实验一 常见对称密码算法的加解试验Word文档下载推荐.docx
- 文档编号:16512971
- 上传时间:2022-11-24
- 格式:DOCX
- 页数:41
- 大小:1.04MB
实验一 常见对称密码算法的加解试验Word文档下载推荐.docx
《实验一 常见对称密码算法的加解试验Word文档下载推荐.docx》由会员分享,可在线阅读,更多相关《实验一 常见对称密码算法的加解试验Word文档下载推荐.docx(41页珍藏版)》请在冰豆网上搜索。
◆信息“完整性”的校验方法。
装有Win_MD5.exe的WindowsXP/2000/2003等(此软件不需安装)。
(1)完成文件的“完整性”校验实验;
◆轻微改动明文内容,仔细对比试验结果,体会密码算法的“雪崩”效应;
◆可对大块文件进行Hash运算,体会对称算法的“速度”优势;
◆Hash函数对文件完整性的验证是如此的有效,在众多UNIX和Linux中都有实现,感兴趣的同学可以用“md5sum”命令在UNIX和Linux中测试。
实验三口令猜解实验
◆掌握口令的猜解技巧;
◆通过试验总结“健壮的口令”应满足的条件。
◆何谓“健壮的口令”;
◆通过试验体会“字典攻击”、“穷举攻击”。
安装有AdvancedRARPasswordRecovery或LC5的WindowsXP/2000/2003等。
(1)完成“字典攻击”和“穷举攻击”实验;
(2)体会“社会工程攻击”在口令猜解中的应用。
◆仔细观察实现现象,思考体会“密钥空间”的概念;
◆在使用字典工具生成“字典文件”是,一定要注意字典文件的大小;
通过多次的试验,总结口令猜解的技巧,体会其中“社会工程攻击”的思想。
实验四公钥技术相关实验
◆通过数字签名、验证、加密和数字信封等试验,掌握公钥技术的应用。
◆数字签名、公钥加密和数字信封;
◆对信息安全中“机密性”、“完整性”和“不可否认性”的认识。
至少有2GB或以上的空余磁盘空间。
装有AdobeAcrobat7.0/8.0Professional的WindowsXP/2000/2003等。
(1)创建“自签名证书”,并秘密保存;
导出与私钥对应的个人公钥,公开给自己的合作者;
(2)私钥签名试验:
用自己的私钥签名一个PDF文档并公布;
思考:
怎么识别签名?
(3)公钥验证试验:
拿到含有签名信息的PDF文档,任何人都可以用签名者的公钥来验证其签名;
怎么才能拿到签名者的合法公钥?
可信中心还是其它?
(4)用合作伙伴的公钥和自己的私钥结合,加密一个PDF文档,看看都谁能打开它?
是怎么打开的?
(5)完成“数字信封”综合试验:
加密、签名、验证。
◆私钥一定要秘密、可靠地保存(要额外备份),并且保护私钥的口令不能太简单和泄露;
◆私钥和公钥成对使用,一个加密,另一个用来解密;
◆公钥应该有“信任”级别。
实验五WindowsIPsec试验
◆了解IPsec的体系结构;
◆掌握IPsec筛选器;
◆了解IPsec典型应用;
◆IPsec的部署与应用;
◆AH与ESP的保护方式
◆IPsec主机到主机的应用模式;
1024MB或以上;
至少有10GB或以上的空余磁盘空间。
VMwareWorkstation6.0、WindowsServer2003EnterpriseEdition、SnifferPro或NetworkMonitor、WindowsXPProfessional。
(3)实验拓扑
图3-1WindowsIPsec试验拓扑
(4)实验环境准备(可借助上一个试验环境):
CA:
安装WindowsServer2003EnterpriseEdition,配置IP信息,安装域控制器,并升级域功能;
Web:
安装WindowsServer2003Standard/EnterpriseEdition及InternetInformationServices(IIS)的计算机,并安装微软自带的网络监视器(NetworkMonitor);
●配置IP信息,安装IIS;
●创建用于测试的Web站点,(常规Web,最好与CA的DNS相结合)。
PC:
PC是一部运行WindowsXPProfessional的计算机,当作IPsec客户端;
4.实验要求及实验步骤
方案一:
使用基于“预共享密钥”认证的IPsec的传输模式(本试验侧重于IPsec筛选器的使用)
预备前提:
在PC中分别用ping命令和IE测试DNS的正常解析及Web的正常访问,并使用网络监视器来捕获和分析网络传输的明文数据;
IPsec客户端(我们一般习惯于客户机访问服务器的思维过程,因此先在客户端上配置更易上手),具体操作步骤如下:
(1)打开本机的“IP安全策略管理”和“IP安全监视器”,配置符合试验要求的安全策略。
