kerberos認證加密演算法

G. 什麼叫網路加密演算法其分為哪幾類分別舉例。

很負責告訴你，拷貝過來的，關鍵看你能不能看明白了

由於網路所帶來的諸多不安全因素使得網路使用者不得不採取相應的網路安全對策。為了堵塞安全漏洞和提供安全的通信服務，必須運用一定的技術來對網路進行安全建設，這已為廣大網路開發商和網路用戶所共識。

現今主要的網路安全技術有以下幾種：

一、加密路由器(Encrypting Router)技術

加密路由器把通過路由器的內容進行加密和壓縮,然後讓它們通過不安全的網路進行傳輸,並在目的端進行解壓和解密。

二、安全內核(Secured Kernel)技術

人們開始在操作系統的層次上考慮安全性,嘗試把系統內核中可能引起安全性問題的部分從內核中剔除出去,從而使系統更安全。如S olaris操作系統把靜態的口令放在一個隱含文件中, 使系統的安全性增強。

三、網路地址轉換器(Network Address Translater)

網路地址轉換器也稱為地址共享器(Address Sharer)或地址映射器,初衷是為了解決IP 地址不足,現多用於網路安全。內部主機向外部主機連接時,使用同一個IP地址;相反地,外部主機要向內部主機連接時,必須通過網關映射到內部主機上。它使外部網路看不到內部網路, 從而隱藏內部網路，達到保密作用。

數據加密(Data Encryption)技術

所謂加密(Encryption)是指將一個信息(或稱明文--plaintext) 經過加密鑰匙(Encrypt ionkey)及加密函數轉換,變成無意義的密文( ciphertext),而接收方則將此密文經過解密函數、解密鑰匙(Decryti on key)還原成明文。加密技術是網路安全技術的基石。

數據加密技術要求只有在指定的用戶或網路下,才能解除密碼而獲得原來的數據,這就需要給數據發送方和接受方以一些特殊的信息用於加解密,這就是所謂的密鑰。其密鑰的值是從大量的隨機數中選取的。按加密演算法分為專用密鑰和公開密鑰兩種。

專用密鑰,又稱為對稱密鑰或單密鑰,加密時使用同一個密鑰,即同一個演算法。如DES和MIT的Kerberos演算法。單密鑰是最簡單方式,通信雙方必須交換彼此密鑰,當需給對方發信息時,用自己的加密密鑰進行加密,而在接收方收到數據後,用對方所給的密鑰進行解密。這種方式在與多方通信時因為需要保存很多密鑰而變得很復雜,而且密鑰本身的安全就是一個問題。

DES是一種數據分組的加密演算法,它將數據分成長度為6 4位的數據塊,其中8位用作奇偶校驗,剩餘的56位作為密碼的長度。第一步將原文進行置換,得到6 4位的雜亂無章的數據組;第二步將其分成均等兩段 ;第三步用加密函數進行變換,並在給定的密鑰參數條件下,進行多次迭代而得到加密密文。

公開密鑰,又稱非對稱密鑰,加密時使用不同的密鑰,即不同的演算法,有一把公用的加密密鑰,有多把解密密鑰,如RSA演算法。

在計算機網路中,加密可分為"通信加密"(即傳輸過程中的數據加密)和"文件加密"(即存儲數據加密)。通信加密又有節點加密、鏈路加密和端--端加密3種。

①節點加密,從時間坐標來講,它在信息被傳入實際通信連接點 (Physical communication link)之前進行;從OSI 7層參考模型的坐標 (邏輯空間)來講,它在第一層、第二層之間進行; 從實施對象來講,是對相鄰兩節點之間傳輸的數據進行加密,不過它僅對報文加密,而不對報頭加密,以便於傳輸路由的選擇。

②鏈路加密(Link Encryption),它在數據鏈路層進行,是對相鄰節點之間的鏈路上所傳輸的數據進行加密,不僅對數據加密還對報頭加密。

③端--端加密(End-to-End Encryption),它在第六層或第七層進行 ,是為用戶之間傳送數據而提供的連續的保護。在始發節點上實施加密,在中介節點以密文形式傳輸,最後到達目的節點時才進行解密,這對防止拷貝網路軟體和軟體泄漏也很有效。

