第十章 网络加密与密钥管理
30、网络加密方式及特点
1）链路加密：a ）不同结点对之间的密码机和密钥不一定相同；b ）在每个中间节点上，消息先解密，后加密；c ）报文和报头可同时进行加密；d ）在结点内部，消息以明文的方式存在；e ）在链路加密中，密钥分配存在困难；f ）随着结点增多，保密机的需求数量很大。
2）节点加密：a) 在中间节点先对消息进行解密，然后进行加密吧b)在通信链路上所 传输的消息为密文；c) 加密过程对用户是透明；d) 消息在节点以明文形式存在； e) 加解密过程在结点上的一个安全模块中进行；f) 要求报头和路由信息以明文 形式传送。 3）端到端加密：a ）对两个终端之间的整个通信线路进行加密；b ）只需要2台加密机，1台在发端，1台在收端；c ）从发端到收端的传输过程中，报文始终以密文存在；d ）消息报头（源/目的地址）不能加密，以明文传送；e ) 只需要2台加密机，1台在发端，1台在收端；f ) 从发端到收端的传输过程中，报文始终以密文存在；g ) 比链路和节点加密更安全可靠，更容易设计和维护。 4）混合加密: 链路加密+端到端加密 31、软件加密和硬件的特点：
1）硬件加密的特点:加密速度快、硬件安全性好、硬件易于安装。
2）软件加密的特点:速度慢、灵活、轻便、可安装于多种机器上、可将几个软件组合成一个系统.。
32、文件删除方法：真正从存储器中消除所存储的内容需用物理上的重复写入方法。 33、密钥管理的功能及目的：
A）密钥管理是处理密钥从产生到最终销毁的整个过程中的有关问题，包括系统的初始化及密钥的产生、存储、备份/恢复、装入、分配、保护、更新、控制、丢失、撤销和销毁等内容。
B）目的：是维持系统中各实体之间的密钥关系，以抗击各种可能的威胁，如：1）密钥
16 / 22
的泄露 2）密钥或公开钥的确证性的丧失，确证性包括共享或关于一个密钥的实体身份的知识或可证性。3）密钥或公开钥未经授权使用，如使用失效的密钥或违例使用密钥。 34、密钥的种类及各类密钥的有效期
1）基本密钥：是由用户选定或由系统分配给他的、可在较长时间）内由一对用户所专用的秘密钥。记为kp
2）会话密钥：两个通信终端用户在一次通话或交换数据时所用的密钥。记为ks
3）密钥加密密钥：用于对所传送的会话或文件密钥进行加密的密钥，也称次主密钥。记为ke
4）主机密钥：它是对密钥加密钥进行加密的密钥，存储于主机处理器中。记为km 5）数据加密密钥：也称为工作密钥。
6）在双钥体制下,有公钥和私钥、签名密钥和证实密钥之分 35、密钥的分级保护管理法：
如图所示，从图中可以清楚看出各类密钥的作用和相互关系。由此可见，大量数据可以通过少量动态产生的数据加密密钥（初级密钥）进行保护；而数据加密密钥又可由少量的、相对不变（使用期较长）的密钥（二级）或主机主密钥0来保护；其他主机主密钥（1 和 2）用来保护三级密钥。这样，只有极少数密钥以明文形式存储在有严密物理保护的主机密码器件中，其他密钥则以加密后的密文形式存于密码器之外的存储器中，因而大大简化了密钥管理，并改了密钥的安全性。
17 / 22
36、将密钥按类型分成不同的等级。
1）大量的数据通过少量的动态产生的初级密钥来保护。
2）初级密钥用更少量的、相对不变的二级密钥或主密钥KM0来保护。 3）二级密钥用主机主密钥KM1,KM2来保护。
4）少量的主密钥以明文形式存储在专用的密码装置中，其余的密钥以密文形式存储在专用密码装置以外。
这样，就把保护大量数据的问题简化为保护和使用少量数据的问题。（实际上保护一个密钥，因为KM1,KM2 是由KM0派生而来。） 37、实现秘密信息共享的3个基本方法
1)利用安全信道实现密钥传递 2）利用双钥体制建立安全信息传递 3）利用特定物理现象实现密钥传递。
38、密钥生存期的4个阶段
1）预运行阶段,此时密钥尚不能正常使用 2）运行阶段,密钥正常使用
3）后运行阶段,密钥不再提供正常使用,但为了特殊目的可以在脱机下接入 4）报废阶段,将有关被吊销密钥从所有记录中山区,这类密钥不可能再用
第十二章 防火墙技术
