网络安全防御防火墙防火墙主要用于逻辑隔离外部网络与受保护的内部网络 防火墙是静态安全技术安全策略是预先定义好的策略之外的流量无法控制。安全规则由匹配条件 处理方式两部分构成。处理方式 3 种Accept允许数据包通过Reject拒绝数据包通知源端返回拒绝消息Drop丢弃数据包不通知源端直接扔掉对方不知道2 种默认策略高频考点默认拒绝推荐、安全一切未被允许的就是禁止。 只有匹配 Accept 规则才放行所有不匹配全部拒绝。安全性高。默认允许不安全一切未被禁止的就是允许。 匹配 Reject/Drop 才拦截没匹配到直接放行配置简单但风险大。防火墙访问控制 4 层次简答必考①服务控制允许哪些服务访问基于端口、IP如 80 网页、25SMTP②方向控制服务请求发起方向内网→外网 / 外网→内网③用户控制哪些用户可以访问用户名、IP、MAC 标识用户④行为控制检查服务内容判断流量内容是否合规防火墙的功能简答单点阻断阻止未授权访问隔离内外网简化安全管理防范 IP 欺骗、路由攻击。安全事件监控点日志、告警集中在防火墙。NAT 地址转换、网络流量审计记录。可作为 IPSec 平台实现 VPN 虚拟专用网络。防火墙局限性【超级高频简答必背】不能防范绕过防火墙的攻击内网主机拨号、无线接入流量不走防火墙不能消除来自内部的威胁内部员工泄密、内网攻击不能查杀病毒感染的程序 / 文件无法扫描全部文件查杀恶意代码二、核心基础概念数据包 五元组上网所有信息不是一整块传过去是拆成一个个小包裹数据包。 每个包裹外面写着标从哪来源 IP送到哪去目标 IP走哪个门端口。类比快递包裹外包装写寄件人、收件人。防火墙先看包裹外包装高级的还能拆开看里面写了啥。网络传输的最小单元叫数据包。防火墙传统规则主要匹配五元组源 IP目的 IP源端口目的端口协议TCP/UDP/ICMPACL访问控制列表就是一条条五元组匹配规则从上往下顺序匹配匹配到一条就执行全部不匹配执行默认策略行业惯例默认拒绝。三、四大防火墙技术按发展顺序1. 包过滤防火墙第一代网络层 / 传输层无状态只看数据包头部信封信息不看包里面的数据内容不记录连接会话。只看快递外包装不看包裹里面东西。 规则比如不让外网包裹直接送到内网电脑的 3389 端口。 缺点坏人可以伪造快递外包装蒙混过关。优点速度极快、开销小、部署简单路由器自带简易包过滤缺点无状态无法识别 IP 欺骗不知道数据包属于哪个会话不能识别应用层攻击例子路由器 ACL2. 状态检测防火墙第二代当前传统防火墙主流核心多了一张会话表Session 表记住谁先发起的连接。收到一个数据包先检查包本身是不是残缺、非法无效直接扔了记日志去会话表里查一查✅找到了这条会话记录核对序列号、会话状态没问题 → 做 NAT 地址转换把包转发出去❌对不上直接丢包记录审计日志会话表里没有这条记录新连接去匹配防火墙策略ACL 规则策略允许新建一条会话记录写到会话表转发数据包策略不允许直接丢包记日志缺点依然只能看包头无法解析应用层内容防不了 SQL 注入、Web 攻击3. 应用代理防火墙应用层网关第三代防火墙充当中间人内外网不直接通信所有流量由防火墙代理转发。内部主机不会直接暴露公网。开源Web应用防火墙有ModSecurity、WebKnight、 Shadow Daemon等。优点安全性最高可以深度理解应用协议HTTP/FTP缺点性能差每种应用需要单独代理延迟高现在很少单独使用4. 下一代防火墙 NGFWNext-Generation Firewall现代企业主流在状态检测基础上增加DPI 深度包检测Deep Packet Inspection可以拆开数据包读取应用层内容。 新增能力识别应用微信、抖音、网盘不再只靠端口老防火墙靠端口判断业务 NGFW看包里面的数据认出这是抖音 / 微信。 举例公司规则禁止上班刷抖音。NGFW 直接识别抖音流量直接阻断哪怕抖音走 443 端口。入侵防御 IPS、病毒查杀、URL 过滤识别访问的网站地址禁止访问某些网站比如不良网站。、用户账号识别QoS 流量管流量限速 / 优先保障。 