系統(tǒng)安全性和保密原則

系統(tǒng)安全性和保密原則

信息安全指保證信息的保密性、完整性、真實(shí)性、占有性。

占有性是指要保護(hù)信息賴(lài)以存儲(chǔ)的節(jié)點(diǎn)、介質(zhì)、載體等不被盜用或竊取。方法有版權(quán)、專(zhuān)利、

商業(yè)秘密等。

一、加密和解密

1、對(duì)稱(chēng)加密

1）DES

2）IDEA

2、不對(duì)稱(chēng)加密

1）RSA

二、數(shù)字簽名與數(shù)字水印

1、散列函數(shù)

散列函數(shù)一種公開(kāi)的數(shù)學(xué)函數(shù)。散列函數(shù)輸入內(nèi)容叫“報(bào)文”，輸出結(jié)果叫“散列碼”或“消

息摘要”。散列函數(shù)有如下特點(diǎn)：

1）不同報(bào)文有不同散列碼

2）單向。由報(bào)文得到散列碼容易，反過(guò)來(lái)則非常困難

3）不能預(yù)知報(bào)文的散列碼（意思是一定要經(jīng)過(guò)運(yùn)算才能知道，沒(méi)有什么規(guī)律可借以推測(cè)）

4）散列碼具有固定長(zhǎng)度，而不管報(bào)文長(zhǎng)度多少

常用散列函數(shù)有MD5、SHA、HMAC

2、數(shù)字簽名

數(shù)字簽名用于保證信息的真實(shí)性、無(wú)篡改、不可否認(rèn)。

數(shù)字簽名由兩個(gè)算法組成：簽名算法 + 驗(yàn)證算法。

過(guò)程：發(fā)送方將信息用私鑰加密，即簽名，然后將信息和簽名一起發(fā)送給接收方。接收方對(duì)

簽名解密，解密結(jié)果與信息進(jìn)行對(duì)照，確認(rèn)真實(shí)、無(wú)篡改、及確信是發(fā)送方發(fā)出。

1）RSA + MD5

3、數(shù)字信封

其實(shí)就是將消息進(jìn)行加密發(fā)送。對(duì)稱(chēng)加密。先用密鑰將消息加密；然后用接收方的公鑰將密

鑰加密；加密后的密鑰隨同消息一起發(fā)給接收方。接收方用私鑰解出密鑰，然后用密鑰解密

消息。

4、數(shù)字水印

數(shù)字水印是將標(biāo)記信息直接隱藏在數(shù)字載體中，或者修改特定區(qū)域的結(jié)構(gòu)間接做記號(hào)，目的

就是打上專(zhuān)屬印記。數(shù)字水印有點(diǎn)象彩蛋，不容易被發(fā)現(xiàn)，除了作者。如何打這個(gè)“水印“，

有一些算法。

數(shù)字簽名與數(shù)字水印沒(méi)有什么關(guān)系。要說(shuō)有，都是為了驗(yàn)明正身。不同的是，數(shù)字簽名是別

人用來(lái)驗(yàn)證這東西是發(fā)布者搞出來(lái)的，而數(shù)字水印是發(fā)布者證明這東西是自己搞出來(lái)的。

“有你簽名，別抵賴(lài)”

“有我LOGO，是我的”

三、數(shù)字證書(shū)與密鑰管理

加密算法的保密不重要，密鑰卻舉足輕重。密鑰如何保管與分配，是個(gè)問(wèn)題。

1、密鑰分配中心

搞個(gè)密鑰分配中心（KDC）吧。

密鑰分配中心，顧名思義，負(fù)責(zé)分配密鑰。怎么分配呢？

A和B想加密通信，A向KDC發(fā)出請(qǐng)求，KDC返回一個(gè)應(yīng)答給A，內(nèi)有密鑰K，分別用A和

B的公鑰加密。A收到應(yīng)答，解出K，然后又轉(zhuǎn)發(fā)消息給B，B也解密得到K。于是A和B用

K進(jìn)行對(duì)稱(chēng)加密通信。

2、數(shù)字證書(shū)和公開(kāi)密鑰基礎(chǔ)設(shè)施

對(duì)稱(chēng)加密中，通信雙方共同掌握密鑰，其他任何第三方都不能知道；

而非對(duì)稱(chēng)加密（公鑰加密）中，公鑰公開(kāi)，私鑰自己掌握。

公鑰該如何公開(kāi)？

最簡(jiǎn)單的，就是公鑰向全世界公布。但是，這樣有致命的漏洞，任意人都可以冒充通信一方，

公布自己的公鑰。所以就要用到數(shù)字證書(shū)和PKI（公開(kāi)密鑰基礎(chǔ)設(shè)施）。

1）數(shù)字證書(shū)

