信息安全技术-第8章-信息安全技术基础

第八章信息安全技术基础8.1信息安全问题概述8.2信息安全技术8.2.1加密与认证技术8.2.2防火墙技术8.2.3网络防攻击与入侵检测技术8.2.4文件备份与恢复技术8.2.5计算机病毒防范技术8.3网络道德及信息安全法规8.3.1网络道德8.3.2信息安全法规8.1信息安全概述计算机基础知识22020/4/78.1.1面临的安全威胁8.1.2信息安全的特征8.1.3信息安全的内容8.1.4信息安全的机制3在我们的生活中，经常可以听到下面的报道：XX网站受到黑客攻击XX计算机系统受到攻击，造成客户数据丢失目前又出现XX计算机病毒，已扩散到各大洲……网络安全的背景计算机网络在带给我们便利的同时已经体现出了它的脆弱性……8.1.1面临的安全威胁现代信息系统及网络通信系统面临的安全威胁截获中断篡改伪造8.1信息安全概述计算机基础知识42020/4/7截获篡改伪造中断被动攻击主动攻击目的站源站源站源站源站目的站目的站目的站对网络的被动攻击和主动攻击5截获总部下属机构黑客•信息泄密•信息被篡改Internet截获是指一个非授权方介入系统，使得信息在传输过程中泄露或被窃听，它破坏了信息的保密性。非授权方可以是一个人，也可以是一个程序。截获攻击主要包括：①利用电磁泄露或搭线窃听等方式可截获机密信息，通过对信息流向、流量、通信频度和长度等参数的分析，推测出有用信息，如用户口令、账号等。②文件或程序的不正当复制。中断•中断是使正在使用的信息系统毁坏或不能使用，即破坏了信息的可用性。中断攻击主要包括：①使合法用户不能访问网络的资源。②使有严格时间要求的服务不能及时得到响应。③物理破坏网络系统和设备组件使网络不可用，或者破坏网络结构使之瘫痪等。例如，硬盘等硬件的破坏、通信线路的切断、文件管理系统的瘫痪等。篡改•篡改是以非法手段窃得对信息的管理权，通过未授权的创建、修改、删除和重放等操作，使信息的完整性受到破坏。篡改攻击主要包括：①改变数据文件，如修改信件内容等。②改变程序，使之不能正确运行。伪造•非授权方将伪造的信息插入到信息中，破坏信息的真实性。例如，在网络中插入假信件，或者在文件中追加记录等。9网络安全面临的威胁物理风险系统风险信息风险应用风险其它风险网络的风险管理风险设备防盗，防毁链路老化人为破坏网络设备自身故障停电导致无法工作机房电磁辐射其他信息存储安全信息传输安全信息访问安全其他身份鉴别访问授权机密性完整性不可否认性可用性计算机病毒外部攻击内部破坏其他风险软件弱点是否存在管理方面的风险需有无制定相应的安全制度安全拓扑安全路由Internet8.1.2信息安全的特征可用性机密性真实性完整性可控性抗可否认性可存活性8.1信息安全概述计算机基础知识102020/4/78.1.3信息安全的内容实体安全运行安全数据安全管理安全一、实体安全问题①环境安全：信息设备大多属易碎品，不能受重压或强烈的震动，更不能受强力冲击，各种自然灾害（如地震、风暴等）对设备安全构成了严重的威胁。②设备安全：主要包括：设备的机能失常、电源故障和电磁泄漏。③媒体安全：主要是搭线窃听和电磁泄漏。实体安全策略8.1信息安全概述计算机基础知识112020/4/7实体安全策略实体安全策略的目的是保护计算机系统、网络服务器等硬件实体和通信线路免受自然灾害、人为破坏和搭线攻击，抑制和防止电磁泄漏，建立完备的安全管理制度。二、系统运行安全问题①操作系统安全：问题主要有：未进行系统相关安全配置、软件的漏洞和“后门”、协议的安全漏洞。②应用系统安全：涉及资源共享、电子邮件系统、病毒侵害等很多方面。8.1信息安全概述计算机基础知识122020/4/7系统运行安全策略运行安全策略主要涉及：访问控制策略、防黑客的恶意攻击、隔离控制策略、入侵检测和病毒防护。三、数据安全①数据安全需求：就是保证数据的真实性、机密性、完整性和抗否认性。②数据安全策略：最主要的数据安全策略就是采用数据加密技术、数字签名技术和身份认证技术。