《计算机网络-第七章网络安全.ppt》由会员分享，可在线阅读，更多相关《计算机网络-第七章网络安全.ppt（82页珍藏版）》请在三一办公上搜索。
1、第7章 计算机网络的安全Network Security,四川师范大学计算机科学学院 College of Computer Science Sichuan Normal University 刘霞,本章主要内容,7.1 网络安全问题概述7.2 两类密码体制7.3 数字签名7.4 鉴别7.5 密钥分配7.6 因特网使用的安全协议7.7 链路加密与端到端的加密,7.1 网络安全问题概述,计算机网络面临的安全性威胁计算机网络上的通信面临以下的4种威胁。截获(interception)中断(interruption)篡改(modification)伪造(fabrication)上述四种威胁可划分为两
2、大类，即被动攻击和主动攻击。在上述情况中，截获信息的攻击称为被动攻击，而更改信息和拒绝用户使用资源的攻击称为主动攻击。,主动攻击又可进一步划分为三种，即：（1）更改报文流（2）拒绝报文服务（3）伪造连接初始化,计算机网络通信安全的五个目标：防止析出报文内容；防止信息量分析；检测更改报文流；检测拒绝报文服务；检测伪造初始化连接。,恶意程序种类繁多，对网络安全威胁较大的主要有以下几种：计算机病毒(computer virus)计算机蠕虫(computer worm)特洛伊木马(Trojan horse)逻辑炸弹(logic bomb),计算机网络安全的内容保密性安全协议的设计接入控制,一般的数据加
3、密模型一般的数据加密模型如下图所示。明文X用加密算法E和加密密钥K得到密文Y,EK(X)。在传送过程中可能出现密文截取者。到了收端，利用解密算法D和解密密钥K，解出明文为DK(Y)=DK(EK(X)=X。截取者又称为攻击者或入侵者。,密码编码学是密码体制的设计学，而密码分析学则是在未知密钥的情况下从密文推演出明文或密钥的技术。密码编码学与密码分析学合起来即为密码学。如果不论截取者获得了多少密文，但在密文中都没有足够的信息来惟一地确定出对应的明文，则这一密码体制称为无条件安全的，或称为理论上是不可破的。在无任何限制的条件下，目前几乎所有实用的密码体制均是可破的。因此，人们关心的是要研制出在计算上
4、(而不是在理论上)是不可破的密码体制。如果一个密码体制中的密码不能被可以使用的计算资源破译，则这一密码体制称为在计算上是安全的。,美国的数据加密标准DES(Data Encryption Standard)和公开密钥密码体制(public key crypto-system)的出现，成为近代密码学发展史上的两个重要里程碑。,7.2 两类密码体制 1、常规密码体制,替代密码与置换密码在早期的常规密钥密码体制中，有两种常用的密码，即替代密码和置换密码。替代密码(substitution cipher)的原理可用一个例子来说明。,移位代换密码：最简单的一类代换密码，以凯撒大帝命名的凯撒密码(Caes
5、ar Cipher)最著名：明文字母用密文中对应字母代替，例：明文字母表 Pp0,p1,pn-1密文字母表 Cc0,c1,cn-1密钥为正整数k，加密：i+k j(mod n)解密：j-k i(mod n)Caesar Cipher:加密：C=E(p)=(p+k)mod 26 解密：p=D(C)=(C-k)mod 26,0A；1B；25Z字母转换对应关系：Plain:abcdefghijklmnopqrstuvwxyz Cipher:DEFGHIJKLMNOPQRSTUVWXYZABCExample：明文m=Caesar cipher is a shift substitution密文cE(m
6、)=FDHVDU FLSKHU LV D VKLIW VXEVWLWXWLRQ,置换密码(transposition cipher)则是按照某一规则重新排列消息中的比特或字符的顺序。下图给出了序列密码的框图。,置换技术(Transposition or permutation)改变明文内容元素的相对位置，明文和密文中所含的元素是相同的，即将明文中的元素重新排列一维变换矩阵转置二维变换图形转置置换密码的核心是一个仅有发方和收方知道的秘密置换和逆置换,U,U,O,Y,N,A,C,S,R,E,D,N,N,A,T,D,密文,明文,明文：can you understand,密文：dnsuaruteod
