平J早電大網(wǎng)方地 1Z1 3.源路由選擇欺騙(Source Routing
置了一個(gè)選項MP Source Rouing，該選項可以 spoofing)。TCP/IP協(xié)議中，為測試目的，IP數據包設 個(gè)選項進(jìn)行欺騙，進(jìn)行非 法連接。 直接指明到達節點(diǎn)的路由。攻擊者可以利用這 個(gè)服務(wù)器的直接路徑 徑和返回的路徑， 攻擊者可以冒充某個(gè)可信節點(diǎn)的IP地址，構造一個(gè)通往某
以向服務(wù)器發(fā)請求，對其進(jìn)行攻擊。 利用可信用戶(hù)作為通往服務(wù)器的路由中的最后一站，就可 UDP是面向非連接的，因而沒(méi)有 在TCP/IP協(xié)議的兩個(gè)傳輸層協(xié)議TCP和UDP中由于
4由選擇信息協(xié)議攻擊(RP Aakeis RIP協(xié)議用來(lái)在周城網(wǎng)中發(fā)形動(dòng)態(tài)路由信息， 初始化的連接建立過(guò)程，所以UDP更容易被欺騙。
它是為工在局城網(wǎng)中的節點(diǎn)提供一致路由選擇可達性假息面設計的。但是各節點(diǎn)對收到的 信息是不檢在它的真實(shí)性的(TCP/P協(xié)議沒(méi)有概供這個(gè)功能)因此攻擊者可以在網(wǎng)上發(fā)布假 器，從而達到非法存放的目的。 的路由信息利用ICMP的重定向信息欺騙路由器或主機， ，將正常的路由器定義為失效路由
5.鑒別攻tutheication Ataks) TCP/TP協(xié)議只能以IP地址進(jìn)行鑒別，而不能對節 點(diǎn)上的用戶(hù)進(jìn)行有效的身份認證，因此服務(wù)器無(wú)法鑒別登錄用戶(hù)的身份有效性。目前主要依 靠服務(wù)器軟件平臺提供的用戶(hù)控制機制，比m UNIX系統采用用戶(hù)名、口令。雖然口令是密 文存放在服務(wù)器上，但是由于口令是靜態(tài)的明文傳輸的。所以無(wú)法抵御重傳、竊聽(tīng)，而且在 UNIX系統中常常將加密后的口令文件存放在一個(gè)普通用戶(hù)就可以讀的文件里，攻擊者也可 以運行已準備好的口令破譯程序來(lái)破譯口令，對系統進(jìn)行攻擊。
6.TCP序列號欺騙(TCP Sequence Number Spoofing)由于TCP序列號可以預測，因此攻 擊者可以構造一個(gè)TCP包序列，對網(wǎng)絡(luò )中的某個(gè)可信節點(diǎn)進(jìn)行攻擊。
7.TCP序列號轟炸攻擊(TCP SYN Flooding Attack)簡(jiǎn)稱(chēng)SYN攻擊(SYN Attack)。 TCP
是一個(gè)面向連接、可靠的傳輸層協(xié)議。通信雙方必須通過(guò)一個(gè)三方握手的方式建立一條連接。 如果主機A要建立一條和主機B的TCP連接，正常的TCP連接要使用三次握手，如圖5- 3 ①所示；首先A發(fā)送一個(gè)SYN數據包(一個(gè)具有SYN位組的TCP數據包)給主機B；主機B 回答一個(gè)SYN/ACK數據包(一個(gè)具有SYN和ACK位組的TCP數據包)給主機A，表示確認 第一個(gè)SYN數據包并繼續進(jìn)行握手；最后主機A發(fā)送一個(gè)ACK數據包給主機B，完成整個(gè)三 次握手過(guò)程.這樣通信雙方正式建立一條連接。當主機B接受到一個(gè)SYN數據包時(shí)，它分配 塊內存給這個(gè) 新的連接。如果連接數沒(méi)有限制 ，那么主機B為處理TCP連接將很快用完它 的內存資源。然而對一個(gè)給定的應用服務(wù)，比如www服務(wù)并發(fā)的TCP連接請求有一個(gè)限 度，如果達到了這個(gè)限度，別的請求將會(huì )被拒絕。如果一個(gè)客戶(hù)采用地址欺騙的方式偽裝成一 個(gè)不可到達的主機時(shí)，那么正常的三次握手過(guò)程將不能完成。目標主機直得等到超時(shí)再恢 復，這是SYN攻擊的原理。如圖5 3②所示。 攻擊主機A發(fā)送一定數量的SYN請求(一般 小于10就足夠了)到主機B。攻擊者采用地址欺騙的方式把他的地址動(dòng)態(tài)偽裝成主機A”的 地址(其實(shí)這個(gè)地址根本不存在)，因為攻擊主機A根本不想讓任何一個(gè)主機收到這個(gè)目標 TCP連接發(fā)出的SYN/ACK數據包，這樣主機B無(wú)法釋放被占用的資源，主機B將拒絕接受 別的正常請求.攻擊成功。只有等到SYN請求超時(shí)，主機B才會(huì )恢復連接。如果主機A'可 到達，如圖5一3③所示，那么當主機A收到主機B發(fā)來(lái)的SYNVACK數據包時(shí)，它不知道它 該做什么，就發(fā)一個(gè)RST數據包給主機B.主機就復原連接，攻擊失敗。
