和HeiIman提出的公鑰密碼體

制的新概念。

DES將傳統的密碼學發展到了一個新的高度，而公鑰密碼體制的

提出被公認是實現現代密碼學的基石。

2、加解密過程

通用的數據加密模型如圖所示。

發送端接收端

6

從圖可見，加密算法實際上是要完成其函數C二F(只解的運算。

對于一個確定的加密密鑰Ke,加密過程可看作是只有一個自變量的函

數,記作￡,稱為加密變換。因此加密過程也可記為：俏￡(0

即加密變換作用到明文夕后得到密文C。

3、對稱密鑰密碼和非對稱密鑰密碼

按加密和解密密鑰的類型劃分：加密和解密過程都是在密鑰的

作用下進行的。如果加密密鑰和解密密鑰相同或相近，由其中一個很

容易地得出另一個，這樣的系統稱為對稱密鑰密碼系統。在這種系統

中，加密和解密密鑰都需要保密。對稱密鑰密碼系統也稱為單密鑰密

碼系統或傳統密鑰密碼系統。

如果加密密鑰與解密密鑰不同，且由其中一個不容易得到另一個,

則這種密碼系統是非對稱密鑰密碼系統。這兩個不同的密鑰，往往其

中一個是公開的，另一個是保密的。非對稱密鑰密碼系統也稱為雙密

鑰密碼系統或公開密鑰密碼系統。

4、數據加密標準DES

DES算法是最具有代表性的分組加密算法。它將明文按64位分組,

輸入的每一組明文在密鑰控制下，也生成64位的密文。DES的整個

體制是公開的，系統的安全性完全依賴于密鑰的保密性。

5、DES的特點及應用

7

(1)DES算法的特點：DES算法具有算法容易實現、速

度快、通用性強等優點；但也有密鑰位數少、保密強度較差和密鑰管

理復雜等缺點。

(2)DES的主要應用，包括：①計算機網絡通信。對計算機

網絡通信中的數據提供保護是DES的一項重要應用，但這些保護的數

據一般只限于民用敏感信息，即不在政府確定的保密范圍之內的信

息。

②電子資金傳送系統。采用DES的方法加密電子資金傳送系統中的

信息，可準確、快速地傳送數據，并可較好地解決信息安全的問題。

③保護用戶文件。用戶可自選密鑰，用DES算法對重要文件加密，

防止未授權用戶竊密。④用戶識別。DES還可用于計算機用戶識別

系統中。

6、公鑰體制的概念

與對稱密鑰加密方法不同，公開密鑰密碼系統采用兩個不同的密

鑰來對信息進行加密和解密，也稱為“非對稱式加密方法”。

7、公鑰算法的應用

使用公開密鑰對文件進行加密傳輸的實際過程包括如下4個步

驟：

(1)發送方生成一個加密數據的會話密鑰，并用接收方的公開密鑰

對會話密鑰進行加密，然后通過網絡傳輸到接收方。

(2)發送方對需要傳輸的文件用會話密鑰進行加密，然后通過網絡

把加密后的文件傳輸到接收方。

8

（3）接收方用自己的私鑰對發送方加過密的會話密鑰進行解密后得

到加密文件的會話密鑰。

（4）接受方用會話密鑰對發送方加過密的文件進行解密得到文件的

明文形式。

8、RSA算法

目前，最著名的公開密鑰密碼算法是RSA,它是由美國麻省理工

學院MIT的3位科學家Rivest>Shamir和AdIeman于1976年提出的，

故名RSA,并在1978年正式發表。

假設用戶A在系統中要進行數據加密和解密，則可根據以下步

驟選擇密鑰和進行密碼變換。

（1）隨機地選取兩個不同的大素數0和q（一般為100位以上

的十進制數）予以保密。

（2）計算n=p-q,作為A的公開模數。

（3）計算Euler函數：①（〃）=（p-1）,modn

（4）隨機地選取一個與（p-1）?（q-1）互素的整數e,作為A

的公開密鑰。

（5）用歐幾里德算法，計算滿足同余方程

e,d三1（mod①（n））

的解d,作為A用戶的保密密鑰。

（6）任何向A發送明文的用戶，均可用A的公開密鑰e和公開

模數n,根據式

C=Me(modn)

9

計算出密文c。

(7)用戶A收到C后，可利用自己的保密密鑰d,根據式

M=Cd(modn)

