无线局域网采用了多种安全协议进行数据加密和身份认证，其中不包括（40)

免费智能真题库 > 历年试卷 > 网络管理员 > 2009年上半年网络管理员上午试卷综合知识

第40题

知识点：安全协议加密局域网认证身份认证数据加密无线局域网

关键词：安全身份认证数据加密无线局域网协议加密局域网数据章/节：网络安全基础知识

A. 高级加密标准AES

B. 公钥加密算法RSA

C. 访问控制协议802.1x

D. 有线等价协议WEP

相关试题：IPSec的使用

更多>

第56题 2015年上半年

64%

安全电子交易使用的协议是（）。

第45题 2017年上半年

46%

为保证安全性， HTTPS采用( )协议对报文进行封装。

第53题 2016年上半年

49%

下列隧道协议中，工作在网络层的是（53）。


知识点讲解
· 安全协议 · 加密 · 局域网 · 认证 · 身份认证 · 数据加密 · 无线局域网

安全协议

安全套接层

安全套接层（SSL）提供两台计算机之间的安全连接，对整个会话进行加密，从而可保证安全传输，工作在应用层和传输层之间。

SSL具有以下3个基本功能，即验证身份、数据的机密性、报文的完整性。

具体工作过程如下。

（1）SSL客户机连接至SSL服务器，并要求服务器验证它自身的身份。

（2）服务器通过发送它的数字证书证明其身份。这个交换还可以包括整个证书链，直到某个根证书颁发机构（CA）。通过检查有效日期并确认证书包含可信任CA的数字签名来验证证书的有效性。

（3）服务器发出一个请求，对客户端的证书进行验证，但是由于缺乏公钥体系结构，当今的大多数服务器不进行客户端认证。

协商用于加密的消息加密算法（如IDEA、RC4、DES、3DES、RSA等）和用于完整性检查的哈希函数（如MD5、SHA等），通常由客户端提供它支持的所有算法列表，然后由服务器选择最强大的加密算法。

安全电子交易

安全电子交易（Secure Electronic Transaction, SET）用于电子商务的行业规范，是一种应用在Internet上、以信用卡为基础的电子付款系统规范，目的就是为了保证网络交易的安全。

SET主要使用"电子认证"技术作为保密电子交易安全进行的基础，其认证过程使用RSA和DES算法。

电子邮件安全

PGP（Pretty Good Privacy，相当好的私密性）是一个完整的电子邮件安全软件包，包括加密、鉴别、电子签名和压缩等技术。PGP并没有使用什么新的概念，它只是将现有的一些算法如MD5、RSA及IDEA等综合在一起而已。PGP也可以用于文件存储。

PGP支持3种RSA密钥长度，即384b（偶尔使用）、512b（商用）和1024b（军用）。

加密

保密与加密

保密就是保证敏感信息不被非授权的人知道。加密是指通过将信息进行编码而使得侵入者不能够阅读或理解的方法，目的是保护数据和信息。解密是将加密的过程反过来，即将编码信息转化为原来的形式。古时候的人就已经发明了密码技术，而现今的密码技术已经从外交和军事领域走向了公开，并结合了数学、计算机科学、电子与通信等诸多学科而成为了一门交叉学科。现今的密码技术不仅具有保证信息机密性的信息加密功能，而且还具有数字签名、身份验证、秘密分存、系统安全等功能，来鉴别信息的来源以防止信息被篡改、伪造和假冒，保证信息的完整性和确定性。

加密与解密机制

加密的基本过程包括对原来的可读信息（称为明文或平文）进行翻译，译成的代码称为密码或密文，加密算法中使用的参数称为加密密钥。密文经解密算法作用后形成明文，解密算法也有一个密钥，这两个密钥可以相同也可以不相同。信息编码的和解码方法可以很简单也可以很复杂，需要一些加密算法和解密算法来完成。

从破译者的角度来看，密码分析所面对的问题有三种主要的变型：①“只有密文”问题（仅有密文而无明文）；②“已知明文”问题（已有了一批相匹配的明文与密文）；③“选择明文”（能够加密自己所选的明文）。如果密码系统仅能经得起第一种类型的攻击，那么它还不能算是真正的安全，因为破译者完全可能从统计学的角度与一般的通信规律中猜测出一部分的明文，而得到一些相匹配的明文与密文，进而全部解密。因此，真正安全的密码机制应使破译者即使拥有了一些匹配的明文与密文也无法破译其他的密文。