7、ynnac,从得到的密文序列的结构来划分，有序列密码与分组密码两种不同的密码体制。序列密码又称为密钥流密码。目前常使用伪随机序列作为密钥序列。另一种密码体制与序列密码不同。它将明文划分成固定的n比特的数据组，然后以组为单位，在密钥的控制下进行一系列的线性或非线性的变化而得到密文。这就是分组密码(block cipher)。分组密码一次变换一组数据。分组密码算法的一个重要特点就是：当给定一个密钥后，若明文分组相同，那么所变换出密文分组也相同。,2、对称密码体制,所谓常规密钥密码体制，即加密密钥与解密密钥是相同的密码体制。这种加密系统又称为对称密钥系统。数据加密标准DES数据加密标准DES属于常规
8、密钥密码体制。它由IBM公司研制出，于1977年被美国定为联邦信息标准后，在国际上引起了极大的重视。ISO曾将DES作为数据加密标准。,明 文,IP,L0,R0,f,K1,R1=L0 f(R0,k1,),L1=R0,f,K2,R2=L1 f(R1,k2,),L2=R2,L15=R14,R15=L14 f(R14,k15,),f,K16,R16=L15 f(R15,k16,),L16=R15,IP-1,密 文,32bit,32bit,第16次的迭代结果不再交换,DES 算法一轮迭代的过程,48,采用加密分组链接的方法。,DES的保密性仅取决于对密钥的保密，而算法是公开的。一种叫做三重DES(Tr
9、iple DES)是Tuchman提出的，并在1985年成为美国的一个商用加密标准RFC 2420。三重DES使用两个密钥或三个密钥，执行三次DES算法。两个密钥的三重DES 使用加密-解密-加密的序列C=EK1DK2EK1P，穷举攻击的代价为2112。三个密钥的三重DES 使用加密-解密-加密的序列C=EK3DK2EK1P，穷举攻击的代价为2168。3DES目前已被广泛使用,3、公开密钥密码体制,公开密钥密码体制的特点公开密钥密码体制就是使用不同的加密密钥与解密密钥，是一种由已知加密密钥推导出解密密钥在计算上是不可行的密码体制。公开密钥密码体制的产生主要是因为两个方面的原因，一是由于常规密钥
10、密码体制的密钥分配(distribution)问题，另一是由于对数字签名的需求。,在公开密钥密码体制中，加密密钥(即公开密钥)PK是公开信息，而解密密钥(即秘密密钥)SK是需要保密的。加密算法E和解密算法D也都是公开的。虽然秘密密钥SK是由公开密钥PK决定的，但却不能根据PK计算出SK。,公开密钥算法的特点如下所述。（1）发送者用加密密钥PK对明文X加密后，在接收者用解密密钥SK解密，即可恢复出明文，或写为：DSK(EPK(X)X解密密钥是接收者专用的秘密密钥，对其他人都保密。此外，加密和解密的运算可以对调，即 EPK(DSK(X)X。（2）加密密钥是公开的，但不能用它来解密，即 DPK(EP
11、K(X)X（3）在计算机上可以容易地产生成对的PK和SK。（4）从已知的PK实际上不可能推导出SK，即从PK到SK是“计算 上不可能的”。（5）加密和解密算法都是公开的。,RSA公开密钥密码体制RSA公开密钥密码体制所根据的原理是：根据数论，寻求两个大素数比较简单，而将它们的乘积分解开则极其困难。（1）加密算法若用整数X表示明文，用整数Y表示密文(X和Y均小于n)，则加密和解密运算为：加密：Y=Xe mod n解密：X=Yd mod n,（2）密钥的产生现在讨论RSA公开密钥密码体制中每个参数是如何选择和计算的。计算n。用户秘密地选择两个大素数p和q，计算出n pq。n称为RSA算法的模数。计
12、算(n)。用户再计算出n的欧拉函数(n)(p 1)(q 1)，(n)定义为不超过n并与n互素的数的个数。选择e。用户从0,(n)1中选择一个与(n)互素的数e作为公开的加密指数。,计算d。用户计算出满足下式的d ed 1 mod(n)作为解密指数。得出所需要的公开密钥和秘密密钥：公开密钥(即加密密钥)PK e,n秘密密钥(即解密密钥)SK d,n,Example,数字签名数字签名必须保证以下三点：（1）接收者能够核实发送者对报文的签名；（2）发送者事后不能抵赖对报文的签名；（3）接收者不能伪造对报文的签名。,发送者A用其秘密解密密钥SKA对报文X进行运算，将结果DSKA(X)传送给接收者B。B
