计算机网络技术课程5吉林大学李晓峰

§5. 5 VPN (Virtual Private Network)
VPN：虚拟专用网。
V、 N ：虚拟网，源和目的 VPN 是一个公用IP网络上 的两个站点之间的IP连接。它 之间的数据通路是与其他传输共 享的 的有效负荷都被加密，只有源 和目的点才能解密业务分组。 P、N：专用网络，非授权 用户不可访问源和目的之间所传 输 的数据。
网络安全又分为：
运行系统安全，即保证信息处理 和传输系统的安全。 网络上系统信息的安全。 网络上信息传播的安全。 网络上信息内容的安全。
网络安全的特征 可被授权实体访问并按需求使用的
特性，即当需要时应能存取所需的信息。 保密性 网络环境下拒绝服务、破坏网络和有关 系统的正常运行等都属于对可用性的攻 信息不泄露给非授权的用户、实体 完整性 击。 或过程，或供其利用的特性。
主机安全技术 身份认证技术 访问控制技术 密码技术 防火墙技术 安全审计技术 安全管理技术
认证和加密
网络安全的策略
网络用户的安全责任 系统管理员的安全责任 正确利用网络资源 检测到安全问题时的对策
信息安全标准
TCSEC trusted computer system 最低保护等级、自主保护等级、强 evaluation criteria 制保护等级、验证保护等级 CC
• 载体生成方法：生成伪装载体
数据隐写术
• 替换系统
利用奇偶性调制
替换系统最低比特位替换LSB
替换系统最低比特位替换（ Least Significant Bit Embedding LSB） 黑白图象：灰阶值（明亮程度，8比特） 彩色图象：RGB（明亮程度，3个字节）
例如：
(a)Normal
(b)Embedded
信息隐藏技术概述
• 信息隐藏系统的特征
（1）鲁棒性（Robustness）
指不因宿主文件的某种改动而导致 隐藏信息丢失的能力。 包括：传输过程中的信道噪音、 滤波操作、重采样、有损编码 压缩、D/A或A/D转换等
信息隐藏技术概述
• 信息隐藏系统的特征
（2）不可检测性（Undetectability）
VPN 安全协议
2层转发（L2F）
提供了ISP服务器和网络之间的 隧道。 用户建立一条到ISP服务器的点 对点拨号连接。服务器将ppp桢封装 在L2F桢内，封装后被转发到3层设 备（路由器）进行传输。
VPN 安全协议
2层隧道协议（L2TP）
结合PPTP与L2F。尚在开发中。
VPN 安全协议
可用性 数据未经授权不能进行改变的特性，
即信息在存储或传输过程中保持不被修 可控性 改、不被破坏和丢失的特性。 对信息的传播及内容具有控制能力。
网络安全的威胁
非授权访问（unauthorized access）：一个非授权的人的入侵。 信息泄露（disclosure of information）：造成将有价值的和高度 机密的信息暴露给无权访问该信息的人 的所有问题。 拒绝服务（denial of service）： 使得系统难以或不可能继续执行任务的 所有问题。
例如：密钥中… G-T；O-%；D-W； ！-A； … … 算法公开 常规：加密、解密，密钥相同 消息： GOOD ！ 密钥保密 公开：加密、解密，密钥不同 密文：T%%WA 非对称加密
常规密钥密码体制（单密钥）
数据加密标准 DES 特色： 消息被加密和解密的速度。 将每 64位明文用56位密钥，经 缺点： 过混乱压扩技术，生成密文。 通信过程涉及若干个人时， 需要密钥数量。如：两个人之间 用猜试法破解 只需要一个密钥；十个人，需要 45个密钥。（n×(n-1)/2） 定期更换密钥
字证书时要验证是否失效。
§5.4 信息隐藏技术
信息隐藏技术（Information Hinding，也称信息伪装），利用人 类感觉器官对数字信号的感觉冗余， 将一个信息伪装隐藏在另一个信息 之中，实现隐蔽通信或隐蔽标识。
“保护色”与“藏头诗” • 包括的内容：
信息隐藏技术概述
数字隐写技术
数字水印
IP安全（IPSec）
IPSec为VPN提供端对端的数据 加密和认证。
安全是相对的
总有办法发现算法的漏洞或者加密 技术的关键结构。 使用加密技术的真正问题是经济问 题。
生成强口令：
生成口令时，避免使用： 很难猜到的口令，
任何类型的名字
对应于弱口令
任何的电话号码 自己或家人的名字 •身份证上的数字部分 任何字典中的单词
VPN 提供了更高一级的安全
VPN不仅能够加密用户的数 据，而且能够加密协议栈中的数 据项，某些会话攻击形式可能会 通过攻击协议栈中的数据项来损 害用户的站点。
VPN 实现方式
站点之间（R-R）VPN隧道连接：
