第6章網(wǎng)絡(luò)空間安全協(xié)議-資料下載頁

　　

【正文】 生成 PEM郵件 ,然后通過基于SMTP的報(bào)文傳遞代理 (MTA)發(fā)給對(duì)方。接收方在自身的 PSE中將報(bào)文解密 ,并通過目錄檢索其證件 ,查閱證件注銷表以核實(shí)證件的有效性。 ? PEM 提供以下四種安全服務(wù)： – 數(shù)據(jù)隱蔽 :， – 數(shù)據(jù)完整性 :， – 對(duì)發(fā)送方的鑒別， – 防發(fā)送方否認(rèn)。 ? 以使用非對(duì)稱密碼為例，安全服務(wù)的具體實(shí)現(xiàn)如下： ? 數(shù)據(jù)隱蔽 :首先隨機(jī)生成一個(gè) DES密鑰 ,然后用接收方的公開鑰對(duì) DES密鑰采用非對(duì)稱加密算法加密后 ,存放在 PEM報(bào)文的頭部。接收方收到此報(bào)文后 ,用其秘密鑰對(duì) DES密鑰解密 ,接著再用此 DES密鑰對(duì)報(bào)文解密即可。 ? 數(shù)據(jù)完整性和對(duì)發(fā)送方的鑒別 :用數(shù)字簽名完成。首先 ,對(duì)準(zhǔn)備傳送的報(bào)文用 MD2或 MD5算法生成一個(gè)MIC碼。然后， MIC碼可以用發(fā)送者的密鑰 解密 。然后存放在 PEM郵件的頭部。接收方可用發(fā)送方的公開密鑰譯出報(bào)文的 MIC。最后，用此 MIC與接收方用收到的報(bào)文實(shí)時(shí)生成的 MIC比較后 ,即可斷定報(bào)文的完整性 ,并完成對(duì)發(fā)送方的鑒別。 ? 防發(fā)送方否認(rèn) :此項(xiàng)功能亦在上述過程中自動(dòng)實(shí)現(xiàn)。只有用發(fā)送方的密鑰加過密的 MIC,才能經(jīng)接收方解密后與當(dāng)時(shí)生成的 MIC相匹配。發(fā)送方發(fā)送此報(bào)文是不容抵賴的。 PEM的加密過程通常包括四個(gè)步驟： – 報(bào)文生成 :一般使用用戶所常用的格式。 – 規(guī)范化 :轉(zhuǎn)換成 SMTP的內(nèi)部表示形式。 – 加密 :執(zhí)行選用的密碼算法。 – 編碼 :對(duì)加密后的報(bào)文進(jìn)行編碼以便傳輸。 ? 用戶的證件是用戶在網(wǎng)上使用 PEM的通行證。每個(gè)證件除包含公開鑰外 ,還含有用戶的唯一名、證件的有效期、證件編號(hào)以及證件管理機(jī)構(gòu)的簽名等。證件的管理由證明機(jī)構(gòu) CA (Certification Authcrity)完成。證件的結(jié)構(gòu)和管理均在 The DirectoryAuthentication Framework中定義。 ? 網(wǎng)上用戶想使用 PEM,要先行注冊(cè)。用戶應(yīng)向本地CA發(fā) 證明申請(qǐng) ,填寫證件內(nèi)容并鑒上名。本地 CA審查同意后賦予證件有效期和流水編號(hào) ,同時(shí)用 CA的秘密鑰簽名 ,之后證件生效。存放證件的數(shù)據(jù)庫 ,其分布式結(jié)構(gòu)由 。其他網(wǎng)上用戶可從中取用發(fā)送方的公開鑰以及核實(shí)郵件發(fā)送證件的有效期。而注銷后的證件存放在證件注銷表 (Certificate Revocation List—CRL)中 ,供查對(duì)用。核實(shí)工作由 PEM軟件自動(dòng)進(jìn)行 ,其結(jié)果通知接收方。 ? S/MIME (Secure/Multipurpose Inter Mail Extensions) 設(shè)計(jì)用來支持郵件的加密?；? MIME 標(biāo)準(zhǔn)， S/MIME 為電子消息應(yīng)用程序提供如下加密安全服務(wù)：認(rèn)證、完整性保護(hù)、鑒定及數(shù)據(jù)保密等。傳統(tǒng)的郵件用戶代理（ MUA）可以使用 S/MIME來加密發(fā)送郵件及解密接收郵件。 ? S/MIME 提供兩種安全服務(wù)：數(shù)字簽名和郵件加密。