13、 用已知的A的公开加密密钥得出EPKA(DSKA(X)X。因为除A外没有别人能具有A的解密密钥SKA，所以除A外没有别人能产生密文DSKA(X)。这样，B就相信报文X是A签名发送的。,同时实现秘密通信和数字签名,7.3 数字签名,数字签名必须保证以下三点：(1)报文鉴别接收者能够核实发送者对报文的签名；(2)报文的完整性发送者事后不能抵赖对报文的签名；(3)不可否认接收者不能伪造对报文的签名。现在已有多种实现各种数字签名的方法。但采用公钥算法更容易实现。,密文,数字签名的实现,D运算,明文 X,明文 X,A,B,A 的私钥 SKA,因特网,签名,核实签名,E运算,密文,A 的公钥 PKA,数字
14、签名的实现,因为除 A 外没有别人能具有 A 的私钥，所以除 A 外没有别人能产生这个密文。因此 B 相信报文 X 是 A 签名发送的。若 A 要抵赖曾发送报文给 B，B 可将明文和对应的密文出示给第三者。第三者很容易用 A 的公钥去证实 A 确实发送 X 给 B。反之，若 B 将 X 伪造成 X，则 B 不能在第三者前出示对应的密文。这样就证明了 B 伪造了报文。,具有保密性的数字签名,核实签名,解密,加密,签名,E 运算,D 运算,明文 X,明文 X,A,B,A 的私钥 SKA,因特网,E 运算,B 的私钥 SKB,D 运算,加密与解密,签名与核实签名,B 的公钥 PKB,A 的公钥 PK
15、A,密文,7.4 鉴别,在信息的安全领域中，对付被动攻击的重要措施是加密，而对付主动攻击中的篡改和伪造则要用鉴别(authentication)。报文鉴别使得通信的接收方能够验证所收到的报文（发送者和报文内容、发送时间、序列等）的真伪。使用加密就可达到报文鉴别的目的。但在网络的应用中，许多报文并不需要加密。应当使接收者能用很简单的方法鉴别报文的真伪。,鉴别与授权不同,鉴别与授权(authorization)是不同的概念。授权涉及到的问题是：所进行的过程是否被允许（如是否可以对某文件进行读或写）。,7.4.1 报文鉴别,许多报文并不需要加密但却需要数字签名，以便让报文的接收者能够鉴别报文的真伪。
16、然而对很长的报文进行数字签名会使计算机增加很大的负担（需要进行很长时间的运算。当我们传送不需要加密的报文时，应当使接收者能用很简单的方法鉴别报文的真伪。,报文摘要 MD(Message Digest),A 将报文 X 经过报文摘要算法运算后得出很短的报文摘要 H。然后然后用自己的私钥对 H 进行 D 运算，即进行数字签名。得出已签名的报文摘要 D(H)后，并将其追加在报文 X 后面发送给 B。B 收到报文后首先把已签名的 D(H)和报文 X 分离。然后再做两件事。用A的公钥对 D(H)进行E运算，得出报文摘要 H。对报文 X 进行报文摘要运算，看是否能够得出同样的报文摘要 H。如一样，就能以极
17、高的概率断定收到的报文是 A 产生的。否则就不是。,报文摘要的优点,仅对短得多的定长报文摘要 H 进行数字签名要比对整个长报文进行数字签名要简单得多，所耗费的计算资源也小得多。但对鉴别报文 X 来说，效果是一样的。也就是说，报文 X 和已签名的报文摘要 D(H)合在一起是不可伪造的，是可检验的和不可否认的。,报文摘要算法,报文摘要算法就是一种散列函数。这种散列函数也叫做密码编码的检验和。报文摘要算法是防止报文被人恶意篡改。报文摘要算法是精心选择的一种单向函数。可以很容易地计算出一个长报文 X 的报文摘要 H，但要想从报文摘要 H 反过来找到原始的报文 X，则实际上是不可能的。若想找到任意两个报
18、文，使得它们具有相同的报文摘要，那么实际上也是不可能的。,报文摘要的实现,A,比较,签名,核实签名,报文 X,H,D 运算,D(H),A 的私钥,报文 X,D(H),B,报文摘要,报文 X,D(H),发送,E 运算,H,签名的报文摘要,H,报文摘要运算,A 的公钥,报文摘要运算,报文摘要,报文摘要,因特网,7.4.2 实体鉴别,实体鉴别和报文鉴别不同。报文鉴别是对每一个收到的报文都要鉴别报文的发送者，而实体鉴别是在系统接入的全部持续时间内对和自己通信的对方实体只需验证一次。,最简单的实体鉴别过程,A 发送给 B 的报文的被加密，使用的是对称密钥 KAB。B 收到此报文后，用共享对称密钥 KAB
