什么是安全/安全WAN/安全外殼

數據和通信安全在今天的網絡中是非常關鍵的。黑客、因特網入侵者、竊聽者、偽造者以及其他攻擊者處處可見。幾乎所有人都聽到過某種計算機和網絡攻擊。許多人都是受害者。

安全威脅和薄弱性
網絡安全威脅處處可見。內部用戶可能竊取數據或無意中向正在試圖滲入到您單位的人泄漏敏感密碼或其他資料。來自外部的攻擊者可能通過撥號因特網連接和外部服務器到服務器連接獲取訪問權。

網絡威脅呈現多樣化的特征。除傳統的病毒、垃圾郵件外，危害更大的間諜軟件、廣告軟件、網絡釣魚等紛紛加入到互聯網安全破壞者的行列，成為威脅計算機網絡安全的幫兇。尤其是間諜軟件，其危害甚至超越傳統病毒，己成為互聯網安全最大的威脅。

這里是指作為黑客的攻擊者。這在安全領域內非常常見。與黑客相反的是“良民”?！　?

攻擊是使用各種方法試圖控制某系統(計算機、網絡服務器、Web站點等)，以接管系統或只是關閉系統或阻止他人訪問它(拒絕服務攻擊)為目的。也可能對已經加密的加密系統信息，如密碼文件、安全數據文件等等發(fā)生攻擊。有兩種基本類型的攻擊:

?消極攻擊 消極攻擊主要是指攻擊者監(jiān)聽網絡上傳遞的信息流，從而獲取信息的內容（interception），或僅僅希望得到信息流的長度、傳輸頻率等數據，稱為流量分析（traffic analysis）。數據的合法用戶對這種活動一點也不會覺察到。它收集的信息以用于以后的攻擊中，或攻擊另一相關系統。被動攻擊包括嗅探、信息收集等攻擊方法。

?主動攻擊 主動攻擊是黑客通過未授權的或非法方法試圖獲取某系統訪問權的攻擊。主動攻擊包括拒絕服務攻擊、信息篡改、資源使用、欺騙等攻擊方法。

安全概念和機制
“安全”是一個描述保護信息不受未授權訪問的所有概念、方法和技術的廣義術語。對于信息安全有幾點要求:

?保密性 通常采用加密來隱藏數據以防止未授權查看和訪問。

?身份真實性 了解用戶正在與之通信的人或系統的能力。密碼就是一個示例。

?訪問控制 一旦巨某人或某系統的身份得到驗證，它們訪問數據和使用系統的能力就由訪問控制確定。

?數據完整性 提供信息系統或數據是真實的保證。

?可用性 確保信息可以安全的方式為用戶所用。

信任管理系統為用戶提供安全服務，并使應用程序從必須提供它們自己的機制以解釋證書、身份驗證和策略中解放出來。應用程序可以就如何處理信任的問題查詢信任管理系統。在“信任關系和信任管理”主題中討論KeyNote信任管理系統。

安全策略是一個單位的全面運作的關鍵部分。“未經特許，則予拒絕”這一經常引用的規(guī)則為定義各種安全策略提供了良好的基礎。雖然該原則通常用于防火墻，但它還是給整體安全提供了一個好方法。

物理安全管理
物理安全策略的目的是保護計算機系統、網絡服務器、打印機等硬件實體和通信鏈路免受自然災害、人為破壞和搭線攻擊；驗證用戶的身份和使用權限、防止用戶越權操作；確保計算機系統有一個良好的電磁兼容工作環(huán)境；建立完備的安全管理制度，防止非法進入計算機控制室和各種偷竊、破壞活動的發(fā)生。

雖然安全通常與某種形式的密碼技術相關聯，但是必須保護物理系統不受偷竊、損害和破壞。必須備份數據。此外，數據的可用性是非常重要的。即時在出現火災、水災和地震的情況下系統也必須保持聯機狀態(tài)。因此，向其他站點復制系統的某些方法常常是十分必要的。

