TCP/IP的層次不同提供的安全性也不同，例如，在網(wǎng)絡(luò)層提供虛擬私用網(wǎng)絡(luò)，在傳輸層提供安全套接服務(wù)。下面將分別介紹TCP/IP不同層次的安全性和提高各層安全性的方法。

    一、Internet層的安全性

    對(duì)Internet層的安全協(xié)議進(jìn)行標(biāo)準(zhǔn)化的想法早就有了。在過去十年里，已經(jīng)提出了一些方案。例如，"安全協(xié)議3號(hào)(SP3)"就是美國國家安全局以及標(biāo)準(zhǔn)技術(shù)協(xié)會(huì)作為"安全數(shù)據(jù)網(wǎng)絡(luò)系統(tǒng)(SDNS)"的一部分而制定的。"網(wǎng)絡(luò)層安全協(xié)議(NLSP)"是由國際標(biāo)準(zhǔn)化組織為"無連接網(wǎng)絡(luò)協(xié)議(CLNP)"制定的安全協(xié)議標(biāo)準(zhǔn)。"集成化NLSP(I-NLSP)"是美國國家科技研究所提出的包括IP和CLNP在內(nèi)的統(tǒng)一安全機(jī)制。SwIPe是另一個(gè)Intenet層的安全協(xié)議，由Ioannidis和Blaze提出并實(shí)現(xiàn)原型。所有這些提案的共同點(diǎn)多于不同點(diǎn)。事實(shí)上，他們用的都是IP封裝技術(shù)。其本質(zhì)是，純文本的包被加密，封裝在外層的IP報(bào)頭里，用來對(duì)加密的包進(jìn)行Internet上的路由選擇。到達(dá)另一端時(shí)，外層的IP報(bào)頭被拆開，報(bào)文被解密，然后送到收?qǐng)?bào)地點(diǎn)。 

    Internet工程特遣組(IETF)已經(jīng)特許Internet協(xié)議安全協(xié)議(IPSEC)工作組對(duì)IP安全協(xié)議(IPSP)和對(duì)應(yīng)的Internet密鑰管理協(xié)議(IKMP)進(jìn)行標(biāo)準(zhǔn)化工作。IPSP的主要目的是使需要安全措施的用戶能夠使用相應(yīng)的加密安全體制。該體制不僅能在目前通行的IP(IPv4)下工作，也能在IP的新版本(IPng或IPv6)下工作。該體制應(yīng)該是與算法無關(guān)的，即使加密算法替換了，也不對(duì)其他部分的實(shí)現(xiàn)產(chǎn)生影響。此外，該體制必須能實(shí)行多種安全政策，但要避免給不使用該體制的人造成不利影響。按照這些要求，IPSEC工作組制訂了一個(gè)規(guī)范：認(rèn)證頭(Authentication Header，AH)和封裝安全有效負(fù)荷(Encapsulating Security Payload，ESP)。簡言之，AH提供IP包的真實(shí)性和完整性，ESP提供機(jī)要內(nèi)容。 

    IP AH指一段消息認(rèn)證代碼(Message Authentication Code，MAC)，在發(fā)送IP包之前，它已經(jīng)被事先計(jì)算好。發(fā)送方用一個(gè)加密密鑰算出AH，接收方用同一或另一密鑰對(duì)之進(jìn)行驗(yàn)證。如果收發(fā)雙方使用的是單鑰體制，那它們就使用同一密鑰；如果收發(fā)雙方使用的是公鑰體制，那它們就使用不同的密鑰。在后一種情形，AH體制能額外地提供不可否認(rèn)的服務(wù)。事實(shí)上，有些在傳輸中可變的域，如IPv4中的time-to-live域或IPv6中的hop limit域，都是在AH的計(jì)算中必須忽略不計(jì)的。RFC 1828首次規(guī)定了加封狀態(tài)下AH的計(jì)算和驗(yàn)證中要采用帶密鑰的MD5算法。而與此同時(shí)，MD5和加封狀態(tài)都被批評(píng)為加密強(qiáng)度太弱，并有替換的方案提出。 

