网络安全实验指导书培训教材.doc

网络安全实验指导书培训教材

268
2020年5月29日
文档仅供参考

<网络安全>实训指导

目 录

实验一 ARP模拟攻击测试与流量分析 1
实验二 利用PGP实施非对称加密 16
实验三 利用数字证书保护通信 28
实验四 利用隧道技术连接企业与分支 38
实验五 基于路由器实现VPN连接 45
实验六 基本防火墙功能配置 61
实验七 软件防火墙配置保护主机与内部网络 79
实验八 基于Session wall入侵检测功能配置 92
实验九 基于Snort入侵检测功能配置 105
实验十 网络管理技术的SNMP实现 120

实验一 ARP模拟攻击测试与流量分析
实验目的:
1、在不影响网络安全可靠运行的前提下,对网络中不同类型的协议数据进行捕获;
2、能对捕获到的不同类型协议数据进行准确的分析判断,发现异常;
3、快速有效地定位网络中的故障原因,在不投入新的设备情况下解决问题;
4、熟悉协议封装格式及原理,明确网络协议本身是不安全的。
实验要求:
1、复习网络层次及协议对应关系,协议封装,重点对ARP协议数据结构进行分析;
2、工具及软件选用:安装Sniffer Pro软件、捕获前的设置;
3、捕获ARP协议数据,并进行分析;
4、明确ARP协议的缺陷,制定模拟ARP攻击方法;
5、实施ARP协议模拟攻击与攻击结果检查;
6、确定ARP攻击流量并加以分析;
7、针对此类攻击的防范。
实验工具与软件:
1、协议分析软件Sniffer pro;
2、ARP攻击器;
3、在实际工作中建议使用笔记本电脑配置一条直通双绞线和一条交换机配置线。
实验原理:
在以太网同一网段内部,当一个基于TCP/IP的应用程序需要从一台主机发送数据给另一台主机时,它把信息分割并封装成包,附上目的主机的IP地址。然后,寻找IP地址到实际MAC地址的映射,这需要发送ARP广播消息。当ARP找到了目的主机MAC地址后,就能够形成待发送帧的完整以太网帧头(在以太网中,同一局域网内的通信是经过MAC寻址来完成的,因此在IP数据包前要封装以太网数据帧,当然要有明确的目的主机的MAC地址方可正常通信)。最后,协议栈将IP包封装到以太网帧中进行传送。
在下图中,当工作站1要和工作站4通信(如工作站1 Ping工作站4 )时。工作站1会先检查其ARP缓存内是否有工作站4的MAC地址。如果没有,工作站1会发送一个ARP请求广播包,此包内包含着其欲与之通信的主机的IP地址,也就是工作站4的IP地址。当工作站4收到此广播后,会将自己的MAC地址利用ARP响应包传给工作站1 ,并更新自己的ARP缓存,也就是同时将工作站1的IP地址/MAC地址对保存起来,以供后面使用。工作站1在得到工作站4的MAC地址后,就能够与工作站4通信了。同时,工作站1也将工作站4的IP地址/MAC地址对保存在自己的ARP缓存内。

图1 实验拓扑结构

如果想查看ARP缓存中的所有记录,能够在用命令”arp -a”;如果想清除ARP缓存中的动态记录,能够在用命令”arp -d”。
ARP攻击的特点是:当同一局域网内的一台或多台计算机感染了ARP攻击程序后,会不断发送伪造的ARP攻击包,如果这个攻击包的源MAC地址伪造为一个假的MAC地址(M1),源IP伪造成网关的IP地址,目的MAC为广播地址。这样所有同一网段内的主机都会收到,误以为网关的MAC地址已经变为M1,于是进行ARP缓存更新,把网关的真实IP与这个假的MAC地址进行关联。当这些被攻击的主机想进行外部网络访问时会把数据送到网关,即封装网关的IP与MAC,主机会先查询本机内的ARP缓存记录,查找网关IP对应的MAC地址,由于这个MAC是假的,因另外发的数据无法送达网关。因此,造成的现象就是被攻击的主机无法访问外网或互联网。

