当前位置：文档之家 › 面向网络应用层安全的分析与设计

面向网络应用层安全的分析与设计

  • 格式：doc
  • 大小：28.00 KB
  • 文档页数：9

龙源期刊网 http://www.qikan.com.cn 面向网络应用层安全的分析与设计 作者：谷铮 来源：《电子技术与软件工程》2016年第22期

摘 要 网络已经普及，在给整个社会带来巨大变革的同时，网络安全形势日益复杂和严峻，通过对网络的攻击能够获取到有价值的信息或者伪造信息进而实施欺骗能够造成重大信息泄露和损失，并且通过网络攻击造成网络瘫痪，这使得我们不禁去思考怎样才能提高网络安全性，避免造成重大损失。

【关键词】网络应用层 安全 HTTPS攻击 随着越来越多的人开始使用网络，网络的安全可靠就变得尤为重要，随着网络基础协议的逐渐完善，网络攻击向应用层发展的趋势越来越明显，诸如应用层的DDOS攻击、HTTPS攻击以及DNS劫持发生的次数越来越多，特别是HTTPS由于已经被电子商务、互联网金融、政务系统等广泛使用，如果遭受攻击造成的损失和影响非常大，面对这些网络应用层安全事件，应该仔细分析目前的形势，探究发生这些事件的缘由，据此提出自己的建议。

1 应用层安全分析 网络OSI模型分七层，通过示意图我们可以看到应用层位于最顶端，目前仍然活跃并被广泛使用的应用层协议主要有：HTTP、HTTPS、SMTP、POP3、DNS、DHCP、NTP等，常见攻击主要利用http/https协议以及DNS协议进行。下面将就目前逐渐被广泛应用的https进行一些分析与研究。

HTTPS原理： 1.1 内容加密 加密算法一般分为两种，对称加密和非对称加密。对称加密就是指加密和解密使用的是相同的密钥。而非对称加密是指加密和解密使用了不同的密钥。如图1、图2所示。

对称加密的加密强度是挺高的，但是问题在于无法安全保存生成的密钥。 非对称加密则能够很好地解决这个问题。浏览器和服务器每次新建会话时都使用非对称密钥交换算法生成对称密钥，使用这些对称密钥完成应用数据的加解密和验证，会话在内存中生成密钥，并且每个对话的密钥也是不相同的，这在很大程度上避免了被窃取的问题，但是非对龙源期刊网 http://www.qikan.com.cn 称加密在提高安全性的同时也会对https连接速度产生影响，下面将会探究一下非对称加密算法，以便为下一步分析安全风险做准备

1.1.1 非对称密钥交换 非对称加密出现主要是为了解决对称密钥保存的安全性不足问题，密钥交换算法本身非常复杂，密钥交换过程涉及到随机数生成，模指数运算，空白补齐，加密，签名等操作。常见的密钥交换算法有RSA，ECDHE，DH，DHE等算法。它们的特性如下：

RSA：算法实现简单，诞生于1977年，历史悠久，经过了长时间的破解测试，安全性高。缺点就是需要比较大的素数（目前常用的是2048位）来保证安全强度，很消耗CPU运算资源。RSA是目前唯一一个既能用于密钥交换又能用于证书签名的算法。

DH：diffie-hellman密钥交换算法，诞生时间比较早（1977年），但是1999年才公开。缺点是比较消耗CPU性能。

ECDHE：使用椭圆曲线（ECC）的DH算法，优点是能用较小的素数（256位）实现RSA相同的安全等级。缺点是算法实现复杂，用于密钥交换的历史不长，没有经过长时间的安全攻击测试。

ECDH：不支持PFS，安全性低，同时无法实现false start。 建议优先使用RSA加密，这也是目前最普及的非对称加密算法，应用十分广泛 非对称密钥交换算法是整个HTTPS得以安全的基石，充分理解非对称密钥交换算法是理解HTTPS协议和功能的非常关键的一步，下面重点探究一下RSA在密钥交换过程中的应用。

