第9章网络安全

第9章网络安全9.
1网络安全问题概述9.
2两类密码体制9.
3数字签名9.
4鉴别9.
5密钥分配9.
6互联网使用的安全协议9.
7系统安全:防火墙与入侵检测9.
8区块链和比特币9.
1网络安全问题概述随着计算机网络的发展,网络中的安全问题也日趋严重.
2013年斯诺登事件揭发出的美国"棱镜计划"2014年好莱坞艳照门事件2015年-2016年希拉里邮件门事件2015年加密勒索软件2016孟加拉央行失窃事件(8100万美元)9.
1网络安全问题概述9.
1.
1计算机网络面临的安全性威胁9.
1.
2安全的计算机网络9.
1.
3数据加密模型9.
1.
1计算机网络面临的安全性威胁计算机网络上的通信面临以下两大类威胁:被动攻击和主动攻击.
截获拒绝服务主动攻击目的站源站源站源站源站目的站目的站目的站篡改恶意程序被动攻击9.
1.
1计算机网络面临的安全性威胁被动攻击指攻击者从网络上窃听他人的通信内容.
通常把这类攻击成为截获.
在被动攻击中,攻击者只是观察和分析某一个协议数据单元PDU,以便了解所交换的数据的某种性质.
但不干扰信息流.
这种被动攻击又称为流量分析(trafficanalysis).
9.
1.
1计算机网络面临的安全性威胁主动攻击主要有:(1)篡改——故意篡改网络上传送的报文.
这种攻击方式有时也称为更改报文流.
(2)恶意程序——种类繁多,对网络安全威胁较大的主要包括:计算机病毒、计算机蠕虫、特洛伊木马、逻辑炸弹、后门入侵、流氓软件等.
(3)拒绝服务——指攻击者向互联网上的某个服务器不停地发送大量分组,使该服务器无法提供正常服务,甚至完全瘫痪.
计算机网络通信安全的目标对付被动攻击可采用各种数据加密技术.
对付主动攻击则需将加密技术与适当的鉴别技术相结合.
9.
1.
2安全的计算机网络网络的安全性是不可判定的.
一个安全的计算机网络应达到四个目标:1.
保密性2.
端点鉴别3.
信息的完整性4.
运行的安全性只有信息的发送方和接收方才能懂得所发送信息的内容.
是网络安全通信的最基本的内容,也是对付被动攻击必须具备的功能.
为了使网络具有保密性,需要使用各种密码技术.
9.
1.
2安全的计算机网络网络的安全性是不可判定的.
一个安全的计算机网络应达到四个目标:1.
保密性2.
端点鉴别3.
信息的完整性4.
运行的安全性鉴别信息的发送方和接收方的真实身份.
在对付主动攻击中是非常重要的.
9.
1.
2安全的计算机网络网络的安全性是不可判定的.
一个安全的计算机网络应达到四个目标:1.
保密性2.
端点鉴别3.
信息的完整性4.
运行的安全性信息的内容未被篡改过.
在应对主动攻击中是必不可少的.
信息的完整性与端点鉴别往往是不可分割的.
在谈到"鉴别"时,也同时包含了端点鉴别和报文完整性.
9.
1.
2安全的计算机网络网络的安全性是不可判定的.
一个安全的计算机网络应达到四个目标:1.
保密性2.
端点鉴别3.
信息的完整性4.
运行的安全性系统能正常运行并提供服务.
访问控制(accesscontrol)对计算机系统的安全性是非常重要的.
必须对访问网络的权限加以控制,并规定每个用户的访问权限.
9.
1.
3数据加密模型明文X截获密文Y明文X密文Y截取者篡改ABE运算加密算法D运算解密算法互联网用户A向B发送明文X,通过加密算法E运算后,就得出密文Y.
加密密钥KE解密密钥KD密钥源安全信道密钥加密和解密用的密钥K(key)是一串秘密的字符串(即比特串).
明文通过加密算法E和加密密钥K变成密文:接收端利用解密算法D运算和解密密钥K解出明文X.
解密算法是加密算法的逆运算.
YEK(X)(9-1)DK(Y)DK(EK(X))X(9-2)加密密钥和解密密钥可以一样,也可以不一样.
密钥通常是由密钥中心提供.
当密钥需要向远地传送时,一定要通过另一个安全信道.
