什么是安全/安全WAN/安全外壳

数据和通信安全在今天的网络中是非常关键的。黑客、因特网入侵者、窃听者、伪造者以及其他攻击者处处可见。几乎所有人都听到过某种计算机和网络攻击。许多人都是受害者。

安全威胁和薄弱性
网络安全威胁处处可见。内部用户可能窃取数据或无意中向正在试图渗入到您单位的人泄漏敏感密码或其他资料。来自外部的攻击者可能通过拨号因特网连接和外部服务器到服务器连接获取访问权。

网络威胁呈现多样化的特征。除传统的病毒、垃圾邮件外，危害更大的间谍软件、广告软件、网络钓鱼等纷纷加入到互联网安全破坏者的行列，成为威胁计算机网络安全的帮凶。尤其是间谍软件，其危害甚至超越传统病毒，己成为互联网安全最大的威胁。

这里是指作为黑客的攻击者。这在安全领域内非常常见。与黑客相反的是“良民”。　　

攻击是使用各种方法试图控制某系统(计算机、网络服务器、Web站点等)，以接管系统或只是关闭系统或阻止他人访问它(拒绝服务攻击)为目的。也可能对已经加密的加密系统信息，如密码文件、安全数据文件等等发生攻击。有两种基本类型的攻击:

•消极攻击 消极攻击主要是指攻击者监听网络上传递的信息流，从而获取信息的内容（interception），或仅仅希望得到信息流的长度、传输频率等数据，称为流量分析（traffic analysis）。数据的合法用户对这种活动一点也不会觉察到。它收集的信息以用于以后的攻击中，或攻击另一相关系统。被动攻击包括嗅探、信息收集等攻击方法。

•主动攻击 主动攻击是黑客通过未授权的或非法方法试图获取某系统访问权的攻击。主动攻击包括拒绝服务攻击、信息篡改、资源使用、欺骗等攻击方法。

安全概念和机制
“安全”是一个描述保护信息不受未授权访问的所有概念、方法和技术的广义术语。对于信息安全有几点要求:

•保密性 通常采用加密来隐藏数据以防止未授权查看和访问。

•身份真实性 了解用户正在与之通信的人或系统的能力。密码就是一个示例。

•访问控制 一旦巨某人或某系统的身份得到验证，它们访问数据和使用系统的能力就由访问控制确定。

•数据完整性 提供信息系统或数据是真实的保证。

•可用性 确保信息可以安全的方式为用户所用。

信任管理系统为用户提供安全服务，并使应用程序从必须提供它们自己的机制以解释证书、身份验证和策略中解放出来。应用程序可以就如何处理信任的问题查询信任管理系统。在“信任关系和信任管理”主题中讨论KeyNote信任管理系统。

安全策略是一个单位的全面运作的关键部分。“未经特许，则予拒绝”这一经常引用的规则为定义各种安全策略提供了良好的基础。虽然该原则通常用于防火墙，但它还是给整体安全提供了一个好方法。

物理安全管理
物理安全策略的目的是保护计算机系统、网络服务器、打印机等硬件实体和通信链路免受自然灾害、人为破坏和搭线攻击；验证用户的身份和使用权限、防止用户越权操作；确保计算机系统有一个良好的电磁兼容工作环境；建立完备的安全管理制度，防止非法进入计算机控制室和各种偷窃、破坏活动的发生。

虽然安全通常与某种形式的密码技术相关联，但是必须保护物理系统不受偷窃、损害和破坏。必须备份数据。此外，数据的可用性是非常重要的。即时在出现火灾、水灾和地震的情况下系统也必须保持联机状态。因此，向其他站点复制系统的某些方法常常是十分必要的。

密码技术、密钥和证书
密码技术除了提供信息的加密解密外，还提供对信息来源的鉴别、保证信息的完整和不可否认等功能，而这三种功能都是通过数字签名实现。有许多安全机制，其中大多数建立在某种密码技术形式之上。这些机制允许通过公司网络和因特网进行安全的数据交换。它们可以用于隐藏数据，确保信息的完整性和验证用户或系统。

密码技术提供了保证数据安全的基础。加密算法是基于用户密钥并可以使用同一密钥或密钥进行恢复的方式使数据混杂的数学例行程序。有两类加密算法:对称秘密密钥算法和非对称公共密钥算法。

公共密钥方案的优点是它消除了密码交换问题。可信第三方持有公共密钥并使他人可以证书的形式使用。认证机构将一个人的公共密钥与他的验证信息绑定在一起，这样就创建了数字证书。证书本身的结构(布局和格式)由称为X.509的国际标准定义。数字证书提供了一种在Internet上身份验证的方式，是用来标识和证明通信双方身份的数字信息文件，其功能与司机的驾驶照和日常生活中的身份证相似。在网上进行电子商务活动时，交易双方需要使用数字证书来表明自己的身份，并使用数字证书来进行有关交易操作。证书还可以用于对信息进行数字签名。签名的信息提供信息是真实的、没有被窜改和没有差错的证明。

公共密钥密码技术方案是在因特网上进行业务的关键部分。通过在证书中放置公共密钥，对相互不认识的双方建立安全可信的连接是可能的。如果双方都相信由特定CA颁发的证书，它们就相信这些证书的内容。然后，公共密钥可用于身份验证并建立加密通信会话。PKI(公共密钥基础结构)是用户创建、管理和发布证书的有组织的层次结构(潜在全球性的)。

