《Web安全技术》PPT课件

《《Web安全技术》PPT课件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第九章Web安全技术主要内容IP安全技术E-mail安全技术安全扫描技术网络安全管理技术身份认证技术VPN技术1.IP安全技术目前常见的安全威胁数据泄漏在网络上传输的明文信息被未授权的组织或个人所截获，造成信息泄漏。数据完整性的破坏确保信息的内容不会以任何方式被修改，保证信息到达目的地址时内容与源发地址时内容一致。身份伪装入侵者伪造合法用户的身份来登录系统，存取只有合法用户本人可存取的保密信息。拒绝服务由于攻击者攻击造成系统不能正常的提供应有的服务或系统崩溃。解决的方案：加密：防止Sniffer的侦听和篡改。验证：防止简单的身份伪装和拒绝服务攻击。为了实

2、现IP网络的安全，IETF提出了一系列的协议，构成典型的安全体系——IPSec（IPSecurityProtocol）。在RFC中，RFC1825（Internet协议安全体系结构）、RFC1826（IP鉴别头：AH）、RFC1827（IP封装安全载荷：ESP）。IPSec安全体系结构安全体系结构包含了一般的概念、安全需求、定义和定义IPSec的技术机制。AH将每个数据包中的数据和一个变化的数字签名结合起来，共同验证发送方身份是的通信一方能确认发送数据的另一方的身份，并能够确认数据在传输过程中没有被篡改，防止受到第三方的攻击。ESP提供了一种对IP负载进

3、行加密的机制，对数据包上的数据另外进行加密。IKE一种协商协议，提供安全可靠的算法和密钥协商，帮助不同结点之间达成安全通信的协定，包括认证方法、加密方法、所有的密钥、密钥的使用期限等。一个IP安全性的方案IPSec的好处当在防火墙或路由器中实现IPSec时，IPSec提供了强大的安全性，能够应用到所有穿越边界的数据通信量上。防火墙内部的IPSec可以抵制旁路。IPSec在传输层一下，对于应用程序是透明的。IPSec可以对终端用户是透明的，操作简单。IPSec可以为单个用户提供安全性。AHESP（只加密）ESP（加密并鉴别）访问控制√√√无连接完整性√√数

4、据源的鉴别√√拒绝重放的分组√√√机密性√√有限的通信量的机密性√√IPSec的服务2.E-mail安全技术垃圾邮件包括广告邮件、骚扰邮件、连锁邮件、反动邮件等。安全电子邮件技术利用SSLSMTP和SSLPOP利用VPN或其他的IP通道技术，将所有的TCP/IP传输封装起E-mail的安全隐患密码被窃取邮件内容被截获附件中带有大量病毒邮箱炸弹的攻击本身设计上的缺陷PGP（PrettyGoodPrivacy）使用单向单列算法对邮件内容进行签名，以此保证信件内容无法被篡改，使用公钥和私钥技术保证邮件内容保密已不可否认。特征：把RSA公钥体系的方便和传统加密体

5、制高度结合，在数字签名和密钥认证管理机制上更巧妙地设计。密钥管理，采用公钥介绍机制来公布公钥信息，防止攻击者伪造公钥发布。功能使用的算法描述数字签名DSS/SHA或RSA/SHA使用SHA-1创建的报文的散列编码。采用DSS或RSA算法使用发送者的私有密钥对这个报文摘要进行加密，并且包含在报文中报文加密CAST或IDEA或3DES，带有Diffie-Hellman算法或RSA采用CAST-128或IDEA或3DES，使用发送者生成的一次性会话密钥对报文进行加密，采用Diffie-Hellman或RSA，使用接收方的公开密钥对会话密钥进行加密并包含在报文中

6、压缩ZIP报文可以使用ZIP进行压缩，用于存储或传输电子邮件兼容性64基转换为了提供电子邮件应用的透明性，加密的报文可以使用64基转换算法转换成ASCII字符串分段－为了满足最大报文长度的限制，PGP完成报文的分段和重新装配PGP服务PGP的安全针对私钥的攻击对私钥数据的访问；对用于加密每个私钥的秘密通行短语（passphrase）的了解。针对公钥的攻击修改公钥中的签名，并且标记它为公钥中已经检查过的签名，使得系统不会再去检查它。针对PGP的使用过程，修改公钥中的有效位标志，使一个无效的密钥被误认为有效。3.安全扫描技术基本原理采用模拟黑客攻击的形式对目

7、标可能存在的已知的安全漏洞进行逐项检查，然后根据扫描结果向系统管理员提供周密可靠的安全性分析报告，为网络安全的整体水平产生重要的依据。基于主机的安全扫描基于网络的安全扫描系统安全扫描的工作原理安全管理员基于主机的安全扫描针对操作系统的扫描检测，采用被动的，非破坏性的办法对系统进行检测。扫描工具安装在需扫描的主机上。基于网络的安全扫描采用积极的、非破坏性的办法来检测系统是否有可能被攻击崩溃，利用一系列的脚本模拟对系统进行攻击的行为，然后对结果进行分析。通过网络远程探测其他主机的安全风险漏洞，安装在整个网络环境中的某一台机器上。4.网络安全管理技术基本概念是

8、指对所有计算既往拉应用体系中各个方面的安全技术和产品进行统一的管理和协调，进而从