運(yùn)輸層核心概念
運(yùn)輸層位于網(wǎng)絡(luò)體系結(jié)構(gòu)的第四層，為運(yùn)行在不同主機(jī)上的應(yīng)用進(jìn)程之間提供邏輯通信服務(wù)。與網(wǎng)絡(luò)層（主機(jī)到主機(jī)）不同，運(yùn)輸層是進(jìn)程到進(jìn)程的通信。
一、運(yùn)輸層協(xié)議
1. UDP（用戶數(shù)據(jù)報協(xié)議）
特點(diǎn)：無連接、不可靠、盡最大努力交付、面向報文、無擁塞控制。
首部格式：8字節(jié)，包含源端口、目的端口、長度、校驗(yàn)和。
* 適用場景：DNS查詢、音視頻流媒體、實(shí)時游戲等對實(shí)時性要求高、允許少量丟包的應(yīng)用。
2. TCP（傳輸控制協(xié)議）
特點(diǎn)：面向連接、可靠交付、全雙工通信、面向字節(jié)流、提供流量控制和擁塞控制。
核心機(jī)制：
* 可靠傳輸：通過序號、確認(rèn)、重傳（超時重傳、快速重傳）實(shí)現(xiàn)。
- 流量控制：通過滑動窗口機(jī)制，接收方通過通告窗口大小（rwnd）控制發(fā)送方速率，防止接收緩沖區(qū)溢出。
- 擁塞控制：通過擁塞窗口（cwnd）動態(tài)調(diào)整發(fā)送速率。核心算法包括：
- 慢啟動：cwnd從1開始，每收到一個ACK，cwnd指數(shù)增長（翻倍）。
- 擁塞避免：當(dāng)cwnd達(dá)到慢啟動閾值（ssthresh）后，每RTT線性增加1。
- 快重傳：收到3個重復(fù)ACK時，立即重傳丟失報文，并執(zhí)行快恢復(fù)。
- 快恢復(fù)：將ssthresh設(shè)為當(dāng)前cwnd的一半，cwnd設(shè)為新的ssthresh，直接進(jìn)入擁塞避免階段。
- 連接管理：三次握手（建立連接）、四次揮手（釋放連接）。重點(diǎn)理解狀態(tài)變遷（如SYNSENT, ESTABLISHED, TIMEWAIT等）。
二、端口與套接字
- 端口號：16位整數(shù)，標(biāo)識主機(jī)上的應(yīng)用進(jìn)程。熟知端口（0-1023）、注冊端口（1024-49151）、動態(tài)/私有端口（49152-65535）。
- 套接字（Socket）：IP地址 + 端口號，唯一標(biāo)識網(wǎng)絡(luò)中的一個通信端點(diǎn)。是網(wǎng)絡(luò)編程的基石。
網(wǎng)絡(luò)與信息安全軟件開發(fā)要點(diǎn)
在運(yùn)輸層基礎(chǔ)上進(jìn)行安全軟件開發(fā)，需重點(diǎn)關(guān)注以下幾點(diǎn)：
1. Socket編程基礎(chǔ)
TCP Socket流程：
服務(wù)器：創(chuàng)建Socket -> 綁定(Bind)端口 -> 監(jiān)聽(Listen) -> 接受(Accept)連接 -> 讀寫(Read/Write)數(shù)據(jù) -> 關(guān)閉(Close)。
- 客戶端：創(chuàng)建Socket -> 連接(Connect)服務(wù)器 -> 讀寫數(shù)據(jù) -> 關(guān)閉連接。
- UDP Socket流程：無需連接，直接使用發(fā)送(Sendto)和接收(Recvfrom)函數(shù)。
2. 常見安全威脅與防護(hù)（運(yùn)輸層視角）
流量分析與竊聽：傳輸數(shù)據(jù)明文可能被截獲。
對策：使用TLS/SSL（工作在應(yīng)用層與運(yùn)輸層之間）對TCP連接進(jìn)行加密，如HTTPS。
- 連接劫持與欺騙：攻擊者偽造TCP序列號或IP地址，劫持或偽造會話。
- 對策：使用更強(qiáng)的初始序列號生成算法；部署IPSec（網(wǎng)絡(luò)層安全）；使用TLS進(jìn)行身份認(rèn)證。
- 拒絕服務(wù)攻擊（DoS/DDoS）：
- SYN Flood：利用TCP三次握手，發(fā)送大量SYN報文耗盡服務(wù)器資源。
- 對策：SYN Cookie、增加半連接隊列大小、防火墻過濾。
- UDP Flood：向目標(biāo)發(fā)送大量UDP包，消耗帶寬和處理資源。
- 對策：流量清洗、限制UDP服務(wù)速率。
- 緩沖區(qū)溢出：發(fā)送超長數(shù)據(jù)，覆蓋程序內(nèi)存，可能執(zhí)行惡意代碼。
- 對策：編程時嚴(yán)格檢查輸入長度；使用安全的字符串函數(shù)；啟用棧保護(hù)技術(shù)（如Canary）。
3. 安全軟件開發(fā)實(shí)踐原則
最小權(quán)限原則：網(wǎng)絡(luò)服務(wù)進(jìn)程不應(yīng)以root/管理員權(quán)限運(yùn)行。
輸入驗(yàn)證與凈化：對所有來自網(wǎng)絡(luò)的數(shù)據(jù)（端口號、報文內(nèi)容、長度等）進(jìn)行嚴(yán)格校驗(yàn)和過濾。
防御性編程：假設(shè)網(wǎng)絡(luò)環(huán)境不可信，處理所有可能的異常和錯誤狀態(tài)（如連接意外中斷、畸形報文）。
使用成熟的安全庫：如OpenSSL（用于TLS），避免自己實(shí)現(xiàn)復(fù)雜的密碼學(xué)算法。
* 日志與審計：記錄關(guān)鍵事件（連接建立、失敗認(rèn)證、異常請求），便于事后分析和入侵檢測。
復(fù)習(xí)與聯(lián)系
運(yùn)輸層（特別是TCP）的可靠、有序、流量控制機(jī)制，為上層應(yīng)用（如HTTP、FTP、郵件協(xié)議）提供了穩(wěn)定的數(shù)據(jù)管道。而網(wǎng)絡(luò)信息安全軟件開發(fā)，正是要在這個管道上構(gòu)筑防線，解決傳輸過程中的竊聽、篡改、拒絕服務(wù)等安全問題。理解TCP/UDP的細(xì)節(jié)，是分析和防御網(wǎng)絡(luò)攻擊、編寫健壯網(wǎng)絡(luò)程序的基礎(chǔ)。在期末考題中，可能會結(jié)合TCP狀態(tài)圖分析連接過程、計算擁塞窗口變化、或指出給定Socket代碼片段的安全隱患。務(wù)必通過圖示理解TCP機(jī)制，并通過簡單代碼實(shí)例加深對Socket API和安全要點(diǎn)的認(rèn)識。
---
本筆記整合了運(yùn)輸層核心協(xié)議原理與網(wǎng)絡(luò)編程安全基礎(chǔ)，旨在為期末復(fù)習(xí)提供結(jié)構(gòu)化重點(diǎn)。請結(jié)合教材、課件和實(shí)驗(yàn)進(jìn)行深化理解。