8.1信息安全概述计算机基础知识132020/4/7四、管理安全①安全管理问题：安全和管理是分不开的，即便有好的安全设备和系统，也应该有好的安全管理方法并贯彻实施。管理的缺陷可能造成系统内部人员泄露机密，也可能造成外部人员通过非法手段截获而导致机密信息的泄漏。②安全管理策略：确定安全管理等级和安全管理范围，制定有关操作使用规程和人员出入机房管理制度，制定网络系统的维护制度和应急措施等。8.1信息安全概述计算机基础知识142020/4/78.1.4信息安全的机制身份确认机制（收发信息者身份确认）访问控制机制（合法用户进行访问控制管理）数据加密机制（数据加密处理）病毒防范机制（增加防范病毒软件）信息监控机制（防止泄密）安全网关机制（防火墙）安全审计机制（定期检查）8.1信息安全概述计算机基础知识152020/4/78.2.1加密与认证技术对称密钥密码体系非对称密钥密码体系身份认证数字签名技术8.2信息安全技术计算机基础知识162020/4/717数据加密的概念数据加密模型密文网络信道明文明文三要素：信息明文、密钥、信息密文加密密钥信息窃取者解密密钥加密算法解密算法18数据加密的概念数据加密技术的概念数据加密(Encryption)是指将明文信息(Plaintext)采取数学方法进行函数转换成密文(Ciphertext)，只有特定接受方才能将其解密(Decryption)还原成明文的过程。明文(Plaintext)：加密前的原始信息；密文(Ciphertext)：明文被加密后的信息；密钥(Key)：控制加密算法和解密算法得以实现的关键信息，分为加密密钥和解密密钥；加密(Encryption)：将明文通过数学算法转换成密文的过程；解密(Decryption)：将密文还原成明文的过程。19数据加密技术原理对称密钥加密（保密密钥法）加密算法解密算法密钥网络信道明文明文密文加密密钥解密密钥两者相等20数据加密技术原理非对称密钥加密（公开密钥加密）加密算法解密算法公开密钥网络信道明文明文密文私有密钥公钥私钥公钥私钥不可相互推导不相等21数据加密技术原理混合加密系统对称密钥加密算法对称密钥解密算法对称密钥网络信道明文明文密文混合加密系统既能够安全地交换对称密钥，又能够克服非对称加密算法效率低的缺陷！非对称密钥加密算法非对称密钥解密算法对称密钥公开密钥私有密钥混合加密系统是对称密钥加密技术和非对称密钥加密技术的结合22身份鉴别技术IsthatAlice?Hi,thisisAlice.Pleasesendmedata.Internet身份鉴别技术的提出在开放的网络环境中，服务提供者需要通过身份鉴别技术判断提出服务申请的网络实体是否拥有其所声称的身份。23身份鉴别技术常用的身份鉴别技术基于用户名和密码的身份鉴别基于对称密钥密码体制的身份鉴别技术基于KDC（密钥分配中心）的身份鉴别技术基于非对称密钥密码体制的身份鉴别技术基于证书的身份鉴别技术24身份鉴别技术Yes.Ihaveausernamed“Alice”whosepasswordis“byebye”.Icansendhimdata.Hi,thisisAlice.MyUserIdis“Alice”,mypasswordis“byebye”.Pleasesendmedata.Internet基于用户名和密码的身份鉴别25身份鉴别技术ThisisBob.AreyouAlice?Hi,thisisAlice.AreyouBob?Internet基于对称密钥体制的身份鉴别A在这种技术中，鉴别双方共享一个对称密钥KAB，该对称密钥在鉴别之前已经协商好（不通过网络）。RBKAB(RB)RAKAB(RA)AliceBob①②③④⑤26身份鉴别技术ThisisBob.AreyouAlice?Hi,thisisAlice.AreyouBob?Internet基于KDC的身份鉴别技术基于KDC（KeyDistributionCenter，密钥分配中心）的身份鉴别技术克服了基于对称密钥的身份鉴别技术中的密钥管理的困难。