作者：Gakki

考點(diǎn)

• 信息安全和信息系統(tǒng)安全
• 信息安全技術(shù)
• 網(wǎng)絡(luò)安全技術(shù)
• 網(wǎng)絡(luò)安全協(xié)議

1、信息安全和信息系統(tǒng)安全

• 信息安全系統(tǒng)的體系架構(gòu)
  • X 軸是“安全機(jī)制”，為提供某些安全服務(wù)，利用各種安全技術(shù)和技巧，所形成的一個(gè)較為完善的機(jī)構(gòu)體系。
  • Y 軸是“OSI網(wǎng)絡(luò)參考模型”。
  • Z 軸是“安全服務(wù)”。就是從網(wǎng)絡(luò)中的各個(gè)層次提供給信息應(yīng)用系統(tǒng)所需要的安全服務(wù)支持。

信息安全系統(tǒng)的體系架構(gòu)

• 由 X、Y、Z 三個(gè)軸形成的信息安全系統(tǒng)三維空間就是信息系統(tǒng)的“安全空間”。
• 隨著網(wǎng)絡(luò)逐層擴(kuò)展，這個(gè)空間不僅范圍逐步加大，安全的內(nèi)涵也就更豐富，達(dá)到具有認(rèn)證、權(quán)限、完整、加密和不可否認(rèn)五大要素，也叫作“安全空間”的五大屬性。

1.1、信息安全含義及屬性

• 信息安全含義及屬性：保護(hù)信息的三要素：保密性（或者機(jī)密性）、完整性、可用性。另外也包括其他屬性，如:真實(shí)性、可核查性、不可抵賴性（即不可否認(rèn)性）和可靠性。

• 保密性：信息不被泄漏給未授權(quán)的個(gè)人、實(shí)體和過程或不被其使用的特性。包括：

  • 最小授權(quán)原則
  • 防暴露
  • 信息加密
  • 物理保密

• 完整性：信息未經(jīng)授權(quán)不能改變的特性。影響完整性的主要因素有設(shè)備故障、誤碼、人為攻擊和計(jì)算機(jī)病毒等。保證完整性的方法包括:

  • 協(xié)議：通過安全協(xié)議檢測出被刪除、失效、被修改的字段。
  • 糾錯(cuò)編碼方法：利用校驗(yàn)碼完成檢錯(cuò)和糾錯(cuò)功能。
  • 密碼校驗(yàn)和方法。
  • 數(shù)字簽名：能識別出發(fā)送方來源。
  • 公證：請求系統(tǒng)管理或中介機(jī)構(gòu)證明信息的真實(shí)性。

• 可用性：需要時(shí)，授權(quán)實(shí)體可以訪問和使用的特性。一般用系統(tǒng)正常使用時(shí)間和整個(gè)工作時(shí)間之比來度量。

• 其他屬性:

  • 真實(shí)性：指對信息的來源進(jìn)行判斷，能對偽造來源的信息予以鑒別。
  • 可核查性：系統(tǒng)實(shí)體的行為可以被獨(dú)一無二的追溯到該實(shí)體的特性，這個(gè)特性就是要求該實(shí)體對其行為負(fù)責(zé)，為探測和調(diào)查安全違規(guī)事件提供了可能性。
  • 不可抵賴性：是指建立有效的責(zé)任機(jī)制，防止用戶否認(rèn)其行為，這一點(diǎn)在電子商務(wù)中是極其重要的。
  • 可靠性：系統(tǒng)在規(guī)定的時(shí)間和給定的條件下，無故障地完成規(guī)定功能的概率。

1.2、安全需求

• 可劃分為物理線路安全、網(wǎng)絡(luò)安全、系統(tǒng)安全和應(yīng)用安全；從各級安全需求字面上也可以理解：
  • 物理線路就是物理設(shè)備、物理環(huán)境；
  • 網(wǎng)絡(luò)安全指網(wǎng)絡(luò)上的攻擊、入侵；
  • 系統(tǒng)安全指的是操作系統(tǒng)漏洞、補(bǔ)丁等；
  • 應(yīng)用安全就是上層的應(yīng)用軟件，包括數(shù)據(jù)庫軟件。

