⽹络安全协议
⽹络安全协议
⽹络安全协议的定义
⽹络安全协议可定义为基于密码学的通信协议，包含两层含义：
⽹络安全协议以密码学为基础
⽹络安全协议也是通信协议
第⼀层含义体现了⽹络安全协议与普通协议间的差异，使⽤密码技术时，算法和密钥两个要素都不可或缺。
第⼆层含义体现了⽹络安全协议与普通协议之间的共性
公钥密码和对称密码的对⽐
密钥交互和保密的⾓度：公钥密码优于对称密码。但保障数据机密性时对称密码的到⼴泛应⽤，原因之⼀是对称密码算法效率⾼
应⽤的⾓度：公钥密码主要⽤于：
计算数字签名确保不可否认性
⽤于密钥交换
密钥的实⽤⾓度：
保障机密性，使⽤接收⽅的公钥加密
⽤于数字签名，使⽤发送⽅的私钥加密
数字签名
确保不可否认性，原理与消息验证码类似，具备认证功能
通信协议使⽤发送⽅的私钥加密摘要，验证发使⽤发送⽅的公钥验证
消息验证码和数字签名的区别
消息验证码使⽤通信双⽅共享的会话密钥处理摘要
数字签名使⽤发送⽅的私钥加密摘要，验证发使⽤发送⽅的公钥验证
常见的⽹络安全协议
1.⽹络认证协议Kerberos
Kerberos 是⼀种⽹络认证协议，其设计⽬标是通过密钥系统为客户机 / 服务器应⽤程序提供强⼤的认证服务。该认证过程的实现不依赖于主机操作系统的认证，⽆需基于主机地址的信任，不要求⽹络上所有主机的物理安全，并假定⽹络上传送的数据包可以被任意地读取、修改和插⼊数据。在以上情况下， Kerberos 作为⼀种可信任的第三⽅认证服务，是通过传统的密码技术（如：共享密钥）执⾏认证服务的。认证过程具体如下：客户机向认证服务器（AS）发送请求，要求得到某服务器的证书，然后 AS 的响应包含这些⽤客户端密钥加密的证书。
证书的构成为：
服务器 “ticket” ；
⼀个临时加密密钥（⼜称为会话密钥 “session key”）。
客户机将 ticket （包括⽤服务器密钥加密的客户机⾝份和⼀份会话密钥的拷贝）传送到服务器上。会
话密钥可以（现已经由客户机和服务器共享）⽤来认证客户机或认证服务器，也可⽤来为通信双⽅以后的通讯提供加密服务，或通过交换独⽴⼦会话密钥为通信双⽅提供进⼀步的通信加密服务。
上述认证交换过程需要只读⽅式访问 Kerberos 数据库。但有时，数据库中的记录必须进⾏修改，如添加新的规则或改变规则密钥时。修改过程通过客户机和第三⽅ Kerberos 服务器（Kerberos 管理器 KADM）间的协议完成。有关管理协议在此不作介绍。另外也有⼀种协议⽤于维护多份 Kerberos 数据库的拷贝，这可以认为是执⾏过程中的细节问题，并且会不断改变以适应各种不同数据库技术。
Kerberos⼜指⿇省理⼯学院为这个协议开发的⼀套计算机⽹络安全系统。系统设计上采⽤客户端/服务器结构与DES加密技术，并且能够进⾏相互认证，即客户端和服务器端均可对对⽅进⾏⾝份认证。可以⽤于防⽌窃听、防⽌replay攻击、保护数据完整性等场合，是⼀种应⽤对称密钥体制进⾏密钥管理的系统。Kerberos的扩展产品也使⽤公开密钥加密⽅法进⾏认证。
2.安全外壳协议SSH
SSH 为 Secure Shell 的缩写，由 IETF 的⽹络⼩组（Network Working Group）所制定；SSH 为建⽴在应⽤层基础上的安全协议。SSH 是⽬前较可靠，专为远程登录会话和其他⽹络服务提供安全性的协议。利⽤ SSH 协议可以有效防⽌远程管理过程中的信息泄露问题。SSH最初是UNIX系统上的⼀个程序，后来⼜迅速扩展到其他操作平台。SSH在正确使⽤时可弥补⽹络中的漏洞。SSH客户端适⽤于多
种平台。⼏乎所有UNIX平台—包括HP-UX、Linux、AIX、Solaris、Digital UNIX、Irix，以及其他平台，都可运⾏SSH。
