下载掌阅APP，畅读海量书库
立即打开
TCP/IP的安全性可以分为多层，各安全层都是一个包含多个特征的实体。在不同层次上，可以增加不同的安全策略和安全性。如在传输层提供安全套接层服务（Secure Sockets Layer，SSL），以及其继任者传输层安全（Transport Layer Security，TLS），是为网络通信提供安全及数据完整性的一种安全协议；在网络层提供虚拟专用网（Virtual Private Network，VPN）技术等。下面分别介绍TCP/IP不同层次的安全性及提高各层安全性的技术和方法， TCP/IP网络安全技术层次体系 如图2-2所示。
图2-2 TCP/IP网络安全技术层次体系
1.TCP/IP物理层的安全性
TCP/IP模型的网络接口层对应着OSI模型的物理层和数据链路层。物理层安全问题是指由网络环境及物理特性产生的网络设施和线路安全性，致使网络系统出现安全风险，如设备被盗、意外故障、设备损坏与老化、信息探测与窃听等。由于以太网上存在交换设备并采用广播方式，可能在某个广播域中侦听、窃取并分析信息。为此，保护链路上的设施安全极为重要，物理层的安全措施相对较少，最好采用“隔离技术”保证每两个网络在逻辑上能够连通，同时从物理上隔断，并加强实体安全管理与维护。
2.TCP/IP网络层的安全性
网络层的主要功能是用于数据包的网络传输，其中IP是整个TCP/IP协议体系结构的重要基础，TCP/IP中所有协议的数据都以IP数据报形式进行传输。
TCP/IP协议族常用的两种IP版本是IPv4和IPv6。IPv4在设计之初没有考虑到网络安全问题，IP包本身不具有任何安全特性，从而导致在网络上传输的数据包很容易泄露或受到攻击，IP欺骗和ICMP攻击都是针对IP层的攻击手段，如伪造IP包地址、拦截、窃取、篡改和重播等。因此，通信双方无法保证收到IP数据报的真实性。IPv6简化了IPv4中的IP头结构，并增加了对安全性的设计。
知识拓展
网络层安全协议标准化
3.TCP/IP传输层的安全性
TCP/IP传输层主要包括传输控制协议TCP和用户数据报协议UDP，其安全措施主要取决于具体的协议。 传输层的安全 主要包括：传输与控制安全、数据交换与认证安全、数据保密性与完整性等。TCP是一个面向连接的协议，用于多数的互联网服务，如HTTP、FTP和SMTP。为了保证传输层的安全，Netscape通信公司设计了安全套接层协议SSL（Secure Socket Layer），现更名为传输层协议TLS（Transport Layer Security），主要包括SSL握手协议和SSL记录协议两个协议。
SSL握手协议用于数据认证和数据加密的过程，利用多种有效密钥交换算法和机制。SSL记录协议对应用程序提供的信息进行分段、压缩、认证和加密。SSL协议提供了身份验证、完整性检验和保密性服务，密钥管理的安全服务可为各种传输协议重复使用。
4.TCP/IP应用层的安全性
在应用层中，利用TCP/IP运行和管理的程序有多种。 网络安全性问题主要出现在需要重点解决的常用应用系统（协议）中 ，包括HTTP、FTP、SMTP、DNS和Telnet等。
（1）超文本传输协议（HTTP）安全
知识拓展
增加数据通道安全性
HTTP是互联网上应用最广泛的协议。使用80端口建立连接，并进行应用程序浏览、数据传输和对外服务。其客户端使用浏览器访问并接受从服务器返回的Web网页。一旦下载了具有破坏性的Active X控件或Java Applets插件，这些程序会在用户的终端上运行并含有恶意代码、病毒或特洛伊木马，注意不要下载未经过检验的程序。
（2）文件传输协议（FTP）安全
FTP是建立在TCP/IP连接上的文件发送与接收协议。由服务器和客户端组成，每个TCP/IP主机都有内置的FTP客户端，而且多数服务器都有FTP程序。FTP通常使用20和21两个端口，由21端口建立连接，使连接端口在整个FTP会话中保持开放，用于在客户端和服务器之间发送控制信息和客户端命令。在FTP的主动模式下，常用20端口进行数据传输，在客户端和服务器之间每传输一个文件都要建立一个数据连接。
知识拓展
FTP服务器的安全威胁
（3）简单邮件传输协议（SMTP）安全
不法分子可以利用SMTP对E-mail服务器进行干扰和破坏。如通过SMTP对E-mail服务器发送大量的垃圾邮件和聚集数据包，致使服务器不能正常处理合法用户的使用请求，导致拒绝服务。目前，绝大部分的计算机病毒基本都是通过邮件或其附件进行传播的。因此，SMTP服务器应增加过滤、扫描及设置拒绝指定邮件等功能。
（4）域名系统（DNS）安全
计算机网络通过DNS在解析域名请求时使用其53端口，在进行区域传输时使用TCP 53端口。黑客可以进行区域传输或利用攻击DNS服务器窃取区域文件，并从中窃取区域中所有系统的IP地址和主机名。可采用防火墙保护DNS服务器并阻止各种区域传输，还可通过配置系统限制接受特定主机的区域传输。
（5）远程登录协议（Telnet）安全
Telnet的功能是进行远程终端登录访问，曾用于管理UNIX设备。允许远程用户登录是产生Telnet安全问题的主要原因。另外，Telnet以明文方式发送所有用户名和密码，给非法者以可乘之机，只要利用一个Telnet会话即可远程作案，现已成为防范的重点。