CPIP协议族安全架构.ppt

《CPIP协议族安全架构.ppt》由会员分享，可在线阅读，更多相关《CPIP协议族安全架构.ppt（23页珍藏版）》请在三一办公上搜索。

1、第二章TCP/IP协议簇的安全架构,2.1TCP/IP协议族概述,内 容 提 要,TCP/IP协议族概述TCP/IP协议族安全性分析TCP/IP协议族安全架构,TCP/IP协议族分层,HTTP,SMTP,DNS,RTP,TCP,UDP,硬件接口,网络层,链路层,运输层,应用层,IGMP,ARP,PARP,ICMP,物理介质/0层,电缆,FDDI,双绞线,双绞线,微波,无线,卫星,TCP/IP协议族分层（1）-物理层,物理介质层：也叫0层，本身不属于TCP/IP协议族层次功能：实现节点/结点之间的物理连接（物理连线）构成：双绞线+电缆+光纤+微波+无线频道+卫星频道等网络接口层功能：物理接入+b

2、流传输+帧组装+点点通信构成协议：以太网+令牌网+帧中继+信元网+别类型网络网际层功能：地址解析+网间链接+路由寻径+流量控制+向上服务构成协议：IP+ARP/PARP+ICMP+IGMP,数据链路层或网络接口层。功能：接收来自网路层的IP数据报，把数据发送到制定的网络上；接收物理帧，抽出网络层数据报。组成：设备驱动程序，网络接口卡。协议类型：地址解析协议（ARP）和逆地址解析协议（RARP）,TCP/IP协议族分层（2）-链路层,TCP/IP协议族分层（3）-网络层,网际互联层。作用：处理数据包在网络中的活动（packet）。网络层是异构网络的关键。接收传输层的请求，封装数据包，加包头。协议

3、：控制消息协议：ICMP(internet control message protocol).网络层利用他来与其他主机或路由交换错误报文和重要消息。比如ping。组管理协议：IGMP（internet group management protocol），把UDP数据报多播到多个主机。,TCP/IP协议族分层（4）-传输层,作用：提供应用程序之间的通信服务，负责为2台互联主机的应用程序提供端到端的通信。协议：TCP/IP,TCP/IP协议族分层（5）-应用层,最高层。网络向用户提供各种服务。协议：FTP/HTTP/SMTP/DNS,TCP/IP协议族功能协议（1）,TCP协议：握手链接+可靠

4、B流传输+分/复端口+释放链接协议特征：数据流+虚电路+缓冲传输+元结构+全双工TCP 头部数据结构UDP协议：无需连接+不可靠数据报传输+分/复用端口协议特征：无状态+数据报+不可靠+有端口+伪头部UDP 头部与伪头部数据结构,TCP/IP协议族功能协议（2）,IP协议：分片封装+路由寻径+存储转发+尽力投递协议数据发送：直接发送+间接发送协议特征：核心协议+点到点+源路由IP头部数据结构ICMP协议：辅助协议+拥塞控制+路径检查协议特征：差错报告+消息控制+呼叫-应答ICMP头部数据结构,传输层协议的安全隐患,TCP协议的安全隐患：三次握手的过程中，服务器可能出现一个异常线程等待，如果有大

5、量的等待，服务器会因为维持大量的半连接列表耗费资源。三次握手时产生初始序列号（ISN），该号不是随即产生的，有些平台可以计算出该号，进行攻击UDP协议的安全隐患：Udp本身是不可靠的，依靠IP协议传输报文，不能确定报文是否到达，丢弃的包不重传。,网络层协议的安全隐患,IP协议的安全隐患:缺少身份认证机制，不检查IP地址，产生IP欺骗攻击，尤其是地址假冒。IP数据包包含了源路由选项，本来是可以指定路由，测试流量，但是，可以利用源路由选项进行攻击，源路由指定了IP数据包必须经过的路由，使得入侵者可以绕开网络的安全措施，选择攻击目标。重组IP分段包的威胁，网络存在不同的最大传输单元（MTU）,为此，

6、IP提供了对数据包的分段和重组。重组过程是：标志域的MF位为1的包合并，直到MF为0.组合的数据包数据长度为各个分段的和。IP头中数据包长度域只有16位，限制了IP包的长度最大为65535.黑客手工生成数据包，使其组合后大于65535,ICMP协议的安全隐患：ICMP作用：差错控制、拥塞控制（没有用户数据）原理：利用重定向报文破坏路由和利用不可达报文发起拒绝服务攻击。方法：ICMP包为64KB，根据包标题头信息为有效载荷生成缓冲区，载荷大小超过上限，导致堆栈溢出，系统崩溃。局域网内还可以伪造ICMP重定向包，使其经过自己主机，就会产生不可达。总结：安全风险：传输风险（窃听、伪造、篡改）攻击风险