    IP ESP的基本想法是整個(gè)IP包進(jìn)行封裝，或者只對(duì)ESP內(nèi)上層協(xié)議的數(shù)據(jù)(運(yùn)輸狀態(tài))進(jìn)行封裝，并對(duì)ESP的絕大部分?jǐn)?shù)據(jù)進(jìn)行加密。在管道狀態(tài)下，為當(dāng)前已加密的ESP附加了一個(gè)新的IP頭(純文本)，它可以用來對(duì)IP包在Internet上作路由選擇。接收方把這個(gè)IP頭取掉，再對(duì)ESP進(jìn)行解密，處理并取掉ESP頭，再對(duì)原來的IP包或更高層協(xié)議的數(shù)據(jù)就象普通的IP包那樣進(jìn)行處理。RFC 1827中對(duì)ESP的格式作了規(guī)定，RFC 1829中規(guī)定了在密碼塊鏈接(CBC)狀態(tài)下ESP加密和解密要使用數(shù)據(jù)加密標(biāo)準(zhǔn)(DES)。雖然其他算法和狀態(tài)也是可以使用的，但一些國家對(duì)此類產(chǎn)品的進(jìn)出口控制也是不能不考慮的因素。有些國家甚至連私用加密都要限制。 

    AH與ESP體制可以合用，也可以分用。不管怎么用，都逃不脫傳輸分析的攻擊。人們不太清楚在Internet層上，是否真有經(jīng)濟(jì)有效的對(duì)抗傳輸分析的手段，但是在Internet用戶里，真正把傳輸分析當(dāng)回事兒的也是寥寥無幾。 

    1995年8月，Internet工程領(lǐng)導(dǎo)小組(IESG)批準(zhǔn)了有關(guān)IPSP的RFC作為Internet標(biāo)準(zhǔn)系列的推薦標(biāo)準(zhǔn)。除RFC 1828和RFC 1829外，還有兩個(gè)實(shí)驗(yàn)性的RFC文件，規(guī)定了在AH和ESP體制中，用安全散列算法(SHA)來代替MD5(RFC 1852)和用三元DES代替DES(RFC 1851)。 

    在最簡單的情況下，IPSP用手工來配置密鑰。然而，當(dāng)IPSP大規(guī)模發(fā)展的時(shí)候，就需要在Internet上建立標(biāo)準(zhǔn)化的密鑰管理協(xié)議。這個(gè)密鑰管理協(xié)議按照IPSP安全條例的要求，指定管理密鑰的方法。 

    因此，IPSEC工作組也負(fù)責(zé)進(jìn)行Internet密鑰管理協(xié)議(IKMP)，其他若干協(xié)議的標(biāo)準(zhǔn)化工作也已經(jīng)提上日程。其中最重要的有： 

    IBM 提出的"標(biāo)準(zhǔn)密鑰管理協(xié)議(MKMP)" 
    SUN 提出的"Internet協(xié)議的簡單密鑰管理(SKIP)" 
    Phil Karn 提出的"Photuris密鑰管理協(xié)議" 
    Hugo Krawczik 提出的"安全密鑰交換機(jī)制(SKEME)" 
    NSA 提出的"Internet安全條例及密鑰管理協(xié)議" 
    Hilarie Orman 提出的"OAKLEY密鑰決定協(xié)議" 

    在這里需要再次強(qiáng)調(diào)指出，這些協(xié)議草案的相似點(diǎn)多于不同點(diǎn)。除MKMP外，它們都要求一個(gè)既存的、完全可操作的公鑰基礎(chǔ)設(shè)施(PKI)。MKMP沒有這個(gè)要求，因?yàn)樗俣p方已經(jīng)共同知道一個(gè)主密鑰(Master Key)，可能是事先手工發(fā)布的。SKIP要求Diffie-Hellman證書，其他協(xié)議則要求RSA證書。 

    1996年9月，IPSEC決定采用OAKLEY作為ISAKMP框架下強(qiáng)制推行的密鑰管理手段，采用SKIP作為IPv4和IPv6實(shí)現(xiàn)時(shí)的優(yōu)先選擇。目前已經(jīng)有一些廠商實(shí)現(xiàn)了合成的 ISAKMP/OAKLEY方案。Photuris以及類Photuris的協(xié)議的基本想法是對(duì)每一個(gè)會(huì)話密鑰都采用Diffie-Hellman密鑰交換機(jī)制，并隨后采用簽名交換來確認(rèn)Diffie--Hellman參數(shù)，確保沒有"中間人"進(jìn)行攻擊。這種組合最初是由Diffie、Ooschot和Wiener在一個(gè)"站對(duì)站(STS)"的協(xié)議中提出的。Photuris里面又添加了一種所謂的"cookie"交換，它可以提供"清障(anti-logging)"功能，即防范對(duì)服務(wù)攻擊的否認(rèn)。 

