网络安全---复习题

综述1．OSI安全体系结构主要包括哪些内容，及OSI网络层次、安全机制和安全服务之间的逻辑关系。

OSI安全体系结构主要包括网络安全机制和网络安全服务两方面的内容，并给出了OSI网络层次、安全机制和安全服务之间的逻辑关系。

网络安全服务有5项：鉴别服务、访问控制服务、数据完整性服务、数据保密性服务和非否认服务。

网络安全机制有8项：加密机制、数字签名机制、访问控制机制、数据完整性机制、鉴别交换机制、信息量填充机制、路由控制机制和公证机制。

2.列举并解释ISO/OSI中定义的5种标准的安全服务。

（1）鉴别用于鉴别实体的身份和对身份的证实，包括对等实体鉴别和数据原发鉴别两种。

（2）访问控制提供对越权使用资源的防御措施。

（3）数据机密性针对信息泄露而采取的防御措施。

分为连接机密性、无连接机密性、选择字段机密性、通信业务流机密性四种。

（4）数据完整性防止非法篡改信息，如修改、复制、插入和删除等。

分为带恢复的连接完整性、无恢复的连接完整性、选择字段的连接完整性、无连接完整性、选择字段无连接完整性五种。

（5）抗否认是针对对方否认的防范措施，用来证实发生过的操作。

包括有数据原发证明的抗否认和有交付证明的抗否认两种。

3. 了解ISO/OSI中定义的8种特定的安全机制以及各种安全机制和安全服务的关系。

安全服务可以单个使用，也可以组合起来使用，上述的安全服务可以借助以下的安全机制来实现：（1）加密机制：借助各种加密算法对存储和传输的数据进行加密；（2）数字签名：使用私钥签名，公钥进行证实；（3）访问控制机制：根据访问者的身份和有关信息，决定实体的访问权限；（4）数据完整性机制：判断信息在传输过程中是否被篡改过；（5）鉴别交换机制：用来实现对等实体的鉴别；（6）通信业务填充机制：通过填充冗余的业务流量来防止攻击者对流量进行分析；（7）路由选择控制机制：防止不利的信息通过路由，如使用网络层防火墙；（8）公证机制：由第三方参与数字签名，它基于通信双方对第三方都绝对相信。

4．网络安全攻击可分为哪两种？简述其内容。

被动攻击两种形式是消息内容泄漏和流量分析。

被动攻击非常难被检测，因为他们根本不改变数据。

一般对这种攻击的重点都是防范而不是检测。

可采用加密的方案来实现。

主动攻击包含数据流的改写和错误数据流的添加，它可以分为4类：假冒、重放、改写消息、拒绝服务四种。

假冒：发生在一个实体假冒另一个不同实体的场合。

重放：被动获取数据单元并按照它之前的顺序重新传输，以此来产生一个非授权的效应。

改写消息：是指合法消息的部分被篡改，或者消息被延迟、被重排、从而产生非授权效应。

拒绝服务：可以阴止或禁止对通信设备的正常使用和管理。

另一种形式是使网络瘫换或消息过载从而丧失网络性能TCP/IP1．了解常用的利用网络层和传输层协议漏洞进行攻击的方法，即相应的防范措施。

2. 重放（Replay）攻击在消息没有时间戳的情况下，攻击者利用身份认证机制中的漏洞先把别人有用的消息记录下来，过一段时间后再发送出去。

3. 会话劫持（Session Hijacking）所谓会话劫持，就是在一次正常的通信过程中，黑客作为第三方参与到其中，或者是在数据流里注射额外的信息，或者是将双方的通信模式暗中改变，即从直接联系变成交由黑客中转。

这种攻击方式可认为是黑客入侵的第四步工作——真正的攻击中的一种。

防火墙1. 什么是防火墙，为什么需要有防火墙？防火墙是一种装置，它是由软件/硬件设备组合而成，通常处于企业的内部局域网与Internet之间，限制Internet用户对内部网络的访问以及管理内部用户访问Internet的权限。

