摘 要 认证协议是身份认证系统最关键的部分,研究和分析系统认证协议,是保证网络安全通信的必要条件。Kerberos是一个典型的认证协议,其使用专门的服务器进行统一的身份认证和权限管理,但是由于当初使用环境的原因,并没有使用公钥体制,这影响了系统的扩展性和易管理性。本文描述了一个身份认证系统认证协议的设计思想,使用公钥对kerberos协议进行了改进,并使用BAN逻辑分析了协议的安全性。 关键词 身份认证,认证协议
认证协议是身份认证系统最关键的部分,它直接影响到系统效率、安全性等等。Kerberos是一个典型的认证协议,其使用专门的服务器进行统一的身份认证和权限管理,但是由于当初使用环境的原因,并没有使用公钥体制,这影响了系统的扩展性和易管理性。本文描述了一个身份认证系统认证协议的设计思想,使用公钥对kerberos协议进行了改进,并使用BAN逻辑证明了协议的安全性较高。 1 Kerberos协议分析 Kerberos是一个典型网络安全认证协议,它是应用对称密钥来对客户机(Client)/服务器(Server)应用程序作精确鉴定的。Kerberos主要为网络通信提供可信第三方服务的面向开放系统的认证机制。每当用户(Client)申请得到某服务程序(Server)的服务时,用户和服务程序会首先向Kerberos要求认证对方的身份,认证是建立在用户和服务程序对Kerberos的信任的基础上。在申请认证时,Client和Server都可看成是Kerberos认证服务的用户。为了和其它服务的用户区别,Kerberos将用户和服务器统称为参与者(Principle)。因此Principle既可以是用户也可以是某项服务。认证双方与Kerberos的关系用图1表示。 图1 Kerberos之间的认证关系 当用户登录到工作站时,Kerberos对用户进行初始认证,通过认证的用户可以在整个登录期间得到相应的服务。Kerberos既不依赖用户登录系统的终端,也不依赖用户所请求的服务的安全机制,它凭借本身提供的认证服务来完成对用户的认证工作。而时间戳技术被用来抵御可能发生的重放攻击(Replay Attack)。 Kerberos建立并保存本网络域中每个参与者的名称及其私有密钥的数据库,这样仅有参与者和Kerberos数据库掌握该参与者的私有密钥。使用私有密钥,Kerberos可以对参与者进行身份认证。另外,Kerberos还会随机生成一个会话密钥用来对通信双方的具体内容进行加密。 Kerberos存在以下局限性: 1)原有的认证服务可能被存储或替换,虽然时间戳是专门用于防止重放攻击的,但在票据的有效时间内仍然可能奏效,假设在一个Kerberos认证域内的全部时钟均保持同步,收到消息的时间在规定的范围内(假定规定为5分钟),就认为该消息是新的。而事实上,攻击者可以事先把伪造的消息准备好,一旦得到票据就马上发出伪造的票据,在这5分钟内是难以检查出来的。 2)认证票据的正确性是基于网络中所有的时钟保持同步,如果主机的时间发生错误,则原来的认证票据就是可能被替换的。因为大多数网络的时间协议是不安全的,所以,分布式计算机系统中这将导致极为严重的问题。 3) Kerberos防止口令猜测攻击的能力很弱,攻击者通过长期监听可以收集大量的票据,经过计算和密钥分析进行口令猜测。当用户选择的口令不够强时,就不能有效地防止口令猜测攻击。 4)Kerberos服务器与用户共享的秘密是用户的口令字,服务器在回应时不验证用户的真实性,而是假设只有合法用户拥有口令字。如果攻击者记录申请回答报文,就易形成代码本攻击。 5)实际上,最严重的攻击是恶意软件攻击。Kerberos认证协议依赖于Kerberos软件的绝对可信,而攻击者可以用执行Kerberos协议和记录用户口令的软件来代替所有用户的Kerberos软件,达到攻击的目的。一般而言,装在不安全计算机内的密码软件都会面临这一问题。 