信息安全技術(shù)
11.1 信息安全關(guān)鍵技術(shù)
11.1.1 加密和解密
有意的計(jì)算機(jī)犯罪和無(wú)意的數(shù)據(jù)破壞
被動(dòng)攻擊：非法地從傳輸信道上截取信息，或從存儲(chǔ)載體上偷竊、復(fù)制信息。
主動(dòng)攻擊：對(duì)傳輸或存儲(chǔ)的數(shù)據(jù)進(jìn)行惡意的刪除、篡改 等。
密碼技術(shù)是防止數(shù)據(jù)攻擊的一種有效而經(jīng)濟(jì)的方法。
信源、信宿、明文、密文。
傳輸消息的通道稱為信道，參數(shù)稱為密鑰，解密算法是加密算法的逆運(yùn)算。
加密密鑰與解密密鑰相同，或者可以簡(jiǎn)單相互推導(dǎo)的密碼體質(zhì)稱為對(duì)稱密碼體質(zhì)。
不能(在有效時(shí)間內(nèi))相互推導(dǎo)的，稱為非對(duì)稱密碼體質(zhì)。
1、對(duì)稱密鑰密碼體質(zhì)及典型算法
對(duì)稱算法(Symmetric Algorithm)，有時(shí)又稱為 傳統(tǒng)密碼算法，也稱單密鑰算法。
安全通信之前，商定一個(gè)密鑰，安全性依賴于密鑰，密鑰的保密性對(duì)通信至關(guān)重要。
優(yōu)點(diǎn)：算法實(shí)現(xiàn)的 效率高、速度快。
缺點(diǎn)：密鑰的管理過(guò)于復(fù)雜。1. DES 算法簡(jiǎn)介
DES(Data Encryption Standard，數(shù)據(jù)加密標(biāo)準(zhǔn))是IBM公司研制，美國(guó)國(guó)家標(biāo)準(zhǔn)局 1977年公布，作為非機(jī)要部門使用的數(shù)據(jù)加密標(biāo)準(zhǔn)。
DES 是一個(gè)分組加密算法，以64位為分組對(duì)數(shù)據(jù)加密。密鑰長(zhǎng)度56位(因?yàn)槊總€(gè)第8位都用作奇偶校驗(yàn))。
2. IDEA 算法簡(jiǎn)介
國(guó)際數(shù)據(jù)加密算法(International Data Encryption Algorithm，IDEA)前身是推薦加密標(biāo)準(zhǔn)(Proposed Encryption Standard，PES)。
分組長(zhǎng)度 64b，密鑰長(zhǎng)度128b。
運(yùn)算非常簡(jiǎn)單，只是 異或，速度極快，窮舉*不現(xiàn)實(shí)。
2、不對(duì)稱密碼加密算法
不對(duì)稱密碼體制又稱 雙密鑰和公鑰密碼體質(zhì)，1976年 由 Diffie 和 Hellman 提出的。
私鑰秘密保存。
不需要事先通過(guò)安全秘密管道交換密鑰。
RSA 的安全性依賴于大素?cái)?shù)分解。公鑰和私鑰 都是兩個(gè)大素?cái)?shù)(大于100個(gè)十進(jìn)制位的函數(shù))。
據(jù)猜測(cè)，從一個(gè)密鑰和密文中，推斷出明文的難度等同于分解兩個(gè)大素?cái)?shù)的積。
具體操作時(shí) 考慮到 安全性 和 M信息量 較大等因素，一般是先做 HASH 運(yùn)算。
速度慢一直是 RSA 的缺陷，因此一般來(lái)說(shuō)，RSA只用于少量數(shù)據(jù)加密。
11.1.2 散列函數(shù)與數(shù)字簽名
1、MD5 散列算法
散列函數(shù)是一種公開(kāi)的數(shù)學(xué)函數(shù)。散列函數(shù)運(yùn)算的輸入信息叫做 報(bào)文，運(yùn)算后所得的結(jié)果叫做散列碼或消息摘要。
特點(diǎn)：
1. 給定 M，要找到另一消息 M，使 H(M)= H(M)很難。
2. 散列函數(shù)都是單向的，反推M很難。
3. 對(duì)于任何一個(gè)報(bào)文，無(wú)法預(yù)知它的散列碼。
4. 散列碼具有固定的長(zhǎng)度，不管原始報(bào)文長(zhǎng)度如何。