換了，也不對其它部分的實(shí)現產(chǎn) 生影響。 作地東T的e能(政I06下工作。該體制應該是與算法無(wú)關(guān)的，即使加務(wù)算法勞 此外該體制必須能實(shí)行多種安全政策，但要避免給 不使用該體制的人造成不利影響。 按照這些要求 IPSEC工作組制訂了一個(gè)規范:認證頭(Au- thentication Header, AH) 之Z.AH現供包的真實(shí)性和完整性ES類(lèi)供機要內容。 和封裝安 全有交
IP AH指一段消息認證代碼( 之Z.AH現供包的真實(shí)性和完整性ES類(lèi)供機要內容。
已經(jīng)被事先計算好。發(fā)送方用一個(gè)加密鑰算出AH，接收方用同一成另一密銷(xiāo)對之進(jìn)行驗 (Message Authentication Code， MAC)，在發(fā)送IP包之前，它 制，那它們就使用不同的密鑰。在后一種情形，AH體制能額外地提供不可否認的服務(wù)。事實(shí) 證。如果收發(fā)雙方使用的是單鑰體制，那它們就使用問(wèn)一密鑰；如果收發(fā)雙方使用的是公鑰體 上，有些在傳輸中可變的城，如IPv4中的 time-to-live域或IPv6中的HopLimit域，都是在
AH的計算中必須忽略不計的。RFC 1828首次規定了加封狀態(tài)下AH的計算和驗證中要采用 案提出。 帶密鑰的MDS算法。而與此同時(shí)，MD5和加封狀態(tài)都被批評為加密強度太弱，并有替換的方
IP ESP的基本想法是整個(gè)IP包進(jìn)行封裝，或者只對ESP內上層協(xié)議的數據(運輸狀態(tài)) 進(jìn)行封裝，并對ESP的絕大部分數據進(jìn)行加密。在管道狀態(tài)下，為當前已加密的ESP附加了 一個(gè)新的IP頭(純文本)，它可以用來(lái)對IP包在Internet 上作路由選擇。接收方把這個(gè)IP頭 取掉，再對ESP進(jìn)行解密，處理并取掉ESP頭對原來(lái)的IP包或更高層協(xié)議的數據就像對普通 的IP包那樣進(jìn)行處理。在RFC 1827中對ESP的格式作了規定。在RFC 1829中規定了在密 碼塊鏈接(CBC)狀態(tài)下ESP加密和解密要使用數據加密標準(DES)。雖然其它算法和狀態(tài) 也是可以使用的，但一些國家對此類(lèi)產(chǎn)品的進(jìn)出口控制也是不能不考慮的因素。有些國家甚 至連私用加密都要限制。
AH與ESP體制可以合用，也可以分用。不管怎么用都逃不脫傳輸分析的攻擊。人們不 太清楚在Internet層上，是否真有經(jīng)濟有效的對抗傳輸分析的手段，但是在Internet用戶(hù)里， 真正把傳輸分析當回事兒的也是寥寥無(wú)幾。
1995年8月，Internet工程領(lǐng)導小組(IEGS)批準了有關(guān)IPSP的RFC作為Internet 標準 系列的推薦標準。除RFC1828和RFC1829外，還有兩個(gè)實(shí)驗性的RFC文件，規定了在A(yíng)H和 ESP體制中，用安全散列算法(SHA)代替MD5(RFC 1852)，利用三元DES代替DES (RFC1851)。在最簡(jiǎn)單的情況下， IPSP用手工來(lái)配置密鑰。然而，當IPSP大規模發(fā)展的時(shí) 候，就需要在Internet上建立標準化的密鑰管理協(xié)議。這個(gè)密鑰管理協(xié)議按照IPSP安全條例 的要求，指定管理密鑰的方法。
因此，IPSEC工作組也負責進(jìn)行Internet密鑰管理協(xié)議(IKMP)，其它若干協(xié)議的標準化 工作也已經(jīng)提上日程。
Intermet和層安全性的主要優(yōu)點(diǎn)是它的透明性，也就是說(shuō)安全服務(wù)的提供不需要應用程 序.其它通信層次和網(wǎng)絡(luò )部件做任何改動(dòng)。它的最主要的缺點(diǎn)是: Internet 層一般對屬于不同
進(jìn)程和相應條例的包不作區別。對所有去往同地址的包，它將 按照同樣的加密密鑰和訪(fǎng)問(wèn) 控制策略來(lái)處理。這可能導致提供不了所需的功能.也會(huì )導致性能下降。針對面向主機的密 鑰分配的這些問(wèn)題RFC 1825允許(甚至可以說(shuō)是推存)使用面向用戶(hù)的密鑰分配，網(wǎng)站制作其中不同
本文地址：http://havencoinwallet.com//article/3840.html
