九乡新闻网薄靳言和简瑶h文:计算机三
来源：百度文库 编辑：九乡新闻网 时间：2024/05/03 01:17:34
容性及系统容错能力 3）比较完备的安全措施
IntranetWare操作系统的主要特点：
1 IntranetWare操作系统能建立功能强大的企业内部网络。2 IntranetWare操作系统能保护用户现有的投资。3 IntranetWare操作系统能方便的管理网络与保证网络安全。Novell目录服务NDS;4 IntranetWare操作系统能集成企业的全部网络资源。5 IntranetWare操作系统能大大减少网络管理的开支。
Linux操作系统：低价格，源代码开放，安装配置简单。
Unix网络操作系统----贝尔实验室
各大公司的UNIX系统：IBM公司的AIX系统（虚拟技术）、Sun公司的Solaris（Java控制台）、HP的HP—UX（容量配置）
UNIX的标准化：相当复杂 分裂的两个阵营：一个是UNIX国际（UI） ATT和Sun为首；另一个是开放系统基金会（OSF）, 以IBM、HP、DEC
8大特性：多用户多任务分时；内核（贴近硬件）与外壳（用户程序，贴近用户）；C语言；Shell语言；树状；进程对换
Linux操作系统------芬兰赫尔辛基大学 Novell的SUSE Linux Red Hat（虚拟化、身份管理、高可用性）
自由软件，具有开放性；多用户多任务；标准兼容性
4部分组成：内核（运行程序、管理核心程序）、外壳（互操作接口）、文件系统、应用程序
第五章 因特网基础
因特网主干网:ANSNET。
从网络设计者角度考虑,因特网是计算机互联网络vs从使用者角度考虑,因特网是信息资源网。
因特网中的通信线路归纳起来主要有两类:有线线路和无线线路。
因特网主要由通信线路、路由器、服务器和客户机、信息资源四部分组成。
所有连接在因特网上的计算机统称为主机。
服务器就是因特网服务与信息资源的提供者；客户机是因特网服务和信息资源的使用者。
Internet的接入四种方法:通过电话网;ADSL;HFC;数据通信线路
公用电话交换网PSTN 非对称数字用户线路ADSL
电话网-----家庭使用------调制解调器
ADSL------家庭及中小型企业
分为上行与下行两个通道-----下行速度大于上行
上行16~640Kb每秒；下行1.5~9Mb每秒
ADSL调制解调器=网桥=路由器
有线电视网CATV 混合光纤&同轴电缆网HFC
上行速度10Mb 下行速度10~40Mb
HFC采用共享式传输，电缆调制解调器发送和接受使用同一个上行和下行信道
数据通信网：DDN ATM 帧中继
通过路由器配备和加载接口模块联网
TCP/IP是一个协议集,它对因特网中主机的寻址方式，主机的命名机制，信息的传输规则，以及各种服务功能做了详细约定。
IP作为互联网协议，运行于互联层，评比各个物理网络的细节和差异.IP协议定义了IP数据报格式、对数据报须知和路由、数据报分片和重组、差错控制和处理做出了具体规定.
IP互联网的特点：面向非连接，不指定拓扑结构，不要求全互联
可在物理网间转发数据，可跨网传输，所有计算机使用统一的全局的地址描述法，平等的对待互联网中每一个网络
IP地址提供了互联网通用的地址格式，由32位二进制数表示，用于评比各种物理网络的地址差异。
运行IP协议的网络层可以为其高层用户提供三种服务:
1. 不可靠的数据投递服务；
2. 面向无连接的传输服务；
3. 尽最大努力投递服务。
IP地址由两部分组成,1.网络号和2.主机号。只要两台主机具有相同的网络号,不论它们物理位置,都属于同一逻辑网络。
A类IP地址用于大型网络，7位网络—24为主机；B类IP地址用于中型网络14网络---16主机；C类用于小规模网络，8主机---21网络，最多只能连接256台设备；D类IP用于多目的地址发送；E类则保留为今后使用。
再次划分IP地址的网络号和主机号部分用子网屏蔽码来区分。
特殊的IP地址：网络地址（一个有效的网络号和一个全为0的主机号）
广播地址-----直接广播和有限广播
直接的---有效网络号和全为1的主机号（255）
有限广播—32位全为1（255.255.255.255）
回送地址 A类网络地址127.x.x.x
本地地址---10.xxx.xxx.xxx；192.168.xxx.xxx
地址解析协议ARP 以太网IP地址到物理地址的映射
IP数据报的格式可以分为报头区和数据区两大部分,其中数据区包括高层需要传输的数据,报头区是为了正确传输高层数据而增加的控制信息。
