网络安全通信协议-第二章 TCPIP协议簇的安全架构-716

AP2 5 4 3 2 1
物理传输媒体
2.1 TCP/IP协议簇概述
2.1.4 TCP/IP对等实体之间收发数据示意图
应用层
相同的报文流
应用层
传输层
相同的分组
传输层
Internet层
相同的 数据报
接口层
相同的 网络帧
Internet层
相同的 数据报
接口层 相同的 网络帧
Internet层
相同的 数据报
Internet层
接口层 相同的 接口层 网络帧
物理网络
物理网络
物理网络
2.1 TCP/IP协议簇概述
2.1.5 TCP/IP协议
为了有效维护TCP/IP模型中各通信实体的通信 关系，需要明确的、无二义的信息交换格式约 定及其语法和语义的各种规范－协议，称为 TCP/IP协议。
TCP/IP协议是由一组协议集合所组成，主要表 现在传输层与网络层上。IP协议确定了数据的 到达，TCP协议确定了数据的分解与还原。
传输层
提供应用程序(端到端)间的通信，并在IP的基础上 提供面向连接的服务。 ¾ 为两个用户进程之间建立、管理和拆除可靠而又 有效的端到端连接 ¾ 提供流控制、差错控制和确认机制 ¾ 与网络应用的接口
TCP、UDP协议
2.1 TCP/IP协议簇概述
应用层
向用户提供一组常用的应用程序 定义了应用程序使用互联网的规程 一些具体应用：如网络故障、文件传输、远程控制以
2.2 TCP/IP协议簇的安全缺陷
网络层的安全隐患
9 IP地址欺骗攻击
2.2 TCP/IP协议簇的安全缺陷
网络层的安全隐患
9 ICMP协议的安全隐患：没有认证机制，黑客可以利用ICMP 进行拒绝服务攻击、数据包截取以及其它类型的攻击。
2.2 TCP/IP协议簇的安全缺陷
传输层的安全隐患
目的主机之间的报文往返时间、获取目的网络的IP地址掩 码信息。）
2.1 TCP/IP协议簇概述
2.1.6 TCP/IP基本协议
TCP协议（Transmission Control Protocol）： 它用于对可靠的数据流的交付服务，该协议指定了 两台计算机之间为了进行可靠传输而交换的数据 和确认信息的格式，还指定了计算机为了确保数 据的正确到达而采取的措施，协议也规定了怎么 识别给定机器上的多个目的进程，如何对类似于 分组丢失和分组重复这样的错误进行恢复。具有 可靠性的特征。
2.1 TCP/IP协议簇概述
2.1.1 TCP/IP的起源及发展
90年代 以NSFNET、ARPANET和MILNET
作为主干组成了TCP/IP协议集的网络Internet。 随着其他网络的加入，逐步形成一个统一可互操 作的世界范围的计算机互连网络。由此，各国接 入Internet的计算机网络不断增加，Internet 的规 模和影响迅速地扩大。
2.1 TCP/IP协议簇概述
2.1.6 TCP/IP基本协议
IP（Internet Protocol）协议： 与 IP 协议配套使用的还有四个协议： ¾ 地址解析协议 ARP (Address Resolution Protocol) ¾ 逆地址解析协议 RARP(Reverse Address Resolution Protocol) ¾ 因特网控制报文协议 ICMP (Internet Control Message Protocol) ¾ 因特网组管理协议 IGMP (Internet Group Management Protocol)
2.2 TCP/IP协议簇的安全缺陷
网络层的安全隐患
9 ARP协议的安全隐患：Cache高速缓存的数据有时限性， 可能出现伪造IP地址；
2.2 TCP/IP协议簇的安全缺陷
网络层的安全隐患
9 IP协议的安全隐患：IP协议不能为数据提供完整性、机密 性保护，缺少基于IP地址的身份鉴别机制，容易遭到IP地 址欺骗攻击。
物理硬件
2.1 TCP/IP协议簇概述
2.1.6 TCP/IP基本协议
ICMP（Internet Control Message Protocol）协议：与IP 位于同一层，它被用来传送IP的控制信息，主要是有关通 向目的地址的路径信息。 它主要提供三种服务：
¾ 提供差错报告传输机制（路由器向源主机报告） ¾ 传送IP的控制信息（拥塞控制、路由服务） ¾ 发送请求／响应报文（测试目的节点的可达性、估算源和
物理网络
分层原则：对等实体之间收发的数据是完全一样的
2.1 TCP/IP协议簇概述
2.1.4 TCP/IP对等实体之间收发数据示意图
计算机 1
计算机 2
AP1
首部
应用程序数据
5
TCP报文段
H5
数据部分
UDP报文段