一些重要概念如果不论截取者获得了多少密文,但在密文中都没有足够的信息来唯一地确定出对应的明文,则这一密码体制称为无条件安全的,或称为理论上是不可破的.
如果密码体制中的密码不能被可使用的计算资源破译,则这一密码体制称为在计算上是安全的.
9.
2两类密码体制9.
2.
1对称密钥密码体制9.
2.
2公钥密码体制9.
2.
1对称密钥密码体制所谓常规密钥密码体制,即加密密钥与解密密钥是相同的密码体制.
这种加密系统又称为对称密钥系统.
明文X密文Y加密密钥K明文X密文YABE运算加密算法D运算解密算法互联网解密密钥K相同秘钥DES的保密性DES的保密性仅取决于对密钥的保密,其算法是公开的.
目前较为严重的问题是DES的密钥的长度.
现在已经设计出搜索DES密钥的专用芯片.
56位DES已不再认为是安全的了.
三重DES使用两个56位的密钥.
把明文用一个密钥加密,再用另一个密钥解密,然后再使用第一个密钥加密,即EDEK1K2K1明文密文加密DEDK1K2K1密文明文解密Y=DESK1(DES-1K2(DESK1(X)))9.
2.
2公钥密码体制公钥密码体制(又称为公开密钥密码体制)使用不同的加密密钥与解密密钥,是一种"由已知加密密钥推导出解密密钥在计算上是不可行的"密码体制.
加密密钥与解密密钥在公钥密码体制中,加密密钥(即公钥)PK是公开信息,而解密密钥(即私钥或秘钥)SK是需要保密的.
加密算法E和解密算法D也都是公开的.
虽然秘钥SK是由公钥PK决定的,但却不能根据PK计算出SK.
公钥算法的特点密钥对产生器产生出接收者B的一对密钥:加密密钥PKB和解密密钥SKB.
加密密钥PKB就是接收者B的公钥,它向公众公开.
解密密钥SKB就是接收者B的私钥,对其他人都保密.
发送者A用B的公钥PKB对明文X加密(E运算)后,在接收者B用自己的私钥SKB解密(D运算),即可恢复出明文:(9-4)公钥密码体制不同密钥明文X密文YB的公钥PKB明文X密文YABE运算加密算法D运算解密算法互联网解密B的私钥SKB加密公开密钥与对称密钥的区别在使用对称密钥时,由于双方使用同样的密钥,因此在通信信道上可以进行一对一的双向保密通信,每一方既可用此密钥加密明文,并发送给对方,也可接收密文,用同一密钥对密文解密.
这种保密通信仅限于持有此密钥的双方(如再有第三方就不保密了).
在使用公开密钥时,在通信信道上可以是多对一的单向保密通信.
9.
3数字签名用于证明真实性.
数字签名必须保证以下三点:(1)报文鉴别——接收者能够核实发送者对报文的签名(证明来源);(2)报文的完整性——发送者事后不能抵赖对报文的签名(防否认);(3)不可否认——接收者不能伪造对报文的签名(防伪造).
现在已有多种实现各种数字签名的方法.
但采用公钥算法更容易实现.
基于公钥的数字签名的实现明文X密文YA的公钥PKA明文X密文YABE运算加密算法D运算解密算法互联网核实签名A的私钥SKA签名基于公钥的数字签名的实现因为除A外没有别人能具有A的私钥,所以除A外没有别人能产生这个密文.
因此B相信报文X是A签名发送的.
若A要抵赖曾发送报文给B,B可将明文和对应的密文出示给第三者.
第三者很容易用A的公钥去证实A确实发送X给B.
反之,若B将X伪造成X',则B不能在第三者前出示对应的密文.
这样就证明了B伪造了报文.
9.
4鉴别9.
4.
1报文鉴别9.
4.
2实体鉴别9.
4鉴别在信息的安全领域中,对付被动攻击的重要措施是加密,而对付主动攻击中的篡改和伪造则要用鉴别(authentication).
报文鉴别使得通信的接收方能够验证所收到的报文(发送者和报文内容、发送时间、序列等)的真伪.
使用加密就可达到报文鉴别的目的.
但在网络的应用中,许多报文并不需要加密.
应当使接收者能用很简单的方法鉴别报文的真伪.
鉴别分类可再把鉴别细分为两种.