6)在分布式系统中,认证中心星罗棋布,域间的会话密钥数量惊人,密钥的管理、分配、存储都是很严峻的问题。 2 认证协议初步设计 Kerberos在最初设计时避免采用公钥体系,这是因为当时应用公钥体系的某些条件不完全成熟。但是随着时间的推移和技术的进步,目前采用公钥体系的一些条件已经具备或者正在具备,特别是从将来的发展来看,将公钥体系结合进现有的系统中去是一种趋势。从对于Kerberos的局限性分析可以看出,其很多缺陷均是由于单独采用对称密钥技术造成的。如果能将公钥技术有机地融合到Kerberos中去,便能克服其保密性不强,扩展性差等缺点。基于这种考虑,这里设计了一个认证协议。在此协议中使用代表用户访问次数的“共享变量”N来防止重放,
符号表示说明: ◆CA:认证中心; ◆AA:认证代理服务器(Authentication Agent); ◆C:客户端(Client)唯一标识; ◆S:应用服务器(Server)唯一标识; ◆PRIx:X的私钥; ◆PUBx:X的公钥; ◆CERTc:C的证书序列号; ◆(Info)SIGNx:用X的私钥对信息Info签名; ◆(Info)ENCpubx:用X的公钥对Info加密; ◆(Info)K:用对称密钥K对Info加密; ◆Ts:认证代理为用户C访问服务器S而颁发的票据; ◆Nc:用户端C保存的一个整数,记录用户访问次数; ◆Ns:应用服务器S所保存的用户访问次数,用于防止重放; ◆N:协议消息中使用的用于防止重放的整数,其值由Nc决定,在此称之为“同步变量”。 协议具体工作流程如下: 1)票据请求 当客户端C想访问服务器S时,客户程序要求其输入私钥口令,以便将私钥文件解密,如果私钥口令不正确,则禁止用户进一步的操作。如果正确则发送Ticket_req消息到认证代理AA: C->AA:(C,S,N)SIGNc,CERTcTicket_req消息的具体构造过程如下: 用户取得本地所保存的Nc,然后使N=Nc 1,而后对用户标识C和要访问应用服务器S使用C的私钥签名,此签名可以证明自已的身份。为了便于身份的认证,客户端还需要将自已的证书序列号CERTc传送给AA。参量N的使用主要为了保持用户发送信息的新鲜性,当请求发送完之后,为了下一次会话做准备,需要使Nc=Nc 1。 2)票据发放 当认证代理服务器AA收到Ticket_req消息后,首先根据CERTc从CA或本地缓冲取得用户证书,利用CRL完成对证书有效性的检查。如果证书验证通过,则从用户终端C的证书中取得其公钥PUBc,用此公钥来验证C对信息(C,S,N)的签名,如果签名验证失败,则向客户端发送验证失败消息。签名验证通过后,AA找出C要访问的服务器S,检查其是否有对服务器S的信 息的访问权限,如果权限满足,将产生Ticket_rep消息: AA->C:Ts,((Kcs,N)SIGNAA)ENCpubc 其中Ts=((C,S,Kcs,N)SIGNAA)ENCpubs为用户用以访问服务的票据 Ticket_rep消息的构造过程如下: AA首先产生一个会话密钥Kcs,用于构造票据Ts,在Ts中要加入用户C的标识,以说明此票据为用户C所拥有,其他人不能使用;加入S说明此票据的目的是用于C向S发出的访问;而后还要加入N以保证票据的新鲜性;然后将这些信息签名,证明是由AA发出的,其它人不能假冒或篡改;最后用S的公钥将其加密,使得其它人不能查看其中的会话密钥Kcs。 Ts构造完后,还要将会话密钥Kcs通知用户C,与对票据Ts的处理相似,首先将其用AA的私钥签名,然后用C公钥加密以防止其他人查看会话密钥Kcs。为了保持其新鲜性,在其中加入了N。 3)服务请求 当用户收到Ticket_rep消息后,用户C利用自己的私钥解开((Kcs,N)SIGNAA)ENCpubc,用户检查得到的N,看N=Nc是否成立,如果成立,则证明了其新鲜性;如果N<Nc,则认为其为重放数据,并将其抛弃;如果N>Nc,则认为某一方程序出现了错误,则退出。