4
H4
IP数据报
数据部分
3
IP分组 H3
数 据 部分
尾部
帧
2
H2
数据部分
T2
比特
1
10100110100101 … 比 特 流 … 11 010111010
2.2 TCP/IP协议簇的安全缺陷
网络层的安全隐患
9 IP地址欺骗攻击 把源IP地址替换成—个错误的IP地址。接收主机不能判断源 IP地址是不正确的；
Smurf攻击：使用IP欺骗技术，是—种拒绝服务攻击。
2.2 TCP/IP协议簇的安全缺陷
网络层的安全隐患
9 IP地址欺骗攻击 Smurf攻击： 一个Smurf攻击向大量的远程主机发送一系列的ping请求命 令。黑客把源IP地址换成想要攻击目标主机的IP地址。所有 的远程计算机都响应这些ping请求，然后对目标地址进行回 复，而不是回复给攻击者的IP地址。目标IP地址将被大量的 ICMP包淹没而不能有效的工作。
及其他互联网应用 ¾ HTTP ¾ FTP ¾ Telnet ¾ Email ¾ SNMP（简单网络管理协议） ¾ RPC（远程过程呼叫等待）等
2.1 TCP/IP协议簇概述
2.1.6 TCP/IP基本协议
应用
程序
TCP 协议保证了 应用程序之间的可靠通信
应用 程序
因特网
IP 协议控制分组在因特网的传输 但因特网不保证可靠交付
使用物理 地址通信
2.1 TCP/IP协议簇概述
数据链路层
是最低一层，负责与物理网络的连接。 任何可用于IP数据报交换的分组传输的链路层
协议均包含在其中。 ¾ 定义了数据帧及其格式 ¾ 基于物理地址的网络寻址 ¾ 为发送到物理网络的数据提供差错控制
Ethernet、Token ring等
2.1 TCP/IP协议簇概述
2.1.6 TCP/IP基本协议
UDP协议（User Datagram Protocol）：UDP 只在 IP 的数 据报服务之上增加了很少一点的功能，即端口的功能和差 错检测的功能。
虽然 UDP 用户数据报只能提供不可靠的交付，但 UDP 在某些 方面有其特殊的优点。 发送数据之前不需要建立连接 UDP 的主机不需要维持复杂的连接状态表。 UDP 用户数据报只有8个字节的首部开销。 网络出现的拥塞不会使源主机的发送速率降低。这对某些
9 TCP协议的安全隐患： 三次握手机制：
主机 A
主机 B
主动打开 连接请求
SYN, SEQ = x
被动打开
SYN, ACK, SEQ = y, ACK= x + 1
确认
确认
ACK, SEQ = x + 1, ACK = y + 1
2.2 TCP/IP协议簇的安全缺陷
传输层的安全隐患
9 TCP协议的安全隐患： SYN FLOOD攻击：攻击的主要特征是在目标主机的网络上 出现大量的SYN包，而没有相应的应答包。服务器端就会为 了维持大量的半连接列表而耗费相当多的资源。如果已达到 TCP处理模块连接的上限时，TCP将拒绝所有连接请求来处 理部分链路，表现为服务器失去了响应。
2.1 TCP/IP协议簇概述
2.1.6 TCP/IP基本协议
IP（Internet Protocol）协议：
与 IP 协议配套使用的还有四个协议：
应用层
各种应用层协议 (TELNET, FTP, SMTP 等)
运输层
TCP, UDP
网际层
ICMP IGMP IP
网络接口层
RARP ARP 与各种网络接口
2.1 TCP/IP协议簇概述
网络层
网络层是异构网络互联的关键，负责相同或不同 网络中计算机的通信，主要处理来自传输层的分 组发送请求和路由选择。 ¾ 提供逻辑寻址 ¾ 提供路由选择和互联网上的数据发送服务 ¾ 处理网间网控制报文协议 ¾ 将物理地址和逻辑地址相关联
2.1 TCP/IP协议簇概述
实时应用是很重要的。
2.2 TCP/IP协议簇的安全缺陷
¾TCP/IP协议因其简单开放性而在Internet上得 到广泛的实施、开发和支持。但也正因为该协 议在实现上力求高效，而没有考虑安全因素， 使TCP/IP本身在设计上就是不安全的。
2.2 TCP/IP协议簇的安全缺陷
链路层的安全隐患
9 PPP协议的安全隐患：不提供对封装的数据的完整性和机 密性保护；
2.2 TCP/IP协议簇的安全缺陷
传输层的安全隐患
9 UDP协议的安全隐患：由于UDP协议是一种不可靠的传输层 协议，它依赖于IP协议传送报文，且不确认报文是否到达， 不对报文排序也不进行流量控制，对于顺序错误或丢失的 包，它不做纠错或重传。UDP协议没有建立初始化连接，因 此，欺骗UDP包比欺骗TCP包更容易，与UDP相关的服务面 临着更大的危险。
第二章 TCP/IP协议簇 的安全架构