⽹络基础安全：TCPIP协议的安全问题分析
TCP/IP协议作为当前最流⾏的协议，却在设计时并未考虑到未来的安全需要，因此协议中有诸多安全问题。⽽协议的安全缺陷与电脑病毒的存 在，使得⽹络环境⾯临极⼤的危险。本⽂在分析了TCP/IP及其安全问题之后，从协议与应⽤两个⾓度介绍了⽬前安全技术概况，最后提出了⼀个安全防范体系 架构。
  ⼀、TCP/IP协议简介
  TCP/IP协议起源于60年代末美国政府资助的⼀个分组交换⽹络研究项⽬，到90年代已发展成为计算机之间最常⽤的组⽹形式，它是⼀个真正的开发系统，⽀持不同的主机以及不同类型⽹络的互联。
  TCP/IP协议是⼀组不同层次上的多个协议的组合，通常被分为4层。
  (1)链路层，有时也称作数据链路层或⽹络接⼝层，负责处理与电缆的物理接⼝细节。如从⽹络层接受IP数据包加上物理头发送到线路上。
  (2)⽹络层，从传输层接受数据包加上IP头，负责数据包的分⽚与重组，以及传输过程中的路由选择等。
  (3)传输层。主要为2台主机上的应⽤程序提供端到端得通信。主要有2个协议：TCP(传输控制协议)和UDP(⽤户数据报协议)，其中TCP提供可靠的⾯向连接的服务，⽽UDP提供不可靠⽆连接服务。
  (4)应⽤层，负责处理特定的应⽤程序细节。
  IP协议是TCP/IP⽹络层唯⼀的核⼼协议。这⼀点是TCP/IP协议得以⼴泛应⽤的重要原因。因为⽆论⽹络采⽤的是何种协议，所有的TCP，UDP及其他协议数据包都被IP数据报直接封装，作为其数据字段进⾏传输，这对异构⽹络的互联提供了极⼤的灵活性。IP协议主要负责数据包的分⽚ 与重组，路由选择等。
  ⼆、TCP/IP协议的安全隐患
  造成操作系统漏洞的⼀个重要原因，就是协议本⾝的缺陷给系统带来的攻击点。⽹络协议是计算机之间为了互联共同遵守的规则。⽬前的互联⽹络所采⽤ 的主流协议TCP/IP，由于在其设计初期⼈们过分强调其开发性和便利性，没有仔细考虑其安全性，因此很多的⽹络协议都存在严重的安全漏洞，给 Internet留下了许多安全隐患。另外，有些⽹络协议缺陷造成的安全漏洞还会被⿊客直接⽤来攻击受害者系统。本⽂就TCP/IP协议⾃⾝所存在的安全 问题和协议守护进程进⾏了详细讨论，指出针对这些安全隐患的攻击。
  1 TCP协议的安全问题
  TCP使⽤三次握制来建⽴⼀条连接，握⼿的第⼀个报⽂为SYN包；第⼆个报⽂为SYN/ACK包，表明
它应答第⼀个SYN包同时继续握⼿的过程；第三个报⽂仅仅是⼀个应答，表⽰为ACK包。若A放为连接⽅，B为响应⽅，其间可能的威胁有：
  1. 攻击者监听B⽅发出的SYN/ACK报⽂。
  2. 攻击者向B⽅发送RST包，接着发送SYN包，假冒A⽅发起新的连接。
  3. B⽅响应新连接，并发送连接响应报⽂SYN/ACK。
  4. 攻击者再假冒A⽅对B⽅发送ACK包。
  这样攻击者便达到了破坏连接的作⽤，若攻击者再趁机插⼊有害数据包，则后果更严重。
  TCP协议把通过连接⽽传输的数据看成是字节流，⽤⼀个32位整数对传送的字节编号。初始序列号(ISN)在TCP握⼿时产⽣，产⽣机制与协议 实现有关。攻击者只要向⽬标主机发送⼀个连接请求，即可获得上次连接的ISN，再通过多次测量来回传输路径，得到进攻主机到⽬标主机之间数据包传送的来回 时间RTT。已知上次连接的ISN和RTT，很容易就能预测下⼀次连接的ISN。若攻击者假冒信任主机向⽬标主机发出TCP连接，并预测到⽬标主机的 TCP序列号，攻击者就能伪造有害数据包，使之被⽬标主机接受。
  IP协议的安全问题