报文鉴别:即鉴别所收到的报文的确是报文的发送者所发送的,而不是其他人伪造的或篡改的.
这就包含了端点鉴别和报文完整性的鉴别.
实体鉴别:仅仅鉴别发送报文的实体.
实体可以是一个人,也可以是一个进程(客户或服务器).
这就是端点鉴别.
9.
4.
1报文鉴别许多报文并不需要加密,但却需要数字签名,以便让报文的接收者能够鉴别报文的真伪.
1.
密码散列函数数字签名就能够实现对报文的鉴别.
但这种方法有一个很大的缺点:对较长的报文(这是很常见的)进行数字签名会使计算机增加非常大的负担,因为这需要进行较多的时间来进行运算.
密码散列函数(cryptographichashfunction)是一种相对简单的对报文进行鉴别的方法.
散列函数的两个特点(1)散列函数的输入长度可以很长,但其输出长度则是固定的,并且较短.
散列函数的输出叫做散列值,或散列.
(2)不同的散列值肯定对应于不同的输入,但不同的输入却可能得出相同的散列值.
这就是说,散列函数的输入和输出并非一一对应的,而是多对一的.
密码散列函数的特点在密码学中使用的散列函数称为密码散列函数.
特点:单向性.
要找到两个不同的报文,它们具有同样的密码散列函数输出,在计算上是不可行的.
也就是说,密码散列函数实际上是一种单向函数(one-wayfunction).
密码散列函数的特点长的明文X散列函数H(X)10010…1011TheABCComputerNetwork………………………………………多对一的单向变换得出固定长度的散列值逆向变换是不可能的散列H(X)可用来保护明文X的完整性,防篡改和伪造.
2.
实用的密码散列函数MD5和SHA-1通过许多学者的不断努力,已经设计出一些实用的密码散列函数(或称为散列算法),其中最出名的就是MD5和SHA-1.
报文摘要算法MD5公布于RFC1321(1991年),并获得了非常广泛的应用.
SHA-1比MD5更安全,但计算起来却比MD5要慢些.
MD5算法MD5是报文摘要MD(MessageDigest)的第5个版本.
报文摘要算法MD5公布于RFC1321(1991年),并获得了非常广泛的应用.
MD5的设计者Rivest曾提出一个猜想,即根据给定的MD5报文摘要代码,要找出一个与原来报文有相同报文摘要的另一报文,其难度在计算上几乎是不可能的.
基本思想:用足够复杂的方法将报文的数据位充分"弄乱",报文摘要代码中的每一位都与原来报文中的每一位有关.
3.
报文鉴别码MACMD5实现的报文鉴别可以防篡改,但不能防伪造,因而不能真正实现报文鉴别.
例如:入侵者创建了一个伪造的报文M,然后计算出其散列H(M),并把拼接有散列的扩展报文冒充A发送给B.
B收到扩展的报文(M,H(M))后,通过散列函数的运算,计算出收到的报文MR的散列H(MR).
若H(M)=H(MR),则B就会误认为所收到的伪造报文就是A发送的.
3.
报文鉴别码MAC为防范上述攻击,可以对散列进行一次加密.
散列加密后的结果叫做报文鉴别码MAC(MessageAuthenticationCode).
由于入侵者不掌握密钥K,所以入侵者无法伪造A的报文鉴别码MAC,因而无法伪造A发送的报文.
这样就完成了对报文的鉴别.
3.
报文鉴别码MAC注意到,现在整个的报文是不需要加密的.
虽然从散列H导出报文鉴别码MAC需要加密算法,但由于散列H的长度通常都远远小于报文X的长度,因此这种加密不会消耗很多的计算资源.
因此,使用鉴别码MAC就能够很方便地保护报文的完整性.
9.
4.
2实体鉴别实体鉴别与报文鉴别不同.
报文鉴别是对每一个收到的报文都要鉴别报文的发送者.
实体鉴别是在系统接入的全部持续时间内对和自己通信的对方实体只需验证一次.
最简单的实体鉴别过程可以使用共享的对称密钥实现实体鉴别.
A发送给B的报文的被加密,使用的是对称密钥KAB.
B收到此报文后,用共享对称密钥KAB进行解密,因而鉴别了实体A的身份.
因为该密钥只有A和B知道.