例公司业务系统优先网盘下载限速不让大文件下载占满带宽。注意NGFW ≠ WAF。WAF 是Web 应用防火墙专门防护网站HTTP/HTTPS抵御 SQL 注入、XSS 等 Web 攻击属于应用层专用防火墙。外网黑客 → NGFW NGFW 看目标是 DMZ 服务器的 443 端口规则允许 →放行流量流量继续往前走交给 WAF WAF 拆开里面网页内容发现攻击代码 → 拦截四、防火墙按形态分类1. 硬件防火墙独立物理设备类似路由器自带专用 CPU、内存、嵌入式安全系统部署在机房网络出口。适用企业边界保护整个内网优点独立硬件不占用服务器资源吞吐高抗 DDoS 能力强缺点价格高配置复杂2. 软件防火墙安装在主机 / 服务器上的程序只保护本机。例子Windows 防火墙、Linux iptables/firewalld优点免费、灵活可以控制到进程级别缺点消耗本机 CPU 内存主机一旦被攻陷防火墙失效3. 云防火墙FWaaS云上的防火墙服务阿里云 / 腾讯云 / AWS 提供不需要物理硬件保护云服务器、VPC 内网。五、核心功能访问控制最核心基于规则允许 / 阻断流量内外网双向管控NAT 地址转换把内网私有 IP 转为公网 IP隐藏内网拓扑公网无法直接看到内部设备真实 IP日志审计记录所有放行 / 拦截流量用于故障排查、安全溯源VPN 接入远程员工加密接入企业内网下一代防火墙额外应用识别、入侵防御、URL 过滤、病毒检测六、经典网络部署架构DMZ 隔离区 Demilitarized Zone企业常用三区隔离内网信任区办公电脑、数据库禁止外网直接访问DMZ 非军事区放置对外服务器官网、邮件服务器外网可以访问 DMZDMZ 不能访问内网核心数据库。DMZ 里面放必须对外给互联网访问的服务器公司官网服务器邮件服务器对外提供 API 的业务服务器这些机器必须暴露在网上风险最高所以单独拎出来放 DMZ。外网非信任区互联网防火墙的三条核心规则最简单版本外网 ↔ DMZ外网可以访问 DMZ 服务器开放的端口比如网页 443外网 → 内网直接禁止外网不能直接访问内网电脑、数据库DMZ → 内网默认禁止就算 DMZ 服务器被黑客拿下黑客想从 DMZ 打进内网数据库防火墙挡住。防火墙三大体系结构三大结构双重宿主主机、被屏蔽主机、被屏蔽子网案例高频简答 画图选择题1. 双重宿主主机体系结构Dual-Homed Host✅ 硬件一台机器2 块网卡一块连外网一块连内网没有路由器这台机器本身就是防火墙关掉 IP 转发数据包不能直接从网卡 A 跳到网卡 B所有通信只能靠这台主机做应用代理内外网不能直接传包类比小区只有一个门卫门卫身上有两扇门一扇对着大街外网一扇对着小区内网。大街和小区之间没有直接通道所有人进出必须经过门卫亲手转交消息。优点结构简单致命弱点门卫被黑 → 整个小区直接暴露一句话单台双网卡主机无路由器全部流量走代理2. 被屏蔽主机体系结构Screened Host✅ 硬件1 台包过滤路由器边界 内网里面放堡垒主机路由器连外网内网是一大片区域堡垒主机藏在内网里路由器做包过滤外网只能访问内网里的堡垒主机其他内网机器外网碰不到类比小区门口装一道门禁闸机屏蔽路由器。堡垒主机放在小区院子内网里面。外人外网只能通过闸机去找堡垒主机不能直接找其他住户。优点堡垒主机不直接接外网比第一种安全致命弱点堡垒主机被攻破攻击者就在小区内网里面了内网全部沦陷一句话一台边界路由器 堡垒主机放在内网一句话记忆边界包过滤路由器 内网里的堡垒主机3. 被屏蔽子网体系结构Screened Subnet最安全✅ 硬件外部路由器 内部路由器中间夹 DMZ周边子网堡垒主机放在 DMZDMZ 隔离的中间小子网既不属于外网也不属于内网外网 ↔【外部路由器】↔ DMZ 区 ↔【内部路由器】↔ 真正内网外网只能访问 DMZ 里的堡垒主机就算堡垒主机被拿下攻击者还需要突破内部路由器才能进内网类比小区大门第一道闸机外部路由先进入一个隔离的前厅DMZ堡垒主机放在前厅前厅和住户生活区之间还有第二道闸机内部路由。