换言之，一个防火墙在一个被认为是安全和可信的内部网络和一个被认为是不那么安全和可信的外部网络(通常是Internet)之间提供一个封锁工具。

如果没有防火墙，则整个内部网络的安全性完全依赖于每个主机，因此，所有的主机都必须达到一致的高度安全水平，这在实际操作时非常困难。

而防火墙被设计为只运行专用的访问控制软件的设备，没有其他的服务，因此也就意味着相对少一些缺陷和安全漏洞，这就使得安全管理变得更为方便，易于控制，也会使内部网络更加安全。

防火墙所遵循的原则是在保证网络畅通的情况下，尽可能保证内部网络的安全。

它是一种被动的技术，是一种静态安全部件。

2. 防火墙应满足的基本条件是什么？作为网络间实施网间访问控制的一组组件的集合，防火墙应满足的基本条件如下：(1) 内部网络和外部网络之间的所有数据流必须经过防火墙。

(2) 只有符合安全策略的数据流才能通过防火墙。

(3) 防火墙自身具有高可靠性，应对渗透(Penetration)免疫，即它本身是不可被侵入的。

3.防火墙有哪些局限性?(1) 防火墙对不通过它的连接无能为力，如拨号上网等。

(2) 防火墙不能防范来自内部网络的攻击。

(3) 不能防止传送已感染病毒的软件或文件。

(4) 作为一种被动的防护手段，防火墙不能自动防范因特网上不断出现的新的威胁和攻击。

(5) 当使用端到端的加密时，防火墙的作用会受到很大的限制。

(6) 防火墙对用户不完全透明，可能带来传输延迟、瓶颈以及单点失效等问题。

(7) 防火墙不能防止数据驱动式攻击。

有些表面无害的数据通过电子邮件或其他方式发送到主机上，一旦被执行就形成攻击（附件）。

(8) 为了提高安全性，限制或关闭了一些有用但存在安全缺陷的网络服务，给用户带来使用的不便。

5. 包过滤防火墙的过滤原理是什么？包过滤防火墙也称分组过滤路由器，又叫网络层防火墙，因为它是工作在网络层。

路由器便是一个网络层防火墙，因为包过滤是路由器的固有属性。

它一般是通过检查单个包的地址、协议、端口等信息来决定是否允许此数据包通过，有静态和动态两种过滤方式。

这种防火墙可以提供内部信息以说明所通过的连接状态和一些数据流的内容，把判断的信息同规则表进行比较，在规则表中定义了各种规则来表明是否同意或拒绝包的通过。

包过滤防火墙检查每一条规则直至发现包中的信息与某规则相符。

如果没有一条规则能符合，防火墙就会使用默认规则（丢弃该包）。

在制定数据包过滤规则时，一定要注意数据包是双向的。

6．列举出静态包过滤的过滤的几个判断依据。

静态包过滤的判断依据有（只考虑IP包）：•数据包协议类型TCP、UDP、ICMP、IGMP 等。

•源/目的IP地址。

•源/目的端口FTP、HTTP、DNS等。

• IP选项：源路由、记录路由等。

• TCP选项SYN、ACK、FIN、RST等。

•其他协议选项ICMP ECHO、ICMP REPLY等。

•数据包流向in或out。

•数据包流经网络接口eth0、ethl。

7．防火墙的结构屏蔽主机体系结构：由包过滤路由器＋堡垒主机构成⏹包过滤路由器–配置在内部网和外部网之间–设立过滤规则–保证外部系统对内部网络的操作只能经过堡垒主机▪堡垒主机–配置在内部网络上–运行网关软件–是外部网络主机连接到内部网络主机的桥梁–需要拥有高等级的安全屏蔽子网体系结构：●在内部网络和外部网络之间建立一个被隔离的子网屏蔽子网结构它是在屏蔽主机结构的基础上添加额外的安全层，即通过添加周边网络（即屏蔽子网）更进一步地把内部网络与外部网络隔离开 由两个路由器和一个堡垒主机组成，用两台路由器将这个子网分别与内部网络和外部网络分开内部网络和外部网络均可访问被屏蔽的子网，但禁止它们穿过被屏蔽子网通信对称加密和消息机密性1．什么是对称密码体制？什么是非对称密码体制？什么是分组密码？什么是流密码？1）对称密码体制(Symmetric System, One-key System, Private-key System)加密密钥和解密密钥相同，或者一个密钥可以从另一个导出，能加密就能解密，加密能力和解密能力是结合在一起的，开放性差。