2、信息安全技術(shù)

2.2、加密技術(shù)

加密技術(shù)

• 一個(gè)密碼系統(tǒng)，通常簡稱為密碼體制(Cryptosystem)，由五部分組成：

  • 明文空間 M，它是全體明文的集合。
  • 密文空間 C，它是全體密文的集合。
  • 密鑰空間 K，它是全體密鑰的集合。其中每一個(gè)密鑰 K 均由加密密鑰 Ke 和解密密鑰 Kd 組成，即 K=< Ke，Kd>。
  • 加密算法 E，它是一組由 M 至 C 的加密變換。
  • 解密算法 D，它是一組由 C 到 M 的解密變換。

• 對于明文空間 M 中的每一個(gè)明文 M ，加密算法 E 在密鑰 Ke 的控制下將明文 M 加密成密文 C: C=E (M, Ke)

• 而解密算法 D 在密鑰 Kd 的控制下將密文 C 解密出同一明文 M: M=D (C, Kd ) =D (E (M, Ke),Kd)

2.2.1、對稱加密技術(shù)

• 數(shù)據(jù)的加密和解密的密鑰（密碼）是相同的，屬于不公開密鑰加密算法。其缺點(diǎn)是加密強(qiáng)度不高（因?yàn)槊荑€位數(shù)少），且密鑰分發(fā)困難（因?yàn)槊荑€還需要傳輸給接收方，也要考慮保密性等問題）。優(yōu)點(diǎn)是加密速度快，適合加密大數(shù)據(jù)。

• 常見的對稱密鑰加密算法如下：

  • DES：替換+移位、56位密鑰、64位數(shù)據(jù)塊、速度快，密鑰易產(chǎn)生。
  • 3DES：三重DES，兩個(gè)56位密鑰K1、K2。
    • 加密: K1加密->K2解密->K1加密。
    • 解密: K1解密->K2加密->K1解密
  • AES：是美國聯(lián)邦政府采用的一種區(qū)塊加密標(biāo)準(zhǔn)，這個(gè)標(biāo)準(zhǔn)用來替代原先的DES。對其的要求是“至少像3DES一樣安全”
  • RC-5: RSA數(shù)據(jù)安全公司的很多產(chǎn)品都使用了RC-5。
  • IDEA: 128位密鑰，64位數(shù)據(jù)塊，比DES的加密性好，對計(jì)算機(jī)功能要求相對低。

2.2.2、非對稱加密技術(shù)

• 數(shù)據(jù)的加密和解密的密鑰是不同的，分為公鑰和私鑰。是公開密鑰加密算法。其缺點(diǎn)是加密速度慢。優(yōu)點(diǎn)是安全性高，不容易破解。

注：公鑰、私鑰是配對存在的；公鑰是公開的，私鑰只有自己知道。

• 非對稱技術(shù)的原理是：發(fā)送者發(fā)送數(shù)據(jù)時(shí)，使用接收者的公鑰作加密密鑰，私鑰作解密密鑰，這樣只有接收者才能解密密文得到明文。安全性更高，因?yàn)闊o需傳輸密鑰。但無法保證完整性。如下：

非對稱技術(shù)

• 常見的非對稱加密算法如下:

  • RSA：512 位 (或 1024 位)密鑰，計(jì)算機(jī)量極大，難破解。
  • Elgamal、ECC (橢圓曲線算法)、 背包算法、Rabin、 D-H 等。

• 相比較可知，對稱加密算法密鑰一般只有 56 位，因此加密過程簡單，適合加密大數(shù)據(jù)，也因此加密強(qiáng)度不高;而非對稱加密算法密鑰有 1024 位，相應(yīng)的解密計(jì)算量龐大，難以破解，卻不適合加密大數(shù)據(jù)，一般用來加密對稱算法的密鑰，這樣，就將兩個(gè)技術(shù)組合使用了，這也是數(shù)字信封的原理：

