计算机网络的安全技术

　　[摘要]主要论述了计算机网络安全现状及网络所面临的威胁和攻击，提出一种基于用户验证的安全技术，以克服基于IP 地址的安全技术上的缺陷。

　　[关键词]计算机网络;安全;保密

　　1 计算机网络安全现状随着计算机网络的不断发展,全球信息化已成为人类发展的大趋势，信息的安全和保密是一项至关重要的课题，由于计算机犯罪以及窃密活动已成为当今世界的一大社会问题，许多国家把注意力从单机安全转向网络安全，积极从事网络安全的研究和开发工作，各网络公司除了加强防火墙技术的研究外，还研制了各种安全协议SSL,PCS/WAN 以及加强网上电子函件保密性的PGP、PEM、S/MIME、PEM/MIME、MOSS 等，这些协议中采用了RSA 公开密钥密码算法、DES 分组密码和序列密码算法等，用以实现信息的加密、完整性校验、数字签名等网络安全措施。
　　近年来，我国计算机网络发展较快，其规模不断扩大。但我国的计算机网络的安全水平和管理水平不高，除了一些重要的部门之外，网络建立时安全方面的问题考虑得较少，投资也少，而对那些拥有大量敏感信息和机密的部门来说，又不宜直接采用国外现有的网络安全技术与产品，因而研制自己的网络安全体系和产品势在必行。

　　2 计算机网络所面临的威胁和攻击计算机网络所面临的威胁大体可分为对网络中信息的威胁和对网络中设备的威胁两种。影响计算机网络安全的因素很多，这些因素可能是有意的，也可能是无意的；可能是人为的，也可能是非人为的；可能是外来“黑客”(Hacker)对网络系统的攻击，也可能是系统内部的合法用户对系统资源的非法使用，归结起来，针对网络安全的威胁主要有以下几点：
　　（1） 人为的无意失误：如操作员安全配置不当造成安全的漏洞，用户安全意识不强，用户口令选择不谨慎，用户将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威胁.
　　（2） 人为的恶意攻击：这是计算机网络所面临的最大威胁，敌手的攻击和计算机犯罪就属于这一类。它又可分为主动攻击和被动攻击两种，被动攻击是指在不影响网络正常工作的情况下，进行截获、窃取、破译以获取机密信息。主动攻击是以各种方式有选择地破坏信息的有效性和完整性，这两种攻击皆可对计算机网络造成极大危害并导致机密数据的泄漏，
　　（3） 网络软件的漏洞和“后门”：网络软件不会是百分之百的无缺陷和无漏洞的，这些漏洞恰恰是黑客进行攻击的首先目标，曾出现过的黑客攻入网络内部，大部分就是因为安全措施不完善所造成的。另外，软件的“后门”
　　却是软件公司的设计编程人员为了方便而设置，一般不为外人所知，一旦“后门”洞开，所造成的危害不堪设想。

　　3 现有网络安全措施及其存在的问题TCP/IP 网络起源于学术性网络，通常对外界是开放性的，本身的安全性非常脆弱，原始的安全措施是基于主机操作系统提供的访问权限。随着Internet 的发展和Intranet 的兴起，网络上的安全措施显得日益重要和必要。
　　目前已有的网络安全措施主要有三类。
　　（1） 防火墙技术防火墙是近期发展起来的一种保护计算机网络安全的技术性措施，它是一个用来阻止网络中的黑客访问某个机构网络的障碍物，也可称之为控制进/ 出两个方向通信的门槛，通过在网络边界上建立起来的相应网络通信监控系统来隔离内部和外部网络，阻挡外部网络的侵入。
　　这种安全措施是以IP 地址及TCP/UDP 端口号为依据，完成安全控制功能，如IP 过滤、TCP/UDP 端口过滤等。代理网关、应用网关技术属于另一类防火墙技术。
　　防火墙的典型配置通常有以下两种:对规模较小或简单的系统,通常采用一个包过滤路由器来隔离内部网络与外部网络,通过设置包过滤规则来禁止和过滤数据包.
　　在这种配置中，内部网通过防火墙直接连到Internet上，而从Internet 到达内部网的IP 包依据安全策略大部分被拒绝。通常禁止一些危险的服务，如:NIS，NFS 和XWindows。
　　另一类防火墙采用两个包过滤路由器配置而成，它在内部网和外部网之间设置一个堡垒子网，通常也称为“停火区”(DMZ )，在停火区内可设置应用网关，也可放置各类服务器(HTTP，FTP，DNS，Mail Server )和modem 以及其它需要仔细控制访问的系统，这种配置将防火墙的组成部分放置在不同的系统(Router，Gateway )上，以提供更高的吞吐量和灵活性。
　　这种配置方法使Internet 和内部网之间不存在直接的联系，增强了网络的安全性能，且由于使用路由器控制数据包流向，提高了应用网关的吞吐能力，但系统设置较为复杂。
　　（2） 基于主机的安全措施通常利用主机操作系统提供的访问权限，对主机资源进行保护，诸如注册用户的权限控制，非注册用户的权限控制，这种安全措施往往只局限于主机本身，也就是说只能保证某台主机的安全，而不能对整个网络提供安全保证。
　　（3） 加密技术用于网络安全的加密技术通常有两种形式：一种是面向服务的，另一种是面向网络的。面向服务的加密技术即通常所说的信息加密，它是指利用好的密码算法对有些敏感数据、文件和程序进行加密，并以密文方式存取，以防泄密，其优点在于实现相对简单，不需对网络数据所经过的网络的安全性提出特殊的要求.面向网络的加密技术是指通信协议加密，它是在通信过程中对包中的数据进行加密，包括完整性检测、数字签名等，这些安全协议大多采用了诸如RSA 公钥密码算法、DES 分组密码、MD系列Hash 函数及其它一些序列密码算法实现信息安全功能，用于防止黑客对信息进行伪造、冒充和篡改，从而保证网络的连通性和可用性不受损害。加密技术是网络信息最基本、最核心的技术措施。但加密的有效性完全取决于所采用的密码算法，故一般由中央授权部门研制生产，不能自行采用一些密码算法用于网络中，否则后果不堪设想。
　　（4） 其它安全措施包括用户认证、身份识别、网络审计、网络监测等。传统的用户身份识别通常使用输入口令字，这种方法简单，但很容易被破译，目前可利用磁卡、非接触式IC 卡以及“电子钥匙”进行身份识别，经过网络系统授权和登记的合法用户才能进入网络。网络监测与审计是指随时监视用户在网络中的活动，记录用户对敏感的数据资源的访问，以便随时调查和分析是否遭到黑客的攻击。这些都是保障网络安全的重要手段，但实际上仍然存在许多问题。