实验步骤:
1、网络协议分析软件sniffer pro的安装
第一步:安装过程也很简单,双击安装程序,下一步,进入安装界面,下一步,出现许可协议,这些是软件安装的通用的步骤了,YES同意即可。接下来要求名称各公司输入即可。
第二步:下一步后,选择并设置安装的目的路径后再下一步。就开始安装了。
第三步:接下来要求填写个人信息:姓名、商业、电子邮件等,填写完成后就能够下一步了。接下来还是要求填写个人联联系方式:地址、城市、国家、邮编、电话等,填写完成后就能够下一步了。需要注意的是各项目在填写时注意格式,字母与数字要区分开。

图2 图3
第四步:接下来会问是如何了解本软件的?选择一个。最后的序列号要正确填写。

SN序列号

图4
第五步:接下来是经过网络注册的提示。
第六步:由于我没有连网因此出现下面的界面,即无法连接,这不防碍软件的使用,只是注册用。

图5 图6
第七步:下一步后,出现注册结果,点完成就能够结束 sniffer pro安装了。出现提示要求IE5支持,接受即可,最后点完成,询问是否重启,重启后软件就能够使用了。

图7
2、网络协议分析软件sniffer pro的配置
启动sniffer pro软件,在主窗口的工具栏上点选捕获设置(Define Filter)按钮,能够对要捕获的协议数据设置捕获过滤条件。默认情况下捕获所有从指定网卡接收的全部协议数据。捕获到数据后停止查看按钮会由灰色不可用状态变为彩色的可用状态。
停止查看
启动捕获
捕获设置

图8
选择停止查看按钮会出现如下图所示对话框,选择最下面的Decode选项卡。即能够看捕获后的数据的解码。

图9 图10
3、下面利用Sniffer Pro软件对ARP协议进行分析。
在工作站1上进行,分析步骤如下:

1) 设置Sniffer Pro捕获ARP通信的数据包(工作站1与工作站4之间)在工作站1上安装并启动Sniffer Pro软件,并设置捕获过滤条件(Define Filter),选择捕获ARP协议。如图11所示:

图11
2) 要想工作站1发送ARP请求给工作站4,并得到ARP回应,首先要确保工作站1的ARP缓存中没有工作站4的记录,因此先在工作站1上利用”arp -a”查看一下是否有此记录,如果有,则利用”arp –d”清除,为了看到效果在执行完清除命令后能够再执行一下”arp -a”看是否已经清除,这里不再重复了。
3)确认已经清除工作站1的ARP缓存中关于工作站4的IP与MAC地址对应关系记录后,就能够启动Sniffer Pro进行协议数据捕获了。
4)在没有互相通信需求下,工作站1是不会主动发送ARP请求给工作站4,因此也就捕获不到ARP的协议数据,此时要在工作站1与工作站4之间进行一次通信,如能够在工作站1上ping工作站4,即:ping 10.1.103.4。
5)命令执行过程结果如图12所示:

图12
6)有ICMP数据回应后能够发现, Sniffer Pro已经捕获到了协议数据。选择停止并查看,结果如图13所示,工作站1发送给工作站4的ARP查询请求数据帧的具体协议数据:

图13 捕获到的ARP请求数据解码
7)工作站4应答工作站1的ARP回应数据帧的具体协议数据格式所图14所示:

图14 捕获到的ARP回应数据解码
4、ARP协议攻击模拟
下面利用Sniffer Pro软件进行基于ARP协议的攻击模拟,即让图1中的所有主机不能进行外网访问(无法与网关通信),下面在工作站1上实施攻击模拟,步骤如下:
1) 要进行模拟实施攻击,首先要构造一个数据帧,这很麻烦,这时能够捕获一个ARP的数据帧再进行改造(能够捕获一个网关的ARP数据帧)。设置Sniffer Pro捕获ARP通信的数据包(工作站1与网关之间)在工作站1上再次启动Sniffer Pro软件,并设置捕获过滤条件(Define Filter),选择捕获ARP协议。
2) 要想工作站1发送ARP请求给网关,并得到ARP回应,首先启动Sniffer Pro捕获,然后利用”arp –d”清除ARP缓存。
3) 在没有互相通信需求下,工作站1是不会主动发送ARP请求给网关的,因此也就捕获不到ARP的协议数据,此时要在工作站1与网关之间进行一次通信,如能够在工作站1上ping网关,即:ping 10.1.103.254。
4) 有ICMP数据回应后能够发现, Sniffer Pro已经捕获到了协议数据。选择停止并查看,在第1帧数据包(具体数据结构参见图17)上点击右键,并选择”Send Current Frame…”。如图15所示