生存周期为0 时，报文删除，避免死循环
头部校验和：用于保证IP数据报报头的完整性
IP数据报的长度只有《一个网络的MTU（最大传输单元）时才能在网络中传输，超过就要分片
重组：目的主机对分片进行重新组装
数据报报头的分片控制：标识 标志片偏移
IP数据报选项：选项码、长度、选项数据组成，用于控制和测试
源路由---严格源路由SSR、松散源路由LSR
记录路由 时间戳（格林尼治时间）
传输控制差错报文协议ICMP:ICMP差错报告采用路由器到源主机模式,不享受特别优先权和可靠性
除包含故障IP数据头外还包括数据区前64位
先丢弃错误报文，再向源主机报告
出错报告包括：目的地址不可达报告、超时报告、参数出错报告
ICMP控制报文:1、拥塞控制与源抑制报文2、路由控制和重定向报文
ICMP请求与应答报文：1回应请求与应答2时戳请求与应答3掩码请求与应答
因特网中,需要路由选择的设备一般采用表驱动的路由选择算法。
路由表中的特殊路由：默认路由、特定主机路由
路由表有两种基本形式:1.静态路由表（人工学习）2.动态路由表（自身学习，自动修改和刷新）
动态路由表是网络中的路由器互相自动发送路由信息而动态建立的。需要运行相同的路由协议，相同的路由选择算法
路由选择协议：
1路由信息协议RIP---向量距离算法
规定了信息时间、交换信息格式、错误的处理
路由器到达网络的距离用“跳数”计算
2 开放式最短路径优先协议OSPF---链路状态算法SPF
需较高路由器处理能力、一定的带宽要求
适应大规模网络-----分层与指派路由
静态路由---小型，单路径的、静态的IP互联网环境
RIP协议----小到中型、多路径的、动态的IP互联网
OSPF协议---较大型到特大型的、多路径的、动态的
IPv4的局限性：
地址空间、IP协议的性能、安全性、自动配置
服务质量保证QoS
IPv6地址---128位---4位十六进制---冒号隔开
零压缩法和双冒号法---连续的零省略
IPv6的地址类型：
单播地址、组播地址、任播地址（就近）、特殊地址
（全0 地址、回送地址0：0：0：0：0：0：0：1、v4兼容v6、映射到v4的v6）
IPv6地址的自动配置：有状态和无状态（128位）
TCP是一个端到端的传输协议,因为它可以提供一条从一台主机的一个应用程序到远程主机的另一个应用程序的直接连接.(虚拟连接)
传输控制协议TCP：
面向连接、完全可靠性、全双工通信、流接口
连接的可靠建立与优雅关闭-----三次握手法
数据包丢失重复或延迟情况下，通信双方交换3个报文
端口就是TCP和UDP为了识别一个主机上的多个目标而设计的。
TCP使用窗口机制进行流量控制
著名的TCP端口号
21---FTP 23---telnet 25---SMTP 80---HTTP 110—pop3
UDP---面向非连接的，不可靠的，数据直接封装
运行高效，实现简单
端口号69---TFTP 161---SNM
第六章 Internet基本服务
服务器有两种：重复服务器、并发服务器（子服务器和从服务器）
互联网命名机制：
1、 全局唯一性 2、名字便于管理 3、高效的进行映射
无层次命名机制、层次命名机制---树状结构
TCP/IP域名系统DNS
顶级域的划分模式：组织模式、地理模式 顶级域名分配：gov---政府部门 mil---军事部门Org---非营利性组织 int---国际组织
域名解析器：请求域名解析服务的软件
域名解析：1递归解析—要求域名服务器系统一次性完成全部的名字----地址变换
2反复解析---每次请求一个服务器，不在请求别的
解析从本地域名服务器开始
域名服务器高速缓冲技术
缓冲区里的每一个映射都有一个最大生存周期TTL
最常用的协议类是IN，SOA---授权开始
A---主机地址 MX---邮件交换机 NS---域名服务器 PTR----指针 CNAME---别名 HINFO---主机描述
因特网提供的基本服务主要有:
1.电子邮件E-MAIL；2.远程登陆Telnet；3.文件传输FTP；4.WWW服务。
Telnet协议引入了网络虚拟终端NVT
提供了一种标准的键盘定义，用来屏蔽不同计算机系统对键盘输入的差异
Telnet采用了客户机/服务器模式
因特网提供的远程登陆服务可以实现:
1. 本地用户与远程计算机上运行程序相互交互。
2. 用户登陆到远程计算机时,可以执行远程计算机上的任何应用程序,并且能屏蔽不同3. 型号计算机之间的差异。
4. 用户可以利用个人计算机去完成许多只有大型机才能完成的任务.
