计算机网络安全原理

前 言

随着以互联网代表的计算机网络深入到人们的日常工作、生活的各个方面，网络安全也上升到国家安全的高度，“网络空间”也成为与海、陆、空、太空并列的第五空间。为实施国家网络空间安全战略，加快网络空间安全高层次人才培养，2015年6月国务院学位委员会决定在“工学”门类下增设“网络空间安全”一级学科。根据2015年*网络安全一级学科论证小组的论证报告，网络空间安全知识体系主要包括网络空间安全基础理论、密码学基础知识、系统安全理论与技术、网络安全理论与技术以及应用安全技术等五大类。本书主要介绍其中的网络安全理论与技术以及这些技术所依赖的部分密码学基础知识，重点在于计算机网络的安全防护技术。
虽然自己从事计算机网络安全教学和科研工作多年，对这个领域的部分方向有比较深入的理解，也积累了一些教学经验，但真要写一本面向本科生的计算机网络安全方面的教材却发现不是一件容易的事。特别是在业内已经有了一些优秀的计算机网络安全教材的情况下，如何写出有特色、适合网络安全教学的教材来是一个不小的难题。
首先就是教材内容的选择。计算机网络安全技术内容繁多，在非常有限的篇幅中，应当将哪些内容教给学生呢？本书根据计算机网络的安全需求来精选内容。可以将网络安全需求分为两大类，一类是对网络中的消息传输进行保护，确保消息从发送方安全地传输到接收方，保护消息的安全属性（机密性、完整性、真实性、不可否认性等）不被攻击者破坏；另一类是对访问网络中的信息资源或系统进行保护，保障合法用户能够正常访问，并阻止非法用户的访问。类安全需求一般通过对消息进行安全地变换和安全通信协议来实现。其中，对消息进行安全地变换包括对消息加密，使得攻击者无法读懂消息的内容（即保护机密性），或将基于消息的编码（签名、散列、消息认证码）附于消息后，用于接收方验证发送方的身份、消息是否被篡改、消息是否是重放的等，本书选取基本的安全变换算法（DES、AES、RSA、数字签名、MAC等）以及相应的密钥管理机制进行介绍。安全通信协议则利用安全变换算法实现消息的安全传输，本书选取各网络协议层次中典型的安全协议进行介绍，包括无线局域网中的WEP/WPA2协议、网络层的IPsec协议、传输层的SSL/TLS协议、应用层的DNSSEC协议、HTTPS协议、PGP协议等。对于第二类安全需求，主要通过对访问者的身份进行验证（身份认证），对访问请求进行检查与过滤（网络防火墙，流量清洗等），并检测突破了保护机制的恶意活动（入侵检测、网络欺骗、恶意代码等）来实现。考虑到篇幅的限制，本书没有介绍计算机网络中端系统（计算机）的操作系统安全机制，以及网络安全风险评估与安全评测方面的相关内容。
其次是教材内容的组织，也就是章节内容及章节顺序的安排。计算机网络体系结构是一种层次结构，因此介绍计算机网络原理的书一般按网络层次来组织内容，要么是自顶向下（从应用层开始），要么是自底向上（从物理层开始），一层一层地介绍，逻辑顺序很清晰。而保护计算机网络的安全防护技术或机制与计算机网络层次没有明确的一一对应关系，有些技术或机制是跨多层的，还涉及安全防护技术所需的密码学基础知识，很难找到一条清晰的线条将所有内容串联起来。因此，已有计算机网络安全方面的教材的内容组织各不相同，可以用百花齐放来形容。本书采取的原则是先讲网络安全基础内容（按密码学基础、消息认证、数字签名、身份认证、数字证书、PKI的顺序），这些知识是后面各个章节内容，特别是安全协议所依赖的基础，然后按协议层次从低到高分别介绍各层的网络安全协议，后再讲几种具体的网络安全技术。此外，不少计算机网络安全教材会用独立的章节（通常是放在第2章或第3章）来介绍典型TCP/IP协议的脆弱性，本书认为将每个协议的脆弱性放在其对应的安全协议一起介绍更适合学习，即讲完一个协议存在的安全问题后，接着介绍解决这些问题的安全协议。例如，IP协议的脆弱性与IP安全协议（IPsec）放在同一章，DNS的安全问题与DNSSEC在一起介绍，TCP的安全问题放在传输层安全协议（SSL/TLS）所在章。第1章的第1.8节从多个角度详细介绍了本书的内容组织方法。
