互联网安全机制ppt课件
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
ISO/OSI安全体系结构 网络层安全机制（IPSec） 传输层安全机制（SSL/TLS） 应用层安全机制(SET)
ISO/OSI安全体系结构
开放系统互联参考模型(OSI/RM )是国际标准化组织 (ISO)为解决异构网络互联而制定的开放式计算机网络 层次结构模型。
1988年，为在开放系统互联的环境下实现信息安全， ISO/TC97技术委员会制定了ISO7498-2国际标准 “信息处理系统--开放系统互联--基本参考模型--安全 体系结构”，为网络安全的研究奠定了基础。我国也制 定了国家标准：《GB/T9387. 2信息开放系统 开放系 统互联 基本参考模型第 2部分:安全体系结构》。这些 标准给出了 OSI 参考模型的七层协议之上的信息安全 体系结构，这是一个普遍适用的安全体系结构，对具体 网络环境的信息安全体系结构具有重要指导意义。
ISO/OSI安全体系结构
安全机制 安全服务 对等实体鉴别 数据原发鉴别 访问控制 连接机密性 无连接机密性 选择字段机密性 通信业务流机密性 带恢复的连接完整性 不带恢复的连接完整性 选择字段的连接完整性 无连接完整性 选择字段无连接完整性 有数据原发证明的抗抵赖 有交付证明的抗抵赖
表 5-1 安全机制与安全服务的关系
1.客户机浏览器的数字证书和公钥
6.用客户机 浏览器的私 钥解密信息
客户端
2.服务器的数字证书和公钥 3.用服务器的公钥加密信息
服务器
4.用服务 器的私钥 解密信息
5.用客户机浏览器的公钥加密会话密钥
7.用会话密钥加密传输的数据
SSL的工作过程
客户
信息 发货
商家
信息 通知
银行
SSL的工作过程
要想成功架设SSL安全站点关键要具备以下几个条件。 1、需要从可信的证书颁发机构CA获取服务器证书。
2）“IP安全策略”
Windows中的IPSec配置
Windows中的IPSec配置
每个 IPSec 规则由下列各项组成： 所选的筛选器列表。 所选的筛选器操作。 所选的身份验证方法。 所选的连接类型。 所选的隧道设置。
Windows中的IPSec配置
可以使用下列方法配置 IPSec 策略：
SET协议的核心技术
采用DES算法的对称密钥技术。 采用RSA算法的非对称密钥技术。 采用数字签名和双重签名等。 采用数字信封。
双重签名
使用双重签名技术对SET交易过程中消费者的支付 信息和定单信息分别签名，使得商家看不到支付信 息，只能对用户的订单信息解密，而金融机构只能 对支付和账户信息解密，充分保证消费者的账户和 定货信息的安全性。
ESP协议
AH协议
加密算法
认证算法
DOI 密钥管理 图 5-1 IPSec 文档关系图
网络层安全机制（IPSec）
访问控制 无连接完整性 数据源的认证 防止重放的数据包 载荷保密性 有限的数据包保密性
表 5-4 IPSec 的服务
AH
ESP（只加密）
√
√
√
√
√
√
√
√
ESP（加密并验证）
√ √ √ √ √ √
ISO/OSI安全体系结构 网络层安全机制（IPSec） 传输层安全机制（SSL/TLS） 应用层安全机制(SET)
安全电子交易SET
安全电子交易 SET（Security Electronic Transaction） 是一种电子支付过程标准，由 VISA 和MasterCard于 1996 年 2月合作制订，同时采用 IBM、GTE、Microsoft、 Netscape、RSA、SAIC、Terisa、VeriSign等多个公司的 技术，是专为网上支付卡业务安全所制定的标准，用以保护网上 支付卡交易的每一个环节，比如：保证电子支付卡交易的安全进 行，加密付款信息安全发送等等。
会话
SSL 的会话是客户和服务器之间的关联，会话通过握手 协议来创建。会话定义了加密安全参数的一个集合，该 集合可以被多个连接所共享。会话可以用来避免为每个 连接重新进行安全参数协商。