    Photuris以及類Photuris的協(xié)議由于對(duì)每一個(gè)會(huì)話密鑰都采用Diffie-Hellman密鑰交換機(jī)制，故可提供回傳保護(hù)(back-traffic protection，BTP)和完整轉(zhuǎn)發(fā)安全性(perfect-forward secrecy，PFS)。實(shí)質(zhì)上，這意味著一旦某個(gè)攻擊者破解了長效私鑰，比如Photuris中的RSA密鑰或SKIP中的Diffie-Hellman密鑰，所有其他攻擊者就可以冒充被破解的密碼的擁有者。但是，攻擊者卻不一定有本事破解該擁有者過去或未來收發(fā)的信息。 

    值得注意的是，SKIP并不提供BTP和PFS。盡管它采用Diffie-Hellman密鑰交換機(jī)制，但交換的進(jìn)行是隱含的，也就是說，兩個(gè)實(shí)體以證書形式彼此知道對(duì)方長效Diffie--Hellman 公鑰，從而隱含地共享一個(gè)主密鑰。該主密鑰可以導(dǎo)出對(duì)分組密鑰進(jìn)行加密的密鑰，而分組密鑰才真正用來對(duì)IP包加密。一旦長效Diffie-Hellman密鑰泄露，，則任何在該密鑰保護(hù)下的密鑰所保護(hù)的相應(yīng)通信都將被破解。而且SKIP是無狀態(tài)的，它不以安全條例為基礎(chǔ)。每個(gè)IP包可能是個(gè)別地進(jìn)行加密和解密的，歸根到底用的是不同的密鑰。 

    SKIP不提供BTP和PFS這件事曾經(jīng)引起IPSEC工作組內(nèi)部的批評(píng)，該協(xié)議也曾進(jìn)行過擴(kuò)充，試圖提供BTP和PFS。但是，擴(kuò)充后的SKIP協(xié)議版本其實(shí)是在BTP和PFS功能的提供該協(xié)議的無狀態(tài)性之間的某種折衷。實(shí)際上，增加了BTP和PFS功能的SKIP非常類似于Photuris以及類Photuris的協(xié)議，唯一的主要區(qū)別是SKIP(仍然)需要原來的Diffie-Hellman證書。這一點(diǎn)必須注意:目前在Internet上，RSA證書比其他證書更容易實(shí)現(xiàn)和開展業(yè)務(wù)。 

    大多數(shù)IPSP及其相應(yīng)的密鑰管理協(xié)議的實(shí)現(xiàn)均基于Unix系統(tǒng)。任何IPSP的實(shí)現(xiàn)都必須跟對(duì)應(yīng)協(xié)議棧的源碼糾纏在一起，而這源碼又能在Unix系統(tǒng)上使用，其原因大概就在于此。但是，如果要想在Internet上更廣泛地使用和采納安全協(xié)議，就必須有相應(yīng)的DOS或Windows版本。而在這些系統(tǒng)上實(shí)現(xiàn)Internet層安全協(xié)議所直接面臨的一個(gè)問題就是，PC上相應(yīng)的實(shí)現(xiàn)TCP/IP的公共源碼資源什么也沒有。為克服這一困難，Wagner和Bellovin實(shí)現(xiàn)了一個(gè)IPSEC模塊，它象一個(gè)設(shè)備驅(qū)動(dòng)程序一樣工作，完全處于IP層以下。 

    Internet層安全性的主要優(yōu)點(diǎn)是它的透明性，也就是說，安全服務(wù)的提供不需要應(yīng)用程序、其他通信層次和網(wǎng)絡(luò)部件做任何改動(dòng)。它的最主要的缺點(diǎn)是: Internet層一般對(duì)屬于不同進(jìn)程和相應(yīng)條例的包不作區(qū)別。對(duì)所有去往同一地址的包，它將按照同樣的加密密鑰和訪問控制策略來處理。這可能導(dǎo)致提供不了所需的功能，也會(huì)導(dǎo)致性能下降。針對(duì)面向主機(jī)的密鑰分配的這些問題，RFC 1825允許(甚至可以說是推薦) 使用面向用戶的密鑰分配，其中，不同的連接會(huì)得到不同的加密密鑰。但是，面向用戶的密鑰分配需要對(duì)相應(yīng)的操作系統(tǒng)內(nèi)核作比較大的改動(dòng)。 