39、防火墙工作原理：防火墙是由软件和硬件组成的系统，它处于安全的网络和不安全的网络之间，根据由系统管理员设置的访问控制规则，对数据流进行过滤。
40、防火墙对数据流的3种处理方式：a 允许数据流通过；b 拒绝数据流通过，并向发送者回复一条消息，提示发送者该数据流已被拒；c 将数据流丢弃，不对这些数据包进行任
18 / 22
何处理，也不会向发送者发送任何提示信息。
41、防火墙的要求及基本目标：所有进出网络的数据流都必须经过防火墙；只允许经过授权的数据流通过防火墙；防火墙自身对入侵是免疫的。 42、防火墙的OSI模型工作层次及特点
防火墙通常建立在TCP/IP模型基础上，OSI模型与TCP/IP模型之间并不存在一一对应的关系。
43、防火墙的NAT功能：隐藏内部网络的拓扑结构，提升网络安全性。 44、静态包过滤防火墙、动态包过滤防火墙的主要区别
1）静态包过滤：使用分组报头中存储的信息控制网络传输。当过滤设备接收到分组时，把报头中存储的数据属性与访问控制策略对比（称为访问控制表或ACL），根据对比结果的不同，决定该传输是被丢弃还是允许通过。
2）动态包过滤：通过包的属性和维护一份连接表来监视通信会话的状态而不是简单依靠标志的设置。针对传输层的，所以选择动态包过滤时，要保证防火墙可以维护用户将要使用的所有传输的状态，如TCP，UDP，ICMP等。 45、状态检测防火墙的原理及安全性分析 1）状态检测防火墙的原理：
通信信息：防火墙的检测模块位于操作系统的内核，在网络层之下，能在数据包到达网关操作系统之前对它们进行分析；
通信状态：状态检测防火墙在状态表中保存以前的通信信息，记录从受保护网络发出的数
19 / 22
据包的状态信息；
应用状态：能够理解并学习各种协议和应用，以支持各种最新的应用；能从应用程序中收集状态信息并存入状态表中，以供其他应用或协议做检测策略； 操作信息：状态监测技术采用强大的面向对象的方法； 2）安全性分析：
优点：具备动态包过滤所有优点，同时具有更高的安全性；没有打破客户/服务器模型；提供集成的动态包过滤功能；运行速度更快。
缺点：采用单线程进程，对防火墙性能产生很大影响；没有打破客户/服务器结构，会产生不可接受的安全风险；不能满足对高并发连接数量的要求；仅能提供较低水平的安全性。 46、分布式防火墙系统组成：网络防火墙；主机防火墙；中心管理。
47、防火墙未来的发展方向：智能化 ；高速度；并行体系结构；多功能；专业化；防病毒。
48、防火墙的部署位置：部署在内网与接进的外网之间。 49、防火墙的安全域和非安全域。（详见课件“防火墙（一）.PPT”）
另外：防火墙包过滤规则的设置（详见课件“防火墙（二）.PPT”补充内容）
第十三章 入侵检测系统
50、入侵检测的概念、IDS工作原理：IDS不间断的从计算机网络或计算机系统中的若干关键点上收集信息，进行集中或分布式的分析，判断来自网络和外部的入侵企图，并实时发出报警。
51、IDS信息收集的来源：基于主机、基于网络、混合型。 52、信息分析：模式匹配、统计分析
53、IDS的异常检测和误用检测：异常检测：收集操作活动的历史数据，建立代表主机、用户或网络连接的正常行为描述，判断是否发生入侵。 误用检测：对已知的入侵行为和手段进行分析，提取检测特征，构建攻击模式或攻击签名，判断入侵行为。
54、入侵检测的3个基本步骤：入侵信息的收集、信号分析、入侵检测响应方式 55、NIDS：检测内容：包头信息和有效数据部分。
56、HIDS：检测内容：系统调用、端口调用、审计记录、系统日志、应用日志。 蜜罐技术：是一种被侦听、被攻击或已经被入侵的资源。 57、IPS的特点（详见课课本）
第十四章 虚拟专网
58、虚拟专网定义：是指物理上分布在不同地点的网络通过公用网络连接成逻辑上的虚拟子网，并采用认证、访问控制、保密性、数据完整性等在公用网络上构建专用网络的技术，使得数据通过安全的“加密通道”在公用网络中传输。
59、VPN的引入的原因及特点：费用低、安全保障、服务质量保证、可扩充性和灵活性、可管理性
20 / 22
网络安全技术与实践第二版课后答案