1.1.1.1 RSA密钥协商 （1）RSA算法介绍。RSA算法的安全性是建立在乘法不可逆或者大数因子很难分解的基础上。RSA的推导和实现涉及到了欧拉函数和费马定理及模反元素的概念。从目前来看，RSA也是HTTPS体系中最重要的算法，没有之一。RSA的计算步骤如下：

1.随机挑选两个质数p， q，假设p = 13， q = 19。 n = p * q = 13 * 19 = 247。 2.∅（n）表示与整数n互质数的个数。如果n 等于两个质数的积，则∅（n）=（p-1）*（q-1） 挑选一个数e，满足1< e

3.计算e关于n的模反元素， ed≡1 mod ∅（n） ，由e = 17，∅（n）=216 可得 d = 89 龙源期刊网 http://www.qikan.com.cn 实际应用中，（n，e）组成了公钥对，（n，d）组成了私钥对，其中n和d都是一个接近2^2048的大数。即使现在性能很强的CPU，想要计算〖m ≡ c〗^d mod （n），也需要消耗比较大的计算资源和时间。公钥对（n， e）一般都注册到了证书里，任何人都能直接查看，比如百度证书的公钥对如图3，其中最末6个数字（010001）换算成10进制就是65537，也就是公钥对中的e。e取值比较小的好处有两个：

（1）由c= m^e mod （n）可知，e较小，客户端CPU计算消耗的资源较少。 （2）加大server端的破解难度。e比较小，私钥对中的d必然会非常大。所以d的取值空间也就非常大，增加了破解难度。那为什么（n，e）能做为公钥公开，甚至大家都能直接从证书中查看到，这样安全吗？分析如下：由于ed≡1 mod ∅（n），知道了e和n，想要求出私钥d，就必须知道∅（n）。而∅（n）=（p-1）*（q-1），必须计算出p和q才能确定私钥d。但是当n大到一定程度时（比如接近2^2048），即使现在最快的CPU也无法进行这个因式分解，即无法知道n是由哪个数p和q乘出来的。所以就算知道了公钥，整个加解密过程还是非常安全的。到此就将RSA算法的原理介绍了一下，图4 是以百度为例，其密钥就是RSA算法生成。

（2）握手过程中的RSA密钥协商。介绍完了RSA的原理，那最终会话所需要的对称密钥是如何生成的呢？跟RSA有什么关系？以TLS1.2为例简单描述一下，省略跟密钥交换无关的握手消息。过程如下：

（1）浏览器发送client_hello，包含一个随机数random1。 （2）服务端回复server_hello，包含一个随机数random2，同时回复certificate，携带了证书公钥P。

（3）浏览器接收到random2之后就能够生成premaster_secrect以及master_secrect。其中premaster_secret长度为48个字节，前2个字节是协议版本号，剩下的46个字节填充一个随机数。结构如下：

Struct { byte Version[2]； bute random[46]； } master secrect的生成算法简述如下： 龙源期刊网 http://www.qikan.com.cn Master_key = PRF（premaster_secret， “master secrect”， 随机数1+随机数2） 其中PRF是一个随机函数，定义如下： PRF（secret， label， seed） = P_MD5（S1， label + seed） XOR P_SHA-1（S2， label + seed）

从上式可以看出，把premaster_key赋值给secret，”master key”赋值给label，浏览器和服务器端的两个随机数做种子就能确定地求出一个48位长的随机数。而master secrect包含了六部分内容，分别是用于校验内容一致性的密钥，用于对称内容加解密的密钥，以及初始化向量（用于CBC模式），客户端和服务端各一份。至此，浏览器侧的密钥已经完成协商。

浏览器使用证书公钥P将premaster_secrect加密后发送给服务器。 服务端使用私钥解密得到premaster_secrect。又由于服务端之前就收到了随机数1，所以服务端根据相同的生成算法，在相同的输入参数下，求出了相同的master secrect。

RSA密钥协商握手过程图示如图5：可以看出，密钥协商过程需要2个RTT，这也是HTTPS慢的一个重要原因。而RSA发挥的关键作用就是对premaster_secrect进行了加密和解密。中间者不可能破解RSA算法，也就不可能知道premaster_secrect，从而保证了密钥协商过程的安全性。

