CIWSecurity_第二部分_网络安全技术与实践
ciw网络安全认证
ciw网络安全认证CIW（Certified Internet Web Professional）网络安全认证是一项全球认可的网络安全技术认证考试，旨在帮助网络安全从业者提升技能水平、扩展知识面并获得更好的职业发展机会。
CIW网络安全认证涵盖了网络安全的各个方面，包括网络安全基础、网络安全技术、网络安全管理等，下面将详细介绍CIW网络安全认证的内容和意义。
CIW网络安全认证是一个基于IT行业标准的认证考试，通过考试可以对网络安全知识有一个系统全面的了解，并可以通过相关技术手段来保护网络系统的安全。
CIW网络安全认证的内容包括网络安全基础概念、网络安全技术、网络安全管理以及网络安全法律与道德等方面的知识。
学员可以通过学习相关课程和参与实践项目来准备考试，通过考试后可以获得全球范围内认可的CIW网络安全认证证书。
CIW网络安全认证的意义在于提升网络安全专业人员的技能水平和竞争力。
网络安全是当今社会信息化进程中至关重要的一环，随着网络攻击技术的不断演变，对网络安全人才的需求也越来越大。
持有CIW网络安全认证证书的人员可以证明他们具备了一定的网络安全知识和技能，能够有效地对网络系统进行安全防护和管理，具备更好的职业发展机会。
此外，CIW 网络安全认证还可以为企业提供专业的网络安全顾问，帮助企业建立和完善网络安全体系，提高企业的信息安全水平。
对于个人而言，CIW网络安全认证对于提升自身的技能水平和职业发展具有重要意义。
网络安全领域的专业人士可以通过学习CIW网络安全认证课程来拓宽知识面、深入理解网络安全的理论和实践。
通过参加实验室实践项目，可以掌握一定的网络安全技术和工具的使用，并且在解决实际问题时能够运用所学的知识。
此外，CIW网络安全认证还与企业需求紧密相关，具备该认证的人员可以获得更多的就业机会和职业发展空间。
总之，CIW网络安全认证是一个全球认可的网络安全技术认证考试，通过考试可以提升网络安全专业人员的技能水平和职业竞争力。
Cybersecurity Tools 使用教程及界面介绍翻译
Cybersecurity Tools 使用教程及界面介绍翻译Cybersecurity Tools 使用教程及界面介绍随着数字化时代的到来，网络安全变得越来越重要。
为了保护个人隐私和企业机密，使用强大的网络安全工具变得至关重要。
本文将介绍一些常用的网络安全工具，详细讲解它们的使用方法，并展示其界面设计。
一、防火墙防火墙是网络安全的第一道防线。
它可以监控并限制进出网络的数据流量，以防止未经授权的访问和恶意攻击。
在选择防火墙时，可以考虑以下几个因素：性能、规模、可扩展性、日志记录和报告功能等。
常见的防火墙工具有 Cisco ASA、Fortinet FortiGate、Palo Alto Networks 等。
这些工具提供了直观的图形界面，使用户可以轻松配置网络规则和监控网络流量。
二、入侵检测系统（IDS）入侵检测系统是通过监测网络流量和系统事件来发现潜在的入侵行为。
它可以及时警告管理员，并采取相应的措施来应对攻击。
常见的入侵检测系统有 Snort、Suricata、Cisco Firepower 等。
这些工具提供了实时的日志和报告功能，可视化显示潜在的威胁和攻击来源，帮助管理员做出及时的反应。
三、漏洞扫描器漏洞扫描器用于自动化地检测网络和系统中的安全漏洞。
它可以帮助管理员及时发现并修复潜在的漏洞，减少遭受攻击的风险。
常见的漏洞扫描器工具有Nessus、OpenVAS、Qualys 等。
这些工具提供了全面的漏洞扫描功能，每次扫描后都会生成详细的报告，列出存在的漏洞和建议的修复方法。
四、数据加密工具数据加密工具是一种将数据转换为不可读形式的工具，以保护数据的机密性。
它可以防止未经授权的访问者窃取、篡改或泄露敏感信息。