图15 Sniffer Pro捕获到的工作站1发出去的ARP请求数据帧

5) 出现如图16所示对话框,其中的数据(Data)即是工作站1发出去查询网关MAC地ARP请求数据,已经放入发送缓冲区内,此时能够进行修改了。

图16

图17 工作站1发出去的ARP请求数据帧数据

6) 数据(Data)是工作站1发出去查询网关MAC地ARP请求数据,具体解释参见图18。

图18 图19
7) 对工作站1发出去查询网关MAC地ARP请求数据(Data)进行如图17所示的伪造修改,即这个帧是被伪造为网关IP(10.1.103.254)地址和MAC地址(伪造为假的:)发出去的查询10.1.103.153(十六进制数为:0a 01 67 99 )的MAC地址的ARP广播帧,这样所有本地网段内的主机都会收到并更新记录,以为网关(IP为10.1.103.254)的MAC地址变为了 ,并将这一错误关联加入各自的ARP缓存中(包括工作站自身)。
8) 修改后的帧缓冲区中的数据如图19所示,修改后在发送(Send)次数下选择连续发送(Continuously),发送类型(Send Type)下选择每隔10毫秒一次。后点击确定,伪造的数据帧即开始按此间隔时间不断发送了,想停止发送按图11所示操作即可,这里先不停止。
5、ARP模拟攻击与结果检查
1)在工作站1上经过远程桌面连接到工作站4,在未发送伪造的数据帧之前工作站4是能够和网关10.1.103.254进行通信,当启动包生成器发送伪造的数据帧后,还能PING通网关了,在工作站4上用”arp -a”命令查看网关IP对应的MAC地址已经变为网络中不存在的伪造的MAC地址:。因此无法访问网关也无法进行外网连接了,如图十九所示。

图20
此时在工作站1上用”arp -a”命令查看网关IP对应的MAC地址也已经变为网络中不存在的伪造的MAC地址:。
2)此时,停止发送伪造帧,即停止攻击,并分别在两台工作站上执行”arp -d”命令,重新PING网关后又能够进行连接并访问外网了。

至此针对ARP协议的分析、捕获与模拟攻击过程结束。

6、流量分析
1)在工作站1上开启Sniffer Pro并设置对ARP协议进行捕获,启动捕获。
2)开启WinArpAttacker软件,先进行Scan扫描本局域网内的存活主机。在要攻击的目标主机前选中,然后选择Attack-BanGateway。这里选择两台目标主机(10.1.103.4和10.1.103.5)。
3)这时发现Sniffer Pro已经捕获到数据了,如图14所示,其中有四个数据帧,图中解码的为对10.1.103.4的攻击过程。
4)攻击过程是:工作站1以假的源MAC地址()为源给网关发一个ARP包,欺骗网关,使网关会误认为工作站1的IP地址是:10.1.103.4,MAC地址是:(同时交换机的CAM表也更新)。工作站1以假的源MAC地址()为源给工作站4发一个ARP包,欺骗其,使工作站4会误认为网关的IP地址10.1.103.254,对应的MAC地址是:。
5)攻击的结果是:网关发给工作站4的数据发到了工作站1;工作站4发给网关的数据也发到了工作站1(MAC:)。
6)分析:这种攻击方式与前面的Sniffer Pro软件模拟的是一个原理。只是目的不同,这个更为复杂一些。

图21
实验报告内容:
1. 学会sniffer的安装和使用。
2. 要会伪造数据包,发送数据包实施ARP攻击。
3. 针对ARP攻击,会采取方法防守。

实验二 利用PGP实施非对称加密
实验目的
1. 掌握保护文件在经过互联网传输时不被其它人看到,即对机密性保护方法。
2. 能对保护文件在经过互联网传输时的不被修改或破坏,即提供完整性保护方法。
3. 接收者能确认出发送此文件的人是谁,即为源认证提供保护。
4. 能合理选用加密算法,区分对称与非对称加密。了解不同加密算法的应用场合。