在OSI參考模型中,除會話層不能實施加密外,其他各層都可以實施一定的加密措施。但通常是在最高層上加密,即應用層上的每個應用都被密碼編碼進行修改,因此能對每個應用起到保密的作用,從而保護在應用層上的投資。假如在下面某一層上實施加密,如TCP層上,就只能對這層起到保護作用。

值得注意的是,能否切實有效地發揮加密機制的作用,關鍵的問題在於密鑰的管理,包括密鑰的生存、分發、安裝、保管、使用以及作廢全過程。

(1)數字簽名

公開密鑰的加密機制雖提供了良好的保密性,但難以鑒別發送者, 即任何得到公開密鑰的人都可以生成和發送報文。數字簽名機制提供了一種鑒別方法,以解決偽造、抵賴、冒充和篡改等問題。

數字簽名一般採用不對稱加密技術(如RSA),通過對整個明文進行某種變換,得到一個值,作為核實簽名。接收者使用發送者的公開密鑰對簽名進行解密運算,如其結果為明文,則簽名有效,證明對方的身份是真實的。當然,簽名也可以採用多種方式,例如,將簽名附在明文之後。數字簽名普遍用於銀行、電子貿易等。

數字簽名不同於手寫簽字:數字簽名隨文本的變化而變化,手寫簽字反映某個人個性特徵, 是不變的;數字簽名與文本信息是不可分割的,而手寫簽字是附加在文本之後的,與文本信息是分離的。

(2)Kerberos系統

Kerberos系統是美國麻省理工學院為Athena工程而設計的,為分布式計算環境提供一種對用戶雙方進行驗證的認證方法。

它的安全機制在於首先對發出請求的用戶進行身份驗證,確認其是否是合法的用戶;如是合法的用戶,再審核該用戶是否有權對他所請求的服務或主機進行訪問。從加密演算法上來講,其驗證是建立在對稱加密的基礎上的。

Kerberos系統在分布式計算環境中得到了廣泛的應用(如在Notes 中),這是因為它具有如下的特點:

①安全性高,Kerberos系統對用戶的口令進行加密後作為用戶的私鑰,從而避免了用戶的口令在網路上顯示傳輸,使得竊聽者難以在網路上取得相應的口令信息;

②透明性高,用戶在使用過程中,僅在登錄時要求輸入口令,與平常的操作完全一樣,Ker beros的存在對於合法用戶來說是透明的;

③可擴展性好,Kerberos為每一個服務提供認證,確保應用的安全。

Kerberos系統和看電影的過程有些相似,不同的是只有事先在Ker beros系統中登錄的客戶才可以申請服務,並且Kerberos要求申請到入場券的客戶就是到TGS(入場券分配伺服器)去要求得到最終服務的客戶。
Kerberos的認證協議過程如圖二所示。

Kerberos有其優點，同時也有其缺點，主要如下：

①、Kerberos伺服器與用戶共享的秘密是用戶的口令字,伺服器在回應時不驗證用戶的真實性,假設只有合法用戶擁有口令字。如攻擊者記錄申請回答報文,就易形成代碼本攻擊。

②、Kerberos伺服器與用戶共享的秘密是用戶的口令字,伺服器在回應時不驗證用戶的真實性,假設只有合法用戶擁有口令字。如攻擊者記錄申請回答報文,就易形成代碼本攻擊。

③、AS和TGS是集中式管理,容易形成瓶頸,系統的性能和安全也嚴重依賴於AS和TGS的性能和安全。在AS和TGS前應該有訪問控制,以增強AS和TGS的安全。

④、隨用戶數增加,密鑰管理較復雜。Kerberos擁有每個用戶的口令字的散列值,AS與TGS 負責戶間通信密鑰的分配。當N個用戶想同時通信時,仍需要N*(N-1)/2個密鑰

（ 3 ）、PGP演算法

PGP(Pretty Good Privacy)是作者hil Zimmermann提出的方案, 從80年代中期開始編寫的。公開密鑰和分組密鑰在同一個系統中,公開密鑰採用RSA加密演算法,實施對密鑰的管理;分組密鑰採用了IDEA演算法,實施對信息的加密。