第三是教材的先进性。教材的内容要尽可能地反映的技术现状，特别是网络安全这种快速发展的技术领域更应如此，但又不能将教材写成研究论文。本书采取的策略是：首先，对每一个知识点，力求介绍其的内容，特别是安全协议，在介绍其基本的经典内容之外，还要反映其版本的协议标准内容或思想；其次，适当体现学术界的研究成果，如近几年在著名国际网络安全会议（如S＆P, CCS, NDSS, USENIX）上发表的有关DNS安全、HTTP安全、路由安全、TCP安全、网络欺骗等方向的研究成果，并指出进一步参考的文献；第三，用后一章介绍近几年出现的一些新的网络安全思想或技术，主要包括SDN网络安全、零信任安全、移动目标防御、网络空间拟态防御，这些技术主要针对新的网络技术或传统安全防御机制存在的问题而提出的，也代表了未来的网络安全方向。
后，精心设计了每章的课后习题，特别是单项选择题和多项选择题，以帮助读者检验对章节知识点的掌握程度，加深对相关知识的理解。
尽管本书主要介绍的是计算机网络安全原理，侧重于理论知识的阐述，但计算机网络安全也是实践性很强的学科。要想真正掌握计算机网络安全原理，只靠学习本书中的这点材料是远远不够的，还需要读者利用课程实验、大量的课外阅读和实践活动来实现。为此，本书为每章设计了与章节内容相匹配的实验项目，给出了每个实验的实验目的、实验内容及要求、实验环境等基本要素，供授课教师布置实验时参考。
全书共分15章，分别是计算机网络安全概论、密码学基础知识、认证与数据签名、PKI与数字证书、无线网络安全、IP与路由安全、传输层安全、DNS安全、Web应用安全、电子邮件安全、拒绝服务攻击及防御、网络防火墙、入侵检测与网络欺骗、恶意代码、网络安全新技术。
本书可作为网络空间安全、信息安全、网络工程、计算机等专业的计算机网络安全类课程的教材，如计算机网络安全、网络安全原理等，参考理论时数为40~50学时，实验时数为20~30学时。学习本门课程之前，读者好已了解或掌握有关计算机网络、操作系统、C程序设计等课程的内容，特别是计算机网络原理。因此，建议在大学四年级或研究生阶段开设本课程。本书也可作为相关领域的研究人员和工程技术人员、广大网络攻防技术爱好者的参考书。
本书在编写过程中得到了洪征副教授、徐伟光副教授、周振吉博士、于振伟老师的大力支持，这里表示诚挚的感谢！后，特别感谢电子工业出版社的郝志恒编辑的督促、鼓励，以及对本书进行的专业编辑！
由于计算机网络安全涉及的内容广、更新快，加之作者水平的限制，书中难免存在各种缺点和错误，敬请读者批评指正。

面对严峻的网络安全形势，了解和掌握计算机网络安全知识具有重要的现实意义。本书着重阐述计算机网络安全的原理与技术，内容包括计算机网络安全概论、密码学基础知识、认证与数据签名、PKI与数字证书、无线网络安全、IP与路由安全、传输层安全、DNS安全、Web应用安全、电子邮件安全、拒绝服务攻击及防御、网络防火墙、入侵检测与网络欺骗、恶意代码、网络安全新技术。各章均附有习题和实验要求。 本书可作为网络空间安全、信息安全、网络工程、计算机等专业的教材，也可作为相关领域的研究人员和工程技术人员的参考书。

吴礼发，男，1968年8月生，分别于1991年7月、1995年2月从南京通信工程学院获计算机与指挥自动化专业学士、计算机应用技术专业工学硕士学位，1998年10 月于南京大学计算机软件专业获工学博士学位，现为南京邮电大学计算机学院教授、博士生导师。先后承担了20余项国家和军队重点科研项目，获军队科技进步一等奖1项、二等奖1项、三等奖4项，全军教学成果二等奖1项、三等奖2项。出版学术专著1部，教材5部，获国家发明专利6项，发表学术论文100 余篇。主要从事软件安全漏洞挖掘与利用、协议逆向分析、云计算安全等方向的教学和科研工作。

目 录 

第1章 绪　论 1 
1.1 计算机网络概述 1 
1.1.1 网络结构和组成 1 
1.1.2 网络体系结构 4 