還原出明文M。

9、通信安全

通信過程中，通過在通信線路上搭線可以竊取(竊聽)傳輸的信

息，還可以使用相應設施接收線路上輻射的信息，這些都是通信中的

線路安全問題。

10、TCP/IP服務的脆弱性

基于TCP/IP協議的服務很多，常用的有Web服務、FTP服務、

電子郵件服務等;人們不太熟悉的有TFTP服務、NFS服務、Finger

服務等。這些服務都在不同程度上存在安全缺陷。

(1)電子郵件程序存在漏洞：電子郵件附著的文件中可能帶有

病毒，郵箱經常被塞滿，電子郵件炸彈令人煩惱，還有郵件溢出等。

(2)簡單文件傳輸協議TFTP服務用于局域網，它沒有任何安全

認證，安全性極差，常被人用來竊取密碼文件。

(3)匿名FTP服務存在一定的安全隱患：有些匿名FTP站點為

用戶提供了一些可寫的區域，用戶可以上傳一些信息到站點上，因此

可能會浪費用戶的磁盤空間、網絡帶寬等資源，還可能造成“拒絕服

務”攻擊。

10

(4)Finger服務可查詢用戶信息，包括網上成員姓名、用戶名、

最近的登錄時間、地點和當前登錄的所有用戶名等，這也為入侵者提

供了必要的信息和方便。

11、通信加密

網絡中的數據加密可分為兩個途徑，一種是通過硬件實現數據加

密，一種是通過軟件實現數據加密。通過硬件實現網絡數據加密有3

種方式：鏈路加密、節點加密和端一端加密；軟件數據加密就是指使

用前述的加密算法進行加密。

(1)鏈路加密鏈路加密(LinkEncryption)是指傳輸數據僅

在數據鏈路層上進行加密。如圖所示。

鏈路加密

(2)節點加密節點加密的目的是對源節點到目的節點之間的傳

輸鏈路提供加密保護。節點加密指每對節點共用一個密鑰，對相鄰兩

節點間(包括節點本身)傳送的數據進行加密保護。

(3)端一端加密端點加密的目的是對源端用戶到目的端用戶

的數據提供加密保護。端一端加密(又稱脫線加密或包加密)要求傳

11

送的數據從源端到目的端一直保持密文狀態，數據在發送端被加密,

在接收端解密，中間節點處不以明文的形式出現。

12、通信加密方式的比較和選擇

①鏈路加密的特點：加密方式比較簡單，實現也較容易；可防

止報文流量分析的攻擊；一個鏈路被攻破，不影響其他鏈路上的信息;

一個中間節點被攻破時，通過該節點的所有信息將被泄露；加密和維

護費用大，用戶費用很難合理分配；鏈路加密只能認證節點，而不面

向用戶，因此鏈路加密不能提供用戶鑒別。

②端一端加密的特點：可提供靈活的保密手段，例如主機到主

機、主機到終端、主機到進程的保護；加密費用低，并能準確分配；

加密在網絡應用層實現，可提高網絡加密功能的靈活性；加密可使用

軟件實現，使用起來很方便；不能防止信息流量分析攻擊；

③加密方式的選擇：從以上兩種加密方式可知，鏈路加密對用

戶系統比較容易，使用的密鑰較少，而端-端加密比較靈活。因此，

用戶在選擇通信方式時可作如下考慮：在需要保護的鏈路數少，且要

求實時通信，不支持端-端加密的遠程調用等通信場合，宜采用端-

端加密方式；在多個網絡互聯的環境中，宜采用端-端加密方式；在

12

需要抵御信息系統流量分析場合，可采用鏈路加密和端-端加密相結

合的加密方式。

總而言之，與鏈路加密方式相比，端-端加密具有成本低、

保密性強、靈活性好等優點，因此應用更為廣泛。

第3章網絡操作系統安全

1.什么是網絡操作系統

網絡操作系統NOS(NetworkOperationSystem)是向網絡計

算機提供網絡通信和網絡資源共享功能的操作系統。它是負責管理整

個網絡資源和方便網絡用戶的軟件的集合，是整個網絡的靈魂。

網絡操作系統除了具有普通操作系統所具有的進程控制與調

度、信息處理、處理機管理、存儲器管理和設備管理等功能外，還提

供了高效而可靠的網絡通信環境與多種網絡服務，如分布式文件共

享、網絡打印服務、數據庫服務、域名解析服務、Web服務等。

2、操作系統安全的概念

操作系統安全是指該系統能夠控制外部對系統信息的訪問，即只

有經過授權的用戶或進程才能對信息資源進行相應的讀、寫、創建和

刪除等操作，以保護合法用戶對授權資源的正常使用，防止非法入侵

者對系統資源的侵占和破壞。

操作系統安全機制主要包括隔離控制和訪問控制。

3、訪問控制的概念及含義

13

訪問控制是在身份認證的基礎上，根據用戶身份對得出的資源訪

問請求加以控制，是針對越權使用資源的現象進行防御的措施。訪問

控制具體包括兩個方面含義：

1)指用戶的身份驗證即對用戶進入系統的控制，最簡單常用

的方法是用戶帳號與口令驗證；

2)用戶進入系統后根據用戶的身份對其訪問資源的行為加以

限制，最常用的方法是訪問權限和資源屬性限制。

4、訪問控制系統中的3個要素

⑴主體是指發出資源訪問操作請求的主動方，是動作的發起者。

⑵客體是接受其他實體訪問的被動方，是在訪問中必須進行控制

的資源。

⑶訪問策略就是一套訪問的規則，用以確定一個主體是否對客體

擁有訪問的能力。它決定了主體與客體之間交互作用可行的操作。

5、訪問控制的類型

訪問控制以其不同的實現方法可以分為自主訪問控制、強制訪問

控制、基于角色的訪問控制、基于任務的訪問控制和基于對象的訪問

控制等。

⑴自主訪問控制DAC(DiscretionaryAccessControI)

自主訪問控制是一種最為普遍的訪問控制手段，是指在系統允許經過

身份驗證和授權之后，有訪問許可的主體能夠直接或間接地向其他主

體轉讓訪問權。

14

⑵強制訪問控制MAC(MandatoryAccessControI)強

制訪問控制是用戶和客體資源都被賦予了一定的安全級別，用戶不能

改變自身和客體的安全級別，是有管理員才能確定用戶的和用戶組的

訪問權限。

⑶基于角色的訪問控制RBAC(RoIe-baseAccessControl)

基于角色的訪問控制的基本思想就是要求確定每一個用戶在系統中

所扮演的角色，不同的角色具有不同的訪問權限，這些權限由系統管

理員分配給角色。

⑷基于任務的訪問控制TBAC(task-basedaccesscontrol)