实验要求:
1. 对两种加密算法的理解、分析与对比,能对两种加密算法的综合运用提出自己的观点。学会数据的机密性、完整性与源认证进行保护方法。
2. 能利用PGP软件,生成密钥对,并能导入导出公钥,正确对文档进行加密与签名处理,实现对数据的机密性、完整性与源认证进行保护。
3. 对文档加密与签名的安全防护措施有效并符合标准与规范。
4. 能够采用正确的方法对加密措施进行检查,并能说明查验过程中的各步骤理论依据。
实验工具与软件:
1. 对称加密类软件Apocalypso;
2. 加密软件PGP。
实验原理:
加密是指将数据进行编码,使它成为一种按常规不可理解的形式,这种不可理解的内容叫密文。解密是加密的逆过程,即将密文还原成原来可理解的形式。
数据加密技术的关键元素包括加密算法和密钥。加密算法是一组打乱和恢复数据的指令集或一个数学公式。密钥则是算法中的可变参数。
对同样的明文,可使用不同的加密算法。即使使用相同的加密算法,如果使用的密钥不同也会得出不同的密文。
1、对称密钥加密体制
对称密钥加密技术使用相同的密钥对数据进行加密和解密,发送者和接收者用相同的密钥。
互联网
Welcome
to
BeiJing
xxxxx
xxxxx
xxxxx
加密
Welcome
to
BeiJing
xxxxx
xxxxx
xxxxx
解密
黑客
发送端
接收端
原文
密文
原文
密文

图 1
1)对称加密算法
现在对称加密算法已经很多,经过特殊的数学算法实现,强度增加,包括:DES、3DES(Triple DES)、AES、RC等。
· 对称密钥加密技术的典型算法-- DES
算法描述:对称密钥加密技术的典型算法是DES(Data Encryption Standard数据加密标准) 。DES的密钥长度为56bit,其加密算法是公开的,其保密性仅取决于对密钥的保密。对称加密算法DES,其分组长度位64位,实际的密钥长度为56位,还有8位的校验码。DES算法由于其密钥较短,随着计算机速度的不断提高,使用穷举法进行破解成为可能。
· 对称密钥加密技术的典型算法-- IDEA
IDEA(International Data Encryption Algorithm 国际数据加密算法)
IDEA是一个迭代分组密码,分组长度为64比特,密钥长度为128比特。IDEA密码中使用了以下三种不同的运算:
逐位异或运算;模216加运算; 模216+1乘运算,0与216对应。
IDEA算法的密钥长度为128位。设计者尽最大努力使该算法不受差分密码分析的影响,数学家已证明IDEA算法在其8圈迭代的第4圈之后便不受差分密码分析的影响了。假定穷举法攻击有效的话,那么即使设计一种每秒种能够试验10亿个密钥的专用芯片,并将10亿片这样的芯片用于此项工作,仍需10 才能解决问题;另一方面,若用1024片这样的芯片,有可能在一天内找到密钥,不过人们还无法找到足够的硅原子来制造这样一台机器。当前,尚无一片公开发表的试图对IDEA进行密码分析的文章。因此,就现在来看应当说IDEA是非常安全的。
· 对称密钥加密技术的典型算法-- 3DES
TDES(Trial Data Encryption Standard数据加密标准) 。
三倍DES (3DES)是DES的增强型,它能够有效的运行168位的密码。DES和3DES都广泛的应用于商业和非安全部门的通信。
· 对称密钥加密技术的典型算法—RC-5
RC-5(RivestCipher5)
· 对称密钥加密技术的典型算法—Blowfish
当前,在网络安全防护应用中,如路由器中配置VPN中常见的对称加密算法主要是DES和3DES,虽然DES有被破解的可能,但也足已满足实际中的需求。关于以上对称加密在算法的详细介绍能够在互联网上获取帮助。
2)对称密钥加密体制特点分析:
优点:加密处理简单,加密解密速度快
一般算法的特点决定对称加密比非对称加密算法要简单,在硬件加密的实现上也较容易,成本也较低。例如思科的VPN集中器低端产品采用的是软件加密,但对大用户需求的网络中,要采用基于硬件加密设计的高端思科的VPN集中器产品。
缺点:密钥管理困难
举例说明:如果有N个人,要想两两间进行加密通信,则每一方至少要有保管N-1个密钥。当然数量上的差别并不是主要的,最重要的是密钥的维护与管理上。
2、非对称加密
1)非对称加密(也称公钥加密体制)
非对称密钥加密系统,又称公钥和私钥系统。其特点是加密和解密使用不同的密钥。发送端用接收端的公钥加密后发给接收端,接收端用自己的私钥解密。
互联网
Welcome
to
BeiJing
xxxxx
xxxxx
xxxxx
B的 公钥加密
Welcome
to
BeiJing
xxxxx
xxxxx
xxxxx
B的私钥解密
黑客
发送端-A
接收端-B
原文
密文
原文
密文