19、 进行解密，因而鉴别了实体 A 的身份。,A,B,A,口令,KAB,明显的漏洞,入侵者 C 可以从网络上截获 A 发给 B 的报文。C 并不需要破译这个报文（因为这可能很花很多时间）而可以直接把这个由 A 加密的报文发送给 B，使 B 误认为 C 就是 A。然后 B 就向伪装是 A 的 C 发送应发给 A 的报文。这就叫做重放攻击(replay attack)。C 甚至还可以截获 A 的 IP 地址，然后把 A 的 IP 地址冒充为自己的 IP 地址（这叫做 IP 欺骗），使 B 更加容易受骗。,使用不重数,为了对付重放攻击，可以使用不重数(nonce)。不重数就是一个不重复使用的大随机数，即
20、“一次一数”。,使用不重数进行鉴别,A,B,时间,中间人攻击,A,B,中间人 C,时间,中间人攻击说明,A 向 B 发送“我是 A”的报文，并给出了自己的身份。此报文被“中间人”C 截获，C 把此报文原封不动地转发给 B。B 选择一个不重数 RB 发送给 A，但同样被 C 截获后也照样转发给 A。中间人 C 用自己的私钥 SKC 对 RB 加密后发回给 B，使 B 误以为是 A 发来的。A 收到 RB 后也用自己的私钥 SKA 对 RB 加密后发回给 B，中途被 C 截获并丢弃。B 向 A 索取其公钥，此报文被 C截获后转发给 A。C 把自己的公钥 PKC 冒充是 A 的发送给 B，而 C 也
21、截获到 A 发送给 B 的公钥 PKA。B 用收到的公钥 PKC（以为是 A 的）对数据加密发送给 A。C 截获后用自己的私钥 SKC 解密，复制一份留下，再用 A 的公钥 PKA 对数据加密后发送给 A。A 收到数据后，用自己的私钥 SKA 解密，以为和B进行了保密通信。其实，B发送给A的加密数据已被中间人 C 截获并解密了一份。但 A 和 B 却都不知道。,7.3报文鉴别,在信息的安全领域中，对付被动攻击的重要措施是加密，而对付主动攻击中的篡改和伪造则要用报文鉴别(message authentication)的方法。报文鉴别就是一种过程，它使得通信的接收方能够验证所收到的报文(发送者和报
22、文内容、发送时间、序列等)的真伪。,近年来，广泛使用报文摘要MD(Message Digest)来进行报文鉴别。MD5曾经是使用最普遍的安全散列算法，但从密码分析和强力攻击的角度来看，MD5也是易受攻击的。出于上述原因，目前已有两个散列码长度为160比特的散列函数SHA-1和RIPEMD-160，它们具有更长的散列码和更能抗击已知密码分析的攻击。要做到不可伪造，报文摘要算法必须满足以下两个条件：（1）任给一个报文摘要值x，若想找到一个报文y使得H(y)=x，则在计算上是不可行的。（2）若想找到任意两个报文x和y，使得H(x)=H(y)，则在计算上是不可行的。,MD5的算法大致的过程如下：（1）
23、先将任意长的报文按模264计算其余数(64 bit)，追加在报文的后面。这就是说，最后得出的MD代码已包含了报文长度的信息。（2）在报文和余数之间填充1512 bit，使得填充后的总长度是512的整数倍。填充比特的首位是1，后面都是0。（3）将追加和填充后的报文分割为一个个512 bit的数据块，512 bit的报文数据分成4个128 bit的数据块依次送到不同的散列函数进行4轮计算。每一轮又都按32 bit的小数据块进行复杂的运算。一直到最后计算出MD5报文摘要代码。,7.5 密钥分配,由于密码算法是公开的，网络的安全性就完全基于密钥的安全保护上。因此在密码学中出现了一个重要的分支密钥管理。
24、密钥管理包括：密钥的产生、分配、注入、验证和使用。,随着用户的增多和通信量的增大，密钥更换频繁(密钥必须定期更换才能做到可靠)，派信使的办法将不再适用。这时应采用网内分配方式，即对密钥自动分配。目前，常用的密钥分配方式是设立密钥分配中心KDC(Key Distribution)，通过KDC来分配密钥。,7.6 链路加密与端到端加密,链路加密在采用链路加密的网络中，每条通信链路上的加密是独立实现的。通常对每条链路使用不同的加密密钥。,端到端加密端到端加密是在源结点和目的结点中对传送的PDU进行加密和解密。可以看出，报文的安全性不会因中间结点的不可靠而受到影响。,7.6 因特网使用的安全协议 7.
