第六章 网络安全协议1.ppt

第六章第六章网络安全协议网络安全协议??因特网与因特网与 TCP/IP TCP/IP 安全安全?? SSL SSL 协议协议?? SET SET 协议协议?? IPSec IPSec 协议协议因特网与因特网与 TCP/IP TCP/IP 安全安全- - 1. 1. TCP/IP TCP/IP 协议栈协议栈? TCP/IP 是一组通信协议的缩写? ISO/OSI 模型及其与 TCP/IP 的关系因特网与因特网与 TCP/IP TCP/IP 安全安全- - 2. 2. 互联网地址互联网地址?互联网上每个接口必须有一个唯一的互联网地址( IP地址),长 32 bit ,层次结构?32 bit 写成 4个十进制数,点分十进制表示法因特网与因特网与 TCP/IP TCP/IP 安全安全- - 3. 3. 协议封装协议封装?当应用程序用 TCP/IP 传送数据时,数据送入协议栈, 通过各层,直到被当作一串比特流送入网络。因特网与因特网与 TCP/IP TCP/IP 安全安全- - 4. 4. IP IP协议协议?1 IP协议的作用?2 IP数据包中含有源地址和目的地址?3 不可靠协议,没有做任何事情来确认数据包是否按顺序或是未被破坏–而高层在接受服务时通常假设源地址是有效的– IP地址成为认证的基础?4 IP协议存在的安全问题不少因特网与因特网与 TCP/IP TCP/IP 安全安全- - 4. 4. IP IP协议协议?? ping of death ping of death 攻击- 攻击- Ping Ping 的工作原理的工作原理–当网络出现问题时,最常用的测试工具就是“ Ping ”命令–假定主机 A的 IP地址是 ,主机 B的 ,都在同一子网内,则当你在主机 A上运行“ Ping ”后,都发生了些什么呢? ?? ping of death ping of death 攻击攻击- - Ping Ping 的工作原理的工作原理–首先, Ping 命令会构建一个固定格式的 ICMP 请求数据包–然后由 ICMP 协议将这个数据包连同地址“ ”一起交给 IP层协议, IP层协议将以地址“ ”作为目的地址,本机 IP地址作为源地址,加上一些其他的控制信息,构建一个 IP数据包–并在一个映射表中查找出 IP地址 所对应的物理地址一并交给数据链路层。–后者构建一个数据帧,目的地址是 IP层传过来的物理地址,源地址则是本机的物理地址,还要附加上一些控制信息,依据以太网的介质访问规则,将它们传送出去。?? ping of death ping of death 攻击攻击- - Ping Ping 的工作原理的工作原理–主机 B收到这个数据帧后,先检查它的目的地址,并和本机的物理地址对比,如符合,则接收;否则丢弃。–接收后检查该数据帧,将 IP数据包从帧中提取出来,交给本机的 IP层协议。–同样, IP层检查后,将有用的信息提取后交给 ICMP 协议,后者处理后,马上构建一个 ICMP 应答包,发送给主机 A,其过程和主机 A发送 ICMP 请求包到主机B一模一样。 从 Ping 的工作过程,我们可以知道,主机 A收到了主机 B的一个应答包,说明两台主机之间的去、回通路均正常。也就是说,无论从主机 A到主机 B,还是从主机 B到主机 A,都是正常的。?? ping of death ping of death 攻击攻击- -攻击的方式攻击的方式–由于单个包的长度超过了 IP协议规范所规定的包的长度–以太网帧长度有限, IP必须被分片传输–接受方必须接收所有分片,在进行重组(包的重组代码)– IP协议中规定了 IP的最大尺寸,而大多数包的处理程序又假设超过这个最大尺寸这种情况不存在–包的重组代码所分配的内存区域也不超过这个区域。一旦超大包出现,包中额外数据会被写入其他正常内存区域,使系统进入非稳定状态(缓冲区溢出) – ping of death 攻击向被攻击主机发送大量的碎片包, 使这些碎片组装起来后构成一个超出最大限制的 ping 请求包从而造成被攻击主机的缓冲区溢出?? ping of death ping of death 攻击攻击- -解决办法解决办法–可以在防火墙上过滤掉 ICMP 报文,或者在服务器上禁止 Ping ,并且只在必要时才打开 ping 服务。–对操作系统进行补丁,内核将不再对超长包进行重组