具体如下:
【开始】→【运行】→【mmc】→【文件】→【添加/删除管理单元】→【添加】→【IP安全策略管理】→【添加】,在此处,我们选择“本地计算机”并完成操作。
添加【IP安全监视器】→【添加】→【关闭】→【确定】。
(2)在控制台根节点的“IP安全策略管理,在本地计算机”中,右击选择“创建IP安全策略”,在弹出的“IP安全策略向导”的帮助下,一步步创建所需的IP安全策略;
(3)在“IP安全策略向导”对话框中的“IP安全策略名称”页面的“名称”框中填入合适的(见名知意)IP安全策略名称,如“AllowPCPingWeb”,如下图3-2所示:
图3-2IP安全策略名称
(4)下一步,在【IP安全策略向导】对话框的“安全通讯请求”页面中取消“激活默认的响应规则”复选框;
(5)下一步,在“IP安全策略向导”对话框的“正在完成IP安全策略向导”页面中选中“编辑属性”复选框;
(6)完成IP安全策略向导的使用,在弹出的如图3-3所示的IP安全策略属性对话框中,在“常规选项卡”中取消“使用添加向导”复选框,并单击“添加”按钮,添加自定义的“IP安全规则”;
图3-3创建新IP安全规则
(7)在弹出的如图3-4所示的“新规则属性”对话框中的“IP筛选器列表”选项卡中,单击【添加】按钮;
图3-4创建新筛选器列表
(8)在弹出的如图3-5所示的“IP筛选器列表”对话框中的“名称”选项,填写合适的IP筛选器列表名称,(如:
AllowPCPingwebFilterList),取消“使用添加向导”复选框,并单击【添加】按钮;
图3-5添加IP筛选器
(9)在弹出的如图3-6所示的“筛选器属性”对话框中,在“寻址”选项卡,在“源地址”下拉列表框中选择“我的地址”,在“目标地址”下拉列表框中选择“一个特定的IP地址”,并在IP地址字段中填写正确的Web服务器地址,并确保“镜像”复选框有效;
图3-6筛选器属性地址对话框
(10)在如图3-7所示的“筛选器属性”对话框中,在“协议”选项卡中的“选择协议类型”下拉列表框中选择ping命令所需的“ICMP”协议;
图3-7筛选器属性协议对话框
(11)在如图3-7中的“筛选器属性”对话框中,在“描述”选项卡中的“描述”字段中填写合适的筛选器名称,如:
AllowPCPingWeb;
确定,完成筛选器的创建。
(12)如图3-8所示,在完成的IP筛选器列表中,选中我们刚刚创建的IP筛选器列表,单击“筛选器操作”选项卡;
图3-8创建筛选器操作
(13)在如图3-9所示的“新规则属性”对话框中的“筛选器操作”选项卡中,取消“使用添加向导”复选框,单击【添加】按钮;
图3-9添加新的筛选器操作
(14)在如图3-10所示的“新筛选器操作属性”对话框中,在“安全措施”选项卡,选中“协商安全”复选框,并单击【添加】按钮;
图3-10新筛选器操作属性
(15)在如图3-11弹出的“新增安全措施”对话框中,选中“仅保持完整性”复选框,并单击“确定”按钮;
图3-11新增安全措施
(16)在“新筛选器属性”对话框中,在“常规”选项卡的“名称”字段为筛选器操作填写合适的名称,如:
“AllowPCPingWebWithAH”,单击确定,完成筛选器操作的创建。
(17)在如图3-12所示的“新规则属性”对话框中,在“筛选器操作”选项卡中,选中我们刚刚创建的筛选器操作,点击“身份验证方法”选项卡,
图3-12创建身份验证方法
(18)如图3-13所示在“新规则属性”对话框中的“身份验证方法”选项卡上单击【添加】按钮;
图3-13添加新身份验证方法
(19)如图3-14在弹出的“新身份验证方法属性”对话框中,选中“使用此字符串(预共享密钥)”并在对话框中填写合适的“预共享密钥”;
图3-14预共享密钥身份验证
(20)单击“确定”,返回上一级选项卡,如图3-15所示,在“身份验证方法首选顺序”框内,上移“预共享的密钥”为首选身份验证方法,并应用;
图3-15身份验证方法优先级
(21)在“新规则属性”对话框中的“隧道设置”选项卡,默认选择“此规则不指定IPsec隧道”;
(22)在“新规则属性”对话框中的“连接类型”选项卡,默认选择“所有网络连接”;
(23)至此,PC端的自定义的IP安全策略设置完毕;
只需右键选中自定义的策略,单击“指派”即可。
◆Web:
2003web服务器端配置
(1)打开本机的“IP安全策略管理”和“IP安全监视器”,配置自定义的安全策略,具体方法同上;
(2)在本机,创建自定义的IP安全策略,与在PC计算机上的配置相对应,配置方法同上,配置内容概要如下:
AllowPCPingWebWithAH,步骤如下:
1)新建IP安全策略名称:
AllowPCPingweb;
2)新建IP安全规则:
3)新建IP安全筛选器列表:
AllowPCPingWebFilterList;
4)新建IP筛选器“AllowPCPingWeb”,其属性为;
源IP
目标IP
协议
镜像
我的
PC
ICMP
是
5)新建筛选器操作:
Ø
安全措施:
协商安全;
安全和加密选项:
仅完整性;
名称:
AllowPCPingWebWithAH;
6)身份验证方法:
预共享密钥(HeNanXinHua);
7)隧道设置:
无;
8)连接类型:
所有网络连接;
(3)至此,Web端的自定义的IP安全策略设置完毕,“指派”使其生效即可。
测试自定义的IP安全策略
(1)ping测试:
在第一次Ping过程中,会出现如下图所示的协商过程和通信过程。
若只有协商过程,则说明IP安全策略定义有不一致的地方,检查并重新配置。
注意:
若PC端打开了XPSP2自带的防火墙,Ping不能成功。
图3-16Ping测试AH的传输模式
(2)网络监视器:
如图3-17所示,用网络监视器捕获并察看数据传输过程。
可以清晰地看到:
●对等体在使用IPsec的AH传输模式保护通信传输之前,进行了“十次”协商;
●IPsec通过添加“ESP”报头保护了IP的上层协议——ICMP;
IPsec不是使用是AH协议来“仅保持完整性”的吗?
怎么会是ESP呢?
在图3-11的“仅保持完整性”选项的背后,隐藏的实质是用ESP协议的SHA-1算法来保持完整性的。
若要使用AH协议的完整性保护,可在图3-11的自定义选项内选配。
那么问题是:
AH协议的完整性保护和ESP协议的完整性保护,在安全上有什么区别呢?
●“仅保持完整性”模式没有加密IP的上层数据——明文传输;
图3-17网络监视器捕获的IPsec数据包解析
(3)IP安全监视器:
如图3-18所示,打开控制台根节点下的IP安全监视器,可以看到整个IP安全策略的配置信息和传输细节的统计。
因此,依据IP安全监视器进行IPsec通信的排错,是个不错的选择。
图3-18IP安全监视器的统计信息
方案一的进一步练习:
目的在于熟练掌握IP安全策略的使用
分别在PC和Web上自定义以下IP安全策略:
(1)AllowPCPingWebWithESP(在原来基础上,只需改“筛选器操作”、“安全措施”中的“仅保持完整性”为“加密并保持完整性”即可);
每次IPsec策略改变之后,在测试时最好用网络监视器来捕获通信过程,以从根本上验证IPsec策略并对比分析IPsec协议的细节。
此乃学习网络的最佳之路。
(2)AllowPCAccessWeb80WithAH(在原来基础上,只需改动“筛选器”的“协议”选项即可);
●PC端,IP筛选器“AllowAccessWeb80Filter”;
源端口
目标端口
Web
TCP
任意
80
●Web端IP筛选器:
IP安全策略定义完成后,要用IE和网络监视器来验证
(3)AllowPCAccessWeb80WithAH&
ESP(在2基础上,只需改动“筛选器操作”中的“安全措施”即可);
(4)AllowPCAccessWeb80andPingWebWithAH&
ESP(在原来基础上,只需添加“筛选器”的“协议”选项);
方案二:
使用基于“KerberosV5”认证的IPsec的传输模式
基于“预共享密钥”认证方式的IPsec安全性最差,但却拥有最广泛的兼容性;
当前在Window企业环境下,活动目录已成为一种基本的部署,在没有公钥基础设施的企业环境中,基于KerberosV5认证方案IPsec已成为最佳选择。
●CA:
在CA的“ActiveDirectory用户和计算机”中,创建用于试验客户端PC的域管理员(DomainAdmini)帐户和成员服务器Web的域管理员帐户;
●PC:
使本机加入域环境,用相应的域管理员帐户登录;
检查此用户是否有配置本机的“IP安全策略管理”的权限,若没有重启系统并检查域帐户权限;
●Web:
使本机加入域环境,用相应的域用户登录;
说明:
两个测试系统(Web和PC)必须是同一(或受信任)域的成员。
参照试验一的步骤,分别在PC和Web上创建相应的IP安全策略,例如:
保护PC对Web服务器TCP80端口的访问;
仅把身份验证方法设置为默认的Kerveros即可;
以前自定义的IP安全策略,最好全部删除;
●PC端:
新建IP安全策略名称:
AllowAccesswebPolicy;
新建IP安全规则:
AllowAccessWeb;
新建IP安全筛选器列表:
AllowAccessWebFilterList;
新建IP筛选器“AllowAccessWeb80Filter”:
新建筛选器操作:
✓安全措施:
✓安全和加密选项:
加密并保持完整性;
✓名称:
AllowAccessWebWithESP;
身份验证方法:
默认Kerberos;
隧道设置:
连接类型:
LAN;
●Web端:
AllowPCAccesswebPolicy;
AllowPCAccessWeb;
AllowPCAccessWebFilterList;
新建IP筛选器“AllowPCAccessWeb80”:
AllowPCAccessWebWithESP;
方案三:
使用基于“证书”的IPsec的传输模式
由于活动目录的协议复杂且需要开放很多的端口,因此IPsec并不适合保护域成员及其与控制器之间的通信安全;
在部署有公钥基础设施的企业环境中,基于“证书”或“智能卡”认证是最安全的认证方案,基于证书的IPsec应用也就是最安全传输保护方案。
(部分借助方案二的试验环境,只需额外添加证书的自动颁发即可)
启用IPsec证书模板:
在CA的“证书颁发机构”中右击“证书模板”选择“新建”“要颁发的证书模板”选择“IPsec”,单击确定,如图3-19所示;
图3-19启用IPsec证书模板
设置CA来自动注册IPsec证书,请执行下列步骤:
1)在域控制器上,编辑“默认组策略”;
2)在控制台树中,依序打开计算机配置、Windows设置、安全设置、公钥策略及自动证书请求设置;
3)右击“自动证书请求设置”,指向“新建”,再单击“自动证书请求”,在“欢迎使用自动证书请求设置向导”页面上,单击“下一步”,在“证书模板”对话框中,选中“IPsec”,如下图所示;
图3-20自动证书申请设置
4)单击下一步,在完成自动证书请求设置向导页面上,单击完成。
刷新组策略:
(可借助方案二的试验环境,只需额外添加证书的自动申请即可)
重启或刷新组策略;
通过组策略申请IPsec证书;
察看PC是否已获得IPsec证书,察看方法:
方法一:
控制台根节点→证书→计算机账户→本地计算机,确定;
打开“控制台根节点”下的→证书(本地计算机)→个人→证书下查看是否有计算机证书。
有,说明证书已通过组策略自动分发,如下图所示;
没有,可以在此处单击右键,选择“所有任务”→“申请新证书”,使用“证书申请向导”来完成证书申请;
若还申请不到,说明上面的配置出了问题,请重新配置。
图3-21本地计算机证书控制台
方法二:
在CA的证书颁发机构中,察看已颁发的证书中是否有VPN客户端的用户证书。
按照前面的的试验配置自定义IP安全策略,只把前面例子中的身份方法改为“使用由此证书颁发机构颁发的证书”即可,见下图,并选择自创建的证书颁发机构(CA),确定,并确保“身份验证方法首选顺序”为证书,为避免意外,可以将Kerberos删除。
图3-22设置身份验证方式——证书
察看Web服务器是否已获得IPsec证书,察看方法同上;
在Web服务器上配置与PC相对应的IPsec策略,具体方法同上。
Ping测试与网络监视器捕获,请同学们在试验时要把试验现象记录进试验手册。
◆本试验步骤复杂,可逐步配置,逐步试验;
◆在配置(定制)IPsec策略时,最好不要用“向导”,按照自己事先的规划,以使试验步骤不跳跃太大;
◆本实验的关键在于熟练掌握“IPsec筛选器、保护方式及身份验证方法”的灵活应用,(WindowsIPsec位于系统内核的TCP/IP协议栈之中,因此IPsec筛选器也就成了最好的防火墙——高效、安全);
◆可以使用“IPsec安全监视器”,来检查IPsec策略和验证IPsec通信;
◆本实验逐步尝试IPsec的多种身份认证方法,并对比起灵活性、易用性和安全性;
◆进一步的参考资源:
为隔离组创建IPsec策略。
(
实验六WindowsVPN试验
◆VPN的概念与应用;
◆IPsec的体系结构与应用;
◆企业CA的管理——证书模板的使用与根CA信任;
◆双因子认证——智能卡登陆
◆VPN的特征、隧道技术;
◆证书模板与根CA的自动信任;
◆目前三种通用的VPN解决方案:
PPTPVPN、L2TPVPN、EAP-TLSVPN。
VMwareWorkstation6.0、WindowsServer2003EnterpriseEdition、WindowsServer2003StandardEdition、SnifferPro或NetworkMonitor、WindowsXPProfessional。
图3-23VPN试验拓扑
(4)实验环境准备(部分可借助上一个试验环境):
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 实验一 常见对称密码算法的加解试验 实验 常见 对称 密码 算法 试验
![提示](https://static.bdocx.com/images/bang_tan.gif)