數(shù)字證書(shū)用于確認(rèn)公鑰發(fā)布者的身份。

一般包括：證書(shū)所有者的公鑰，證書(shū)簽發(fā)者的數(shù)字簽名等。

數(shù)字證書(shū)與數(shù)字簽名

2）PKI（公開(kāi)密鑰基礎(chǔ)設(shè)施）

PKI就是數(shù)字證書(shū)的一整套機(jī)制，包括數(shù)字證書(shū)，證書(shū)頒發(fā)機(jī)構(gòu)（CA），查驗(yàn)機(jī)制等等。

證書(shū)一般是X.509。

四、安全協(xié)議

1、IPSec

網(wǎng)絡(luò)安全協(xié)議（IP Security），該協(xié)議將密碼技術(shù)應(yīng)用在網(wǎng)絡(luò)層。

工作原理：

數(shù)據(jù)發(fā)送前，發(fā)送方將其加密；接收方收到后，解密提取明文。整個(gè)傳輸過(guò)程，都是加密傳

輸。這種加密，不是數(shù)據(jù)包的頭尾加密，而是直接對(duì)數(shù)據(jù)包中的數(shù)據(jù)進(jìn)行加密。

IPSec不是一個(gè)單獨(dú)的協(xié)議，包括：AH（IP認(rèn)證頭部協(xié)議）、ESP（封裝安全負(fù)載協(xié)議）、IKE

（Internet密鑰交換協(xié)議 ）等等。

AH提供數(shù)據(jù)的完整性和認(rèn)證，但不包括保密性；

ESP原則上只提供保密性，但也可以實(shí)現(xiàn)完整性和認(rèn)證；

IKE負(fù)責(zé)協(xié)商，協(xié)商加密算法，密鑰。

AH和ESP可分開(kāi)，也可以接合使用。

IPSec有兩種工作模式：傳輸模式和隧道模式

1）傳輸模式

首先加密數(shù)據(jù)；然后在IP頭和數(shù)據(jù)之間插入IPSec頭。

傳輸模式加密部分較少，節(jié)省帶寬，減輕CPU負(fù)載，通信和處理效率較高。

2）隧道模式

將數(shù)據(jù)包整個(gè)加密，然后再加上ESP頭，再加個(gè)新的IP頭。

隧道模式的安全性較高。

IPV6中，IPSec必選；IPV4，IPSec可選。

2、SSL

SSL，用于安全傳輸數(shù)據(jù)的一種通信協(xié)議。包括服務(wù)器認(rèn)證、客戶(hù)端認(rèn)證、SSL鏈路數(shù)據(jù)完整

性和保密性等幾個(gè)方面。SSL協(xié)議建立在傳輸層即TCP之上，應(yīng)用層之下，有一個(gè)突出的優(yōu)

點(diǎn)是它與應(yīng)用層協(xié)議相獨(dú)立，高層應(yīng)用協(xié)議，如HTTP可以透明地建立在SSL之上進(jìn)行工作。

SSL協(xié)議組成：

SSL記錄協(xié)議

所有要傳輸?shù)臄?shù)據(jù)都被封裝在記錄中，記錄由記錄頭和長(zhǎng)度不為0的記錄數(shù)據(jù)組成。所有

SSL通信，包括握手消息、安全空白記錄、應(yīng)用數(shù)據(jù)等都使用SSL記錄。

SSL協(xié)議建立的傳輸通道具有保密、認(rèn)證、可靠（有完整性檢查）的基本安全性，但不能保

證傳輸信息的不可否認(rèn)性。

HTTPS

3、PGP

電子郵件加密方案。PGP并不是新的加密算法或協(xié)議，而是多種加密算法的綜合，包含了非

對(duì)稱(chēng)加密、對(duì)稱(chēng)加密、數(shù)字簽名和摘要，壓縮等等。

1）加密原理

2）密鑰管理機(jī)制

公鑰介紹機(jī)制。即由發(fā)送方A、接收方B共同信任的權(quán)威認(rèn)證機(jī)構(gòu)D來(lái)為雙方的公鑰進(jìn)行擔(dān)