通过上面的探究，https所采用的加密算法安全性比较高，但是现在存在一个问题那么使用了https就能确保安全传输了吗？是不是可以高枕无忧了呢？

2 安全验证与设计 理想上是安全的，现实却不是。 目前根据已经爆出的https安全事件发生的缘由可以分为两大类： （1）漏洞 2014年爆发heartbleed “心血”漏洞，就是因为openssl在实现TLS的心跳扩展时没有对输入进行适当验证使得https加密出现重大安全事件，其余的还有版本迭代出现的漏洞

（2）算法被攻破 基于摩尔定律，计算能力得到大幅调高，之前很多被认为安全的算法，也已经被攻破，譬如SHA-1算法目前已经能够在10内破解

下面将会以之前出现的漏洞，用https协议降级的方法来验证https所存在的漏洞 龙源期刊网 http://www.qikan.com.cn 我们之前提到SSL/TLS协议通过握手来确定通信信息，其中握手双方要统一加密协议版本。

在握手过程中这样确认加密协议版本： （1）由客户端（如浏览器）发送第一个数据包 ClientHello，这个数据包中保存着客户端支持的加密协议版本。

（2）服务器收到这个ClientHello数据包，查看里面客户端支持的加密协议版本，然后匹配服务器自己支持的加密协议版本，从而确认双方应该用的加密协议版本。

（3）服务器发送ServerHello数据包给客户端，告诉客户端要使用什么加密协议版本。 在上述过程中，如果客户端发送给服务器的ClientHello数据包中说自己仅支持某个有漏洞的旧版本加密协议（比如仅支持SSLv3.0），服务器有两种可能：

（1）服务器支持很多版本，其中包括有漏洞的旧版本和新版本（包括了SSLv3.0协议），那么服务器会认可使用有漏洞的旧版本协议，从而告诉客户端使用有漏洞的旧版本（可以使用SSLv3.0）。

（2）服务器不支持有漏洞的旧版本，拒绝客户端的这次请求，握手失败。 对于攻击者，作为中间人只能监听到加密过的数据，如果这些数据通过没有漏洞的加密版本加密，攻击者并不能做什么。

但是，如果服务器提供有漏洞的旧版本加密协议的支持，而同时攻击者又能作为中间人控制被攻击者的浏览器发起漏洞版本的HTTPS请求，那虽然攻击者监听到的也是加密过的数据，但因为加密协议有漏洞，可以解密这些数据，所以数据就和明文传输没有什么差别了。

合集下载

计算机网络可靠性分析与设计(1)

计算机网络可靠性分析与设计(1)

计算机网络可靠性分析与设计作者：杨福建来源：《数字化用户》2013年第28期【摘要】随着社会水平的进步，计算机网络对于我们来说已并不陌生，无论是生活还是生产，计算机网络都因其便利性、内容丰富性而带给我们了更多的效益。