    雖然IPSP的規(guī)范已經(jīng)基本制訂完畢，但密鑰管理的情況千變?nèi)f化，要做的工作還很多。尚未引起足夠重視的一個(gè)重要的問題是在多播 (multicast)環(huán)境下的密鑰分配問題，例如，在Internet多播骨干網(wǎng)(MBone)或IPv6網(wǎng)中的密鑰分配問題。 

    簡而言之，Internet層是非常適合提供基于主機(jī)對(duì)主機(jī)的安全服務(wù)的。相應(yīng)的安全協(xié)議可以用來在Internet上建立安全的IP通道和虛擬私有網(wǎng)。例如，利用它對(duì)IP包的加密和解密功能，可以簡捷地強(qiáng)化防火墻系統(tǒng)的防衛(wèi)能力。事實(shí)上，許多廠商已經(jīng)這樣做了。RSA數(shù)據(jù)安全公司已經(jīng)發(fā)起了一個(gè)倡議，來推進(jìn)多家防火墻和TCP/IP軟件廠商聯(lián)合開發(fā)虛擬私有網(wǎng)。該倡議被稱為S-WAN(安全廣域網(wǎng))倡議。其目標(biāo)是制訂和推薦Internet層的安全協(xié)議標(biāo)準(zhǔn)。

    二、傳輸層的安全性 

    在Internet應(yīng)用編程序中，通常使用廣義的進(jìn)程間通信(IPC)機(jī)制來與不同層次的安全協(xié)議打交道。比較流行的兩個(gè)IPC編程界面是BSD Sockets和傳輸層界面(TLI)，在Unix系統(tǒng)V命令里可以找到。 

    在Internet中提供安全服務(wù)的首先一個(gè)想法便是強(qiáng)化它的IPC界面，如BSD Sockets等，具體做法包括雙端實(shí)體的認(rèn)證，數(shù)據(jù)加密密鑰的交換等。Netscape通信公司遵循了這個(gè)思路，制定了建立在可靠的傳輸服務(wù)(如TCP/IP所提供)基礎(chǔ)上的安全套接層協(xié)議(SSL)。SSL版本3(SSL v3)于1995年12月制定。它主要包含以下兩個(gè)協(xié)議：

    SSL記錄協(xié)議 它涉及應(yīng)用程序提供的信息的分段、壓縮、數(shù)據(jù)認(rèn)證和加密。SSL v3提供對(duì)數(shù)據(jù)認(rèn)證用的MD5和SHA以及數(shù)據(jù)加密用的R4和DES等的支持，用來對(duì)數(shù)據(jù)進(jìn)行認(rèn)證和加密的密鑰可以通過SSL的握手協(xié)議來協(xié)商。 

    SSL握手協(xié)議 用來交換版本號(hào)、加密算法、(相互)身份認(rèn)證并交換密鑰。SSL v3 提供對(duì)Deffie-Hellman密鑰交換算法、基于RSA的密鑰交換機(jī)制和另一種實(shí)現(xiàn)在 Fortezza chip上的密鑰交換機(jī)制的支持。 

    Netscape通信公司已經(jīng)向公眾推出了SSL的參考實(shí)現(xiàn)(稱為SSLref)。另一免費(fèi)的SSL實(shí)現(xiàn)叫做SSLeay。SSLref和SSLeay均可給任何TCP/IP應(yīng)用提供SSL功能。Internet號(hào)碼分配當(dāng)局(IANA)已經(jīng)為具備SSL功能的應(yīng)用分配了固定端口號(hào)，例如，帶SSL的 HTTP(https)被分配的端口號(hào)為443，帶SSL的SMTP(ssmtp)被分配的端口號(hào)為465，帶SSL的NNTP(snntp)被分配的端口號(hào)為563。 

    微軟推出了SSL2的改進(jìn)版本稱為PCT(私人通信技術(shù))。至少從它使用的記錄格式來看，SSL和PCT是十分相似的。它們的主要差別是它們?cè)诎姹咎?hào)字段的最顯著位(The Most Significant Bit)上的取值有所不同: SSL該位取0，PCT該位取1。這樣區(qū)分之后，就可以對(duì)這兩個(gè)協(xié)議都給以支持。 