SSL协议
SSL 记录协议
机密性 报文完整性
密码更新规约协议 报警协议 握手协议
SSL的工作过程
比较SET与SSL
3、对消费者而言，SET协议采用了双重签名技术 以保证商户的合法性，并且用户的信用卡号等机密 信息不会被窃取，从而使在线购物更轻松。
4、在应用领域方面，SSL主要是和Web应用一 起工作，而SET是为信用卡交易提供安全，因此如 果电子商务应用只是通过Web或是电子邮件，则 可以不要SET。但如果电子商务应用是一个涉及多 方交易的过程，则使用SET更安全、更通用些。
在线SSL支付的缺点：
付款人的信用卡资料先给商家，无法确认商家能否保密； 无法达到交易的不可否认性要求。
SSL提供的安全服务
信息保密：通过使用公开密钥和对称密钥技术以达 到数据加密。
信息完整：SSL利用机密共享和Hash组提供信息 完整性服务。
用户和服务器的合法性：为了验证用户是否合法， 安全套接层协议要求在握手交换数据时进行数字认 证，以此来确保用户的合法性。
－－－－－－－－－
| SSL |
－－－－－－－－－
| TCP |
－－－－－－－－－
| IP
|
SSL 概述
SSL协议使用不对称加密技术实现会话双方 之间信息的安全传递。可以实现信息传递的 保密性、完整性，并且会话双方能鉴别对方 身份。
不同于常用的http协议，我们在与网站建 立SSL安全连接时使用https协议，即采用 https://的方式来访问。
比较SET与SSL
5、成本方面，SET的成本较SSL高很多。目前还 是SSL普及率比较高，但随着交易安全要求的不断 提高，SET将会发展更快。
SSL 体系结构
SSL 握手协议
SSL 密码更新协议 SSL 报警协议 SSL 记录协议 TCP IP 图 5-7 SSL 的协议栈
HTTP
SSL 体系结构
连接：
连接是提供某种类型服务的数据传输（在 OSI分层模型 的定义中）。对于SSL，这样的连接是点对点的。连接 是短暂的，每个连接与一个会话相联系。
IPSec定义了一种标准、健壮的以及包容广泛的机 制，可用它为IP及其上层协议提供安全保证。 IPSec的目标是为IPv4和IPv6提供具有较强的 互操作能力、高质量和基于密码的安全功能，在IP 层实现多种安全服务，包括访问控制、数据完整性、 数据源验证、抗重播、机密性等。IPSec通过支持 一系列加密算法如DES、三重DES、IDEA、 AES等确保通信双方的机密性。
比较SET与SSL
1、在认证要求方面，早期的SSL并没有提供商家 身份认证机制，虽然在SSL3.0中可以通过数字签 名和数字证书可实现浏览器和Web服务器双方的 身份验证，但仍不能实现多方认证；相比之下， SET的安全要求较高，所有参与SET交易的成员 （持卡人、商家、发卡行、收单行和支付网关）都 必须申请数字证书进行身份识别。
比较SET与SSL
2、在安全性方面，SET协议规范了整个商务活动 的流程，从持卡人到商家，到支付网关，到认证中 心以及信用卡结算中心之间的信息流走向和必须采 用的加密、认证都制定了严密的标准，从而最大限 度地保证了商务性、服务性、协调性和集成性。而 SSL只对持卡人与商店端的信息交换进行加密保护， 可以看作是用于传输的那部分的技术规范。从电子 商务特性来看，它并不具备商务性、服务性、协调 性和集成性。因此SET的安全性比SSL高。
创建一个新策略并为该策 略定义一组规则，同时根 据需要添加筛选器列表与 筛选器操作。
创建筛选器列表与筛选器 操作集，然后创建策略并 添加将筛选器列表与筛选 器操作组合起来的规则。
Windows中的IPSec配置
对于其中任一配置方法，创建 IPSec 策略 之后，都必须指派这些策略。
ISO/OSI安全体系结构 网络层安全机制（IPSec） 传输层安全机制（SSL/TLS） 应用层安全机制(SET)
SSL 概述
1994 年,Netscape 公司为了保护Web 通信协议 HTTP,开发了SSL协议。该协议第1 个成熟的版本是 SSL2.0 版。SSL2.0 协议的出现,基本上解决了Web 通信协议的安全问题,很快引起了大家的关注。
