搜索
第12章信息安全大学计算机基础教程本章主要介绍信息安全的基本概念及基本技术，主要包括密码技术、防火墙技术、防病毒技术、入侵检测技术，最后简述道德规范与社会责任。华南理工大学计算机教学团队2目录12.1信息安全的基本概念12.2密码技术及应用12.3防火墙技术12.4恶意软件3华南理工大学计算机教学团队12.5入侵检测技术12.6道德规范与社会责任12.1信息安全的基本概念华南理工大学计算机教学团队412.1.1信息安全特征（1）一般认为安全通信（securecommunication）具有下列特性：1.机密性（confidentiality）•仅有发送方和预定的接收方能够理解传输的报文内容。因为入侵者可以截取到报文，这必须要求报文在一定程度上进行加密（encrypted），从而使得入侵者不能解密（decrypted）截获到的报文。机密通信通常依赖于密码技术。例如，Alice发给Bob的信息，应该只有Bob能读懂信息的内容，其他人即使截获到了该信息，也不可读。华南理工大学计算机教学团队512.1.1信息安全特征（2）2.身份验证（authentication）•发送方和接收方都应该能够证实通信过程所涉及的另一方，确信通信的另一方确实具有他们所声称的身份。3.完整性（integrity）•指信息在传输、交换、存储和处理过程中保持非修改，非破坏和非丢失的特性。4.不可否认性（Non-repudiation）•不可否认就是通信双方对于自己通信的行为都不可抵赖。华南理工大学计算机教学团队612.1.1信息安全特征（3）5.可用性（Availability）•指合法用户在需要的时候，可以正确使用所需的信息而不遭服务拒绝。系统为了控制非法访问可以采取许多安全措施，但系统不应该阻止合法用户对系统的使用。6.可控性（controllability）•指对流通在网络系统中的信息传播及具体内容能够实现有效控制的特性，即网络系统中的任何信息要在一定传输范围和存放空间内可控。华南理工大学计算机教学团队712.1.2信息安全保护技术（1）•当前采用的网络信息安全保护技术主要有两类：主动防御技术和被动防御技术。1.主动防御技术(1)数据加密。密码技术被认为是保护信息安全最实用的方法。对数据最有效的保护就是加密，而加密的方式可用多种算法来实现。(2)存取控制。存取控制表征主体对客体具有规定权限操作的能力。存取控制的内容包括：人员限制、访问权限设置、数据标识、控制类型和风险分析等。华南理工大学计算机教学团队812.1.2信息安全保护技术（2）(3)权限设置。规定合法用户访问网络信息资源的资格范围，即反映能对资源进行何种操作。(4)虚拟专用网技术（VPN-VirtualPrivateNetwork）。VPN技术就是在公网基础上进行逻辑分割而虚拟构建的一种特殊通信环境，使其具有私有性和隐蔽性。VPN也是一种策略，可为用户提供定制的传输和安全服务。华南理工大学计算机教学团队912.1.2信息安全保护技术（3）2．被动防御技术(1)防火墙技术。防火墙是内部网与Internet（或一般外网）间实现安全策略要求的访问控制保护，其核心的控制思想是包过滤技术。(2)入侵检测系统（IDS-IntrusionDetectionSystem）。IDS就是在系统中的检查位置执行入侵检测功能的程序或硬件执行体，对当前的系统资源和状态进行监控，检测可能的入侵行为。(3)安全扫描器。它是可自动检测远程或本地主机及网络系统的安全漏洞的专用功能程序，可用于观察网络信息系统的运行情况。华南理工大学计算机教学团队1012.1.2信息安全保护技术（4）(4)口令验证。它利用密码检查器中的口令验证程序查验口令集中的薄弱口令。防止攻击者假冒身份登入系统。(5)审计跟踪。它对网络信息系统的运行状态进行详尽审计，并保持审计记录和日志，帮助发现系统存在的安全弱点和入侵点，尽量降低安全风险。(6)物理保护与安全管理。