ABA,口令KAB存在明显漏洞入侵者C可以从网络上截获A发给B的报文.
C并不需要破译这个报文,而是直接把这个截获的、由A加密的报文发送给B,使B误认为C就是A.
这种攻击被称为重放攻击(replayattack).
C甚至还可以截获A的IP地址,然后把A的IP地址冒充为自己的IP地址(这叫做IP欺骗),使B更加容易受骗.
使用不重数进行鉴别ABA,RARBKABRARB,KAB时间不重数(nonce)就是一个不重复使用的大随机数,即"一次一数".
由于不重数不能重复使用,所以C在进行重放攻击时无法重复使用所截获的不重数.
中间人攻击AB我是A中间人C我是ARBRBSKC请把公钥发来PKCRBRBSKA请把公钥发来PKADATAPKCDATAPKA时间由此可见,公钥的分配以及认证公钥的真实性也是一个非常重要的问题.
9.
5密钥分配9.
5.
1对称密钥的分配9.
5.
2公钥的分配9.
5密钥分配由于密码算法是公开的,网络的安全性就完全基于密钥的安全保护上.
因此在密码学中出现了一个重要的分支——密钥管理.
密钥管理包括:密钥的产生、分配、注入、验证和使用.
本节只讨论密钥的分配.
密钥分配是密钥管理中最大的问题.
密钥必须通过最安全的通路进行分配.
9.
5密钥分配网外分配方式:派非常可靠的信使携带密钥分配给互相通信的各用户.
网内分配方式:密钥自动分配.
但随着用户的增多和网络流量的增大,密钥更换频繁(密钥必须定期更换才能做到可靠),派信使的办法已不再适用,而应采用网内分配方式.
9.
5.
1对称密钥的分配目前常用的密钥分配方式是设立密钥分配中心KDC(KeyDistributionCenter).
KDC是大家都信任的机构,其任务就是给需要进行秘密通信的用户临时分配一个会话密钥(仅使用一次).
假设用户A和B都是KDC的登记用户,并已经在KDC的服务器上安装了各自和KDC进行通信的主密钥(masterkey)KA和KB.
"主密钥"可简称为"密钥".
9.
5.
2公钥的分配在公钥密码体制中,如果每个用户都具有其他用户的公钥,就可实现安全通信.
看来好像可以随意公布用户的公钥.
其实不然.
设想用户A要欺骗用户B.
A可以向B发送一份伪造是C发送的报文.
A用自己的密钥进行数字签名,并附上A自己的公钥,谎称这公钥是C的.
B如何知道这个公钥不是C的呢9.
5.
2公钥的分配需要有一个值得信赖的机构——即认证中心CA(CertificationAuthority),来将公钥与其对应的实体(人或机器)进行绑定(binding).
认证中心一般由政府出资建立.
每个实体都有CA发来的证书(certificate),里面有公钥及其拥有者的标识信息.
此证书被CA进行了数字签名.
任何用户都可从可信的地方获得认证中心CA的公钥,此公钥用来验证某个公钥是否为某个实体所拥有.
有的大公司也提供认证中心服务.
9.
6互联网使用的安全协议9.
6.
1网络层安全协议9.
6.
2运输层的安全协议9.
6.
3应用层的安全协议9.
6.
1网络层安全协议IP几乎不具备任何安全性,不能保证:数据机密性;数据完整性;数据来源认证由于其在设计和实现上存在安全漏洞,使各种攻击有机可乘.
例如:攻击者很容易构造一个包含虚假地址的IP数据报.
IPsec提供了标准、健壮且包含广泛的机制保证IP层安全.
1.
IPsec协议IPsec就是"IP安全(security)"的缩写.
IPsec并不是一个单个的协议,而是能够在IP层提供互联网通信安全的协议族.
IPsec是个框架,它允许通信双方选择合适的算法和参数(例如,密钥长度).
为保证互操作性,IPsec还包含了所有IPsec的实现都必须有的一套加密算法.
IPsec由三部分组成1,IP安全数据报格式的两个协议鉴别首部AH(AuthenticationHeader)协议提供源点鉴别和数据完整性,但不能保密.
封装安全有效载荷ESP(EncapsulationSecurityPayload)协议提供源点鉴别、数据完整性和保密.
2,有关加密算法的三个协议.
3,互联网密钥交换IKE(InternetKeyExchange)协议.
