信息系統(tǒng)安全培訓課件(共113頁).ppt

1、信息系統(tǒng)工程管理師信息系統(tǒng)平安第24章 信息平安系統(tǒng)和平安體系l24.1 信息平安系統(tǒng)三維空間需要時，授權實體可以訪問和使用的特性需要時，授權實體可以訪問和使用的特性指的是信息平安的指的是信息平安的15。 15A保密性保密性 B完整性完整性 C可用性可用性 D可靠性可靠性 l24.1 平安機制l 1、根底設施實體平安l 2、平臺平安l 3、數(shù)據(jù)平安l 4、通信平安l 5、應用平安l 6、運行平安l 7、管理平安l 8、授權和審計平安l 9、平安防范體系l平安效勞l 1、對等實體論證效勞l 2、數(shù)據(jù)保密效勞l 3、數(shù)據(jù)完整性效勞l 4、數(shù)據(jù)源點論證效勞l 5、禁止否認效勞l 6、犯罪證據(jù)提供效勞

2、l平安技術l 1、加密技術l 2、數(shù)據(jù)簽名技術l 3、訪問控制技術l 4、數(shù)據(jù)完整性技術l 5、認證技術l 6、數(shù)據(jù)挖掘技術 信息系統(tǒng)的平安貫穿于系統(tǒng)的全生命周期，為了其平安，必須從物理平安、技術平安和平安管理三方面入手，只有這三種平安一起實施，才能做到對信息系統(tǒng)的平安保護。其中的物理平安又包括環(huán)境平安、設施和設備平安以及介質(zhì)平安。 24.2 信息平安系統(tǒng)架構體系三種不同的系統(tǒng)架構：MIS+S、S-MIS S2-MIS業(yè)務應用系統(tǒng)根本不變硬件和系統(tǒng)軟件通用平安設備根本不帶密碼不使用PKI/CA技術應用系統(tǒng)S-MIS1、硬件和系統(tǒng)軟件通用2、PKI/CA平安保障系統(tǒng)必須帶密碼3、業(yè)務應用系統(tǒng)必須

3、根本改變4、主要的通用硬件、軟件也要通過PKI/CA論證應用系統(tǒng)S2-MISSuper Security-MIS1、硬件和系統(tǒng)軟件都是專用系統(tǒng)2、PKI/CA平安根底設施必須帶密碼3、業(yè)務應用系統(tǒng)必須根本改變4、主要硬件和軟件需要PKI/CA論證16不是超平安的信息平安保障系統(tǒng)不是超平安的信息平安保障系統(tǒng)S2-MIS的特點或要求。的特點或要求。 16A硬件和系統(tǒng)軟件通用硬件和系統(tǒng)軟件通用 BPKI/CA平安保障系統(tǒng)必須帶密碼平安保障系統(tǒng)必須帶密碼 C業(yè)務應用系統(tǒng)在實施過程中有重大變化業(yè)務應用系統(tǒng)在實施過程中有重大變化 D主要的硬件和系統(tǒng)軟件需要主要的硬件和系統(tǒng)軟件需要PKI/CA認證認證 ER

4、P為Enterprise Resource Planning的縮寫，中文的名稱是企業(yè)資源規(guī)劃。 CRM為Customer Relationship Management的縮寫，中文的名稱為客戶關系管理。 MRPII為Manufacturing Resource Planning的縮寫，中文名稱為制造資源方案。 24.3 信息平安系統(tǒng)支持背景信息平安保障系統(tǒng)的核心就是保證信息、數(shù)據(jù)的平安24.4 信息平安保障系統(tǒng)定義信息平安保障系統(tǒng)是一個在網(wǎng)絡上，集成各種硬件、軟件和密碼設備，以保障其他業(yè)務應用信息系統(tǒng)正常運行的專用的信息應用系統(tǒng)，以及與之相關的崗位、人員、策略、制度和規(guī)程的總和。 信息平安從社

