7.7 安全协议与设备
本篇定位：安全协议与设备是"加密技术的落地应用"——9 年直接命中 10+ 题（2018 多88/多94、2020 单57、2022 单64/69、2023 单56/73、2024 单59/75、2026 单67），2027 预测继续点名（HTTPS/SSL/TLS、SSH、IPSec、端口）。考点：HTTPS=HTTP+SSL/TLS（传输层、443）、SSL 会话密钥由客户机产生、SSH 加密远程登录、IPSec 网络层隧道、终端安全部署。核心能力：SSL/TLS 位置与端口 + 三个安全协议分层（SSL 传输层/SSH 应用层/IPSec 网络层）。 数据依据：
01-真题/真题文本/+01-真题/考点汇总/+05-笔记/信息安全-高频考点清单.md；答案以专业判断为准。 阅读提示：HTTPS 与 5.7 应用层衔接；IPSec 与 5.9 VPN 衔接；端口与 5.6 传输层衔接；终端安全与 7.3 最小权限衔接。
一、考点定位（本章真题统计）
| 考点 | 真题锚点 | 频次 | 考法 |
|---|---|---|---|
| HTTPS/SSL/TLS | 2018 多88、2023 单56、2024 单59、2026 单67 | 4 年 4 题 | 443 端口；传输层；套接字在应用层与传输层之间 |
| SSL 会话密钥 | 2023 单73 | 1 年 | 由客户机随机产生 |
| SSH | 2020 单57、2022 单69 | 2 年 | 加密远程登录（Telnet 明文） |
| IPSec | 2022 单64、2024 单75 | 2 年 | 网络层隧道；有认证可抗 DoS |
| 终端安全 | 2018 多94 | 1 年 | IP-MAC 绑定/杀毒/外联监控/补丁 |
命题规律：安全协议考"协议分层位置 + 端口 + 密钥产生方"。2027 预测 1–2 题：SSL/TLS 位置、会话密钥、IPSec 分层。核心能力：协议分层三兄弟（SSL 传输层/SSH 应用层/IPSec 网络层）。
二、知识框架（先搭骨架）
安全协议与设备
├── SSL/TLS（安全套接层/传输层安全）
│ ├── 位置：传输层与应用层之间（套接字层，2026 单67）
│ ├── HTTPS = HTTP + SSL/TLS，端口 443（2023 单56、2024 单59）
│ ├── SSL 会话密钥：由【客户机】随机产生，服务器公钥加密后发给服务器（2023 单73）
│ └── 功能：机密性（加密）+完整性+认证（证书）
├── SSH（安全外壳）
│ ├── 应用层协议、端口 22（2022 单69）
│ ├── 像 Telnet 一样远程登录但【加密】（2020 单57）
│ └── Telnet 明文不安全
├── IPSec（IP 安全协议）
│ ├── 【网络层】隧道协议（2022 单64）
│ ├── 有身份认证、可抵抗 DoS（2024 单75）
│ ├── 与 SSL（传输层）、L2TP/PPTP（数据链路层）区分
│ └── 用于 VPN
├── 端口速记（2023 单56）
│ ├── 443=HTTPS、3389=远程桌面、25=SMTP、53=DNS
│ └── 22=SSH、23=Telnet、110=POP3、143=IMAP
└── 终端安全（2018 多94）
├── IP-MAC 绑定（防 ARP 欺骗）
├── 安装杀毒软件
├── 非法外联监控
└── 补丁分发（统一管理）
一句话记忆：SSL/TLS 在传输层之上（443、会话密钥客户机产）；SSH 应用层加密远程（22）；IPSec 网络层隧道（VPN）；终端安全四件套（绑 MAC/杀毒/监控/补丁）。
三、考点详解
3.1 SSL/TLS 与 HTTPS（2018 多88、2023 单56、2024 单59、2026 单67，必考）
精确定义：
- SSL/TLS：位于传输层与应用层之间的安全套接层协议（2026 单67：WEB 浏览中"套接字层"位于应用层与传输层之间）；
- HTTPS = HTTP + SSL/TLS，端口 443（2023 单56、2024 单59）。
SSL 提供的三个安全服务：机密性（加密）、完整性（防篡改）、身份认证（证书验证）。
口诀：HTTPS=HTTP 加锁（443）；SSL 卡在传输层和应用层中间。
3.2 SSL 会话密钥（2023 单73）
2023 单73（选客户机产生）：SSL 握手中，一次性会话密钥由客户机随机产生，用服务器公钥加密后发送给服务器——之后双方用该对称密钥通信。
为什么：非对称加密慢——只用来安全传递会话密钥（衔接 7.1 混合加密思想）。口诀：会话密钥客户机造、公钥护送。
3.3 SSH（2020 单57、2022 单69）
精确定义：SSH（安全外壳）= 应用层协议、端口 22，像 Telnet 一样提供远程登录，但全程加密（2020 单57 选 SSH 加密）；Telnet 明文不安全。
2022 单69（选 SSH）：远程管理服务器且要求加密 → SSH。
口诀：SSH 加密远程（22）、Telnet 明文裸奔（23）。
3.4 IPSec（2022 单64、2024 单75）
精确定义：IPSec = 网络层的安全协议（2022 单64 选网络层），为 IP 报文提供认证+加密，用于 VPN。
2024 单75（选可抵抗 DoS）：IPSec 有身份认证机制（AH/ESP 认证头），可抵抗 DoS——不认证的报文直接丢弃，不消耗资源。
分层对比（必背）：
| 协议 | 所在层 |
|---|---|