FTP即文件传输协议，用于Internet上文件的双向传输
采用客户机/服务器模式，“上传” “下载”
数据连接的建立有两种模式
主动模式（默认）、被动模式—通过控制连接发送PASV命令请求进入被动模式
应答以7位ASCII码格式经控制连接传送，直观可读
文件传输方式：
文本文件传输---ASCII码和EBCDIC文件类型
ASCII扫描每个字节需要找CR、LF核对
二进制文件传输----图像文件类型
因特网用户使用的FTP客户端应用程序通常有三种类型,既传统的FTP命令行,浏览器和FTP下载工具。
Cdup---进入远程主机目录的父目录
Pwd----显示远程主机的当前工作目录
常用的FTP下载工具有：
FlashFxp、CuteFtp、GetRight、NetAnts、LeapFTP
FTP服务器利用用户账号控制用户对服务器的访问权限
匿名账户和密码都是公开的，账号为anonymous，密码为guest或用户电子邮件的地址
电子邮件服务采用客户机/服务器工作模式。
电子邮件应用程序应具有如下两个最为基本的功能:
1. 创建和发送电子邮件 2. 接收,阅读,管理邮件
通讯簿管理、收件箱助理及账号管理等附加功能
电子邮件应用程序在向邮件服务器传送邮件时使用简单邮件传输协议SMTP（数字开头），从邮件服务器读取时候可以使用POP3（非数字开头）协议或IMAP协议。
当使用电子邮件应用程序访问IMAP服务器时,用户可以决定是或将邮件拷贝到客户机中,以及是或在IMAP服务器中保留邮件副本,用户可以直接在服务器中阅读和管理邮件。
邮寄列表是一组电子邮件地址，有一个共同的别名
SMTP和POP3都用客户机服务器模式
RSET---终止当前的邮件处理 NOOP---无操作
建立连接阶段、邮件传递阶段、连接关闭阶段
POP3采用ASKII字符串形式，以+ok和—ERR开始
命令成功执行或服务器准备就绪；错误或不可执行命令
认证阶段、事务处理阶段、更新阶段
电子邮件的报文格式：RFC822和MIME
电邮由两部分组成:邮件头和邮件体(实际传送的内容)。
MIME包括的编码方式：带引见符的可打印编码和基数64编码
第一个www在欧洲和物理研究中心CERN来发
第一个图形界面的www浏览器在美国国家超级计算机应用中心NCSA诞生
超文本传输协议HTTP是WWW客户机与WWW服务器之间的应用层传输协议。
页面时超文本文档，除普通文本，还有只想其他页面的指针（超链接）
www浏览器是www客户机程序，浏览服务器web页面的软件，请求发送给www服务器
浏览器的结构由一个控制单元（中心）和一系列的客户机单元，解释单元组成
NTFS权限—目录与文件权限来针对不同的用户做不同的权限设置
Web站点与浏览器的安全交互借助于安全套接层SSL完成：密钥为数（40或128位）
HTTP会话过程包括以下4个步凑:1. 连接.2.请求.3.应答.4.关闭。
页面与页面之间的连接信息由统一的资源定位符URL
URL由三部分组成:协议类型，主机名与路径及文件名。
WWW服务器所存储的页面是一种结构化的文档，采用超文本标记语言HTML书写而成。
HTML主要特点是可以包含指向其他文档的链接项，既其他页面的URL；可以将声音,图象,视频等多媒体信息集合在一起。
第七章 网络安全技术
硬件资源：物理介质、计算机设备、网络互连设备
软件资源：操作系统、应用软件、通信软件
网络管理的目标：有效性、可靠性、开放性、综合性、安全性、经济性
网络管理包括五个功能：配置管理，故障管理，性能管理，计费管理和安全管理。
配置管理是最基本的网络管理功能，负责网络的建立、业务的展开以及配置数据的维护，包括资源清单管理、资源开通、业务开通
故障管理是发现和排除故障
故障管理包括障碍管理、故障恢复和预防保障
网络故障管理包括：检测故障、隔离故障、纠正故障
计费管理：记录网络资源的使用，目的是控制和监控网络操作的费用和代价
性能管理的目标是维护网络服务质量和网络运营效率
性能管理包括性能检测、性能分析、以及性能管理控制功能。性能管理包括监视和调整两大功能。
安全管理的目标是采用信息安全措施保护网络中的系统、数据以及业务。
包括风险分析功能、安全服务功能、告警功能、日志功能和报告功能以及网络管理系统保护功能
网络管理模型的核心是一对互相通信的系统管理实体
即管理进程与一个远程系统相互作用来实现对远程资源的控制。一个担任管理者的角色，成为网络管理者，另一个担任代理者角色，成为网管代理管理者和代理之间的信息交换可以分为两种：从管理者到代理者的管理操作和从代理到管理中的事件通知
网络管理模式：集中式网络管理模式、分布式网络管理
集中式网络管理模式是所有的网关代理在管理站的监视和控制下协同工作而实现集成的网络管理
集中式网络管理模式在网络系统中设置专门的网络管理管理软件和管理功能主要集中在网络管理结点上，网络管理结点与被管结点一般是主从关系
目前使用的标准网络管理协议包括：简单网络管理协议SNMP（改编自SGMP—简单网关监控协议）---SNMPV1，公共管理信息服务/协议CMIS/CMIP(ISO设计的标准)，和局域网个人管理协议LMMP等。
SNMP是一个应用层协议，它使用传输层和网络层的服务向其对等层传输信息。
SNMPV1具有：简单性、可伸缩性、扩展性、健壮性
SNMPV3重点是安全、可管理体系结构、远程配置
SNMP由一系列协议组和规范组成
SNMP由管理者和代理者组成。从被还礼设备中收集数据的两种方法：轮询方法、基于中断的方法
管理信息库IBM，网络管理员必须不断轮询SNMP代理
两种方法结合为陷于轮询的方法
公共管理信息CMIP主要针对OSI模型的传输环境
CMIP是映射到应用层上\
ACP联系控制协议—管理联系的建立、释放、撤销
ROP远程操作协议---操作和事件报告
CMIP支持7种CMIS服务
PDU协议数据单元---实体之间按照规则交换
CMIP安全性好，并且采用报告机制，具有及时性特点
网络安全从本质上讲就是网络上的信息安全。凡是涉及到网络信息的保密性，完整性，可用性，真实性和可控性的相关技术和理论都是网络安全的研究领域，不可抵赖性、可控制性、可审查性
网络安全是指网络系统的硬件;软件及其系统中的数据受到保护,不会由于偶然或恶意的原因而遭到破坏;更改;泄露,系统连续;可靠;正常地运行,网络服务不中断.