它通过指定标准、管理办法和条例，对物理实体和信息系统加强规范管理，减少人为管理因素不力的负面影响。华南理工大学计算机教学团队1112.2密码技术及应用华南理工大学计算机教学团队1212.2.1基本概念华南理工大学计算机教学团队一些基本概念1312.2.2对称密钥密码系统•在对称密钥密码系统（SymmetricKeyCrypto-system）中，Alice和Bob的密钥是相同的并且是秘密的。华南理工大学计算机教学团队对称密钥密码体制1412.2.3公开密钥密码系统•在公开密钥密码系统(PublicKeyCrypto-system)中，使用一对密钥：一个密钥是公开的，另一个密钥是秘密的。华南理工大学计算机教学团队公开密钥密码体制1512.2.4计算机网络中的数据加密(1)•计算机网络中的数据加密可以在OSI七层协议的多层上实现，从加密技术应用的逻辑位置来看，主要有链路加密和端到端加密两种方式，图12.4给出了网络通信中加密的两种主要形式。华南理工大学计算机教学团队图12.4网络加密的两种方式示意图（实心矩形表示链路加密设备，黑点表示端加密设备）1612.2.4计算机网络中的数据加密(2)1.链路加密•简要原理是：数据信息进入物理层传输时，对所有的信息加密进行保护，信息到达计算机之前必须进行解密处理才能使用。•链路加密的优点：可方便地采用硬件来实现，不依赖于机型和操作系统，具有高速、可靠、保密等特点。•缺点是中间节点不可暴露，维护节点的安全性代价高。比如硬件开销，每个节点都要有加密器，运行维护、密钥处理开销大等。华南理工大学计算机教学团队1712.2.4计算机网络中的数据加密(3)2.端—端加密•加密原理：源端在发送源消息之前将消息加密成密文，并以密文消息的形式经通信网传送到目的端。•优点：用户可以随意选择加密算法，数据一直处于密文的保护之下，即使中间某条链路发生失误，也不至于影响数据安全。可以使用软硬件实现加密，因此具有灵活、安全性高等特点。•缺点是如果收发双方的身份暴露将导致安全通信失败。华南理工大学计算机教学团队1812.2.4计算机网络中的数据加密(4)3.混合加密•为保护报头之类的敏感信息，可以采用两者混合使用的方式，如图12.5所示。这里，报文将被两次加密，而报头则只由链路方式加密。华南理工大学计算机教学团队图12.5混合加密方式1912.2.5数字签名(1)•数字签名（digitalsignature）可以实现消息完整性认证和身份验证。华南理工大学计算机教学团队2012.2.5数字签名(2)•手写签名与数字签名的主要区别在于：–一是手写签名是不变的，而数字签名对不同的消息是不同的，即手写签名因人而异，数字签名因消息而异.–二是手写签名是模拟的，无论哪种文字的手写签名，伪造者都容易模仿，而数字签名是在密钥控制下产生的，在没有密钥的情况下，模仿者几乎无法模仿出数字签名。华南理工大学计算机教学团队2112.3防火墙技术华南理工大学计算机教学团队2212.3.1防火墙的基本概念•防火墙是由硬件（路由器、服务器等）和软件构成的系统，用来在两个网络之间实施接入控制策略，是一种屏障，如图12.8所示。华南理工大学计算机教学团队2312.3.2防火墙的功能•网络防火墙的主要功能有：–控制对网站的访问和封锁网站信息的泄露；–限制被保护子网的暴露；–具有审计功能；–强制安全策略；–对出入防火墙的信息进行加密和解密等。华南理工大学计算机教学团队2412.3.3防火墙的基本类型(1)•防火墙有多种形式，有的以软件形式运行在普通计算机操作系统上，有的以硬件形式单独实现，也有的以固件形式设计在路由器中。总的来说，防火墙可分为3种：包过滤防火墙、应用层网关和复合型防火墙。华南理工大学计算机教学团队2512.3.3防火墙的基本类型(2)1．包过滤防火墙•包过滤防火墙允许或拒绝所接收的每个数据包。路由器审查每个数据包以便确定其是否与某一条包过滤规则匹配。过滤规则基于可以提供给IP转发过程的包头信息。