实例：DES。

2）非对称密码体制(Asymmetric System, Two-key System, Public-key System).加密密钥和解密密钥不相同，从一个密钥导出另一个密钥是计算上不可行的，加密能力和解密能力是分开的，开放性好。

实例：RSA。

3）分组密码：是在密钥控制下，一次变换一个明文分组的密码体制。

(1) 要求：分组长度足够大，以防穷举明文空间攻击。

密钥量应足够大，以防穷举密钥空间攻击。

算法足够复杂，攻击者除了用穷举法之外，找不到其他简洁的数学破译方法。

(2) 基本方法：替换substitution―为2k个可能的输入确定一个k位的输出。

变位 transposition－对输入的比特重新排列，得到新的输出。

将两者结合，对每一块分组基于密钥替换一次，再变位一次，构成一轮；重复多次构成循环，这个循环的正向进行或反向进行则构成了加密和解密。

实例：DES4）流密码：是将明文划分成字符(如单个字母)，或其编码的基本单元(如0, 1 数字)，字符分别与密钥流作用进行加密，解密时以同步产生的同样的密钥流实现。

流密码强度完全依赖于密钥序列的随机性和不可预测性；核心问题是密钥流生成器的设计；保持收发两端密钥流的精确同步是实现可靠解密的关键技术。

2. 对称密码的基本因素是什么？明文，加密算法，秘密密钥，密文，解密算法3. 什么是加密过程中的雪崩效应？雪崩效应（Avalanche Effect）是指明文或密钥的一比特的变化，引起密文许多比特的改变。

如果变化太小，就可能找到一种方法减小有待搜索的明文和密文空间的大小。

4. DES和AES算法原理。

消息认证和非对称加密1、列举消息认证的三种方法：利用常规加密的消息认证、消息认证码MAC、单向散列函数2、什么是MAC一种认证技术。

利用私钥产出一小块数据，并将其附到消息上。

这种技术称为消息验证码。

3. MD5,SHA-1算法原理。

4、公钥加密系统的基本组成元素是什么？明文，加密算法，公钥和私钥，密文，解密算法5. RSA、DSS算法原理。

6、列举并简要说明公钥加密系统的三种应用：加密/解密，数字签名，密钥交换7．什么是数字签名？有哪些基本的数字签名方法？1）数字签名的简单定义：数字签名是使以数字形式存储的明文信息经过特定密码变换生成密文，作为相应明文的签名，使明文信息的接收者能够验证信息确实来自合法用户，以及确认信息发送者身份。

对数字签名的基本要求：签名接收者能容易地验证签字者对消息所做的数字签名；任何人，包括签名接收者，都不能伪造签名者的签字；发生争议时，可由第三方解决争议。

2）数字签名基本分类：直接数字签名。

直接数字签名仅涉及通信方(信源、信宿)，假定信宿知道信源的公开密钥，数字签名通过信源对整个报文用私有密钥加密，或对报文的摘要加密来实现。

弱点在于方案的有效性依赖于信源私有密钥的安全性。

需仲裁的数字签名。

直接数字签名的问题可以通过仲裁解决，签名方的签名报文首先送给仲裁者，仲裁者对报文和签名进行测试以检验出处和内容，然后注上日期和仲裁说明后发给接收方。