如何保证计算机网络的安全可靠，避免遭受外来因素的破坏和影响，已关乎着计算机网络的进一步发展。

在本文中，笔者对有关影响计算机网络可靠性的因素进行了具体分析，并为如何提高其可靠安全性提出了相关的设计方法，希望可以为计算机网络可靠运行提供一定的参考。

【关键词】计算机网络可靠性分析因素设计策略改革开放以来，我国计算机网络技术的发展得到了巨大突破，计算机网络已然成为我们生产生活各个领域中必不可少的一项重要技术。

随着计算机网络得到更多的应用，其安全可靠性也成为人们关注且探讨的重点。

计算机网络可靠性的好坏有效反应了计算机网络的运行能力的强弱，对于我们规划和设计计算机网络具有借鉴意义。

研究计算机网络的可靠性，找出其影响因素并给出相关的设计策略，是我们当下为提高计算机网络技术可靠性所要做的一必要环节。

一、对计算机网络可靠性概述所谓计算机网络，是随着通讯技术的发展以及计算机技术逐渐得到应用的过程中，在一定时期所出现的产物。

关于计算机网络的可靠性，便是指计算机网络的一种运行性能或者能力。

具体指，湿度、温度、辐射、负载保持一定，同时对计算机网络的操作和维修工作也保持一致，在实际所给出的运行环境和时间内计算机所表现出来的保证网络通信顺畅的能力。

通过计算机网络可靠性的定义我们可以总结出，预先给定的环境、时间和计算机网络所能完成要求业务的能力影响着计算机网络的可靠性。

接下来，本文将对计算机网络可靠性的影响因素进行分析并提出相关建议。

二、对于计算机网络可靠性影响因素的分析（一）用户设备的能力直接体现着计算机网络的可靠性。

一般地，直接面向用户的设备所表现出来性能的优劣是最为直观且最能体现可靠性的设备。

计算机网络中的用户设备便是这样的，作为一项终端设备，它的使用能力直接体现着计算机网络的可靠性，其交互能力较强也就可以代表着计算机网络更加安全可靠。

关于网络安全的论文

关于网络安全的论文

关于⽹络安全的论⽂论⽂常⽤来指进⾏各个学术领域的研究和描述学术研究成果的⽂章，它既是探讨问题进⾏学术研究的⼀种⼿段，⼜是描述学术研究成果进⾏学术交流的⼀种⼯具。

论⽂⼀般由题名、作者、摘要、关键词、正⽂、参考⽂献和附录等部分组成。

论⽂在形式上是属于议论⽂的，但它与⼀般议论⽂不同，它必须是有⾃⼰的理论系统的，应对⼤量的事实、材料进⾏分析、研究，使感性认识上升到理性认识。

关于⽹络安全的论⽂1 关于⽹络安全的论⽂ 摘要：在新媒体发展背景下，我国互联⽹产业和⽹路应⽤技术取得了突出的进步，⾼校⼤学⽣是⽐较活跃的群体，容易受到⽹络的影响。

因此实践教学阶段必须突破现有⽹络发展的限制，提出有效的安全管理对策，做好安全教育⼯作。

本次研究中以⾼校⼤学⽣⽹络安全教育的必要性为基础，结合具体情况，对如何做好安全教育进⾏分析。

关键词：新媒体时代；⾼校⼤学⽣；⽹络安全教育 随着新媒体技术的不断发展和应⽤，互联⽹络、⼿机和多媒体软件的发展也出现了变动，传统媒体形式逐渐淡化，各种新型的便捷的⽹络传播形式出现，满⾜了当前⼤学⽣的实际要求。

在新媒体传播趋势的影响，学⽣在感受互联⽹⽅便快捷的同时，也受到了不同程度的影响，因此如何做好⽹络安全教育⼯作⾄关重要，需要教师从实际情况⼊⼿，完善教育举措，帮助学⽣树⽴正确的三观，促进学⽣的整体发展。

⼀、对⾼校⼤学⽣进⾏⽹络安全教育的必要性 ⾼校学⽣接触⽹络的机会⽐较多，⽹络也成为学⽣之间进⾏知识获取以及交流和沟通的重要载体，但是在消极因素的影响下，会出现很多⽹络漏洞，对学⽣造成影响。

以下将对⾼校⼤学⽣进⾏⽹络安全教育的必要性进⾏分析。

1.⼤学⽣对⽹络信息的盲从性⾼⼤学⽣是⽹络最⼴泛的参与者，应⽤互联⽹的⼏率⽐较⾼。

⽹络作为⽐较⽅便快捷的信息传媒形式，也在发展中占据了主要地位，成为学习知识以及进⾏交流的重要平台。

但是在实践过程中很多学⽣对⽹络信息存在盲从性的特点，部分学⽣的价值观念和⾃⾝辨别意识⽐较差，对于良莠不齐的⽹络缺乏了解，因此⾯对新思潮或者新知识的同时，⾃⾝抵触能⼒⽐较差，容易受到虚假⽂化的影响。