IP安全数据报有两种工作方式1,运输方式(transportmode):在整个运输层报文段的前后分别添加若干控制信息,再加上IP首部,构成IP安全数据报.
把整个运输层报文段都保护起来,适合于主机到主机之间的安全传送.
需要使用IPsec的主机都运行IPsec协议.
IP安全数据报有两种工作方式2,隧道方式(tunnelmode):在原始的IP数据报的前后分别添加若干控制信息,再加上新的IP首部,构成一个IP安全数据报.
这需要在IPsec数据报所经过的所有路由器上都运行IPsec协议.
隧道方式常用来实现虚拟专用网VPN.
IP安全数据报有两种工作方式无论使用哪种方式,最后得出的IP安全数据报的IP首部都是不加密的.
所谓"安全数据报"是指数据报的数据部分是经过加密的,并能够被鉴别的.
通常把数据报的数据部分称为数据报的有效载荷(payload).
2.
IP安全数据报的格式协议=50IP安全数据报新的IP首部IP安全数据报的有效载荷发送在前加密的部分鉴别的部分安全参数索引SPI序号32位填充填充长度下一个首部8位8位32位ESP的有效载荷4ESP首部报文鉴别码MACESP尾部原始的IP数据报的有效载荷原始的IP首部隧道方式下的IP安全数据报的格式3.
IPsec的其他构件安全关联数据库SAD(SecurityAssociationDatabase)存放SA.
安全策略数据库SPD(SecurityPolicyDatabase)指明什么样的数据报需要进行IPsec处理.
互联网密钥交换IKE(InternetKeyExchange)为IP安全数据报创建安全关联SA.
9.
6.
2运输层安全协议现在广泛使用的有以下两个协议:安全套接字层SSL(SecureSocketLayer)运输层安全TLS(TransportLayerSecurity).
SSL和TLS安全套接层SSL由Netscape于1994年开发,广泛应用于基于万维网的各种网络应用(但不限于万维网应用).
SSL作用在端系统应用层的HTTP和运输层之间,在TCP之上建立起一个安全通道,为通过TCP传输的应用层数据提供安全保障.
1996年发布SSL3.
0,成为Web安全的事实标准.
1999年,IETF在SSL3.
0基础上推出了传输层安全标准TLS,为所有基于TCP的网络应用提供安全数据传输服务.
SSL/TLS的位置在发送方,SSL接收应用层的数据,对数据进行加密,然后把加了密的数据送往TCP套接字.
在接收方,SSL从TCP套接字读取数据,解密后把数据交给应用层.
互联网IP应用层(HTTP)网络接口层TCPSSL/TLSIP应用层(HTTP)网络接口层TCPSSL/TLSSSL和TLSSSL/TLS建立在可靠的TCP之上,与应用层协议独立无关.
SSL/TLS已被所有常用的浏览器和万维网服务器所支持.
SSL/TLS基本目标:实现两个应用实体之间的安全可靠通信.
SSL和TLS应用层使用SSL最多的就是HTTP,但SSL并非仅用于HTTP,而是可用于任何应用层的协议.
应用程序HTTP调用SSL对整个网页进行加密时,网页上会提示用户,在网址栏原来显示http的地方,现在变成了https.
在http后面加上的s代表security,表明现在使用的是提供安全服务的HTTP协议(TCP的HTTPS端口号是443,而不是平时使用的端口号80).
SSL提供的安全服务(1)SSL服务器鉴别,允许用户证实服务器的身份.
支持SSL的客户端通过验证来自服务器的证书,来鉴别服务器的真实身份并获得服务器的公钥.
(2)SSL客户鉴别,SSL的可选安全服务,允许服务器证实客户的身份.
(3)加密的SSL会话,对客户和服务器间发送的所有报文进行加密,并检测报文是否被篡改.
SSL安全会话建立过程浏览器A服务器BA支持的加密算法B选定的加密算法B的数字证书用B的公钥加密的秘密数会话密钥的产生完成数据传输(用会话密钥加密)协商加密算法用CA发布的公钥鉴别B的证书产生秘密数用秘密数产生会话密钥用秘密数产生会话密钥协商加密算法tt顾客9.
6.
3应用层的安全协议本节仅讨论应用层中有关电子邮件的安全协议.
发送电子邮件是个即时的行为.
