Category: 网络安全

为什么需要 PKI

在之前的文章中我们介绍了 digital signature，使用 digital signature 可以同时实现 authentication，integrity 和 nonrepudiation，如果再加上一种 encryption 的算法就可以完全确保通信的安全了。那么为什么还需要 PKI 呢？先来回顾一下 digital signature 的概念：

继续阅读“Public Key Infrastructure (PKI) 基础”

Cryptography 是一个非常深奥的邻域，这里只是从网络工程的角度介绍一些最基础的知识。网络工程里面和 Cryptography 直接挂钩的就是 VPN 的部分，里面涉及到了各种算法的选择和配置。

Cryptography 主要是为了解决通信安全的几个问题：

• • Confidentiality 保密性
    • 确保只有通信双方才能看懂通信的数据
  • Integrity 完整性
    • 确保数据在传输过程中不会被篡改
  • Authentication 认证
    • 在通信中证明自己的身份
  • Nonrepudiation 不可抵赖性
    • 对通信中执行的操作不可抵赖，比如明明发送了一个数据包就不可以抵赖说没有发送过

一些常用的词汇：

• • plaintext = 还为进行加密的数据
  • ciphertext = 加密后的数据
  • key = 加密用的密匙 （key 的长度越长就越安全）

继续阅读“Cryptography 密码学基础”

在 Cisco IOS 中我们可以利用 ACL 进行数据包过滤，但是 ACL 是一种 stateless （无状态）的包过滤形式，这种方式并不安全。如果 ACL 配置的不恰当其实相当于允许所有数据通过，最典型的例子就是 ACL 中的 ACE 如果没有加 “fragment” 命令它其实会默认允许 non-initial fragments 通过。这样攻击方会很容易实现 Fragmentation Attack (属于 DOS 攻击的一种）。Cisco IOS 提供了另一种包过滤的方式 – Zone Base Firewall (ZBFW)。这种 ZBFW 是 stateful （有状态的）。在这里我们只对 ZBFW 的基础配置进行讨论，因为在实际生产环境中 IOS ZBFW 的用途不是很广泛，我们应该尽量部署专业的防火墙而不是依赖路由器上的 ACL 或者 ZBFW 来进行包过滤，他们只能作为一种应急方案使用。

继续阅读“Cisco IOS Zone Based Firewall 基础配置案例”