基于任務的訪問控制是從應用和企業層角度來解決安全問題，而已往

的訪問控制是從系統的角度出發。它采用“面向任務”的觀點，從任

務的角度來建立安全模型和實現安全機制，在任務處理的過程中提供

動態實時的安全管理。

第4章數據庫與數據安全

1.數據庫安全的概念

數據庫安全是指為存放數據的數據庫系統制定、實施相應的安

全保護措施，以保護數據庫中的數據不因偶然或惡意的原因而遭到破

壞、更改和泄露。目前，數據庫安全與網絡安全、操作系統安全及協

議安全一起構成了信息系統安全的4個最主要的研究領域。數據庫安

全主要包括系統運行安全和系統信息安全兩層含義。

15

1）系統運行安全系統運行安全包括：法律、政策的保護，

例如用戶是否有合法權限、政策是否允許等；物理控制安全，例如機

房是否加鎖等；硬件運行安全；操作系統安全，例如數據文件是否受

保護等；災害、故障恢復；死鎖的避免和解除；防止電磁信息泄漏。

2）系統信息安全系統信息安全包括：用戶口令鑒別；用戶

存取權限控制；數據存取方式控制；審計跟蹤；數據加密。

2、數據庫管理系統的缺陷

（1）數據庫應用程序通常都同操作系統的最高管理員密切相關。

（2）人們對數據庫安全的忽視。

（3）部分數據庫機制威脅網絡低層安全。

（4）安全特性缺陷。

（5）數據庫賬號、密碼容易泄漏。

（6）操作系統后門。

（7）木馬的威脅。

3、數據庫管理系統受到的威脅

（1）篡改：篡改是指對數據庫中的數據未經授權地進行修改，使其

失去原來的真實性。篡改是一種人為的主動攻擊，進行這種人為攻擊

的原因可能是個人利益驅動、隱藏證據、惡作劇或無知。

（2）損壞：損壞的表現為數據庫中的數據表和整個數據庫部分或全

部被刪除、移走或破壞。產生損壞的原因主要有人為破壞、惡作劇和

病毒。

16

（3）竊取：竊取一般只針對敏感數據，被竊取的數據可能具有很高

的價值，竊取的手法可能是將數據復制到可移動的介質上帶走或把數

據打印后取走，竊取數據的對象一般是內部員工和軍事及工商業間諜

等。

4、常用數據庫加密技術

通過對數據庫存儲加密等方法可實現數據庫中數據存儲保密和

完整性要求，使得數據庫以密文方式存儲并在密態方式下工作，確保

了數據安全。一般而言，一個行之有效的數據庫加密技術主要有以下

6個方面的功能和特性。

（1）身份認證。

（2）通信加密與完整性保護。

（3）數據庫中數據存儲的加密與完整性保護。

（4）數據庫加密設置。

（5）多級密鑰管理模式。

（6）安全備份。系統提供數據庫明文備份功能和密鑰備份功

能。

5、Web數據庫的概念

數據庫是指按照一定的結構和規則組織起來的相關數據的集合，

是存放數據的“倉庫”；據此即可將網絡數據庫定義為以后臺數據庫

為基礎的，加上一定的前臺程序，通過瀏覽器完成數據存儲、查詢等

操作的系統。Web數據庫的工作流程：首先用戶利用瀏覽器作為輸

入接口，輸入所需要的數據，瀏覽器隨后將這些數據傳送給網站，而

17

網站再對這些數據進行處理（例如，將數據存入后臺數據庫，或者對

后臺數據庫進行查詢操作等），最后網站將操作結果傳回給瀏覽器，

通過瀏覽器將結果告知用戶。

Web與數據庫的互聯，將人、企業、社會與Internet融為一體。

Web數據庫可以實現方便廉價的資源共享,而數據信息是資源的主體,

因而Web數據庫技術自然而然成為互聯網的核心技術。

6、Web數據庫系統的基本模型

Web數據庫的C/S和B/S模式，分別如圖1和圖2所示。

圖1網絡數據庫的C/S模式

18

圖2網絡數據庫的B/S模式

7、C/S與B/S模式的區別

①硬件環境不同。Client/Server是建立在局域網基礎上的，

Browser/Server是建立在廣域網基礎上的。

②對安全性要求不同。C/S模式一般面向相對固定的用戶群，對

信息安全的控制能力很強。B/S模式建立在廣域網之上，面向不可知

的用戶群，對安全的控制能力相對比較弱。一般高度機密的信息系統

采用C/S模式比較適宜，而B/S模式適合發布部分可公開信息。

③程序架構不同。C/S程序更加注重流程，可以對權限進行多層

次校驗，對系統運行速度可以較少考慮；B/S模式對安全性以及訪問

速度的多重考慮，建立在需要更加優化的基礎之上，比C/S模式有更

高的要求。

④軟件重用不同。C/S構件的重用性不如在B/S模式下構件的重

用性好。

⑤系統維護開銷不同。系統維護在軟件生存周期中開銷大，相當

重要。C/S程序由于整體性，必須整體考察、處理出現的問題以及系

統升級困難；B/S構件組成方面，可以更換個別的構件，實現系統的

無縫升級，將系統維護開銷減到最小。

⑥處理問題不同。C/S程序可以處理的用戶群固定，并且在相同

區域，安全性要求高，與操作系統平臺相關；B/S模式建立在廣域網

上，面向不同的用戶群，地域分散，這是C/S模式無法做到的，與操

作系統平臺的聯系最少。

⑦用戶接口不同。C/S模式多建立在Windows平臺上，表現方法

有限，對程序員普遍要求較高；B/S模式建立在瀏覽器上，有更加豐

富和生動的表現方式與用戶交流，并且大部分難度比較低，開發成本

比較低。

⑧信息流不同。C/S程序一般是典型的中央集權的機械式處理，

交互性相對比較低；B/S信息流向可變化，有B—B、B-C等信息流

向的變化，更像交易中心。

8、Web數據庫訪問技術

目前基于Web數據庫的連接方案主要有兩種類型：服務器端

和客戶端方案。服務器端方案實現技術有CGI、SAPKASP、PHP、

JSP等；客戶端方案實現技術有JDBC(JavaDatabase

Connectivity)、DHTML(DynamicHTML)等。

(1)公共網關接口(CommonGatewayIinterface,CGI)：

Web服務器運行時外部程序的規范。按照CGI編寫的程序可以擴展

服務器的功能，完成服務器本身不能完成的工作，外部程序執行

時可以生成HTML文檔，并將文檔返回Web服務器。CGI程序的常

用語言有Perl、C++、VB、Delphio其缺點是每個CGI程序應用是

作為一個獨立的外部應用來運行的，與服務器上其他程序競爭處

20

理器資源，這將導致運行速度減慢，同時也不提供狀態管理功能,

瀏覽器的每次請求都需要一個連接的建立與釋放過程，效率較低。

(2)服務器端應用程序編程接口(ServerAppIication

ProgrammingInterface,SAPI)：與CGI功能相同，也可用于實

現擴展服務器功能。它實際上是一組用于完成特定功能的很復雜

的函數、消息和結構，包含在一個擴展名為DLL的動態鏈接庫文

件中。與CGI相比，性能上有了很大的提高，但開發需編程方面

的專門知識。

(3)超文本預處理器(HypertextPreprocessor,PHP)：

由于其良好的性能及免費的特點，成為目前互聯網中非常流行的

一種應用開發平臺。其優點是簡單易學、跨平臺、有良好數據庫

交換能力的開發語言和良好的安全性。而缺點就是安裝配置復雜;