传统的⽹络服务程序，如：ftp、pop和telnet在本质上都是不安全的，因为它们在⽹络上⽤明⽂传送⼝令和数据，别有⽤⼼的⼈⾮常容易就可以截获这些⼝令和数据。⽽且，这些服务程序的安全验证⽅式也是有其弱点的，就是很容易受到“中间⼈”（man-in-the-middle）这种⽅式的攻击。所谓“中间⼈”的攻击⽅式，就是“中间⼈”冒充真正的服务器接收你传给服务器的数据，然后再冒充你把数据传给真正的服务器。服务器和你之间的数据传送被“中间⼈”⼀转⼿做了⼿脚之后，就会出现很严重的问题。通过使⽤SSH，你可以把所有传输的数据进⾏加密，这样"中间⼈"这种攻击⽅式就不可能实现了，⽽且也能够防⽌DNS欺骗和IP欺骗。使⽤SSH，还有⼀个额外的好处就是传输的数据是经过压缩的，所以可以加快传输的速度。SSH有很多功能，它既可以代替Telnet，⼜可以为FTP、PoP、甚⾄为PPP提供⼀个安全的"通道" 。从客户端来看，SSH提供两种级别的安全验证。
第⼀种级别（基于⼝令的安全验证）
只要你知道⾃⼰帐号和⼝令，就可以登录到远程主机。所有传输的数据都会被加密，但是不能保证你正在连接的服务器就是你想连接的服务器。可能会有别的服务器在冒充真正的服务器，也就是受到“中间⼈”这种⽅式的攻击。
第⼆种级别（基于密匙的安全验证）
需要依靠密匙，也就是你必须为⾃⼰创建⼀对密匙，并把公⽤密匙放在需要访问的服务器上。如果你要连接到SSH服务器上，客户端软件就会向服务器发出请求，请求⽤你的密匙进⾏安全验证。服务器收到请求之后，先在该服务器上你的主⽬录下寻你的公⽤密匙，然后把它和你发送过来的公⽤密匙进⾏⽐较。如果两个密匙⼀致，服务器就⽤公⽤密匙加密“质询”（challenge）并把它发送给客户端软件。客户端软件收到“质询”之后就可以⽤你的私⼈密匙解密再把它发送给服务器。
⽤这种⽅式，你必须知道⾃⼰密匙的⼝令。但是，与第⼀种级别相⽐，第⼆种级别不需要在⽹络上传送⼝令。
第⼆种级别不仅加密所有传送的数据，⽽且“中间⼈”这种攻击⽅式也是不可能的（因为他没有你的私⼈密匙）。但是整个登录的过程可能需要10秒。
3.安全电⼦交易协议SET
安全电⼦交易协议(secure Electronic Transaction简称SET) 由威⼠(VISA)国际组织、万事达(MasterCard)国际组织创建，结合IBM、Microsoft、Netscope、GTE等公司制定的电⼦商务中安全电⼦交易的⼀个国际标准。
安全电⼦交易协议SET是⼀种应⽤于因特⽹（Internet）环境下，以信⽤卡为基础的安全电⼦交付协议，它给出了⼀套电⼦交易的过程规范。通过SET协议可以实现电⼦商务交易中的加密、认证、密钥管理机制等，保证了在因特⽹上使⽤信⽤卡进⾏在线购物的安全。
其主要⽬的是解决信⽤卡电⼦付款的安全保障性问题，这包括：保证信息的机密性，保证信息安全传输，不能被窃听，只有收件⼈才能得到和解密信息；保证⽀付信息的完整性，保证传输数据完整接收，在中途不被篡改；认证商家和客户，验证公共⽹络上进⾏交易活动包括会计机构的设置、会计⼈员的配备及其职责权利的履⾏和会计法规、制度的制定与实施等内容。合理、有效地组织会计⼯作，意义重⼤，它有助于提⾼会计信息质量，执⾏国家财经纪律和有关规定；有助于提⾼经济效益，优化资源配置。会计⼯作的组织必须合法合规。讲求效益，必须建⽴完善的内部控制制度，必须有强有⼒的组织保证。
⼯作流程
1）消费者利⽤⾃⼰的PC机通过因特⽹选定所要购买的物品，并在计算机上输⼊订货单、订货单上需包括在线商店、购买物品名称及数量、交货时间及地点等相关信息。
2）通过电⼦商务服务器与有关在线商店联系，在线商店作出应答，告诉消费者所填订货单的货物单价、应付款数、交货⽅式等信息是否准确，是否有变化。
3）消费者选择付款⽅式，确认订单签发付款指令。此时SET开始介⼊。
3）消费者选择付款⽅式，确认订单签发付款指令。此时SET开始介⼊。
4）在SET中，消费者必须对订单和付款指令进⾏数字签名，同时利⽤双重签名技术保证商家看不到消费者的帐号信息。
5）在线商店接受订单后，向消费者所在银⾏请求⽀付认可。信息通过⽀付⽹关到收单银⾏，再到电⼦货币发⾏公司确认。批准交易后，返回确认信息给在线商店。
6）在线商店发送订单确认信息给消费者。消费者端软件可记录交易⽇志，以备将来查询。
7）在线商店发送货物或提供服务并通知收单银⾏将钱从消费者的帐号转移到商店帐号，或通知发卡银⾏请求⽀付。在认证操作和⽀付操作中间⼀般会有⼀个时间间隔，例如，在每天的下班前请求银⾏结⼀天的帐。