常见的数据加密工具有 VeraCrypt、BitLocker、OpenSSL 等。
这些工具提供了强大的加密算法和密钥管理功能，使用户可以轻松加密文件、文件夹、磁盘等。
五、密码管理工具密码管理工具用于存储和管理各种账号的密码。
大纲及教案-信息安全与技术(第2版)-朱海波-清华大学出版社
《信息安全与技术》课程教学大纲课程中文名称：信息安全技术课程英文名称：Technology of Information Security适用专业：总学时数：39学时其中理论学时：30学时实验学时：9学时总学分：1开课学期：参考教材：《信息安全与技术》（第2版），朱海波，清华大学出版社，2019。
参考资料：《密码学与网络安全：原理与实现》，杨明等译．清华大学出版社，2002《计算机密码学》，卢开澄．清华大学出版社，2003《网络安全——技术与实践》（第2版），刘建伟、王育民，清华大学出版社，2011《网络与信息安全》，蔡皖东，西北工业大学出版社，2004《网络安全基础实验指导》，Paul Cretaro，高等教育出版社，2005一、课程说明1.本课程的性质《信息安全与技术》是信息管理与信息系统专业的学科选修课。
《信息安全与技术》要求学生在已完成《计算机网络》、《操作系统》、《C++程序设计》等课程的学习基础上开设。
2.课程教学目标知识目标：本课程主要讲授信息安全的基本概念、基本理论、基本攻防技术。
通过本课程的学习，掌握威胁信息安全相关的攻击者及攻击技术、计算机恶意代码及防治、安全操作系统、密码学、防火墙、入侵检测系统、安全协议、VPN、系统容灾。
能力目标：通过本课程的学习，学生应掌握信息安全的基本概念，对信息安全面临的威胁，应对的安全手段有一个总体上的认知和把握。
素质目标：熟悉信息安全涉及的各领域知识，在将来工作中对信息系统需要的安全措施、安全方案能够有系统性的认知和恰当的设置或者使用。
3.本课程的教学环节与教学方法⑴讲授：采用多媒体课件的形式进行理论讲授。
⑵自学：一般了解的章节和延伸知识采用自学方式。
⑶习题及作业：每章均要留一定数量的作业。
⑷辅导、答疑：采取不定期辅导和答疑的方式弥补课堂教学未能解决和消化的问题。
⑸实践环节：通过对扫描监听和攻击技术的两次共6学时实验，让学生加深对攻击技术的认知与体验，同时增强学生的动手能力。
CIW网络安全专业认证项目手册
CIW网络安全专业认证项目手册二零零六年八月目录CIW—超越厂商背景的全球权威互联网证书！一、CIW项目背景介绍CIW英文全称Certified Internet Webmaster,是世界上最具权威地位的超越厂商背景的互联网证书。
该证书认可了IT行业中担任网络管理、安全管理、站点设计、站点开发及Java程序等职务的专业人员的职业技能资格。
CIW认证得到了互联网专家协会（AIP）、国际互联网管理协会（IWA）、国际互联网证书机构（ICII）、香港计算机协会、新加坡国家infocomm 资格中心的认可,并与IBM、HP、Intel、Novell等国际知名公司及众多培训机构有着全球性的合作。
在美国，CIW获得了来自于科罗拉多州、乔治亚州、路易斯安那州等12个州政府认可并被纳入到当地教学体系。
在美国和加拿大，CIW获得了劳工部及退伍军人事务部的认可。
在苏格兰和埃及，CIW被政府采纳引入劳动技能发展项目中。
自1998年创建以来，CIW认证以迅猛之势遍及100多个国家，目前已成为全球发展最快的中立的IT认证培训项目。
CIW认证被全球知名公司认可:案例:✍ Novell –✍ Intel –✍新加坡政府–考生通过CIW认证考试后由政府支付70%的培训及考试费用✍被互联网专家协会及国际Webmasters协会认可CIW认证荣获：2003 CertCities评选最佳互联网认证2004 CertCities评选最佳互联网认证IT教育十大影响力认证品牌最佳网络安全认证奖最佳客户满意度奖CIW网络安全专业认证项目：CIW网络安全专业认证项目是CIW认可并推动建立的以CIW网络安全认证课程为主，面向中国大陆地区开设的信息安全专业的系列课程。