PGP應用程序的第一個特點是它的速度快,效率高;另一個顯著特點就是它的可移植性出色,它可以在多種操作平台上運行。PGP主要具有加密文件、發送和接收加密的E-mail、數字簽名等。

(4)、PEM演算法

保密增強郵件(Private Enhanced Mail,PEM),是美國RSA實驗室基於RSA和DES演算法而開發的產品,其目的是為了增強個人的隱私功能, 目前在Internet網上得到了廣泛的應用,專為E-mail用戶提供如下兩類安全服務:

對所有報文都提供諸如:驗證、完整性、防抵 賴等安全服務功能; 提供可選的安全服務功能,如保密性等。

PEM對報文的處理經過如下過程:

第一步,作規范化處理:為了使PEM與MTA(報文傳輸代理)兼容,按S MTP協議對報文進行規范化處理;

第二步,MIC(Message Integrity Code)計算;

第三步,把處理過的報文轉化為適於SMTP系統傳輸的格式。

身份驗證技術

身份識別(Identification)是指定用戶向系統出示自己的身份證明過程。身份認證(Authertication)是系統查核用戶的身份證明的過程。人們常把這兩項工作統稱為身份驗證(或身份鑒別),是判明和確認通信雙方真實身份的兩個重要環節。

Web網上採用的安全技術

在Web網上實現網路安全一般有SHTTP/HTTP和SSL兩種方式。

（一）、SHTTP/HTTP

SHTTP/HTTP可以採用多種方式對信息進行封裝。封裝的內容包括加密、簽名和基於MAC 的認證。並且一個消息可以被反復封裝加密。此外,SHTTP還定義了包頭信息來進行密鑰傳輸、認證傳輸和相似的管理功能。SHTTP可以支持多種加密協議,還為程序員提供了靈活的編程環境。

SHTTP並不依賴於特定的密鑰證明系統,它目前支持RSA、帶內和帶外以及Kerberos密鑰交換。

（二）、SSL(安全套層) 安全套接層是一種利用公開密鑰技術的工業標准。SSL廣泛應用於Intranet和Internet 網,其產品包括由Netscape、Microsoft、IBM 、Open Market等公司提供的支持SSL的客戶機和伺服器,以及諸如Apa che-SSL等產品。

SSL提供三種基本的安全服務,它們都使用公開密鑰技術。

①信息私密,通過使用公開密鑰和對稱密鑰技術以達到信息私密。SSL客戶機和SSL伺服器之間的所有業務使用在SSL握手過程中建立的密鑰和演算法進行加密。這樣就防止了某些用戶通過使用IP packet sniffer工具非法竊聽。盡管packet sniffer仍能捕捉到通信的內容, 但卻無法破譯。 ②信息完整性,確保SSL業務全部達到目的。如果Internet成為可行的電子商業平台,應確保伺服器和客戶機之間的信息內容免受破壞。SSL利用機密共享和hash函數組提供信息完整性服務。③相互認證,是客戶機和伺服器相互識別的過程。它們的識別號用公開密鑰編碼,並在SSL握手時交換各自的識別號。為了驗證證明持有者是其合法用戶(而不是冒名用戶),SSL要求證明持有者在握手時對交換數據進行數字式標識。證明持有者對包括證明的所有信息數據進行標識以說明自己是證明的合法擁有者。這樣就防止了其他用戶冒名使用證明。證明本身並不提供認證,只有證明和密鑰一起才起作用。 ④SSL的安全性服務對終端用戶來講做到盡可能透明。一般情況下,用戶只需單擊桌面上的一個按鈕或聯接就可以與SSL的主機相連。與標準的HTTP連接申請不同,一台支持SSL的典型網路主機接受SSL連接的默認埠是443而不是80。

當客戶機連接該埠時,首先初始化握手協議,以建立一個SSL對話時段。握手結束後,將對通信加密,並檢查信息完整性,直到這個對話時段結束為止。每個SSL對話時段只發生一次握手。相比之下,HTTP 的每一次連接都要執行一次握手,導致通信效率降低。一次SSL握手將發生以下事件:

1.客戶機和伺服器交換X.509證明以便雙方相互確認。這個過程中可以交換全部的證明鏈,也可以選擇只交換一些底層的證明。證明的驗證包括:檢驗有效日期和驗證證明的簽名許可權。

