计算机网络安全导论--9基础设施安全.pptVIP

第九章 Internet的基础设施安全 9.1 DNS的安全性 域名系统的树状结构图 解析过程 DNS的协议缺陷 没有鉴别功能 DNS spoofing Zone transfer会造成网络结构的暴露 DNS配置文件中包括主机名与IP的对应，主机类型等信息 数据缓存造成内容的不一致 缓存内的数据可能已经失效 DNS实现中的安全问题 DNS实现中的服务失效攻击 DNS实现中的服务窃取攻击 DNS实现中的服务抢占攻击 增强的DNS 基本假设：DNS的内容为公开信息，因此不需要数据加密和访问控制。 使用基于公开密钥的签名算法对请求和DNS解析事务进行签名，以提高DNS使用过程的安全性 DNS的安全扩展 密钥的分配 数据的原始鉴别和完整性保护 事务和请求的鉴别 安全的DNS动态信息更新 密钥的分配 给出在网络中保存和传递鉴别所需的公钥的方法 密钥资源记录 KEY Resource Record 作用：把一个公开密钥和一个DNS名关联起来 内容：包括算法类型、实际使用的公开密钥以及某些标志位 类型：域、主机和其它端实体、用户或帐户等三种 需要用数字签名加以鉴别和保护 数据的原始鉴别和完整性保护 DNS服务器使用域的私钥对整个域的DNS记录进行签名，任何DNS解析器(resolver)只要知道这个 DNS服务器的公钥就可以鉴别该服务器定义的所有DNS信息 在实现上，需要把私有密钥离线保存，并且定期地对域中的所有记录进行重新签名 由于这对密钥是属于域的，因此改换域名服务器并不影响鉴别的安全性。 Primary和Secondary 数据的原始鉴别和完整性保护 Resolver获得域的公钥 静态配置 从DNS服务器获得（需要事先建立信任关系） 通过CA 签名（SIG RR）中包括被签名的RR类型、签名者的名、签名时间、过期的时间、加密算法和签名的具体内容 DNS中每个资源记录都需要使用签名保护 事务和请求的鉴别 使解析器能够确信其获得的信息确实来自它所请求的服务器；响应确实是根据其请求给出的；而且信息在传输过程中没有被修改过。 使用的方法是在响应信息后添加一个签名资源记录(SIG RR)，其中被数字签名的信息包括了服务器的响应和解析请求者的请求。 用于事务和请求安全所使用的密钥是属于服务器的，而不是属于整个域，因此需要从DNS上获取其公开密钥。 DNS动态更新的原因 正在使用的DNS数据库存放在内存中，因此可以动态修改 DNS动态更新的基本单位是资源记录 当静态的DNS配置发生变化时 authoritive 当服务器收到DNS的新数据时 non-authoritive 安全的DNS信息动态更新 从服务器 Slave 一个可信的授权服务器，该服务器可以使用AXFR或IXFR命令下载整个域RR集合中的名表 主服务器 Master 一个授权服务器，该服务器是从服务器使用AXFR或IXFR命令获取信息的数据源 原主服务器 Primary Master 是一个主服务器，是使用AXFR/IXFR产生的依赖图的根。原主服务器通过域名资源记录(NS RR)中的SOA MNAME项加以规定，每一个域中只有一个原主服务器 更新操作的基本思路 任何授权的服务器都可以接收“ 更新”请求，但是只有原主服务器可以真正修改域中的主文件 如果请求者可以平等地访问所有的服务器，那么它应该首先访问原主服务器，以减少不必要的请求传递 服务器根据请求者请求的执行情况，返回规定的诊断码 动态更新的原主服务器必须在每次更新时把SOA序列号增量，表示版本更新 在动态更新DNS数据时，还使用了一个动态更新密钥，这个密钥的签名是一个特殊的请求SIG，而且这个密钥也被域密钥签名认可 DNS动态更新的基本模式 模式A 域的私钥和静态信息都离线存放，所有RR的动态更新数据都需要被认可过的动态更新密钥签名，这些动态数据保存在在线的动态主文件中 由于服务器仅需要验证签名，因此运算负担较轻 密钥的授权通常采用手工传输到离线静态文件中的方法 模式B 域的私钥和主文件都在线存放。当更新完成时，重新使用域密钥计算更新内容的签名，数据唯一性强。 服务器需要进行更多地计算 静态数据的安全性下降 可以动态地更新签名，动态更新密钥也可被动态签名 9.2 IPsec 基本功能 一组基于加密技术的IP协议安全机制和标准 在IP层提供安全服务 访问控制，无连接的完整性保护，数据源鉴别，防止回放攻击，加密，流量控制 选择需要的安全协议 AH或ESP 传输模式：提供上层协议的保护 通道模式：提供IP报文隧道 决定服务使用的算法 保存加密使用的密钥 IKMP协议 实现方式 实现在端系统或安全网关中 把IPsec集成在现有的IP实现中。这种方法需要能够修改IP实现的源码 Bump-in-the-stack(BITS)实