网络安全网络安全问题概述计算机网络的通信面临两大类威胁被动攻击和主动攻击。被动攻击指攻击者从网络上窃听他人的通信内容。通常把这类攻击称为截取。主动攻击通常有篡改恶意程序拒绝服务方式。篡改攻击者故意篡改网络上传送的报文。这里也包括彻底中断传送的报文甚至是把完全伪造的报文传送给接收方。这种攻击方式有时也称为更改报文流。恶意程序恶意程序种类繁多对网络安全威胁较大的主要有计算机病毒计算机蠕虫特洛伊木马逻辑炸弹后门入侵流氓软件等。拒绝服务指攻击者向互联网上的某个服务器不停地发送大量分组使该服务器无法提供正常服务甚至完全瘫痪。两类密码体制对称密钥密码体制加密密钥和解密密钥使用相同的密码体制。对称密钥密码体制中的数据加密标准DESDES是一种分组密码。在加密前先对整个的明文进行分组。每一个组为64位长的二进制数据。然后对每一个64位二进制数据进行加密处理产生一组64位密文数据最后将各组密文串接起来即得出整个的密文。使用的密钥占有64位实际密钥长度为56位外加8位用于奇偶校验。对称密钥密码体制中的高级加密标准AESAES是在DES上发展而来的因为DES的密钥长度较小56位不适合当今数据加密安全性的要求而AES能支持的密钥长度可以为128,192,256位(也即16,24,32个字节)。公钥密码体制使用不同的加密密钥与解密密钥。在公钥密码体制中加密密钥公钥是向公众公开的而解密密钥私钥则是需要保密的。加密算法和解密算法也都是公开的。RSA体制请参考公钥密码体制RSA算法原理。公开密钥和对称密钥的区别在使用对称密钥时由于双方使用同样的密钥因此在通信信道上可以进行一对一的双向保密通信每一方既可用此密钥加密明文并发送给对方也可以接收密文用同一密钥对密文解密。这种保密通信仅限于持有此密钥的双方如再有第三方就不保密了。在使用公钥时在通信信道上可以是多对一的单向保密通信。多方持有公钥一方持有私钥。注意任何加密方法的安全性取决于密钥的长度以及攻破密文所需的计算量而不是简单地取决于加密的体制公钥密码体制或传统加密体制。公钥密码体制并没有使传统密码体制被弃用因为目前公钥加密算法的开销较大在可见的将来还不会放弃传统加密方法。数字签名数字签名主要是能够实现三点功能接受者能够核实发送者对报文的签名。也就是说接受者能确信该报文的确是发送者发送的。其他人无法伪造对报文的签名。这叫做报文鉴别。接受者确信所收到的数据和发送者发送的完全一样而没有被篡改过。这叫做报文的完整性。发送者事后不能抵赖对报文的签名。这叫做不可否认。鉴别鉴别是要验证通信的对方的确是自己要所通信的对象而不是其他的冒充者并且所传送的报文是完整的没有被他人篡改过。鉴别分为报文鉴别和实体鉴别报文鉴别鉴别所收到的报文的确是报文的发送者所发送的而不是其他人伪造的或篡改的。实体鉴别仅仅鉴别发送报文的实体。报文鉴别密码散列函数特点散列函数的输入长度可以很长但其输出长度则是固定的并且较短。散列函数的输出叫做散列值或更简单些称为散列。不同的散列值肯定对应于不同的输入但不同的输入却可能得出相同的散列值。这就是说散列函数的输入和输出并非一一对应的而是多对一的。在密码学中使用的散列函数称为密码散列函数其最重要的特点就是要找到两个不同的报文他们具有同样的密码散列函数输出在计算上是不可行的。也就是说密码散列函数实际上是一种单向函数。实用的密码散列函数MD5 和 SHA-1MD5MD是Message Digest 的缩写意思是报文摘要。MD5 是报文摘要的第5个版本。在2004年中国学者王小云证明可以用系统的方法找出一对报文这对报文具有相同的 MD5 报文摘要并且只需要15分钟或不到1小时。所以MD5 最终被另一种叫做安全散列算法SHASecure Hash Alogorithm 的标准所取代。MD5 算法的大致过程先把任意长的报文按模2^64计算其余数64位追加在报文的后面。在报文和余数之间填充1512位使得填充后的总长度是512 的整数倍。填充的首位是1后面都是0。把追加和填充后的报文分割为一个个512位的数据块每个512位的报文数据再分成4个128位的数据块一次送到不同的散列函数进行4轮计算。每一轮又都按32位的小数据块进行复杂的运算。一直到最后计算出 MD5 报文摘要代码128位。这样得出的 MD5 报文摘要代码中的每一位都与原来的报文中的每一位有关。