电信和信息技术安全

电信和信息技术安全电信和信息技术安全关于电信安全的若干议题综述关于电信安全的若干议题综述关于电信安全的若干议题综述关于电信安全的若干议题综述及相关及相关及相关及相关ITU-T建议书应用简介建议书应用简介建议书应用简介建议书应用简介电信和信息技术安全国际电联2003版权所有。未经过国际电联事先书面许可，不得以任何形式复制其中任何部分。致致致致谢谢谢谢很多作者为编写本手册做出了贡献,他们或者参与制定了相关ITU-T建议书，或者参与了ITU-T研究组的会议、讲习班和研讨会。特别要归功于下列人员：LakshmiRaman女士贡献了第6.4节及第2章的部分文字，后一部分还经过了MessrsHerbBertine和RaoVasireddy审校；第3章威胁和风险的资料既来自ITU-T的工作，也来自[Shannon]的表述；第5章和第6.5节的文字基于[Wisekey]的一般资料和DavidChadwick教授的大力支持，尤其是对第6.5.2节Salford的E处方应用(以及[Policy]资料)的描述；第6.1节关于VoIP和ITU-TH.323系统的文字来源于[Packetizer]和[Euchner]，以及MartinEuchner先生的贡献；第6.2节文字来自于ITU-TJ.169，EricRosenfeld先生在第6.1.2节对其还作了述评；第6.3节文字基于ITU-TT.30和T.36中的资料。还要感谢众多不知名的审评人员。附件C中的资料来自回复ITU-T第17工作组安全调查问卷的不同ITU-T研究组的众多专家，附件B基于ITU-T课题10/17专家尤其是SándorMazgon先生维护的安全相关建议书纲要。电信和信息技术安全目录目录目录目录目录致谢目录........................................................................iii前言..........................................................................v概述概述概述概述........................................................................vii1手册范围..................................................................12基本安全体系结构和尺度....................................................12.1保密和数据机密性..........................................................22.2认证......................................................................22.3完整性....................................................................32.4不可否认..................................................................32.5X.805描述的其他尺度.......................................................33脆弱性、威胁和风险........................................................34安全框架的要求............................................................45X.509的PKI和特权管理.....................................................55.1秘密和公共密钥加密........................................................55.2公共密钥证书..............................................................75.3公共密钥基础设施..........................................................85.4特权管理基础设施..........................................................86应用.....................................................................106.1使用H.323系统的VoIP.....................................................106.1.1多媒体和VoIP中的安全问题......................................146.1.2VoIP安全是如何规定的..........................................166.2IP同轴电缆通信系统.......................................................186.2.1IP同轴电缆通信中的安全问题....................................196.2.2IP同轴电缆通信中的安全机制....................................196.3安全传真传送.............................................................226.3.1使用HKM和HFX的传真安全......................................236.3.2使用RSA的传真安全.............................................246.4网络管理应用.............................................................256.4.1网络管理体系结构...............................................256.4.2管理层面和基础设施层的交叉.....................................276.4.3管理层面和服务层的交叉.........................................276.4.4管理层面和应用层的交叉.........................................296.4.5通用安全管理服务...............................................306.5E处方...........................................................306.5.1E健康应用的PKI和PMI考虑....................................316.5.2Salford的E处方系统...........................................327结论...........................................................34电信和信息技术安全参考资料........................................................................35附件A:安全术语................................................................36A.1常用安全相关缩写词.......................................................36A.2常用安全相关定义.........................................................43A.3其他ITU-T术语和定义资料.................................................59附件B:ITU-T安全相关建议书分类目录.............................................60B.1本手册覆盖的安全方面....................................................60B.2本手册未覆盖的安全方面(可靠性和外部设备物理保护)........................76附件C:研究组和安全相关课题清单................................................80ITU-T安全构建模块..............................................................88电信和信息技术安全前言前前前前言言言言长期以来一直局限于银行、航空或军事应用等领域的数字安全的问题现在已逐渐变成人民群众每个人的事。数字安全问题日渐受到重视的现象可能受到电子邮件传播病毒或黑客窃取信用卡信息等新闻标题的影响。但这种影响并非问题的全部答案。随着计算和联网已如水和电一样成为日常生活的重要组成部分，数字安全不仅被专家们议论,还越来越多地被政府、公司和消费者谈论。此外，如果我们的商务活动和个人生活的众多方面越来越依赖计算机和网络，毫无疑问,人们会要求这些系统应该安全运行。同样,人们应该把安全作为一个深思熟虑的过程,应用于从系统设想和系统布署设计到制订系统的安装、运营及使用的政策和实际操作规程的全过程。在制定标准时，对安全的考虑必须始终是初始工作的一部分，而不应作为事后的补救措施–否则,系统的易受攻击的弱点就会由此产生。标准化委员会的角色就是认真听取那些市场及经验中已知的问题，尽可能地提供对它们的解决办法，颁布规范或指南,以帮助运用者和用户使各项通信系统和各种服务能够足够牢靠地运行和使用。多年来,国际电信联盟的标准化部门ITU-T一直积极参与电信和信息技术安全研究。但是，鉴于各种信息繁多,人们并不总是很容易弄清楚哪些已被研究,以及到哪里去找相关资料。本手册尝试将所有已知的信息综合在一起,以方便人们的检索。我向ITU电信标准化局的工程师们表示赞赏,他们在来自ITU成员的有关专家们的支持下完成了本手册的大部分章节,任务艰巨,成绩显著。本手册旨在为技术人员、中层管理人员以及负责制订和执行电信规则的相关人员提供一份指南,帮助他们实际运用安全功能。本手册通过几个应用实例，提供了对安全问题一些事项的解释,偏重强调ITU-T建议书是如何处理这些事项的。我相信,本手册将成为关注安全事项人士的有用指南,我们欢迎读者对本手册提出意见和建议,以便改进我们今后的版本的编辑。国际电信联盟电信标准化局主任赵厚麟赵厚麟赵厚麟赵厚麟2003年12月，日内瓦电信和信息技术安全电信和信息技术安全概要vii概概概概要要要要通信产业适应日了越来越全球化的商务环境的需要，在几乎所有的产业部门促进了生产率的提高，并成为促进全球沟通的桥梁。这一通信基础设施如此高效主要归因于ITU-T等标准化组织制定的标准。标准不仅保证了现有的网络高效而且为下一代网络打下了基础。但是，尽管标准在继续满足终端用户和产业的需要，随着开放界面和协议日益增长的使用、新角色的多元化、应用和平台的不断分化、未经充分测试的实现导致对网络恶意使用的机会不断增长。近年来，全球网络上都观察