网络安全的基本要素是实现信息的机密性、完整性、可用性和合法性。
国家计算机安全中心NCSC---可信任计算机标准评估准则TCSEC，也称橘皮书
网络安全等级划分A、B、C、D4类，A类安全等级最低、D类安全等级最低
1 D1级。D1级计算机系统标准规定对用户没有验证。例如DOS，WINDOS3.X及WINDOW 95（不在工作组方式中）。Apple的System7。X。
4 B1级是第一种需要大量访问控制支持的级别。安全级别存在保密，绝密级别。
5 B2要求计算机系统中的所有对象都要加上标签，而且给设备分配安全级别。
6 B3级要求用户工作站或终端通过可信任途径连接到网络系统。而且这一级采用硬件来保护安全系统的存储区。B3级系统的关键安全部件必须理解所有客体到主体的访问。
第一级自主保护级，不危害国家利益
第二级指导保护级，一般损害
第三级监督保护级，较大损害
第四级强制保护级，严重损害
第五级专控保护级，特别严重损害
网络安全性是保护网络程序、数据或设备
包括：保护信息资源、保护客户机和用户、保证私有性
网络安全：信息的存储安全和传输安全
存储安全—静态 传输安全----动态
1监听2假冒3篡改4否认5重放
国际电信联盟ITU-T推荐方案X.800，即OSI安全框架
包括三个部分：安全攻击、安全机制、安全服务
X.800将安全攻击分为两类：主动攻击和被动攻击
被动攻击的特点是对传输进行偷听或监视。其目的是获得正在传送的信息。被动攻击有：泄露信息内容和通信量分析等。
被动攻击重点是预防，不是检测，不易察觉
主动攻击涉及篡改数据流或伪造数据流，它包括伪装、重放、消息篡改和分布式（拒绝服务）等。
1伪装：某实体假装别的实体
重放涉及被动捕获数据单元以及后来的重新发送，以产生未经授权的效果。
2重放：将获得的消息再次发送，在非授权情况下传输
3消息篡改：意味着改变了合法消息的部分内容，或将消息延迟或重新排序，导致未授权的操作。
4拒绝服务（DoS）：禁止对通信工具的正常使用或管理通信设施。这种攻击拥有特定的目标。另一种拒绝服务的形式是整个网络的中断，这可以通过使网络失效而实现，或通过消息过载使网络性能降低。
5分布式拒绝服务（DDoS）
主动攻击易检测，难预防，防止主动攻击的做法是对攻击进行检测，并从它引起的中断或延迟中恢复过来。
从网络高层协议角度看，攻击方法可以概括为：服务攻击与非服务攻击。
服务攻击是针对某种特定网络服务的攻击。
非服务攻击不针对某项具体应用服务，而是基于网络层等低层协议进行的。
非服务攻击利用协议或操作系统实现协议时的漏洞来达到攻击的目的，是一种更有效的攻击手段。
安全机制—用来保护系统免受监听、组织安全攻击、恢复系统机制
X.800区分可逆和不可逆加密机制
不可逆加密包括Hash算法、消息认证码，用于数字签名和消息认证的应用
网络安全模型：1可信的第三方2门卫功能
程序引起的威胁：信息访问威胁、服务威胁
密码学包含两个分支：密码编码学和密码分析学。
原始的消息叫做明文。加密后的消息称为密文。这种变换叫做加密。加密的逆过程称为解密。对明文进行加密所采用的一组规则称为加密算法。对密文解密时采用的一组规则称为解密算法。
1 按将明文转化为密文的操作类型分为。所有的加密算法两个原理：代换与置换
代换法---Caesar密码、单表代换密码、Hill密码、多表代换密码、一次一密、playfair密码
置换密码---栅栏技术
2 按明文的处理方法可分为：分组密码和流密码。
3 按密钥的使用个数分为：对称密码体制（使用相同的密钥）和非对称密码体制。
如果发送方使用的加密密钥和接受方使用的解密密钥相同，或从其中一个密钥易于的出另一个密钥，这样的系统叫做对称的，单密钥或传统密码。如果发送放使用的加密密钥和接受方使用的解密密钥不相同，从其中一个密钥难以推出另一个密钥，这样的系统就叫做不对称的，双钥密码或公钥密码。
数据加密技术可以分为3类：对称型加密，不对称型加密和不可逆加密。
对称加密使用单个密钥对数据进行加密或解密。
不对称加密算法其特点是有两个密钥，只有两者搭配使用才能完成加密和解密的全过程。不对称加密的另一用法称为“数字签名”。
不可逆加密算法的特征是加密过程不需要密钥，并且经过加密的数据无法被解密，只有同样输入的输入数据经过同样的不可逆算法才能得到同样的加密数据。
攻击密码的体制：密码分析学、穷举攻击
唯密文的攻击难度最大，但最容易防范
加密算法起码能经受住已知明文攻击才行
对称密码：明文、加密算法、密钥、密文、解密算法
对称加密算法有: DES; TDEA (或称3DES);RC-5;高级加密标准 AES、Blowfish算法等。Blowfish算法被认为是当今最好最安全的分组密码算法。
数据加密算法EDS---国家标准与技术研究所NIST采用的FIPSPUB46，在穷举攻击下脆弱
64位分组长度和56位密钥长度
AES—分组长度为128位、密钥长度为128、192、256
