《网络安全基础》.pdf

下载 下载 第13章 网络安全基础 没有哪个U N I X 系统是一个孤岛。自从 1 9 8 2年第一个I n t e r n e t协议实现并被加入 B e r k e l e y U N I X 以来，U N I X 已成为I n t e r n e t发展的主要力量。与I n t e r n e t连接是多数U N I X 系统所关注的， 但这也导致需要把网络安全与系统安全联系起来考虑。本章介绍了 T C P / I P 网络以及U N I X系统 提供常用 T C P / I P 服务时所提出的安全问题，涉及了协议分层的概念和怎样在每层保护传输， 通过讲述n e t s t a t命令进行了总结。 13.1 TCP/IP网络 13.1.1 分散防御 把计算机连接到网络所冒的风险是众所周知的，以致它成为了一个“ m e m e ”，像精神病 毒那样从人到人进行传播的一种思维单元。甚至好莱坞也接受了网络风险的观念，认为每个 端口都有攻击者。 具有讽刺意味的是，现今的网络技术是由美国国防部为了安全的考虑而开发的。现在多 数网络的核心是经典的“分散防御”策略，这是研究员 Paul Baran在1 9 6 2年的防御合约中建议 的。他提出一个网络拓扑，把权力分布到许多物理上分散的计算机中。该思想因其简单明了 而令人吃惊—因为当一部分甚至多数网络系统被破坏时，核攻击、军事命令和控制通信仍 能维持。该拓扑在Advanced Research Projects Agency Network （A R PA N E T ，美国远景研究规 划署网络）中首次实现。 A R PA N E T是7 0年代早期建立的，是I n t e r n e t 的前身。 为了使分散的各种计算机能够通信，首先需要开发一系列的协议，说明信息收发规则、 信息格式和错误处理等通信标准。 7 0年代末，防御研究人员开发了一组可扩展、独立于平台 的协议，正式名称为TCP/IP Internet协议，于 1 9 8 0年开始在A R PA N E T 中广泛使用。T C P / I P在 8 0年代初被集成到加利福尼亚大学的 Berkeley UNIX 中。该实现迅速与一组Te l n e t和F T P标准 应用层工具一起传播到其他 U N I X产品和其他操作系统中。 T C P / I P 这样的开放式标准和 U N I X 这样的开放式系统的结合创建了扎实的基础，使得 I n t e r n e t 的爆炸式增长持续到现在。 13.1.2 包交换 包交换的概念是理解 T C P / I P如何工作的关键。一个包（ p a c k e t ，也称为“d a t a g r a m ”）是 传输的单位。理解包交换最容易的方法是把它与另一个网络交换的常见方式进行比较：电路 交换。电路交换网络是在两点间建立一个连接（电路）形成的。电话系统是电路交换网络的 一个标准例子。当读者要打电话时，从读者的电话到本地中心系统经过长途电话线到远程中 心系统再到读者呼叫的电话建立了一个电路。读者和另一端建立了一个连接，不论是否讲话 都需要付费。 在包交换网络中，传输被分成含有目的地等标识信息的包。一个文件可以被分成多个包 从一个系统传送到另一个系统，通过网络一次传送一个，在另一端进行重组。包的多个传输 第1 3章 网络安全基础 137 下载 流被组合成为多重信号，能以有效的方式使多台机器同时分享网络介质。与电话交换的电话 网络不同，这里不保证机器之间的连接。如果网络很拥挤，计算机也许要在发送其他包之前 等待。然而，包交换有一个主要优点：计算机间的多重通信可以并发进行，而不是消耗在维 持一个电路上。 13.1.3 Internet协议 T C P / I P 中有一部分把包定义为 I n t e r n e t 网络上信息的基本单元，这就是 Internet Protocol （I P ）。I P位于I n t e r n e t及其许多组成网络的核心。它定义了每个包的头信息— 一个结构化的 字节段，标识了发送者、目的地和许多其他的域。头字段后面跟着包的数据内容，这是在接 收端将与相关数据进行重组的一大段任意数据。 I P可以用多种方式连接两台