导图社区 网络安全思维导图
这是一篇关于谢希仁的《计算机网络》第七版 网络安全的思维导图。该思维导图列举了关于网络安全的方方面面的知识，有利于进行系统复习。
这是一篇关于谢希仁的《计算机网络》第七版 互联网上的音频视频服务的思维导图。随着信息技术和网络应用以几何性和爆炸性的速度急剧发展，新技术革命对整个社会生活必将产生划世纪的深刻而深远的影响。
这是一篇关于谢希仁的《计算机网络》无线网络和无线局域网思维导图。该思维导图归纳了计算机网络所涉及的知识点，可以帮助新手快速掌握计算机的入门知识。
社区模板帮助中心，点此进入>>
论语孔子简单思维导图
《傅雷家书》思维导图
《童年》读书笔记
《茶馆》思维导图
《朝花夕拾》篇目思维导图
《昆虫记》思维导图
《安徒生童话》思维导图
《鲁滨逊漂流记》读书笔记
《这样读书就够了》读书笔记
妈妈必读：一张0-1岁孩子认知发展的精确时间表
网络安全
问题概述
安全性两大类威胁
被动攻击（截获）
定义：攻击者从网络上窃听他人的通信内容
具体行为：1.观察分析某个PDU，不干扰信息流 2.观察PDU协议控制信息部分，了解所交换数据的某种性质（又叫流量 分析）
检测结果：通常检测不出来
主动攻击
方式
篡改
故意篡改报文
彻底中断传输报文
传送完全伪造报文
恶意程序
计算机病毒：修改其他程序，复制自身变种
计算机蠕虫：自身从一个节点发送到另一个节点并自动启动运行的程序
特洛伊木马：执行功能为恶意功能
后门入侵：利用系统实现中的漏洞通过网络入侵系统
流氓软件：未经用户允许就在用户计算机上安装运行并损害用户利益的软件
拒绝服务DoS
定义：攻击者向互联网上的某个服务器不停地发送大量分组，使该服务器无法提供正常工作
分布式拒绝服务/网络带宽攻击/连通性攻击:互联网上许多网站一起攻击一个网站
交换机中毒
方式：伪造MAC地址，填满交换表
检测结果：适当措施加以检测
计算机网络通信安全目标
防止析出报文内容和流量分析
防止恶意程序
检测更改报文流和数据服务
安全性判定
方法
形式化方法：特定类型
经验分析：人工分析
目标
保密性
定义：只有信息发送方和接收方才能懂得所发送信息的内容，而信息的截获者则看不懂所截获的信息
网络安全通信最基本的要求&对付被动攻击所必须具备的要求
各种密码技术
端点鉴别
定义：鉴别信息的发送方和接收方的真实身份
信息的完整性
定义：确保信息的内容没有被人篡改
运行的安全性
方式：访问控制
对访问网络的权限加以控制，规定每个用户的访问权限
多级安全情况下更要注意
数据加密模型
定义：用户A向B发送明文X，但通过加密算法E运算后，得出密文Y。
相关算式
符号定义：加密和解密用的密钥K（Key)、解密算法D、加密算法E
加密：Y=EK(X)
解密：Dk(Y)=DK(EK(X))=X
密码学
密码编码学
密码分析学
密码体制安全
无条件安全/理论上不可破：不论截取者获得了多少密文，但在密文中没有足够信息来唯一地确定出对应明文
在计算上安全：一个密码体制中的密码不能在一定时间内被可以使用的计算资源破译
两个标准
数据加密标准DES(Data Encryption Standard)
公钥密码体制(public key crypto-system)
两类密码体制
对称密钥密码体制
定义：加密密钥与解密密钥是使用相同的密码体制
数据加密标准DES
分组密码
1.分组（64位为1组）；2.加密处理；3.串接；
DES的保密性仅取决于对密钥的保密，算法是公开的。
三重DES
高级加密标准AES
公钥密码体制
定义：使用不同的加密密钥和解密密钥
产生原因
对称密钥密码体制的密钥分配问题
对数字签名的需求
RSA体制
加密解密过程
符号定义
加密密钥PK（公钥 公开）