1996 年,Netscape 公司发布了SSL3.0,该版本增加 了对除RSA算法以外的其他算法的支持和一些新的安全 特性,并且修改了前一个版本中存在的安全缺陷,与 SSL2.0 相比,更加成熟和稳定,因此很快成为事实上的工 业标准。
网络层安全机制（IPSec）
IPSec是一组开放协议的总称，构成了应用于 IP 层上 网络数据安全的一整套体系结构。
包括： 1、认证报头 AH指定的认证协议。 2、数据报封装安全负载 （ESP） 指定的数据加密和
认证协议。 3、密钥管理协议 （IKE）。
网络层安全机制（IPSec）
体系结构
网络层安全机制（IPSec）
IPv4的安全缺陷： 对通信双方不能保证收到的IP数据报： 1、 确系来自声明的发送方（IP头内的源地址）； 2、 确系原始数据，未被任何篡改； 3、 未发生泄密事件，即原始数据在传输中途未被其
他人偷看。
网络层安全机制（IPSec）
IPSec是IPv6的一个组成部分，也是IPv4的一 个可选扩展协议。IPSec弥补了IPv4在协议设计 时缺乏安全性考虑的不足。
1997 年,IETF 基于SSL3.0 协议发布了 TLS(transport layer security)1.0 传输层安全协 议的草案。1999 年,正式发布了RFC2246。
SSL 概述
SSL是一个介于HTTP协议与TCP之间的一个可选 层，其位置大致如下：
－－－－－－－－－
| HTTP |
网络层安全机制（IPSec）
AH和ESP的区别： AH不能加密数据包所承载的内容，因而它不能提供
机密性。 ESP要求使用高强度加密算法，会受到许多限制。 多数情况下，使用AH的认证服务已能满足要求，相
对来说，ESP开销较大。
Windows中的IPSec配置
1） “控制面板”→“管理工具”→“本地安全策 略”
开始主要用于信用卡支付领域。但SET2.0开始支持借记卡。
安全电子交易SET
SET 具有下面一些特点
信息的机密性 数据的完整性 卡用户账号的鉴别 商家的鉴别 跨平台的操作性
安全电子交易协议工作流程
消费 者
在 线 商
店
支付网关
收单银行
认证中心
发卡银行
SET协议规范所涉及的对象
1）卡用户：持卡消费者 2）商家 3）发行人：参与电子交易的金融机构 4）收单人：商家的金融机构 5）支付网关 6）证书管理机构(CA)
加密 数字 访问 数据 鉴别
签名 控制 完整 交换
性
√√
√
√√
√
√
√
√
√
√
√
√
√
√
√
√√
√
√√
√
√
√
√
√
业务 流填 充
√
路由 控制
√ √ √公证√ √ Nhomakorabea注: √表示该机制可以提供此安全服务，或与其他机制结合提供安全服务。
ISO/OSI安全体系结构
表 5-2 安全服务与 ISO/OSI 参考模型各层的关系
2、必须在WEB服务器上安装服务器证书。 3、必须在WEB服务器上启用SSL功能。 4、客户端（浏览器端）必须同WEB服务器信任同一个 证书认证机构，即需要安装CA证书。
在线支付SSL模式的优缺点
在线SSL支付的优点：
(1)流程简单 (2)架构简单，认证简便，处理速度快，费用低。 (3)使用方便。
层 安全服务
物理 层
数据 链路 层
网络 层
传输 层
会话 层
表示 层
对等实体鉴别
√√
数据原发鉴别
√√
访问控制
√√
连接机密性
√√√√
无连接机密性
√√√
选择字段机密性
通信业务流机密性
√
√
带恢复的连接完整性
√
不带恢复的连接完整性
√√
选择字段的连接完整性
√
无连接完整性
√√
选择字段无连接完整性
有数据原发证明的抗抵赖
有交付证明的抗抵赖
应用 层
√ √ √ √ √ √ √ √ √ √ √ √ √ √
注: √表示该表层可提供此安全服务。
常用的安全技术
各种加密算法： 3DES、RSA、MD5、SHA1
数字信封 数字摘要 数字签名 数字时间戳
