安全性和保密性设计 · OSI 五服务八机制与 VPN

对，原文交代了背景：ISO 的 OSI/RM 并没有在安全性方面作专门的设计，模型本身的安全性很弱；为了改善网络安全状况，ISO 又在 OSI/RM 的基础上提出了一套 OSI 安全架构。总纲一句：OSI 安全架构是一个面向对象的、多层次的结构，它认为安全的网络应用是由安全的服务实现的，而安全服务又是由安全机制来实现的——「应用、服务、机制」三层递进，这句就是简答题骨架。

五类安全服务先背名单：对象认证服务、访问控制服务、数据保密性服务、数据完整性服务、禁止否定服务。逐个说。对象认证服务又可分为对等实体认证和信源认证，用于识别对等实体或信源的身份，并对身份的真实性、有效性进行证实；其中对等实体认证验证某一通信过程中一对关联实体中双方的声称是一致的、确认没有假冒的身份，信源认证验证所接收到的信息是否确实具有它所声称的来源。

内容相通：访问控制服务防止越权使用通信网络中的资源，可以分为自主访问控制、强制访问控制、基于角色的访问控制；并再次出现那句原文——由于 DAC、MAC 固有的弱点，以及 RBAC 的突出优势，RBAC 一出现就成为在设计中最受欢迎的一种访问控制方法。上一集那句「最受欢迎」就出在这里。

数据保密性服务：针对信息泄漏而采取的防御措施，包括信息保密、选择段保密、业务流保密等内容，是通过对网络中传输的数据进行加密来实现的。数据完整性服务：包括防止非法篡改信息，如修改、删除、插入、复制等。禁止否认服务：防止信息的发送者在事后否认自己曾经进行过的操作，即通过证实所有发生过的操作防止抵赖，具体可分为防止发送抵赖、防止递交抵赖和进行公证等几个方面。

名单八个：加密机制、数字签名机制、访问控制机制、数据完整性机制、鉴别交换机制、流量填充机制、路由验证机制、公证机制。原文总述还有一句：OSI 安全服务与安全机制之间不是一一对应的关系，有的服务需要借助多种机制来实现，同时有些机制可以提供多种服务——「不是一一对应」本身是判断题。

前四个好懂：加密机制通过各种加密算法对传输信息加密，是最常用措施，大致分为对称与公开密钥两大类；数字签名机制采用私钥进行数字签名、采用公开密钥加密算法对签名验证；访问控制机制根据事先设计好的访问规则判断主体对客体的访问是否合法，是安全保护的最基本方法、网络安全的前沿屏障；数据完整性机制包括数据单元的完整性和数据单元序列的完整性两个方面。

第五，鉴别交换机制：以交换信息的方式来确认实体的身份，一般用于同级别的通信实体之间的认证；常用来实现的技术有三种——口令，由发送方提交、接收方检测；加密，将交换的信息加密使得只有合法用户才可以解读；实体的特征或所有权，例如指纹识别、身份卡识别等。

第六，业务流填充机制：设法使加密装置在没有有效数据传输时，还按照一定的方式连续地向通信线路上发送伪随机序列，并且发出的伪随机序列也是经过加密处理的——这样非法监听者就无法区分监听到的信息中哪些是有效的哪些是无效的，从而防止攻击者监听数据、分析流量流向。认准「没有数据时也发加密的伪随机序列」这个动作。

名单原文写的是路由验证机制，但解释那段的措辞是路由控制的内容：在一个大型网络里，从源节点到目的节点之间往往有多种路由，有一些是安全的而另一些可能不安全；传送敏感数据时就需要选择特定的安全的路由，使之只在安全的路径中传送，从而保证数据通信的安全。第八，公证机制：复杂系统中很难保证每个用户都诚实、每个资源都可靠，也可能因系统故障造成信息延迟丢失，引起责任纠纷；公证机构是系统中通信各方都信任的权威机构，各方通信前都与这个机构交换信息，借助可信赖的第三方保证通信可信，出现争议也能通过公证机构仲裁。

接着 16.7.2 VPN。定义：虚拟专用网络 VPN 是指利用不安全的公共网络如 Internet 等作为传输媒介，通过一系列的安全技术处理，实现类似专用网络的安全性能、保证重要信息安全传输的一种网络技术。