7、（地址假冒、非法 访问）,链路层协议的安全隐患,ARP安全隐患：该协议使用了CACHE技术存放最近的映射表，该映射表几分钟后就会过期，伪造IP地址，一旦数据过期，就可以假冒入侵被信任服务器。PPP安全隐患：分组点到点传输，没有完整性和机密性保护。CSMA/CD安全隐患：该协议在以太网接口检测数据帧，不是自己就忽略，重新设置就可以全部接收。,应用层协议安全隐患,主要包括：超级管理员身份运行，一旦被黑，丢失系统权限；多数协议身份认证简单，数据明文传输。TELNET:TELNET登录时会话中账号和口令明文传输，通过会话劫持获得账号和密码。FTP：端口长期开放。1.敏感信息从公共信息剥离。2.明文传输

8、。SMTP：拒绝服务：大量垃圾信息，比如邮箱炸弹。信息收集：vrfy命令把用户邮件别名转换为注册名。DNS：DNS服务器返回的相应信息被网络主机信任。伪造IP地址请求影响服务器映射表，控制服务器。WWW:改变web站点数据，伪造服务器等,2.2.2典型攻击,SYN flood：用户发送syn请求报文后死机或断开连接，服务器发出syn+ACK报文，等待用户的ack报文，一般要等30秒到2分钟，才丢弃。TCP序列号猜测：TCP顺序递交协议。三次握手时如果猜测到序列号，能够被主机信任。方法：1.嗅探服务器IP。2.监听。本次TCP连接与下次连接之间序列号存在一定的关系。IP地址欺骗：拒绝服务攻击导致

9、双方主机瘫痪，伪造数据包，猜测序列号，得到主机信任。会话劫持：获得序列号后，在TCP片断中插入自己的命令，到服务器时装配成命令行，就像合法用户输入命令一样。,路由欺骗：,TCP/IP协议族安全性（1）,传输层：TCP风险+UDP风险TCP协议风险1：握手半连接连接上限拒绝服务TCP协议风险2：初始序号号计算冒充控制攻击UDP协议风险：截获+冒充+插入+篡改网际层：IP风险+ICMP风险IP协议风险1：地址欺骗合法用户穿透防火前IP协议风险2：指定源路由绕开网络防御攻击IP协议风险3：黑客发送分片包主机重组64KIP崩溃,TCP/IP协议族安全性（1）,ICMP协议风险1：黑客伪装主动发送不可达

10、包DoS ICMP协议风险2：黑客伪装重定向窃取数据链路层：ARP风险+PPP风险+CSMA/CD风险ARP风险：Cache过期假冒回应获得信任攻击PPP风险：点对点广播截获CSMA/CD风险：混杂模式截获数据应用层：TELNET+FTP+SMTP+SNMP+DNS+路由协议+NFS+NTP等风险,TCP/IP协议族安全性（2）,TELNET风险：远程登录会话创建明文帐号口令窃听FTP风险：被动工作模式文件管理信息疏漏提升权限FTP风险类型：串区访问+明文口令帐号+版权问题SMTP风险1：邮件大小限制发送超大邮件收件端无法处理半连接形成DoSSMTP风险2：邮箱空间限制垃圾塞满邮箱邮箱崩溃SM

11、TP风险3：发送危险邮件或附件接收端中招炸弹SMTP风险4：搜集新的邮件帐户,TCP/IP协议族安全性（3）,SNMP风险1：默认共同体字符串pbulic或privateSNMP风险2：网管站访问被管设备Unix的rhosts超权操作SNMP风险3：群发/超大Get请求半连接服务器崩溃DNS风险：假IP欺骗请求更改映射表更改转换表库重复等效库替代1DNS域传送网络瘫痪2用假库地址路由协议风险：口令明文传输窃听伪造路由信息NFS风险：句柄泄漏破坏崩溃其他风险：WWW风险+应用程序风险,对TCP/IP协议族的攻击,SYN Flood攻击+TCP序列号猜测+IP地址欺骗 TCP会话劫持+路由欺骗+DNS欺骗+ARP欺骗+UDP Flood攻击+ping of death,TCP/IP协议族安全架构,