25、6.1 网络层安全协议,1.IPsec 与安全关联 SA 网络层保密是指所有在 IP 数据报中的数据都是加密的。,IPsec 中最主要的两个部分,鉴别首部 AH(Authentication Header)：AH鉴别源点和检查数据完整性，但不能保密。封装安全有效载荷 ESP(Encapsulation Security Payload)：ESP 比 AH 复杂得多，它鉴别源点、检查数据完整性和提供保密。,安全关联 SA(Security Association),在使用 AH 或 ESP 之前，先要从源主机到目的主机建立一条网络层的逻辑连接。此逻辑连接叫做安全关联 SA。IPsec 就把传统的
26、因特网无连接的网络层转换为具有逻辑连接的层。,安全关联的特点,安全关联是一个单向连接。它由一个三元组唯一地确定，包括：(1)安全协议（使用 AH 或 ESP）的标识符(2)此单向连接的源 IP 地址(3)一个 32 位的连接标识符，称为安全参数索引 SPI(Security Parameter Index)对于一个给定的安全关联 SA，每一个 IPsec 数据报都有一个存放 SPI 的字段。通过此 SA 的所有数据报都使用同样的 SPI 值。,2.鉴别首部协议 AH,在使用鉴别首部协议 AH 时，把 AH 首部插在原数据报数据部分的前面，同时把 IP 首部中的协议字段置为 51。在传输过程中，
27、中间的路由器都不查看 AH 首部。当数据报到达终点时，目的主机才处理 AH 字段，以鉴别源点和检查数据报的完整性。,IP 首部,AH 首部,TCP/UDP 报文段,协议=51,3.封装安全有效载荷 ESP,使用 ESP 时，IP 数据报首部的协议字段置为 50。当 IP 首部检查到协议字段是 50 时，就知道在 IP 首部后面紧接着的是 ESP 首部，同时在原 IP 数据报后面增加了两个字段，即 ESP 尾部和 ESP 数据。在 ESP 首部中有标识一个安全关联的安全参数索引 SPI(32 位)，和序号(32 位)。,在 ESP 尾部中有下一个首部（8 位，作用和 AH 首部的一样）。ESP
28、尾部和原来数据报的数据部分一起进行加密，因此攻击者无法得知所使用的运输层协议。ESP 鉴别和 AH 中的鉴别数据是一样的。因此，用 ESP 封装的数据报既有鉴别源站和检查数据报完整性的功能，又能提供保密。,在 IP 数据报中的ESP 的各字段,IP 首部,ESP 首部,TCP/UDP 报文段,使用 ESP 的 IP 数据报,原数据报的数据部分,ESP 尾部,ESP 鉴别,加密的部分,鉴别的部分,协议=50,7.6.2 运输层安全协议1.安全套接层 SSL,SSL 是安全套接层(Secure Socket Layer)，可对万维网客户与服务器之间传送的数据进行加密和鉴别。SSL 在双方的联络阶段
29、协商将使用的加密算法和密钥，以及客户与服务器之间的鉴别。在联络阶段完成之后，所有传送的数据都使用在联络阶段商定的会话密钥。SSL 不仅被所有常用的浏览器和万维网服务器所支持，而且也是运输层安全协议 TLS(Transport Layer Security)的基础。,SSL 的位置,TCP,应用层,SSL,运输层,HTTP IMAP,SSL 功能标准套接字,在发送方，SSL 接收应用层的数据（如 HTTP 或 IMAP 报文），对数据进行加密，然后把加了密的数据送往 TCP 套接字。在接收方，SSL 从 TCP 套接字读取数据，解密后把数据交给应用层。,SSL 提供以下三个功能,(1)SSL 服