數(shù)字簽名和郵件加密并不是相互排斥的服務(wù)。數(shù)字簽名解決身份驗(yàn)證和認(rèn)可問題，而郵件加密則解決保密性問題。郵件安全策略通常同時(shí)需要這兩個(gè)服務(wù)。這兩個(gè)服務(wù)被設(shè)計(jì)為一起使用，因?yàn)樗鼈兎謩e針對(duì)發(fā)件人和收件人關(guān)系的某一方。 對(duì)電子郵件進(jìn)行簽名和加密的順序 ? 數(shù)字證書和郵件加密是 S/MIME 的核心功能。在郵件安全領(lǐng)域，最重要的支持性概念是公鑰加密。 安全外殼協(xié)議 SSH ? SSH為 SecureShell（安全套接層）的縮寫，由 IETF的網(wǎng)絡(luò)工作小組（ NetworkWorkingGroup）所制定，是專為遠(yuǎn)程登錄 會(huì)話和其他網(wǎng)絡(luò)服務(wù)提供安全性的協(xié)議。利用 SSH協(xié)議可以有效防止遠(yuǎn)程管理過程中的信息泄露問題。 SSH最初是 UNIX系統(tǒng)上的一個(gè)程序，后來又迅速擴(kuò)展到其他 操作平臺(tái) ：幾乎所有 UNIX平臺(tái) —包括 HPUX、 Linux、 AIX、 Solaris、 DigitalUNIX、 Irix，以及其他平臺(tái)，都可運(yùn)行 SSH。 ? lemmaId=35343 pop和 tel在本質(zhì)上都是不安全的，容易受到 “ 中間人 ”（ maninthemiddle）這種方式的攻擊。 SSH可以把所有傳輸?shù)臄?shù)據(jù)進(jìn)行加密，防止 中間人 攻擊方，而且也能夠防止 DNS欺騙和 IP欺騙。SSH還有一個(gè)額外的好處就是傳輸?shù)臄?shù)據(jù)是經(jīng)過壓縮的，傳輸?shù)乃俣瓤梢约涌臁? ? SSH 主要由三部分組成： – 傳輸層協(xié)議 [SSHTRANS]，該協(xié)議提供了服務(wù)器認(rèn)證，保密性 及完整性，有時(shí)還提供壓縮功能。 SSHTRANS 通常運(yùn)行在 TCP/IP連接上，也可能用于其它可靠 數(shù)據(jù)流上。該協(xié)議中的認(rèn)證基于主機(jī)，不執(zhí)行 用戶認(rèn)證 。 – 用戶認(rèn)證協(xié)議 [SSHUSERAUTH] 運(yùn)行在 傳輸層 協(xié)議上面，用于向服務(wù)器提供客戶端用戶鑒別功能。用戶認(rèn)證協(xié)議需要知道低層協(xié)議是否提供保密性保護(hù)，當(dāng)用戶認(rèn)證協(xié)議開始后，它從低層協(xié)議那里接收會(huì)話 標(biāo)識(shí)符 。 – 連接協(xié)議 [SSHCONNECT] 將多個(gè)加密隧道分成邏輯通道。它運(yùn)行在用戶認(rèn)證協(xié)議上。它提供了 交互式登錄 話路、遠(yuǎn)程 命令 執(zhí)行、轉(zhuǎn)發(fā) TCP/IP 連接和轉(zhuǎn)發(fā) X11 連接。 安全超文本轉(zhuǎn)換協(xié)議 SHTTP ? SHTTP支持多種兼容方案并且與 HTTP 相兼容。有 SHTTP 性能的客戶機(jī)能夠與沒有 SHTTP 的服務(wù)器連接，但是這樣的通訊明顯地不會(huì)利用 SHTTP安全特征。 ? SHTTP 不需要客戶端公用密鑰認(rèn)證（或公用密鑰），但它支持對(duì)稱密鑰的操作模式。這意味著即使沒有要求用戶擁有公用密鑰，私人交易也會(huì)發(fā)生。 SHTTP 支持端對(duì)端安全事務(wù)通信?？蛻魴C(jī)可能“首先”啟動(dòng)安全傳輸（使用報(bào)頭的信息），它可以用來支持已填表單的加密。使用 SHTTP，敏感的數(shù)據(jù)信息不會(huì)以明文形式在網(wǎng)絡(luò)上發(fā)送。 SHTTP 提供了完整且靈活的加密算法、模態(tài)及相關(guān)參數(shù)。通過以下四個(gè)方面來提供安全服務(wù)： – 1）簽名。