    1996年4月，IETF授權(quán)一個(gè)傳輸層安全(TLS)工作組著手制定一個(gè)傳輸層安全協(xié)議(TLSP)，以便作為標(biāo)準(zhǔn)提案向IESG正式提交。TLSP將會(huì)在許多地方酷似SSL。 

    前面已介紹Internet層安全機(jī)制的主要優(yōu)點(diǎn)是它的透明性，即安全服務(wù)的提供不要求應(yīng)用層做任何改變。這對(duì)傳輸層來說是做不到的。原則上，任何TCP/IP應(yīng)用，只要應(yīng)用傳輸層安全協(xié)議，比如說SSL或PCT，就必定要進(jìn)行若干修改以增加相應(yīng)的功能，并使用(稍微)不同的IPC界面。于是，傳輸層安全機(jī)制的主要缺點(diǎn)就是要對(duì)傳輸層IPC界面和應(yīng)用程序兩端都進(jìn)行修改?？墒牵绕餓nternet層和應(yīng)用層的安全機(jī)制來，這里的修改還是相當(dāng)小的。另一個(gè)缺點(diǎn)是，基于UDP的通信很難在傳輸層建立起安全機(jī)制來。同網(wǎng)絡(luò)層安全機(jī)制相比，傳輸層安全機(jī)制的主要優(yōu)點(diǎn)是它提供基于進(jìn)程對(duì)進(jìn)程的(而不是主機(jī)對(duì)主機(jī)的)安全服務(wù)。這一成就如果再加上應(yīng)用級(jí)的安全服務(wù)，就可以再向前跨越一大步了。

    三、應(yīng)用層的安全性

    必須牢記(且須仔細(xì)品味): 網(wǎng)絡(luò)層(傳輸層)的安全協(xié)議允許為主機(jī)(進(jìn)程)之間的數(shù)據(jù)通道增加安全屬性。本質(zhì)上，這意味著真正的(或許再加上機(jī)密的)數(shù)據(jù)通道還是建立在主機(jī)(或進(jìn)程)之間，但卻不可能區(qū)分在同一通道上傳輸?shù)囊粋€(gè)具體文件的安全性要求。比如說，如果一個(gè)主機(jī)與另一個(gè)主機(jī)之間建立起一條安全的IP通道，那么所有在這條通道上傳輸?shù)腎P包就都要自動(dòng)地被加密。同樣，如果一個(gè)進(jìn)程和另一個(gè)進(jìn)程之間通過傳輸層安全協(xié)議建立起了一條安全的數(shù)據(jù)通道，那么兩個(gè)進(jìn)程間傳輸?shù)乃邢⒕投家詣?dòng)地被加密。 

    如果確實(shí)想要區(qū)分一個(gè)具體文件的不同的安全性要求，那就必須借助于應(yīng)用層的安全性。提供應(yīng)用層的安全服務(wù)實(shí)際上是最靈活的處理單個(gè)文件安全性的手段。例如一個(gè)電子郵件系統(tǒng)可能需要對(duì)要發(fā)出的信件的個(gè)別段落實(shí)施數(shù)據(jù)簽名。較低層的協(xié)議提供的安全功能一般不會(huì)知道任何要發(fā)出的信件的段落結(jié)構(gòu)，從而不可能知道該對(duì)哪一部分進(jìn)行簽名。只有應(yīng)用層是唯一能夠提供這種安全服務(wù)的層次。 

    一般來說，在應(yīng)用層提供安全服務(wù)有幾種可能的做法，第一個(gè)想到的做法大概就是對(duì)每個(gè)應(yīng)用(及應(yīng)用協(xié)議)分別進(jìn)行修改。一些重要的TCP/IP應(yīng)用已經(jīng)這樣做了。在RFC 1421至1424中，IETF規(guī)定了私用強(qiáng)化郵件(PEM)來為基于SMTP的電子郵件系統(tǒng)提供安全服務(wù)。由于種種理由，Internet業(yè)界采納PEM的步子還是太慢，一個(gè)主要的原因是PEM依賴于一個(gè)既存的、完全可操作的PKI(公鑰基礎(chǔ)結(jié)構(gòu))。PEM PKI是按層次組織的，由下述三個(gè)層次構(gòu)成: 