  IP协议在互连⽹络之间提供⽆连接的数据包传输。IP协议根据IP头中的⽬的地址项来发送IP数据包。也就是说，IP路由IP包时，对IP头中 提供的源地址不作任何检查，并且认为IP头中的源地址即为发送该包的机器的IP地址。这样，许多依靠IP源地址做确认的服务将产⽣问题并且会被⾮法⼊侵。 其中最重要的就是利⽤IP欺骗引起的各种攻击。
  以防⽕墙为例，⼀些⽹络的防⽕墙只允许⽹络信任的IP数据包通过。但是由于IP地址不检测IP数据包中的IP源地址是否为放送该包的源主机的真 实地址，攻击者可以采⽤IP源地址欺骗的⽅法来绕过这种防⽕墙。另外有⼀些以IP地址作为安全权限分配依据的⽹络应⽤，攻击者很容易使⽤IP源地址欺骗的 ⽅法获得特权，从⽽给被攻击者造成严重的损失。事实上，每⼀个攻击者都可以利⽤IP不检验IP头源地址的特点，⾃⼰填⼊伪造的IP地址来进⾏攻击，使⾃⼰ 不被发现。
  三、TCP/IP协议安全问题的防范
  TCP协议安全问题的防范
  对于SYN Flood攻击，⽬前还没有完全有效的⽅法，但可以从以下⼏个⽅⾯加以防范：
  1. 对系统设定相应的内核参数，使得系统强制对超时的SYN请求连接数据包的复位，同时通过缩短超时常数和加长等候队列使得系统能迅速处理⽆效的SYN请求数据包。
  2. 建议在该⽹段的路由器上做些配置的调整，这些调整包括限制SYN半开数据包的流量和个数。
  3. 建议在路由器的前端多必要的TCP拦截，使得只有完成TCP三次握⼿过程的数据包才可以进⼊该⽹段，这样可以有效的保护本⽹段内的服务器不受此类攻击。
  IP协议安全问题的防范
tcpip协议pdf  1. 抛弃基于地址的信任策略。这是最简单的⽅法。
  2. 进⾏包过滤。如果⽹络是通过路由器接⼊Internet的，那么可以利⽤路由器来进⾏包过滤。确认只有内部LAN可以使⽤信任关系，⽽内部LAN上的主机对于LAN以外的主机要慎重处理。路由器可以过滤掉所有来⾃于外部⽽希望与内部建⽴连接的请求。
  3. 使⽤加密技术。阻⽌IP欺骗的⼀种简单的⽅法是在通信时要求加密传输和验证。当有多种⼿段并存时，加密⽅法可能最为适⽤。
  四、TCP/IP各层的安全性和提⾼各层安全性的⽅法
  1. ⽹络层的安全性
  在过去的⼗年⾥，已经提出了⼀些⽅案对⽹络层的安全协议进⾏标准化。例如，安全协议3号(SP3)就是美国国家安全局以及标准技术协会作为安全 数据⽹络系统(SDNS)的⼀部分⽽制定的。⽹络层安全协议(NLSP)是由国际标准化组织为⽆连接⽹络协议(CLNP)制定的安全协议标准。集成化 NLSP(I-NLSP)是由美国国家科技研究所提出的包括IP和CLNP在内的统⼀安全机制。SWIPE是另⼀个⽹络层的安全协议，由 Ioannidis和Blaze提出并实现原型。所有这些提案的共同点多于不同点。事实上，他们⽤的都是IP封装技术。其本质是，纯⽂本的包被加密，封装 在外层的IP报头⾥，⽤来对加密的包进⾏Internet上的路由选择。到达另⼀端时，外层的IP报头被拆开，报⽂被解密，然后送到收报地点。
  ⽹络安全性的主要优点是它的透明性，也就是说，安全服务的提供不需要应⽤程序、其他通信层次和⽹络部件做任何改动。它最主要的缺点是：⽹络层⼀ 般属于不间进程和相应条例的包不做区别。对所有去往同⼀地址的包，它将按照同样的加密密钥和访问控制策略来处理。这可能导致提供不了所需要的功能，也会导 致性能下降。针对⾯向主机的密钥分配的这些问题，RFC 1825允许(甚⾄可以说是推荐)使⽤⾯向⽤户的密钥分配，其中，不同的连接会得到不同的加密密钥。但是，⾯向⽤户的密钥分配需要对相应的操作系统内核作 ⽐较⼤的改动。