如果加密算法是可能公开的，那么真正的秘密就在于密钥了，密钥长度越长，密钥空间就越大，破译密钥所花的时间就越长，破译的可能性就越小。所以应该采用尽量长的密钥，并对密钥进行保密和实施密钥管理。

国家明确规定严格禁止直接使用国外的密码算法和安全产品，原因主要有两点：①国外禁止出口密码算法和产品，目前所出口的密码算法都有破译手段，②国外的算法和产品中可能存在“后门”，要防止其在关键时刻危害我国安全。

密码算法

密码技术用来进行鉴别和保密，选择一个强壮的加密算法是至关重要的。密码算法一般分为传统密码算法（又称为对称密码算法）和公开密钥密码算法（又称为非对称密码算法）两类，对称密钥密码技术要求加密解密双方拥有相同的密钥。而非对称密钥密码技术是加密解密双方拥有不相同的密钥。

对称密钥密码体制从加密模式上可分为序列密码和分组密码两大类（这两种体制之间还有许多中间类型）。

序列密码是军事和外交场合中主要使用的一种密码技术。其主要原理是：通过有限状态机产生性能优良的伪随机序列，使用该序列将信息流逐比特加密从而得到密文序列。可以看出，序列密码算法的安全强度由它产生的伪随机序列的好坏而决定。分组密码的工作方式是将明文分成固定长度的组（如64比特一组），对每一组明文用同一个密钥和同一种算法来加密，输出的密文也是固定长度的。在序列密码体制中，密文不仅与最初给定的密码算法和密钥有关，同时也是被处理的数据段在明文中所处的位置的函数；而在分组密码体制中，经过加密所得到的密文仅与给定的密码算法和密钥有关，而与被处理的明数据段在整个明文中所处的位置无关。

不同于传统的对称密钥密码体制，非对称密码算法要求密钥成对出现，一个为加密密钥（可以公开），另一个为解密密钥（用户要保护好），并且不可能从其中一个推导出另一个。公共密钥与专用密钥是有紧密关系的，用公共密钥加密的信息只能用专用密钥解密，反之亦然。另外，公钥加密也用来对专用密钥进行加密。

公钥算法不需要联机密钥服务器，只在通信双方之间传送专用密钥，而用专用密钥来对实际传输的数据加密解密。密钥分配协议简单，所以极大简化了密钥管理，但公共密钥方案较保密密钥方案处理速度慢，因此，通常把公共密钥与专用密钥技术结合起来实现最佳性能。

密钥及密钥管理

密钥是密码算法中的可变参数。有时候密码算法是公开的，而密钥是保密的，而密码分析者通常通过获得密钥来破译密码体制。也就是说，密码体制的安全性建立在对密钥的依赖上。所以，保守密钥秘密是非常重要的。

密钥管理一般包括以下8个内容。

（1）产生密钥：密钥由随机数生成器产生，并且应该有专门的密钥管理部门或授权人员负责密钥的产生和检验。

（2）分发密钥：密钥的分发可以采取人工、自动或者人工与自动相结合的方式。加密设备应当使用经过认证的密钥分发技术。

（3）输入和输出密钥：密钥的输入和输出应当经由合法的密钥管理设备进行。人工分发的密钥可以用明文形式输入和输出，并将密钥分段处理；电子形式分发的密钥应以加密的形式输入和输出。输入密钥时不应显示明文密钥。

（4）更换密钥：密钥的更换可以由人工或自动方式按照密钥输入和密钥输出的要求来实现。

（5）存储密钥：密钥在加密设备内采用明文形式存储，但是不能被任何外部设备访问。

（6）保存和备份密钥：密钥应当尽量分段保存，可以分成两部分并且保存在不同的地方，例如一部分存储在保密设备中，另一部分存储在IC卡上。密钥的备份也应当注意安全并且要加密保存。

（7）密钥的寿命：密钥不可以无限期使用，密钥使用得越久风险也就越大。密钥应当定期更换。

（8）销毁密钥：加密设备应能对设备内的所有明文密钥和其他没受到保护的重要保护参数清零。

局域网

局域网（Local Area Network, LAN），是在传输距离较短的前提下，所发展的相关技术的集合，用于将小区域内的各种计算机设备和通信设备互联在一起，组成资源共享的通信网络。在局域网中常见的传输媒介有双绞线、细／粗同轴电缆、微波、射频信号和红外线等。其主要特点如下。