    頂層為Internet安全政策登記機(jī)構(gòu)(IPRA) 
    次層為安全政策證書頒發(fā)機(jī)構(gòu)(PCA) 
    底層為證書頒發(fā)機(jī)構(gòu)(CA) 
    建立一個(gè)符合PEM規(guī)范的PKI也是一個(gè)政治性的過程，因?yàn)樗枰喾皆谝粋€(gè)共同點(diǎn)上達(dá)成信任。不幸的是，歷史表明，政治性的過程總是需要時(shí)間的，作為一個(gè)中間步驟，Phil Zimmermann開發(fā)了一個(gè)軟件包，叫做PGP(pretty Good Privacy)。PGP符合PEM的絕大多數(shù)規(guī)范，但不必要求PKI的存在。相反，它采用了分布式的信任模型，即由每個(gè)用戶自己決定該信任哪些其他用戶。因此，PGP不是去推廣一個(gè)全局的PKI，而是讓用戶自己建立自己的信任之網(wǎng)。這就立刻產(chǎn)生一個(gè)問題，就是分布式的信任模型下，密鑰廢除了怎么辦。 

    S-HTTP是Web上使用的超文本傳輸協(xié)議(HTTP)的安全增強(qiáng)版本，由企業(yè)集成技術(shù)公司設(shè)計(jì)。S-HTTP提供了文件級(jí)的安全機(jī)制，因此每個(gè)文件都可以被設(shè)成私人/簽字狀態(tài)。用作加密及簽名的算法可以由參與通信的收發(fā)雙方協(xié)商。S-HTTP提供了對(duì)多種單向散列(Hash)函數(shù)的支持，如: MD2，MD5及SHA; 對(duì)多種單鑰體制的支持，如：DES，三元DES，RC2，RC4，以及CDMF; 對(duì)數(shù)字簽名體制的支持，如: RSA和DSS。 

    目前還沒有Web安全性的公認(rèn)標(biāo)準(zhǔn)。這樣的標(biāo)準(zhǔn)只能由WWW Consortium，IETF或其他有關(guān)的標(biāo)準(zhǔn)化組織來制定。而正式的標(biāo)準(zhǔn)化過程是漫長的，可能要拖上好幾年，直到所有的標(biāo)準(zhǔn)化組織都充分認(rèn)識(shí)到Web安全的重要性。S-HTTP和SSL是從不同角度提供Web的安全性的。S-HTTP對(duì)單個(gè)文件作"私人/簽字"之區(qū)分，而SSL則把參與通信的相應(yīng)進(jìn)程之間的數(shù)據(jù)通道按"私用"和"已認(rèn)證"進(jìn)行監(jiān)管。Terisa公司的SecureWeb工具軟件包可以用來為任何Web應(yīng)用提供安全功能。該工具軟件包提供有 RSA數(shù)據(jù)安全公司的加密算法庫，并提供對(duì)SSL和S-HTTP的全面支持。 

    另一個(gè)重要的應(yīng)用是電子商務(wù)，尤其是信用卡交易。為使Internet上的信用卡交易安全起見，MasterCard公司(同IBM，Netscape，GTE和Cybercash一道) 制定了安全電子付費(fèi)協(xié)議(SEPP)，Visa國際公司和微軟(和其他一些公司一道)制定了安全交易技術(shù)(STT)協(xié)議。同時(shí)，MasterCard，Visa國際和微軟已經(jīng)同意聯(lián)手推出Internet上的安全信用卡交易服務(wù)。他們發(fā)布了相應(yīng)的安全電子交易(SET)協(xié)議，其中規(guī)定了信用卡持卡人用其信用卡通過Internet進(jìn)行付費(fèi)的方法。這套機(jī)制的后臺(tái)有一個(gè)證書頒發(fā)的基礎(chǔ)結(jié)構(gòu)，提供對(duì)X.509證書的支持。 