密碼技術、密鑰和證書
密碼技術除了提供信息的加密解密外，還提供對信息來源的鑒別、保證信息的完整和不可否認等功能，而這三種功能都是通過數字簽名實現。有許多安全機制，其中大多數建立在某種密碼技術形式之上。這些機制允許通過公司網絡和因特網進行安全的數據交換。它們可以用于隱藏數據，確保信息的完整性和驗證用戶或系統。

密碼技術提供了保證數據安全的基礎。加密算法是基于用戶密鑰并可以使用同一密鑰或密鑰進行恢復的方式使數據混雜的數學例行程序。有兩類加密算法:對稱秘密密鑰算法和非對稱公共密鑰算法。

公共密鑰方案的優(yōu)點是它消除了密碼交換問題?？尚诺谌匠钟泄裁荑€并使他人可以證書的形式使用。認證機構將一個人的公共密鑰與他的驗證信息綁定在一起，這樣就創(chuàng)建了數字證書。證書本身的結構(布局和格式)由稱為X.509的國際標準定義。數字證書提供了一種在Internet上身份驗證的方式，是用來標識和證明通信雙方身份的數字信息文件，其功能與司機的駕駛照和日常生活中的身份證相似。在網上進行電子商務活動時，交易雙方需要使用數字證書來表明自己的身份，并使用數字證書來進行有關交易操作。證書還可以用于對信息進行數字簽名。簽名的信息提供信息是真實的、沒有被竄改和沒有差錯的證明。

公共密鑰密碼技術方案是在因特網上進行業(yè)務的關鍵部分。通過在證書中放置公共密鑰，對相互不認識的雙方建立安全可信的連接是可能的。如果雙方都相信由特定CA頒發(fā)的證書，它們就相信這些證書的內容。然后，公共密鑰可用于身份驗證并建立加密通信會話。PKI(公共密鑰基礎結構)是用戶創(chuàng)建、管理和發(fā)布證書的有組織的層次結構(潛在全球性的)。

需要AAA(身份驗證、授權和記帳)方案驗證用戶身份的真實性，即對用戶訪問安全系統的方式的控制和跟蹤。基本的身份驗證方案如在“CHAP(詢問握手身份驗證協議)”中描述的共享密鑰身份驗證方法。公共密鑰方案提供了非對稱(雙密鑰)身份驗證。對稱(秘密密鑰)身份驗證對某些系統(如Kerberos)也是可能的。

安全連接
有許多協議來保證系統之間連接的安全。有些協議還提供了身份驗證功能。例如，PPP(點對點協議)包括協商兩點之間加密方法的ECP(加密控制協議)。因特網上的安全連接可以用VPN技術實現。

IPSec協議是一個協議套件，為IP數據包中封裝的所有上層數據提供透明的安全保護，無需修改上層協議。它提供的安全服務有：為數據源提供身份驗證、無連接數據完整性檢查、數據內容的機密性保證、抗重播保護以及有限數據流機密性保證。這些服務均是可選的，由本地的安全策略選擇其中的一種或多種。

提供安全鏈路、安全事務處理或隧道/VPN(虛擬專用網絡)功能的其他協議包括“S-HTTP(安全超文本傳送協議)”、“SSH(安全外殼)”、“SSL(安全套接層)”、“PCT(專用通信技術)協議”、“TLS(傳輸層安全)”、“L2TP(第二層隧道協議)”、“S/WAN(安全WAN)”和“SET(安全電子交易)”。

安全WAN
S/WAN原來是RSA Security和主要防火墻和TCP/IP棧供應商的一個倡議。因此在防火墻中所采用的信息加密技術，即加密算法和安全協議均是一致的，生產的防火墻產品也是能實現無縫互聯和不失去加密功能的。同時，由于實現了安全控制策略的規(guī)范性和邏輯上的合理性，也避免了防火墻廠商推出的產品因出現安全策略上的漏洞而對整個內部保護網絡產生危害。