5、會層面來看，反映在信息平安從社會層面來看，反映在(17)這三個方面。這三個方面。 17A網(wǎng)絡空間的冪結構規(guī)律、自主參與規(guī)律和沖突規(guī)律網(wǎng)絡空間的冪結構規(guī)律、自主參與規(guī)律和沖突規(guī)律 B物理平安、數(shù)據(jù)平安和內(nèi)容平安物理平安、數(shù)據(jù)平安和內(nèi)容平安 C網(wǎng)絡空間中的輿論文化、社會行為和技術環(huán)境網(wǎng)絡空間中的輿論文化、社會行為和技術環(huán)境 D機密性、完整性、可用性機密性、完整性、可用性 第25章 信息系統(tǒng)平安風險評估25.1 信息平安與平安風險 如何建設信息平安保障系統(tǒng)對現(xiàn)有系統(tǒng)進行風險分析、識別、評估，并為之制定防范措施。25.2 平安風險識別平安威脅也叫平安風險，風險是指特定的威脅或因單位資產(chǎn)的脆弱性而導致單

6、位資產(chǎn)損失或傷害的可能性。三方面含義：1、對信息或資產(chǎn)產(chǎn)生影響2、威脅的發(fā)生會對資產(chǎn)產(chǎn)生影響3、威脅具有發(fā)生的可能性概率25.2.1 分類：按性質(zhì)劃分：靜態(tài)、動態(tài)按結果劃分：純粹風險、投機風險按風險源劃分：自事件風險、人為事件風險、軟件風險、軟件過程風險、工程管理風險、應用風險、用戶使用風險平安威脅的對象及資產(chǎn)評估鑒定1、平安威脅的對象資產(chǎn)評估鑒定的目的是區(qū)別對待，分等級保護資產(chǎn)評估鑒定分級：1、可忽略級別2、較低級3、中等級4、較高級5、非常高資產(chǎn)之間的相關性在進行資產(chǎn)評估時必須加以考慮 資產(chǎn)評估的結果是列出所有被評估的資產(chǎn)清單，包括資產(chǎn)在保密性、可用性、完整性方面的價值極其重要性25.2.

7、3 信息系統(tǒng)平安薄弱環(huán)節(jié)鑒定評估1、威脅、脆弱性、影響這三者之間存在的對應關系，威脅是系統(tǒng)外部對系統(tǒng)產(chǎn)生的作用，而導致系統(tǒng)功能及目標受阻的所有現(xiàn)象，而脆弱性是系統(tǒng)內(nèi)部的薄弱點，威脅可以利用系統(tǒng)的脆弱性發(fā)揮作用，系統(tǒng)風險可以看做是威脅利用了脆弱性而引起的。影響可以看做是威脅與脆弱性的特殊組合：25.3 風險識別與風險評估方法風險識別方法25.3 風險評估方法：定量評估法：將某一項具體的風險劃分成了一些等級將不同的平安事件用與其相關的平安資產(chǎn)價值及其發(fā)生的概率來進行比較和等級排序關注意外事故造成的影響，并由此決定哪些系統(tǒng)應該給予較高的優(yōu)先級。012123234確定某一資產(chǎn)或系統(tǒng)的平安風險是否在可以

8、接受的范圍內(nèi)第26章 平安策略26.1 建立平安策略 概念：人們?yōu)榱吮Ｗo因為使用計算機信息應用系統(tǒng)可能招致的對單位資產(chǎn)造成損失而進行保護的各種措施、手段，以及建立的各種管理制度、法規(guī)等。 平安策略的歸宿點就是單位的資產(chǎn)得到有效保護。風險度的概念：適度平安的觀點木桶效應觀點等級保護26.3 設計原那么26.4 系統(tǒng)平安方案與平安方案有關的系統(tǒng)組成要素制定平安方案要點：26.5 系統(tǒng)平安策略主要內(nèi)容主要內(nèi)容：第27章 信息平安技術根底27.1 密碼技術密碼技術是信息平安的根本，是建立“平安空間“論證、權限、完整、加密和不可否認“5大要素不可或缺的基石27.1.2 對稱與不對稱加密DES算法 美國國

9、家標準局1973年開始研究除國防部外的其它部門的計算機系統(tǒng)的數(shù)據(jù)加密標準，于1973年5月15日和1974年8月27日先后兩次向公眾發(fā)出了征求加密算法的公告。加密算法要到達的目的通常稱為DES 密碼算法要求主要為以下四點： 1、提供高質(zhì)量的數(shù)據(jù)保護，防止數(shù)據(jù)未經(jīng)授權的泄露和未被覺察的修改；2、具有相當高的復雜性，使得破譯的開銷超過可能獲得的利益，同時又要便于理解和掌握；3、DES密碼體制的平安性應該不依賴于算法的保密，其平安性僅以加密密鑰的保密為根底；4、實現(xiàn)經(jīng)濟，運行有效，并且適用于多種完全不同的應用。 1977年1月，美國政府公布：采納IBM公司設計的方案作為非機密數(shù)據(jù)的正式數(shù)據(jù)加密標準(