常見(jiàn)的散列函數(shù)有：MD5、SHA、HMAC 等。
MD5(Message Digest 5)已成為國(guó)際標(biāo)準(zhǔn)，產(chǎn)生128位(16字節(jié))長(zhǎng)度的散列值(或稱 消息摘要)。
通過(guò)以下4個(gè)步驟：
1. 附加填充位，填充后數(shù)據(jù)長(zhǎng)度 MOD 512 后 余 448。如果數(shù)據(jù)長(zhǎng)度正好 MOD 512 余 448，增加 512 個(gè)填充位，填充個(gè)數(shù)也就是1～512。
填充位第一個(gè)為 1，其余全部是 0。
2. 補(bǔ)足長(zhǎng)度。
3. 初始化MD緩存器。
4個(gè)32位寄存器，A、B、C、D，初始化為：
A: 01 23 45 67
B: 89 AB CD EF
C: FE DC BA 98
D: 76 54 32 10
4. 處理數(shù)據(jù)段。
2、數(shù)字簽名與數(shù)字水印
1. 數(shù)字簽名可以解決 否認(rèn)、偽造、篡改、冒充 等問(wèn)題。
凡是需要對(duì)用戶身份進(jìn)行判斷的情況 都可以使用數(shù)字簽名。
三個(gè)過(guò)程：系統(tǒng)的初始化過(guò)程、簽名產(chǎn)生過(guò)程、簽名驗(yàn)證過(guò)程。
簽名者必須注意保護(hù)好私有密鑰，因?yàn)樗枪_(kāi)密鑰體系安全的重要基礎(chǔ)。
如果密鑰丟失，應(yīng)該立即報(bào)告鑒定中心取消認(rèn)證，鑒定中心必須能夠迅速確定用戶的身份及其密鑰的關(guān)系。
RSA、ElGamal、Fiat-Shamir、美國(guó)的數(shù)字簽名標(biāo)準(zhǔn)/算法(DSS/DSA)、橢圓曲線 等多種。
2. 數(shù)字水印(Digital Watermarking)是實(shí)現(xiàn)版權(quán)保護(hù)的有效辦法，也是信息隱藏技術(shù)研究領(lǐng)域的重要分支。
通過(guò)在原始數(shù)據(jù)中嵌入秘密信息——水印(Watermark)來(lái)證實(shí)該數(shù)據(jù)段所有權(quán)。
水印可以是一段 文字、標(biāo)識(shí)、序列號(hào) 等，通常是不可見(jiàn)或不可察的，與原始數(shù)據(jù)緊密結(jié)合并隱藏其中。
數(shù)字水印技術(shù)必須具有較強(qiáng)的 魯棒性、安全性、透明性。
數(shù)字水印主要應(yīng)用領(lǐng)域：
版權(quán)保護(hù)，作品被盜版或出現(xiàn)版權(quán)糾紛時(shí)，所有者即可從盜版作品或水印版作品中 獲取水印信號(hào)作為依據(jù)。
加指紋，將不同用戶端ID或序列號(hào) 作為不同的水印(指紋)嵌入作品的合法備份中，一旦發(fā)現(xiàn)未授權(quán)的備份，就可以確定它的來(lái)源。
標(biāo)題與注釋。
篡改提示，可將原始圖像分成多個(gè)獨(dú)立塊，再將每個(gè)塊加入不同的水印，來(lái)確定作品的完整性，這類水印必須是脆弱的，并且檢測(cè)水印信號(hào)時(shí)，不需要原始數(shù)據(jù)。
使用控制，防復(fù)制。
空域算法、變換域算法、壓縮域算法、NEC算法、生理模型算法 等。
11.1.3 密鑰分配中心與公鑰基礎(chǔ)設(shè)施
現(xiàn)代密碼系統(tǒng)中，算法本身的保密已經(jīng)不重要了，只要密鑰能夠保密，即使加密算法公開(kāi)，甚至加密設(shè)備丟失，也不會(huì)對(duì)加密系統(tǒng)的堅(jiān)固性和正常使用產(chǎn)生多大影響。
如何高效地分配密鑰、安全地管理密鑰 對(duì)保證數(shù)據(jù)安全來(lái)說(shuō)至關(guān)重要。
1、密鑰分配中心
密鑰自動(dòng)分配 是 密鑰分配中心(Key Distribution Center，KDC)技術(shù)。