该课程秉承CIW认证的中立性，针对中国大陆地区IT行业发展的特点及人才需求标准，在CIW国际认证系列课程的基础上，对部分知识进行优化和充实，构成以技术为基础、应用为核心、职业为导向的中国地区CIW信息安全专业的系列课程。
第2章计算机网络安全技术(第二版)
防护通常采用传统的静态安全技术及方法如防火墙、加密、认证等来实现。 主要是在边界提高抵御能力。边界防护技术可分为物理实体的防护技术和 信息防护（防泄露、防破坏）技术。 物理实体的防护技术主要是对有形的信息载体实施保护，使之不被窃取、 复制或丢失。如磁盘信息消除技术，室内防盗报警技术，密码锁、指纹锁、 眼底锁等。信息载体的传输、使用、保管、销毁等各个环节都可应用这类 技术。 信息防护技术主要是对信息的处理过程和传输过程实施保护，使之不被非 法入侵、窃听、干扰、破坏、拷贝。 对信息处理的防护主要有如下二种技术：
P2DR安全模型（3）
2、防护
防护就是采用一切手段保护计算机网络系统的保密性、 完整性、可用性、可控性和不可否认性，预先阻止攻击 可以发生的条件产生，让攻击者无法顺利地入侵。所以 说，防护是网络安全策略中最重要的环节。防护可以分 为三大类：系统安全防护、网络安全防护和信息安全防 护。
系统安全防护指的是操作系统的安全防护，即各个操作系统的 安全配置、使用和打补丁等。不同操作系统有不同的防护措施 和相应的安全工具。 网络安全防护指的是网络管理的安全，以及网络传输的安全。 信息安全防护指的是数据本身的保密性、完整性和可用性。数 据加密就是信息安全防护的重要技术。
成功 攻击 防护(P) 失败 检测(D) 失败 成功 成功 响应(R) 失败 恢复(R)
2.1.2 PDRR网络安全模型（2）
PDRR安全模型中安全策略的前三个环节与P2DR安全模 型中后三个环节的内涵基本相同，不再赘述。最后一 个环节“恢复”，是指在系统被入侵之后，把系统恢 复到原来的状态，或者比原来更安全的状态。系统的 恢复过程通常需要解决两个问题：一是对入侵所造成 的影响进行评估和系统的重建，二是采取恰当的技术 措施。系统的恢复主要有重建系统、通过软件和程序 恢复系统等方法。详见第十章10.4节。 PDRR安全模型阐述了下面一个结论：安全的目标实际 上就是尽可能地增大保护时间，尽量减少检测时间和 响应时间，在系统遭受到破坏后，应尽快恢复，以减 少系统暴露时间。也就是说：及时的检测和响应就是 安全。
CIW题库_网络安全基础与防火墙(第3-4套)
知识点题型分数题目内容可选项SFF难单选题2使网络服务器中充斥着大量要求回复的信息，消耗带宽，导致网络或系统停止正常服务，这属于什么漏洞？拒绝服务;文件共享;BIND漏洞;远程过程调用SFF难单选题2使用Windows 2000的组策略,可以限制用户对系统的操作权限,该实例是何种功能的应用？访问控制列表;执行控制列表;身份验证;数据加密SFF难单选题2针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术，这是哪种防火墙的特点？包过滤型;应用级网关型;复合型防火墙;代理服务型SFF难单选题2计算机犯罪的统计数字都表明计算机安全问题主要来源于：黑客攻击;计算机病毒侵袭;系统内部;信息辐射SFF难单选题2下列协议中哪个是VPN常用的安全协议?PPTP;SSL;帧中继;TLSSFF难单选题2电路级网关是以下哪一种软/硬件的类型?防火墙;入侵检测软件;端口;商业支付程序SFF难单选题2随着网络中用户数量的增长,Internet连接需求也不断增加,在考虑改善网络性能时,以下哪个是应该考虑的部WINS服务器;代理服务器;DHCP服务器;目录服务器SFF难单选题2哪种加密方式是使用一个共享的密钥?