  • 數(shù)字信封原理：信是對稱加密的密鑰，數(shù)字信封就是對此密鑰進(jìn)行非對稱加密，具體過程：發(fā)送方將數(shù)據(jù)用對稱密鑰加密傳輸，而將對稱密鑰用接收方公鑰加密發(fā)送給對方。接收方收到數(shù)字信封，用自己的私鑰解密信封，取出對稱密鑰解密得原文。
  • 數(shù)字信封運(yùn)用了對稱加密技術(shù)和非對稱加密技術(shù)，本質(zhì)是使用對稱密鑰加密數(shù)據(jù)，非對稱密鑰加密對稱密鑰，解決了對稱密鑰的傳輸問題。

2.2.3、信息摘要

• 所謂信息摘要，就是一段數(shù)據(jù)的特征信息，當(dāng)數(shù)據(jù)發(fā)生了改變，信息摘要也會發(fā)生改變，發(fā)送方會將數(shù)據(jù)和信息摘要一起傳給接收方，接收方會根據(jù)接收到的數(shù)據(jù)重新生成一一個(gè)信息摘要，若此摘要和接收到的摘要相同，則說明數(shù)據(jù)正確。信息摘要是由哈希函數(shù)生成的。
• 信息摘要的特點(diǎn)：不算數(shù)據(jù)多長，都會產(chǎn)生固定長度的信息摘要；任何不同的輸入數(shù)據(jù)，都會產(chǎn)生不同的信息摘要;單向性，即只能由數(shù)據(jù)生成信息摘要,不能由信息摘要還原數(shù)據(jù)。
• 信息摘要算法: MD5 (產(chǎn)生128位的輸出)、SHA-1 (安全散列算法，產(chǎn)生160位的輸出，安全性更高)。

2.2.4、數(shù)字簽名

• 數(shù)字簽名：唯一標(biāo)識一個(gè)發(fā)送方。
• 數(shù)字簽名是保證信息傳輸?shù)耐暾浴l(fā)送者的身份認(rèn)證、防止交易中的抵賴發(fā)生。
• 發(fā)送者發(fā)送數(shù)據(jù)時(shí)，使用發(fā)送者的私鑰進(jìn)行加密，接收者收到數(shù)據(jù)后，只能使用發(fā)送者的公鑰進(jìn)行解密，這樣就能唯一確定發(fā)送方，這也是數(shù)字簽名的過程。但無法保證機(jī)密性。如下：

數(shù)字簽名

2.2.5、公鑰基礎(chǔ)設(shè)施 PKI

• 公鑰基礎(chǔ)設(shè)施 PKI：是以不對稱密鑰加密技術(shù)為基礎(chǔ)，以數(shù)據(jù)機(jī)密性、完整性、身份認(rèn)證和行為不可抵賴性為安全目的，來實(shí)施和提供安全服務(wù)的具有普適性的安全基礎(chǔ)設(shè)施。

• 數(shù)字證書：一個(gè)數(shù)據(jù)結(jié)構(gòu)，是一種由一個(gè)可信任的權(quán)威機(jī)構(gòu)簽署的信息集合。在不同的應(yīng)用中有不同的證書。如 X.509 證書必須包含下列信息:

  • 版本號
  • 序列號
  • 簽名算法標(biāo)識符
  • 認(rèn)證機(jī)構(gòu)
  • 有效期限
  • 主題信息
  • 認(rèn)證機(jī)構(gòu)的數(shù)字簽名
  • 公鑰信息

• 公鑰證書主要用于確保公鑰及其與用戶綁定關(guān)系的安全。這個(gè)公鑰就是證書所標(biāo)識的那個(gè)主體的合法的公鑰。任何一個(gè)用戶只要知道簽證機(jī)構(gòu)的公鑰，就能檢查對證書的簽名的合法性。如果檢查正確，那么用戶就可以相信那個(gè)證書所攜帶的公鑰是真實(shí)的，而且這個(gè)公鑰就是證書所標(biāo)識的那個(gè)主體的合法的公鑰。例如駕照。

• 簽證機(jī)構(gòu) CA：負(fù)責(zé)簽發(fā)證書、管理和撤銷證書。是所有注冊用戶所信賴的權(quán)威機(jī)構(gòu)，CA在給用戶簽發(fā)證書時(shí)要加上自己的數(shù)字簽名，以保證證書信息的真實(shí)性。任何機(jī)構(gòu)可以用CA的公鑰來驗(yàn)證該證書的合法性。