2.客戶機隨機地產生一組密鑰,它們用於信息加密和MAC計算。這些密鑰要先通過伺服器的公開密鑰加密再送往伺服器。總共有四個密鑰分別用於伺服器到客戶機以及客戶機到伺服器的通信。

3.信息加密演算法(用於加密)和hash函數(用於確保信息完整性)是綜合在一起使用的。Netscape的SSL實現方案是:客戶機提供自己支持的所有演算法清單,伺服器選擇它認為最有效的密碼。伺服器管理者可以使用或禁止某些特定的密碼。

代理服務

在 Internet 中廣泛採用代理服務工作方式, 如域名系統(DNS), 同時也有許多人把代理服務看成是一種安全性能。

從技術上來講代理服務(Proxy Service)是一種網關功能,但它的邏輯位置是在OSI 7層協議的應用層之上。

代理(Proxy)使用一個客戶程序,與特定的中間結點鏈接,然後中間結點與期望的伺服器進行實際鏈接。與應用網關型防火牆所不同的是,使用這類防火牆時外部網路與內部網路之間不存在直接連接,因此 ,即使防火牆產生了問題,外部網路也無法與被保護的網路連接。

防火牆技術

(1)防火牆的概念

在計算機領域,把一種能使一個網路及其資源不受網路"牆"外"火災"影響的設備稱為"防火牆"。用更專業一點的話來講,防火牆(FireW all)就是一個或一組網路設備(計算機系統或路由器等),用來在兩個或多個網路間加強訪問控制,其目的是保護一個網路不受來自另一個網路的攻擊。可以這樣理解,相當於在網路周圍挖了一條護城河,在唯一的橋上設立了安全哨所,進出的行人都要接受安全檢查。

防火牆的組成可以這樣表示:防火牆=過濾器+安全策略(+網關)。

(2)防火牆的實現方式

①在邊界路由器上實現;
②在一台雙埠主機(al-homed host)上實現;
③在公共子網(該子網的作用相當於一台雙埠主機)上實現,在此子網上可建立含有停火區結構的防火牆。

(3)防火牆的網路結構

網路的拓撲結構和防火牆的合理配置與防火牆系統的性能密切相關,防火牆一般採用如下幾種結構。
①最簡單的防火牆結構
這種網路結構能夠達到使受保護的網路只能看到"橋頭堡主機"( 進出通信必經之主機), 同時,橋頭堡主機不轉發任何TCP/IP通信包, 網路中的所有服務都必須有橋頭堡主機的相應代理服務程序來支持。但它把整個網路的安全性能全部託付於其中的單個安全單元,而單個網路安全單元又是攻擊者首選的攻擊對象,防火牆一旦破壞,橋頭堡主機就變成了一台沒有尋徑功能的路由器,系統的安全性不可靠。

②單網端防火牆結構

其中屏蔽路由器的作用在於保護堡壘主機(應用網關或代理服務) 的安全而建立起一道屏障。在這種結構中可將堡壘主機看作是信息伺服器,它是內部網路對外發布信息的數據中心,但這種網路拓撲結構仍把網路的安全性大部分託付給屏蔽路由器。系統的安全性仍不十分可靠。

③增強型單網段防火牆的結構

為增強網段防火牆安全性,在內部網與子網之間增設一台屏蔽路由器,這樣整個子網與內外部網路的聯系就各受控於一個工作在網路級的路由器,內部網路與外部網路仍不能直接聯系,只能通過相應的路由器與堡壘主機通信。

④含"停火區"的防火牆結構

針對某些安全性特殊需要, 可建立如下的防火牆網路結構。 網路的整個安全特性分擔到多個安全單元, 在外停火區的子網上可聯接公共信息伺服器,作為內外網路進行信息交換的場所。

網路反病毒技術

由於在網路環境下,計算機病毒具有不可估量的威脅性和破壞力, 因此計算機病毒的防範也是網路安全性建設中重要的一環。網路反病毒技術也得到了相應的發展。

網路反病毒技術包括預防病毒、檢測病毒和消毒等3種技術。(1) 預防病毒技術,它通過自身常駐系統內存,優先獲得系統的控制權,監視和判斷系統中是否有病毒存在,進而阻止計算機病毒進入計算機系統和對系統進行破壞。這類技術是:加密可執行程序、引導區保護、系統監控與讀寫控制(如防病毒卡)等。(2)檢測病毒技術,它是通過對計算機病毒的特徵來進行判斷的技術,如自身校驗、關鍵字、文件長度的變化等。(3)消毒技術,它通過對計算機病毒的分析,開發出具有刪除病毒程序並恢復原文件的軟體。