•优点:是不用改动客户机和主机上的应用程序，因为它工作在网络层和传输层，与应用层无关，一个过滤路由器能协助保护整个网络，而且过滤路由器速度快、效率高。•弱点:不能彻底防止地址欺骗;不能满足各种安全需求等.华南理工大学计算机教学团队2612.3.3防火墙的基本类型(3)2．应用层网关•是内部网与外部网的隔离点，起着监视和隔绝应用层通信流的作用，同时也常结合了过滤器的功能。它工作在OSI模型的最高层，掌握着应用系统中可用作安全决策的全部信息。–优点：代理易于配置、能生成各项记录、能灵活而完全地控制进出的流量和内容、能过滤数据内容、能为用户提供透明的加密机制、可以方便地与其他安全手段集成等。–缺点：代理速度较路由器慢、对用户不透明、对于每项服务可能要求不同的服务器、代理服务不能保证用户免受所有协议弱点的限制、不能改进底层协议的安全性等。华南理工大学计算机教学团队2712.3.3防火墙的基本类型(4)3．复合型防火墙•由于对更高安全性的要求，常把基于包过滤的方法与基于应用代理的方法结合起来，形成复合型防火墙产品。•复合型防火墙是综合包过滤和代理技术，具有先进的过滤和代理体系，能从数据链路层到应用层进行全方位的安全处理。华南理工大学计算机教学团队2812.3.4防火墙的优缺点（1）1．防火墙的优点(1)防火墙能强化安全策略•它执行站点的安全策略，仅仅容许“认可的”或符合规则的请求通过。(2)防火墙能有效地记录网络上的活动•作为访问的惟一点，防火墙能在被保护的网络和外部网络之间进行记录。(3)防火墙限制暴露用户点•防火墙能够用来隔开网络中的一个网段与另一个网段。(4)防火墙是一个安全策略的检查站•所有进出的信息都必须通过防火墙华南理工大学计算机教学团队2912.3.4防火墙的优缺点（2）2．防火墙的不足之处(1)不能防范恶意的知情者(2)不能防范不通过它的连接(3)不能防备全部的威胁•没有一个防火墙能自动防御所有新的威胁。(4)防火墙不能防范病毒华南理工大学计算机教学团队3012.4恶意软件华南理工大学计算机教学团队3112.4.1病毒及相关的威胁（1）1．恶意程序华南理工大学计算机教学团队图12.9恶意程序的分类3212.4.1病毒及相关的威胁（2）2．病毒的特性在其生命周期中，病毒一般会经历如下四个阶段：(1)潜伏阶段：这一阶段的病毒处于休眠状态，但是，并不是所有的病毒都会经历此阶段。(2)传染阶段(3)触发阶段(4)发作阶段：由病毒发作体现出来的破坏程度是不同的，有些是无害的，如在屏幕上显示一些干扰信息；有些则会给系统带来巨大的危害，如破坏程序以及删除文件。华南理工大学计算机教学团队3312.4.1病毒及相关的威胁（3）3．病毒的种类(1)寄生性病毒：将自身附着在可执行文件上并对自身进行复制。当受染文件被执行后，它会继续寻找其他的可执行文件并对其进行感染。(2)常驻存储器病毒：以常驻内存的程序形式寄居在主存储器上，这类病毒会感染所有类型的文件。(3)引导扇区病毒：感染主引导记录或引导记录，在系统从含有病毒的磁盘上引导装入程序时进行传播。(4)隐蔽性病毒：设计这种病毒的目的是为了躲避反病毒软件的检测。(5)多态性病毒：这种病毒在每次感染时，置入宿主程序的代码都不相同，因此采用特征代码法的检测工具是不能识别它们的。华南理工大学计算机教学团队3412.4.1病毒及相关的威胁（4）4．宏病毒（MacroViruses）•宏病毒利用了Word和其它办公软件的一个特点，即“宏”。宏是嵌入在Word文档或其它类似文档里的可执行程序代码。用户可以使用宏来自动完成某种重复任务，而不必重复敲击键盘。•特点：–(1)宏病毒不依赖于单一的平台。–(2)病毒只感染文档文件，不感染程序文件。–(3)宏病毒很容易传播。一个非常常见的方法就是通过电子邮件的形式进行传播。华南理工大学计算机教学团队3512.4.1病毒及相关的威胁（5）5.电子邮件病毒（E-mailViruses）•1999年末，曾出现一种破坏力极强的电子邮件病毒，用户根本不必打开邮件