1.2 计算机网络脆弱性分析 6 
1.3 计算机网络安全概念 8 
1.3.1 计算机网络安全 8 
1.3.2 与计算机网络安全相关的概念 9 
1.4 计算机网络安全威胁 13 
1.4.1 网络安全威胁因素 13 
1.4.2 网络攻击概述 14 
1.5 网络安全模型 15 
1.6 网络安全机制与服务 19 
1.7 网络安全技术的发展简史 26 
1.8 本书的内容与组织 28 
1.9 习题 32 
1.10　实验 34 
第2章密码学基础知识 36 
2.1 密码学基本概念 36 
2.2 古典密码系统 38 
2.2.1 单表代换密码 38 
2.2.2 多表代替密码 41 
2.2.3 置换密码算法 43 
2.3 现代密码系统概述 44 
2.3.1 对称密钥密码系统 44 
2.3.2 公开密钥密码系统 46 
2.4 典型对称密钥密码系统 48 
2.4.1 数据加密标准（DES） 48 
2.4.2 高级数据加密标准（AES） 56 
2.4.3 RC4 60 
2.5 典型公开密钥密码系统 62 
2.5.1 RSA公开密钥密码系统 62 
2.5.2 Diffie-Hellman密钥交换协议 65 
2.5.3 ElGamal公钥密码体制 67 
2.5.4 椭圆曲线密码体制 68 
2.5.5 基于身份标识的密码体制 70 
2.6 密码分析 71 
2.6.1 传统密码分析方法 71 
2.6.2 密码旁路分析 72 
2.6.3 密码算法和协议的工程实现分析 73 
2.7 习题 74 
2.8 实验 76 
2.8.1 DES数据加密、解密算法实验 76 
2.8.2 RSA数据加密、解密算法实验 76 
第3章认证与数字签名 78 
3.1 散列函数 78 
3.1.1 散列函数的要求 78 
3.1.2 MD算法 80 
3.1.3 SHA算法 81 
3.2 消息认证 83 
3.2.1 报文源的认证 83 
3.2.2 报文宿的认证 85 
3.2.3 报文内容的认证 86 
3.2.4 报文顺序的认证 90 
3.3 数字签名 91 
3.3.1 数字签名的基本概念 92 
3.3.2 利用RSA密码系统实现数字签名 93 
3.3.3 利用ElGamal密码系统实现数字签名 94 
3.3.4 利用椭圆曲线密码实现数字签名 95 
3.3.5 散列函数在数字签名中的作用 95 
3.4 身份认证 96 
3.4.1 一次性口令认证 98 
3.4.2 基于共享密钥的认证 100 
3.4.3 可扩展认证协议EAP 107 
3.5 习题 109 
3.6 实验 114 
3.6.1 使用GPG4win进行数字签名 114 
3.6.2 OpenSSL软件的安装与使用 115 
第4章 PKI与数字证书 116 
4.1 密钥管理 116 
4.2 数字证书 117 
4.2.1 证书格式 118 
4.2.2 CRL格式 125 
4.3 PKI 126 
4.3.1 PKI组成 127 
4.3.2 证书签发和撤销流程 132 
4.3.3 证书的使用 134 
4.3.4 PKIX 135 
4.4 证书透明性 136 
4.5 习题 138 
4.6 实验 141 
第5章无线网络安全 142 
5.1 无线局域网安全 142 
5.1.1 概述 142 
5.1.2 WEP安全协议 145 
5.1.3 WPA/WPA2安全协议 148 
5.2 移动网络安全 155 
5.2.1 2G安全 155 
5.2.2 3G安全 157 
5.2.3 4G安全 159 
5.2.4 5G安全 161 
5.3 习题 166 
5.4 实验 168 
第6章 IP及路由安全 169 
6.1 IPv4协议及其安全性分析 169 
6.2 IPsec 170 
6.2.1 IPsec安全策略 171 
6.2.2 IPsec运行模式 175 
6.2.3 AH协议 176 