缺少企業級的支持；作為自由軟件，缺乏正規的商業支持；無法

實現商品化的軟件開發。

(4)ASP(ActivexServerPages)是由微軟創建的Web應

用開發標準。ASP服務器已經包含在IIS服務器中。ASP服務器將

Web請求轉入解釋器，在解釋器中將所有ASP中的腳本進行分析,

然后執行，同時可以創建COM對象以完成更多的功能。ASP中的腳

本語言是VbScript。其優點是安裝和配置方便，開發簡單易學，

開發工具功能強大；而缺點是ASP使用了組件，因而可能會導致

大量的安全問題，且無法實現跨平臺移植，只能應用于WindowsNT

或Windows系統。

21

第5章PKI技術

1.口令安全面臨的威脅

口令機制是一種最簡單、最常用的系統或應用程序訪問控制的方

法。盡管目前許多計算機系統和網絡的進入或登錄都是采用口令來防

止非法用戶的入侵，然而口令系統卻是非常脆弱的。其安全威脅主要

來自于：

(1)非法用戶利用有問題而缺少保護的口令進行攻擊

(2)屏蔽口令

(3)竊取口令

(4)木馬攻擊

(5)安全意識淡薄

2、身份識別與鑒別的概念

身份識別是指用戶向系統出示自己身份證明的過程；身份鑒別是

系統核查用戶的身份證明的過程，實質上是查明用戶是否具有他所請

求資源的存儲和使用權。人們通常把這兩項工作統稱為身份鑒別，也

稱為身份認證。信息技術領域的身份鑒別通常是通過將一個證據與實

體身份綁定來實現的。實體可能是用戶、主機、應用程序甚至進程。

證據與身份之間是一一對應的關系，雙方通信過程中，一方實體向另

一方提供這個證據證明自己的身份，另一方通過相應的機制來驗證證

據，以確定該實體是否與證據所宣稱的身份一致。

22

3、身份鑒別的任務

計算機系統中的身份鑒別技術一般涉及兩方面的內容，即識別和

驗證。識別信息一般是非秘密的，而驗證信息必須是秘密的。所謂“識

別”，就是要明確訪問者是誰，即識別訪問者的身份，且必須對系統

中的每個合法用戶都有識別能力。要保證識別的有效性，必須保證任

意兩個不同的用戶都不能具有相同的標識符，通過唯一標識符ID,

系統可以識別出訪問系統的每一個用戶。所謂“驗證”，是指在訪問

者聲明自己的身份（向系統輸入它的標識符）后，系統必須對它所聲

明的身份進行驗證，以防假冒，實際上就是證實用戶的身份。驗證過

程中用戶必須出具能夠證明他的身份的特殊信息，這個信息是秘密

的，任何其他用戶都不能擁有。只有識別與驗證過程都正確后，系統

才會允許用戶訪問系統資源。

4、身份鑒別技術

身份鑒別技術包括：口令機制、智能卡和主體特征鑒別。口令機

制是用戶和系統相互約定的代碼，智能卡是用戶進入系統的硬件認證

設備，主體特征鑒別是利用人體的生物特征（包括：指紋、虹膜、臉

部和掌紋等）進行認證。

5、身份鑒別的過程

用戶認證系統主要是通過數字認證技術確認用戶的身份，從而提

供相應的服務。決定身份真實性的身份鑒別過程包括如下兩個步驟：

（1）為實體賦予身份，并綁定身份，決定身份的表現方式

身份的賦予必須由具有更高優先權的實體進行。這些被充分信任的實

23

體可通過類似于駕照檢查或指紋驗證等辦法，來確定實體的真實性，

隨后賦予真實實體相應的身份信息。

（2）通信與鑒別對實體的訪問請求，必須鑒別其身份。

認證的基本模式可分為3類：

①用戶到主機。

②點對點認證。

③第三方的認證：由充分信任的第三方提供認證信息。

6、基于生理特征的識別技術

（1）指紋識別

指紋是指手指末梢乳突紋凸起形成的紋線圖案，其穩定性、唯

一性早已獲得公認。目前指紋識別技術主要是利用指紋紋線所提供的

細節特征（即紋線的起、終點、中斷處、分叉點、匯合點、轉折點）

的位置、類型、數目和方向的比對來鑒別身份。

（2）虹膜識別

虹膜是指位于瞳孔和鞏膜間的環狀區域，每個人虹膜上的紋

理、血管、斑點等細微特征各不相同，且一生中幾乎不發生變化。

（3）視網膜識別

人體的血管紋路也是具有獨特性的。人的視網膜上血管的圖樣

可以利用光學方法透過人眼晶體來測定。

（4）面部識別

面部識別技術通過對面部特征和它們之間的關系（眼睛、鼻

子和嘴的位置以及它們之間的相對位置）來進行識別。

24

(5)手形識別

手形識別技術主要是利用手掌、手指及手指各關節的長、寬、

厚等三維尺寸和連接特征來進行身份鑒別。

(6)紅外溫譜圖

人的身體各個部位都在向外散發熱量，而每個人的生物特征都

不同，從而導致其發熱強度不同。

(7)語音識別

語音識別利用說話者發聲頻率和幅值的不同來辨識身份。

語音識別大體分兩類：一是依賴特定文字識別；另一種是不依

賴特定文字識別，即說話者可隨意說任何詞語，由系統找出說話者發

音中具有共性的特征進行識別。

(8)味紋識別

人的身體是一種味源，人類的氣味雖然會受到飲食、情緒、

環境、時間等因素的影響和干擾，其成分和含量會發生一定的變化，

