14.1.1　网络安全概述

总体来说，网络安全包含两大部分内容，一是网络系统安全，二是网络上的信息安全。它涉及网络系统的可靠性、稳定性以及网络上信息的保密性、完整性、可用性、真实性和可控性等。网络安全的一个通用定义是网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者人为恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。

网络安全的概念在不同的应用环境可以有不同的解释，归纳起来涉及系统、信息及其传播等内容，下面从上述几个方面加以说明。

网络系统安全是指保证信息处理和传输系统的安全，包括计算机硬件系统、操作系统和应用软件的可靠安全运行，数据库系统的安全，计算机结构设计上的安全性，计算机系统机房环境的保护，法律、政策的保护，电磁信息泄露的防护等。它侧重于保证系统正常的运行，避免因为系统的崩溃和损坏而对系统存储、处理和传输的信息造成破坏和损失，避免由于电磁泄漏产生信息干扰他人或受他人干扰，本质上是保护系统的合法操作和正常运行。

网络上系统信息的安全，包括用户身份验证，用户存取权限控制，数据存取权限，存储方式控制，安全审计，安全问题跟踪，计算机病毒防治，数据加密等。

网络上信息内容的安全可以称为狭义的“信息安全”，侧重于保护信息的保密性、真实性和完整性。避免攻击者利用系统的安全漏洞进行窃听、冒充、诈骗等有损于合法用户的行为，本质上是保护用户的利益和隐私。

网络上信息传播安全，即信息传播的安全性，主要是信息过滤，它侧重于防止和控制非法、有害的信息进行传播，避免公用通信网络上大量自由传输的信息失控。本质上是维护道德、法律和国家利益。

网络安全的本质是保证所保护的信息对象在网络上流动时或者静态存放时不被非授权用户非法访问。显然，网络安全、信息安全和系统安全的研究领域是相互交叉和紧密相连的。因此，网络安全是通过各种计算机、网络、密码技术和信息安全技术，保护在公用通信网络中传输、交换和存储的信息的机密性、完整性和真实性，并对信息的传播及内容具有控制能力。

网络安全涉及面很广，一个可称为安全的网络，应该具有保密性、完整性、可用性、不可否认性和可控性。

1．网络的安全威胁

计算机网络的发展，使信息共享应用日益广泛与深入。一方面，网络提供了资源的共享性和用户使用的方便性，通过分布式处理提高了系统效率和可靠性；另一方面，正是这些特点增加了网络受攻击的可能性，使得网络随时随地都可能受到攻击和威胁。网络威胁是指对网络构成威胁的用户、事物、想法、软件等，网络威胁利用系统暴露的要害或弱点，导致信息的保密性、完整性和可用性程度下降。威胁有无意的和有意的两种。无意的威胁包括人为操作错误、设备故障、自然灾害等；有意的威胁包括窃听、计算机犯罪等人为的破坏。当前主要的威胁来自以下几方面。

·自然灾害、意外事故。

·人为行为，如使用不当、安全意识差等。

·黑客行为，由于黑客的入侵或侵扰，造成非法访问、拒绝服务、计算机病毒、非法链接等。

·内部泄密和外部的信息泄密、信息丢失。

·电子间谍活动，如信息流量分析、信息窃取等。

·信息战。

·网络协议中的缺陷，如TCP/IP的安全问题等。

为了实现网络的安全性，不仅靠先进的网络安全技术，而且也要靠严格的安全管理、安全教育和法律规章的约束。

2．网络安全体系结构与模型

开放系统互连（OSI）参考模型是研究、设计新的计算机网络系统和评估、改进现有系统的理论依据，也成为理解和实现网络安全的基础。

OSI安全体系结构是在分析对开放系统威胁及其脆弱性的基础上提出来的。在OSI安全参考模型中主要包括安全服务（Security Service）、安全机制（Security Mechanism）和安全管理（Security Management），并给出了OSI网络层次、安全服务和安全机制之间的逻辑关系。

（1）OSI安全服务

针对网络系统受到的威胁，为了达到系统安全保密的要求，OSI安全体系结构设置了7种类型的安全服务。

1）对等实体认证服务

对等实体认证服务用于两个开放系统同等层实体建立链接或数据传输阶段，对对方实体（包括用户或进程）的合法性、真实性进行确认，以防假冒。

2）访问控制服务

访问控制服务用于防止未授权用户非法使用系统资源，包括用户身份认证和用户权限确认。

3）数据保密服务

数据保密服务包括多种保密服务。为了防止网络中各系统之间交换的数据被截获或被非法存取而泄密，提供密码保护。同时，数据保密也提供用户可选字段的数据保护和信息流安全，即对有可能从观察信息流就能推导出的信息提供保护。

4）数据完整性服务

数据完整性服务用于阻止非法实体对交换数据的修改、插入、删除以及在数据交换过程中的数据丢失。数据完整性服务分为带恢复功能的链接方式数据完整性，不带恢复功能的链接方式数据完整性，选择字段链接方式数据完整性，选择字段无链接方式数据完整性等。数据完整性服务通过多种完整性服务以适应用户的不同要求。

5）数据源点认证服务

数据源点认证服务用于确保数据发自真正的源点，防止假冒。

6）信息流安全服务

信息流安全服务信息在从源点到目的地的整个过程中是安全的。它通过路由选择使信息流经过安全路径，通过数据加密使信息流不泄露，通过流量填充阻止流量分析。

7）不可否认服务

不可否认服务用于防止发方在发送数据后否认自己发送过此数据，收方在收到数据后否认自己收到过此数据或伪造接收数据。由两种服务组成，一是不得否认发送；二是不得否认接收。一般是通过数字签名来实现。