應(yīng)用了數(shù)字簽名后，消息附上適當(dāng)?shù)恼J(rèn)證信息，接受者能進(jìn)行認(rèn)證。簽名使用 CMS中的 signeddata類型 – 2）加密和密鑰交換。一種是公鑰封裝（ CMS和 MOSS）。一種是預(yù)先準(zhǔn)備好的密鑰（密鑰加密是以 CMS信封的方式實(shí)現(xiàn)；預(yù)先準(zhǔn)備好的密鑰使用 CMS的 encrypterdata數(shù)據(jù)類型。）。 – 3）消息完整性和發(fā)送者的身份認(rèn)證。通過計(jì)算消息碼來驗(yàn)證。 – 4）實(shí)時(shí)性、簡單的競爭響應(yīng)機(jī)制，保證事務(wù)的實(shí)時(shí)性。 網(wǎng)絡(luò)認(rèn)證協(xié)議 Kerberos ? Kerberos認(rèn)證過程具體如下：客戶機(jī)向認(rèn)證服務(wù)器（ AS）發(fā)送請(qǐng)求，要求得到某服務(wù)器的證書，然后 AS 的響應(yīng)包含這些用客戶端密鑰加密的證書。證書的構(gòu)成為： 1) 服務(wù)器 “ ticket” ； 2) 一個(gè)臨時(shí)加密密鑰 （又稱為會(huì)話密鑰 “ session key”） Windows2023和后續(xù)的操作系統(tǒng)都默認(rèn) Kerberos為其默認(rèn)認(rèn)證方法。 RFC 3244記錄整理了微軟的一些對(duì) Kerberos協(xié)議軟件包的添加。 RFC4757微軟 Windows2023Kerberos修改密碼并設(shè)定密碼協(xié)議 記錄整理了微軟用 RC4密碼的使用。蘋果的 Mac OS X也使用了 Kerberos的客戶和服務(wù)器版本。 Red Hat Enterprise Linux4 和后續(xù)的操作系統(tǒng)使用了 Kerberos的客戶和服務(wù)器版本。 Kerberos由以下部分組成： ? Kerberos應(yīng)用程序庫： 應(yīng)用程序接口 。包括創(chuàng)建和讀取認(rèn)證請(qǐng)求、創(chuàng)建 safe message 和private message的子程序。 ? 加密 /解密庫： DES等。 ? Kerberos數(shù)據(jù)庫：記載了每個(gè) Kerberos 用戶的名字、私有 密鑰 、截止信息 (記錄的有效時(shí)間，通常為幾年 )等信息。 ? 數(shù)據(jù)庫管理 程序：管理 Kerberos數(shù)據(jù)庫。 EPＣ的密碼機(jī)制和安全協(xié)議 4）喜好威脅 利用 EPC網(wǎng)絡(luò)，物品上的標(biāo)簽可以唯一的識(shí)別生產(chǎn)者、產(chǎn)品類型和物品的唯一身份。競爭者可以以非常低廉的成本獲得寶貴的用戶喜好信息。 5）事務(wù)威脅 當(dāng)攜帶標(biāo)簽的對(duì)象從一個(gè)星座轉(zhuǎn)移到另一個(gè)星座時(shí)，在與這些星座關(guān)聯(lián)的個(gè)人之間可以很容易的推導(dǎo)出正在發(fā)生的事務(wù) 6）星座威脅 多個(gè)標(biāo)簽可在一個(gè)人的周圍形成一個(gè)唯一的星座，對(duì)手 可使用這個(gè)特殊的星座實(shí)施跟蹤。 7）面包屑威脅 從個(gè)人收集攜帶標(biāo)簽的物品，然后，在公司信息系統(tǒng)中建立一個(gè)與他們的身份關(guān)聯(lián)的物品數(shù)據(jù)庫。丟棄標(biāo)簽不會(huì)丟失這種關(guān)聯(lián)，適用這些丟失的“面包屑”可實(shí)施犯罪或某些惡意行為。 ? 基于密碼技術(shù)的軟件安全機(jī)制受到人們更多的青睞 :其主要研究內(nèi)容是利用各種成熟的密碼方案和機(jī)制來設(shè)計(jì)和實(shí)現(xiàn) RFID安全需求的密碼協(xié)議。這已經(jīng)成為當(dāng)前 RFID研究的熱點(diǎn)。目前，已經(jīng)提出了多種 RFID安全協(xié)議