第七章网络管理与安全

使用密钥分配中心的鉴别
• KDC: 每个用户与KDC共享一个单独的密钥，鉴别 和会话密钥管理都是通过KDC进行的 • 大嘴蛙协议
– A->KDC: A,KA(B,KS) – KDC->B: KB(A,KS)
• 多路请求-响应协议---Needham-Schroeder鉴别协议
– – – – – A->KDC: RA,A,B KDC->A: KA(RA,B,KS,KB(A,KS)) A->B: KB(A,KS)---许可证,KS(RA2) B->A: KS(RA2-1),RB A->B: KS(RB-1)
采用公开密钥的数字签名
• 上述算法公民都必须信任一个机构 • 采用公开密钥加/解密算法
– D(E(P))=P – E(D(P))=P – RSA满足这两个条件
A P A的 私有 B的 线路 EB(DA(P)) B的 私有 密钥 DA(P) DA(P) 公开 密钥 密钥 B A的 公开 密钥 P
报文摘要
第七章 网络管理与安全
• 网络管理
– 定义：保证网络系统能够持续、稳定、安全、可靠和高 效运行，对网络系统实施的一系列方法和措施 – 任务：收集、监视网络中各种设备和设施的工作参数、 工作状态信息，将结果显示给管理员并进行处理，从而 控制网络中设备、设施、工作参数和工作状态 – 基本内容
• • • • • • 数据通信网络中的流量控制 网络路由选择策略管理 网络管理员的管理与培训 网络的安全防护 网络的故障诊断 网络的费用计算
– AB双方共享一个秘密密钥KAB，请求响应协议 （challenge-response） – Ri 一个大的随机数作为询问，下标为询问者 – Ki 密钥，i指所有者，KS 会话密钥
流程
• • • • • • • A->B : A(发送自己的标识) B->A: RB(询问一个大的随机数) A->B: KAB(RB)(用共享密钥加密) A->B: RA B->A: KAB(RA) 建立一个会话密钥KS, 用KAB加密后发送 改进：
– 管理信息库MIB
• 由管理对象组成，MIB必须符合SMI（管理信息结构）
SNMP的五类管理操作
• • • • get操作：提取特定的网络管理信息 get-next操作：遍历操作提供强大的信息提取 set操作：用来对管理信息进行控制 get-response处理：用于响应get、get-next、 set操作，返回它们的操作结果 • trap(陷阱)操作：用来报告重要事件
– A->B : A,RA – B->A : RB,KAB(RA) – A->B : KAB(RB)
共享密钥的建立
• Diffie-Hellman密钥交换 • AB同时知道两个大的质数---n,g (n-1)/2和 (g-1)/2都是质数 • AB各自保密一个大数x和y • A->B: n,g,gx mod n • B->A: gy mod n • A: (gy mod n)x=gxy mod n • B: (gx mod n)y=gxy mod n • gxy mode n--- 秘密密钥
网络管理的基本模型
网络管理协议 管理进程 管理对象
管理信息库 其中：管理对象指网络中可 以操作的数据
OSI网络管理标准
• 系统管理的五个功能域
– 故障管理
• 报警报告、事件报告、日志控制、测试管理
– 配置管理
• 资源与名字的对应、管理配置信息库、配置监视
– 性能管理
• 监测工作负荷、收集和统计数据、性能判断、报告和 报警，预测网络性能的变化趋势
使用公开密钥算法的鉴别
EB(A,RA) EA(RA,RB,KS) KS(RB)
A
B
数字签名
• • • • 接收方能够验证发送方所宣称的身份 发送方以后不能否认报文是他发送的 接收方自己不能伪装该报文 采用秘密密钥的数字签名
– 设定一个公众信任的中央机构(BB)，每个用户 选择一个秘密密钥 – A->BB: A,KA(B,RA,t,P) – BB->B: KB(A,RA,t,P,KBB(A,t,P)) – KBB(A,t,P)---数字签名 – t为时间戳
– 安全管理
• 安全报警、安全审计、跟踪、访问控制
– 记账管理
SNMP
• 组成部分
– 管理代理
• 在被管理的网络设备中运行，负责执行管理进程的管 理操作，管理本地MIB，两个基本管理功能：从MIB 中读取各种变量值、在MIB中修改各种变量值。变量--管理对象
– 管理进程
• 网管中心主机在SNMP支持下命令管理代理执行各种 管理操作
• 明文划分成块，各段明文信息P在区间0---n， 对信息P加密，计算 C=Pe（mod n），解密C： P=Cd（mod n）