6.2.4 ESP协议 179 
6.2.5 网络密钥交换 182 
6.2.6 SA组合 191 
6.2.7 IPsec的应用 192 
6.3 IPv6协议及其安全性分析 194 
6.3.1 IPv6协议格式 194 
6.3.2 IPv6安全性分析 196 
6.4 路由安全 197 
6.4.1 RIP协议及其安全性分析 198 
6.4.2 OSPF协议及其安全性分析 200 
6.4.3 BGP协议及其安全性分析 203 
6.5 习题 206 
6.6　实验 209 
6.6.1 IPsec VPN配置 209 
6.6.2 用Wireshark观察IPsec协议的通信过程 209 
第7章传输层安全 211 
7.1 传输层安全概述 211 
7.1.1 端口和套接字 212 
7.1.2 UDP协议及其安全性 212 
7.1.3 TCP协议及其安全性 213 
7.2 SSL 216 
7.2.1 SSL体系结构 216 
7.2.2 SSL记录协议 218 
7.2.3 SSL密码变更规格协议 220 
7.2.4 告警协议 220 
7.2.5 握手协议 221 
7.2.6 密钥生成 226 
7.3 TLS 227 
7.3.1 TLS与SSL的差异 227 
7.3.2 TLS 1.3 231 
7.4 SSL/TLS VPN 234 
7.5　习题 236 
7.6 实验 237 
第8章 DNS安全 239 
8.1 DNS概述 239 
8.1.1 因特网的域名结构 240 
8.1.2 用域名服务器进行域名转换 241 
8.2 DNS 面临的安全威胁 245 
8.2.1 协议脆弱性 245 
8.2.2 实现脆弱性 249 
8.2.3 操作脆弱性 250 
8.3 DNSSEC 251 
8.3.1 DNSSEC基本原理 251 
8.3.2 DNSSEC配置 267 
8.3.3 DNSSEC的安全性分析 271 
8.3.4 DNSSEC部署 271 
8.4 习题 273 
8.5 实验 274 
8.5.1 DNSSEC配置 274 
8.5.2 观察DNSSEC域名解析过程 275 
第9章　Web应用安全 276 
9.1 概述 276 
9.2 Web应用体系结构脆弱性分析 277 
9.3 SQL注入攻击及防范 282 
9.3.1 概述 282 
9.3.2 SQL注入漏洞探测方法 284 
9.3.3 Sqlmap 289 
9.3.4 SQL注入漏洞的防护 292 
9.4 跨站脚本攻击 293 
9.4.1 跨站脚本攻击原理 293 
9.4.2 跨站脚本攻击的防范 297 
9.5 Cookie欺骗及防范 298 
9.6 CSRF攻击及防范 300 
9.6.1 CSRF攻击原理 300 
9.6.2 CSRF攻击防御 302 
9.7 目录遍历及其防范 304 
9.8 操作系统命令注入及防范 306 
9.9 HTTP消息头注入攻击及防范 308 
9.10 HTTPS 309 
9.10.1 HTTPS基本原理 309 
9.10.2 HTTPS服务器部署 310 
9.11 HTTP over QUIC 311 
9.12 Web应用防火墙 313 
9.13 习题 314 
9.14 实验 316 
9.14.1 WebGoat的安装与使用 316 
9.14.2 用Wireshark观察HTTPS通信过程 316 
第10章电子邮件安全 317 
10.1 电子邮件概述 317 
10.2 电子邮件的安全问题 319 
10.3 安全电子邮件标准PGP 321 
10.3.1 PGP基本原理 322 
10.3.2 PGP密钥管理 324 
10.4 WebMail安全威胁及防范 327 
10.5 垃圾邮件防范 332 
10.5.1 基于地址的垃圾邮件检测 334 
10.5.2 基于内容的垃圾邮件检测 335 