2、數(shù)字證書和公開(kāi)密鑰基礎(chǔ)設(shè)施
數(shù)字證書的內(nèi)容一般包括：標(biāo)識(shí)證書所有者的名稱、標(biāo)識(shí)證書簽發(fā)者的名稱、證書所有者的公開(kāi)密鑰、證書簽發(fā)者的數(shù)字簽名、證書的有效期、證書的序列號(hào)等。
PKI(Public Key Infrastructure，公鑰基礎(chǔ)設(shè)施)的結(jié)構(gòu)模型有三類實(shí)體：管理實(shí)體、端實(shí)體、證書庫(kù)。
管理實(shí)體是PKI的核心，是服務(wù)的提供者，端實(shí)體是PKI的用戶。
CA 和 RA 是兩種管理實(shí)體，CA 能夠 發(fā)布和撤銷 證書，維護(hù)證書的生命周期。RA負(fù)責(zé)處理用戶請(qǐng)求。
證書庫(kù)的存取對(duì)象為證書和CRL，其完整性由數(shù)字簽名來(lái)保證，因此不需要額外的安全機(jī)制。
11.1.4 訪問(wèn)控制
自動(dòng)、有效地防止對(duì)系統(tǒng)資源進(jìn)行非法訪問(wèn)或者不當(dāng)使用。
它是建立在身份認(rèn)證的基礎(chǔ)之上的。
1、身份認(rèn)證技術(shù)
識(shí)別用戶的身份有兩種不同形式：身份認(rèn)證、身份鑒定。
認(rèn)證的方法 歸結(jié)為 3大類：知道什么、擁有什么、是什么。
是什么，是一種基于生物識(shí)別技術(shù)的認(rèn)證。
1. 用戶名和口令認(rèn)證，三種簡(jiǎn)單的認(rèn)證方式：明文傳送、單向散列、單向散列函數(shù)和隨機(jī)函數(shù)。
2. 使用令牌認(rèn)證，密鑰存儲(chǔ)于令牌中。
令牌是一個(gè)可以加密存儲(chǔ)并運(yùn)行相應(yīng)加密算法的設(shè)備，完成對(duì)用戶必須擁有某物的驗(yàn)證。
令牌的實(shí)現(xiàn)分為：質(zhì)詢響應(yīng)令牌、時(shí)間戳令牌，常用的是時(shí)間戳令牌。
系統(tǒng)的安全強(qiáng)度大大增加：私鑰采用令牌存儲(chǔ)的方式解決了 私鑰自身的安全問(wèn)題，安全強(qiáng)度大大增加。
而且令牌有 PIN碼 保護(hù)，對(duì)令牌的非法訪問(wèn)超過(guò)一定次數(shù)后，令牌會(huì)死鎖。
時(shí)間戳令牌利用時(shí)間代替隨機(jī)數(shù)，需要重點(diǎn)考慮時(shí)間同步問(wèn)題，目前在安全性較高的認(rèn)證系統(tǒng)中，多是采用這種方案。
3. 生物識(shí)別與三因素認(rèn)證
基于生物識(shí)別技術(shù)的認(rèn)證，主要根據(jù)認(rèn)證者的 圖像、指紋、氣味、聲音等作為認(rèn)證數(shù)據(jù)。
2、訪問(wèn)控制技術(shù)
根據(jù) 控制手段 和 具體目的 的不同，通常將 訪問(wèn)控制技術(shù) 劃分為幾個(gè)方面：入網(wǎng)訪問(wèn)控制、網(wǎng)絡(luò)權(quán)限控制、目錄級(jí)安全控制、屬性安全控制、網(wǎng)絡(luò)服務(wù)器安全控制等。
入網(wǎng)訪問(wèn)控制，控制準(zhǔn)許用戶 入網(wǎng)的時(shí)間、準(zhǔn)許的工作站等。
由于用戶口令驗(yàn)證方式容易被攻破，很多網(wǎng)絡(luò)都開(kāi)始采用 基于數(shù)字證書的驗(yàn)證方式。
用戶 和 用戶組 被 賦予一定的權(quán)限。
訪問(wèn)機(jī)制 兩種實(shí)現(xiàn)方式：“受托者指派”和“繼承權(quán)限屏蔽”
“受托者指派”控制用戶 和 用戶組 如何使用網(wǎng)絡(luò)服務(wù)器。
“繼承權(quán)限屏蔽”相當(dāng)于一個(gè)過(guò)濾器，可以限制子目錄從父目錄那里繼承哪些權(quán)限。
特殊用戶、一般用戶、審計(jì)用戶。