需要AAA(身份验证、授权和记帐)方案验证用户身份的真实性，即对用户访问安全系统的方式的控制和跟踪。基本的身份验证方案如在“CHAP(询问握手身份验证协议)”中描述的共享密钥身份验证方法。公共密钥方案提供了非对称(双密钥)身份验证。对称(秘密密钥)身份验证对某些系统(如Kerberos)也是可能的。

安全连接
有许多协议来保证系统之间连接的安全。有些协议还提供了身份验证功能。例如，PPP(点对点协议)包括协商两点之间加密方法的ECP(加密控制协议)。因特网上的安全连接可以用VPN技术实现。

IPSec协议是一个协议套件，为IP数据包中封装的所有上层数据提供透明的安全保护，无需修改上层协议。它提供的安全服务有：为数据源提供身份验证、无连接数据完整性检查、数据内容的机密性保证、抗重播保护以及有限数据流机密性保证。这些服务均是可选的，由本地的安全策略选择其中的一种或多种。

提供安全链路、安全事务处理或隧道/VPN(虚拟专用网络)功能的其他协议包括“S-HTTP(安全超文本传送协议)”、“SSH(安全外壳)”、“SSL(安全套接层)”、“PCT(专用通信技术)协议”、“TLS(传输层安全)”、“L2TP(第二层隧道协议)”、“S/WAN(安全WAN)”和“SET(安全电子交易)”。

安全WAN
S/WAN原来是RSA Security和主要防火墙和TCP/IP栈供应商的一个倡议。因此在防火墙中所采用的信息加密技术，即加密算法和安全协议均是一致的，生产的防火墙产品也是能实现无缝互联和不失去加密功能的。同时，由于实现了安全控制策略的规范性和逻辑上的合理性，也避免了防火墙厂商推出的产品因出现安全策略上的漏洞而对整个内部保护网络产生危害。

S/WAN的目标是帮助公司通过因特网在他们的公司站点之间或商业伙伴之间建立安全的防火墙到防火墙的连接。基本上，S/WAN创建安全VPN(虚拟专用网络)。站点之间传输的所有数据都被加密以避免线路窃听器的窃听。连接模仿因特网的专用租用线路。

S/WAN使用IETF的IPSec规范作为实现不同的防火墙和TCP/IP产品间互用性的基础。S/WAN设备位于网络的边缘，并在此与因特网连接。通过因特网与另一个S/WAN设备建立一条加密的隧道。所有传出的数据分组被加密，然后封装在一个具有新标题的数据分组中。因为路由器不能读取加密数据分组的标题，所以新标题用于路由通过网络的加密数据分组。

S/WAS的一个叫做Rree/SWAN的开放源版本提供Linux环境下的VPN服务。此软件允许基于Linux的系统提供安全网关服务和VPN连接。FreeS/WAN是由致力于因特网加密问题的组织——EFF(电子尖端领域基金会)的共同创始人构想出来的。FreeS/WAN使用168位三重DES对数据分组加密，现在被认为是非常安全的。它构件了自己的路由表（扩展路由表eroute），它的功能有点类似于SPD，在发包时首先要查找eroute，只有存在连接（connection）才能通讯。

安全外壳

SSH是一种“安全外壳”，意即它可提供加密的“虚拟”终端(Telnet)和文件传送会话。它还支持远程身份验证登录。它旨在替代rlogin、rsh和rcp等易受攻击的UNIX命令。SSH提供允许客户机和服务器协商安全连接的机制。SSH可以为x Window System用户创建安全远程X会话。

该协议最初由Tatu YlÖnen开发，他接着开办了SSH Communications Security，现在是SSH产品的主要支持者。其他供应商，比如F-Secure和Van Dyke Corporation，也在各自的安全产品中实现了SSH。SSH可用在Microsoft Windows、UNIX平台和其他平台上。

SSH支持DES、 Triple-DES、IDEA、BlowFish、TwoFish和CAST等加密技术，有效防止了对密码的窃听，保护了数据的完整性和可靠性，保证了数据的安全传输。身份验证和完整性由密码、公钥(DSA和RSA)提供，或借助Kerberos提供。特别是对于RSA认证的支持，对称加密和非对称加密的混合应用，密钥的安全交换，最终实现了安全的会话过程。SSH支持智能卡和基于令牌的身份验证。SSH还有一个额外的好处就是传输的数据是经过压缩的，所以可以加快传输的速度。SSH有很多功能，它既可以代替Telnet，又可以为FTP、 Pop、甚至为PPP提供一个安全的"通道"。

它可以级联多个SSH连接，因此经过身份验证的用户可以通过同一隧道与网络上的多个主机建立安全连接。这样，远程用户得以连接到公司网络并访问电子邮件、文件服务器和其他服务。

SSH有两个版本：SSHl和SSH2。由于SSHl更为流行，在非Unix系统之外也拥有不同的客户程序，一般需要使用SSHl，否则就会遇到与其他SSH的服务器系统和客户软件不兼容的问题。SSH2功能更为强大，然而其提供的额外功能一般不需要，SSHl提供的能力已经是绰绰有余的了。据SSH Communication Security称，为了实现更大的灵活性、为有数千用户的组织提供更好的可扩展性和更好的安全性，应该用SSH2替代SSHl。

IETF的secsh (安全外壳)工作组曾致力于SSH和SSH2，但在其Web站点上己看不到他们开发的草案，该小组也未提出任何RFC。