计算机网络安全体系课件

计算机网络安全体系计算机教研室计算机教研室提纲u安全体系结构 u安全模型 u安全评估标准提纲u安全体系结构 什么是安全体系结构 安全体系结构 五种安全服务九种安全机制 安全服务与安全机制的关系 安全服务在功能层上的配置 安全管理 u安全模型 u安全评估标准什么是安全体系结构u体系结构(Architecture)Architecture=Components+Connection+Constraints 体系结构部件关系约束 u网络安全体系结构 部件：安全服务、安全机制、功能层 关系：安全服务与安全机制、安全服务与功能层 约束：安全政策(Security Policy)Security policy is the set of criteria for provision of security services 安全服务、安全机制、安全技术安全服务、安全机制、安全技术安全服务安全服务安全服务OSI OSI 安全体系结构（安全体系结构（ISO 7498-2ISO 7498-2）u开放式系统互联安全体系结构主要内容：相关概念的定义：安全服务、安全机制 定义了五种安全服务（安全功能）定义了九种安全机制 安全服务和安全机制之间的关系 安全服务在功能层上的配置 安全管理 OSIOSI安全体系结构（安全体系结构（ISO 7498-2ISO 7498-2）五类安全服务（1）u认证（认证（Authentication Authentication），），鉴别鉴别 对等实体认证对等实体认证 数据源发认证数据源发认证u访问控制（访问控制（Access ControlAccess Control）u数据保密性（数据保密性（ConfidentialityConfidentiality）,机密性机密性 连接的机密性连接的机密性 无连接的机密性无连接的机密性 选择字段的机密性选择字段的机密性 通信业务流（通信业务流（traffic)traffic)机密性机密性 五类安全服务（2）u数据完整性（数据完整性（Integrity）连接的完整性连接的完整性 无连接的完整性无连接的完整性 选择字段的完整性选择字段的完整性 带恢复的完整性带恢复的完整性 u抗抵赖（抗抵赖（Non-Repudation）数据原发抗抵赖数据原发抗抵赖 数据交付抗抵赖数据交付抗抵赖 安全机制u加密机制（密码机制）加密机制（密码机制）可以支持数据保密性、完整性等多种安全服务可以支持数据保密性、完整性等多种安全服务 算法可以是可逆的，也可以是不可逆的算法可以是可逆的，也可以是不可逆的 u数字签名机制数字签名机制 签名：使用签名者独有的私有信息签名：使用签名者独有的私有信息 验证：使用公开的信息和规程；验证：使用公开的信息和规程；安全机制u访问控制机制访问控制机制 实体必须经过认证实体必须经过认证 访问控制可以基于以下手段：访问控制可以基于以下手段：集中的授权信息库集中的授权信息库;主体的能力表；主体的能力表；客体的访问客体的访问控制链表控制链表;主体和客体的安全标签或安全级别主体和客体的安全标签或安全级别;路路由、时间、位置等由、时间、位置等 可以用在源点、中间、或目的可以用在源点、中间、或目的 安全机制u数据完整性机制数据完整性机制 单个数据单元单个数据单元；数据单元序列数据单元序列：序列号：序列号，时间戳，时间戳 u认证交换机制（认证交换机制（Authentication Exchange）（1）用于认证交换的技术用于认证交换的技术 认证信息，如口令；认证信息，如口令；密码技术密码技术；被认证实体的；被认证实体的特征特征。（2）为防止重放攻击，常与以下技术结合使用）为防止重放攻击，常与以下技术结合使用 时间戳，时间戳，两次或三次握手两次或三次握手，数字签名，数字签名安全机制u通信业务流填充通信业务流填充 u路由控制路由控制 路由能动态地或预定地选取路由能动态地或预定地选取,以便只使用物理上安以便只使用物理上安全全 的子网、中继站或链路。的子网、中继站或链路。在检测到持续的操作攻击时在检测到持续的操作攻击时,端系统可希望指示网端系统可希望指示网络络 服务的提供者经不同的路由建立连接。服务的提供者经不同的路由建立连接。带有某些安全标记的数据可能被安全策略禁止通带有某些安全标记的数据可能被安全策略禁止通过某过某 些子网、中继或链路。连接的发起者些子网、中继或链路。连接的发起者(或无连接数或无连接数据据 单元的发送者单元的发送者)可以指定路由选择说明可以指定路由选择说明,由它请求回由它请求回避避 某些特定的子网络、链路或中继。某些特定的子网络、链路或中继。安全机制u公证机制公证机制 有关在两个或多个实体之间通信的数据的性质有关在两个或多个实体之间通信的数据的性质,如如它它 的完整性、原发、时间和目的地等能够借助公证机的完整性、原发、时间和目的地等能够借助公证机制制 而得到确保。而得到确保。这种保证是由第三方公证人提供的。公证人为通信这种保证是由第三方公证人提供的。公证人为通信实实 体所信任体所信任,并掌握必要信息以一种可证实方式提供并掌握必要信息以一种可证实方式提供所所 需的保证。