對(duì)目錄和文件的訪問(wèn)權(quán)限 一般有 8種：系統(tǒng)管理員權(quán)限、讀、寫、創(chuàng)建、刪除、修改、查找、訪問(wèn)控制。
屬性 能夠控制以下幾個(gè)方面的權(quán)限：寫 數(shù)據(jù)、復(fù)制 文件、刪除 目錄或文件、察看 目錄和文件、執(zhí)行 文件、隱含 文件、共享、系統(tǒng)屬性等。
11.1.5 安全協(xié)議
1、IPSec 協(xié)議簡(jiǎn)述
因特網(wǎng)工程任務(wù)組(IETF)，IPSec 在 IP層上 對(duì)數(shù)據(jù)包 進(jìn)行高強(qiáng)度 的 安全處理 提供 數(shù)據(jù)源驗(yàn)證、無(wú)連接數(shù)據(jù)完整性、數(shù)據(jù)機(jī)密性、抗重播、有限通信流機(jī)密性等安全服務(wù)。
1. IPSec 協(xié)議工作原理
通過(guò)使用兩種信息安全協(xié)議 來(lái)為數(shù)據(jù)報(bào)提供高質(zhì)量的安全性：認(rèn)證頭(AH)協(xié)議 和 封裝安全載荷(ESP)協(xié)議，以及像 Internet 密鑰交換(Internet Key Exchange，IKE)協(xié)議這樣的密鑰管理協(xié)過(guò)程和協(xié)議。
IPSec 允許系統(tǒng)或網(wǎng)絡(luò)用戶 控制安全服務(wù)提供的粒度。
由通信雙方建立的安全關(guān)聯(lián)(Security Association，SA)來(lái)提供。
3. IPSec 協(xié)議 安全性分析
可以應(yīng)用于所有跨越網(wǎng)絡(luò)邊界的通信。
如果所有來(lái)自外部的通信必須使用IP，且防火墻是 Internet 與 組織的入口，則 IPSec 是不能被繞過(guò)的。
IPSec 位于傳輸層(TCP、UDP)之下，因此對(duì)應(yīng)用程序是透明的，實(shí)現(xiàn)時(shí)，沒(méi)有必要在用戶或服務(wù)器上更改軟件。
IPSec 對(duì)終用戶是透明的，沒(méi)有必要 培訓(xùn)用戶掌握安全機(jī)制。
2、SSL 協(xié)議
SSL 協(xié)議(Secure Socket Layer)對(duì)計(jì)算機(jī)之間的 整個(gè)會(huì)話進(jìn)行加密，位于 TCP 和 應(yīng)用層 之間，可為應(yīng)用層 提供 安全業(yè)務(wù)，主要是 Web應(yīng)用。
基本目標(biāo)是 在通信雙方之間 建立安全的連接。
SSL 協(xié)議工作原理
兩個(gè)重要的概念：SSL 連接和SSL 會(huì)話。
連接 是 提供恰當(dāng)類型服務(wù)的傳輸，對(duì)于 SSL ，連接是點(diǎn)到點(diǎn)的關(guān)系。
SSL 的會(huì)話是 客戶和服務(wù)器之間的關(guān)聯(lián)，會(huì)話通過(guò)握手協(xié)議來(lái)創(chuàng)建。
會(huì)話定義了 加密安全 參數(shù)的一個(gè)集合。
會(huì)話可以用來(lái)避免為每個(gè)連接進(jìn)行 昂貴的新安全參數(shù)的協(xié)商。
3、PGP 協(xié)議
1. PGP 協(xié)議的定義
PGP(Pretty Good Privacy)針對(duì) 電子郵件 在 Internet上 通信的 安全問(wèn)題而設(shè)計(jì)的一種混合加密系統(tǒng)。
公鑰密碼和分組密碼 是在同一個(gè)系統(tǒng)中，PGP 的用戶擁有一張公鑰表。
PGP 應(yīng)用程序具有很多優(yōu)點(diǎn)：速度快、效率高、可移植性好。
2. PGP 協(xié)議 的 加密過(guò)程
用 IDEA 算法對(duì)明文加密，接著用接收者的 RSA公鑰 對(duì)這個(gè)IDEA密鑰進(jìn)行加密。
PGP 沒(méi)有用 RSA 算法直接對(duì)明文加密，而是對(duì) IDEA 密鑰 進(jìn)行加密。