前两步与SET⽆关，从第三步开始SET起作⽤，⼀直到第六步，在处理过程中通信协议、请求信息的格式、数据类型的定义等SET都有明确的规定。在操作的每⼀步，消费者、在线商店、⽀付⽹关都通过CA（认证中⼼）来验证通信主体的⾝份，以确保通信的对⽅不是冒名顶替，所以，也可以简单地认为SET规格充分发挥了认证中⼼的作⽤，以维护在任何开放⽹络上的电⼦商务参与者所提供信息的真
实性和保密性。
4.安全套接层协议SSL
SSL的英⽂全称是“Secure Sockets Layer”，中⽂名为“安全套接层协议 ”，它是⽹景（Netscape）公司提出的基于 WEB 应⽤的安全协议。SSL协议指定了⼀种在应⽤程序协议(如HTTP、Telnet、NNTP和FTP等)和TCP/IP协议之间提供数据安全性分层的机制，它为TCP/IP连接提供数据加密、服务器认证、消息完整性以及可选的客户机认证。
VPN SSL200设备⽹关适合应⽤于中⼩企业规模，满⾜其企业移动⽤户、分⽀机构、供应商、合作伙伴等企业资源（如基于 Web 的应⽤、企业邮件系统、⽂件服务器、C/S 应⽤系统等）安全接⼊服务。企业利⽤⾃⾝的⽹络平台，创建⼀个增强安全性的企业私有⽹络。SSL VPN客户端的应⽤是基于标准Web浏览器内置的加密套件与服务器协议出相应的加密⽅法，即经过授权⽤户只要能上⽹就能够通过浏览器接⼊服务器建⽴SSL安全隧道。
5.⽹络层安全协议IPSec
IPSec由IETF制定，⾯向TCMP，它为IPv4和IPv6协议提供基于加密安全的协议。
IPSec主要功能为加密和认证，为了进⾏加密和认证，IPSec还需要有密钥的管理和交换的功能，以便
为加密和认证提供所需要的密钥并对密钥的使⽤进⾏管理。以上三⽅⾯的⼯作分别由AH，ESP和IKE（Internet Key Exchange，Internet 密钥交换）三个协议规定。为了介绍这三个协议，需要先引⼈⼀个⾮常重要的术语SA（Security Association安全关联）。所谓安全关联是指安全服务与它服务的载体之间的⼀
个“连接”。AH和ESP都需要使⽤SA，⽽IKE的主要功能就是SA的建⽴和维护。要实现AH和ESP，都必须提供对SA的⽀持。通信双⽅如果要⽤IPSec建⽴⼀条安全的传输通路，需要事先协商好将要采⽤的安全策略，包括使⽤的加密算法、密钥、密钥的⽣存期等。当双⽅协商好使⽤的安全策略后，我们就说双⽅建⽴了⼀个SA。SA就是能向其上的数据传输提供某种IPSec安全保障的⼀个简单连接，可以由AH或ESP提供。当给定了⼀个SA，就确定了IPSec要执⾏的处理，如加密，认证等。SA可以进⾏两种⽅式的组合，分别为传输临近和嵌套隧道。
IPSec的⼯作原理类似于包过滤防⽕墙，可以看作是对包过滤防⽕墙的⼀种扩展。当接收到⼀个IP数据包时，包过滤防⽕墙使⽤其头部在⼀个规则表中进⾏匹配。当到⼀个相匹配的规则时，包过滤防⽕墙就按照该规则制定的⽅法对接收到的IP数据包进⾏处理。这⾥的处理⼯作只有两种：丢弃或转发。IPSec通过查询SPD（Security Policy Database安全策略数据库）决定对接收到的IP数据包的处理。但是IPSec 不同于包过滤防⽕墙的是，对IP数据包的处理⽅法除了丢弃，直接转发（绕过IPSec）外，还有⼀种，即进⾏IPSec处理。正是这新增添的处理⽅法提供了⽐包过滤防⽕墙更进⼀步的⽹络安全性。
进⾏IPSec处理意味着对IP数据包进⾏加密和认证。包过滤防⽕墙只能控制来⾃或去往某个站点的IP数据包的通过，可以拒绝来⾃某个外部站点的IP数据包访问内部某些站点，也可以拒绝某个内部站点对某些外部⽹站的访问。但是包过滤防⽕墙不能保证⾃内部⽹络出去的数据包不被截取，也不能保证进⼊内部⽹络的数据包未经过篡改。只有在对IP数据包实施了加密和认证后，才能保证在外部⽹络传输的数据包的机密性、真实性、完整性，通过Internet进⾏安全的通信才成为可能。IPSec既可以只对IP数据包进⾏加密，或只进⾏认证，也可以同时实施⼆者。但⽆论是进⾏加密还是进⾏认证，IPSec都有两种⼯作模式，⼀种是隧道模式，另⼀种是传输模式。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。