就算坏人占领前厅还有第二道门挡着进不到住户内网。优点两层防护堡垒主机沦陷内网也不会直接失守三者最安全缺点设备多、贵、配置麻烦一句话两个路由器中间夹 DMZ 子网堡垒主机放在 DMZ体系结构核心组件堡垒主机位置安全程度双重宿主主机双网卡主机无路由器防火墙主机本身低被屏蔽主机屏蔽路由器 堡垒主机内部网络中被屏蔽子网外路由器、内路由器、DMZ 子网DMZ 周边子网最高高频简答预测问三种防火墙体系结构中哪一种安全性最高为什么答被屏蔽子网体系结构安全性最高。它使用内外两台屏蔽路由器将堡垒主机放置在独立的周边网络DMZ。即使堡垒主机被攻击者入侵攻击者仍需要突破内部路由器才能访问内部网络内网不会直接暴露。缺点是成本较高、配置复杂。问被屏蔽主机结构存在什么安全缺陷堡垒主机是安全单点一旦堡垒主机被入侵整个内部网络就会处于攻击者威胁之下。一、IDS 和 IPS 核心对比必考选择题IDS 入侵检测系统Intrusion Detection System定位被动只监控、找攻击痕迹只报警不能阻断流量作用监视网络 / 系统资源发现违反安全策略行为产生告警一句话IDS 网络摄像头看到入侵就报警但拦不住坏人。IPS 入侵防护系统Intrusion Prevention System定位主动防护串接在网络里流量必须经过 IPS作用直接拦截、丢弃恶意数据包在攻击到达目标前干掉攻击流量一句话IPS 门禁保安发现坏人直接拦住不让进内网。二、安全模型PDR / P2DR高频考点PDR防护 Protection、检测 Detection、响应 Response 公式思想防护时间 检测时间 响应时间P2DR动态安全模型4 部分Policy 安全策略底层指导所有动作都要遵守策略Protection 防护防火墙、身份认证、加密Detection 检测漏洞扫描、IDS 入侵检测Response 响应发现攻击后的处置动作P2DR 是动态循环防护→检测→响应持续调整系统风险。三、IDS 的 2 种检测技术【超级高频必区分】1异常检测基于行为检测✅原理先建立用户正常行为基线模型把当前行为和正常模型对比偏差大 判定异常入侵 ✅优点能发现未知攻击不需要预先知道攻击特征通用性强 ❌缺点误报率高很难定阈值用户行为会变攻击者可以慢慢 “训练” 系统把恶意行为伪装成正常。例子你平时每天登录 8:30今天凌晨 2 点登录判定异常。不关心是什么攻击只看行为和平时一不一样2误用检测特征检测基于知识✅原理维护攻击特征库 / 规则库数据包匹配库里面的攻击特征匹配上 入侵 ✅优点准确率高能精准报出是什么攻击 ❌缺点只能检测已知攻击未知攻击检测不到规则库必须持续更新和系统绑定强移植差很难检测内部合法用户越权泄露。例子特征库记录 “缓冲区溢出的数据包特征”抓到一模一样的包判定攻击。只抓库里登记过的攻击极简记忆口诀异常检测对比正常行为抓未知攻击误报高误用检测匹配攻击特征库只抓已知攻击准确率高四、IDS 3 种体系结构选择题HIDS 基于主机型Host-Based部署装在服务器 / 主机本机数据源本机审计日志、系统日志缺点容易被攻击者绕过不能检测网络层攻击端口扫描、域名欺骗NIDS 基于网络型Network-Based部署网络链路旁抓网络流量包数据源网络数据包优点可以弥补 HIDS 短板检测端口扫描这类网络攻击Agent-Based 基于主体代理多个独立自治代理分布式检测适合大型复杂网络五、IDS 系统三大组成部件信息采集部件收集原始日志 / 网络流量格式化后交给分析模块入侵分析部件IDS 核心拿采集的数据做入侵分析入侵响应部件收到告警后执行响应动作报警、记录日志等六、Snort开源 IDS软考常考Snort开源网络入侵检测系统。 ✅三大工作模式嗅探模式Sniffer读取网络数据包控制台直接展示流量包记录模式Packet Logger把数据包保存到磁盘网络入侵检测模式最复杂流量匹配自定义规则触发告警✅Snort 体系 4 组件嗅探器抓取网络原始数据流预处理器插件处理数据包HTTP、RPC、端口扫描插件预处理后送给引擎检测引擎Snort 主体匹配规则命中就触发告警输出模块告警输出弹窗、邮件、写入 MySQL 数据库、SNMP 等七、入侵的 4 个严重等级选择题考点①拒绝服务 DoS攻击者拿不到系统权限直接把系统搞瘫痪 ② 拿到普通账号权限登录不搞破坏 ③ 进入系统修改、毁坏数据④ 获取系统完全控制权改账号口令、删日志、植入后门木马八、入侵来源分类外部入侵者未授权用户外网来的黑客内部入侵者合法账号但越权滥用内部员工真题坑点提醒考试最容易错IDS不能阻断IPS 才可以阻断流量异常检测抓未知攻击误用检测只能抓已知攻击HIDS主机型看本机日志检测不到端口扫描NIDS网络型抓流量可以检测端口扫描P2DR 里 Policy安全策略是顶层不是防护一、VPN虚拟专用网络 Virtual Private Network1. 基础概念VPN在公网互联网上依靠 ISP建立加密安全隧道把异地分支、远程员工连入企业内网。虚拟不用拉物理专线复用互联网专用加密隧道数据私密传输。 优点省昂贵专线租金。 VPN 三要素客户机、隧道替代物理传输介质、VPN 服务器。VPN 服务器要有公网 IP。2. VPN 用到的安全技术隧道技术Tunneling封装数据包在公网传加解密技术密钥管理身份认证加密算法考点DES56 位密钥64 位数据块现在不安全易破解3DES三次 DES密钥 112 位64 位块AESDES 替代标准密钥 128/192/256 位必考流加密RC4密钥交换Diffie-Hellman、RSA、ECC3. 三大 VPN 隧道协议【高频选择题分清 OSI 层】表格协议OSI 层次特点加密PPTP数据链路层二层微软 3Com 开发PPP 扩展只支持单隧道仅 IP 网络MPPE 加密MPPE 微软点对点加密L2TP数据链路层二层IETF 标准 RFC2661融合 PPTPL2F本身不带加密必须搭配 IPSec 加密支持多隧道、包头压缩、隧道验证可跑 IP/X.25 / 帧中继等多种网络组件 LAC接入集中器、LNS隧道终点依赖 IPSecIPSec网络层三层IETF 标准IPv4 可选IPv6 强制自带 IPSecDES/3DES/AES✅PPTP vs L2TP 区别PPTP 只支持 IP 网络L2TP 支持多种网络IP、X.25、ATM 等PPTP 只能单隧道L2TP 支持多条隧道L2TP 支持包头压缩、隧道验证PPTP 不支持IPSec 重点重中之重IPSec 两套协议AH、ESPAH 认证头数据源认证 数据完整性 防重放不提供加密算法 HMAC-MD5、HMAC-SHA1ESP 封装安全载荷加密核心 可选认证DES/3DES/RC4 等IPSec 两种工作模式传输模式保护上层载荷不加密原始 IP 头主机到主机端到端通信隧道模式加密整个原始 IP 包生成新外层 IP 头网关之间站点到站点 VPN防火墙 / 路由器之间一句话记忆 传输模式保护 ** payload数据隧道模式保护整个 IP 包 **二、安全扫描 漏洞、端口扫描1. 漏洞定义漏洞硬件 / 软件 / 协议缺陷合理配置下依然会被非法入侵、篡改、拒绝服务。有意漏洞后门、逻辑炸弹人为故意留下无意漏洞程序员疏忽缓冲区溢出这类代码缺陷漏洞来源不单是代码缺陷错误的管理配置也算漏洞弱口令、错误权限漏洞扫描器自动检测主机端口、服务版本、系统漏洞。外部扫描网络侧扫描内部扫描以管理员身份登录主机扫描黑客做不到是管理员扫描器独有的能力选择题坑点2. 端口号范围必考IPv4 端口 0~6553516bit0~1023熟知端口公认端口IANA 管理FTP21SSH22Telnet23DNS53HTTP801024~49151注册端口49152~65535动态 / 私有端口3. 端口扫描经典方法1. TCP connect 扫描全连接扫描调用connect()系统函数完成完整 TCP 三次握手。 判断逻辑端口开放 → 三次握手成功。 缺点会建立完整 TCP 连接容易留下系统日志极易被防火墙 / IDS 发现。