網路反病毒技術的實施對象包括文件型病毒、引導型病毒和網路病毒。

網路反病毒技術的具體實現方法包括對網路伺服器中的文件進行頻繁地掃描和監測;在工作站上採用防病毒晶元和對網路目錄及文件設置訪問許可權等。

隨著網上應用不斷發展,網路技術不斷應用,網路不安全因素將會不斷產生，但互為依存的，網路安全技術也會迅速的發展,新的安全技術將會層出不窮，最終Internet網上的安全問題將不會阻擋我們前進的步伐

H. Kerberos是一種網路認證協議，它採用的加密演算法是RsA

在Kerberos系統中，它是一種計算機網路授權協議，用來在非安全網路中，使用一次性密鑰和時間戳來防止重放攻擊，其核心是使用DES加密技術（用56比特的密鑰），實現最基本的認證服務。

在Kerberos認證系統中，用戶首先向認證伺服器AS申請初始票據，然後從票據授予伺服器TGS獲得會話密鑰。

I. 網路工程師筆記-網路安全技術

1.HTTPS是安全的超文本協議，可以保障通信安全，銀行可以通過HTTPS來提供網上服務，用戶通過瀏覽器就可以管理自己的賬戶信息，是HTTP的安全版，即HTTP下加入SSL層，HTTPS的安全基礎是SSL，因此加密的詳細內容就需要SSL，SSL默認埠為443

2.POP郵局協議：用戶接收郵件

3.SNMP簡單網路管理協議，用於網路管理

4.HTTP超文本傳輸協議，眾多web伺服器都使用HTTP，但它是不安全的協議

電子郵件協議有SMTP、POP3、IMAP4，它們都隸屬於TCP/IP協議簇，默認狀態下，分別通過TCP埠25、110和143建立連接。

1.SMTP協議

SMTP的全稱是「Simple Mail Transfer Protocol」，即簡單郵件傳輸協議。它是一組用於從源地址到目的地址傳輸郵件的規范，通過它來控制郵件的中轉方式。SMTP 協議屬於TCP/IP協議簇，它幫助每台計算機在發送或中轉信件時找到下一個目的地。SMTP 伺服器就是遵循SMTP協議的發送郵件伺服器。SMTP認證，簡單地說就是要求必須在提供了賬戶名和密碼之後才可以登錄 SMTP 伺服器，這就使得那些垃圾郵件的散播者無可乘之機。增加 SMTP 認證的目的是為了使用戶避免受到垃圾郵件的侵擾。SMTP已是事實上的E-Mail傳輸的標准。

2.POP協議

POP郵局協議負責從郵件伺服器中檢索電子郵件。它要求郵件伺服器完成下面幾種任務之一：從郵件伺服器中檢索郵件並從伺服器中刪除這個郵件；從郵件伺服器中檢索郵件但不刪除它；不檢索郵件，只是詢問是否有新郵件到達。POP協議支持多用戶互聯網郵件擴展，後者允許用戶在電子郵件上附帶二進制文件，如文字處理文件和電子表格文件等，實際上這樣就可以傳輸任何格式的文件了，包括圖片和聲音文件等。在用戶閱讀郵件時，POP命令所有的郵件信息立即下載到用戶的計算機上，不在伺服器上保留。

3.POP3(Post Office Protocol 3)即郵局協議的第3個版本,是網際網路電子郵件的第一個離線協議標准。

4.IMAP協議

互聯網信息訪問協議（IMAP）是一種優於POP的新協議。和POP一樣，IMAP也能下載郵件、從伺服器中刪除郵件或詢問是否有新郵件，但IMAP克服了POP的一些缺點。例如，它可以決定客戶機請求郵件伺服器提交所收到郵件的方式，請求郵件伺服器只下載所選中的郵件而不是全部郵件。客戶機可先閱讀郵件信息的標題和發送者的名字再決定是否下載這個郵件。通過用戶的客戶機電子郵件程序，IMAP可讓用戶在伺服器上創建並管理郵件文件夾或郵箱、刪除郵件、查詢某封信的一部分或全部內容，完成所有這些工作時都不需要把郵件從伺服器下載到用戶的個人計算機上。