图 2
非对称加密算法的核心就是加密密钥不等于解密密钥,且无法从任意一个密钥推导出另一个密钥,这样就大大加强了信息保护的力度,而且基于密钥正确原理很容易的实现数字签名和电子信封。公钥是公开的,能够发布给多个通信方,私钥是保密的由生成者保管,非对称加密系统的关键是寻找对应的公钥和私钥,并运用某种数学方法使得加密过程成为一个不可逆过程。也就是说具有如下的特点:
· 用公钥加密的信息只能用与该公钥配正确私钥才能解密
比如A向B发送信息,B的公钥是公开的,那么A用B的公钥对信息进行加密,发送出去,因为只有B有对应的私钥,因此信息只能为B所读取。即使A再用B的公钥也无法解出原信息。
· 用私钥加密的信息只能用与该私钥配正确公钥才能解密(是验证)
比如A向B发送信息,A用自己的私钥对信息进行加密(签名)发送出去,B用A的公钥能够解密签名,因此B能够确认信息是A所发送来的。因为A公钥只能解密A的私钥加密的信息(签名)。
2)非对称加密典型算法
(1)非对称密钥加密技术的典型算法或公钥体制—RSA
RSA(算法的名字以创造者Ron Rivest,Adi Shamir和Leonard Adleman);RSA公钥体制的构造是基于欧拉(Eular)定理,经常见于数字签名、密钥管理和认证等方面。适用于数字签名和密钥交换。
(2)非对称密钥加密技术的典型算法或公钥体制—Elgamal
Elgamal公钥体制的公钥加密算法是非确定性的,即使加密相同的明文,得到的明文也是不同的,因此又称为概率加密体制。 (3)非对称(3)密钥加密技术的典型算法或公钥体制—DSA
DSA算法仅适用于数字签名。
当前,在网络安全防护应用中,路由器配置VPN中常见的非对称加密算法主要是RSA和DSA(这两种算法主要用于数字签名,即进行源认证,其根本原理是私钥加密签名,对应的公钥进行验证)。关于以上非对称加密在算法的详细介绍能够在互联网上获取帮助。
3)非对称密钥加密体制特点分析
优点:
(1)解决了密钥管理问题,经过特有的密钥发放体制,使得当用户数大幅度增加时,密钥也不会向外扩散;
(2)由于密钥已事先分配,不需要在通信过程中传输密钥,安全性大大提高;
(3)具有很高的加密强度。
缺点:
加密、解密的速度慢

实验步骤:
1、加密工具软件介绍

PGP,全称Pretty Good Privacy,信息安全传输领域加密软件,技术上采用了非对称的”公钥”和”私钥”加密体系。软件的主要使用对象为具有一定商业机密的企业、政府机构、信息安全工作者。PGP最初的设计主要是用于邮件加密,如今已经发展到了能够加密整个硬盘、分区、文件、文件夹、集成进邮件软件进行邮件加密,甚至能够对ICQ的聊天信息实时加密!双方安装了PGP,就可利用其ICQ加密组件在和对方聊天的同时进行了加密或解密,保证了你聊天信息不被窃取或监视。下面介绍软件的安装与设置。

1)软件安装1:
软件的安装很简单,只是有几处需要解释一下,解压缩后,双击或运行安装程序后,进入安装界面,显示欢迎信息,选择”NEXT”,然后出现许可协议,这里阅读后选择接受,即”YES”,进入提示安装PGP所需要的系统、以及软件配置情况的界面,建议阅读一下,特别是那条警告信息:”Warning:Export of this software may be restricted by the U.S. Government(此软件的出口受美国政府的限制)。继续点NEXT按钮,出现创立用户类型的界面,选择”NEXT”。