3、防火墻

• 防火墻是在內(nèi)部網(wǎng)絡(luò)和外部因特網(wǎng)之間增加的一道安全防護(hù)措施，分為網(wǎng)絡(luò)級防火墻和應(yīng)用級防火墻。

• 網(wǎng)絡(luò)級防火墻 層次低，但是效率高，因?yàn)槠涫褂冒^濾和狀態(tài)監(jiān)測手段，一般只檢驗(yàn)網(wǎng)絡(luò)包外在（起始地址、狀態(tài))屬性是否異常，若異常，則過濾掉,不與內(nèi)網(wǎng)通信，因此對應(yīng)用和用戶是透明的。

• 但是這樣的問題是，如果遇到偽裝的危險(xiǎn)數(shù)據(jù)包就沒辦法過濾，此時(shí)，就要依靠應(yīng)用級防火墻，層次高，效率低，因?yàn)閼?yīng)用級防火墻會將網(wǎng)絡(luò)包拆開，具體檢查里面的數(shù)據(jù)是否有問題，會消耗大量時(shí)間，造成效率低下，但是安全強(qiáng)度高。

3.1、入侵檢測系統(tǒng)IDS

• 防火墻技術(shù)主要是分隔來自外網(wǎng)的威脅，卻對來自內(nèi)網(wǎng)的直接攻擊無能為力，此時(shí)就要用到入侵檢測IDS技術(shù)，位于防火墻之后的第二道屏障，作為防火墻技術(shù)的補(bǔ)充。

• 原理：監(jiān)控當(dāng)前系統(tǒng)/用戶行為，使用入侵檢測分析引擎進(jìn)行分析，這里包含一個(gè)知識庫系統(tǒng)，囊括了歷史行為、特定行為模式等操作，將當(dāng)前行為和知識庫進(jìn)行匹配，就能檢測出當(dāng)前行為是否是入侵行為，如果是入侵，則記錄證據(jù)并上報(bào)給系統(tǒng)和防火墻，交由它們處理。

• 不同于防火墻，IDS 入侵檢測系統(tǒng)是一個(gè)監(jiān)聽設(shè)備，沒有跨接在任何鏈路上,無須網(wǎng)絡(luò)流量流經(jīng)它便可以工作。因此，對 IDS 的部署，唯一的要求是：IDS 應(yīng)當(dāng)掛接在所有所關(guān)注流量都必須流經(jīng)的鏈路上。因此，IDS 在交換式網(wǎng)絡(luò)中的位置一般選擇在：1. 盡可能靠近攻擊源；2. 盡可能靠近受保護(hù)資源

3.2、入侵防御系統(tǒng)IPS

• IDS 和防火墻技術(shù)都是在入侵行為已經(jīng)發(fā)生后所做的檢測和分析，而IPS 是能夠提前發(fā)現(xiàn)入侵行為，在其還沒有進(jìn)入安全網(wǎng)絡(luò)之前就防御。在安全網(wǎng)絡(luò)之前的鏈路上掛載入侵防御系統(tǒng) IPS ，可以實(shí)時(shí)檢測入侵行為，并直接進(jìn)行阻斷，這是與 IDS 的區(qū)別，要注意。

• 殺毒軟件

  • 用于檢測和解決計(jì)算機(jī)病毒，與防火墻和IDS要區(qū)分，計(jì)算機(jī)病毒要靠殺毒軟件，防火墻是處理網(wǎng)絡(luò)上的非法攻擊。

• 蜜罐系統(tǒng)

  • 偽造一個(gè)蜜罐網(wǎng)絡(luò)引誘黑客攻擊，蜜罐網(wǎng)絡(luò)被攻擊不影響安全網(wǎng)絡(luò)，并且可以借此了解黑客攻擊的手段和原理，從而對安全系統(tǒng)進(jìn)行升級和優(yōu)化。