支持種IMAP的常用郵件客戶端有：ThunderMail,Foxmail,Microsoft Outlook等。

5.PGP安全電子郵件協議：

（1）通過散列演算法對郵件內容進行簽名，保證信件內容無法修改

（2）使用公鑰和私鑰技術保證郵件內容保密且不可否認，能確認發送者身份，防止非授權者閱讀電子郵件

（3）發信人與收信人的公鑰都保存在公開的地方，公鑰的權威性則可以由第三方進行簽名認證，在PGP系統中，信任是雙方的直接關系

1.Needham-Schroeder協議是基於共享秘鑰的認證協議

1.VPN：虛擬專用網路，是通過隧道技術利用公共網路建立專用網路的技術。

2.VPN技術主要有：

（1）隧道技術

（2）加解密技術

（3）秘鑰管理技術

（4）身份認證技術

3.鏈路層的VPN協議：

（1）L2TP協議

（2）PPTP協議

4.傳輸層VPN協議：TLS協議

5.網路層VPN協議是：IPSec協議

1.數字證書能夠驗證一個實體身份，而這是在保證數字證書本身有消息這一前提下才能夠實現的

2.驗證數字證書的有效性是通過驗證頒發證書的CA的簽名實現的，比如：某網站向CA申請了數字證書，用戶登錄該網站時，通過驗證CA的簽名，可以確認該數字證書的有效性

3.例子：甲和乙進行通信，甲對發送的消息附加了數字簽名，乙收到消息後利用甲的公鑰驗證該消息的真實性

4.數字簽名技術（Digital Signature）是不對稱加密演算法的典型應用，原理是：數據源發送方使用自己的私鑰對數據進行加密處理，完成對數據的合法簽名，數據接收方利用發送方的公鑰來解讀收到的數字簽名，並將解讀結果用於對數據完整性的檢驗，以確認簽名的合法性

5.證書鏈服務（交叉認證）是一個CA擴展其信任范圍或被認可范圍的一種實現機制，不同認證中心發放的證書之間通過證書鏈可以方便的實現相互信任從而實現互訪

1.DES是一種共享秘鑰的演算法，是一種對稱秘鑰系統，加解密使用相同的秘鑰

2.DES通常選取一個64位（bit）的資料庫，使用56位的秘鑰，在內部實現多次替換和變位操作來達到加密的目的

3.MD5和SHA屬於摘要演算法：美國對稱密碼數據加密標准，是指單向哈希函數將任意長度的輸入報文經計算得到固定位輸出稱為報文摘要，該演算法是不可逆的，找出具有同一報文摘要的兩個不同報文是很困難的

4.Diffie-Hellman為秘鑰交換演算法

5.AES高級加密標准：是美國採用的一種區塊加密標准，用來替代原先的DES加密演算法

6.公鑰體系中，甲發給乙的數據要用乙的公鑰進行加密，在公鑰密碼體系中，加密秘鑰是公開的，而解密秘鑰是需要保密的，公鑰密碼體系中，密碼對產生器產生出接收者乙的一對秘鑰：加密秘鑰和解密秘鑰，發送者甲所用的加密秘鑰就是接收者乙的公鑰，公鑰向公眾公開，而乙所用的解密秘鑰就是接收者的私鑰，對其他人保密

網路攻擊是以網路為手段竊取網路上其他計算機的資源或特權，對其安全性或可用性進行破壞的行為，網路攻擊分為主動攻擊和被動攻擊：

1.被動攻擊：網路竊聽，截取數據包並進行分析，從中竊取重要信息，被動攻擊很難被發現，主要是預防為主，目前手段是數據加密傳輸，在密碼學和安全協議加持下目前有5類安全服務：

