信息安全原理复习题Word格式.docx

信息安全原理复习题Word格式.docx

《信息安全原理复习题Word格式.docx》由会员分享，可在线阅读，更多相关《信息安全原理复习题Word格式.docx（12页珍藏版）》请在冰豆网上搜索。

远程系统的PPP帧首先发送给LAC，LAC将它作为L2TP协议报文的数据区封装并发送给LNS，LNS则对报文进行解封处理后发送给家乡网络中的主机。

某些情况下，主机可以不依赖LAC，而是独立运行L2TP，并于LNS建立隧道。

数据消息：

通过数据通道传输，不保证数据的可靠传输，承载PPP帧。

控制消息：

通过控制通道传输，保证控制消息的可靠传输，用于L2TP隧道和会话的协商及维护。

L2TP基于UDP。

L2TP包括两种消息，数据消息和控制消息，分别通过数据通道和控制通道传输，L2TP不保证数据消息的可靠传输，但保证控制消息的可靠传输。

L2TP不提供对PPP数据的机密性和完整性保护，若使用CHAP，则可体现端点身份认证的功能。

L2TP规定了以下确保控制消息的可靠投递的机制：

1每个L2TP报文都包含序列号，从而为监测报文丢弃和乱序提供了基础

2L2TP使用肯定确认防止报文丢弃，即接收方收到报文后发回确认。

发送发若在一段时间之内没有手动啊确认则重发

3L2TP使用滑动窗口技术提高通信效率并进行流量控制

4L2TP使用慢启动策略防止拥塞

PGP的安全业务

数字签名:

DSS/SHA或RSA/SHA

完整性：

RSA、MD5

消息加密:

CAST-128或IDEA或3DES+Diffie-Hellman或RSA

数据压缩:

ZIP

邮件兼容:

Radix64（将任意二进制输入，转换成可打印的字符输出的编码技术）

数据分段：

大邮件自动分段并在接收时自动恢复。

·

身份鉴别

保密性

⏹发生在签名后、加密前。

压缩

压缩发生在签名后，加密前

以下各题考虑如下图所示的原始应用环境，A是远程工作前端网络的接入网关，C是后台业务资源网的接入网关。

前述两个网内部IP分配均是独立的私网地址，A与C之间为第三方IP网络，其间可能存在NAT、或代理、或端口控制等环节。

4.上图所示网络环境中，请注意B所在网段有网关A和无线网关W两个出口。

需要从B-C建立端-gate的IPSEC通道、并屏蔽W带来的不确定性，如何建立B-C的ipsecSA安全联盟？

（1）请给出各种可能的sa组合；

（2）并从中挑选出符合要求的ipsecsa隧道配置方案，并给出理由；

（3）比较分析各种可能的组合各自存在的主要安全风险、以及对抗安全威胁能力的区别。

（25）

考虑如下图所示的原始应用环境，A是远程工作前端网络的接入网关，C是后台业务资源网的接入网关。

5.考虑基于PGP和pop3/SMTP基本邮件服务以附件形态从B到D传输大数据文件，基于PGP保证其间数据的机密性和完整性，

考虑把B端CPU序列号和操作系统及用户注册信息等本地软硬件环境参数的md5值作为端端识别参量，如何与大数据文件一起打包后（请具体画出封包形式）经pgp处理后传到D端以认证B设备？

画出从B端原始文件、到发送端处理、邮件发送、D端接收、接收端认证和数据还原处理等主要操作流程，以及发送端和接收端对应的端认证过程。

PGP的实际操作由五种服务组成：

鉴别、机密性、电子邮件的兼容性、压缩、分段和重装

PGP（PrettyGoodPrivacy）：

是一个可提供机密性和认证的软件。

通常用来加密和解密电子邮件。

Md5用作单向hash函数，通过使用RSA算法加密，用邮件发送者的秘密钥对md5消息摘要进行加密

（2）

Ks:

sessionkey

KRa:

用户A的私钥

KUa:

用户A的公钥

EP:

公钥加密

DP:

公钥解密

EC:

常规加密

DC:

常规解密

H:

散列函数

||:

连接

Z:

用ZIP算法数据压缩

R64:

用radix64转换到ASCII格式

PGP消息产生过程

PGP消息接收过程：

安全协议在TCP/IP协议栈的分布

应用层：

L2TP、SSH（基于TCP）、PGP、IKE

传输层：

SSL、Socks

IP层：

IPSec

L2TP：

不提供机密性（没有对数据的加密功能），

IPsec：

身份认证、机密性、完整性和防止重放攻击

IKE的功能包括SA协商、密钥生成和身份认证，它是一个应用层协议基于UDP。

身份认证（IKE，通信双方互相认证）

数据源发认证（AH、ESP）

完整性（AH、ESP）

防止重放攻击（AH、ESP）

机密性（ESP+传输模式、ESP+隧道模式）

对通信流提供有限的机密性保护（ESP+隧道模式）

SA提供的安全服务取决于所选的安全协议（AH或ESP）、SA模式（传输或隧道）、SA作用的两端点

SSL（TLS）：

为两个通讯个体之间提供机密性、完整性，服务器认证以及可选的客户端认证。

服务器身份认证：

典型流程

客户端身份认证：

客户端认证流程，可选

Finished消息（防止降级攻击）

机密性：

记录协议中定义

安全断连：

Closenotisfy消息

SSH：

机密性、完整性保护、身份认证（必选的服务器认证，可选的客户端认证）

传输层协议，必选的

用户认证协议，可选的

传输层协议定义

防止重放攻击：

SG_MSG_KEXINIT消息中包含的cookie

SSH传输协议（协商和数据处理，包含服务器身份认证）：

SSH通信总是由客户端发起。

当期望使用SSH时，客户端首先通过三次握手与服务器的22号端口建立TCP连接。

1版本协商

2密钥交换：

（1）算法协商

（2）D-H交换：

实现了密钥交换、服务器身份认证、握手消息完整性验证

防重放攻击：

SSH_MSG_KEXINIT消息中包含的cookie是一个随机数，在计算密钥和生成会话ID时它是输入之一。

每次安全协商时应选取不同的cookie值，所以如果两次协商所获取得会话ID相同，则有可能发生了重放攻击。

（3）计算密钥

③服务请求/响应

SSH传输层协议与用户认证协议的关系如何?