10、DES：Data Encryption Standard)。3DES算法 在1977年，人們估計要耗資兩千萬美元才能建成一個專門計算機用于DES的解密，而且需要12個小時的破解才能得到結果。所以，當時DES被認為是一種十分強壯的加密方法。 但是，當今的計算機速度越來越快了，制造一臺這樣特殊的機器的花費已經(jīng)降到了十萬美元左右，所以用它來保護十億美元的銀行間線纜時，就會仔細考慮了。另一個方面，如果只用它來保護一臺效勞器，那么DES確實是一種好的方法，因為黑客絕不會僅僅為入侵一個效勞器而花那么多的錢破解DES密文。由于現(xiàn)在已經(jīng)能用二十萬美圓制造一臺破譯DES的特殊的計算機，所以現(xiàn)在再對要求“強壯加密

11、的場合已經(jīng)不再適用了。 因為確定一種新的加密法是否真的平安是極為困難的，而且DES的唯一密碼學缺點，就是密鑰長度相比照較短，所以人們并沒有放棄使用DES，而是想出了一個解決其長度問題的方法，即采用三重DES。這種方法用兩個密鑰對明文進行三次加密，假設兩個密鑰是K1和K2，其算法的步驟如下： 1. 用密鑰K1進行DES加密。2. 用K2對步驟1的結果進行DES解密。3. 用步驟2的結果使用密鑰K1進行DES加密。 這種方法的缺點，是要花費原來三倍時間，從另一方面來看，三重DES的1122倍DES密鑰長度位密鑰長度是很“強壯的加密方式了。 主要的公鑰算法有：RSA、DSA、DH和ECC。1、DH算

12、法是W.Diffie和M.Hellman提出的。此算法是最早的公鑰算法。它實質(zhì)是一個通信雙方進行密鑰協(xié)定的協(xié)議：兩個實體中的任何一個使用自己的私鑰和另一實體的公鑰，得到一個對稱密鑰，這一對稱密鑰其它實體都計算不出來。DH算法的平安性基于有限域上計算離散對數(shù)的困難性。離散對數(shù)的研究現(xiàn)狀說明：所使用的DH密鑰至少需要1024位，才能保證有足夠的中、長期平安。 首先，發(fā)送方和接收方設置相同的大素數(shù)首先，發(fā)送方和接收方設置相同的大素數(shù)n和和g，這兩個數(shù)不是保密的，他，這兩個數(shù)不是保密的，他們可以通過非平安通道來協(xié)商這兩個素數(shù)；們可以通過非平安通道來協(xié)商這兩個素數(shù)；接著，他們用下面的方法協(xié)商密鑰：接著，

13、他們用下面的方法協(xié)商密鑰：發(fā)送方選擇一個大隨機整數(shù)發(fā)送方選擇一個大隨機整數(shù)x，計算，計算X= gx mod n ，發(fā)送，發(fā)送X給接收者；給接收者；接收方選擇一個大隨機整數(shù)接收方選擇一個大隨機整數(shù)y，計算，計算Y = gy mod n ，發(fā)送，發(fā)送Y給發(fā)送方；給發(fā)送方；雙方計算密鑰：發(fā)送方密鑰為雙方計算密鑰：發(fā)送方密鑰為k1=Yx mod n，接收方密鑰為，接收方密鑰為k2=Xy mod n。其中其中k1=k2=g(xy) mod n。2RSA算法當前最著名、應用最廣泛的公鑰系統(tǒng)RSA是在1978年，由美國麻省理工學院(MIT)的Rivest、Shamir和Adleman在題為?獲得數(shù)字簽名和公