Blowfish算法是对称分组密码。可变密钥长度、分组长度为64位。算法由密钥扩展和数据家秘密组成
数据加密由一个简单函数迭代16论
RC5参数可变的分组秘密算法，可变参数为：分组大小、密钥大小和加密轮数
使用3种运算：异或、加、循环
公钥密钥加密又叫做非对称加密。是建立在数学函数基础上的一种加密方法,不是基于置换和代换技术
公钥密码体制有两个密钥：公钥和私钥。公钥密码体制有基本的模型，一种是加密模型，一种是认证模型。
它的应用有：1加密解密2数字签名3密钥交换
法一1978年RSA体制被认为是现在理论上最为成熟完善的一种公钥密码体制，既能数据加密也用于数字签名
公钥（n,e） 私钥(n,d)
公式：公钥私钥数目m=密文c的e或d次方mod n
法二1984ELGamal算法—公钥密码体制和椭圆曲线加密体系，既能用于数据加密也用于数字签名
法三背包加密算法---MH算法，少有人用
密钥分发中心 FDC----是服务器
证书权威机构(CA)是用户团体可信任的第三方。用来验证一个公共密钥是否属于一个特殊实体。负责将公共密钥与特殊实体绑定，证明身份的真实性和发放证书。
国际电信联盟ITU和IETF制定了认证中心的标准
ITUX.509定义了认证的特殊语法
顺序号----CA分发证书的唯一标识
数字证书是一条数字签名的消息，它通常用与证明某个实体的公钥的有效性。数字证书是一个数字结构，具有一种公共的格式，它将某一个成员的识别符和一个公钥值绑定在一起。
认证技术是防止主动攻击的重要技术，它对于开放环境中的各种信息系统的安全有重要作用。认证是验证一个最终用户或设备的声明身份的过程。
有关认证使用的技术主要有：消息认证，身份认证和数字签名。
消息认证是意定的接收者能够检验收到的消息是否真实的方法。又称完整性校验。
消息认证的内容包括为：1 证实消息的信源和信宿。2 消息内容是或曾受到偶然或有意的篡改。3 消息的序号和时间性是否正确。
认证消息的完整性的两条基本途径：
1采用消息认证码MAC 2采用篡改检测码MDC
3认证消息的序号和时间---阻止消息的重放攻击
常用的方法有消息的流水作业号、随机数认法和时间戳
消息认证的模式：单向和双向
认证的函数：信息加密函数MEF、信息认证码MAC
散列函数HF---将任意长度的信息映射成固定长度
常用的散列函数有:.消息摘要5(MD5)算法.安全散列算法(SHA).
MD5的4部曲得到128位信息摘要：填充、附加、初始化累加器、进行主循环
SHA-1安全哈希算法，类似于MD4---160位信息摘要
消息认证用来保护通信双方免受任何第三方的攻击，但无法阻止通信双方的互相攻击
基于公钥密码体制的数字签名，包括普通数字签名和特殊数字签名。普通数字签名的算法有RSA、ELGamal、DES、DSA、椭圆曲线数字签名等、特殊包括代理签名、盲签名、群签名等
美国联邦政府对有限域上的离散函数制定了标准DSS
数字签名没有提供消息内容的机密性.
身份认证常用的方法：口令认证、持证认证、生物识别
授权是把访问权授予某一个用户，用户组或指定系统的过程。访问控制是限制系统中的信息只能流到网络中的授权个人或系统。
身份认证大致分为3类：1 个人知道的某种事物。2 个人持证3 个人特征。
1账户名口令认证机制是被广泛研究和使用的一种身份验证方法，也是最实用的认证系统所依赖的一种机制，常用于操作系统登录等
口令系统最严重的是外部泄漏和口令猜测、线路窃听、威胁验证者、重放
为了使口令更加安全，可以通过加密口令或修改加密方法来提供更强健的方法，这就是一次性口令方案，常见的有S/KEY和令牌口令认证方案。
2持证验证：持证为个人持有物，用于启动电子设备---与个人识别号PIN一起使用
3生物识别---虹膜和指纹识别为最可靠的生物识别
常用的身份认证协议：一次一密机制、X.509认证协议（其目录可以作为公钥证书的数据库）、Kerberos认证
它是美国麻省理工学院MIT为TCPIP网络设计的可信的第三方鉴别协议，用对称密钥体制（一般DES或其他）
秘密密钥是一个加密口令，会话密钥通信完毕即销毁
加密技术应用于网络安全通常有两种形式，既面向网络和面向应用程序服务。
面向网络服务的加密技术通常工作在网络层或传输层，使用经过加密的数据包传送，认证网络路由及其其他网络协议所需的信息，从而保证网络的连通性和可用性不受侵害。
面向网络应用程序服务的加密技术使用则是目前较为流行的加密技术的使用方法。有Kerberos服务的Telent、NFS、电邮的PEM、PGP
电子邮件的安全两种技术
1、 PGP---相当好的私密性—1991年电邮加密方案
5种服务组成：鉴别（数字签名—DSS\SHA、报文加密—CAST\IDEA）、机密性、压缩、电邮的兼容性与分段
4种类型密钥：一次性会话的常规密钥、公开密钥、私有密钥和基于短口令的短语的常规密钥
2、 S\MIME—基于RSA数据安全技术的Internet电邮格式标准的安全扩充。