需的保证。每个通信事例可使用数字签名、加密和完整性机制每个通信事例可使用数字签名、加密和完整性机制以以 适应公证人提供的那种服务。当这种公证机制被用适应公证人提供的那种服务。当这种公证机制被用到到 时时,数据便在参与通信的实体之间经由受保护的通数据便在参与通信的实体之间经由受保护的通信信 实例和公证方进行通信。实例和公证方进行通信。安全机制u普遍性安全机制普遍性安全机制 可信功能度可信功能度(trusted functionality)安全标签（安全标签（security Labels）事件检测事件检测(Event Detection)审计跟踪审计跟踪(security audit Trail)安全恢复安全恢复(security recovery)安全服务和安全机制的关系 安全服务与协议层中的位置 OSI的安全管理 uOSI安全管理与这样一些操作有关安全管理与这样一些操作有关,它们不它们不 是正常的通是正常的通信情况但却为支持与控制这些通信的安全所必需信情况但却为支持与控制这些通信的安全所必需 u安全的管理安全的管理 u管理的安全管理的安全 操作报告被管理对象OSI安全管理的分类u系统安全管理系统安全管理 系统安全管理涉及总的系统安全管理涉及总的OSI环境安全方面的管理。环境安全方面的管理。u安全服务管理安全服务管理 u安全机制管理安全机制管理 密钥管理；加密管理；数字签名管理；访问控制管理；数据密钥管理；加密管理；数字签名管理；访问控制管理；数据完整性管理；鉴别管理；通信业务填充管理；路由选择完整性管理；鉴别管理；通信业务填充管理；路由选择控制管理；公证管理控制管理；公证管理 TCP/IP安全机制 u认证、保密、完整性、访问控制提纲u安全体系结构安全体系结构 u安全模型安全模型 什么是安全模型什么是安全模型 安全模型的种类及举例安全模型的种类及举例：访问控制模型访问控制模型 BLP模型模型；完完整性模型（整性模型（Biba）u安全评估标准安全评估标准 什么是安全模型？u安全模型是一个系统安全政策的形式化描述（数学描述）安全模型是一个系统安全政策的形式化描述（数学描述）一个系统是安全的，当切仅当它所有的状态都满足安全政策一个系统是安全的，当切仅当它所有的状态都满足安全政策的规定。的规定。u安全模型的意义安全模型的意义 TCSEC的提出使安全模型引起了更多的关注的提出使安全模型引起了更多的关注 安全模型能够精确地表达系统对安全性的需求，增强对系统安全模型能够精确地表达系统对安全性的需求，增强对系统安全性的理解；安全性的理解；有助于系统实现有助于系统实现 有助于系统安全性的证明或验证有助于系统安全性的证明或验证常见的安全模型u访问控制模型（访问控制模型（Access Control Model）u完整性模型完整性模型(integrity model)u信息流模型信息流模型(Information flow)访问控制模型u控制主体对客体的访问控制主体对客体的访问 一次访问可以描述为一个三元组：一次访问可以描述为一个三元组：u访问控制政策是一组规则，决定一个特定访问控制政策是一组规则，决定一个特定 的主体是的主体是否有权限访问一个客体否有权限访问一个客体 F(s,a,o)True,False 访问控制矩阵 u按列看是客体的访问控制列表（accesscontrol list）u按行看是主体的访问能力表(capability list)BLP 模型uBell-LaPadula Model 用来描述美国国防部用来描述美国国防部 的多的多级安全政策级安全政策 用户和文件分成不同的安全级别，各自带有用户和文件分成不同的安全级别，各自带有 一一个安全标签个安全标签Unclassified,Confidential,Secret,Top Secret 每个用户只可以读同级或级别更低的文件每个用户只可以读同级或级别更低的文件 uBLP模型只描述了保密性，没有描述完整模型只描述了保密性，没有描述完整 性和可性和可用性的要求用性的要求 BLP 模型uBLP模型基于有限状态自动机的概念模型基于有限状态自动机的概念 BLP 模型u安全特性(Security property)Simple security property(no read up)reading of information by a subject at a lower sensitivity level from an object at highersensitivity level is not permitted.