传输层协议只提供服务器认证功能，没有用户认证功能，如果需要认证用户身份，则客户需要利用传输层协议向服务器提出用户身份认证服务请求，若服务器接受请求，则双方开始执行SSH身份认证协议。

身份认证协议在传输层协议提供的安全通道上运行。

SSH连接协议

当客户端通过SSH传输层协议发出连接协议服务请求后，即可开始连接协议相关的流程。

该协议规定了利用SSH传输层协议已建立的安全通道进行交互式登录会话、远程执行命令、转发TCP/IP连接记忆X11连接的相关内容。

传输层协议构建的安全通道成为隧道，而所有的终端绘画和被转发的连接都被陈伟通道。

一条隧道可以包含多条通道，这意味着SSH安全协议可以同时为多个不同的应用提供安全服务。

代理安全Socks（防火墙安全会话转换协议）

使用端口1080，工作于应用层。

可转发所有高层应用，对操作系统无限制。

专门设计用于防火墙

在应用层和传输层之间垫了一层

Socks库和sockd守护程序

不支持ICMP转发

Socks本身未定义机密性、完整性保护方法，但由于所有通信量都要经过代理服务器转发，为统一制定安全策略并部署安全防护措施提供了便利。

Socks5支持多种客户端身份认证方案，如果某些认证方案能够支持机密性和完整性保护，这些功能在应用Socks后仍然能够得到保留。

Socks客户端命令：

CONNECT：

通告代理服务器与远程主机建立连接，调用函数：

Rconnect

BIND：

通告服务器接收来自某个远程主机的连接请求，调用函数：

Rbind，Rlisten和Raccept.

Socks5沿袭了Socks4的体系结构以及命令，并作了以下扩展

1.扩展了客户端身份认证功能，支持多种身份验证方法：

用户名/口令认证方法（用户名和口令以明文方式发送，如被截获面临身份被假冒的风险）、GSSAPI认证（GSSAPI为定义所使用的认证方法和密钥交换方法，其安全风险取决于所使用的认证方法和密钥交换方法的安全性）。

2.扩展了寻址方法：

除了IPv4地址外，还支持域名及IPv6地址（基于Socks的IPV4/IPv6网关）

3.增加了对UDP的支持

课后习题：

1.比较SSLv3与IPSec，请从功能的角度分析这两个协议套件所包含的安全协议之间的对应关系。

密码算法和密钥协商：

SSLv3的握手协议，IPSec的IKE协议

差错通知、状态通知：

SSLv3的警告协议，IPSec的IKE协议的通知交换模式

消息完整性：

SSLv3记录格式中的MAC，IPSec的AH和ESP报文中的认证数据。

加密：

SSLv3的记录协议，IPSec的ESP

身份认证：

SSLv3握手协议，IPSec的IKE

2.利用SSL也可以构建VPN，但IPSecVPN仍然是企业解决方案主流，为什么？

SSLVPN只能进行认证和加密，不能实施访问控制，建立隧道后，管理员对用户不能进行所有的控制，而集成防火墙的IPSecVPN则可以根据用户的身份和角色进行安全控制和审计。

SSLVPN局限了用户只能访问web服务器的应用，而IPSecVPN几乎能为所有应用提供访问。

SSLVPN只提供了单一的证书认证方式，企业需要购买或者部署一个小型证书系统，IPSec可以提供多种认证方式。

SSLVPN位于传输层，IPSecVPN位于网络层，SSLVPN的效率比IPSecVPN差。

要实现网络-网络的安全互联，只能考虑使用IPSecVPN。

3.从配置方法、管理简易性、可扩展性和安全性等方面对SSLVPN与SSHVPN进行比较。

效率：

SSH位于TCP/IP协议栈的应用层，SSL位于传输层，利用SSH构建VPN比SSL消耗更多带宽。

配置方法：

SSHVPN使用TCP/IP端口转发，SSLVPN使用分设端口。

管理简易性：

使用上，SSLVPN对用户完全透明，SSHVPN需要用户登录到用户账户上。

管理上，SSHVPN可配置成仅允许目标端口为22的通信量通过，配置和管理更加简单，而SSLVPN对不同应用的访问端口不同。

可扩展性：

SSH不支持UDP和ICMP报文，SSL不支持UDP报文但支持ICMP报文。

安全性：

SSHVPN和SSLVPN都提供了机密性、完整性和身份认证功能，他们支持的密码算法不同。

4.SSH用户协议支持基于口令的认证方法，且不对口令作加密处理。

它这样放心地传输口令的依据是什么？

SSH的身份认证协议在传输协议所建立的安全通道上进行。

身份认证协议的报文封装在传输协议的报文的数据区中，而传输协议的报文的数据区可以进过加密处理后发出去，所以身份认证协议的数据可以以明文形式发送而无需关心保密性。

5.