S/WAN的目標是幫助公司通過因特網在他們的公司站點之間或商業(yè)伙伴之間建立安全的防火墻到防火墻的連接?；旧?，S/WAN創(chuàng)建安全VPN(虛擬專用網絡)。站點之間傳輸的所有數據都被加密以避免線路竊聽器的竊聽。連接模仿因特網的專用租用線路。

S/WAN使用IETF的IPSec規(guī)范作為實現不同的防火墻和TCP/IP產品間互用性的基礎。S/WAN設備位于網絡的邊緣，并在此與因特網連接。通過因特網與另一個S/WAN設備建立一條加密的隧道。所有傳出的數據分組被加密，然后封裝在一個具有新標題的數據分組中。因為路由器不能讀取加密數據分組的標題，所以新標題用于路由通過網絡的加密數據分組。

S/WAS的一個叫做Rree/SWAN的開放源版本提供Linux環(huán)境下的VPN服務。此軟件允許基于Linux的系統提供安全網關服務和VPN連接。FreeS/WAN是由致力于因特網加密問題的組織——EFF(電子尖端領域基金會)的共同創(chuàng)始人構想出來的。FreeS/WAN使用168位三重DES對數據分組加密，現在被認為是非常安全的。它構件了自己的路由表（擴展路由表eroute），它的功能有點類似于SPD，在發(fā)包時首先要查找eroute，只有存在連接（connection）才能通訊。

安全外殼

SSH是一種“安全外殼”，意即它可提供加密的“虛擬”終端(Telnet)和文件傳送會話。它還支持遠程身份驗證登錄。它旨在替代rlogin、rsh和rcp等易受攻擊的UNIX命令。SSH提供允許客戶機和服務器協商安全連接的機制。SSH可以為x Window System用戶創(chuàng)建安全遠程X會話。

該協議最初由Tatu Yl?nen開發(fā)，他接著開辦了SSH Communications Security，現在是SSH產品的主要支持者。其他供應商，比如F-Secure和Van Dyke Corporation，也在各自的安全產品中實現了SSH。SSH可用在Microsoft Windows、UNIX平臺和其他平臺上。

SSH支持DES、 Triple-DES、IDEA、BlowFish、TwoFish和CAST等加密技術，有效防止了對密碼的竊聽，保護了數據的完整性和可靠性，保證了數據的安全傳輸。身份驗證和完整性由密碼、公鑰(DSA和RSA)提供，或借助Kerberos提供。特別是對于RSA認證的支持，對稱加密和非對稱加密的混合應用，密鑰的安全交換，最終實現了安全的會話過程。SSH支持智能卡和基于令牌的身份驗證。SSH還有一個額外的好處就是傳輸的數據是經過壓縮的，所以可以加快傳輸的速度。SSH有很多功能，它既可以代替Telnet，又可以為FTP、 Pop、甚至為PPP提供一個安全的"通道"。

它可以級聯多個SSH連接，因此經過身份驗證的用戶可以通過同一隧道與網絡上的多個主機建立安全連接。這樣，遠程用戶得以連接到公司網絡并訪問電子郵件、文件服務器和其他服務。

SSH有兩個版本：SSHl和SSH2。由于SSHl更為流行，在非Unix系統之外也擁有不同的客戶程序，一般需要使用SSHl，否則就會遇到與其他SSH的服務器系統和客戶軟件不兼容的問題。SSH2功能更為強大，然而其提供的額外功能一般不需要，SSHl提供的能力已經是綽綽有余的了。據SSH Communication Security稱，為了實現更大的靈活性、為有數千用戶的組織提供更好的可擴展性和更好的安全性，應該用SSH2替代SSHl。

IETF的secsh (安全外殼)工作組曾致力于SSH和SSH2，但在其Web站點上己看不到他們開發(fā)的草案，該小組也未提出任何RFC。