2. TCP SYN 扫描半开扫描 Half-open只发送 SYN 包不完成三次握手不建立完整 TCP 连接。 判断逻辑收到SYN/ACK应答 → 端口开放收到RST包 → 端口关闭。 优点连接不完全建立不容易被系统记录日志隐蔽性更强。3. TCP FIN 扫描发送FIN包结束连接标记 原理只对 Unix/Linux 类系统生效利用操作系统 TCP 协议栈实现特点端口关闭回复 RST端口开放收到 FIN 包直接忽略不回包人话发 FIN如果对方啥都不回 端口开回 RST 关。Windows 不支持这个特性对 Windows 无效。4. TCP Xmas 树扫描圣诞树扫描发送同时带FINURGPUSH标记的 TCP 包端口关闭返回 RST端口开放无响应 名字由来标志位全部点亮像圣诞树彩灯。同样仅类 Unix 系统有效。5. TCP Null空扫描发送所有 TCP 标志位全部关闭的 TCP 包没有任何标记端口关闭返回 RST端口开放无响应 也是依靠 Unix 协议栈行为Windows 识别不出会直接回 RST无法判断。✅ 小结 FIN / Xmas / Null 这一类靠操作系统对异常 TCP 包的不同反应Windows 不适用。6. TCP ACK 扫描只发送 ACK 包 ⚠️不能直接判断端口开放还是关闭作用探测防火墙规则判断这个端口是否被防火墙过滤。收到 RST端口未被过滤没有任何回复大概率被防火墙丢弃过滤7. TCP Windows 扫描窗口扫描依靠 TCP 头部里窗口大小字段异常做判断 适用AIX、FreeBSD 这类系统 原理这类系统在返回 RST 包时窗口大小会出现不规则的值以此区分端口开 / 关。属于小众扫描。8. TCP RPC 扫描专门扫RPC 远程过程调用端口 拿到端口后进一步探测RPC 服务、程序编号、版本号。很多内网 RPC 漏洞会用这个扫描。9. UDP 扫描发送 UDP 数据包 UDP 是无连接、不可靠协议没有握手所以结果容易不准、受干扰。 判断逻辑收到ICMP 端口不可达→ 端口关闭没有任何响应 → 大概率端口开放也可能被防火墙丢包存在误判10. Ident 扫描连接目标TCP 113 端口拿到当前 TCP 连接对应的进程所属用户身份。 比如知道这个开放端口是 root 用户跑的服务。11. FTP BounceFTP 跳跃扫描利用 FTP 服务器的 PORT 命令让 FTP 服务器替攻击者发包去扫描目标中间人思路攻击者 → FTP 服务器 (21 端口) → 目标主机。 好处扫描源 IP 是 FTP 服务器隐藏攻击者真实 IP现在大部分 FTP 服务器已经禁用这个功能。12. 源端口扫描用DNS (53)/SMTP (25)/POP 等知名服务端口作为扫描的源端口发包。 有些防火墙会信任来自这些知名端口的流量绕过防火墙策略用来探测端口是否开放。Nmap 常用参数-sTTCP connect () 全连接扫描完整 TCP 三次握手-sSTCP SYN 半开扫描最常用不完成连接日志少-sF/-sX/-sNFIN / XmasTree / Null 秘密扫描-sUUDP 扫描-sRRPC 扫描-bFTP 跳跃攻击FTPBounce二、密码类扫描口令攻击核心思路建立口令字典文件逐个尝试账号密码探测弱口令。字典来源用户名、生日、手机号、空口令、123456 等简单组合。目的发现弱账号弱口令检测系统能否发现这类扫描、告警。工具SuperScan、Nmap、X-Scan三、风险评估1. 基本要素资产属性 资产价值威胁属性 威胁出现频率脆弱性漏洞属性 弱点严重程度风险 威胁 × 脆弱性 × 资产价值计算量化风险值2. WPDRRC 国产动态安全模型必考6 个环节W 预警、P 保护、D 检测、R 反应、R 恢复、C 反击3 大要素层次人员内层、基座政策中间层法律、制度、管理技术外层受人员、政策约束3. 