而后,C利用AA的证书验证AA对以上数据的签名,如果成功则说明信息的确是AA发送的,而不是别人伪造的。当以上验证都通过后,C将票据Ts和会话密钥Kcs保存下来,用来向服务器申请服务。向服务器S申请服务的S_req消息如下: C->S:Ts,(C,S,N)Kcs S_req具体构造过程如下: C将自己标识C和服务器标识S以及同步变量N用会话密钥Kcs加密后,连同Ts一起发往服务器S。在这里不能单纯地将Ts直接发往S,因为如果这样的话,非法用户可以在第二步中截获Ts,然后去服务器认证。如果加上(C,S,N)Kcs,则可以说明此消息为拥有Kcs的用户发过来的,而且使用N保证了其新鲜性。 4)服务器身份认证 应用服务器S收到服务请求后,首先是对票据Ts的检查:先用自己的私钥将其解密,查看C和S可以知道此票据是否为用户C发出的,并且是发给自己的;然后取得N,检查N>Ns是否成立,如果成立则通过验证,但如果N<=Ns,则认为此数据为重放数据,予以抛弃,并发回出错消息;以上验证通过后,使用AA的证书验证其签名,如果签名不正确发回出错信息。 对票据本身检查完毕后,还要对票据持有者进行检查:使用Kcs解开(C,S,N)Kcs,检查这里C,S,N是否与票据中的相符,以防止非法攻击者将不同的Ts和(C,S,N)Kcs组合。当验证通过后,应该令Ns=N,以防止重放。 对用户验证通过后,服务器S向客户端C发送s_rep消息证明自己的身份: S->C:(N 1)Kcs 当客户端C收到此消息后,首先利用Kcs将其解开,检查N 1=Nc 1是否成立,如果成立,则认为服务器S合法,因为只有S才能将票据Ts解开来获取Kcs。之后二者便可以利用会话密钥Kcs来进行通话。 3 认证协议设计思想的进一步改进 在Kerberos中,采用了发放票据的方法实现了权限的集中管理,我们也吸取这一思想,用户向认证代理AA证实自己的身份来取得票据。此时,认证代理便可以根据用户的权限的情况来决定是否发给用户票据。当应用服务器S取得服务请求后,S应该可以验证票据的发放者和票据的持有者的身份。 由于采用了公钥体制,用户的身份已经包含在证书中了;利用签名,即可以保证消息来源的真实性、完整性和不可否认性;利用接收方的公钥加密,即可以保证只有接收方才能将数据解开,同时也能保证数据的完整性和机密性;使用各方所拥有的本地所保存的同步变量N,就可以保证消息的新鲜性。 在规模较大、各实体比较分散的网络环境下,实现系统各部分的时间同步可以说非常困难。本系统利用了同步变量N来替换Kerberos中的时间戳。对于同步变量N,其应为位数足够大的整数,在初始使用时,由于客户端C、服务器S本地均没有变量N,我们可以认为其值为null,null小于任何一个整数。当客户端第一次进行传输时需要取N=Nc 1,即N=null 1,这时可以取一个适当范围内的随机数,做为第一次会话中使用的N。当应用服务器S收到N后,便可以为此用户设置本地变量N的值。 在上述协议中,用户每次与服务器交互都必须向认证代理AA申请一次票据,这样显然对用户不方便,而且认证代理AA的负担很大。基于这两点考虑,在上述协议中可以引入票据生存期(lifetime)参量,在生存期内用户能够重复使用票据,而不必再向认证代理AA提出申请。对于票据生存时间,可以由应用服务器自己规定,也可以由认证代理AA在发放票据的时候给出。在此本系统采用了后一种方法。通过分析可以看出,在上述协议中,第一步的签名并不是必须的,因为非法用户根本无法得到会话密钥,也就无法向应用服务器证明自己是证书持有者,所以我们也将其去掉,减少不必要的计算。改进后的协议如下: 1)票据请求(Ticket_req),C->AA:C,S,N,CERTc 2) 票据发放(Ticket_rep),AA->C:Ts, ((Kcs,N) SIGNAA) ENCpubc Ts=((C,S,Kcs,N,lifetime)SIGNAA)ENCpubs 3)服务请求(S_req),C->S:Ts,(N,ra,seq,opinion)Kcs 4)服务器身份认证(S_rep),S->C:(ra)Kcs(可选由 opinion决定) 符号说明如下:
◆Lifetime:票据生存时间,(从服务器第一次接收服务请求后开始计时); ◆ra:随机会话密钥; ◆seq:服务请求序列号; ◆opinion:用户是否要求对服务器验证,1为要求,0为不要求。 在第二步中,认证代理AA在票据中加入了票据的生存期lifetime,说明此票据的生存时间。 在第三步中,用户C除了向应用服务器S提交最初协议中的内容外,还加入了ra和seq,ra为C生成的一个随机数。在最初的协议中,使用Kcs做为会话密钥,在这里使用ra做为二者会话密钥,因为用户C在票据的生存期内可以重复访问服务器S,处于安全性考虑,每次会话都使用不同的会话密钥ra。为了防止在票据的生存期内攻击者对服务器请求消息的重放,协议中引入了请求的序列号seq。seq从1开始,每次加一。 对于服务器S,除了保留同步变量N外,还要保存用户票据的到期时间Texp,以及用户最后一次服务请求的序号seq。 当服务器S收到用户的请求服务消息后,取得票据中的N有可能出现以下三种情况: 1)N>Ns,说明此请求使用的是新票据,在对请求的所有验证通过后,则使Ns=N,设置过期时间Texp=Tnow lifetime,同时使本地所保存的seq为此次请求的中的seq; 2)N=Ns,说明此请求为重新登录请求,此时检查Tnow>Texp,看票据是否过期,在验证票据的发放者和持有者后,还要检查请求中的序列号seq是否大于本地所保存的上次请求的序列号,如果成立,则将seq更新为此次的请求的序列号,否则认为此消息为重放消息。 3)若N<Ns,则认为此消息为重放消息,将其抛弃。 若opinion=1,则用户要求对服务器验证,此时服务器S需要返回消息4,若opinion=0则服务器不需要返回用户对自己的认证消息4。 在第四步中,服务器将ra加密后返回给用户C,由于ra的随机性,所以攻击者无法冒充,也无法进行重放,这样就验证了此消息的真实性和新鲜性。 4 认证协议的安全性分析 分析此协议的安全性时,我们主要从协议的逻辑性方面来分析,因为像拒绝服务等攻击方式,应该由防火墙或入侵检测系统来阻止。这里我们主要采用了BAN逻辑分析协议的安全性,BAN逻辑是基于知识和信仰的形式逻辑分析方法,它是通过认证协议运行过程中消息的接收和发送,来从最初的信仰逐渐发展为协议运行要达到的目的主体的最终信仰。由于协议证明篇幅较长,在此省略,经推理证明,本认证协议最终得到了一级信仰和二级信仰。 5 总结 本文在认证协议设计时,主要是利用公钥对kerberos进行了改进,并根据实际情况,去掉了一些不需要的步骤。用户的身份认证与授权由认证代理服务器负责,整个协议过程分为票据请求、票据发放、服务请求和服务器身份认证等四个阶段,前两步主要是用户和认证代理进行交互,后两步主要是用户同应用服务器进行交互。用户进行身份认证后,用户和应用服务器之间可以动态地建立一个共享的会话密钥,本认证协议相对kerberos认证协议较为简洁,但通过使用BAN逻辑证明协议的安全性较高,具有一定的应用价值。 参考文献 ⑴Brian Tung.Public Key Cryptography for Initial Authentication in Kerberos.draft-ietf-cat- kerberos-pk-init- 15.txt ⑵Matthew Hur.Public Key Cryptography for Cross-Realm Authentication in Kerberos.draft-ietf-cat-kerberos- pk-cross- 08.txt ⑶ M. Sirbu, J. Chuang.Distributed Authentication in Kerberos Using Public KeyRFC 1510:The Kerberos Network Authentication Service (V5). 1993-09