主要功能：加密数据、签名数据、透明签名、签名并加密数据、（递归使用）
网络层安全---IP安全协议—IPSec
非常复杂：身份认证头AH协议和封装安全负载ESP协议。AH没有提供秘密性，ESP协议提供了数据完整性、身份认证、秘密性
安全协定SA—从源主机到目的主机的逻辑连接
SA定义的逻辑连接时一个单工连接，是单向的，惟一定义为一个三元组，包括：安全协议AH或ESP标示符、单工连接的源IP地址和称为安全参数索引SPI的32 位连接标识符，每个IPSec数据报够有SPI特殊字段。
在IP头的协议字段协议，值51用来表示数据报包含AH头，用50来表明数据报包含ESP头和ESP尾
秘密性DES-CBC加密来实现
ESP头由2位SPI字段和32位顺序号字段组成
Web面临的威胁
服务器安全威胁、浏览器安全威胁以及两者之间的网络通信量安全威胁
完整性、机密性、拒绝服务、鉴别
Web流量安全性方法：网络级、传输级、应用级
应用级的重要例子是安全的电子交易SET
WEB站点的访问控制的级别：1 IP地址限制。2 用户验证。3 WEB权限。4 硬盘分区权限。
两大安全性威胁是：入侵者、病毒
入侵者包括黑客和解密高手
1假冒者（外部使用者）2非法者（是合法账户，内部人员）3秘密用户（两者）
入侵检测技术：统计异常检测—阈值检测、基于轮廓
基于规则的检测---异常检测、渗透识别
结合起来的检测方法4种
审计记录、统计异常检测、基于规则的入侵检测（基于渗透鉴别采用方法----基于专家系统技术的方法）
分布式入侵检测—加利福尼亚大学建立的互联网安全检测器ISM，结构为
1主机代理模块2局域网监视代理模块3中心管理模块
通过过滤器过滤，只保留与安全性有关的记录，按照主机审计记录HAR格式重新组装
防火墙是设置在不同网络或网络安全域之间的一系列部件的组合。它可以通过检测，限制，更改跨越防火墙的数据流，尽可能的对外部屏蔽网络内部的消息，结构
和运行情况，以此来实现网络的安全保护。嵌入驻地网和Internet之间
防火墙的设计目标是：
1进出内部网的通信量必须通过防火墙.2只有那些在内部网安全策略中定义了的合法的通信量才能进出防火墙.3防火墙自身应该能够防止渗透.
防火墙用来控制访问和执行站点安全策略的4种技术：
1服务控制。确定在围墙外面和里面可以访问的因特网服务类型。
2方向控制。启动特定的服务请求并允许它通过防火墙，这些操作具有方向性。
3 用户控制根据请求访问的用户来确定是或提供服务。
4 行为控制。控制如何使用某种特定的服务。
防火墙可以用做IPSec平台。采用隧道模式，可以被用来实现虚拟专用网
防火墙总体上分为包过滤路由器，应用级网关和电路级网关。
1数据包过滤技术是在网络层对数据包进行选择。它通常安装路由器上。决定对IP数据包转发还是丢弃
如果没有规则匹配，就执行默认操作
默认丢弃策略：默认值=丢弃
默认转发策略：默认值=转发
包过滤器的规则“*”代表一个通配符，用来表示符合要求的每一种可能
包过滤器的优点：简单、对用户几乎是透明的，速度快
2应用级网关也称代理服务器，是在网络应用层上建立协议过滤和转发功能。它通常安装在专用工作站系统上。比较安全，但要处理多余开销
3电路级网关---不允许一个端到端的直接TCP连接，具体应用在一个系统管理员信任的内部用户环境里
第八章 网络应用技术
单播—基本特点是一对一传输数据，数据发送方发出的每个信息只能传送到一个接收方 A\B\C类IP地址
组播---不论组成员数量是多少，数据源之发送一次数据包，并且组播采用组播地址寻址，只像需要数据包的主机和网络放松数据包
IP组播的特点：1组播使用地址（每个组播都有D类的IP地址）---网络浏览
2动态的组成员---有线电视网
3底层硬件支持的组播----视频会议和视频点播
组播地址的范围224.0.0.0~239.255.255.255
局域网支配地址、Internet网络支配地址、无线自组网
224.0.0.0 224.0.1.0 224.0.2.0
组播协议为主机和路由器之间的协议，即组播组管理协议和路由器之间的协议
组播管理协议包括Internet组管理协议IGMP和Cisco专用的组管理协议CGMP
组播协议分域内组播路由和域间组播路由协议
域内组播路由协议---IGMP
域间组播路由协议在自治系统AS间转发
IGMP在终端盒直接连接终端所在子网的组播路由器MR之间运行，IGMP的工作原理是主机发出路由器—端口组管理协议RGMP的成员报告消息
组播路由协议是IP组播协议体系中最核心的功能
组播路由---源地址、组地址、入接口列表、出接口列表
域内组播协议两种类型---密集模式、稀疏模式
密集模式组播路由协议DMMRP “洪泛“技术
包括距离矢量组播路由协议DVMRP
开放最短路径优先的组播扩展MOSPF
协议独立组播—密集模式PIM-DM
稀疏模式组播协议SMMRP，
包括基于核心的树CBT和PIM-SM
域间组播协议包括多协议边界网关协议MBGP
