网络安全处理(第五章)OSI模型PPT课件

密签完控交流控
名整制换填制
性
充
抗抵赖
安全服务 Z
安全机制 X
13
第六章 开放系统互连安全体系结构
6.1 网络体系结构及协议 6.2 OSI安全体系结构的5类安全服务 6.3 OSI安全体系结构的安全机制 6.4 OSI安全服务与安全机制的关系 6.5 在OSI层中的安全服务配置 6.6 OSI安全体系的安全管理
14
6.2 OSI安全体系结构的5类安全服务
1.鉴别
鉴别服务提供对通信中的对等实体 和数据来源的鉴别
2.访问控制
防止对资源的未授权使用，包括防止以未授权方 式使用某一资源。
15
3.数据机密性
这种服务对数据提供保护，使之不被非授权地 泄露。具体分为以下几种：
（1） 连接机密性
这种服务为一次N连接上的全部N用户数据保证其机密性。但对 于某些使用中的数据，或在某些层次上，将所有数据（例如加速数 据或连接请求中的数据）都保护起来反而是不适宜的。
（2） 无连接机密性
这种服务为单个无连接的N-SDU(N层服务数据单元)中的全部N用 户数据提供机密性保护。
16
（3） 选择字段机密性
这种服务为那些被选择的字段保证其机密性，这些字段或 处于N连接的N用户数据中，或为单个无连接的N-SDU中的字段。
（4） 通信业务流机密性
这种服务提供的保护，使得无法通过观察通信业务流推断出 其中的机密信息。
18
第六章 开放系统互连安全体系结构
6.1 网络体系结构及协议 6.2 OSI安全体系结构的5类安全服务 6.3 OSI安全体系结构的安全机制 6.4 OSI安全服务与安全机制的关系 6.5 在OSI层中的安全服务配置 6.6 OSI安全体系的安全管理
19
6.3 OSI安全体系结构的安全机制
1.特定的安全机制--一般设置在某些‘适当’的层上。
OSI参考模型
9 52
OSI 参考模型
很少有产品是完全的OSI模式，然而OSI参 考模型为网络的结构提供了可行的机制。
OSI模型将通信会话需要的各种进程划分成 7个相对独立的层次。
每层有自己的功能，并且对于本层的功能 修改，不影响其它层。
10
OSI/ISO7498-2网络安全体系结构
OSI安全体系结构的研究始于1982年，于1988 年完成，其成果标志是ISO发布了ISO7498-2标准， 作为OSI基本参考模型的补充。这是基于OSI参考模 型的七层协议之上的信息安全体系结构。
8
应用层： 理应 接收的数据中包含的信
息内容。 会话层： 负责建立（或清除）在 两个通信的表示层之间的语法 传输层： 为会话层提供下一 通信通道，包括交互管理、 同步，异常报告。网络 关的可靠消息传送机制 网络层： 路由、转发，拥塞控制 数据链路层： 成帧，差错控制、流量控 制，物理寻址，媒体访问 控制 缆线，信号的编码，网络 接插件的电、机械接口
网络体系结构是计算机之间相互通信的 层次，以及各层中的协议和层次之间接口的 集合。
网络协议是计算机网络和分布系统中互 相通信的对等实体间交换信息时所必须遵守 的规则的集合。
3
6.1.1 分层和协议
协议包含如下关键成分： 语法 (syntax): 包括数据格式、编码及信号电平等。 语义 (semantics): 包括用于协调和差错处理的控制信息。 定时 (timing): 包括速度匹配和排序。
第二篇 网络安全体系结构
1 43
第五章 开放系统互连安全体系结构
6.1 网络体系结构及协议 6.2 OSI安全体系结构的5类安全服务 6.3 OSI安全体系结构的安全机制 6.4 OSI安全服务与安全机制的关系 6.5 在OSI层中的安全服务配置 6.6 OSI安全体系的安全管理
2
6.1 网络体系结构及协议
OSI为连接分布式应用处理的“开放”系统提 供了基础，“开放”这个词表示能使任何两个遵 守参考模型的有关标准的系统进行连接。
7
OSI参考模型
OSI采用了分层的结构化技术。 划分层次时应该从逻辑上对功能进行分组。层次应该 足够多，以使每一层小到易于管理，但是也不能太多，否则
汇集各层的处理开销太大。
OSI参考模型共有7层：物理层、数据链路层、 网络层、传输层、会话层、表示层和应用层。
5
通信协议之间的关系
6
6.1.2 开放系统互连参考模型
国际标准化组织ISO在1979年建立了一个分委 员会专门研究一种用于开放系统的体系结构，提 出了开放系统互连（Open System Interconnection， OSI）模型，这是一个定义连接异种计算机的标准 主体结构。由于ISO组织的权威性，使OSI协议成 为广大厂商努力遵循的标准。
ISO7498-2标准定义了5类安全服务、8种特定 的安全机制、5种普遍性安全机制。它确定了安全 服务与安全机制的关系以及在OSI七层模型中安全 服务的配置。它还确定了OSI安全体系的安全管理。
11
ISO7498-2，信息安全体系结构
加密机制
鉴别服务 访问控制服务 数据机密服务 数据完整性服务 抗否认服务
4
由于不同系统中的实体间通信的任务十分 复杂，不可能作为一个整体来处理，否则任何一 方面发生变化，就要修改整个软件包。
一种替代的办法是使用结构式的设计和实现 技术，用分层或层次结构的协议集合。较低级别 的、更原始的功能在较低级别的实体上实现，而 它们又向较高级别的实体提供服务。
下图表示一般的结构或协议集合，并画出了 两个站经由多个交换网连接的情况。
17
Байду номын сангаас
4.数据完整性 这种服务对付主动威胁。
5.抗否认
（1）有数据原发证明的抗否认
为数据的接收者提供数据的原发证据。这将使发送者不 承认未发送过这些数据或否认其内容的企图不能得逞。
（2）有交付证明的抗否认
为数据的发送者提供数据交付证据。这将使接收者事后 不承认收到过这些数据或否认其内容的企图不能得逞。
数字签名机制 访问控制机制 数据完整性机制 鉴别交换机制 路由选择控制机制 通信业务填充机制
OSI安全管理
公证机制
12
Y OSI 参考模型
7 应用层 6 表达层 5 会话层
认证 访问控制 数据完整性 数据机密性
4 传输层 3 网络层 2 数据链路层 1 物理层
加 数 数 访 认 业 路公
字 字 问 证 务 由证