（1）距离短：0.1km～25km，可以是一个建筑物内、一个校园内或办公室内。

（2）速度快：4Mbps～1Gbps，从早期的4Mbps、10Mbps及100Mbps发展到现在的1000Mbps（1Gbps），而且还在不断向前发展。

（3）高可靠性：由于距离很近，传输相当可靠，有极低的误码率。

（4）成本较低：由于覆盖的地域较小，因此传输媒介、网络设备的价格都相对较便宜，管理也比较简单。

根据技术的不同，局域网有以太网（Ethernet）、令牌环网络（Token Ring）、Apple Talk网络和ArcNet网络等几种类型。现在，几乎所有的局域网都是基于以太网实现的。当然，随着应用需求的不断提高，也对局域网技术提出了新的挑战，出现了一批像FDDI（Fiber Distributed Data Interface，光纤分布式数据接口）一样的技术。

认证

认证又分为实体认证和消息认证两种。实体认证是识别通信对方的身份，防止假冒，可以使用数字签名的方法。消息认证是验证消息在传送或存储过程中有没有被篡改，通常使用报文摘要的方法。

基于共享密钥的认证

如果通信双方有一个共享的密钥，则可以确认对方的真实身份。这种算法依赖于一个双方都信赖的密钥分发中心（Key Distribution Center，KDC），如下图所示，其中的A和B分别代表发送者和接收者，K_A、K_B分别表示A、B与KDC之间的共享密钥。

基于共享密钥的认证协议

认证过程如下：A向KDC发出消息{A，K_A（B，K_S）}，说明自己要与B通信，并指定了与B会话的密钥K_S。注意，这个消息中的一部分（B，K_S）是用K_A加密的，所以第三者不能了解消息的内容。KDC知道了A的意图后就构造了一个消息{K_B（A，K_S）}发给B。B用K_B解密后就得到了A和K_S，然后就可以与A用K_S会话了。

然而，主动攻击者对这种认证方式可能进行重放攻击。例如A代表雇主，B代表银行。第三者C为A工作，通过银行转账取得报酬。如果C为A工作了一次，得到了一次报酬，并偷听和复制了A和B之间就转账问题交换的报文，那么贪婪的C就可以按照原来的次序向银行重发报文2，冒充A与B之间的会话，以便得到第二次、第三次……报酬。在重放攻击中攻击者不需要知道会话密钥K_S，只要能猜测密文的内容对自己有利或是无利就可以达到攻击的目的。

基于公钥的认证

这种认证协议如下图所示。A向B发出E_B（A，R_A），该报文用B的公钥加密。B返回E_A（R_A，R_B，K_S），用A的公钥加密。这两个报文中分别有A和B指定的随机数R_A和R_B，因此能排除重放的可能性。通信双方都用对方的公钥加密，用各自的私钥解密，所以应答比较简单。其中的K_S是B指定的会话键。这个协议的缺陷是假定双方都知道对方的公钥。

基于公钥的认证协议

身份认证

身份认证的主要目标是检验身份，即确定合法用户的身份和权限，识别假冒他人身份的用户。认证系统可以与授权系统配合使用，在用户的身份通过认证后，根据其具有的授权来限制、其操作行为。常见的系统身份认证方式主要有入网访问控制和权限控制。

入网访问控制

入网访问控制为网络访问提供了第一层访问控制，限制未经授权的用户访问部分或整个信息系统。用户要访问信息系统，首先要获得授权，然后接受认证。对信息系统进行访问包含三个步骤：第一步，能够使用终端；第二步，进入系统；第三步，访问系统中的具体命令、交易、权限、程序和数据。目前，从市场上可以买到针对计算机、局域网、移动设备和拨号通信网的访问控制软件。访问控制规程要求为每个有效用户分配一个唯一的用户身份标识（UID），使用这个UID对要求访问信息系统用户的真实身份进行验证。可以使用数字证书、智能卡、硬件令牌、手机令牌、签名、语音、指纹及虹膜扫描等生物特征鉴别。

其中，数字证书就是互联网通信中标志通信各方身份信息的一系列数据，提供了一种在Internet上验证身份的方式，其作用类似于司机的驾驶执照或日常生活中的身份证。它是由一个权威机构——CA机构，又称证书授权（Certificate Authority）中心发行的，人们可以在网上用它来识别对方的身份。数字证书有两种形式，即文件证书和移动证书USBKEY。其中移动证书USBKEY是一种应用了智能芯片技术的数据加密和数字签名工具，其中存储了每个用户唯一、不可复制的数字证书，在安全性上更胜一筹，是现在电子政务和电子商务领域最流行的身份认证方式。其原理是通过USB接口与计算机相连，用户个人信息存放在存储芯片中，可由系统进行读／写，当需要对用户进行身份认证时，系统提请用户插入USBKEY并读出上面记录的信息，信息经加密处理送往认证服务器，在服务器端完成解密和认证工作，结果返回给用户所请求的应用服务。