| SSL/TLS | 传输层（与应用层之间） |
| SSH | 应用层 |
| IPSec | 网络层 |
| L2TP/PPTP | 数据链路层 |
口诀：IPSec 网络层、SSL 传输层、SSH 应用层、PPTP 链路层。
3.5 端口速记（2023 单56）
必背端口（与 5.6 一致）：443=HTTPS、3389=远程桌面、25=SMTP、53=DNS、22=SSH、23=Telnet、110=POP3、143=IMAP。
2023 单56 考过"远程桌面 3389、SMTP 25、DNS 53、HTTPS 443"（选 B）——已在 5.6 详解，此处衔接。
3.6 终端安全（2018 多94）
2018 多94（选 ABCD）：终端安全措施包括——IP-MAC 绑定（防 ARP 欺骗）、安装杀毒软件、非法外联监控（防私接外网）、补丁分发（统一打补丁）。
口诀：终端四件套=绑 MAC、装杀毒、盯外联、发补丁。
四、易错坑汇总（命题人惯用陷阱）
- SSL/TLS 位置（2026 单67）——"SSL 在应用层"不精确（应用层与传输层之间）；"SSL 在网络层"错误。
- HTTPS 端口 443（2023 单56、2024 单59）——"HTTPS 端口 80"错误（80 是 HTTP）。
- 会话密钥客户机产生（2023 单73）——"会话密钥由服务器产生"错误。
- SSH 加密 vs Telnet 明文（2020 单57）——"Telnet 也是加密的"错误（明文）。
- IPSec 网络层（2022 单64）——"IPSec 是传输层协议"错误（网络层）。
- IPSec 抗 DoS（2024 单75）——"IPSec 不能抗 DoS"错误（有认证、不认证报文直接丢）。
- L2TP/PPTP 数据链路层——"PPTP 是网络层隧道"错误（数据链路层）。
- 终端安全四件套（2018 多94）——"不用装杀毒软件"错误（终端必须装）。
五、横向扩展（防漏网：本章边界内、真题尚未考但可能补考的点）
说明：横向扩展覆盖"大纲范围内但 9 年真题未考过"的知识，标注【新增概率】供取舍。
- SSL/TLS 握手流程【中】：ClientHello→ServerHello（证书）→密钥交换——与 7.2 证书验证衔接。
- TLS 1.4【低】：最新版协议（更快的握手）——名词题。
- IPSec 两种模式【中】：传输模式（保护载荷）/隧道模式（保护整包）——与 5.9 衔接。
- VPN 类型（IPSec/SSL）【中】：IPSec VPN（客户端）/SSL VPN（浏览器）——名词题。
- 802.1X 端口认证【低】：交换机端口级认证——名词题。
- 无线安全（WPA2/WPA3）【低】：无线加密协议——与 5.10 无线衔接。
- HTTPS 证书验证链应用【高】：浏览器验证服务器证书（CA 公钥验书）——与 7.2 衔接。
- HTTPS 中间人防御【低】：证书伪造检测——名词题。
六、真题演练（代表性真题 + 解析）
例 1（2026 单67） WEB 浏览中的"套接字层"（SSL/TLS）位于（口径已核）。 A. 网络层与传输层之间 B. 应用层与传输层之间 C. 数据链路层与网络层之间 D. 物理层与数据链路层之间
答案：B。SSL/TLS 位于应用层与传输层之间（安全套接层）。口诀：SSL 卡在应用和传输中间。
例 2（2023 单56） 远程桌面、SMTP、DNS、HTTPS 的默认端口分别是（口径已核）。 A. 22、25、52、443 B. 3389、25、53、443 C. 22、24、53、443 D. 3389、24、52、80
答案：B。3389=远程桌面、25=SMTP、53=DNS、443=HTTPS。口诀：3389 桌面、25 发信、53 域名、443 加密网页。
例 3（2023 单73） SSL 握手中的会话密钥由（口径已核）产生。 A. 服务器 B. 客户机 C. CA D. 路由器
答案：B。会话密钥由客户机随机产生、服务器公钥加密护送。口诀：会话密钥客户机造。
例 4（2020 单57） 下列协议中，能像 Telnet 一样建立远程会话但提供加密的是（口径已核）。 A. HTTP B. SSH C. SMTP D. POP3
答案：B。SSH=加密的远程登录（Telnet 明文）；HTTP/SMTP/POP3 都是明文。口诀：SSH 加密、Telnet 裸奔。
例 5（2022 单64） IPSec 工作在 OSI 的（口径已核）层。 A. 应用层 B. 传输层 C. 网络层 D. 数据链路层
答案：C。IPSec=网络层安全协议（用于 VPN）；SSL=传输层、PPTP=数据链路层。口诀：IPSec 网络层。
例 6（2018 多94） 终端安全管理措施包括（口径已核）。 A. IP-MAC 绑定 B. 安装杀毒软件 C. 非法外联监控 D. 补丁分发
答案：ABCD（全选）。终端安全四件套=IP-MAC 绑定/杀毒/外联监控/补丁分发。口诀：绑 MAC、装杀毒、盯外联、发补丁。
七、本章小结
- 一条主线：SSL/TLS（传输层之上、443、会话密钥客户机产）→ SSH（应用层加密 22）→ IPSec（网络层 VPN、抗 DoS）→ 端口速记 → 终端安全四件套。
- 必背判定：SSL 在应用层与传输层之间（2026 单67）；HTTPS=443（2023 单56）；会话密钥客户机产（2023 单73）；SSH 加密（2020 单57）；IPSec 网络层（2022 单64）。
- 衔接预告：证书验证→7.2；HTTPS→5.7；VPN→5.9；端口→5.6。