3.2.2 网络层加密和用户消息加密的脆弱性

在网络层加密和用户信息加密的过程中存在着加密强度与处理速度、复杂度之间的矛盾，从而使加密技术在实际应用中并不会真正实现其所宣称的安全性。

　　（1）一般来说，加密密钥越长，加密强度就越高，但长密钥会导致加/解密速度的减慢，增加了系统实现的复杂度，公钥加密尤为如此。因此，在一些实时性要求高的场合，密码长度往往受限，这就为破译密码提供了可能。

　　（2）对称加密安全性强，执行速度快，但对大型网络来说，对称加密所带来的密钥管理问题却制约着其使用。事实上，公钥加密也存在密钥管理的问题。没有一个完善的密钥管理体系，就会为加密体制国有极大的安全隐患。目前，用于密钥管理、数字证书等目的的公钥基础设施尚不完善，因而实施身份欺骗是一种可行的方式。

　　（3）设备处理能力的增强不仅仅对加密处理有利，对提高破译密钥的速度同样有利。

　　（4）有些情况下，通信过程或通信设备中提供的强加密措施往往不被使用或没有严格按照规定的方式使用，这一点在因特网和WLAN中尤为突出。

　　（5）当两种网络的加密方式不兼容时，在网络衔接处可能会出现脱密现象，如通过WLAN接入因特网时会取消WEP加密。

　　3.2.3 对加密的攻击

　　从上面的讨论可以看出，对加密可实施的攻击手段有：

　　（1）密码破译：它可用于各层加密，但在各国都十分重视加密技术的今天，企图对核心加密进行密码破译是非常困难的。对于因特网上的一些普通应用而言，密码破译还是相当有用的。

　　（2）通信量分析：主要用于链路层攻击，对未采用隧道方式的网络层加密攻击也很有效。

　　（3）电子干扰：主要针对链路层加密实施。通过降低通信链路的传输质量造成加密设备间频频进行同步处理，导致数据的丢失或频繁重传。

　　（4）欺骗攻击：利用密钥管理机制的不完善以及认证过程中单项认证的缺陷，实施身份欺骗。多用于因特网攻击。

　　（5）重放攻击：如无法对所截获的报文进行解密，可将其复制、延迟后直传。此攻击可能会造成接收方的处理错误，而且由于解密操作尤其是公钥体制下对系统资源的消耗较大，因而也可能会造成目标系统的拒绝服务。

　　3.3 监控的脆弱性及其攻击

　　病毒扫描和入侵检测共同的脆弱性在于无法识别新的病毒或入侵操作，甚至无法识别已知病毒或入侵操作的变异形式。其他入侵检测系统的脆弱性有：

　　（1）实施流量识别与处理时受到处理速度的限制，如出现流量剧增的情况，其检测功能很容易就会崩溃。

　　（2）当遭受拒绝服务攻击时，部分入侵检测系统的失效开放机制会掩蔽攻击者其他的攻击行为。

　　（3）管理和维护困难，容易造成配置上的漏洞，形成安全隐患。

　　（4）漏报率和误报率较高。容易使用户忽视真正攻击的发生。

　　因此，对监控可实施以下方式的攻击：

　　（1）欺骗攻击：主要以代码伪装为主，包括代码替代、拆分、编码变换等。

　　（2）DoS和DDoS攻击。

　　（3）新的病毒代码或新的入侵方式。

　　3.4 审计攻击

　　审计攻击的重点是处理目标系统的日志文件，可以利用以下两种方式实施：

　　（1）直接删除日志或有选择地修改日志，可由攻击者亲自实施或利用一些ROOTKITS程序实施。

　　（2）利用具有地址欺骗功能的DDoS攻击使系统日志文件的大小迅速膨胀，影响系统本身和审计功能的正常执行。

　　4、总结

　　综合本文前述，可得到如表1所示的网络对抗中攻防机制间的相互关系。

表1 网络攻防的对抗关系

攻击 对抗性 防御		网络嗅探	密码破译	欺骗	恶意代码	拒绝服务
接入控制	物理隔离	×	×	×	★×	★
	信号控制	★×	×	★×	×	★
	防火墙	★×		★	★	★×
	身份认证	★	★	★×	★	★
加密	链路层加密	★×	★×	★×		★
	网络层加密	★×	★×	★×		★
	应用层加密	×	★×	★×		★
监测		×		★	★×	★×
审计		×		★	★	★×

　　从表中可以得出如下结论：

　　（1）欺骗与网络嗅探都受到了攻防双方的重视，围绕这两种攻击方式展开的对抗更为集中，攻防也较为均衡。

　　（2）恶意代码攻击和拒绝服务攻击是两种有效的攻击方式。从实际应用来看，防御方在对抗恶意代码攻击和拒绝服务攻击方面始终处于被动状态。

　　（3）很显然，密码破译主要对链路层、网络层和应用层加密进行攻击。对应用层的简单加密措施目前已获得相应技术可实施破译攻击，而对复杂加密来说，目前的破译技术则显得非常无力，尤其在时效有限的应用中更为突出。

上一页12下一页