由此可见像MD5这样的密码散列函数实际上已是个相当负责的算法而不是简单的函数了。SHA 与 MD5 相似但码长位 160位比MD5的128位多了25%。SHA 也是用512位长的数据块经过复杂的运算得出的。SHA 比 MD5 更安全但计算起来却比 MD5 要慢些。实体鉴别实体鉴别是在系统介入的全部持续时间内对和自己通信的对方实体只需要验证一次。由于实体鉴别容易被攻击者截取而不安全所以这里不对实体鉴别做详细介绍。密钥分配对称密钥的分配对称密钥分配方式是设立密钥分配中心 KDC Key Distribution Center。KDC 是大家都信任的机构其任务就是给需要进行密钥通信的用户临时分配一个会话密钥仅使用一次。公钥的分配认证中心 CACertification Authority一般由政府出资建立的。每个实体都有 CA 发来的证书certificate里面有公钥及其拥有者的标识信息人名或IP地址。此证书被CA 进行了数字签名。任何用户都可以从可信的地方如代表政府的报纸获得认证中心CA的公钥此公钥用来验证某个公钥是否为某个实体所拥有通过向CA查询。有的大公司如Netscape也提供认证中心服务。为了使CA的证书具有统一的格式ITU-T制定了X.509协议标准用来描述证书的结构。在X.509中规定要使用ASN.1。IETE 接受了X.509仅有少量的改动并在RFC 5280现在是建议标准中给出了互联网 X.509公钥基础结构PKIPublic Key Infrastructure。互联网使用的安全协议运输层安全协议现在广泛使用的两个协议安全套接字层 SSLSecure Socket Layer运输层安全 TLS (Transport Layer Security)SSL 作用在端系统应用层的HTTP和传输层之间在TCP之上建立起一个安全通道为通过TCP传输的应用层数据提供安全保障。TLS 是IETF在 SSL 3.0 的基础上设计的为所有基于 TCP的网络应用提供安全数据传输服务。SSL 提供的安全服务可归纳下面三种SSL 服务器鉴别允许用户证实服务器的身份。支持SSL的客户端通过验证来自服务器的证书来鉴别服务器的真实身份并获得服务器的公钥。SSL 客户鉴别 SSL 的可选安全服务允许服务器证实客户的身份。加密的 SSL 会话对客户和服务器间发送的所有报文进行加密并检测报文是否被篡改网络学习资源为了帮助大家更好的塑造自己成功转型我给大家准备了一份网络安全入门/进阶学习资料里面的内容都是适合零基础小白的笔记和资料不懂编程也能听懂、看懂这些资料网络安全/黑客零基础入门【----帮助网安学习以下所有学习资料文末免费领取----】 ① 网安学习成长路径思维导图 ② 60网安经典常用工具包 ③ 100SRC漏洞分析报告 ④ 150网安攻防实战技术电子书 ⑤ 最权威CISSP 认证考试指南题库 ⑥ 超1800页CTF实战技巧手册 ⑦ 最新网安大厂面试题合集含答案 ⑧ APP客户端安全检测指南安卓IOS大纲首先要找一份详细的大纲。学习教程第一阶段零基础入门系列教程该阶段学完即可年薪15w第二阶段技术入门弱口令与口令爆破XSS漏洞CSRF漏洞SSRF漏洞XXE漏洞SQL注入任意文件操作漏洞业务逻辑漏洞该阶段学完年薪25w阶段三高阶提升反序列化漏洞RCE综合靶场实操项目内网渗透流量分析日志分析恶意代码分析应急响应实战训练该阶段学完即可年薪30w面试刷题最后我其实要给部分人泼冷水因为说实话上面讲到的资料包获取没有任何的门槛。但是我觉得很多人拿到了却并不会去学习。大部分人的问题看似是“如何行动”其实是“无法开始”。几乎任何一个领域都是这样所谓“万事开头难”绝大多数人都卡在第一步还没开始就自己把自己淘汰出局了。如果你真的确信自己喜欢网络安全/黑客技术马上行动起来比一切都重要。资料领取上述这份完整版的网络安全学习资料已经上传网盘朋友们如果需要可以微信扫描下方二维码 ↓↓↓或者点击以下链接都可以领取点击领取 《网络安全黑客入门进阶学习资源包》文章来自网上侵权请联系博主本文转自 https://blog.csdn.net/SpringJavaMyBatis/article/details/144719210?spm1001.2014.3001.5502如有侵权请联系删除。