图 2
安装程序会提示用户,是否已经有了密钥,如果安装过PGP可能计算机中存在密钥,这就能够再利用了。如果没有安装过PGP则这里选择如下图所示中的,”No I’m a new user”,然后选择”NEXT”,出现程序的安装目录,建议将PGP安装在安装程序默认的目录,也就是系统盘内,程序很小。再次点”NEXT”按钮,出现选择PGP组件的窗口,安装程序会检测你系统内所安装的程序,如果存在PGP能够支持的程序,它将自动为你选中该支持组件,如图所示。PGP能够和Outlook结合完成邮件的加密

图 3

最后安装过程按提示选择”NEXT”,最后提示重启系统即可完成安装。重新启动系统进后,系统会启动PGP许可验证,PGP已经在开始－>所有程序－>启动,加入了启动项。输入购买时的产品相关License Number等信息。也能够选择试用,即Later。

图 4

2)密钥对(公钥和私钥)生成
安装完成后会出现密钥生成向导,下一步后要求输入用户全名和邮件地址,接下来会提示要求输入用于保护私钥的密码,此密码不能少于8位,并要求进行确认一遍,即重复一遍。在Passphrase处输入你需要的密码,Confirmation(确认)处再输入一次长度必须大于8位,建议为12位以上。
接下来进入Key Generation Progress(密钥生成阶段),等待主密钥(Key)和次密钥(Subkey)生成完毕(Done)。点击”下一步”按钮,进入Completing the PGP Key Generation Wizard(完成该PGP密钥生成向导)再点”完成”按钮,则密钥创立并设置好了。

图 5

3)密钥查看
经过开始程序中的PGP中启动PGPkeys,能够看到密钥的一些基本信息,如:Validity(有效性,PGP系统检查是否符合要求,如符合,就显示为绿色)、Trust(信任度)、Size(大小)、Description(描述)、Key ID(密钥ID)、Creation(创立时间)、Expiration(到期时间)等(这些信息,能够在菜单组”VIEW(查看)”中并选择里面的全部选项),如图所示:

图 6
4)重新创立密钥对
经过PGP程序窗口中的Keys菜单,能够重新生成另外一对密钥,如下图所示:

图 7
5)导出并发布自己的公钥
经过PGP程序窗口中的Keys菜单,选择Export能够导出当前选中的密钥对中的公钥(出果在导出到文件的窗口下边选择Include Pravate Key则导出了公钥和私钥,一般情况下不需要导出私钥),如下图所示:

图 8
6)导出并发布自己的公钥
需要注意的是,一个用户对应的密钥以”密钥对”形式存在,其中包含了一个公钥(公用密钥,可分发给任何人,别人能够用此密钥来对要发给此密钥的拥有者的文件或者邮件等进行加密)和一个私钥(私有密钥,只有此密钥的拥有者一人所有,不可公开分发,此密钥用来解密用此密钥的拥有者的公钥加密的文件或邮件)。现在要从这个”密钥对”内导出包含的公钥。也能够单击显示有创立的用户右键,选择”Export…(导出)”,在出现的保存对话框中,确认是只选中了”Include 6.0 Extensions”(包含6.0公钥),然后选择一个目录,再点”保存”按钮,即可导出你的公钥,扩展名为.asc。导出后,就能够将此公钥放发布出去(如利用FTP),发给通信的对方,有重要的邮件或者重要文件的要发的时候,经过PGP使用此公钥加密后再发回来,这样就能防止被窃取隐私或者商业机密,即使获得了,也无法解密出来内容是什么。