发送方A和接收方B并不会为此而建立任何会话.
电子邮件安全协议就应当为每种加密操作定义相应的算法,以及密钥管理、鉴别、完整性保护等方法.
PGP(PrettyGoodPrivacy)PGP(PrettyGoodPrivacy)是一个完整的电子邮件安全软件包,包括加密、鉴别、电子签名和压缩等技术.
PGP并没有使用什么新的概念,它只是将现有的一些算法如MD5,RSA,以及IDEA等综合在一起而已.
虽然PGP已被广泛使用,但PGP并不是互联网的正式标准.
PGP工作原理假定A向B发送电子邮件明文X,使用PGP进行加密.
A有三个密钥:A的私钥、B的公钥和A生成的一次性密钥.
B有两个密钥:B的私钥和A的公钥.
PGP提供电子邮件的安全性、发送方鉴别和报文完整性.
A的私钥X散列H加密报文摘要报文鉴别码MACX一次性密钥加密B的公钥加密A邮件发送在发送方A的PGP处理过程发送方A的工作(1)对明文邮件X进行MD5运算,得出MD5报文摘要H.
用A的私钥对H进行加密(即数字签名),得出报文鉴别码MAC,把它拼接在明文X后面,得到扩展的邮件(X,MAC).
(2)使用A自己生成的一次性密钥对扩展的邮件(X,MAC)进行加密.
(3)用B的公钥对A生成的一次性密钥进行加密.
(4)把加了密的一次性密钥和加了密的扩展的邮件发送给B.
PGP工作原理假定A向B发送电子邮件明文X,使用PGP进行加密.
A有三个密钥:A的私钥、B的公钥和A生成的一次性密钥.
B有两个密钥:B的私钥和A的公钥.
PGP提供电子邮件的安全性、发送方鉴别和报文完整性.
在接收方B的PGP处理过程A的公钥MD5运算X一次性密钥B的私钥加密的扩展的邮件解密加密的密钥解密解密H报文摘要H(X)报文摘要比较接收MAC接收方B的工作(1)把被加密的一次性密钥和被加密的扩展报文(X,MAC)分离开.
(2)用B自己的私钥解出A的一次性密钥.
(3)用解出的一次性密钥对报文进行解密,然后分离出明文X和MAC.
(4)用A的公钥对MAC进行解密(即签名核实),得出报文摘要H.
这个报文摘要就是A原先用明文邮件X通过MD5运算生成的那个报文摘要.
(5)对分离出的明文邮件X进行MD5报文摘要运算,得出另一个报文摘要H(X).
把H(X)和前面得出的H进行比较,是否和一样.
如一样,则对邮件的发送方的鉴别就通过了,报文的完整性也得到肯定.
9.
7系统安全:防火墙与入侵检测9.
7.
1防火墙9.
7.
2入侵检测系统9.
7.
1防火墙防火墙是由软件、硬件构成的系统,是一种特殊编程的路由器,用来在两个网络之间实施访问控制策略.
访问控制策略是由使用防火墙的单位自行制订的,为的是可以最适合本单位的需要.
防火墙内的网络称为"可信的网络"(trustednetwork),而将外部的因特网称为"不可信的网络"(untrustednetwork).
防火墙可用来解决内联网和外联网的安全问题.
防火墙在互连网络中的位置内联网可信的网络不可信的网络分组过滤路由器分组过滤路由器应用网关外局域网内局域网防火墙G互联网防火墙的里面防火墙的外面防火墙的功能防火墙的功能有两个:阻止和允许.
"阻止"就是阻止某种类型的通信量通过防火墙(从外部网络到内部网络,或反过来).
"允许"的功能与"阻止"恰好相反.
防火墙必须能够识别通信量的各种类型.
不过在大多数情况下防火墙的主要功能是"阻止".
防火墙技术一般分为两类分组过滤路由器是一种具有分组过滤功能的路由器,它根据过滤规则对进出内部网络的分组执行转发或者丢弃(即过滤).
过滤规则基于分组的网络层或运输层首部的信息,例如:源/目的IP地址、源/目的端口、协议类型(TCP或UDP)等.
分组过滤可以是无状态的,即独立地处理每一个分组.
也可以是有状态的,即要跟踪每个连接或会话的通信状态,并根据这些状态信息来决定是否转发分组.