对称加密技术;非对称加密技术;HASH算法;公共密钥加密术SFF难单选题2公司财务人员需要定期通过Email发送文件给他的主管,他希望只有主管能查阅该邮件,可以采取什么方法?加密;数字签名;消息摘要;身份验证SFF难单选题2下列不属于WEB管理员的管理工作的是:监视WEB服务器性能;确保站点安全;维护站点更新链接等;根据站点的发展升级软件SFF难单选题2下列证书不使用X.509v3标准的是:服务器证书;数字证书;个人证书;发行者证书SFF难单选题2以下代理服务器哪个可被Linux客户端使用?Microsoft proxy;FTPproxy;Winsock proxy;SOCKS proxy.SFF难单选题2用户希望在Windows 2000上配置文件的审核功能,首先应该做什么?扩大磁盘容量;使用FAT32格式化磁盘;使用NTFS格式化磁盘;使用RAID5SFF难单选题2以下哪个命令或工具可以使用户从远程终端登录系统?HOST;Finger;SetRequest;Telnet考试系统试题样题说明：1、题型只有单选题、多选题、判断题、技术技能、情景测试、案例分析、基本素养、论文八种题型2、建议同一知识点、同一题型的题目的分数应该相同3、可选项只对选择题有效，其他题型可选项为空。
CIW模拟试题----网络操作系统二
CIW模拟试题----操作系统安全（第二套试卷类型:客观（单选、多选、判断创建试卷时间:2010-11-一、单选题（每题2分，共25题题号：1在防止电子邮箱入侵中，以下哪一项是不适合的？ DA.不用生日做密码；B.不要使用少于5位的密码；C.不要使用纯数字；D.自己做服务器题号:2为了保证Windows 2000服务器不被攻击者非法启动，管理员应该采取怎样的措施？ BA.备份注册表；B.禾I」用SYSKEY;C.使用加密设备；D.审计注册表和用户权限题号：3你利用"缓冲区溢出"的攻击方法,利用WEB服务器的漏洞取得了一台远程主机的Root权限。
为了防止WEB服务器的漏洞被弥补后，失去对该服务器的控制，你应该首先攻击下列中的哪一个文件？ DA.etc/.htaccess;B./etc/passwd;C./etc/secure;D./etc/shadow题号：4在C2安全等级规则中，自由访问控制”的含义是什么？ DA.是安全审计师用来阻止其他的人下载未经授权的脚本和程序所做的规则；B.系统管理员具有限制任何用户花费多少时间来使用计算机的能力；C.是限制一个组或者安全边界对资源使用的一个策略；D.资源的所有者应当能够使用资源题号:5下列哪一个服务、命令或者工具让一个远程用户操作远程系统就像是操作本地终端系统一样？ DA.FTP;B.FINGER; USE;D.TELNET题号：6Windows 2000最多支持多少个字符的口令？C A.14; B.64; C.127; D.128题号：7在Win 2000和Linux网络中,如用户已经登录后，管理员删除了该用户帐户那么该用户帐户将（A A. 一如既往的使用，直到注销；B.立既失效；C.会在12分钟后失效;D.会在服务器重新启动后失效题号：8以下不属于Linux的默认帐户的是:C A.Operator; B.Root; C.Guest;D.Adm题号：9以下不属于NTFS文件系统安全的项目是：DA.用户级别的安全;B.文件加密；C.从本地和远程驱动器上创建独立卷的能力；D.安全的备份题号：10在NTFS文件系统中，如一个共享文件夹的共享权限和NTFS权限发生了冲突，则以下说法正确的是:B A.共享权限优先NTFS权限；B.系统会认定最少的权限；C.系统会认定最多的权限；D.以上都不是题号：11在Windows 2000中，要将TELNET的NTLM值设成2用以提示管理员远程用户将尝试连接，应该输入什么命令?C A.TELNET -S; B.NBTSTA T;C.TLNTADMN;D.NTDS题号:12W indows 2000的本地安全数据库存储在（BA.