    上面提到的所有這些加安全功能的應(yīng)用都會(huì)面臨一個(gè)主要的問題，就是每個(gè)這樣的應(yīng)用都要單獨(dú)進(jìn)行相應(yīng)的修改。因此，如果能有一個(gè)統(tǒng)一的修改手段，那就好多了。通往這個(gè)方向的一個(gè)步驟就是赫爾辛基大學(xué)的Tatu Yloenen開發(fā)的安全shell(SSH)。SSH允許其用戶安全地登錄到遠(yuǎn)程主機(jī)上，執(zhí)行命令，傳輸文件。它實(shí)現(xiàn)了一個(gè)密鑰交換協(xié)議，以及主機(jī)及客戶端認(rèn)證協(xié)議。SSH有當(dāng)今流行的多種Unix系統(tǒng)平臺(tái)上的免費(fèi)版本，也有由Data Fellows公司包裝上市的商品化版本。 

    把SSH的思路再往前推進(jìn)一步，就到了認(rèn)證和密鑰分配系統(tǒng)。本質(zhì)上，認(rèn)證和密鑰分配系統(tǒng)提供的是一個(gè)應(yīng)用編程界面(API)，它可以用來為任何網(wǎng)絡(luò)應(yīng)用程序提供安全服務(wù)，例如: 認(rèn)證、數(shù)據(jù)機(jī)密性和完整性、訪問控制以及非否認(rèn)服務(wù)。目前已經(jīng)有一些實(shí)用的認(rèn)證和密鑰分配系統(tǒng)，如: MIT的Kerberos(V4與V5)，IBM的CryptoKnight和Netwrok Security Program，DEC的SPX，Karlsruhe大學(xué)的指數(shù)安全系統(tǒng)(TESS)等，都是得到廣泛采用的實(shí)例。甚至可以見到對(duì)有些認(rèn)證和密鑰分配系統(tǒng)的修改和擴(kuò)充。例如，SESAME和OSF DCE對(duì)Kerberos V5作了增加訪問控制服務(wù)的擴(kuò)充，Yaksha對(duì)Kerberos V5作了增加非否認(rèn)服務(wù)的擴(kuò)充。 

    關(guān)于認(rèn)證和密鑰分配系統(tǒng)的一個(gè)經(jīng)常遇到的問題是關(guān)于它們?cè)贗nternet上所受到的冷遇。一個(gè)原因是它仍要求對(duì)應(yīng)用本身做出改動(dòng)?？紤]到這一點(diǎn)，對(duì)一個(gè)認(rèn)證和密鑰分配系統(tǒng)來說，提供一個(gè)標(biāo)準(zhǔn)化的安全API就顯得格外重要。能做到這一點(diǎn)，開發(fā)人員就不必再為增加很少的安全功能而對(duì)整個(gè)應(yīng)用程序大動(dòng)手術(shù)了。因此，認(rèn)證系統(tǒng)設(shè)計(jì)領(lǐng)域內(nèi)最主要的進(jìn)展之一就是制定了標(biāo)準(zhǔn)化的安全API，即通用安全服務(wù)API(GSS-API)。GSS-API(v1及v2)對(duì)于一個(gè)非安全專家的編程人員來說可能仍顯得過于技術(shù)化了些，但德州Austin大學(xué)的研究者們開發(fā)的安全網(wǎng)絡(luò)編程(SNP)，把界面做到了比GSS-API更高的層次，使同網(wǎng)絡(luò)安全性有關(guān)的編程更加方便了。 

    局域網(wǎng)在網(wǎng)絡(luò)層有什么不安全的地方？

    NAI公司 供稿

    不安全的地方

    由于局域網(wǎng)中采用廣播方式，因此，若在某個(gè)廣播域中可以偵聽到所有的信息包，黑客就對(duì)可以對(duì)信息包進(jìn)行分析，那么本廣播域的信息傳遞都會(huì)暴露在黑客面前。

    網(wǎng)絡(luò)分段

    網(wǎng)絡(luò)分段是保證安全的一項(xiàng)重要措施，同時(shí)也是一項(xiàng)基本措施，其指導(dǎo)思想在于將非法用戶與網(wǎng)絡(luò)資源相互隔離，從而達(dá)到限制用戶非法訪問的目的。