保。

五、計(jì)算機(jī)病毒與防治

計(jì)算機(jī)病毒多種多樣，但都有共同特征：傳染性、非授權(quán)性、潛伏性和破壞性。

蠕蟲(chóng)

是病毒中的一種，但是它與普通病毒之間有著很大的區(qū)別。一般認(rèn)為：蠕蟲(chóng)是一種通過(guò)網(wǎng)絡(luò)

傳播的惡性病毒，它具有病毒的一些共性，如傳播性、隱蔽性、破壞性等等，同時(shí)具有自己

的一些特征，如不利用文件寄生（有的只存在于內(nèi)存中），對(duì)網(wǎng)絡(luò)造成拒絕服務(wù)，以及和黑

客技術(shù)相結(jié)合，等等。

典型的蠕蟲(chóng)病毒有尼姆達(dá)、震蕩波、熊貓燒香等。

木馬

木馬不具傳染性，它并不能像病毒那樣復(fù)制自身，也并不“刻意”地去感染其他文件，它主

要通過(guò)將自身偽裝起來(lái)，吸引用戶(hù)下載執(zhí)行。相對(duì)病毒而言，我們可以簡(jiǎn)單地說(shuō)，病毒破壞

你的信息，而木馬竊取你的信息。

典型的特洛伊木馬有灰鴿子、網(wǎng)銀大盜等。

六、身份認(rèn)證與訪問(wèn)控制

1、用戶(hù)標(biāo)識(shí)與認(rèn)證

除了口令、密鑰、各種卡、指紋人臉識(shí)別等，還有

1）PPP（點(diǎn)對(duì)點(diǎn)協(xié)議）認(rèn)證

數(shù)據(jù)鏈路層協(xié)議。

PPP定義了PAP(密碼驗(yàn)證協(xié)議)、CHAP(挑戰(zhàn)-握手驗(yàn)證協(xié)議)、EAP(擴(kuò)展驗(yàn)證協(xié)議)。其中：

PAP：明文密碼驗(yàn)證

CHAP：加密驗(yàn)證。服務(wù)器端向客戶(hù)端發(fā)送會(huì)話(huà)ID+挑戰(zhàn)字符串，客戶(hù)端收到挑戰(zhàn)字符串后，

使用它對(duì)口令進(jìn)行MD5散列并返回。服務(wù)器端存有客戶(hù)端的明文口令，可進(jìn)行比對(duì)。

EAP：

一個(gè)用于PPP認(rèn)證的通用協(xié)議，支持多種認(rèn)證機(jī)制，不需要在建立連接階段指定認(rèn)證方式，

傳給后端的認(rèn)證服務(wù)器搞定。缺點(diǎn)是PPP要想使用EAP就要修改。

2）RADIUS協(xié)議

朗訊公司提出的客戶(hù)/服務(wù)器方式的安全認(rèn)證協(xié)議，能在撥號(hào)網(wǎng)絡(luò)中提供注冊(cè)、驗(yàn)證功能，

現(xiàn)在已成為互聯(lián)網(wǎng)的正式協(xié)議標(biāo)準(zhǔn)，當(dāng)前流行的AAA（Authentication認(rèn)證 Authorization授

權(quán) Accountion審計(jì)）協(xié)議。

2、邏輯訪問(wèn)控制

訪問(wèn)控制在身份認(rèn)證基礎(chǔ)上，對(duì)不同身份的請(qǐng)求加以限制。認(rèn)證解決“你是誰(shuí)“”的問(wèn)題，

訪問(wèn)控制解決“你能做啥”的問(wèn)題。

訪問(wèn)控制包括主體（訪問(wèn)者）、客體（被訪問(wèn)者，如文件，數(shù)據(jù)庫(kù)）、訪問(wèn)規(guī)則三方面構(gòu)成。