14、開鑰密碼系統(tǒng)的方法?的論文中提出的。它是一個基于數(shù)論的非對稱(公開鑰)密碼體制，是一種分組密碼體制。其名稱來自于三個創(chuàng)造者的姓名首字母。 它的平安性是基于大整數(shù)素因子分解的困難性，而大整數(shù)因子分解問題是數(shù)學上的著名難題，至今沒有有效的方法予以解決，因此可以確保RSA算法的平安性。RSA系統(tǒng)是公鑰系統(tǒng)的最具有典型意義的方法，大多數(shù)使用公鑰密碼進行加密和數(shù)字簽名的產(chǎn)品和標準使用的都是RSA算法。 RSA算法是第一個既能用于數(shù)據(jù)加密也能用于數(shù)字簽名的算法，因算法是第一個既能用于數(shù)據(jù)加密也能用于數(shù)字簽名的算法，因此它為公用網(wǎng)絡上信息的加密和鑒別提供了一種根本的方法。此它為公用網(wǎng)絡上信息的加密和鑒別提供

15、了一種根本的方法。它通常是先生成一對它通常是先生成一對RSA 密鑰，其中之一是保密密鑰，由用戶保存；密鑰，其中之一是保密密鑰，由用戶保存；另一個為公開密鑰，可對外公開，甚至可在網(wǎng)絡效勞器中注冊，人們用另一個為公開密鑰，可對外公開，甚至可在網(wǎng)絡效勞器中注冊，人們用公鑰加密文件發(fā)送給個人，個人就可以用私鑰解密接受。為提高保密強公鑰加密文件發(fā)送給個人，個人就可以用私鑰解密接受。為提高保密強度，度，RSA密鑰至少為密鑰至少為500位長，一般推薦使用位長，一般推薦使用1024位。位。 RSA算法的平安性基于數(shù)論中大素數(shù)分解的困難性，所以，算法的平安性基于數(shù)論中大素數(shù)分解的困難性，所以，RSA需采用足夠需

16、采用足夠大的整數(shù)。因子分解越困難，密碼就越難以破譯，加密強度就越高。大的整數(shù)。因子分解越困難，密碼就越難以破譯，加密強度就越高。 RSA算法如下：算法如下：1、找出三個大數(shù)、找出三個大數(shù), p, q, r, 其中其中 p, q 是兩個相異的質(zhì)數(shù)是兩個相異的質(zhì)數(shù), r 是與是與 (p-1)(q-1) 互質(zhì)的數(shù)互質(zhì)的數(shù)p, q, r 這三個數(shù)便是這三個數(shù)便是 private key 2、找出、找出 m，使得，使得 rm = 1 mod (p-1)(q-1)這個這個 m 一定存在一定存在, 因為因為 r 與與 (p-1)(q-1) 互質(zhì)，用輾轉相除法就可以得到了互質(zhì)，用輾轉相除法就可以得到了3、再來

17、、再來, 計算計算 n = pqm, n 這兩個數(shù)便是這兩個數(shù)便是 public key 加密過程是：加密過程是：假設明文資料為假設明文資料為 a，將其看成是一個大整數(shù)，假設，將其看成是一個大整數(shù)，假設 a = n 的話，就將的話，就將 a 表成表成 s 進位進位 (s = n, 通常取通常取 s = 2t)，那么每一位數(shù)均小于那么每一位數(shù)均小于 n, 然後分段加密然後分段加密接下來接下來, 計算計算 b = am mod n, (0 = b n)b 就是加密後的資料就是加密後的資料解碼的過程是：解碼的過程是： 計算計算 c = br mod pq (0 = c pq) 可以證明可以證明 c

18、和和 a 其實是相等的其實是相等的 (3) 橢圓曲線密碼體制橢圓曲線密碼體制(ECC) 1985年，年，N. Koblitz和和V. Miller分別獨立提出了橢圓曲線密碼體制分別獨立提出了橢圓曲線密碼體制(ECC)，其依據(jù)就是定義在橢圓曲線點群上的離散對數(shù)問題的難解性。，其依據(jù)就是定義在橢圓曲線點群上的離散對數(shù)問題的難解性。 為了用橢圓曲線構造密碼系統(tǒng)，首先需要找到一個單向陷門函數(shù)，橢圓曲為了用橢圓曲線構造密碼系統(tǒng)，首先需要找到一個單向陷門函數(shù)，橢圓曲線上的數(shù)量乘就是這樣的單向陷門函數(shù)。線上的數(shù)量乘就是這樣的單向陷門函數(shù)。橢圓曲線的數(shù)量乘是這樣定義的：設橢圓曲線的數(shù)量乘是這樣定義的：設E為域