解密密钥SK （私钥/秘钥 私密）
加密算法E
解密算法D
算法
加密：Y=EpkB(X)
解密：DskB(Y)=DSKB(EpkB(X))=X
计算上是不可能的
区别
对称密钥：一对一的双向保密通信
公开密钥：多对一的单向保密通信
任何加密方法的安全性取决于密钥的长度，以及攻破密文所需的计算量
数字签名
必须实现的三个功能
报文鉴别
报文的完整性
不可否认
签名过程
1.A用私钥SKA对报文X进行D运算
2.A把经过D运算的密文传送给B
3.B核实签名，用A的公钥进行E运算
数字签名具有上述三个功能的原因
除A外没有别人持有A的秘钥SKA（报文鉴别）
其他人如果篡改过报文，但由于无法得到A的私钥SKA来对X进行加密（报文的完整性）
B可把X及DSKA（X）出示给进行公证的第三者（不可否认）
鉴别
定义
要验证通信的对方的确是自己所要通信的对象，而不是其他的冒充者，并且所传送的报文是完整的，没有被他人篡改过
两大类
密码散列函数
特点
输出长度固定，并且较短
散列函数的输入输出并非一一对应，而是多对一的
密码散列函数实际上是单向函数
实用的散列函数
MD5
1.先把任意长的报文按模2的64次方计算余数追加报文后
2.报文余数中间填充数字至总长度为512整数倍
3.分割数据块，进行计算
被安全散列算法SHA所取代
SHA-1
计算比MD5安全，但慢一点
逐渐被SHA－２与SHA－3所取代
报文鉴别码
定义：A从报文X导出散列H后，就对散列H用密钥K加密，得到的结果
1.散列H被密钥K加密
2.A把已加密的报文鉴别码MAC拼接在报文X的后面，得到扩展的报文，发送给B
3.B把MAC与报文X分离，用同样的密钥K对MAC进行解密，得到加密前的散列H
4.把报文X进行散列函数运算，得到H（X），与H作比较
实体鉴别
重放攻击
C从网络截获A发给B的报文，C不需要破译这个报文，直接发给B
B误以为C就是A，B向伪装成A的C发送许多本来应当发给A的报文
不重数
定义：不重复使用的大型数量
A和B之间不同的对话必须使用不同的不重数集
中间人攻击
截获身份报文
报文鉴别：的确是报文发送者发送（含端点鉴别和报文完整性鉴别）
实体鉴别：仅鉴别发送报文实体（含端点鉴别）
一些未来的发展方向
椭圆曲线密码
移动安全
量子密码
系统安全：防火墙与入侵检测
防火墙
特殊编程的路由器，在网点与网络的其余部分之间
目的：实施访问控制策略
技术
分组过滤路由器
定义：一种具有分组过滤功能的路由器
根据过滤规则对进出内部网络的分组执行转发或丢弃
应用网关（代理服务器）
扮演报文中继角色
应用网关以客户进程的身份将请求报文转发给原始服务器，如果不合法，报文将被丢弃
入侵检测系统IDS（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）
IDS对进入网络的分组进行深度分组检查，当观察到可疑分组时，向网络管理员发生告警或进行阻断操作
互联网使用的安全协议
网络层安全协议
IPｓｅｃ协议族概述
三部分
IP数据报格式
两协议
鉴别首部AH（Aｕｔｈｅｎｔｉｃａｔｉｏｎ Ｈｅａｄｅｒ）
封装安全有效载荷ESP协议（Eｎｃａｐｐｓｕｌａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）
工作方式
运输方式
在整个运输层报文段的前后分别添加若干控制信息，再加上IP首部，构成IP安全数据报
隧道方式
在原始的IP数据报的前后分别添加若干控制信息，再加上新的IP首部，构成IP安全数据报
有关加密算法的三个协议
互联网密钥交换IKE（Iｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）协议