ISO/OSI安全体系结构 网络层安全机制（IPSec） 传输层安全机制（SSL/TLS） 应用层安全机制(SET)
ISO/OSI安全体系结构
开放系统互联参考模型(OSI/RM )是国际标准化组织 (ISO)为解决异构网络互联而制定的开放式计算机网络 层次结构模型。
1988年，为在开放系统互联的环境下实现信息安全， ISO/TC97技术委员会制定了ISO7498-2国际标准 “信息处理系统--开放系统互联--基本参考模型--安全 体系结构”，为网络安全的研究奠定了基础。我国也制 定了国家标准：《GB/T9387. 2信息开放系统 开放系 统互联 基本参考模型第 2部分:安全体系结构》。这些 标准给出了 OSI 参考模型的七层协议之上的信息安全 体系结构，这是一个普遍适用的安全体系结构，对具体 网络环境的信息安全体系结构具有重要指导意义。
ISO/OSI安全体系结构
安全机制 安全服务 对等实体鉴别 数据原发鉴别 访问控制 连接机密性 无连接机密性 选择字段机密性 通信业务流机密性 带恢复的连接完整性 不带恢复的连接完整性 选择字段的连接完整性 无连接完整性 选择字段无连接完整性 有数据原发证明的抗抵赖 有交付证明的抗抵赖
表 5-1 安全机制与安全服务的关系
1.客户机浏览器的数字证书和公钥
6.用客户机 浏览器的私 钥解密信息
客户端
2.服务器的数字证书和公钥 3.用服务器的公钥加密信息
服务器
4.用服务 器的私钥 解密信息
5.用客户机浏览器的公钥加密会话密钥
7.用会话密钥加密传输的数据
SSL的工作过程
客户
信息 发货
商家
信息 通知
银行
SSL的工作过程
要想成功架设SSL安全站点关键要具备以下几个条件。 1、需要从可信的证书颁发机构CA获取服务器证书。
2）“IP安全策略”
Windows中的IPSec配置
Windows中的IPSec配置
每个 IPSec 规则由下列各项组成： 所选的筛选器列表。 所选的筛选器操作。 所选的身份验证方法。 所选的连接类型。 所选的隧道设置。
Windows中的IPSec配置
可以使用下列方法配置 IPSec 策略：
SET协议的核心技术
采用DES算法的对称密钥技术。 采用RSA算法的非对称密钥技术。 采用数字签名和双重签名等。 采用数字信封。
双重签名
使用双重签名技术对SET交易过程中消费者的支付 信息和定单信息分别签名，使得商家看不到支付信 息，只能对用户的订单信息解密，而金融机构只能 对支付和账户信息解密，充分保证消费者的账户和 定货信息的安全性。
ESP协议
AH协议
加密算法
认证算法
DOI 密钥管理 图 5-1 IPSec 文档关系图
网络层安全机制（IPSec）
访问控制 无连接完整性 数据源的认证 防止重放的数据包 载荷保密性 有限的数据包保密性
表 5-4 IPSec 的服务
AH
ESP（只加密）
√
√
√
√
√
√
√
√
ESP（加密并验证）
√ √ √ √ √ √
ISO/OSI安全体系结构 网络层安全机制（IPSec） 传输层安全机制（SSL/TLS） 应用层安全机制(SET)
安全电子交易SET
安全电子交易 SET（Security Electronic Transaction） 是一种电子支付过程标准，由 VISA 和MasterCard于 1996 年 2月合作制订，同时采用 IBM、GTE、Microsoft、 Netscape、RSA、SAIC、Terisa、VeriSign等多个公司的 技术，是专为网上支付卡业务安全所制定的标准，用以保护网上 支付卡交易的每一个环节，比如：保证电子支付卡交易的安全进 行，加密付款信息安全发送等等。
会话
SSL 的会话是客户和服务器之间的关联，会话通过握手 协议来创建。会话定义了加密安全参数的一个集合，该 集合可以被多个连接所共享。会话可以用来避免为每个 连接重新进行安全参数协商。
SSL协议
SSL 记录协议
机密性 报文完整性
密码更新规约协议 报警协议 握手协议
SSL的工作过程