风险评估流程风险评估准备 →资产识别、威胁识别、脆弱性识别→ 确认已有安全措施 → 风险计算 → 判断风险是否可接受✅可接受保持现有安全措施❌不可接受新增安全措施评估残余风险残余风险可接受 → 实施风险管理残余风险不可接受 → 重新选择安全措施结论不存在绝对安全风险评估是动态循环周期性重评估4. 风险评估工具分类基于国家标准NIST、FIPS、CRAMM、RA基于专家系统COBRA、RISK、BDSS定性 / 定量 / 半定量工具定性CONTROL-IT、JANBER半定量RISK、RiskCALC、CORA表格工具体系结构方法COBRAC/S 客户服务器专家系统RA单机版过程式算法CRAMM单机版过程式算法RISK单机版专家系统BDSS单机版专家系统四、主流扫描工具NmapFyodor 开发开源命令行端口扫描器支持 TCP/UDP 多种扫描、操作系统识别、RPC 扫描。Nessus漏洞扫描器C/S 架构、跨平台图形界面给出漏洞利用方法和补救方案。X-ScanXfocus 开发免费工具多线程图形 命令行扫描网段主机探测系统、端口、CGI/RPC/SQL 弱口令等。商业绿盟极光 AuroraRSASOpenVM 五个阶段漏洞预警、漏洞检测、风险管理、漏洞修复、漏洞审计WEB 管理NSIP/NSSE 引擎五、安全协议 IPSecIPSecIP 层的加密与认证协议规范一组 RFC 文档RFC2401安全结构概述RFC2402AH 认证头IP 包认证RFC2406ESP 封装安全载荷IP 包加密RFC2408加密机制两大核心协议AH 认证头提供完整性、数据源认证、防重放不加密ESP 封装安全载荷加密 认证 完整性 防重放IPSec 文档 7 部分体系结构、ESP、AH、加密算法、认证算法、密钥管理、解释域六、SSL安全套接层TLS 前身位置应用层 ↔ 传输层之间建立在 TCP 之上独立于上层应用协议。✅ SSL 三大安全服务秘密性保密性传输数据加密第三方无法窃听完整性HASH 摘要校验数据传输不被篡改认证性证书 第三方 CA双向 / 单向身份识别SSL 协议栈分为两层SSL 记录协议底层拆分分段、加密、压缩、校验负责传输数据保护SSL 高层协议管理握手握手协议协商会话、协议版本、密码套件、交换证书、协商密钥改变密码说明协议警报协议SSL 握手流程简要 ClientHello ↔ ServerHello协商版本、随机数、加密套件 服务器下发证书 → 客户端验证证书 客户端生成 pre-master 密钥用服务器公钥加密发给服务器 双方生成会话密钥 发送 ChangeCipherSpec Finished握手完成开始加密传输✅ PGPPretty Good Privacy基于 RSA 公钥体系邮件 / 文件加密软件事实标准RFC3156核心原理对称密钥加密正文用接收方公钥加密这个对称密钥电子信封接收方用自己私钥解密拿到对称密钥再解原文兼顾安全 效率签名流程完整性 身份认证 ① 发件人 MD5 生成报文摘要 ② 发件人私钥 RSA 加密摘要附在报文前数字签名 ③ 收件人用发件人公钥 RSA 解密摘要④ 收件人重新计算摘要对比一致则报文可信优点免费、多平台Windows/UNIX/Mac算法成熟RSA/DSS/DH对称 CAST-128、IDEA、3DES哈希 SHA-1用途广邮件、文件加密无政府 / 标准机构控制一句话区分PGP 多用于个人邮件安全S/MIME 偏向商业团体✅ TLSTransport Layer Security安全传输层IETF 标准是 SSL 标准化产物TLS1.0≈SSLv3微小差别。用途HTTPS 底层传输层安全。