（1）身份認證

（2）訪問控制

（3）數據保密

（4）數據完整性

（5）數據不可否認性

2.主動攻擊：竊取、篡改、假冒和破壞，字典式口令猜測，IP地址欺騙和服務拒絕攻擊等都屬於主動攻擊，一個好的身份認證系統（數據加密、數據完整性校驗、數字簽名和訪問控制等安全機制）可以預防主動攻擊，但是杜絕很難，目前對付主動攻擊方法是及時發現並及時恢復所造成的破壞，目前有很多實用的工具，常見的有下面幾種攻擊方法：

（1）獲取口令

（2）放置特洛伊木馬程序

（3）www的欺騙技術

（4）電子郵件攻擊

（5）通過一個節點來攻擊其他節點

（6）網路監聽

（7）尋找系統漏洞

（8）利用賬號進行攻擊

（9）偷取特權

3.例子：公司面臨網路攻擊來自多個方面，安裝用戶認證系統來防範公司內部攻擊

1.Kerberos進行認證是一種使用對稱秘鑰加密演算法來實現通過可信第三方秘鑰分發中心的身份認證系統

2.Kerberos認證，客戶方需要向伺服器方遞交自己的憑據來證明自己的身份，該憑據是由KDC專門為客戶和伺服器方在某一階段內通信而生成的

3.Kerberos認證，憑據中包括客戶和伺服器方的身份信息和在下一階段雙方使用的臨時加密秘鑰，還有證明客戶方擁有會話秘鑰的身份認證者信息

4.身份認證信息的作用是防止攻擊者在將來將同樣的憑據再次使用，可以在報文中加入時間戳來防止重放攻擊

1.計算機病毒是一種程序，它會將自身附著在主機上，目的是進一步繁殖和傳播。從個人到大型組織，任何擁有適當技能的人都可以創建計算機病毒，並且可以感染計算機、智能手機、平板電腦，甚至智能 汽車 。「計算機病毒」一詞經常被錯誤的被用成一個總稱，泛指所有感染軟體、計算機和文件的可疑程序、插件或代碼。這一短語的誤用可能是因為計算機病毒較常出現在電視節目和電影中。這類程序實際上正確的總稱應該是惡意軟體，計算機病毒只是其中的一種類型，其他類型的惡意軟體還包括間諜軟體、蠕蟲和特洛伊木馬等。

2.計算機病毒是一種安裝在設備上並繁殖的惡意軟體。有些病毒旨在竊取或破壞數據，而另一些病毒則旨在破壞程序或系統的穩定性，甚至使其無法使用。還有一些可能只是程序員為了好玩而製作的，例如在打開計算機或打開應用程序後顯示圖像或文本消息。

3.嚴格意義上來說，如果感染主機的惡意軟體不是為了繁殖和傳播而設計的，那麼從技術上講，無論它有多危險，它都不會被歸類為計算機病毒。

4.通常是根據計算機病毒的目標和功能進行分類，而不是根據創建過程和編碼風格，且同一計算機病毒也有可能被歸入多個類別。以下是一些常見的計算機病毒示例：

（1）瀏覽器劫持病毒：這類計算機病毒會感染受害者的Web瀏覽器，並且通常用於篡改受害者的主頁、竊取數據和展示廣告。

（2）引導扇區病毒：除了硬碟驅動器的引導扇區之外，這類病毒還會影響用於幫助系統啟動的磁碟。

（3）電子郵件病毒：這類病毒旨在通過將自身附加到電子郵件、使用受害者的地址簿生成電子郵件或以竊取數據的意圖感染電子郵件應用程序來成倍增加。

（4）宏病毒：宏計算機病毒以宏語言編碼，以便它們可以附加到文檔中，並在打開它們所附加的文件後立即激活。

（5）多態病毒：一種可以改變自身以逃避安全系統和防病毒程序檢測的計算機病毒。

（6）常駐病毒：常駐病毒會在感染操作系統後繼續在後台運行，從而對系統和應用程序性能產生負面影響。

（7）非駐留病毒：這類病毒會在執行任務後自行關閉。

5.雖然許多計算機病毒可以很好地隱藏在你的設備上，但有幾個明顯的行為可以表明你可能已經感染了病毒，例如系統速度明顯下降、系統和應用程序設置被神秘地更改、收到不擁有的服務和應用程序的通知，未經你的許可安裝瀏覽器擴展或插件，以及無法上網或打開某些程序等。