比较SET与SSL
3、对消费者而言，SET协议采用了双重签名技术 以保证商户的合法性，并且用户的信用卡号等机密 信息不会被窃取，从而使在线购物更轻松。
4、在应用领域方面，SSL主要是和Web应用一 起工作，而SET是为信用卡交易提供安全，因此如 果电子商务应用只是通过Web或是电子邮件，则 可以不要SET。但如果电子商务应用是一个涉及多 方交易的过程，则使用SET更安全、更通用些。
在线SSL支付的缺点：
付款人的信用卡资料先给商家，无法确认商家能否保密； 无法达到交易的不可否认性要求。
SSL提供的安全服务
信息保密：通过使用公开密钥和对称密钥技术以达 到数据加密。
信息完整：SSL利用机密共享和Hash组提供信息 完整性服务。
用户和服务器的合法性：为了验证用户是否合法， 安全套接层协议要求在握手交换数据时进行数字认 证，以此来确保用户的合法性。
－－－－－－－－－
| SSL |
－－－－－－－－－
| TCP |
－－－－－－－－－
| IP
|
SSL 概述
SSL协议使用不对称加密技术实现会话双方 之间信息的安全传递。可以实现信息传递的 保密性、完整性，并且会话双方能鉴别对方 身份。
不同于常用的http协议，我们在与网站建 立SSL安全连接时使用https协议，即采用 https://的方式来访问。
比较SET与SSL
5、成本方面，SET的成本较SSL高很多。目前还 是SSL普及率比较高，但随着交易安全要求的不断 提高，SET将会发展更快。
SSL 体系结构
SSL 握手协议
SSL 密码更新协议 SSL 报警协议 SSL 记录协议 TCP IP 图 5-7 SSL 的协议栈
HTTP
SSL 体系结构
连接：
连接是提供某种类型服务的数据传输（在 OSI分层模型 的定义中）。对于SSL，这样的连接是点对点的。连接 是短暂的，每个连接与一个会话相联系。
IPSec定义了一种标准、健壮的以及包容广泛的机 制，可用它为IP及其上层协议提供安全保证。 IPSec的目标是为IPv4和IPv6提供具有较强的 互操作能力、高质量和基于密码的安全功能，在IP 层实现多种安全服务，包括访问控制、数据完整性、 数据源验证、抗重播、机密性等。IPSec通过支持 一系列加密算法如DES、三重DES、IDEA、 AES等确保通信双方的机密性。
比较SET与SSL
1、在认证要求方面，早期的SSL并没有提供商家 身份认证机制，虽然在SSL3.0中可以通过数字签 名和数字证书可实现浏览器和Web服务器双方的 身份验证，但仍不能实现多方认证；相比之下， SET的安全要求较高，所有参与SET交易的成员 （持卡人、商家、发卡行、收单行和支付网关）都 必须申请数字证书进行身份识别。
比较SET与SSL
2、在安全性方面，SET协议规范了整个商务活动 的流程，从持卡人到商家，到支付网关，到认证中 心以及信用卡结算中心之间的信息流走向和必须采 用的加密、认证都制定了严密的标准，从而最大限 度地保证了商务性、服务性、协调性和集成性。而 SSL只对持卡人与商店端的信息交换进行加密保护， 可以看作是用于传输的那部分的技术规范。从电子 商务特性来看，它并不具备商务性、服务性、协调 性和集成性。因此SET的安全性比SSL高。
创建一个新策略并为该策 略定义一组规则，同时根 据需要添加筛选器列表与 筛选器操作。
创建筛选器列表与筛选器 操作集，然后创建策略并 添加将筛选器列表与筛选 器操作组合起来的规则。
Windows中的IPSec配置
对于其中任一配置方法，创建 IPSec 策略 之后，都必须指派这些策略。
ISO/OSI安全体系结构 网络层安全机制（IPSec） 传输层安全机制（SSL/TLS） 应用层安全机制(SET)
SSL 概述
1994 年,Netscape 公司为了保护Web 通信协议 HTTP,开发了SSL协议。该协议第1 个成熟的版本是 SSL2.0 版。SSL2.0 协议的出现,基本上解决了Web 通信协议的安全问题,很快引起了大家的关注。