生物特征鉴别通过自动验证用户的生理特征或行为特征来识别身份。多数生物学测定系统的工作原理是将一个人的某些特征与预存的资料（在模板中）进行对比，然后根据对比结果进行评价。常见的测定方法如下。

（1）脸部照片。计算机对脸部进行照相并将其与预存的照片进行对比。这种方法能够成功地完成对用户的识别，只是在识别双胞胎时不够准确。

（2）指纹扫描。当用户登录时，可扫描用户的指纹并将其与预存的指纹进行对比，确定是否匹配。

（3）手型识别。这种方法与指纹扫描非常类似，不同之处在于验证人员使用类似于电视的照相机对用户的手进行拍照，然后将手的某些特征（如手指长度和厚度等）与计算机中存储的信息进行对比。

（4）虹膜扫描。这种技术是使用眼睛中有颜色的一部分来确定个人身份的方法，通过对眼睛进行拍照并对照片进行分析来确定用户身份，结果非常准确。

（5）视网膜扫描。这种方法对视网膜上的血管进行扫描，将扫描结果与预存的照片进行对比。

（6）语音扫描。这种方法通过对比用户的语音与计算机中预存的语音来验证用户身份。

（7）签名。将签名与预存的有效签名进行对比。

（8）击键动态。将用户键盘压力和速度与预存的信息进行对比。

（9）还有脸部温度测定等方法。

网络的权限控制

网络权限控制是针对网络非法操作所提出的一种安全保护措施。用户和用户组被赋予一定的权限。网络控制用户和用户组可以访问哪些目录、子目录、文件和其他资源；可以指定用户对这些文件、目录、设备能够执行哪些操作；可以根据访问权限将用户分为特殊用户（系统管理员）和一般用户，系统管理员根据用户的实际需要为他们分配操作权限。网络应允许控制用户对目录、文件、设备的访问。用户在目录一级指定的权限对所有文件和子目录均有效，用户还可进一步指定目录下子目录和文件的权限。对目录和文件的访问权限一般有八种：系统管理员权限、读权限、写权限、创建权限、删除权限、修改权限、文件查找权限、存取控制权限。

数据加密

数据加密是防止未经授权的用户访问敏感信息的手段，这就是人们通常理解的安全措施，也是其他安全方法的基础。研究数据加密的科学叫作密码学（Cryptography），它又分为设计密码体制的密码编码学和破译密码的密码分析学。密码学有着悠久而光辉的历史，古代的军事家已经用密码传递军事情报了，而现代计算机的应用和计算机科学的发展又为这一古老的科学注入了新的活力。现代密码学是经典密码学的进一步发展和完善。由于加密和解密此消彼长的斗争永远不会停止，这门科学还在迅速发展之中。

一般的保密通信模型如下图所示。

保密通信模型

从图中可以看出，发送端把明文P用加密算法E和密钥K加密，变换成密文C，即C=E（K，P）；接收端利用解密算法D和密钥K对C解密得到明文P，即P=D（K，C）。

这里加／解密函数E和D是公开的，而密钥K（加／解密函数的参数）是秘密的。在传送过程中偷听者得到的是无法理解的密文，而他又得不到密钥，这就达到了对第三者保密的目的。需要说明的是，不论偷听者获取了多少密文，但是密文中没有足够的信息，使得可以确定出对应的明文，则这种密码体制叫作是无条件安全的，或称为是理论上不可破解的。在无任何限制的条件下，几乎目前所有的密码体制都不是理论上不可破解的。能否破解给定的密码，取决于使用的计算资源。所以密码专家们研究的核心问题就是要设计出在给定计算费用的条件下，计算上（而不是理论上）安全的密码体制。

无线局域网

无线局域网是使用无线传输媒体代替光缆或光纤的计算机局域网，市场上用WiFi或Wi-Fi作为商标。现在的无线局域网可连接到因特网，在有限的距离内，其数据传输速率高，可支持各种形式的多媒体应用，如可视电话、电视会议、实况转播等。无线局域网容易安装和使用，被广泛用在住宅、学校、实验室、办公室等场所。

题号导航 2009年上半年网络管理员上午试卷综合知识

本试卷我的完整做题情况



	第40题在手机中做本题