%systemroot%\wi nnt;B.%systemroot%\wi nn t\system32\c on fig;C.%systemroot%\program files;D.%systemroot%\wi nnt'config题号:13下面哪一项注册表分支包含计算机信息（A A.HKLM; B.HKU;C.HKCR;D.HKCC题号：14在Windows 2000中网络管理员利用注册表不可以（DA.修改系统默认启动选项；B.设置系统自动登录；C.修改桌面配置选项D.删除应用程序题号：15以下不属于Windows 2000中的安全组件的是？ CA.选择访问控制；B.强制登录；C.备份；D.审核题号：16在Windows 2000个人版中，可以定义用户是否能从网络登录的管理单元是:CA.计算机管理；B.TELNET 管理;C.本地安全策略；D.磁盘管理题号：17W indows 2000下的用于存储用户名的文件是？ DA.SECRET;B.PASSWD;ERNAMES;D.SAM题号:18下列关于CA的说法错误的是？DA.CA是负责发布证书的一组机构B.CA负责为用户分配公共密钥和私人密钥C.CA可分为企业CA和独立CA;D.根CA可以没有证书题号：19你的计算机装有2个操作系统，分别是Windows 2000专业版和Windows 2000服务器版，因为你忘记了服务器版的密码从而使你进入不了系统，但是你能够进入专业版，你想要进入服务器版你应该怎么做？ CA.进入专业版，修改C:盘下的boot.ini文件，使用服务器版指向C:盘；B.进入专业版，删除服务器版系统分区下的WINNT\CONFIG\SAM;C.进入专业版，删除服务器版系统分区下的WINNT\SYSTEM32\CONFIG\SAM;D.进入专业版，将专业版的系统文件复制到服务版所在的分区。
网络安全与防护实训报告
网络安全与防护实训报告1. 引言网络安全是信息时代的核心问题之一。
在互联网的高速发展下，网络攻击和数据泄露的风险也随之增加。
为了提高网络安全意识和应对网络攻击的能力，我们参与了网络安全与防护实训，本文档将对我们进行的实训内容进行总结和分析。
2. 实训目的网络安全与防护实训的目的是让我们深入了解网络攻击的原理和手段，学习如何防范和应对各种网络安全威胁。
通过实践操作，我们将能够掌握常见的网络安全工具和技术，提高自己的网络安全素养。
3. 实训内容实训内容主要包括以下几个方面：3.1 网络攻击技术通过实践，我们学习了多种网络攻击技术，包括：•DOS（拒绝服务）攻击：通过向目标服务器发送大量请求，使其资源耗尽，导致服务不可用。
•SQL注入攻击：通过在用户输入中注入恶意的SQL代码，实现对数据库的非法访问。
•XSS（跨站脚本）攻击：通过在网页中注入恶意代码，实现对用户个人信息的窃取或篡改。
3.2 网络安全工具我们学习了常见的网络安全工具的使用，包括：•Wireshark：用于网络抓包和分析，能够帮助我们检测异常流量和分析网络数据包。
•Nmap：网络扫描和主机发现工具，可以帮助我们发现网络上的开放端口和漏洞。
•Metasploit：渗透测试工具，可以模拟攻击并评估目标系统的安全性。
3.3 安全实践我们通过实践操作，提高了网络安全实践的能力，包括：•安全策略的制定：学习了编写安全规范和策略的方法，包括密码安全策略、访问控制策略等。
•漏洞修复：学习了如何发现和修复系统中的漏洞，保证系统的安全性。
•日志分析：学习了如何分析系统日志，发现异常行为和安全事件。
4. 实训收获通过参与网络安全与防护实训，我们收获了以下几点：•理论知识的提升：通过学习和实践，我们深入了解了网络攻击的原理和手段，学会了如何应对网络安全威胁。
•实践技能的提高：通过使用网络安全工具和进行实际操作，我们掌握了一些常用的网络安全工具和技术。