1996 年,Netscape 公司发布了SSL3.0,该版本增加 了对除RSA算法以外的其他算法的支持和一些新的安全 特性,并且修改了前一个版本中存在的安全缺陷,与 SSL2.0 相比,更加成熟和稳定,因此很快成为事实上的工 业标准。
网络层安全机制（IPSec）
IPSec是一组开放协议的总称，构成了应用于 IP 层上 网络数据安全的一整套体系结构。
包括： 1、认证报头 AH指定的认证协议。 2、数据报封装安全负载 （ESP） 指定的数据加密和
认证协议。 3、密钥管理协议 （IKE）。
网络层安全机制（IPSec）
体系结构
网络层安全机制（IPSec）
IPv4的安全缺陷： 对通信双方不能保证收到的IP数据报： 1、 确系来自声明的发送方（IP头内的源地址）； 2、 确系原始数据，未被任何篡改； 3、 未发生泄密事件，即原始数据在传输中途未被其
他人偷看。
网络层安全机制（IPSec）
IPSec是IPv6的一个组成部分，也是IPv4的一 个可选扩展协议。IPSec弥补了IPv4在协议设计 时缺乏安全性考虑的不足。
1997 年,IETF 基于SSL3.0 协议发布了 TLS(transport layer security)1.0 传输层安全协 议的草案。1999 年,正式发布了RFC2246。
SSL 概述
SSL是一个介于HTTP协议与TCP之间的一个可选 层，其位置大致如下：
－－－－－－－－－
| HTTP |
网络层安全机制（IPSec）
AH和ESP的区别： AH不能加密数据包所承载的内容，因而它不能提供
机密性。 ESP要求使用高强度加密算法，会受到许多限制。 多数情况下，使用AH的认证服务已能满足要求，相
对来说，ESP开销较大。
Windows中的IPSec配置
1） “控制面板”→“管理工具”→“本地安全策 略”
开始主要用于信用卡支付领域。但SET2.0开始支持借记卡。
安全电子交易SET
SET 具有下面一些特点
信息的机密性 数据的完整性 卡用户账号的鉴别 商家的鉴别 跨平台的操作性
安全电子交易协议工作流程
消费 者
在 线 商
店
支付网关
收单银行
认证中心
发卡银行
SET协议规范所涉及的对象
1）卡用户：持卡消费者 2）商家 3）发行人：参与电子交易的金融机构 4）收单人：商家的金融机构 5）支付网关 6）证书管理机构(CA)
加密 数字 访问 数据 鉴别
签名 控制 完整 交换
性
√√
√
√√
√
√
√
√
√
√
√
√
√
√
√
√√
√
√√
√
√
√
√
√
业务 流填 充
√
路由 控制
√ √ √公证√ √ Nhomakorabea注: √表示该机制可以提供此安全服务，或与其他机制结合提供安全服务。
ISO/OSI安全体系结构
表 5-2 安全服务与 ISO/OSI 参考模型各层的关系
2、必须在WEB服务器上安装服务器证书。 3、必须在WEB服务器上启用SSL功能。 4、客户端（浏览器端）必须同WEB服务器信任同一个 证书认证机构，即需要安装CA证书。
在线支付SSL模式的优缺点
在线SSL支付的优点：
(1)流程简单 (2)架构简单，认证简便，处理速度快，费用低。 (3)使用方便。
层 安全服务
物理 层
数据 链路 层
网络 层
传输 层
会话 层
表示 层
对等实体鉴别
√√
数据原发鉴别
√√
访问控制
√√
连接机密性
√√√√
无连接机密性
√√√
选择字段机密性
通信业务流机密性
√
√
带恢复的连接完整性
√
不带恢复的连接完整性
√√
选择字段的连接完整性
√
无连接完整性
√√
选择字段无连接完整性
有数据原发证明的抗抵赖
有交付证明的抗抵赖
应用 层
√ √ √ √ √ √ √ √ √ √ √ √ √ √
注: √表示该表层可提供此安全服务。
常用的安全技术
各种加密算法： 3DES、RSA、MD5、SHA1
数字信封 数字摘要 数字签名 数字时间戳
ISO/OSI安全体系结构 网络层安全机制（IPSec） 传输层安全机制（SSL/TLS） 应用层安全机制(SET)