组播源发现协议MSDP
P2P直接交换共享计算机资源和服务
P2P是peer to peer即端到端，即对等网
P2P网络的4个基本结构
集中目录式结构---Napster、Maze 第一代
分布式结构化---- pastry、tapestry、chord、CAN
分布式散列表DHT发现和路由算法
网络结点按照一定方式分配惟一结点标识Node ID
资源对象通过散列运算产生一个唯一地资源标识符Object ID，缺点维护机制复杂
分布式非结构化--- Gnutella、shareaza、limewire
松散的网络，支持复杂查询，对等点—结点的功能既是客户机又是服务器
Gnutella 与Napster的区别是G没有中心服务器，采用了安全随机图的洪泛式搜索和随即转发机制，TTL决定是否转发消息
混合式--- Skype，edonkey，bittorent、PPLive
结合了集中式和分布式拓扑结构
包含3个结点：用户结点、搜索结点、索引结点
P2P网络的应用：1分布式科学计算
SETI@home是世界最著名的P2P分布式科学计算系统
1999年美国加利福尼亚大学伯克利分校的
2文件共享3协同工作4分布式搜索引擎5流媒体直播
IM软件有OICQ、MSN、Yahoo Messenger等，以色列
1996年IMPP小组向IETF提交了RFC文件---RFC2778
音频视频聊天、应用共享、文件传输、共享、游戏邀请、远程助理、白板
即时通信两种模式：客户机\服务器模式（文本消息）、客户机\客户机模式（文件传送等数据业务）
1 P2P通信模式---客户与客户点到点的通信
2中转通信模式---携带请求的唯一标识
QQ通信的信息是加密的，每次登录时会向服务器获取一个会话密钥
QQ客户端聊天有两种方式：
1、 客户端直接建立TCP\UDP连接进行聊天交互
2、 采用通过服务器转发的方式实现即时信息传送
QQ文件传输过程：直接建立TCP\UDP连接
IM通过的协议有两个：基于SIP协议框架的SIMPLE协议集和基于JABBER协议框架的XMPP协议集
SIMPLE是对SIP扩展；XMPP是对XML语言的扩展
SIP成为会话初始化协议，是IETF1999年提出的在IP网络上实现的通信的应用层的控制协议
会话---用户之间的数据交换
SIP系统4种组成：用户代理、代理服务器、重定向服务器和注册服务器
用户代理：用户代理客户机UAC 用户代理服务器UAS
代理服务器是一个中间元素，既是客户机又是服务器，具有解析名字的能力
代理服务器分为：状态代理服务器、无状态代理服务器
重定向服务器—是一个规划SIP呼叫路径
SIP信息包括两种：从客户机-服务器的请求信息和从服务器到客户机的响应消息
SIP信息由起始行、消息头、一个标志消息头结束的空行CRLF、可选项的消息体---头是实体头
SIP消息的起始行---请求行（请求消息的起始行）、状态行（响应消息的起始行）
请求（状态）消息—请求行、消息头、空行、消息体
SIMPLE为服务增加一些逻辑实体，作用是
1呈现用户代理PUA 2呈现代理PA
3呈现服务器PS 4申请者
IM客户机直接或通过SIP代理服务器和SIP重定向服务器，发送实际的IM流
XMPP框架中有用户客户端、XMPP服务器和XMPP协议网关3种实体，形成服务器分布式网络
XMPP系统的特点：
1客户机\服务器通信模式2分布式网络
3简单的客户端 4 XML的数据模式
XMPP协议 1、寻址方案
XMPP实体地址称为JID---由域标识符，结点标识符、资源标识符组成
3、 XML流与XML节 3、3种类型的Stanza
IPTV互联网协议电视---利用宽带网络
特点：交互性、实时性
电视类服务---视频点播、直播电视、时移电视
通信类服务：基IP语音业务、即时通信服务、电视短信
增值业务---电视购物、互动广告、在线游戏
VOD的视频点播：节目制作中心、专业视频服务器、视频节目库、VOD管理服务器、客户端播放设备
客户端的3种VOD系统：就近式点播电视NVOD
真实点播电视TVOD、交互式点播电视IVOD
直播电视—类似无线电视、有线电视及卫星电视，是宽带服务提供的广播电视增值业务
系统组成：
1节目源2数据捕获和编码3媒体播放服务器4用户
RealSystem网上流式试音频解决方案
RealSystem IQ由服务器端流播放引擎、内容制作、客户的播放3个组成
客户端播放器RealPlayer分为Basic（免费版本）和Plus（收费）两种版本
RealServer使用两种通道与客户端通信：控制通道（使用TCP）、数据通道（使用UDP）
使用两个协议：RTSP和PNA
直播电视使用组播方式实现数字视频广播业务。而时移电视通过存储电视媒体文件，采用点播方式
IPTV的基本技术：视频数字化、传输IP化、播放流媒体化，一个端到端的IPTV系统包括5个部件：节目采集、存储与服务、节目传送、用户终端设备和相关软件