但作為由基因決定的那一部分氣味一一味紋卻始終存在，而且終生不

變，可以作為識別任何一個人的標記。

(9)基因DNA識別

脫氧核糖核酸DNA存在于一切有核的動(植)物中，生物的

全部遺傳信息都儲存在DNA分子里。由于不同的人體細胞中具有不

同的DNA分子結構，且在整個人類范圍內具有唯一性和永久性，因此

除了對雙胞胎個體的鑒別可能失去它應有的功能外，這種方法具有絕

對的權威性和準確性。

25

7、PKI的概念

(1)PKI的定義PKI是一個用公鑰概念與技術來實施和提

供安全服務的普遍適用的安全基礎設施。PKI是一個為綜合

數字信息系統提供廣泛需要的加密和數字簽名服務的基礎設施，其主

要職責是管理密鑰和證書，建立和維護一個值得信任的網絡環境。PKI

能夠為跨越各種領域的廣泛應用提供加密和數字簽名服務。PKI是

由認證機構、策略和技術標準、必要的法律組成。

8、PKI原理

其基本原理是：由一個密鑰進行加密的信息內容，只能由與之配

對的另一個密鑰才能進行解密。公鑰可以廣泛地發給與自己有關的通

信者，私鑰則需要十分安全地存放起來。使用中，甲方可以用乙方的

公鑰對數據進行加密并傳送給乙方，乙方可以使用自己的私鑰完成解

密。公鑰通過電子證書與其擁有者的姓名、工作單位、郵箱地址等捆

綁在一起，由權威機構認證、發放和管理。

9、PKI的安全服務功能

PKI的主要功能是提供身份認證、機密性、完整性和不可否認性

服務。

①身份認證。信息的接收者應該能夠確認信息的來源，使得交易

雙方的身份不能被入侵者假冒或偽裝。

②機密性。確保一個計算機系統中的信息和被傳輸的信息僅能被

授權讀取的各方得到。

26

③信息的完整性。信息的完整性就是防止非法篡改信息，例如修

改、復制、插入和刪除等。

④信息的不可否認性。不可否認用于從技術上保證實體對他們行

為的誠實，即參與交互的雙方都不能事后否認自己曾經處理過的每筆

業務。

10、PKI的目的

從廣義上講，任何提供公鑰加密和數字簽名服務的系統，都可叫

做PKI系統，PKI的主要目的是通過自動管理密鑰和證書，能夠為用

戶建立起一個安全的網絡運行環境，使用戶能夠在多種應用環境下方

便地使用加密和數字簽名技術，從而確保網上數據的機密性、完整性、

有效性。

11、PKI的實體構成

從廣義上講，PKI體系是一個集網絡建設、軟硬件開發、信息安

全技術、策略管理和相關法律政策為一體的大型的、復雜的、分布式

的綜合系統。一個典型、完整、有效的PKI系統至少應由以下部分組

成：認證中心CA、證書庫(CertificateRepository,CR)、應用

程序接口(ApplicationProgrammingInterface,API)、密鑰備份

及恢復系統和證書廢除系統、客戶端證書處理系統。除此之外，一個

PKI系統的運行少不了證書的申請者和證書信任方的參與。

12、PKI的系統功能

(1)證書申請和審批

(2)產生、驗證和分發密鑰

27

(3)證書簽發和下載

(4)簽名和驗證

(5)證書的獲取

(6)證書和目錄查詢

(7)證書撤銷

(8)密鑰備份和恢復

(9)自動密鑰更新

(10)密鑰歷史檔案

(11)交叉認證

(12)客戶端軟件

(13)時間戳服務

第6章防火墻工作原理及應用

1.防火墻的基本概念

防火墻通常是指設置在不同網絡(例如可信任的內部網絡和不可

信的外部網絡)或網絡安全域之間的一系列部件的組合。它是一種必

不可少的安全增長點，是設置在被保護網絡和外部網絡之間的一道屏

障，也是不同網絡或網絡安全域之間信息的唯一出入口，能根據網絡

安全策略控制(允許、拒絕、監測)出入網絡的信息流，且本身具有

較強的抗攻擊能力。它是提供信息安全服務、實現網絡和信息安全的

基礎和核心控制設備，能夠有效地監控內部網和互聯網之間的任何活

28

動，防止發生不可預測的、潛在破壞性的侵入，從而保證內部網絡的

安全。

內部網

網絡防火墻

2.防火墻的主要功能

防火墻的主要功能就是控制對受保護網絡的非法訪問，它通過監

視、限制、更改通過網絡的數據流，一方面盡可能屏蔽內部網的

拓撲結構，另一方面對內屏蔽外部危險站點，用以防范外對內、

內對外的非法訪問。防火墻的功能主要表現在以下4個方面：

(1)防火墻是網絡安全的屏障

(2)防火墻可以強化網絡安全策略

(3)對網絡存取和訪問進行監控審計

(4)防止內部信息的外泄

3.防火墻的局限性

(1)防火墻不能防范不經由防火墻的攻擊

29

(2)防火墻不能防止感染了病毒的軟件或文件的傳輸

(3)防火墻不能防止數據驅動型攻擊

(4)防火墻不能防范惡意的內部人員入侵

(5)防火墻不能防范不斷更新的攻擊方式

(6)防火墻難于管理和配置，易造成安全漏洞

(7)很難為用戶在防火墻內外提供一致的安全策略

總之，一方面，防火墻在當今Internet世界中的存在是有生命力的;