当建立到一个特定IP地址的连接 时，在两个路由器（具有VPN功能） 之间为其建立加密连接，即加密“隧 道”功能。（建立“master session”） 通常，两个不同厂商的路由器， 不能以隧道方式互操作。
这种防火墙能有效地防止用户数据 直接暴露在Internet中，并记录主机和 Internet数据交换的情况，从而保证了用 户的安全。
“天网防火墙”
§5.3 加密技术
• 加密（cryptography） 暗文 明文
（plaintext） （ciphertext） 对称加密 • 密码体制： 最简单的加密技术是字母替换密码。
不足：加密速度慢
数字签名过程：
A
使用A的密 使用B的公 钥加密 钥加密 数字签名
B
使用A的公 使用B的密 钥验证数 钥解密 字签名
使用数字签名：
能够表明签名者的身份 发送者无法抵赖（反拒认）
不能伪造
数字证书
• 证明权威 CA
•
用户A产生一对密钥，将公钥及 用户 B 用 CA 的公钥验证 CA 对 A 的 说明用CA的公钥加密后发给CA，CA 数字证书。 经过对A的身份验证，认可，将A的 公钥产生一个摘要，用CA的密钥签 名得到数字证书。 由于公钥需要定期更换，使用数
防火墙的不足：
（1）不能防范绕过防火墙的攻击。 （2）一般的防火墙不能防止受到病毒感染 的软件或文件的传输。 （3）不能防止数据驱动式攻击。 （4）难以避免来自内部的攻击。
PC机的保护 防病毒软件 个人防火墙
防病毒软件
构建个人防火墙
个人用户只能使用应用级防火墙， 一般都是使用包过滤和协议过滤等技术 实现的。
公开密钥密码体制（双密钥）
分为公开密钥（公钥，公开）和秘 简单描述： 密密钥（密钥，保密），可以用于数字 优点： 随机产生两个很大的 签名。 需要密钥的数量降低。 质数（每一个是300位的十 缺点： 进制数，理想模式）。 公钥加密的暗文只有密钥可解 加密、解密的速度慢 求两个质数的乘积 密钥加密的暗文只有公钥可解 （公钥、密钥的一部分） RSA算法 …….
协议安全的脆弱性：
当前计算机网络系统都使用的 例如：Robert Morries在 VAX机上 TCP ／ IP 协 议 以 及 FTP、 E-mail、NFS 等 用C 编写的一个 GUESS 软件，它根据 都包含着许多影响网络安全的因素，存 对用户名的搜索猜测机器密码口令的 在许多漏洞。 程序，自在1988年11月开始在网络上 传播以后，几乎每年都给Internet造成 上亿美元的损失
信息隐藏技术概述
• 信息隐藏模型
密钥 秘密信息 隐蔽宿主 密钥
宿主信息
编码器
秘密信息
检测器
宿主信息
信息隐藏技术概述
• 具体描述
秘密信息（Secret Message） 宿主信息（Cover Message） 密钥（Key） 嵌入算法（Embedding Algorithm） 检测器（Detector）
commom criteria for 主要考虑人为的信息威胁，也可用 security evaluation 于非人为因素导致的威胁。
§5.2 防火墙——分组过滤装置
防火墙技术就是一种保护计算机网络 安全的技术性措施，是在内部网络和外部 网络之间实现控制策略的系统，主要是为 了用来保护内部的网络不易受到来自 Internet的侵害。
指隐蔽宿主与原始宿主具有一致的 特性，以便使非法拦截者无法判断是否 有隐蔽信息。
信息隐藏技术概述
• 信息隐藏系统的特征
（3）透明性（Invisibility）
指利用人类视觉系统或人类听觉系 统属性，经过一系列隐藏处理，使目标 数据没有明显的降质现象，从而隐藏的 数据无法人为地看见或听见。
信息隐藏技术概述
网络安全的威胁
计算机系统的脆弱性:
（1）计算机系统的脆弱性主要来自于操作 系统的不安全性，在网络环境下，还来 源于通信协议的不安全性。 （2）存在超级用户，如果入侵者得到了超 级用户口令，整个系统将完全受控于入 侵者。 （3）计算机可能会因硬件或软件故障而停 止运转，或被入侵者利用并造成损失。
网络安全的威胁
典型的防火墙：
Internet
外部（ISP）包过滤器 堡垒主机 （应用或链路级网关） （应用网关或链路级网关） 内部包过滤器
企业Intranet
防火墙的类型
电路级防火墙可以由应用层网关 网络级防火墙
来完成。电路层网关只依赖于TCP连 接，并不进行任何附加的包处理或 网络级防火墙也称包过滤防火墙， 应用级防息隐藏技术概述
• 主要分支
版权标志 匿名通信 信息隐藏 隐写术
易碎水印 鲁棒的版权标志 语言学中的隐写术 技术上的隐写术 隐蔽信道
数据隐写术
• 替换系统用：秘密信息替代宿主的冗余
• 变换域技术：在信号的变换域嵌入
• 扩展频谱技术：扩频通信
• 统计方法：更改统计特性