•团队合作能力的培养：实训过程中，我们需要与团队成员协作完成任务，通过合作解决问题，培养了团队合作能力。
网络安全实践项目研究内容
网络安全实践项目研究内容
网络安全实践项目是指通过实际的操作和研究，探索并提供一种有效的网络安全解决方案。
该项目通常包括以下内容：
1. 网络安全威胁分析：通过对已知的网络安全威胁进行分析，了解各种威胁的特点、传播方式、攻击目标等，为后续的网络安全实践提供依据。
2. 安全策略制定：根据威胁分析的结果，设计和制定适合自身网络的安全策略，包括入侵检测、防火墙配置、数据加密、权限管理等方面。
3. 漏洞扫描与修补：通过扫描网络系统中的漏洞，发现潜在的安全隐患，并及时修补漏洞，减少系统被攻击的风险。
4. 安全防护措施实施：在网络环境中进行防护措施的实施和验证，包括建立入侵检测系统、强化网络防火墙配置、实施网络流量监控和日志记录等。
5. 网络攻防实验：通过模拟真实网络攻击与防御，对网络安全解决方案进行测试和验证，提高网络系统的安全性，并及时修正不足之处。
6. 员工安全意识培训：针对企业员工，通过组织网络安全培训课程，提高员工的网络安全意识和安全操作能力，减少因人为因素导致的安全事故发生。
7. 安全事件响应：建立安全事件响应机制，对发生的安全事件进行及时的响应和处理，包括追踪攻击者、修复受损系统、恢复被破坏的数据等。
8. 安全管理与维护：建立网络安全管理制度，定期检查和审核网络系统的安全配置，及时修正安全漏洞和配置错误，保障网络系统的稳定和安全运行。
以上是网络安全实践项目的一些基本内容，通过对这些内容的综合研究和实践，可以提高网络系统的安全性，减少安全风险的发生，确保企业信息的安全和可靠性。
CIW网络安全教室准备
�
硬件要求
教师机 网络集线器 学生机 网络连接 网络安全与防火墙 操作系统 Windows 2003 Server Red Hat Linux 9.0 完整安装 实验工具软件 Any modern Web browser MDaemon SMTP and POP3 (e-mail) Server Netbus 1.7 Apocalypso PGP for Windows NTChangePass Port Listener Happy Browser Net-Fizz Winfingerprint WinRoute Professional Build 25 or later Netcat for Windows and Linux Tripwire for Linux Tribal Flood Network 2000 for Linux (TFN2K) Squid Proxy Server
CIW网络安全课程实验环境准备 CIW网络安全课程实验环境准备
类型 服务器 要求 2台(最低配置:CPU:P4 2.0G,内 存:1G,硬盘:40G*3,100M双网卡, CDROM) 1台(最低配置:CPU:P4 1.7G,内 存:512M,硬盘:40G,100M网卡, CDROM) 共享式集线器(不要选用交换式) 一人一台(最低配置:CPU:C4 1.7G, 内存:256M,硬盘:40G,100M网卡, CDROM) 宽带网接入 备注 需要购买
需要购买
需要购买
需要购买
操作系统安全
操作系统 Microsoft Windows 2003 Server Red Hat Linux 9.0 完整安装 软件要求 实验工具软件 NAT Redbutton Winfile Fport PC Activity Monitor SamSpade 需要购买 需要购买
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
⑥
OK
⑦
Bob
Hash加密 加密
③
消息 摘要
⑤ ⑧
公钥解密 数字 签名
+
⑨
Hash 加密
Alice
Bob私钥 私钥
④
公钥加密
①
Bob公钥 公钥
?