10.5.3 基于行为的垃圾邮件检测 337 
10.6 习题 337 
10.7 实验 339 
第11章　拒绝服务攻击及防御 341 
11.1 概述 341 
11.2 剧毒包型拒绝服务攻击 343 
11.2.1 碎片攻击 343 
11.2.2 其他剧毒包型拒绝服务攻击 344 
11.3 风暴型拒绝服务攻击 346 
11.3.1 攻击原理 346 
11.3.2 直接风暴型拒绝服务攻击 347 
11.3.3 反射型拒绝服务攻击 349 
11.3.4 僵尸网络 356 
11.3.5 典型案例分析 359 
11.4 拒绝服务攻击的应用 361 
11.5 拒绝服务攻击的检测及响应技术 362 
11.5.1 拒绝服务攻击检测技术 362 
11.5.2 拒绝服务攻击响应技术 363 
11.6 习题 366 
11.7 实验 369 
11.7.1 编程实现SYN Flood DDoS攻击 369 
11.7.2 编程实现NTP反射型拒绝服务攻击 370 
第12章网络防火墙 371 
12.1 概述 371 
12.1.1 防火墙的定义 371 
12.1.2 防火墙的作用 371 
12.1.3 防火墙的分类 373 
12.2 防火墙的工作原理 375 
12.2.1 包过滤防火墙 375 
12.2.2 有状态的包过滤防火墙 379 
12.2.3 应用网关防火墙 381 
12.3 防火墙的体系结构 384 
12.3.1 屏蔽路由器结构 385 
12.3.2 双宿主机结构 385 
12.3.3 屏蔽主机结构 386 
12.3.4 屏蔽子网结构 387 
12.4 防火墙的部署方式 388 
12.5 防火墙的评价标准 389 
12.6 防火墙技术的不足与发展趋势 392 
12.7 习题 395 
12.8 实验 398 
第13章入侵检测与网络欺骗 399 
13.1 入侵检测概述 399 
13.1.1 入侵检测的定义 399 
13.1.2 通用的入侵检测模型 400 
13.1.3 入侵检测系统的作用 400 
13.1.4 入侵检测系统的组成 401 
13.2 入侵检测系统的信息源 402 
13.2.1 以主机数据作为信息源 402 
13.2.2 以应用数据作为信息源 403 
13.2.3 以网络数据作为信息源 403 
13.3 入侵检测系统的分类 404 
13.4 入侵检测的分析方法 405 
13.4.1 特征检测 406 
13.4.2 异常检测 407 
13.5 典型的入侵检测系统Snort 411 
13.5.1 Snort的体系结构 412 
13.5.2 Snort的规则结构 413 
13.5.3 编写Snort规则 416 
13.6 入侵检测技术的发展趋势 418 
13.7 网络欺骗技术 420 
13.7.1 蜜罐 421 
13.7.2 蜜网 424 
13.7.3 网络欺骗防御 425 
13.8 习题 429 
13.9 实验 431 
13.9.1 Snort的安装与使用 431 
13.9.2 蜜罐的安装与使用 431 
第14章恶意代码 433 
14.1 概述 433 
14.1.1 计算机病毒 433 
14.1.2 计算机蠕虫 436 
14.1.3 计算机木马 438 
14.2 木马的工作原理 440 
14.2.1 配置木马 441 
14.2.2 传播木马 444 
14.2.3 运行木马 447 
14.2.4 信息反馈 449 
14.2.5 建立连接 451 
14.2.6 远程控制 452 
14.3 木马的隐藏技术 455 
14.3.1 木马在植入时的隐藏 455 
14.3.2 木马在存储时的隐藏 456 
14.3.3 木马在运行时的隐藏 458 
14.4 发现主机感染木马的基本方法 462 
14.5 针对木马的防护手段 465 
14.6 习题 467 
14.7 实验 468 
第15章网络安全新技术