分类: 电脑/网络 >>软件 >>其他软件解析:
(1) 代理服务原理
代理服务器有很多种,大体来说有,ftp,socks代理三种,其中又分透明代理和不透明代理。其中透明代理一般是网关,是硬件。所以这里讨论不透明代理。
当机器通过代理服务器上网时。通讯是分两次的,先是机器和代理服务器通讯,再是代理服务器和目的地址通讯。
机器和代理服务器通讯时,目的IP是代理服务器的IP。代理服务器和目的地址通讯时,源IP是代理服务器的IP,当外部的数据也是一样的,在内网中,出现的IP数据,全是内网和代理服务器的IP。因此,从IP包头是看不出任何与外面通讯的信息的。只有从数据中才能看到。
例如,用代理上网。
过程是
机器和代理服务器建立TCP连接。
机器发出GET命令。这时GET命令中包含URL或IP地址,明文。
代理服务器将其中的URL转换为IP地址,可能会有DNS。将源数据包中的数据拷贝下来。去掉URL,重新组包,再发出去。
我们需要解析第一个GET包。
现在来看几种代理方式。
(get)
(connect)
ftp (user user@host:port)
ftp (user user@host port)
ftp (open host)
ftp (site host)
ftp (site user@host)
socks5
socks4
这些代理方式都有一个特点。就是在连接时,都会先和代理服务器连接,发出请求,一般为 mand url,mand就是get,connect,user 等。和ftp都一样,可以通过关键字来识别。而且url是明文。Socks有些特别。它不是明文的,而是十六进制数据。要获得IP地址,还要经过转换。
(2) 目前的代理服务技术
代理服务技术是在一台PC机上安装一套代理软件,主要用于用户对Inter资源的访问。
ICS即Inter连接共享(Inter Connection Sharing)的英文简称,是Windows系统针对家庭网络或小型的Intra网络提供的一种Inter连接共享服务。它实际上相当于一种网络地址转换器,所谓网络地址转换器就是当数据包向前传递的过程中,可以转换数据包中的IP地址和TCP/UCP端口等地址信息。有了网络地址转换器,家庭网络或小型的办公网络中的电脑就可以使用私有地址,并且通过网络地址转换器将私有地址转换成ISP分配的单一的公用IP地址从而实现对Inter的连接。ICS方式也称之为Inter转换连接。
软件:Wingate,、Winproxy
NAT即网络地址转换(Neork Address Translator),从广义上讲,ICS也是使用了一种NAT技术,不过我们这里讨论的NAT是指将运行Windows 2000 Server的计算机作为IP路由器,通过它在局域网和Inter主机间转发数据包从而实现Inter的共享。NAT方式也称之为Inter的路由连接。网络地址转换NAT通过将专用内部地址转换为公共外部地址,对外隐藏了内部管理的IP地址。这样,通过在内部使用非注册的IP地址,并将它们转换为一小部分外部注册的IP 地址,从而减少了IP 地址注册的费用。同时,这也隐藏了内部网络结构,从而降低了内部网络受到攻击的风险。
软件:WinRoute、Sygate
(3) 代理数据变代
非透明代理:
上网主机向代理提交TCP连接请求:源ip(上网主机)目标ip(代理服务器)