②
Bob公钥 公钥
Yes
⑩
加密算法的特点对比
算法类型 密钥构成 算法特点 算法应用 算法举例 算法足够强大， 性能好，但密 加密较大数据 DES、3DES、 钥安全难以保 量的数据 RC2、AES 护 加密对称密钥 安全性好，但 或较小的核心 DSA、RSA 性能较慢 数据
对称加密算 法
一把密钥
公钥算法
公钥和私钥
Hash算法
直接产生认证 码，hash函数 单向不可逆 不使用密钥
用于保护数据 SHA、MD5、 的完整性
对称加密算法
• 对称加密算法有:
– DES (Data Encryption Standard) 数据加密标准 – Triple DES 三重DES – RSA算法 • RC2 and RC4 • RC5 • RC6 – Blowfish (up to 448bit) and Twofish（up to 256） – Skipjack 美国国家安全局设计的加密程序 – MARS 由IBM设计，速度比DES要快 – AES（Advanced Encryption Standard）
第4单元 加密技术与应用实践
内容提要
1. 加密技术介绍 2. 加密技术实验 3. PKI与CA介绍 4. PKI与CA实验
1. 加密技术介绍
• • 加密的作用 加密算法的类型
– 对称加密算法 – 非对称加密算法 – 哈希（Hash）算法
•
加密算法的特点对比
基本术语
• 消息被称为明文(Plaintext)，用某种方法伪装消息以隐藏它的内容 的过程称为加密(Encryption)，被加密的消息称为密文(Ciphertext)， 而把密文转变为明文的过程称为解密(Decryption) • 密码算法(Cryptography Algorithm)：是用于加密和解密的数学函 数 • 加密技术通常分为三类：
数字证书的生命周期
1
用户、计算机、 用户、计算机、服务向 CA申请证书 申请证书
2 3
CA 生成一张证书
CA 为用户、计算机和 为用户、 服务发布证书
6
证书被撤回
4
证书用于支持PKI体系的应用上 证书用于证书到达了使用时间后
证书到期
使用Web方式申请证书 使用Web方式申请证书 Web
PKI的体系构成 PKI的体系构成
使用支持PKI应用的帐号 使用支持PKI应用的帐号 PKI
用户
计算机
服务
PKI的构建 PKI的构建
• 自建模式(In-house Model)
– 是指用户购买整套的PKI软件和所需的硬件设备，按照PKI的构 建要求自行建立起一套完整的服务体系。
• 托管模式
– 是指用户利用现有的可信第三方—认证中心CA提供的PKI服务， 用户只需配置并全权管理一套集成的PKI平台即可建立起一套 完整的服务体系，对内对外提供全部的PKI服务。
欢迎参加
CIW v5 安全分析师 认证培训
嘉为IT培训学院（广州 深圳） 嘉为IT培训学院（广州 深圳） IT培训学院
第二部分 网络安全技术与实践
内容单元
• 第4单元：加密技术与应用实践 • 第5单元：身份认证技术 • 第6单元：防火墙技术与应用实践 • 第7单元：防病毒技术与应用实践 • 第8单元：VPN技术与应用实践 • 第9单元：入侵检测技术与应用实践 • 第10单元：无线网络安全技术与应用实践 • 第11单元：其他网络安全技术介绍
– 为了防止数字凭证的伪造，CA的公钥必须是可靠的， CA必须公布其公钥或 由更高级别的CA提供一个电子凭证来证明其公钥的有效性，后一种方法导致 了多级别CA的出现。
•
数字证书颁发过程如下：
– – – – 用户首先产生自己的密钥对，并将公钥及部分个人身份信息传送给证书颁发 机构(CA) ； CA在核实身份后，将执行一些必要的步骤，以确信请求确实由用户发送而来； 然后， CA将发给用户一个数字证书，该证书内包含用户的个人信息和他的 公钥信息，同时还附有CA的签名信息； 用户就可以使用自己的数字证书进行相关的各种活动。
非对称加密算法
• 非对称加密算法包括: – RSA美国国家技术标准局的标准，被广泛采用 – DSA (Digital Signature Algorithm) 用于LINUX – Differ-Hellman 密钥交换协议，开放式标准
HASH算法 HASH算法
• HASH算法包括: – MD2，MD4 and MD5：使用不同长度的数据流，产生一 个唯一的指纹，用于对E-mail、证书，保证内容完整性的 相关应用。 – 安全HASH算法(SHA) ：由NIST和NSA开发并应用于美 国政府，160位hash值，结构与MD5类似，速度比MD5 慢25%，比MD5更安全，产生的Hash值比MD5长25%。