另一方面，防火墻不能替代內部謹慎的安全措施。因此，它不是解決

所有網絡安全問題的萬能藥方，而只是網絡安全策略中的一個組成部

分。

4.防火墻的分類

1)基于實現方法分類，包括：軟件防火墻、硬件防火墻和專用防火

墻

2)基于防火墻技術原理分類，包括：網絡層防火墻技術和應用層防

火墻技術。具體實現有包過濾防火墻、代理服務器防火墻、狀態檢測

防火墻和自適應代理防火墻等。

3)基于防火墻硬件環境分類，包括：基于路由器的防火墻和基于主

機系統的防火墻。

4)基于防火墻的功能分類，包括：FTP防火墻、Telnet防火墻、E-maiI

防火墻、病毒防火墻、個人防火墻等。

5。包過濾技術

30

包過濾(PacketFiItering,PF)是防火墻為系統提供安全

保障的主要技術，可在網絡層對進出網絡的數據包進行有選擇的控制

與操作。包過濾操作一般都是在選擇路由的同時，在網絡層對數據包

進行選擇或過濾。

選擇的依據是系統內設置的過濾邏輯，即訪問控制表(Access

ControlTable,ACT)。由它指定允許哪些類型的數據包可以流入或

流出內部網絡。一般過濾規則是以IP數據包信息為基礎，對IP數據

包的源地址、目的地址、傳輸方向、分包、IP數據包封裝協議、TCP/UDP

目標端口號等進行篩選、過濾。

6o包過濾技術的優點

包過濾防火墻邏輯簡單，價格低廉，易于安裝和使用，網絡性能

和透明性好。

(1)不用改動應用程序

(2)一個過濾路由器能協助保護整個網絡。

(3)數據包過濾對用戶透明。

(4)過濾路由器速度快、效率高

總之，包過濾技術是一種通用、廉價、有效的安全手段。

7。包過濾技術的缺點

(1)安全性較差

(2)一些應用協議不適用

(3)正常的數據包過濾路由器無法執行某些安全策略

31

(4)不能徹底防止地址欺騙

(5)數據包工具存在很多局限性

包過濾是第一代防火墻技術，本身存在較多缺陷，不能提供

較高的安全性。因此，在實際應用中，很少把包過濾技術當作單獨的

安全解決方案，通常是把它與應用網關配合使用或與其他防火墻技術

揉合在一起使用，共同組成防火墻系統。

8o包過濾防火墻和代理防火墻技術比較

包過濾防火墻代理防火墻

內置了專門為提高安全性而編

制的代理應用程序，

價格較低能夠透徹地理解相關服務的命

令，對來往的數據包

進行安全化處理

優

工作在IP和TCP層，所以不允許數據包直接通過火墻，避

點

處理數據包的速度快、免了數據驅動式攻擊

效率高的發生，安全性好

能生成各項記錄；能靈活、完全

提供透明的服務，用戶不用

地控制進出的流量和內容；

改變客戶端程序

能過濾數據內容

缺定義復雜，容易出現因配置對于每項服務，代理可能要求不

32

點不當帶來的問題同的服務器

允許數據包直接通過，存在

遭受數據驅動式攻擊速度較慢

的潛在危險

對用戶不透明，用戶需要改變客

不能徹底防止地址欺騙

戶端程序

數據包中只有來自哪臺機

器的信息，不包含來自不能保證免受所有協議弱點的

哪個用戶的信息，不支持用限制

戶認證

不能理解特定服務的上下速度較慢，不太適用于高速網

文環境，相應控制只能在高（ATM或

層由代理服務和應用層網千兆位Intranet等）之間的應

關來完成用

不提供日志功能不能改進底層協議的安全性

（1）代理服務器對整個IP數據包的數據進行掃描，因此能夠比包過

濾器提供更詳細的日志文件。

（2）如果數據包和包過濾規則匹配，就允許數據包通過防火墻；而

代理服務器要用新的源IP地址重建數據包，這樣對外隱藏了內部用

戶。

33

（3）使用代理服務器，意味著在Internet上必須有一個服務器，且

內部主機不能直接與外部主機相連，因此帶有惡意攻擊的外部數據包

也就不能到達內部主機。

（4）對網絡通信而言，如果包過濾器由于某種原因不能工作，可能