3.3、網(wǎng)絡(luò)攻擊和威脅（重要）

網(wǎng)絡(luò)攻擊和威脅

3.4、計(jì)算機(jī)病毒和木馬

• 病毒：編制或者在計(jì)算機(jī)程序中插入的破壞計(jì)算機(jī)功能或者破壞數(shù)據(jù)，影響計(jì)算機(jī)使用并且能夠自我復(fù)制的一組計(jì)算機(jī)指令或者程序代碼。

• 計(jì)算機(jī)病毒的特征：傳染性、觸發(fā)性、隱蔽性。

• 木馬：是一種后門程序，常被黑客用作控制遠(yuǎn)程計(jì)算機(jī)的工具，隱藏在被控制電腦上的一個(gè)小程序監(jiān)控電腦一切操作并盜取信息。

• 代表性病毒實(shí)例：

  • 蠕蟲病毒（感染EXE文件）：熊貓燒香，羅密歐與朱麗葉，惡鷹，尼姆達(dá)，沖擊波，歡樂時(shí)光。
  • 木馬: QQ消息尾巴木馬，特洛伊木馬，x臥底。
  • 宏病毒（感染word、excel等文件中的宏變量）：美麗沙，臺灣1號。
  • CIH病毒：史.上唯一破壞硬件的病毒。
  • 紅色代碼：蠕蟲病毒+木馬。

4、網(wǎng)絡(luò)安全協(xié)議

• 物理層主要使用物理手段，隔離、屏蔽物理設(shè)備等，其它層都是靠協(xié)議來保證傳輸?shù)陌踩?，具體如下圖所示：

網(wǎng)絡(luò)安全協(xié)議

• SSL 協(xié)議：安全套接字協(xié)議，被設(shè)計(jì)為加強(qiáng) Web 安全傳輸（HTTP/HTTPS/）的協(xié)議，安全性高，和 HTTP結(jié)合之后，形成 HTTPS 安全協(xié)議，端口號為 443.

• SSH 協(xié)議: 安全外殼協(xié)議，被設(shè)計(jì)為加強(qiáng) Telnet/FTP 安全的傳輸協(xié)議。

• SET 協(xié)議：安全電子交易協(xié)議主要應(yīng)用于 B2C 模式（電子商務(wù)）中保障支付信息的安全性。SET 協(xié)議本身比較復(fù)雜，設(shè)計(jì)比較嚴(yán)格，安全性高，它能保證信息傳輸?shù)臋C(jī)密性、真實(shí)性、完整性和不可否認(rèn)性。SET 協(xié)議是 PKI 框架下的一個(gè)典型實(shí)現(xiàn)，同時(shí)也在不斷升級和完善，如 SET 2. 0 將支持借記卡電子交易。

• Kerberost 協(xié)議：是一種網(wǎng)絡(luò)身份認(rèn)證協(xié)議，該協(xié)議的基礎(chǔ)是基于信任第三方,它提供了在開放型絡(luò)中進(jìn)行身份認(rèn)證的方法，認(rèn)證實(shí)體可以是用戶也可以是用戶服務(wù)。這種認(rèn)證不依賴宿主機(jī)的操作系統(tǒng)或計(jì)算機(jī)的IP地址，不需要保證網(wǎng)絡(luò)上所有計(jì)算機(jī)的物理安全性，并且假定數(shù)據(jù)包在傳輸中可被隨機(jī)竊取和篡改。保存數(shù)據(jù)證書的服務(wù)器是 KDC。

• 第三方認(rèn)證服務(wù)的兩種體制分別是：Kerberost 和 PKI。

• PGP 協(xié)議：使用 RSA 公鑰證書（非對稱）進(jìn)行身份認(rèn)證，使用 IDEA (128位密鑰) （對稱加密）進(jìn)行數(shù)據(jù)加密，使用 MD5（信息摘要）進(jìn)行數(shù)據(jù)完整性驗(yàn)證。

• 發(fā)送方 A 有三個(gè)密鑰: A 的私鑰、B 的公鑰、A 生成的一次性對稱密鑰;

• 接收方 B 有兩個(gè)密鑰: B 的私鑰、A 的公鑰。

PGP 協(xié)議