媒体内容分发MCDN技术是IPTV的保证
MCDN包括5各方面：
1内容发布2内容路由3内容交换
4性能管理5 IP承载网
数字版权管理DRM技术包括：
1数据加密 2版权保护 3 数字水印和签名技术
IPTV运营支撑管理系统
1媒体资产管理2客户服务与业务管理
3计费账务系统 4报表统计 5系统管理接口
6网络还礼系统NMS---核心窗口
DNS完成配置管理、性能管理、故障管理
VoIP俗称IP电话，基于IP网络语音的传输技术
VoIP技术由最初的PC-to-PC 发展为Phone-to-Phone
PC to Phone 作为主叫方的计算机必须上网
Phone-to-Phone有3种类型：
1、 双方电话配置类似猫的设备，注册登录Internet
2、 通过的称为“桥接器”的设备进行通话，可以把普通模拟电话的音频信号流转换成分组数据
3、 利用IP电话网关服务器进行通话—201卡
IP电话系统4部分：终端设备、网关、多控制点单MCU元和网守（注册和管理）、网管服务器、记账服务器等其它部件
IP电话终端—传统的语音电话、ISDN终端、多媒体PC
电话—通过PSTN接入IP电话系统，包括：
模拟固定电话、网关一边连到电路交换网PSTN，一边连到IP包交换网
数字固定电话、模拟移动电话、数字移动电话
网关的功能：1号码查询2建立通信连接3信号调制（脉冲信号调制PCM）4信号压缩和解压5路由地址
网守是一个是中央控制实体，在VoIP中起管理作用
Skype是一款internet的即时语音通信软件，支持VoIP技术和P2P技术---混合式网络拓扑结构
Skype的系统名称：
1、 客户端SC 2、超级结点SN 3、登录服务器LS
4、 HC，是SN和IP地址的端口对的列表
5、 好友列表BL 6、加密处理 7、编码方式
8、端口 9、NAT
其特点：1高清晰音质 2高度保密性（加密算法AES，密钥用2048位RSA算法，长度256b
3免费多方通话 4跨平台性能
搜素引擎：SE 信息查找的发动机
网页：标题 URL 摘要
全文搜素引擎：1搜索器2索引器3检索器4用户接口
网络爬行---搜索器建立关键字列表的过程
两种搜索消息的策略：从一个起始URL集合开始，顺着超链接，宽度优先，深度优先或启发方式循环找信息
二是将web站点按照域名、IP地址或国际域名划分
最基本的索引结构采用字符串的文件之间对应表形式
索引项分为客观和内容索引，索引器可采用集中式或分布式索引算法
网页索引器是在web服务器上运行的CHI（公共网关接口）程序
用户接口可分为简单接口（输入查询串的文本框）和复杂接口（查询进行限制）
目录导航式搜索引擎数据库存入每个网站的标题、描述、类目、超文本链接组成倒排文档
两种查询接口模式：树状目录、关键词检索
Google---美国斯坦福大学计算机系，主要技术：
1、 网页采集技术----分布式爬行系统
2、 页面等级技术PR
3、 超文本匹配分析技术
检索方式优点：简介明晰的界面、方便易用的工具条、使用的查询语法、精准的检索结果和独特的检索规则
Baidu---1999年美国硅谷---北大李彦宏和徐勇
主要技术：1智能性、可扩展搜索技术
2超链接分析技术3智能化的中文语言处理技术
4分布式结优化算法与容错设计N+1冗余设计
5智能化相关度算法技术6检索结果的
检索功能优点：1体贴的提示功能2快照功能3专业的MP3功能4便于用户交流的贴吧功能5百度常用的搜索功能
检索方式：同google，主要是关键词搜索
安全威胁分为故意的和偶然的两类。故意威胁又可以分为被动和主动两类。
1基本威胁2渗入威胁和植入威胁。渗入威胁：假冒，旁路控制，授权侵犯。植入威胁：特洛伊木马，陷门。
3潜在威胁
4病毒是能够通过修改其他程序而感染它们的一种程序，一段可执行代码。修改后的程序里面包含了病毒程序的一个副本，这样它们就能继续感染其他程序。
病毒色生命周期：1潜伏阶段2繁殖阶段3触发阶段
4执行阶段
病毒的种类：1寄生病毒2存储器病毒3引导区病毒
4隐形病毒 5多态病毒
多态病毒在进行感染时产生功能相似但字节排列方式截然不同的多个复制品。病毒的一个部分，一般称为变异引擎，创建随机加密密钥来加密病毒的剩余部分
几种常见的病毒：
1宏病毒---在word和其他办公软件中发现特征
2电子邮件病毒
3特洛伊木马—没有复制能力，特点是伪装成一个实用工具或一个游戏。
木马程序由两部分组成：服务器程序、控制器程序
4计算机蠕虫---自我复制和主动传播
蠕虫一般由两部分组成：主程序和引导程序
计算机病毒的防治方法：1检测2标识3清除
反病毒软件分为四代：
1、 简单的扫描程序—需要病毒的签名来识别病毒
2、 启发式的扫描程序—扫描的程序不依赖专门的签名
完整性检查
3、 行为陷阱----存储器驻留程序
4、 全方位的保护---不同的联合使用的反病毒技术组成
的软件包
类属解密GD：易检测、扫描快速
扫描器包括：
CPU模拟器、病毒签名扫描器、模拟控制模块