– 公钥: (e,n) – 私钥: (d,n)
鉴别协议
• 鉴别(authentication):是否在和一个特定的进 程进行通信 • 授权(authorization): 允许此进程做什么 • 基于共享秘密密钥鉴别
– – – – 第一步：初始变换（与密钥无关） 最后一步：对第一步作逆变换 倒数第二步：左右32位交换 中间16步：
Li-1 Ri-1 Li-1异或f(Ri-1,Ki) Li Ri
IDEA国际数据加密算法
• 采用128比特密钥 • 明文划分成64比特数据块 • 进行8次迭代一次变换
公开密钥算法
• 加密系统脆弱点---密钥分配问题
使用Kerberos鉴别
• 包括两个服务器
– 鉴别(验证)服务器( AS): 在登录时验证用户身份 – 授予许可服务器(TGS): 发放身份证明许可证
• • • • • •
A->AS: A AS->A: KA(KS,KTGS(A,KS))--KTGS(A,KS)证书 A->TGS: KTGS(A,KS),B,KS(t)---时间戳 TGS->A: KS(B,KAB),KB(A,KAB)---证书 A->B: KB(A,KAB),KAB(t)---时间戳 B->A: KAB(t+1)
• 基于单向散列函数的思想: 从很长的明文中 计算出一个固定长度的比特串, 该散列函数 称为报文摘要 • 三个重要属性
– – – – 给出明文P, 易于计算出报文摘要---MD(P) P, ---MD(P) 只给出MD(P), 几乎无法找出P 无法生成两条具有同样摘要的报文 满足上述三个条件的散列至少128比特
• 报文摘要算法
– MD5 – SHA: 保密散列算法---160位报文摘要
报文摘要应用于数字签名
• 应用于秘密密钥数字签名
– 原方法: KBB(A,t,P)---对P进行签名 – 改为: KBB(A,t,MD(P))
• 应用于公开密钥数字签名
– 计算报文摘要MD(P) – 在报文摘要上签名 – A->B: P,DA(MD(P))
SNMP的结构构成
• 客户-服务器结构
– SNMP服务器功能（代理）在被管理设备中实现(UDP161) – NMS使用SNMP客户过程监督和控制被管理设备
• 管理信息的结构SMI
– 管理对象的实际格式由SMI的基本编码规则（BER）来 定义，SMI由ISO表示层的抽象语法表示ASN.1开发来， SMI使用ASN.1编码规则定义了四个简单的变量类型：整 数（无符号32位）、八位字符串、对象标识符、空变元， 被管理对象使用对象标识符数据类型来识别（命名）， 对象值作为整数、字符串存储，空数据类型允许绕过编 码，产生用户数据类型
网络安全
• 网络安全的内容
– 保密：保护信息不被未授权者访问 – 鉴别（验证）：在揭示敏感信息或事务处理之前先确认 对方身份 – 反拒认：数字签名问题 – 完整性：确定收到的信息是最初发送的信息
• 网络安全层次
– – – – 物理层：线路封装 数据链路层：链路加密 网络层：防火墙---分组（包）过滤 运输层和高层：端到端的加密
传统加密技术
明文P 加密方法 加密密钥K 加密：C=EK(P) 密文 解密方法 解密密钥K 解密：P=DK(C) 明文P
• 替换密码
– 单字母替换 – 多字母替换
• 转换密码
– 改变次序(重新安排原文顺序)
DES数据加密标准
• 明文按64位块加密，生成64位密文，采用 56比特的密钥 • 分成19步完成
– 加/解密使用同一个密钥(或一个易于从另一个推导出来) – 密钥发给所有使用者
• 传统方法加密/解密密钥均保密(对称密钥) • 新系统前提是不同的密钥对不能导出
– D(E(P))=P – 从E导出D及其困难 – 和密钥---EA公开, 解密算法公开，密钥DA 保密
– A和B进行通信 – 密文: EB(P) 解密: DB(EB(P)) – 每个用户二个密钥: 公开密要/秘密(私有密钥)
RSA算法
• 满足上述条件的算法
– – – – 选择两个大质数: p和q(>10100) 计算n=p*q z=(p-1)*(q-1) 选择一个与z互为质数的数d 找出e, 使得 e*d=1 mod z
• 管理信息库MIB
– 给出了网络中所有可能被管理对象的集合的数据结构， 采用树形结构，根没有名字
SNMP区域
• 控制被管理设备和NMS之间管理通信流的机 制，采用两种方式
– 区域名字的使用
• 默认的使用方法 • 每个被管理设备至少属于一个区域，默认为public
– 配置被管理设备仅从指定IP地址接收管理请求