2、工作任务实施
1)需求描述
广告公司文案刘德华先生要把一份广告创意方案书要经过电子邮件发给其外地客户张曼玉女士,出于商业机密性考虑,为了保护这份方案书,刘德华先生想到了你-网络安全工程师,并提出如下需求:要保护这份方案经过互联网传到张曼玉的过程中不被其它人看到(机密性保护);同时,要保证这份方案书传输过程中不被其它人修改或破坏(完整性保护);最后还要保证被张曼玉收到后能确认是刘德华发送的(源认证保护)。请你提供有效的技术并加以实施,以满足刘德华先生的三方面的要求。
2)实施办法或计划方案:
· 首先刘德华与张曼玉分别生成一对密钥(公钥与私钥),分别经过邮件将各自的公钥发送给对方;
· 刘德华用随机产生的一个对称密钥(D1)加密这份方案书原稿YG,得到密文MW;
· 刘德华利用HASH算法对这份方案书原稿(未加密的)生成数字摘要ZY1;
· 刘德华对上一步生成的数字摘ZY1要进行签名,即用刘德华的私钥(LS)加密处理数字摘要得到数字签名QM;
· 刘德华利用张曼玉的公钥(ZG)加密对称密钥D1,得到加密的对称密钥MY;
· 刘德华将三者:密文MW、数字签名QM、加密的对称密钥MY;
· 张曼玉收到三者后,先用自已的私钥解出加密的对称密钥MY中的对称密钥D1;
· 张曼玉利用刘德华公钥LG检验数字签名QM,解出数字摘要ZY1,确定数据是刘德华发来的;
· 张曼玉用对称密钥D1解密密文MW,得到原稿YG;
· 张曼玉利用HASH算法计算得到的原稿YG,得到数字摘要ZY2;
· 张曼玉对比ZY1与ZY2是否相同,相同说明数据没有被更改过。

图 9

图 10
3、学习任务环境设置
在如下图所示的环境下进行分组实验,两个人一组,以A与B为例,A也B分别将自己的公钥上传到由教师指定的FTP中,以便到两者互相获取到对方的公钥,即将对方的公钥导入到自己的系统中来。

图 11
在如图所示的环境下,以A发送加密的数据给B为例:A把要发送给B的重要文档进行加密,即利用B的公钥加密文档,并进行签名,即利用A自己的私钥进行签名。把加密和签名后的文件上传到FTP,并通知B进行下载解密。
1)学习任务实施解密与验证
B能过FTP把A发送来的文件下载并进行解密。并对发送者的身份进行确认,即经过签名验证,是否是A发送的文件。同时给A回一份文档,并对文档用A公钥进行加密,用B的私钥进行签名,现发到FTP给A,A下载后进行同与B类似的解密过程。
2)检查加密与签名的是否有效
此时能够再找一人加入小组,即三人一组,如A、B和C。由C从FTP把A用B公钥加密并用A私钥签名的文档下载到C主机上,并检查是否能够打开并查看里面的内容

实验报告:
1. 私钥加密体制与公钥加密体制知识介绍
2. 分析对比对称加密与非对称加密算法;
3. 利用PGP实施加密、验证与签名
4. 检验加密、验证与签名的有效性

实验三 利用数字证书保护通信
实验目的:
1. 要保护经过IE浏览器访问某WWW服务器上的关键服务时,能同时实现数据机密性、完整性与真实性的保护。
2. 数字证书服务机构的实现流程。
3. 数字证书的申请与颁发以及吊销流程
实验要求:
1. 理解数字证书的原理及工作流程
2. 能正确安装配置CA服务器,为客户及服务器颁发数字证书,并能正确安装证书。
3. 对数字证书的安全防护措施操作有效并符合标准与规范。
4. 能够采用正确的方法对数字证书的保护措施进行检查,并能说明查验过程中的各步骤理论依据。