***********: 45 00 01 9E 64 CE 40 00 80 06 17 C0 C0 A8 FD 91 E...d.@.........
***********: C0 A8 FD E8 12 47 04 38 FB 32 8B 56 7E 55 57 EA .....G.8.2.V~UW.
***********: 50 18 44 70 1B EC 00 00 47 45 54 20 68 74 74 70 P.Dp....GET
***********: 3A 2F 2F 77 77 77 2E 63 63 74 76 2E 63 6F 6D 2E haozs.
***********: 63 6E 2F 20 48 54 54 50 2F 31 2E 30 0D 0A 41 63 / HTTP/1.0..Ac
***********: 63 65 70 74 3A 20 69 6D 61 67 65 2F 67 69 66 2C cept: image/gif,
***********: 20 69 6D 61 67 65 2F 78 2D 78 62 69 74 6D 61 70 image/x-xbitmap
***********: 2C 20 69 6D 61 67 65 2F 6A 70 65 67 2C 20 69 6D , image/jpeg, im
***********: 61 67 65 2F 70 6A 70 65 67 2C 20 61 70 70 6C 69 age/pjpeg, appli
***********: 63 61 74 69 6F 6E 2F 76 6E 64 2E 6D 73 2D 65 78 cation/vnd.ms-ex
000000a0: 63 65 6C 2C 20 61 70 70 6C 69 63 61 74 69 6F 6E cel, application
000000b0: 2F 76 6E 64 2E 6D 73 2D 70 6F 77 65 72 70 6F 69 /vnd.ms-powerpoi
000000c0: 6E 74 2C 20 61 70 70 6C 69 63 61 74 69 6F 6E 2F nt, application/
000000d0: 6D 73 77 6F 72 64 2C 20 61 70 70 6C 69 63 61 74 msword, applicat
000000e0: 69 6F 6E 2F 78 2D 73 68 6F 63 6B 77 61 76 65 2D ion/x-shockwave-
000000f0: 66 6C 61 73 68 2C 20 2A 2F 2A 0D 0A 41 63 63 65 flash, */*..Acce
***********: 70 74 2D 4C 61 6E 67 75 61 67 65 3A 20 7A 68 2D pt-Language: zh-
***********: 63 6E 0D 0A 55 73 65 72 2D 41 67 65 6E 74 3A 20 ..User-Agent:
***********: 4D 6F 7A 69 6C 6C 61 2F 34 2E 30 20 28 63 6F 6D Mozilla/4.0 (
***********: 70 61 74 69 62 6C 65 3B 20 4D 53 49 45 20 36 2E patibleMSIE 6.
***********: 30 3B 20 57 69 6E 64 6F 77 73 20 4E 54 20 35 2E 0Windows NT 5.
***********: 32 3B 20 2E 4E 45 54 20 43 4C 52 20 31 2E 31 2E 2.NET CLR 1.1.
***********: 34 33 32 32 29 0D 0A 48 6F 73 74 3A 20 77 77 77 4322)..Host:
***********: 2E 63 63 74 76 2E 63 6F 6D 2E 63 6E 0D 0A 50 72 .haozs.ne..Pr
***********: 6F 78 79 2D 43 6F 6E 6E 65 63 74 69 6F 6E 3A 20 oxy-Connection:
***********: 4B 65 65 70 2D 41 6C 69 76 65 0D 0A 0D 0A FD 00 Keep-Alive......
代理服务器转换后的数据:源IP(代理服务器) 目IP(网站IP)