出現的結果是所有的數據包都能到達內部網；而如果代理服務器由于

某種原因不能工作，整個網絡通信將被終止。

第7章計算機病毒防治

1.計算機病毒的概念

計算機病毒，是指編制或者在計算機程序中插入的

破壞計算機功能或者毀壞數據，影響計算機使用并能自我復制的一組

計算機指令或者程序代碼。

計算機病毒賴以生存的基礎是現代計算機都具有相同的工作原

理和操作系統的脆弱性，以及網絡協議中的安全漏洞。特別是在個人

計算機中，系統的基本控制功能對用戶是公開的，可以通過調用和修

改系統的中斷，取得對系統的控制權，從而對系統程序和其他程序進

行任意處理。

2.計算機病毒的特點

1）發生侵害的主動性

2）傳染性

3）隱蔽性

34

4）表現性

5）破壞性

6）難確定性

3o計算機病毒的分類

1）按其破壞性，可分為：良性病毒和惡性病毒。

2）按其傳染途徑，可分為：駐留內存型病毒和非駐留內存型病毒。

3）按連接方式，可分為：源碼型、入侵型、操作系統型和外殼型

病毒。

4）按寄生方式，可分為：引導型病毒、文件型病毒以及集兩種

病毒特性于一體的復合型病毒和宏病毒、網絡病毒。

5）其他一些分類方式，按照計算機病毒攻擊的操作系統；按照

計算機病毒激活的時間；按計算機病毒攻擊的機型。

4o計算機病毒的工作機理

計算機病毒能夠感染的只有可執行代碼，按照可執行代碼的種類

可以將計算機病毒分為引導型病毒、文件型病毒、宏病毒和網絡病毒

四大類。

（1）引導型病毒的工作機理引導扇區是硬盤或軟

盤的第一個扇區，是存放引導指令的地方，這些引導指令對于操作系

統的裝載起著十分重要的作用。一般來說，引導扇區在CPU的運行過

程中最先獲得對CPU的控制權，病毒一旦控制了引導扇區，也就意味

著病毒控制了整個計算機系統。引導型病毒程序會用自己的代碼替

換原始的引導扇區信息，并把這些信息轉移到磁盤的其他扇區中。當

35

系統需要訪問這些引導數據信息時，病毒程序會將系統引導到存儲這

些引導信息的新扇區，從而使系統無法發覺引導信息的轉移，增強了

病毒自身的隱蔽性。

（2）文件型病毒的工作機理文件型病毒攻擊的對

象是可執行程序,病毒程序將自己附著或追加在后綴名為.exe或.com

的可執行文件上。當感染了該類病毒的可執行文件運行時，病毒程序

將在系統中進行它的破壞行動。同時，它將駐留在內存中，試圖感染

其他文件。當該類病毒完成了它的工作之后，其宿主程序才得到運行，

使一切看起來很正常。

（3）宏病毒的工作機理為了減少用戶的重復勞

作，例如進行相似的操作，Office提供了一種所謂宏的功能。利用

這個功能，用戶可以把一系列的操作記錄下來，作為一個宏。之后只

要運行這個宏，計算機就能自動地重復執行那些定義在宏中的所有操

作。這種宏操作一方面方便了普通的計算機用戶，另一方面卻也給病

毒制造者提供了可乘之機。宏病毒是一種專門感染Office系列文檔

的惡性病毒。

（4）網絡病毒的工作機理RemoteExpIorer的破壞作用：

一方面它需要通過網絡方可實施有效的傳播；另一方面，它要想真正

地攻入網絡（無論是局域網還是廣域網），本身必須具備系統管理員

的權限，如果不具備此權限，則它只能夠對當前被感染的主機中的文

件和目錄起作用。該病毒僅在WindowsNTServer和WindowsNT

Workstation平臺上起作用，專門感染.exe文件。

36

5O常見的惡意代碼

惡意代碼是一種程序，它通常在不被察覺的情況下把代碼寄

宿到另一段程序中，從而達到破壞被感染的計算機數據、運行具有入

侵性或破壞性的程序、破壞被感染的系統數據的安全性和完整性的目

的。

常見的惡意代碼分類如下：

?惡學e碼?

需要宿主的程序可以獨立運行的程序

?后711邏輯親彈11特而伊木馬11府毒11細菌11點蟲?