  简⽽⾔之，⽹络层是⾮常适合提供基于主机对主机的安全服务的。相应的安全协议可以⽤来在Internet上建⽴安全的IP通道和虚拟私有⽹。例 如，利⽤它对IP包的加密和解密功能，可以简捷地强化防⽕墙系统的防卫能⼒。RSA数据安全公司已经发起了⼀个倡议，来推进多家防⽕墙和TCP/IP软件 ⼚
商联合开发虚拟私有⽹，该倡议被称为S-WAN(安全⼴域⽹)倡议，其⽬标是制定和推荐⽹络层的安全协议标准。
  2. 传输层的安全性
  在⽹络应⽤编程中，通常使⽤⼴义的进程间通信(IPC)机制来与不同层次的安全协议打交道。在Internet中提供安全服务的⾸先⼀个想法便 是强化它的IPC界⾯，如BSD、Sockets等，具体做法包括双端实体的认证，数据加密密钥的交换等。Netscape通信公司遵循了这个思路，制定 了建⽴在可靠的传输服务(如TCP/IP所提供)基础上的安全接层协议(SSL)。
  ⽹络安全机制的主要优点是它的透明性，即安全服务的提供不要求应⽤层做任何改变。这对传输层来是说是做不到的。原则上，任何TCP/IP应⽤， 只要应⽤传输层安全协议，⽐如说SSL或IPC，就必定要进⾏若⼲修改以增加相应的功能，并使⽤不同的IPC界⾯。于是，传输层安全机制的主要缺点就是要 对传输层IPC界⾯和应⽤程序两端都进⾏修改。可是，⽐起Internet层和应⽤层的安全机制来，这⾥修改还是相当⼩的。另⼀个缺点是，基于UDP的通 信很难在传输层建⽴起安全机制来。同⽹络层安全机制相⽐，传输层安全机制的主要优点是它提供基于进程对进程的(⽽不是主机对主机的)安全服务。这⼀成就如 果再加上应⽤级的安全服务，就可以再向前跨越⼀⼤步了。
  3. 应⽤层的安全性
  ⽹络层的安全协议允许为主机(进程)之间的数据通道增加安全属性，这以为着真正的数据通道还是建⽴在主机(或进程)之间，但却不可能区分在同⼀ 通道上传输的⼀个具体⽂件的安全性要求。⽐如说，如果⼀个主机与另⼀个主机之间建⽴起⼀条安全的IP通道，那么所有在这条通道上传输的IP包就到要⾃动的 被加密。同样，如果⼀个进程和另⼀个进程之间通过传输层安全协议建⽴起了⼀条安全的数据通道，那么两个进程间传输的所有消息就都要⾃动的被加密。
  ⼀般来说，在应⽤层提供安全服务有⼏种可能的做法，⼀个是对每个应⽤(及应⽤协议)分别进⾏修改。⼀些重要的TCP/IP应⽤已经这样做了。在 RFC1421⾄1424中，IETF规定了私⽤强化邮件(PEM)来为基于SMTP的电⼦邮件系统提供安全服务。Internet业界采纳PEM的步⼦ 太慢的原因是PEM依赖于⼀个既存的、完全可操作的PKI(公钥基础结构)。建⽴⼀个符合PEM规范的PKI需要多⽅在⼀个共同点上达成信任。作为⼀个中 间步骤，Phil Zimmermann开发了⼀个软件包，叫做PGP(Pretty Good Privacy)。PGP符合PEM的绝⼤多数规范，但不必要求PKI的存在。相反，它采⽤了分布式的信任模型，即由每个⽤户⾃⼰决定该信任哪些其他⽤ 户。因此，PGP不是去推⼴⼀个全局的PKI，⽽是让⽤户⾃⼰建⽴⾃⼰的信任之⽹。
  总结：
  总起来说，TCP/IP安全性的进展实际上与ICA思想的安全保证是有所协同与汇聚的，⽐起防⽕墙等措
施来已更上⼀层楼。因此，基于TCP/IP协议的安全计算问题应以科学求实、积极创新的原则⽽努⼒推进，决不能不求创新，甚⾄悲观失望。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。