*(star)security property(no write down)writing of information by a subject a a higher level of sensitivity to an object at a lower level of sensitivity is not permitted BLP 模型BLP 模型uBLP 模型的信息流模型的信息流 BLP 模型BLP 模型完整性模型uBiba 模型 安全政策需求：完整性 规则：no read down,no write up 提纲u安全体系结构 u安全模型 u安全等级评估 安全等级评估u安全等级评估的意义安全等级评估的意义 计算机和网络的应用环境不同计算机和网络的应用环境不同 对安全性的要求也不同对安全性的要求也不同 安全等级评估可以为用户选择计算机系统提供指导、依安全等级评估可以为用户选择计算机系统提供指导、依据或参考据或参考 安全等级评估标准的发展历程安全等级评估u美国：Trusted Computer System Evaluation Criteria(TCSEC)Trusted Network Interpretation(TNI)Trusted NTDI u欧洲：ITSEC u加拿大：CTCPEC uISO:CC(Common Criteria for Information Technology Security Evaluation)V2.0,1999 u中国：GB17859-99 可信计算机系统评估准则（可信计算机系统评估准则（TCSECTCSEC）u可信计算基（可信计算基（Trusted Computing Base）一个实现安全政策的所有安全机制的集合，包括硬件、一个实现安全政策的所有安全机制的集合，包括硬件、软件和固件，它根据安全政策来处理主体（软件和固件，它根据安全政策来处理主体（Subject）对客体（对客体（Object）的访问的访问 TCSEC 相关概念u主体（Subject）：用户，进程;u客体（Object）：文件、内存等资源;u访问（Access Control）：读、写、执行、等;u标识（Identification）;u标签（Label）：主体或客体安全级别的一种属性，主体clearance,客体classification;u安全政策，主要指访问控制政策.TCSEC 相关概念u自主型访问控制（Discretionary Access Control）客体的所有者可以将访问权限自主的分配个其他主体 灵活;u强制型访问控制（Mandatory AccessControl）由安全管理员决定主体和客体的属性 由操作系统规则根据属性决定访问控制权限。TCSEC 四类、七个级别uD：最小保护类，D级 uC：自主保护类 安全措施：自主访问控制，审计跟踪 C1：自主安全保护 u用户与数据隔离 C2：可控的安全保护 唯一标识 审计记录 可追查责任 TCSEC 四类、七个级别uB：强制安全保护类 要求实行强制型访问控制政策 B1：标记安全保护 B2：结构安全保护 B3：安全区域级保护 uA：验证安全保护类 要求用形式化的方法证明系统的安全型 A1：验证设计级保护B3+设计安全性证明 A2：验证实现级保护,无法提出具体要求我国的等级评测标准（我国的等级评测标准（GB17859-99GB17859-99）u第一级用户自主保护级 身份认证，自主型访问控制u第二级系统审计保护级 认证、自主型访问控制、审计 u第三级安全标记保护级 强制型访问控制 u第四级结构化保护级 形式化的安全策略模型，考虑隐蔽信道 u第五级访问验证级保护 访问监控器抗篡改、可分析测试 自动终止安全事件 系统可恢复 CC的范围和目标用户u范围 评估对象（TOE）：操作系统、计算机网络、分布式应用系统，包括保密性、完整性和可用性；逻辑上的安全控制机制，不包括行政管理、物理安全、密码强度等。u用户 消费者：可以用评估结果决定一个已评估的产品和系统是否满足要求；开发者：为评测产品的安全需求提供支持 评估者：提供评估准则 其他：安全的规划和设计CC的评估类型u保护轮廓（PP）一组独立于实现的安全需求，描述用户对一类评估对象的技术特殊需要。PP的评估目的是证明PP是完整的一致的、技术合理的 u安全目标（ST）一组安全需求和说明，用于评估TOE的基础，包括功能的和保障的尺度。ST是开发者、评估者、消费者关于TOE安全特性和评估范围的共同的约定。对ST的评估有双重目的：一是ST是完全的、一致的、技术合理的，二是当ST宣称满足某一PP时，证明ST满足PP的要求 uTOE 评估 对于已经评估过的ST，TOE的评估目的是证明TOE满足ST的要求 CC标准的内容u第一部分：简介和一般模型 定义了IT安全评估的通用概念和原理，并提出了评估的通用模型 提出了若干概念，可用于描述安全的目的，安全要求，书写安全规范。u第二部分：安全功能需求 功能组件，表示TOE功能要求的标准方法。u第三部分：安全保证要求 保证级别（EAL）TOE的评估过程小结uISO 安全体系结构三维模型 u五种安全服务 u九种安全机制 u理解安全模型的概念和作用 uBLP模型的 uTCSEC u我国安全等级评测 u通用准则中的基本概念：PP,ST,TOE 参考文献uISO 7498-2:http:/ uTCSEC,GB17859-99:信息系统安全戴宗坤等著，金城出版社u通用准则：Information Technology Security techniques Evaluation criteria for IT Security(ISO/IEC 15408-1:1999)http:/