　　这几种安全措施虽然在一定程度上能解决网络安全问题，但它们都存在一定缺陷。主要缺点如下:
　　防火墙只针对IP 地址，而不是针对用户进行安全防范，缺乏灵活性。防火墙在边界上阻挡外部入侵，但同时也限制合法用户在网外对本网的访问权限。于是造成了同一用户在不同的机器上的权限不一样，而一个用户可能使用多台主机工作的情形是经常发生的。防火墙基于IP 的安全措施不能有效解决IP 地址欺骗问题，对假冒IP识别困难。非法用户可以假冒合法用户的MAC 地址和IP地址，从而进一步攻击网络是相当容易的。
　　基于主机的安全缺乏网络的安全体系，用户需要记住多台主机的多个口令，使用非常不方便，且易产生安全漏洞。
　　加密往往只考虑在两台机器之间通信的信息保密问题，还未形成具有网络特色的加密体系和结构。而且强壮的加密算法是实现密码保护的关键，为此需采用分布式密钥结构，对关键算法和密钥进行有效的保护以免受物理攻击，这些都增加加密算法本身的复杂性。
　　因此，我们提出基于用户验证和数据加密两种网络安全模型。

　　4 基于用户验证和数据加密的开放式网络安全模型
　　（1） 基于用户验证的网络安全模型在网络应用中，不同的用户对网络有不同的访问权限，不管这个用户在什么地方进网都应该有相同的权限，而与他当时使用的机器(包括IP 地址和MAC 地址)无关。
　　当用户在网络之外使用网络资源时，也应具有这样的权限。而通常所说的防火墙是无法办到这一点的。
　　用户在网络中的访问权限主要指该用户可以访问哪些网络和哪些主机，即能够到达哪些地方和使用什么样的服务。
　　基于用户验证的安全技术具有很好的灵活性，该模型中对每个专用网内的路由器和各专用网间的路由器连接一个基于用户验证的访问控制服务器(AC Server )。路由器中设置IP 过滤的规则由AC Server 确定。AC Server根据用户身份来确定每个用户在网络中的访问权限，它不直接与IP 地址挂钩，可以有效地解决IP 地址欺骗。通常路由器设置为基本工作方式，Intranet 为受保护网络，包括4 个IP 子网，若子网1 中使用主机A 的用户需访问子网2 中使用主机B 的用户，则主机A 用户需向AC Server申请，由AC Server 控制内部路由器完成相应动作，访问完毕后该用户向ACServer 申请撤消，此后用户不再具有对子网的访问权限。若在一定时间后用户没有撤消，ACServer 将自动完成撤消。

　　（2） 基于数据加密的网络安全模型Internet 为长距离的网络互联提供了一种灵活并且经济的解决方案，企业利用Internet 作为网络通信的载体，而非采用专线连接，就可与分布在世界各地的网络实现连接。这种利用公用网组织专用网的方式极大降低了网络建设和维护的费用，并且提供了很大的灵活性。这种情形在组建Intranet 时经常会遇到，例如一个公司在多个地方都有分公司，它们之间通信较频繁，或者采用TCP/IP 通信，或者在两个主机之间采用端—端加密方式通信，端—端加密方式。
　　网络采用的传统端—端加密方式(简称E3 )，是在用户之间进行的传输层以上对数据的加密，E3 使网络信息中数据部分首先被保护，然后被传输，并且在到达目的地以前，一直处于保密状态。而信息的IP 地址处于明文状态以便于实现路由选择。这种加密方式保密性好，但需要每台主机配置E3 加密或解密软件，很不方便。因此，我们采用在每个专用网连接加密网关来组织公用网上的专用网，若专用网上用户需与公用网上用户通信则不加密。
　　对于一般的分布式网络，我们将两种安全措施合在一起使用，既能满足组网需求又能使网络具有很好的灵活性和安全性，是一个可供参考的安全问题解决方案。

　　5 结束语
　　网络安全问题是计算机网络的一个十分重要的问题，制定有效的网络安全策略和适用于开放型网络的可靠的网络安全措施是网络安全的重点。目前，网络安全已成为单位日常的业务活动中一个不可忽略的问题，在从技术上保证单位网络系统的安全同时，单位还需要在人员安全意识的培训以及法律规范等诸多方面加强管理。

　　参考文献：
　　[1] 李国栋，刘克勤.Internet 常用的网络安全技术[J].现代电力，2001.
　　[2] 王浩，杨媛媛，陆际光.基于TCP/IP 协议的网络安全分析[J].中南民族大学学报，2002.
　　[3] 王春，林海波.网络安全与防火墙技术[M].北京:清华大学出版社，2000.
　　[4] 张晓斌，严望佳.黑客攻击与防范技术[M].北京:清华大学出版社,1999.