6.重要的是要採取多種策略，以確保您的計算機和其他智能設備免受病毒和其他形式的惡意軟體的侵害，以下是保護計算機免受病毒侵害的一些方法：

（1）保持操作系統和應用程序處於最新狀態：這將使病毒更難感染你的計算機設備。

（2）僅連接到受信任的互聯網連接：這也可以保護你免受其他類型的攻擊，例如ARP欺騙。

（3）避免可疑附件：切勿打開來自未知發件人的電子郵件附件，因為這些附件可能包含惡意軟體和其他病毒。

（4）僅從官方網站和可信來源下載文件：從不熟悉的網站下載文件始終存在風險。無論下載看起來多麼合法，如果它不是來自可信來源，請避免下載。

（5）安裝防病毒軟體：高質量的防病毒軟體可以幫助用戶清除計算機上的病毒，並可以預防病毒感染。

6.目前網路上流行的「熊貓燒香」病毒屬於蠕蟲類型的病毒，感染exe、com、pif、htm和sap等文件，還能刪除gho備份文件，被感染的電腦所有exe可執行文件都變成熊貓舉著三根香的模樣

7.病毒前綴是指一個病毒的種類，用來區分病毒的種族分類的

（1）木馬病毒：前綴為Trojan，木馬病毒可以通過網路實現對遠程計算機的遠程攻擊，能遠程式控制制計算機

（2）蠕蟲病毒：前綴為Worm

（3）宏病毒：前綴為Macro

8.病毒名是指一個病毒的家族特徵，是用來區別和標識病毒家族的，如以前著名的CIH病毒的家族名都是統一的CIH，震盪波蠕蟲病毒的家族名是Sasser等

9.病毒後綴是指一個病毒的變種特徵，是用來區別具體某個家族病毒的某個變種的，一般採用英文字母表示，如Worm.Sasser.b就是震盪波蠕蟲病毒的變種B，稱為「震盪波B變種」

1.釣魚網站是一種網路欺詐行為，指不法分子利用各種手段，仿冒真實網站的URL地址以及頁面內容，或者利用真實網站伺服器程序上的漏洞在站點的某些網頁中插入危險的HTML代碼，依次來騙取用戶的賬號密碼等資料

2.釣魚網站可以通過Email傳播網址

1.網路管理中要防止各種安全威脅，安全威脅分為主要和次要安全威脅，主要安全威脅有：

（1）篡改管理信息：通過改變傳輸中的SNMP報文實施未經授權的管理操作

（2）假冒合法用戶：未經授權的用戶冒充授權用戶

2.次要安全威脅有：

（1）消息泄露：SNMP引擎之間交換的信息被第三者偷聽

（2）修改報文流：由於SNMP協議通常是基於無連接的傳輸服務，重新排序報文流、延遲或重放報文的威脅都可能出現，這種威脅危害在於通過報文的修改可能實施非法的管理操作

3.無法預防的威脅有：

（1）拒絕服務：因為很多情況下拒絕服務和網路失效是無法區別的，所以可以由網路管理協議來處理，安全系統不必採取措施

（2）通信分析：第三者分析管理實體之間的通信規律，從而獲取管理信息

1.路由表：用來指定路由規則，指定數據轉發路徑

2.ARP表：用來實現iP地址和網路設備物理地址MAC的轉換

3.NAT：將一個地址映射到另一個地址域的技術，而NAT表記錄這些映射記錄

4.過濾規則用以制定內外網訪問和數據發送的一系列安全策略

1.IPSec VPN包含了認證頭AH和封裝安全載荷ESP

（1）AH主要用以提供身份認證、數據完整性保護、防重放攻擊多項功能

（2）ESP則可以提供數據加密、數據源身份認證、數據完整性保護、防重放攻擊多項功能

（3）IPSec VPN可提供傳輸模式和隧道模式，但沒有入侵檢測功能

（4）IPSec加密和認證過程中所使用的秘鑰有IKE（網際網路秘鑰交換協議）機制來生成和分發，IKE解決了在不安全的網路環境中安全地建立或更新共享秘鑰的問題

J. Kerberos用什麼加密演算法

Kerberos是種對稱密鑰，在使用Kerberos認證時，首先向密鑰分發中心發送初始票據TGT，來請求會話票據，以便獲取伺服器提供的服務。