由于 IDEA 算法 速度很快，所以不會(huì)因?yàn)猷]件的數(shù)量大而耽誤時(shí)間，而IDEA的密鑰位數(shù)較少，所以使用RSA算法在速度上也不會(huì)有很大影響。
11.1.6 數(shù)據(jù)備份
1、備份的類型
備份數(shù)據(jù)常常被人們遺忘，造成的后果往往是毀滅性的。
保證數(shù)據(jù)完整性以及準(zhǔn)確性，一直都面臨著極大的考驗(yàn)。
1. 完全備份，所需時(shí)間長(zhǎng)，但恢復(fù)時(shí)間短，操作方便可靠。
2. 差異備份，備份上的 完全備份后發(fā)生變化的所有文件。備份時(shí)間較長(zhǎng)，占用空間較多，恢復(fù)時(shí)間較短。
3. 增量備份，上備份后，所有發(fā)生變化的文件。備份時(shí)間較短，占用空間較少，恢復(fù)時(shí)間較長(zhǎng)。
4. 按需備份。有很好的選擇性。
2、異地備份
數(shù)據(jù)異地備份 是 容災(zāi)系統(tǒng) 的核心技術(shù)，確保一旦本地系統(tǒng)出現(xiàn)故障，遠(yuǎn)程的容災(zāi)中心能夠迅速進(jìn)行完整的業(yè)務(wù)托管。
進(jìn)行異地備份時(shí)，要注意以下幾個(gè)問(wèn)題：
避免讓備份帶上病毒。
保證磁片質(zhì)量，定期對(duì)其進(jìn)行質(zhì)量檢查。
對(duì)于光盤，大的缺點(diǎn)是 兼容性不好，好是用哪臺(tái)刻錄機(jī)刻錄 就用哪臺(tái)刻錄機(jī)讀取(有時(shí)光頭歪了也刻歪了，好光驅(qū)讀不出來(lái))。
對(duì)于移動(dòng)硬盤，要做磁盤檢查，保證其性能良好。
3、自動(dòng)備份軟件
具備 多個(gè)備份的文件 無(wú)論怎樣重命名 都只備份一個(gè)。
對(duì)員工正常工作無(wú)任何干擾，就好像這個(gè)軟件不存在一樣。
11.1.7 計(jì)算機(jī)病毒免疫
1、計(jì)算機(jī)病毒定義
通過(guò)修改其他程序 使之含有該程序本身或它的一個(gè)變體，具有感染力，借助使用者的權(quán)限感染他們的程序。
每個(gè)被感染的程序也像病毒一樣可以感染其他程序。
2、計(jì)算機(jī)病毒免疫的原理
傳染模塊一般包括傳染條件判斷和實(shí)施傳染兩部分。
一般情況下，傳染完一個(gè)對(duì)象后，都要給被傳染對(duì)象加上傳染標(biāo)識(shí)，若不存在這種標(biāo)識(shí)，則病毒就對(duì)該對(duì)象實(shí)施傳染。
不判斷是否存標(biāo)識(shí)，反復(fù)傳染多次，雪球越滾越大。
當(dāng)某些尚不能被病毒檢測(cè)軟件檢查出來(lái)的病毒感染了文件，該文件又被免疫外殼包在里面時(shí)，查毒軟件查不到它。
11.2 信息安全管理和評(píng)估
11.2.1 安全管理技術(shù)
安全管理技術(shù)就是 監(jiān)督、組織、控制網(wǎng)絡(luò)通信服務(wù)以及信息處理所必須的 各種技術(shù)手段和措施的總稱。
目標(biāo)是確保計(jì)算機(jī)網(wǎng)絡(luò)的持續(xù)正常運(yùn)行，出現(xiàn)異常時(shí)能及時(shí)響應(yīng)和排除故障。
各種網(wǎng)絡(luò)安全產(chǎn)品的作用 提現(xiàn)在網(wǎng)絡(luò)中的不同方面，統(tǒng)一的網(wǎng)絡(luò)安全管理平臺(tái) 必然要求對(duì)網(wǎng)絡(luò)中部署的安全設(shè)備進(jìn)行協(xié)同管理。
安全設(shè)備的管理、安全策略管理、安全風(fēng)險(xiǎn)控制、安全審計(jì)，幾個(gè)方面。
安全審計(jì)：安全設(shè)備、操作系統(tǒng)、應(yīng)用系統(tǒng)的日志信息收集匯總，進(jìn)一步分析，得出更深層次的分析結(jié)果。