系统安全架构设计分析

系统安全架构设计分析

系统安全架构设计分析在当今信息技术高度发达的环境下，系统安全问题愈发凸显。

每年都有大量的数据泄漏、网络攻击和系统入侵事件发生，给企业和个人带来严重的损失。

为了确保系统的安全性，安全架构设计成为一项至关重要的任务。

本篇文章将分析系统安全架构设计的重要性、设计原则、常见的安全威胁以及一些实施策略。

重要性保护关键信息在一个系统中，关键信息通常包括用户的个人资料、敏感业务数据以及机密信息。

这些信息一旦泄漏或被恶意使用，将可能造成无法挽回的损失。

系统安全架构设计能够确保这些关键信息得到妥善的保护，防止非法访问和篡改。

维护业务连续性网络攻击和系统故障可能导致系统瘫痪，使业务无法正常运行。

这会对企业造成严重的损失，包括财务损失和声誉损害。

通过合理的安全架构设计，系统可以应对各种攻击和故障，提高业务的连续性和可用性。

符合法律法规随着信息安全的重要性日益增加，法规对于保护用户隐私和数据安全的要求也越来越严格。

系统安全架构设计需要充分考虑这些法律法规，以确保系统合规，并避免可能的法律风险和罚款。

设计原则风险评估和管理在进行系统安全架构设计之前，首先需要进行全面的风险评估。

这包括识别潜在的安全威胁、评估风险的概率和影响，并制定相应的风险管理策略。

通过优先处理高风险的威胁并采取适当的防御措施，可以最大程度地减少潜在的损失。

安全性原则和最佳实践在系统安全架构设计中，需要遵循一系列的安全性原则和最佳实践。

例如，最小权限原则要求仅给予用户或系统必要的权限，以减少潜在的攻击面。

数据分类和加密原则可以确保敏感数据得到适当的保护。

通过遵循这些原则和最佳实践，可以建立一个健壮和高效的安全架构设计。

多层次防御单一的安全措施往往不足以应对各种复杂的安全威胁。

系统安全架构设计需要采用多层次的防御策略，包括网络层、应用层和数据层的安全措施。

这样能够确保即使某一层的安全被攻破，其他层仍然能够提供保护。

安全监控和响应及时发现和响应安全事件是确保系统安全性的关键。

银行系统的安全设计与网络拓扑图

银行系统的安全设计与网络拓扑图

银行系统的安全设计与网络拓扑图1 银行系统的安全设计 11.1 非法访问 (1)1.2 窃取PIN/密钥等敏感数据 (1)1.3 假冒终端/操作员 (1)1.4 截获与篡改传输数据 (1)1.5 网络系统可能面临病毒的侵袭与扩散的威胁 (1)1.6 其他安全风险 (1)2 银行系统的网络拓扑图及说明 (2)3 银行系统的网络安全部署图及说明 (3)3.1 敏感数据区的保护 (3)3.2 通迅线路数据加密 (3)3.3 防火墙自身的保护 (4)4 系统的网络设备选型及说明 (5)4.1 核心层交换机 (5)4.2 汇聚层交换机 (5)4.3 接入层交换机 (6)4.4 路由器 (6)4.5 服务器 (7)5 安全配置说明 (8)5.1 防火墙技术 (8)5.2 网络防病毒体系 (8)5.3 网络入侵检测技术 (8)5.4 网络安全审计技术 (9)5.5 VPN技术 (9)总结 (10)一．银行系统的安全设计银行网络作为一个金融网络系统，由于涉及信息的敏感性自然会成为内部与外部黑客攻击的目标，当前银行面临的要紧风险与威胁有：1.1非法访问：银行网络是一个远程互连的金融网络系统。

现有网络系统利用操作系统网络设备进行访问操纵，而这些访问操纵强度较弱，攻击者能够在任一终端利用现有的大量攻击工具发起攻击；由于整个网络通过公用网络互连同样存在终端进行攻击的可能；另一方面银行开发的很多增值业务、代理业务，存在大量与外界互连的接口这些接口现在没有强的安全保护措施存在外部网络通过这些接口攻击银行，可能造成巨大缺失。

1.2窃取PIN/密钥等敏感数据：银行信用卡系统与柜台系统使用的是软件加密的形式保护关键数据，软件加密使用的是公开加密算法（DES），因此安全的关键是对加密密钥的保护，而软件加密最大的安全隐患是无法安全储存加密密钥，程序员可修改程序使其运行得到密钥从而得到主机中敏感数据。

1.3假冒终端/操作员：银行网络中存在大量远程终端通过公网与银行业务前置机相连国内银行以出现多起在传输线路上搭接终端的案例。