计算机网络技术学习指南 | 第9章 计算机网络安全：从入门到精通

这一章讲什么

全书最后一章回答一个问题：网络这座"城"怎么守住？安全就像给家上锁：门锁与钥匙（加密技术）、小区门禁（防火墙）、快递保价与实名（SSL/TLS 等安全协议）、防鼠防虫（病毒防范）、还有"门风"（管理与法律等非技术手段）。本章与前面每章都呼应：IPSec 在网际层、SSL 守在传输层旁、防火墙把守路由器关口。

逐节精讲

1. 计算机网络安全概论。 网络安全是指网络系统的硬件、软件及数据受到保护，不因偶然或恶意原因而遭到破坏、更改、泄露，系统连续可靠正常运行，网络服务不中断。安全的基本目标（要素，必背）：保密性（信息不泄露给未授权者）、完整性（信息不被篡改）、可用性（授权用户能及时正常访问）、可控性（对信息传播及内容具有控制能力）、不可否认性（通信双方不能抵赖）。威胁分被动攻击（窃听、流量分析）与主动攻击（篡改、伪造、重放、拒绝服务 DoS）。

2. 信息加密技术。 密码体制五要素：明文、密文、加密算法、解密算法、密钥。分两大类：
- 对称加密（单钥体制）：加密与解密使用同一密钥，如 DES（64 位分组、56 位有效密钥）、3DES、AES（密钥可 128/192/256 位）、国密 SM4。优点：运算快，适合大量数据加密；缺点：密钥分发困难（N 人两两通信需 N(N−1)/2 个密钥）、无法实现数字签名。
- 非对称加密（公钥体制）：每方一对密钥，公钥公开、私钥保密，用公钥加密只能用私钥解，如 RSA（基于大数分解难题）、ECC、国密 SM2。优点：密钥分发方便、可实现数字签名；缺点：运算慢，只适合加密少量数据。
实际系统中两者结合：用非对称加密交换"会话密钥"，再用对称密钥加密大批量数据。
- 数字签名：发送方用自己私钥对报文摘要签名，接收方用对方公钥验证，解决身份认证与不可否认性。摘要用散列（Hash）函数生成，如 MD5（128 位）、SHA-1（160 位）。
- 密钥管理涉及密钥的产生、分配、更换与销毁，常用密钥分配中心 KDC 或数字证书。CA 认证中心签发数字证书把"公钥—身份"绑定。

3. Internet 中的安全协议。 分层布防：
- SSL/TLS 安全套接层：位于传输层与应用层之间，为上层应用（HTTP → HTTPS，端口 443）提供加密与认证。SSL 握手过程：① 客户端发协商请求（算法、随机数）；② 服务器返回证书；③ 客户端验证证书后用服务器公钥加密发送预主密钥；④ 双方生成会话密钥，此后用对称加密通信。
- IPSec：网络层安全协议簇，包含认证头 AH（只认证不加密）与封装安全载荷 ESP（认证+加密）、密钥交换 IKE。分传输模式（保护 IP 载荷）与隧道模式（保护整个 IP 数据报，常用于 VPN 虚拟专用网）。
- 其他：S/MIME、PGP 保护邮件；SET 面向网上支付；SSH 替代 Telnet 加密登录。

4. 防火墙技术。 防火墙是设置在被保护网络与外部网络之间的一组软硬件屏障，按安全策略控制进出流量，属于"边界防护"。两大类型：
- 包过滤防火墙：在网络层检查 IP 包首部（源/目的 IP、协议、端口），按 ACL 规则决定转发或丢弃。优点：速度快、透明、便宜；缺点：不能理解应用内容，无法防范应用层攻击。
- 应用网关/代理型防火墙：工作在应用层，内外主机不直接通信，由代理中转并检查内容。优点：安全性高、可审计内容；缺点：速度慢、每种应用需专门代理。
还可按形态分为硬件防火墙与软件防火墙；体系结构有双宿主主机、屏蔽主机、屏蔽子网（DMZ 非军事区）等。局限：不能防范内部攻击和绕过它的连接，防病毒能力有限。策略默认原则通常是"一切未被允许的就是禁止的"。

5. 计算机病毒与恶意代码防范。 计算机病毒是编制者在计算机程序中插入的、破坏计算机功能或数据、能自我复制的一组计算机指令或程序代码。特征（必背）：传染性、破坏性、隐蔽性、潜伏性、可触发性、寄生性。结构含引导、传染、破坏三个模块；按寄生方式分引导型、文件型、混合型。现代威胁还有：蠕虫（无需寄主、借网络漏洞自我传播）、木马（伪装成正常程序窃取信息、留后门）等。防范：安装并更新杀毒软件、及时打补丁、不打开来历不明的附件与链接、定期备份、开启防火墙。

6. 网络安全的非技术手段。 技术不是万能的，管理与法律同等重要：① 建立健全安全管理机构与制度（岗位职责、口令管理、机房管理、操作审计）；② 安全教育与培训；③ 法律法规约束——我国已出台《网络安全法》《数据安全法》《个人信息保护法》及《刑法》相关条款；④ 标准化管理，如网络安全等级保护制度（信息系统分五级保护）。记住结论：三分技术、七分管理。

动手理解

1. 用浏览器访问 http:// 与 https:// 开头的同一网站，对比地址栏的锁标志与证书详情（颁发机构、有效期），对应本章 CA 与 SSL 知识。
2. 查看 Windows 防火墙的"高级设置"，找出一条入站规则并分析它过滤的是端口还是程序。

精通要点

• 能默写安全五要素（保密性、完整性、可用性、可控性、不可否认性）。
• 一张表说清对称与非对称加密的密钥数、代表算法、优缺点。
• 能写出数字签名"私钥签名、公钥验证"的原理及与加密的区别。
• 说出包过滤与代理防火墙的工作层次、优缺点及 DMZ 结构。
• 列举病毒特征和蠕虫、木马的区别，说清"三分技术七分管理"。

至此九章合龙：网络是什么（第 1 章）、怎么传数据（第 2 章）、按什么规则（第 3 章）、局域网与互联（第 4、5 章）、有什么应用（第 6 章）、如何管理（第 7、8 章）、最终如何守护（第 9 章）——带着这张地图去考试，祝你顺利通过 02141！