4
输入或确认你的 身份信息
吊销证书的原因
Reason code 密钥损失 CA损坏 从属关系改变 替代 操作停止 证书挂起 从CRL中删除 未指定 Use when 计算机被盗或智能卡遗失 CA损坏 员工离职或停职 当智能卡登陆失败或用户更改名字时 颁发的证书被取代 某张证书需要临时挂起 常用于撤回挂起的证书 吊销证书没有指定具体的原因
使用公钥加密法交换对称密钥
②
Alice公钥 公钥 Alice公钥 公钥
① ④
公钥加密
共享会话密钥
公钥解密
Alice私钥 私钥
⑤
⑥
③
对称加密 密文传送
对称解密
⑦
⑤
明文 Bob Internet/Intranet
明文 Alice
Hash加密与数字签名 Hash加密与数字签名
Internet/Intranet
典型的CA系统体系结构 典型的CA系统体系结构 CA
• 多层次结构，优点：
• • • • 管理层次分明，便于集中管理、政策制订和实施 提高CA中心的总体性能、减少瓶颈 有充分的灵活性和可扩展性 有利于保证CA中心的证书验证效率
CA的信任关系 CA的信任关系
• 当一个安全个体看到另一个安全个体出示的证书时，他是否信任此 证书？
2.加密技术实验 2.加密技术实验
① 部署PGP Desktop Pro 9.5 ② 生成密钥对，对公共密钥导出、交换、签名 ③ 配置PGP Messaging，实现电子邮件的签名与加密 ④ 使用PGP ZIP实现文件和文件夹的加密保护 ⑤ 使用PGP Disk实现磁盘和分区卷的加密保护 ⑥ 使用PGP NetShare实现网络共享文件夹的加密保护
中间CA
以用户为中心的信任模型
– – – 发送安全电子邮件、访问安全站点、网上招标投标 网上签约、网上订购、安全网上公文传送 网上缴费、网上缴税、网上炒股、网上购物和网上报关等。
数字证书的内容
• • 数字证书主要包括三方面的内容：证书所有者的信息、证 书所有者的公钥和证书颁发机构的签名。 一个标准的X.509数字证书包含以下一些内容：
1
Connect to http://ServerName/certsrv using a browser
http://ServerName/certsrv
2
点击申请一张证书
http://ServerName/certsrv Request a certificate
5
安装证书
3
选择申请的证书类型
http://ServerName/certsrv Name: Tony Company: Contoso, Ltd.
– – – – – – 证书的版本信息； 证书的序列号，每个证书都有一个唯一的证书序列号； 证书所使用的签名算法； 证书的发行机构名称（命名规则一般采用X.500格式）及其用 私钥的签名； 证书的有效期； 证书使用者的名称及其公钥的信息。
数字证书的颁发
• • 数字证书是由证书颁发机构(CA)颁发的 证书颁发机构是一家能向用户签发数字证书以确认用户身份的管理机构。
数据保密性
数据完整性
认证
不可否定性
加密技术的强度
• 加密技术的强度基于三个主要因素： – 算法强度 算法强度：我们应该运用工业标准算法，任何新算法在没有经 过商业验证之前是不能被信任的。 – 密钥的保密性能 ：数据的保密程度与密钥的隐秘性是联系在一 起的。 – 密钥的长度 密钥的长度：密钥的长度增加一位将使可能的密钥组合的数量 增加一倍。
– 信任难以度量，总是与风险联系在一起
• 可信CA
– 如果一个个体假设CA能够建立并维持一个准确的“个体-公钥属性” 之间的绑定，则他可以信任该CA，该CA为可信CA
• 信任模型
– 基于层次结构的信任模型 – 交叉认证 – 以用户为中心的信任模型
基于层次结构的信任模型
• • 对于一个运行CA的大型权威机构而言，签发证书的工作不能仅 仅由一个CA来完成 它可以建立一个CA层次结构 根CA 根CA具有一个自签名的证 书 根CA依次对它下面的CA进 行签名 层次结构中叶子节点上的 CA用于对安全个体进行签 名 对于个体而言，它需要信 任根CA，中间的CA可以不 必关心(透明的)；同时它的 证书是由底层的CA签发的
对称密钥加密系统
共享加/解密 共享加 解密 密钥
加密 密文传送
解密
明文 Bob Internet/Intranet
明文 Alice
公钥加密系统的数字加密
②