✅ IEEE802.1x端口接入认证LAN 交换机、无线 LAN 接入点用户端口认证技术起源 802.11解决 WLAN 接入认证 3 大组件认证系统 (Authenticator)交换机 / AP转发认证报文控制端口开关客户端系统 (Supplicant)用户终端被认证设备认证服务器 (Authentication Server)Radius 服务器做实际身份校验可本地 / 远程认证报文EAPOL客户端↔交换机、EAPOR交换机↔Radius 流程简记客户端发 EAPOL-Start 发起认证交换机 EAP-Request/Identity 索要用户名客户端 EAP-Response 带上用户名转发给 RadiusRadius 生成随机挑战下发客户端加密口令返回给服务器服务器比对匹配 → EAP-Success交换机打开端口失败 EAP-Failure端口保持关闭仅允许认证流量EAPOL-Logoff 注销端口关闭✅ WEP有线等价保密802.11 早期无线加密基于 RC4共享密钥加密 开放系统认证经典弱点密钥管理缺陷加密步骤 ① 明文计算 32bit CRCICV 完整性校验 ② 40bit 密钥 24bitIV →64bit 种子密钥RC4 生成伪随机流 ③ 明文 ICV 和伪随机流异或得到密文解密提取 IV 密文同样生成伪随机流异或校验 ICV身份认证开放系统认证不校验密钥不安全共享密钥认证和加密用同一个 40bit 密钥AP 发随机串STA 加密返回比对WEP 重大缺陷没有密钥自动更新机制IV 空间小容易冲突密钥分发 / 更新没有规范极易破解Cisco 针对 WEP 缺陷推出 LEAP轻量级可扩展身份验证协议✅ WPAWi-Fi 保护访问继承 WEP 原理修复 WEP 全部漏洞用户认证强制使用 802.1x EAP802.11 中 802.1x 只是可选加密TKIP临时密钥完整性协议每帧单独密钥、MIC 消息完整性校验、扩展 IV、密钥再生后续逐步支持 AES特点动态密钥会话频繁更换密钥大幅降低破解概率企业无线内网使用✅ RADIUS 远程认证接入用户服务客户 / 服务器模型UDP 传输接入互联网的认证 授权 计费协议AAA通信客户端NAS 接入服务器和 Radius 服务器之间用共享密钥加密认证流程客户端收集用户名密码MD5 加密发送 Access-Request服务器校验客户端共享密钥查询用户数据库返回Access-Reject 拒绝 / Access-Challenge 挑战 / Access-Accept 允许接入Access-Accept 携带用户授权配置允许上网✅ Kerberos 科伯罗斯分布式环境仅对称密码体制MIT 雅典娜项目基于 Needham-Schroeder威胁场景冒充用户、伪造地址、窃听重放核心KDC 认证中心包含AS 认证服务器 TGS 票据授予服务器思想凭票据访问服务服务器不直接校验账号密码全程 DES 加密 流程简记Client 向 AS 申请 TGT票据授予票据AS 校验用户生成会话密钥生成加密 TGT返回给客户端Client 解密拿到会话密钥向 TGS 申请目标服务票据TGS 解密 TGT校验身份生成客户端与业务服务器的会话密钥 服务票据Client 拿着服务票据访问业务服务器双向认证提供服务✅ X.509ITU-T数字证书标准X.500 系列X.500 命名规则X.509 定义证书、公钥认证框架基于公钥密码、数字签名推荐 RSA证书内容版本、序列号、签名算法、颁发者、有效期、主体、主体公钥、CA 签名用途IPSec、SSL/TLS、SET、S/MIME✅ S/MIME安全多用途互联网邮件扩展在 MIME 基础上增加安全商业 / 团体工业标准对比 PGP 偏向个人 功能封装数据加密内容 加密会话密钥签名数据摘要 发送者私钥签名base64 编码透明签名数据签名和原文分离无 S/MIME 也能看原文但不能验签签名并封装数据先签名再整体加密✅ SSHSecure Shell 安全外壳协议传输层与应用层之间的加密隧道协议三层结构传输层协议 SSH-TRANS服务器身份认证、数据机密性、完整性密钥交换对称加密IDEA、Blowfish、Twofish提供 PKI 接口用户认证协议 SSH-USERAUTH基于传输层之上多种认证密码、公钥、CA连接协议 SSH-CONNECT多路复用多个逻辑通道支持远程 shell、命令执行、端口转发 X11 转发SSH 建立三步版本协商明文会话密钥初始化用公钥体系协商会话密钥用户认证