19、為域K上的橢圓曲線，上的橢圓曲線，G為為E上的一上的一點，這個點被一個正整數(shù)點，這個點被一個正整數(shù)k相乘的乘法定義為相乘的乘法定義為 k個個G相加，因而有相加，因而有kG = G + G + + G (共有共有k個個G)假設存在橢圓曲線上的另一點假設存在橢圓曲線上的另一點N G，滿足方程，滿足方程kG = N。容易看出，給。容易看出，給定定k和和G，計算，計算N相對容易。而給定相對容易。而給定N和和G，計算，計算k = logG N相對困難。這相對困難。這就是橢圓曲線離散對數(shù)問題。就是橢圓曲線離散對數(shù)問題。 離散對數(shù)求解是非常困難的。橢圓曲線離散對數(shù)問題比有限域上的離離散對數(shù)求解是非常困難的。

20、橢圓曲線離散對數(shù)問題比有限域上的離散對數(shù)問題更難求解。對于有理點數(shù)有大素數(shù)因子的橢圓離散對數(shù)問題，散對數(shù)問題更難求解。對于有理點數(shù)有大素數(shù)因子的橢圓離散對數(shù)問題，目前還沒有有效的攻擊方法。目前還沒有有效的攻擊方法。 27.1.3 哈希算法-摘要算法 摘要算法是一種能產(chǎn)生特殊輸出格式的算法，這種算法的特點是：無論用戶摘要算法是一種能產(chǎn)生特殊輸出格式的算法，這種算法的特點是：無論用戶輸入什么長度的原始數(shù)據(jù)，經(jīng)過計算后輸出的密文都是固定長度的，這種算法的輸入什么長度的原始數(shù)據(jù)，經(jīng)過計算后輸出的密文都是固定長度的，這種算法的原理是根據(jù)一定的運算規(guī)那么對原數(shù)據(jù)進行某種形式的提取，這種提取就是摘要，原理是

21、根據(jù)一定的運算規(guī)那么對原數(shù)據(jù)進行某種形式的提取，這種提取就是摘要，被摘要的數(shù)據(jù)內(nèi)容與原數(shù)據(jù)有密切聯(lián)系，只要原數(shù)據(jù)稍有改變，輸出的被摘要的數(shù)據(jù)內(nèi)容與原數(shù)據(jù)有密切聯(lián)系，只要原數(shù)據(jù)稍有改變，輸出的“摘要摘要便完全不同，因此，基于這種原理的算法便能對數(shù)據(jù)完整性提供較為健全的保障。便完全不同，因此，基于這種原理的算法便能對數(shù)據(jù)完整性提供較為健全的保障。但是，由于輸出的密文是提取原數(shù)據(jù)經(jīng)過處理的定長值，所以它已經(jīng)不能復原為但是，由于輸出的密文是提取原數(shù)據(jù)經(jīng)過處理的定長值，所以它已經(jīng)不能復原為原數(shù)據(jù)，即消息摘要算法是不可逆的，理論上無法通過反向運算取得原數(shù)據(jù)內(nèi)容，原數(shù)據(jù)，即消息摘要算法是不可逆的，理論上無法

22、通過反向運算取得原數(shù)據(jù)內(nèi)容，因此它通常只能被用來做數(shù)據(jù)完整性驗證。因此它通常只能被用來做數(shù)據(jù)完整性驗證。 如今常用的如今常用的“消息摘要算法經(jīng)歷了多年驗證開展而保存下來的算法已經(jīng)不多，消息摘要算法經(jīng)歷了多年驗證開展而保存下來的算法已經(jīng)不多，這其中包括這其中包括MD2、MD4、MD5、SHA、SHA-1/256/383/512等。等。常用的摘要算法主要有常用的摘要算法主要有MD5和和SHA1。MD5的輸出結果為的輸出結果為16字節(jié)，字節(jié)，sha1的輸出的輸出結果為結果為20字節(jié)。字節(jié)。 數(shù)字簽名與驗證27.1.6 數(shù)字時間戳27.1.7 利用非對稱密鑰傳輸對稱加密密鑰27.1.8 國家密碼和平安