訪問(wèn)控制策略（訪問(wèn)規(guī)則）

1）自主訪問(wèn)控制（DAC）

主體決定客體的被訪問(wèn)策略

方便，但不夠安全。

2）強(qiáng)制訪問(wèn)控制（MAC）

統(tǒng)一劃分客體的被訪問(wèn)策略。如信息的密級(jí)。安全，但管理麻煩，工作量大。

3）基于角色的訪問(wèn)控制（RBAC）

統(tǒng)一對(duì)主體和客體進(jìn)行管理。

3、審計(jì)與跟蹤

4、公共訪問(wèn)控制

七、網(wǎng)絡(luò)安全體系

1、OSI安全服務(wù)

OSI的OSI/RM是著名的網(wǎng)絡(luò)架構(gòu)模型（即網(wǎng)絡(luò)七層架構(gòu)），但沒(méi)有對(duì)安全性作專(zhuān)門(mén)的設(shè)計(jì)，

所以OSI在此基礎(chǔ)上提出了一套安全架構(gòu)：

1）安全服務(wù)

對(duì)象認(rèn)證服務(wù)、訪問(wèn)控制服務(wù)、數(shù)據(jù)保密性服務(wù)、數(shù)據(jù)完整性服務(wù)、禁止否認(rèn)服務(wù)

2）安全機(jī)制

為了實(shí)現(xiàn)以上服務(wù)，OSI建議采用以下8種安全機(jī)制：

加密機(jī)制

數(shù)字簽名機(jī)制

訪問(wèn)控制機(jī)制

數(shù)據(jù)完整性機(jī)制

鑒別交換機(jī)制

業(yè)務(wù)流填充機(jī)制

沒(méi)數(shù)據(jù)時(shí)也發(fā)送一些偽隨機(jī)序列，擾人耳目。

路由控制機(jī)制

公正機(jī)制

安全服務(wù)與安全機(jī)制并非一一對(duì)應(yīng)，有些服務(wù)需要多種機(jī)制才能實(shí)現(xiàn)。

2、VPN在網(wǎng)絡(luò)安全中的應(yīng)用

VPN（虛擬專(zhuān)用網(wǎng)絡(luò)）利用不安全的網(wǎng)絡(luò)，例如互聯(lián)網(wǎng)，通過(guò)安全技術(shù)處理，實(shí)現(xiàn)類(lèi)似專(zhuān)網(wǎng)

的安全性能。

1）VPN的優(yōu)點(diǎn)

安全、方便擴(kuò)充（接入、調(diào)整都很方便）、方便管理（許多工作都可以放在互聯(lián)網(wǎng)）、節(jié)約

成本

2）VPN的工作原理

八、系統(tǒng)的安全性設(shè)計(jì)

1、物理安全

物理設(shè)備本身的安全，以及存放物理設(shè)備的位置、環(huán)境等。應(yīng)該集中存放，冗余備份，限制

訪問(wèn)等。

2、防火墻

網(wǎng)絡(luò)具有開(kāi)放、自由、無(wú)邊界性等特點(diǎn)，防火墻是網(wǎng)絡(luò)隔離手段，目前實(shí)現(xiàn)網(wǎng)絡(luò)安全的一種

主要措施。

1）防火墻基本原理

采用包過(guò)濾、狀態(tài)檢測(cè)、應(yīng)用網(wǎng)關(guān)等幾種方式控制網(wǎng)絡(luò)連接。

2）防火墻優(yōu)點(diǎn)

隔離網(wǎng)絡(luò)

集中管理

有效記錄

3）正確使用防火墻

防火墻防外不防內(nèi)

不能完全杜絕外部攻擊

不能防范病毒、數(shù)據(jù)攻擊

只能防范已知的威脅

不能防范不通過(guò)它的鏈接

3、入侵檢測(cè)

僅有防火墻還不夠。入侵檢測(cè)系統(tǒng)是防火墻之后的第二道安全閘門(mén)。

1）入侵檢測(cè)技術(shù)

包括數(shù)據(jù)采集、數(shù)據(jù)處理和過(guò)濾、入侵分析及檢測(cè)、報(bào)告及響應(yīng)4個(gè)階段。

2）入侵檢測(cè)技術(shù)的種類(lèi)

主機(jī)型

網(wǎng)絡(luò)型

---------------------

作者：左直拳

來(lái)源：CSDN

原文：/leftfist/article/details/80873255

版權(quán)聲明：本文為博主原創(chuàng)文章，轉(zhuǎn)載請(qǐng)附上博文鏈接！