防火墙技术一般分为两类应用网关也称为代理服务器(proxyserver)它在应用层通信中扮演报文中继的角色.
一种网络应用需要一个应用网关,例如万维网缓存就是一种万维网应用的代理服务器.
在应用网关中,可以实现基于应用层数据的过滤和高层用户鉴别.
所有进出网络的应用程序报文都必须通过应用网关.
应用网关也有一些缺点:首先,每种应用都需要一个不同的应用网关.
其次,在应用层转发和处理报文,处理负担较重.
另外,对应用程序不透明,需要在应用程序客户端配置应用网关地址.
9.
7.
2入侵检测系统防火墙试图在入侵行为发生之前阻止所有可疑的通信.
入侵检测系统IDS(IntrusionDetectionSystem)能够在入侵已经开始,但还没有造成危害或在造成更大危害前,及时检测到入侵,以便尽快阻止入侵,把危害降低到最小.
9.
7.
2入侵检测系统IDS对进入网络的分组执行深度分组检查,当观察到可疑分组时,向网络管理员发出告警或执行阻断操作(由于IDS的"误报"率通常较高,多数情况不执行自动阻断).
IDS能用于检测多种网络攻击,包括网络映射、端口扫描、DoS攻击、蠕虫和病毒、系统漏洞攻击等.
两种入侵检测方法基于特征的IDS维护一个所有已知攻击标志性特征的数据库.
这些特征和规则通常由网络安全专家生成,机构的网络管理员定制并将其加入到数据库中.
基于特征的IDS只能检测已知攻击,对于未知攻击则束手无策.
两种入侵检测方法基于异常的IDS通过观察正常运行的网络流量,学习正常流量的统计特性和规律.
当检测到网络中流量某种统计规律不符合正常情况时,则认为可能发生了入侵行为.
至今为止,大多数部署的IDS主要是基于特征的,尽管某些IDS包括了某些基于异常的特性.
9.
8区块链和比特币什么是区块链区块链就是通过密码学的方式形成的一个由集体维护的分布式数据库.
比特币是一种区块链区块链因比特币而兴,但不仅仅是比特币上神奇之处中本聪融合创新2100万个比特币区块链解决什么问题去中心化账本去中心化借贷模型现金比特币记账奖励为了激励大家帮我传话和记账,我决定奖励:第一个听到我喊话并记录下来的人,凭空得到了1个查克拉,这个查克拉是整个系统对你幸苦记账的报酬,而你记录了这句话之后,要马上告诉其它人你已经记录好了,让别人放弃继续记录这句话,并给你自己的记录编号让别人有据可查,然后你再把我的话加上你的记录编号一起喊出来,供下一个人记账.
当这个规则定下以后,这个系统中一定会出现一批人,他们开始竖着耳朵监听周围发出的声音,以抢占第一个记账的权利.
这就是挖矿的雏形.
挖矿单身汪们要找女票,国民岳母说我有好多女儿,这样吧我给你们出点题目,解出一个就给其中一个姑娘的微信号.
单身汪们疯狂竞争,想破脑袋去解题.
只要其中一只汪解出一道题,就立马得意洋洋地昭告天下,示威全部单身汪,这个姑娘是我的啦,你们放弃吧.
其他单身汪们即使不服也没有办法,惆怅懊恼也不是个事儿啊,还是麻溜地立马去解下一道题目吧.
这只喜赢姑娘的幸运小汪被岳母认可后还能得到25个货币单位的彩礼,简直人生赢家.
同时记账增加难度规则每个人在记录小本本的时候,需要脱鞋然后用脚拿笔,在小本本上用正楷体书写!
有了这个规定,由于用脚写字难度很大,每个人至少需要10分钟才能写完,而且由于每个人用脚写字的熟练度不通,写完这句话所用的时间也不同.
"听谁的"——中本聪破解"拜占庭将军问题"的算法"在小本本上记录"——比特币挖矿"脱鞋用脚写字"——比特币挖矿难度"脱鞋写字速度"——算力区块链的几个特性去中心化,没有第三方中介,一切都由程序来完成.
安全性,主要体现在分布式、51%攻击,即使一个节点被攻击或宕机也不会影响网络的运行.
最核心的就是:去信任.
一切社会行为都要建立在"信任"的基础上,这也是区块链解决的最根