23、產(chǎn)品管理27.2 虛擬專用 網(wǎng)和虛擬本地網(wǎng)VPN即虛擬專用網(wǎng)(Virtal Private Network)，是一條穿過混亂的公用網(wǎng)絡的平安、穩(wěn)定的隧道。通過對網(wǎng)絡數(shù)據(jù)的封包和加密傳輸，在一個公用網(wǎng)絡通常是因特網(wǎng)建立一個臨時的、平安的連接，從而實現(xiàn)在公網(wǎng)上傳輸私有數(shù)據(jù)、到達私有網(wǎng)絡的平安級別，如果接入方式為撥號方式，那么稱之為VPDN。通常，VPN是對企業(yè)內(nèi)部網(wǎng)的擴展，通過它可以幫助遠程用戶、公司分支機構、商業(yè)伙伴及供給商同公司的內(nèi)部網(wǎng)建立可信的平安連接，并保證數(shù)據(jù)的平安傳輸。VPN可用于不斷增長的移動用戶的全球因特網(wǎng)接入，以實現(xiàn)平安連接；可用于實現(xiàn)企業(yè)網(wǎng)站之間平安通信的虛擬專用線路，用于經(jīng)濟

24、有效地連接到商業(yè)伙伴和用戶的平安外聯(lián)網(wǎng)虛擬專用網(wǎng)。 SSL是一種國際標準的加密及身份認證通信協(xié)議，您用的瀏覽器就支持此協(xié)是一種國際標準的加密及身份認證通信協(xié)議，您用的瀏覽器就支持此協(xié)議。議。SSLSecure Sockets Layer最初是由美國最初是由美國Netscape公司研究出來的，公司研究出來的，后來成為了后來成為了Internet網(wǎng)上平安通訊與交易的標準。網(wǎng)上平安通訊與交易的標準。SSL協(xié)議使用通訊雙方的客協(xié)議使用通訊雙方的客戶證書以及戶證書以及CA根證書，允許客戶根證書，允許客戶/效勞器應用以一種不能被偷聽的方式通訊，效勞器應用以一種不能被偷聽的方式通訊，在通訊雙方間建立起了一條

25、平安的、可信任的通訊通道。它具備以下根本特征：在通訊雙方間建立起了一條平安的、可信任的通訊通道。它具備以下根本特征：信息保密性、信息完整性、相互鑒定。信息保密性、信息完整性、相互鑒定。 主要用于提高應用程序之間數(shù)據(jù)的平安主要用于提高應用程序之間數(shù)據(jù)的平安系數(shù)。系數(shù)。SSL協(xié)議的整個概念可以被總結為：一個保證任何安裝了平安套接字的協(xié)議的整個概念可以被總結為：一個保證任何安裝了平安套接字的客戶和效勞器間事務平安的協(xié)議，它涉及所有客戶和效勞器間事務平安的協(xié)議，它涉及所有TC/IP應用程序。應用程序。 openssl是一個功能豐富且自包含的開源平安工具箱。它提供的主要功能有：是一個功能豐富且自包含的開

26、源平安工具箱。它提供的主要功能有：SSL協(xié)議實現(xiàn)協(xié)議實現(xiàn)(包括包括SSLv2、SSLv3和和TLSv1)、大量軟算法、大量軟算法(對稱對稱/非對稱非對稱/摘摘要要)、大數(shù)運算、非對稱算法密鑰生成、大數(shù)運算、非對稱算法密鑰生成、ASN.1編解碼庫、證書請求編解碼庫、證書請求(PKCS10)編解碼、數(shù)字證書編解碼、編解碼、數(shù)字證書編解碼、CRL編解碼、編解碼、OCSP協(xié)議、數(shù)字證書驗證、協(xié)議、數(shù)字證書驗證、PKCS7標準實現(xiàn)和標準實現(xiàn)和PKCS12個人數(shù)字證書格式實現(xiàn)等功能。個人數(shù)字證書格式實現(xiàn)等功能。openssl采用采用C語言作為開發(fā)語言，這使得它具有優(yōu)秀的跨平臺性能。語言作為開發(fā)語言，這使得

27、它具有優(yōu)秀的跨平臺性能。openssl支持支持Linux、UNIX、windows、Mac等平臺。等平臺。openssl目前最新的版本是目前最新的版本是0.9.8e. 27.3 無線平安網(wǎng)絡WLAN第28章 PKI公鑰根底設施28.1 平安平安5要素要素 28.2 PKI根本概念根本概念 為了保證Internet的平安問題，世界各國對其進行了多年的研究,初步形成了一套完整的Internet平安解決方案，即目前被廣泛采用的PKI技術(Public Key Infrastructure 公鑰根底設施),PKI(公鑰根底設施)技術采用證書管理公鑰，通過第三方的可信任機構認證中心CA(Certific