    網(wǎng)絡(luò)分段可分為物理分段和邏輯分段兩種方式：

    物理分段通常是指將網(wǎng)絡(luò)從物理層和數(shù)據(jù)鏈路層（ISO/OSI模型中的第一層和第二層）上分為若干網(wǎng)段，各網(wǎng)段相互之間無法進(jìn)行直接通訊。目前，許多交換機(jī)都有一定的訪問控制能力，可實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)的物理分段。邏輯分段則是指將整個(gè)系統(tǒng)在網(wǎng)絡(luò)層（ISO/OSI模型中的第三層）上進(jìn)行分段。例如，對(duì)于TCP/IP網(wǎng)絡(luò)，可把網(wǎng)絡(luò)分成若干IP子網(wǎng)，各子網(wǎng)間必須通過路由器、路由交換機(jī)、網(wǎng)關(guān)或防火墻等設(shè)備進(jìn)行連接，利用這些中間設(shè)備（含軟件、硬件）的安全機(jī)制來控制各子網(wǎng)間的訪問。在實(shí)際應(yīng)用過程中，通常采取物理分段與邏輯分段相結(jié)合的方法來實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)系統(tǒng)的安全性控制。

    VLAN的實(shí)現(xiàn)

    虛擬網(wǎng)技術(shù)主要基于近年發(fā)展的局域網(wǎng)交換技術(shù)(ATM和以太網(wǎng)交換)。交換技術(shù)將傳統(tǒng)的基于廣播的局域網(wǎng)技術(shù)發(fā)展為面向連接的技術(shù)。因此，網(wǎng)管系統(tǒng)有能力限制局域網(wǎng)通訊的范圍而無需通過開銷很大的路由器。

    以太網(wǎng)從本質(zhì)上基于廣播機(jī)制，但應(yīng)用了交換器和VLAN技術(shù)后，實(shí)際上轉(zhuǎn)變?yōu)辄c(diǎn)到點(diǎn)通訊，除非設(shè)置了監(jiān)聽口，信息交換也不會(huì)存在監(jiān)聽和插入（改變）問題。

    由以上運(yùn)行機(jī)制帶來的網(wǎng)絡(luò)安全的好處是顯而易見的：

    信息只到達(dá)應(yīng)該到達(dá)的地點(diǎn)。因此、防止了大部分基于網(wǎng)絡(luò)監(jiān)聽的入侵手段。

    通過虛擬網(wǎng)設(shè)置的訪問控制，使在虛擬網(wǎng)外的網(wǎng)絡(luò)節(jié)點(diǎn)不能直接訪問虛擬網(wǎng)內(nèi)節(jié)點(diǎn)。

    但是，虛擬網(wǎng)技術(shù)也帶來了新的安全問題：

    執(zhí)行虛擬網(wǎng)交換的設(shè)備越來越復(fù)雜，從而成為被攻擊的對(duì)象?；诰W(wǎng)絡(luò)廣播原理的入侵監(jiān)控技術(shù)在高速交換網(wǎng)絡(luò)內(nèi)需要特殊的設(shè)置?；贛AC的VLAN不能防止MAC欺騙攻擊。

    采用基于MAC的VLAN劃分將面臨假冒MAC地址的攻擊。因此，VLAN的劃分最好基于交換機(jī)端口。但這要求整個(gè)網(wǎng)絡(luò)桌面使用交換端口或每個(gè)交換端口所在的網(wǎng)段機(jī)器均屬于相同的VLAN。

    VLAN之間的劃分原則

    VLAN的劃分方式的目的是保證系統(tǒng)的安全性。因此，可以按照系統(tǒng)的安全性來劃分VLAN;可以將總部中的服務(wù)器系統(tǒng)單獨(dú)劃作一個(gè)VLAN,如數(shù)據(jù)庫服務(wù)器、電子郵件服務(wù)器等。也可以按照機(jī)構(gòu)的設(shè)置來劃分VLAN，如將領(lǐng)導(dǎo)所在的網(wǎng)絡(luò)單獨(dú)作為一個(gè)Leader VLAN(LVLAN), 其他司局（或下級(jí)機(jī)構(gòu)）分別作為一個(gè)VLAN,并且控制LVLAN與其他VLAN之間的單向信息流向，即允許LVLAN查看其他VLAN的相關(guān)信息，其他VLAN不能訪問LVLAN的信息。VLAN之內(nèi)的連接采用交換實(shí)現(xiàn)， VLAN與VLAN之間采用路由實(shí)現(xiàn)。由于路由控制的能力有限，不能實(shí)現(xiàn)LVLAN與其他VLAN之間的單向信息流動(dòng)，需要在LVLAN與其他VLAN之間設(shè)置一個(gè)Gauntlet防火墻作為安全隔離設(shè)備，控制VLAN與VLAN之間的信息交流。