30、务器鉴别 允许用户证实服务器的身份。具有 SS L 功能的浏览器维持一个表，上面有一些可信赖的认证中心 CA(Certificate Authority)和它们的公钥。(2)加密的 SSL 会话 客户和服务器交互的所有数据都在发送方加密，在接收方解密。(3)SSL 客户鉴别 允许服务器证实客户的身份。,2.安全电子交易 SET(Secure Electronic Transaction),安全电子交易 SET 是专为在因特网上进行安全支付卡交易的协议。SET 的主要特点是：(1)SET 是专为与支付有关的报文进行加密的。(2)SET 协议涉及到三方，即顾客、商家和商业银行。所有在这三方之间交互
31、的敏感信息都被加密。(3)SET 要求这三方都有证书。在 SET 交易中，商家看不见顾客传送给商业银行的信用卡号码。,7.6.3 应用层的安全协议 1.PGP(Pretty Good Privacy),PGP 是一个完整的电子邮件安全软件包，包括加密、鉴别、电子签名和压缩等技术。PGP 并没有使用什么新的概念，它只是将现有的一些算法如 MD5，RSA，以及 IDEA 等综合在一起而已。虽然 PGP 已被广泛使用，但 PGP 并不是因特网的正式标准。,7.7 链路加密与端到端加密7.7.1 链路加密,在采用链路加密的网络中，每条通信链路上的加密是独立实现的。通常对每条链路使用不同的加密密钥。,D
32、1,E2,明文 X,结点 1,D2,E3,明文 X,结点 2,Dn,明文 X,用户 B,E1,明文 X,用户 A,E1(X)链路 1,E2(X)链路 2,En(X)链路 n,E3(X),密文,密文,密文,密文,相邻结点之间具有相同的密钥，因而密钥管理易于实现。链路加密对用户来说是透明的，因为加密的功能是由通信子网提供的。,链路加密,由于报文是以明文形式在各结点内加密的，所以结点本身必须是安全的。所有的中间结点(包括可能经过的路由器)未必都是安全的。因此必须采取有效措施。链路加密的最大缺点是在中间结点暴露了信息的内容。在网络互连的情况下，仅采用链路加密是不能实现通信安全的。,7.7.2 端到端加
33、密,端到端加密是在源结点和目的结点中对传送的 PDU 进行加密和解密，报文的安全性不会因中间结点的不可靠而受到影响。,结点 1,结点 2,DK,明文 X,结点 n,EK,明文 X,结点 0,EK(X)链路 1,EK(X)链路 2,EK(X)链路 n,端到端链路传送的都是密文,在端到端加密的情况下，PDU 的控制信息部分(如源结点地址、目的结点地址、路由信息等)不能被加密，否则中间结点就不能正确选择路由。,7.8 防火墙(firewall),防火墙是由软件、硬件构成的系统，是一种特殊编程的路由器，用来在两个网络之间实施接入控制策略。接入控制策略是由使用防火墙的单位自行制订的，为的是可以最适合本单
34、位的需要。防火墙内的网络称为“可信赖的网络”(trusted network)，而将外部的因特网称为“不可信赖的网络”(untrusted network)。防火墙可用来解决内联网和外联网的安全问题。,防火墙在互连网络中的位置,G,内联网,可信赖的网络,不可信赖的网络,分组过滤路由器 R,分组过滤路由器 R,应用网关,外局域网,内局域网,防火墙,因特网,防火墙的功能,防火墙的功能有两个：阻止和允许。“阻止”就是阻止某种类型的通信量通过防火墙（从外部网络到内部网络，或反过来）。“允许”的功能与“阻止”恰好相反。防火墙必须能够识别通信量的各种类型。不过在大多数情况下防火墙的主要功能是“阻止”。,防火墙技术一般分为两类,(1)网络级防火墙用来防止整个网络出现外来非法的入侵。属于这类的有分组过滤和授权服务器。前者检查所有流入本网络的信息，然后拒绝不符合事先制订好的一套准则的数据，而后者则是检查用户的登录是否合法。(2)应用级防火墙从应用程序来进行接入控制。通常使用应用网关或代理服务器来区分各种应用。例如，可以只允许通过访问万维网的应用，而阻止 FTP 应用的通过。,复习与思考,1、2、3、4、5、6、7、8、9、10、11、12、13、14、15、17、19、20、21,
