计算机网络中科大 - 第7章 网络安全（详细解析）

🛡️ 第8章：网络安全（Network Security）优化整合笔记

📌 本章学习目标

• 理解网络安全的基本原理（加密、认证、完整性、密钥分发）
• 熟悉安全实践技术（防火墙、各层安全、攻击与防御）
• 掌握常见协议的安全机制（SSL、IPsec、802.11i 等）

一、网络安全概念

二、加密技术（Encryption）

1. 对称加密（Symmetric Key）

• 加密与解密使用相同的密钥
• 算法：DES、3DES、AES
• 密码块链模式：引入前一密文参与当前加密

2. 公钥加密（Public Key）

• 加密与解密使用不同的密钥（公钥加密，私钥解密）
• 算法：RSA
• 应用场景：密钥交换、身份认证

三、认证机制（Authentication）

四、报文完整性与数字签名

• 散列函数（如MD5, SHA-1）：
  • 将任意长度信息压缩成固定长度摘要
  • 不可逆、抗碰撞
• 数字签名：
  • 发送者使用私钥签署消息的哈希值
  • 接收者使用公钥验证
  • 实现认证、完整性、不可否认性

五、密钥分发与证书

六、防火墙与访问控制

1. 防火墙分类

• 网络级（分组过滤器）：依据IP/端口/TCP flag等规则
• 应用级（应用网关）：基于内容进行过滤，安全性更高

2. 过滤方式

• 无状态：逐个检查报文头部字段
• 有状态：结合连接状态判断合法性（基于连接表）

七、攻击类型与防御措施

八、典型安全协议实践

1. 📧 安全电子邮件（PGP）

• 使用对称加密+数字签名+公钥加密分发对称密钥
• 提供机密性、完整性和认证

2. 🔐 SSL / TLS

• 提供浏览器与服务器之间的加密连接
• 过程：
  1. 握手建立主密钥
  2. 使用主密钥生成 4 个密钥
  3. 数据加密与MAC校验

3. 🛜 IPsec

• 网络层安全协议：AH（认证）和ESP（加密+认证）
• 创建安全关联（SA），用于加密传输IP报文

4. 📶 IEEE 802.11 无线网络安全

• WEP（已废弃）：容易破解
• WPA / WPA2（802.11i）：引入动态密钥管理和更强加密
• 使用EAP协议和RADIUS服务器进行认证

九、入侵检测系统（IDS）

• 检查网络流量是否包含攻击模式
• 提供对端口扫描、病毒特征串、网络映射等行为的响应能力

🔚 本章总结

✅ 案例一：银行网站中的中间人攻击（Man-in-the-Middle Attack）

📍场景背景：

用户Alice登录某银行网站时，攻击者Trudy在她与服务器之间插入中间节点，成功劫持数据。

🧨 攻击流程：

1. Trudy伪装成银行网站向Alice发送伪造的SSL证书。
2. Alice浏览器没有识别出伪造证书，继续通信。
3. Alice向“银行”提交账号和密码，但Trudy截获并查看了这些敏感信息。

📚 涉及知识点：

• 公开密钥加密（RSA）原理
• 数字证书与认证中心（CA）
• 中间人攻击在认证协议ap5.0中的风险

✅ 防御措施：

• 浏览器启用CA证书验证机制；
• 使用SSL证书链检查来验证网站身份；
• 浏览器提示“不受信任的证书”时立即终止连接；
• 用户应查看HTTPS证书颁发者信息和合法性。

✅ 案例二：校园网ARP欺骗导致的分组嗅探

📍场景背景：

在某高校局域网中，攻击者Trudy通过ARP欺骗，让所有数据流经其主机，从而监听了同学Alice的账户信息。

🧨 攻击方式：

1. Trudy向局域网广播伪造的ARP响应，将网关的IP映射为自己的MAC地址；
2. 所有主机数据包路由经过Trudy；
3. Trudy启用混杂模式的网卡监听所有未加密报文。

📚 涉及知识点：

• ARP欺骗与分组嗅探原理
• 混杂模式
• 安全WiFi传输标准（802.11、WEP、WPA）

✅ 防御措施：

• 使用交换式以太网，避免共享媒介；
• 检查主机是否运行在混杂模式；
• 全面使用HTTPS、SSH等加密协议；
• 启用WPA2或WPA3代替WEP；
• 局域网防ARP欺骗软件部署。

✅ 案例三：DDoS攻击瘫痪政府门户网站

📍场景背景：

某政府官网在国庆前夕遭到大规模分布式拒绝服务（DDoS）攻击，短时间内无法访问。

🧨 攻击方式：

1. 攻击者控制成千上万的“肉鸡”（被感染的主机）；
2. 同时向目标网站发送SYN请求，造成连接资源耗尽；
3. 正常用户无法与服务器建立连接。

📚 涉及知识点：

• SYN Flood 攻击原理（伪造SYN+ACK无法完成三次握手）
• 防火墙中的分组过滤策略（SYN/ACK位判断）
• DoS与DDoS攻击的本质与识别

✅ 防御措施：

• 启用SYN Cookies机制缓解半连接队列耗尽；
• 使用防火墙/IDS过滤可疑IP请求；
• 建立速率限制规则；
• 利用CDN服务或云安全防护服务进行流量牵引与清洗；
• 追溯攻击源，及时封锁控制中心指令通道。

📌 小结：案例启发式复习表