（2）OSI安全机制

安全服务依赖于安全机制的支持。目前，OSI安全体系结构采用的安全机制主要有以下8种。

1）加密机制

加密是确保数据安全性的基本方法。在OSI安全体系结构中应根据加密所处的层次及加密对象的不同，而采用不同的密码和加密方法。加密机制导致了密钥管理机制的产生。

2）数字签名机制

数字签名是确保数据真实性的基本方法。利用数字签名技术可进行报文认证和用户身份认证。数字签名具有解决收发双方纠纷的能力。

3）访问控制机制

访问控制机制从计算机系统的管理能力方面对信息提供保护。访问控制按照事先确定的规则决定主体对客体的访问是否合法。当一主体试图非法使用一个未经授权的资源时，访问控制将拒绝，并将这一事件报告给审计跟踪系统，审计跟踪系统将给出报警并记录日志文件。

4）数据完整性机制

破坏数据完整性的主要因素有数据在信道中传输时受信道干扰影响而产生错误，数据在传输和存储过程中被非法入侵者篡改，计算机病毒对程序和数据的传染等。纠错编码和差错控制是对付信道干扰的有效方法。应对非法入侵者主动攻击的有效方法是报文认证。应对计算机病毒有各种病毒检测、消毒和免疫方法。

5）认证机制

在计算机网络中认证主要有站点认证、报文认证、用户和进程认证等。多数认证过程采用密码技术和数字签名技术。

6）信息流填充机制

流量分析攻击是攻击方法之一。攻击者通过分析网络中某一路径上的信息流量和流向来判断某些事件的发生。为了对付这种攻击，一些关键站点间在无正常信息传送时，持续传送一些随机数据，使攻击者不知道哪些是有用的而哪些是无用的，从而挫败信息流分析攻击。

7）路由控制机制

在大型计算机网络中，从源点到目的地往往存在多条路径，其中有些路径是安全的，另一些路径是不安全的。路由控制机制可根据信息发送者的申请选择安全路径，以确保数据安全。

8）公正机制

在大型计算机网络中，有众多的用户，而且并不是所有的用户都是诚实可信的，同时也可能由于设备故障等技术原因造成信息丢失、延迟等，很可能引起责任纠纷。为了解决这个问题，就需要有一个各方都信任的第三者实体以提供公正仲裁，仲裁数字签名技术就是这种公正机制的一种技术支持。

（3）TCP/IP的网络安全体系结构与模型

TCP/IP是网络中实际使用的基本的通信协议，以它为基础组建的Internet是目前国际上规模最大的计算机网络。参考TCP/IP的层次结构，可以在不同的层次提供不同的安全性。例如，在网络层提供虚拟专用网络，在传输层提供安全套接字层服务，如表14-1所示。下面对不同层次的安全性和提高安全性的方法进行分析和论述。

表14-1　TCP/IP的网络安全体系结构模型

1）IP层的安全性

对IP层的安全协议进行标准化的想法早就存在，已经提出了一些方案。例如，“安全协议3号（SP3）”就是美国国家安全局以及标准技术协会作为“安全数据网络系统（SDNS）”的一部分而制定的；“网络层安全协议（NLSP）”是由国际标准化组织（ISO）为“无链接网络协议（CLNP）”制定的安全协议标准，“集成化NLSP（I-NLSP）”是美国国家科技研究所提出的包括IP和CLNP在内的统一安全机制。所有这些提案都大同小异，它们用的都是IP封装技术，本质是纯文本的包被加密，封装在外层的IP报头里，用来对加密的包进行Internet上的路由选择，到达另一端时，外层的IP报头被拆开，报文被解密，然后送到收报地点。

Internet工程任务组（IETF）责成Internet协议安全协议（IPsec）工作组对IP安全协议（IPSP）和对应Internet的密钥管理协议（IKMP）进行标准化工作。IPSP的主要目的是使需要安全措施的用户能够使用相应的加密安全体制。该体制兼容IPv4和IPv6，要求该体制与算法无关，即使加密算法替换了，也不对其他部分的实现产生影响。按照这些要求，IPsec制定了一个规范：认证头（Authentication Header，AH）和封装安全有效负荷（Encapsulating Security Payload，ESP）。简而言之，AH提供IP包的真实性和完整性，ESP提供机要内容。

IP层安全性的主要优点是它的透明性，即安全服务的提供不需要应用程序、其他通信层次和网络部件做任何改动。缺点是IP层一般对属于不同进程和相应条例的包不作区别。对所有去往同一地址的包，它将按照同样的加密密钥和访问控制策略来处理。这可能导致不能提供所需的功能，也会导致性能下降。

2）传输层的安全性

在Internet应用程序中，通常使用广义的进程间通信（IPC）机制来与不同层之间的安全协议相联系。在Internet中提供安全服务的一个想法是强化IPC界面，如BSDSocket等，具体做法包括双端实体的认证、数据加密密钥的交换等。

同网络层安全机制相比，传输层安全机制的主要优点是它提供基于进程对进程（而不是主机对主机）的安全服务。传输层安全机制的主要缺点就是要对传输层IPC（界面）和应用程序两端都进行修改，另一个缺点是基于UDP的通信很难在传输层建立起安全机制来。

3）应用层的安全性

网络层（传输层）的安全协议允许为主机（进程）之间的数据通道增加安全属性，但不可能区分在同一通道上传输的一个具体文件的安全性要求。如果确实要区别一个具体文件的不同的安全性要求，那就必须借助于应用层的安全性。提供应用层的安全服务实际上是最灵活的处理单个文件安全性的手段。

在应用层提供安全服务的做法是对每个应用（及应用协议）分别进行修改。一些重要的TCP/IP应用已经这样做了。