安全关联SA
传统的互联网中无连接的网络层就变成了具有逻辑链接的一个层，安全关联是从源点到终点的单向连接
状态信息包含的项目
1.安全参数索引SPI：32位的连接标识符
2.安全关联AS的源点和终点的IP地址
3.所使用的加密类型
4.加密的密钥
5.完整性检查的类型
6.鉴别使用的密钥
IP安全数据报的格式
1.在原始的IP数据报后面添加ESP尾部
2.按照安全关联SA指明的加密算法和密钥，对ESP的有效载荷＋ESP尾部进行加密
3.添加ESP首部
4.对ESP首部＋加密的部分生成报文鉴别码MAC
5.把MAC添加在ESP尾部的后面
6.生成新的IP首部
IPｓｅｃ的其他控件
安全关联数据库SAD（Sｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ Ｄａｔａｂａｓｅ）
安全策略数据库SPD（Security Policy Database）
互联网密钥交换IKE（Internet Key Exchange）
Oakley
密码生成协议
安全密钥交换机制SKEME（Secure Key Exchange Mechanism）
用于密钥交换的协议
互联网安全关联和密钥管理协议ISAKMP（Internet Secure Association ａｎｄ Key Manager Protocol）
用于实现IKE中定义的密钥交换
运输层安全协议
安全字套接字层SSL（Source Socket Layer）
安全服务
SSL服务器鉴别
SSL客户鉴别
加密的SSL会话
简要过程
1.协商加密算法
2.服务器鉴别
3.会话密钥计算
4.安全数据传输
运输层安全TLS（Transport Layer Security）
应用层安全协议
电子邮件：单向报文的安全问题
为电子邮件提供安全服务的协议PGP
A要做的事
对明文邮件X进行MD5运算，得出MD5报文摘要H。用A的私钥对H进行加密，得到MAC，拼接在明文X后。
使用A自己生成的一次性密钥对拓展的邮件进行加密
用B的公钥对A生成的一次性密钥进行加密
把加了密的一次性密钥和加了密的扩展的邮件发给B
B要做的事
把被加密的一次性密钥和被加密的扩展的报文分离开
用B自己的私钥解出A的一次性密钥
用解出的一次性密钥解密，分离明文和MAC
用A的公钥对MAC进行解密，得到报文摘要H
对分离出的明文邮件X进行MD5报文摘要运算
密钥分配
分类
国外分配：靠可靠的信使
国内分配：对密钥自动分配
对称密钥的分配
密钥分配中心KDC（ｋｅｙ Ｄｉｓｔｒｉｂｕｔｉｏｎ Ｃｅｎｔｅｒ）
步骤
1.用户A向密钥分配中心KDC发送用明文，说明想和B通信，在明文中表明A与B身份
2.KDC提供会话密钥KAB，向A发送回答报文（包括密钥KAB和要A转给B的一个票据）
3.B收到A传来的票据并使用自己的密钥KB解密，得知A与他通信并获得KAB
Kｅｒｂｅｒｏｓ Ｖ５
两个服务器
鉴别服务器AS
票据授予服务器TGS
1.A用明文向鉴别服务器AS表明身份
2.AS向A发送用A的对称密钥KA加密的报文，包含A和TGS通信的会话密钥KS以及AS发给TGS的票据
3.A向TGS发送：转发：AS的票据、服务器B的名字、用KS加密的时间戳T
4.TGS是发送两个票据，每个都包含A和B通信的会话密钥KAB，给谁发就用谁的密钥加密
5.A向B转发TGS发送的票据，同时发送时间戳T
6.B将时间戳加１，发给A的报文用KAB加密
公钥的分配
认证中心CA（Cｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）
公钥与其对应的实体或机器进行绑定