在这种技术中，参与鉴别的实体只与KDC共享一个对称密钥，鉴别通过KDC来完成。KB(A,KS)AliceBob①②KDC27身份鉴别技术基于非对称密钥体制的身份鉴别在这种技术中，双方均用对方的公开密钥进行加密和传输。ThisisBob.AreyouAlice?Hi,thisisAlice.AreyouBob?InternetEPKB(A,RA)EPKA(RA,RB,KS)KS(RB)AliceBob①②③28身份鉴别技术基于证书的身份鉴别技术为解决非对称密钥身份鉴别技术中存在的“公开密钥真实性”的问题，可采用证书对实体的公开密钥的真实性进行保证。ThisisBob.AreyouAlice?Hi,thisisAlice.AreyouBob?InternetPKB(A,KS),CAPKA(B,KS)AliceBob①②29数据加密技术原理数字签名数字签名（digitalsignature）技术通过某种加密算法，在一条地址消息的尾部添加一个字符串，而收信人可以根据这个字符串验明发信人的身份，并可进行数据完整性检查。30数据加密技术原理数字签名的工作原理非对称加密算法非对称解密算法Alice的私有密钥网络信道合同Alice的公开密钥哈希算法标记标记-2合同哈希算法比较标记-1如果两标记相同，则符合上述确认要求。AliceBob假定Alice需要传送一份合同给Bob。Bob需要确认：合同的确是Alice发送的合同在传输途中未被修改31数据加密技术原理数字签名的作用唯一地确定签名人的身份；对签名后信件的内容是否又发生变化进行验证；发信人无法对信件的内容进行抵赖。当我们对签名人同公开密钥的对应关系产生疑问时，我们需要第三方颁证机构（CA:CertificateAuthorities）的帮助。8.2.2防火墙技术一、防火墙的主要功能①检查所有从外部网络进入内部网络的数据包。②检查所有从内部网络流出到外部网络的数据包。③执行安全策略，限制所有不符合安全策略要求的数据包通过。④具有防攻击能力，保证自身的安全性。二、防火墙的基本准则一切未被允许的就是禁止的一切未被禁止的就是允许的8.2信息安全技术计算机基础知识322020/4/733网络防火墙的基本概念•防火墙是一种高级访问控制设备，是在被保护网和外网之间执行访问控制策略的一种或一系列部件的组合，是不同网络安全域间通信流的通道，能根据企业有关安全政策控制(允许、拒绝、监视、记录)进出网络的访问行为。它是网络的第一道防线，也是当前防止网络系统被人恶意破坏的一个主要网络安全设备。它本质上是一种保护装置，在两个网之间构筑了一个保护层。所有进出此保护网的传播信息都必须经过此保护层，并在此接受检查和连接，只有授权的通信才允许通过，从而使被保护网和外部网在一定意义下隔离，图1网络拓扑图不可信的网络及服务器可信任的网络防火墙路由器InternetIntranet供外部访问的服务及资源可信任的用户不可信的用户DMZ三、防火墙的位置8.2信息安全技术计算机基础知识342020/4/7外部网络不可信赖的网络内部网络可信赖的网络防火墙35防火墙的主要技术•应用层代理技术•(ApplicationProxy)•包过滤技术•(PacketFiltering)•状态包过滤技术•(StatefulPacketFiltering)应用层表示层会话层传输层网络层数据链路层物理层防火墙的主要技术种类36包过滤技术包过滤技术的基本概念•包过滤技术指在网络中适当的位置对数据包有选择的通过，选择的依据是系统内设置的过滤规则，只有满足过滤规则的数据包才被转发到相应的网络接口，其余数据包则从数据流中删除。•包过滤一般由屏蔽路由器来完成。屏蔽路由器也称过滤路由器，是一种可以根据过滤规则对数据包进行阻塞和转发的路由器。•37•包过滤技术•包过滤技术是防火墙最常用的技术。对一个充满危险的网络，这种方法可以阻塞某些主机或网络连入内