四条，每条挑关键词。网络通信安全：采用安全隧道等技术提供安全的端到端的连接服务，位于 VPN 两端的用户在 Internet 上通信时，所传输的信息都是经过 RSA 不对称加密算法加密处理的，它的密钥则是通过 Diffie-Hellman 算法计算得出的——「RSA 加密、Diffie-Hellman 算密钥」这个搭配是原文级考点。方便的扩充性：重构只需调整配置，扩充只需配置几个节点，不需要对已建好的网络作工程上的调整。方便的管理：可以把大量网络管理工作放到互联网络服务提供商一端来统一实现，减轻企业内部网络管理的负担。节约成本显著：以前两个远程网络互联主要采用专线连接方式、成本太高；

VPN 在 Internet 基础上建立安全性较好的虚拟专用网，成本比较低，还把一部分运行维护工作放到服务商端。

实现 VPN 的三项关键技术：安全隧道技术——把传输的信息经过加密和协议封装处理后再嵌套装入另一种协议的数据包中送入网络，像普通数据包一样传输，只有源端和目标端用户能提取处理，对其他用户而言这些信息只是无意义的垃圾；用户认证技术——在连接开始之前先确认用户身份，再根据身份进行授权和资源访问控制；访问控制技术——由 VPN 服务的提供者与最终网络信息资源的提供者共同协商确定用户对资源的访问权限。

结构分两个平面。安全传输平面 STP，由安全隧道代理和管理中心组成，实现在 Internet 上安全传输和相应的系统管理功能；公共功能平面 CFP，由用户认证管理中心和密钥分配中心组成，是安全传输平面的辅助平面，主要向用户代理提供相对独立的用户身份认证与管理、密钥的分配与管理功能。

运行流程一句：VPN 用户代理向安全隧道代理请求建立安全隧道，安全隧道代理接受后，在管理中心的控制和管理下在 Internet 上建立安全隧道，然后向用户提供透明的网络传输；VPN 用户代理包括安全隧道终端功能、用户认证功能和访问控制功能三个部分。

安全传输平面的两个部件分工：安全隧道代理是 VPN 的主体，可在管理中心控制下将多段点到点的安全通路连接成一条端到端的安全隧道，作用包括建立与释放安全隧道、用户身份的验证——要求用户代理提交用户认证管理中心提供的证书、必要时反向认证、服务等级的协商、信息的透明传输、控制与管理安全隧道；VPN 管理中心是整个 VPN 的核心部分，负责协调各安全隧道代理之间的工作，包括安全隧道的管理与控制——确定最佳路由、出错时重新选择路由，以及网络性能的监视与管理——日志记录、用户计费、追踪审计、故障报告。

公共功能平面两部件：认证管理中心提供用户身份认证和用户管理——以第三者身份客观地向 VPN 用户代理和安全隧道代理的一方或双方提供用户身份认证；密钥分配中心向需要进行身份验证和信息加密的双方提供密钥的分配、回收与管理功能，在 VPN 系统里用户代理、安全隧道代理、认证管理中心等都是密钥分配中心的用户。最后原文还有一句专家提示：采用 VPN 技术，既能保证整个企业网络的连通性与数据的共享，又能保证财务等重要数据的安全，是一种实现企业内部本地网络互连的良好方案。

本集必背：OSI 安全架构总纲——安全网络应用由安全服务实现、安全服务由安全机制实现；五类服务——对象认证分为对等实体认证和信源认证、访问控制、数据保密性含信息保密选择段保密业务流保密、数据完整性防修改删除插入复制、禁止否认分防止发送抵赖防止递交抵赖公证；八种机制——加密、数字签名、访问控制、数据完整性、鉴别交换、流量填充、路由验证、公证，服务与机制不是一一对应；鉴别交换用口令、加密、特征或所有权；

业务流填充是没有有效数据时也连续发送加密的伪随机序列防流量分析；公证靠通信各方都信任的权威机构；VPN 定义四优点——通信安全用 RSA 加密 Diffie-Hellman 算密钥、扩充方便、管理方便放到服务商端、节约成本显著；三项关键技术安全隧道、用户认证、访问控制；安全传输平面等于安全隧道代理加管理中心、公共功能平面等于用户认证管理中心加密钥分配中心且是辅助平面；安全隧道代理是 VPN 的主体、管理中心是整个 VPN 的核心。

对，包过滤、状态检测、应用网关三种防火墙的对比，IDS 的两类检测技术和主机型网络型，最后收法律法规——刑法 285、286、287 三条。