復制

惡意代碼分類示意圖

6o木馬

“特洛伊木馬”的英文名稱為TrojanHorse（其名稱取自希臘

神話的《特洛伊木馬記》），是指表面看上去對人們有用或有趣，但

實際上卻有害的東西，并且它的破壞性是隱蔽的。計算機中的木馬

是一種基于遠程控制的黑客工具，采用客戶機/服務器工作模式。它

通常包含控制端和被控制端兩部分。被控制端的木馬程序一旦植入受

害者的計算機（簡稱宿主）中，操縱者就可以在控制端實時監視該用

37

戶的一切操作，有的放矢地竊取重要文件和信息，甚至還能遠程操控

受害計算機對其他計算機發動攻擊。木馬的控制端和被控制端通過網

絡進行交互。

“特洛伊木馬”是一種惡意程序，它們悄悄地在寄宿主機上運行,

在用戶毫無察覺的情況下，讓攻擊者獲得了遠程訪問和控制系統的權

限。木馬的運行，可以采用以下3種模式。

（1）潛伏在正常的程序應用中，附帶執行獨立的惡意

操作。

（2）潛伏在正常的程序應用中，但會修改正常的應用

進行惡意操作。

（3）完全覆蓋正常的程序應用，執行惡意操作。

7o木馬的工作過程

木馬對網絡主機的入侵過程，可大致分為6個步驟。

（1）配置木馬

（2）傳播木馬

（3）運行木馬

（4）信息泄露

（5）連接建立

（6）遠程控制

8o木馬的危害

木馬是一種遠程控制工具，以簡便、易行、有效而深受黑客青

睞。木馬主要以網絡為依托進行傳播，竊取用戶隱私資料是其主要目

38

的；而且多具有引誘性與欺騙性，是病毒新的危害趨勢。木馬可以

說是一種后門程序，它會在受害者的計算機系統里打開一個“后門”，

黑客經由這個被打開的特定“后門”進入系統，然后就可以隨心所欲

地操縱計算機了。木馬不僅是一般黑客的常用工具，更是網上情報

刺探的一種主要手段，對國家安全造成了巨大威脅。

9o蠕蟲的定義

蠕蟲是一種通過網絡進行傳播的惡性代碼。它具有普通病毒的一

些共性，例如傳播性、隱蔽性、破壞性等；同時也具有一些自己的特

征，例如不利用文件寄生、可對網絡造成拒絕服務、與黑客技術相結

合等。蠕蟲的傳染目標是網絡內的所有計算機。在破壞性上，蠕蟲病

毒也不是普通病毒所能比的，網絡的發展使得蠕蟲可以在短短的時間

內蔓延到整個網絡，造成網絡癱瘓。

10o蠕蟲的傳播

蠕蟲程序的一般傳播過程如下：

（1）掃描。由蠕蟲的掃描功能模塊負責收集目標主機的信息，尋

找可利用的漏洞或弱點。當程序向某個主機發送探測漏洞的信息并收

到成功的反饋信息后，就得到一個可傳播的對象。掃描采用的技術方

法包括用掃描器掃描主機，探測主機的操作系統類型、主機名、用戶

名、開放的端口、開放的服務、開放的服務器軟件版本等。

（2）攻擊。攻擊模塊按步驟自動攻擊前面掃描中找到的對象，取

得該主機的權限（一般為管理員權限），獲得一個Shell。

39

（3）復制。復制模塊通過原主機和新主機的交互將蠕蟲程序復制

到新主機中并啟動。

11O網絡病毒

計算機網絡病毒實際上是一個籠統的概念。一種情況是，計算機

網絡病毒專指在網絡上傳播并對網絡進行破壞的病毒；另一種情況

是，計算機網絡病毒指的是HTML病毒、E-maiI病毒、Java病毒等與

Internet有關的病毒。

1）網絡病毒的傳播方式事實上，并不是所有的病毒都能

夠通過計算機網絡進行傳播。網絡病毒的出現和傳播成

為當前影響Internet正常運轉的主要障礙。網絡病毒首先來自于文

件下載。網絡病毒的另一種主要來源是電子郵件。隨著即時聊天工

具的流行，通過聊天工具進行病毒傳播成為網絡病毒傳播的第三大途

徑。

2）網絡病毒的特點計算機網絡的主要特點是資源共享,

一旦共享資源感染上病毒，網絡各節點間信息的頻繁傳輸將把病毒傳

染到共享的所有機器上，從而形成多種共享資源的交叉感染。病毒的

迅速傳播、再生、發作將造成比單機病毒更大的危害。

在網絡環境中，網絡病毒除了具有可傳播性、可執行性、破壞性、

可觸發性等計算機病毒的共性外，還具有如下一些新特點。

（1）感染速度快。

（2）擴散面廣。

（3）傳播的形式復雜多樣。

40

（4）難以徹底清除。

（5）破壞性大。

3）網絡防病毒技術

（1）實時監視技術實時監視技術通過修改操作系統，使操

作系統本身具備防病毒功能，拒病毒于計算機系統之外。該技術可時

刻監視系統中的病毒活動、系統狀況以及軟盤、光盤、互聯網、電子

郵件上的病毒傳染，將病毒阻止在操作系統外部。

（2）全平臺防病毒技術目前病毒活躍的平臺有DOS、

Windows、WindowsNT、NetWare、Exchange等。為了使防病毒軟件

做到與系統的底層無縫連接，實時地檢查和清除病毒，必須在不同的

平臺上使用相應平臺的防病毒軟件。

12o網絡病毒的防治特點

網絡病毒的防治工作具有如下特點。

（1）網絡防病毒技術的安全度是基于“木桶理論”的。被計算機

安全界廣泛采用的著名的“木桶理論”認為，整個系統的安全防護能

力取決于系統中安全防護能力最薄弱的環節。

（2）網絡防病毒技術尤其是網絡病毒實時監測技術應符合“最小

占用”原則。

（3）網絡防病毒技術的兼容性是網絡防病毒的重點與難點。