第六十 网络安全

网络安全（Network Security）是保护计算机网络基础设施、传输数据和应用服务免受攻击、损害或未授权访问的实践。互联网的开放性使得网络安全成为数字化社会的基石——从个人隐私到国家安全，从电子商务到工业控制，无处不依赖网络安全。

一、网络安全基础

1.1 网络安全的目标

1.2 攻击面与攻击向量

二、网络协议与安全

2.1 OSI 七层模型与安全

2.2 TCP/IP 安全问题

TCP/IP 协议在设计之初未考虑安全，存在固有缺陷：

2.3 TLS/SSL

TLS（Transport Layer Security）是保障网络通信安全的核心协议，提供加密、认证和完整性保护。

客户端                                     服务器
  |                                          |
  | --- ClientHello (支持的加密套件) -------> |
  | <-- ServerHello (选定加密套件) + 证书 --- |
  | --- 密钥交换（Key Exchange）----------->  |
  | --- Finished (加密验证) --------------->  |
  | <-- Finished (加密验证) ---------------- |
  |                                          |
  | <==== 加密通信通道 (Application Data) ==> |

#![allow(unused)]
fn main() {
// Rust 中使用 rustls 建立 TLS 连接
use rustls::ClientConfig;
use std::sync::Arc;

fn create_tls_config() -> Arc<ClientConfig> {
    let mut root_store = rustls::RootCertStore::empty();
    root_store.extend(webpki_roots::TLS_SERVER_ROOTS.iter().cloned());
    
    Arc::new(ClientConfig::builder()
        .with_root_certificates(root_store)
        .with_no_client_auth())
}
}

三、常见网络攻击

3.1 DDoS 攻击（分布式拒绝服务）

攻击者控制大量僵尸网络，向目标发送海量请求，耗尽其资源使其无法正常服务。

防御措施： 流量清洗、CDN 分散、速率限制、黑洞路由、Anycast。

3.2 中间人攻击（MITM）

攻击者拦截并可能篡改通信双方之间的消息。

Alice  <-->  攻击者  <-->  Bob
         拦截/篡改/窃听

防御： TLS 证书验证、证书锁定（Certificate Pinning）、端到端加密。

3.3 DNS 攻击

防御： DNSSEC（DNS 安全扩展）、DNS over HTTPS (DoH)、DNS over TLS (DoT)。

3.4 ARP 欺骗

在局域网中伪造 ARP 响应，将受害者流量重定向到攻击者。

防御： 静态 ARP 绑定、动态 ARP 检测（DAI）、网络分段。

3.5 端口扫描与侦察

四、网络防御体系

4.1 纵深防御

不依赖单一安全措施，而是构建多层防线：

边界防火墙 → IDS/IPS → WAF → 主机防火墙 → 应用安全 → 数据加密

4.2 防火墙

4.3 IDS 与 IPS

检测方法：

4.4 零信任架构

传统安全模型“内网可信，外网不可信“已不再适用。零信任原则：

五、VPN 与隧道技术

5.1 VPN（虚拟专用网络）

在公共网络上建立加密隧道，实现安全通信。

5.2 隧道与代理

六、Web 安全

6.1 HTTPS 与 HSTS

HTTPS = HTTP + TLS，保障 Web 通信安全。

HSTS（HTTP Strict Transport Security）强制浏览器使用 HTTPS：

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

6.2 CSP（内容安全策略）

限制页面可加载的资源来源，防御 XSS：

Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com; style-src 'self' 'unsafe-inline'

6.3 CORS（跨域资源共享）

控制浏览器跨域请求策略：

Access-Control-Allow-Origin: https://trusted.example.com
Access-Control-Allow-Methods: GET, POST

6.4 安全 HTTP 头

七、Rust 网络安全实践

7.1 安全的 TCP 服务端

#![allow(unused)]
fn main() {
use std::net::TcpListener;
use std::io::{Read, Write};

fn secure_server() -> std::io::Result<()> {
    let listener = TcpListener::bind("127.0.0.1:8080")?;
    
    for stream in listener.incoming() {
        let mut stream = stream?;
        // 设置读取超时，防止 Slowloris 攻击
        stream.set_read_timeout(Some(std::time::Duration::from_secs(10)))?;
        
        let mut buffer = [0u8; 1024]; // 固定大小缓冲区，防止内存问题
        match stream.read(&mut buffer) {
            Ok(0) => continue, // 连接关闭
            Ok(n) => {
                // 处理请求，注意输入验证
                let response = b"HTTP/1.1 200 OK\r\nContent-Length: 12\r\n\r\nHello World!";
                stream.write_all(response)?;
            }
            Err(_) => continue,
        }
    }
    Ok(())
}
}

7.2 Rust 安全网络库

八、总结与练习

本章小结

练习建议

1. TLS 抓包分析：用 Wireshark 抓取一次 HTTPS 连接的握手过程，分析 TLS 1.2 与 1.3 握手的差异。
2. DDoS 防御：研究 Cloudflare 的 DDoS 防御架构，理解流量清洗和 Anycast 的工作原理。
3. 安全 TCP 服务：用 Rust 实现一个 TCP 服务端，加入读取超时、连接限制和输入验证。
4. 零信任分析：选择一个企业网络架构，分析如何将其改造为零信任架构。
5. DNS 安全：配置 DNSSEC 或 DoH，理解它们如何防御 DNS 投毒攻击。
6. 安全 HTTP 头：检查一个网站的 HTTP 响应头，对照安全最佳实践提出改进建议。