***********: 45 00 01 88 5D 4E 40 00 80 06 19 55 C0 A8 FD E8 E...]N@....U....
***********: CA 6C F9 CE 06 AC 00 50 7E 57 F3 C7 E1 41 2F 21 .l.....P~W...A/!
***********: 50 18 44 70 F9 DF 00 00 47 45 54 20 2F 20 48 54 P.Dp....GET / HT
***********: 54 50 2F 31 2E 30 0D 0A 41 63 63 65 70 74 3A 20 TP/1.0..Accept:
***********: 69 6D 61 67 65 2F 67 69 66 2C 20 69 6D 61 67 65 image/gif, image
***********: 2F 78 2D 78 62 69 74 6D 61 70 2C 20 69 6D 61 67 /x-xbitmap, imag
***********: 65 2F 6A 70 65 67 2C 20 69 6D 61 67 65 2F 70 6A e/jpeg, image/pj
***********: 70 65 67 2C 20 61 70 70 6C 69 63 61 74 69 6F 6E peg, application
***********: 2F 76 6E 64 2E 6D 73 2D 65 78 63 65 6C 2C 20 61 /vnd.ms-excel, a
***********: 70 70 6C 69 63 61 74 69 6F 6E 2F 76 6E 64 2E 6D pplication/vnd.m
000000a0: 73 2D 70 6F 77 65 72 70 6F 69 6E 74 2C 20 61 70 s-powerpoint, ap
000000b0: 70 6C 69 63 61 74 69 6F 6E 2F 6D 73 77 6F 72 64 plication/msword
000000c0: 2C 20 61 70 70 6C 69 63 61 74 69 6F 6E 2F 78 2D , application/x-
000000d0: 73 68 6F 63 6B 77 61 76 65 2D 66 6C 61 73 68 2C shockwave-flash,
000000e0: 20 2A 2F 2A 0D 0A 41 63 63 65 70 74 2D 4C 61 6E */*..Accept-Lan
000000f0: 67 75 61 67 65 3A 20 7A 68 2D 63 6E 0D 0A 55 73 guage: zh-..Us
***********: 65 72 2D 41 67 65 6E 74 3A 20 4D 6F 7A 69 6C 6C er-Agent: Mozill
***********: 61 2F 34 2E 30 20 28 63 6F 6D 70 61 74 69 62 6C a/4.0 (patibl
***********: 65 3B 20 4D 53 49 45 20 36 2E 30 3B 20 57 69 6E eMSIE 6.0Win
***********: 64 6F 77 73 20 4E 54 20 35 2E 32 3B 20 2E 4E 45 dows NT 5.2.NE
***********: 54 20 43 4C 52 20 31 2E 31 2E 34 33 32 32 29 0D T CLR 1.1.4322).
***********: 0A 48 6F 73 74 3A 20 77 77 77 2E 63 63 74 76 2E .Host: cctv.
***********: 63 6F 6D 2E 63 6E 0D 0A 50 72 6F 78 79 2D 43 6F ..Proxy-Co
***********: 6E 6E 65 63 74 69 6F 6E 3A 20 4B 65 65 70 2D 41 nnection: Keep-A
***********: 6C 69 76 65 0D 0A 0D 0A FD 00 00 00 00 00 00 00 live............
通过非透明代理上网,上网主机向代理提交连接请求。在请求包里,包含了真正目标的URL,通过代理转交。
ftp代理
代理服务器是明文
..]ZY...]ZI@..E..@.J@...yr.........i.I6u[.....P....l..USER user@202.204.8.10...
代理
代理是明文
..]ZY...]ZI@..E..R..@...y..........J.8.*.n.YJ@P...Z...GET haozs/ HTTP/1.0..Accept: */*..Accept-Language: zh-..Accept-Encoding: gzip, deflate..User-Agent: Mozilla/4.0 (patibleMSIE 5.01Windows NT 5.0)..Host: mp3.yzu.edu..Proxy-Connection: Keep-Alive..Pragma: no-cache..Cookie: ASPSESSIONIDQQCDACCS=CLCLPECCDCEKIGEOKFAFNDAG......-.....0......
socks5代理
socks5代理都不是明文,是数据。
202.204.8.10:21
CA CC 08 0A 00 15
如果使用的是域名,就是明文
..]ZY...]ZI@..E..>..@...p.............N.f7%p:.P...........vod.sjtu.edu.....
qq 代理
当qq上线的时候会和腾迅的服务器联系
..]ZY...]ZI@..E....-@...m*...........8]...3.j.P....6..CONNECT 218.18.95.165:443 HTTP/1.1..Accept: */*..Content-Type: text/..Proxy-Connection: Keep-Alive..Content-length: 0................
qq socks5代理
当qq使用socks5代理的时候,不是明文,是数据
CA 60 AA A5
202.96.170.165:8000
(4) VLAN工作原理的研究
VLAN(Virtual Local Area Neork)就是虚拟局域网的意思。VLAN可以不考虑用户的物理位置,而根据功能、应用等因素将用户从逻辑上划分为一个个功能相对独立的工作组,每个用户主机都连接在一个支持VLAN的交换机端口上并属于一个VLAN。同一个VLAN中的成员都共享广播,形成一个广播域,而不同VLAN之间广播信息是相互隔离的。这样,将整个网络分割成多个不同的广播域(VLAN)。一般来说,如果一个VLAN里面的工作站发送一个广播,那么这个VLAN里面所有的工作站都接收到这个广播,但是交换机不会将广播发送至其他VLAN上的任何一个端口。如果要将广播发送到其它的VLAN端口,就要用到三层交换机。
欢迎分享,转载请注明来源:夏雨云
评论列表(0条)