实验工具与软件:
1、WIN 操作系统; 2、安装CA服务器;3、IE浏览器。
实验原理:
1、数字签名
数字签名是指发送方以电子形式签名一个消息或文件,表示签名人对该消息或文件的内容负有责任。数字签名综合使用了数字摘要和非对称加密技术,能够在保证数据完整性的同时保证数据的真实性。
如下图所示,A把要发送的原文经过HASH算法得到摘要1,并用A的私钥加密得到A的数字签名。把此签名与原文一并经过公共网络发给B,B用A的公钥即可确认数据是否是由A发来的,并经过后面的摘要对比确定数据是否完整。
互联网
Welcome
to
BeiJing
xxxxx
xxxxx
xxxxx
Welcome
to
BeiJing
黑客
发送端-A
接收端-B
原文
摘要1
原文
摘要2
对比
HASH
算法
yyyyy
Yyyyy
yyyyy
A的
私钥
数字签名
yyyyy
Yyyyy
yyyyy
数字签名
xxxxx
xxxxx
xxxxx
摘要1
xxxxx
xxxxx
xxxxx
A的
公钥
HASH
算法
图 1
2、数字证书
(1)数字证书
数字证书(Digital ID) 含有证书持有者的有关信息,是在网络上证明证书持有者身份的数字标识,它由权威的认证中心(CA)颁发。
CA是一个专门验证交易各方身份的权威机构,它向涉及交易的实体颁发数字证书。
数字证书由CA做了数字签名,任何第三方都无法修改证书内容。交易各方经过出示自己的数字证书来证明自己的身份。
在电子商务中,数字证书主要有客户证书、商家证书两种。客户证书用于证明电子商务活动中客户端的身份,一般安装在客户浏览器上。商家证书签发给向客户提供服务的商家,一般安装在商家的服务器中,用于向客户证明商家的合法身份。
(2)数字证书包含内容
数字证书就是互联网通讯中标志通讯各方身份信息的一系列数据,提供了一种在Internet上验证您身份的方式,其作用类似于司机的驾驶执照或日常生活中的身份证。它是由一个由权威机构-CA机构,又称为证书授权(Certificate Authorit y)中心发行的,人们能够在网上用它来识别对方的身份。数字证书是一个经证书授权 中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。一般情况下证书中还包括密钥的有效时间,发证机关(证书授权中心)的名称,该证书的序列号等信息,证书的格式遵循 ITUT X.509国际标准。
　　一个标准的X.509数字证书包含以下一些内容:
a) 证书的版本信息;
b) 证书的序列号,每个证书都有一个唯一的证书序列号;
c) 证书所使用的签名算法;
d) 证书的发行机构名称,命名规则一般采用X.500格式;
e) 证书的有效期,现在通用的证书一般采用UTC时间格式,它的计时范围为1950-2049;
f) 证书所有人的名称,命名规则一般采用X.500格式;
g) 证书所有人的公开密钥;
h) 证书发行者对证书的签名(CA的签名)。
3、安全认证机构功能
认证中心(Certificate Authority)是承担网上安全电子交易认证服务,能签发数字证书,确认用户身份的服务机构。CA一般是企业性的服务机构,主要任务是受理数字证书的申请、签发及对数字证书的管理。在实际运作中,CA可由大家都信任的一方担当。CA的职能:证书发放、证书更新、证书撤销和证书验证。从功能上类似于发放身份证的公安局。
4、任务构成
在本工任务中,参与的3个对象构及活动。
1. 证书颁发者:颁发与吊销证书;
2. 证书持有者:申请、安装并出示(使用)证书;
3. 证书的检验者:检查证书真实有效性。
实验步骤:
1、基于IIS与IE浏览器实施数字证书保护
(1)基于Windows Server 建立CA认证中心(在A主机上完成)
选择开始-控制面板-添加删除程序-添加删除Windows组件:
提示安装证书服务后不能改变计算机名了,选择是后,有四种类型的证书颁发机构,如果本机是活动目录,则都可选择,如果不是则只有后两项能够选择,即独立的根CA(CA 体系中最受信任的 CA。不需要 Active Directory。)和独立的从属CA(标准 CA 能够给任何用户或计算机颁发证书。必须从另一个 CA 获取 CA 证书。不需要 Active Directory。)这里选择独立的根CA。

图 2

接下来要求输入CA机构的一些信息。这些都是CA的真实信息,要得到申请者的确信。
然后,会给出证书数据库与日志的存放位置设置,默认为C:\WINNT\system32\CertLog,系统目录下。开始复制数据,要求提供WIN 安装文件或光盘。放入光盘或指定好位置后就能够完成CA服务的安装了。证书的申请要经过IIS以WEB形式完成。安装完成后会在IIS中建立两个虚拟目录CertControl和CertEnroll用于证书的申请与管理。
现在能够选择开始-程序-管理工具-证书颁发机构,能够查看是否有证书的申请,即待发证书,也能够对证书进行吊销等管理了。

图 3
(2)数字证书的申请和签发步骤:
①申请者向某CA申请数字证书后,下载并安装该CA的”自签名证书”或更高级的CA向该CA签发的数字证书,验证CA身份的真实性。
②申请者的计算机随机产生一对公私密钥。
③申请者把私钥留下,把公钥和申请明文用CA的公钥加密,发送给CA。
④CA受理证书申请并核实申请者提交的信息.
⑤CA用自己的私钥对颁发的数字证书进行数字签名,并发送给申请者。
⑥经CA签名过的数字证书安装在申请方的计算机上。