28、ate Authority)，把用戶的公鑰和用戶的其它標識信息(如名稱、e-mail、身份證號等)捆綁在一起，在Internet網(wǎng)上驗證用戶的身份。目前,通用的方法是采用建立在PKI根底之上的數(shù)字證書，通過把要傳輸?shù)臄?shù)字信息進行加密和簽名，保證信息傳輸?shù)臋C密性、真實性、完整性和不可否認性，從而保證信息的平安傳輸。PKI特點PKI作為一般通用性的平安根底設施，必須具備如下主要特點：作為一般通用性的平安根底設施，必須具備如下主要特點：1、節(jié)省費用：在一個大型組織中，實施統(tǒng)一的平安解決方案，比起實施多個有、節(jié)省費用：在一個大型組織中，實施統(tǒng)一的平安解決方案，比起實施多個有限的解決方案，費用要節(jié)省得多

29、。分散的方案集成困難，新增接入代價大，實施、限的解決方案，費用要節(jié)省得多。分散的方案集成困難，新增接入代價大，實施、維護、運營多個點對點的解決方案與單一的根本方案比，開銷要高很多。維護、運營多個點對點的解決方案與單一的根本方案比，開銷要高很多。2、互操作性：統(tǒng)一的根底設施要比分散多個解決方案具有更高的互操作性，統(tǒng)、互操作性：統(tǒng)一的根底設施要比分散多個解決方案具有更高的互操作性，統(tǒng)一平安根底設施平臺，開發(fā)方案等標準化，更具互操作性，而分散的解決方案可一平安根底設施平臺，開發(fā)方案等標準化，更具互操作性，而分散的解決方案可能采用互不兼容的操作流程和工具平臺。能采用互不兼容的操作流程和工具平臺。3、開

30、放性：任何技術的早期設計，都希望將來能和其它企業(yè)間實現(xiàn)互操作。一、開放性：任何技術的早期設計，都希望將來能和其它企業(yè)間實現(xiàn)互操作。一個基于開放的、國際標準公認的根底設施技術比一個專有的點對點的技術方案更個基于開放的、國際標準公認的根底設施技術比一個專有的點對點的技術方案更可信和方便。點對點的技術方案不能處理多域間的復雜性，不具有開放性?？尚藕头奖?。點對點的技術方案不能處理多域間的復雜性，不具有開放性。4、一致性：平安根底設施為所有的應用程序和設備提供了可靠的、一致的解決、一致性：平安根底設施為所有的應用程序和設備提供了可靠的、一致的解決方案。與一系列互不兼容的解決方案比，這種一致性的解決方案在

31、一個企業(yè)內(nèi)更方案。與一系列互不兼容的解決方案比，這種一致性的解決方案在一個企業(yè)內(nèi)更易于安裝、管理和維護。易于安裝、管理和維護。5、可驗證性：平安根底設施為各種應用系統(tǒng)和設備之間的交互提供了可能，因、可驗證性：平安根底設施為各種應用系統(tǒng)和設備之間的交互提供了可能，因為，所有的交互采用統(tǒng)一的處理方式。也就是說，根底設施的操作和交互可以被為，所有的交互采用統(tǒng)一的處理方式。也就是說，根底設施的操作和交互可以被驗證是否正確，這個獨立的、可信任的驗證機構就是認證機構驗證是否正確，這個獨立的、可信任的驗證機構就是認證機構CA。在獨立的點對。在獨立的點對點解決方案之間，平安性很難得到保證，因為即使每一個解決方

32、案都經(jīng)過嚴格測點解決方案之間，平安性很難得到保證，因為即使每一個解決方案都經(jīng)過嚴格測試，但方案間的交互很難進行大規(guī)模的、全面測試。試，但方案間的交互很難進行大規(guī)模的、全面測試。6、可選擇性：公鑰根底設施會建立許多被授權的提供者，根底設施提供者可以、可選擇性：公鑰根底設施會建立許多被授權的提供者，根底設施提供者可以是一個企業(yè)內(nèi)部的特設機構，更主要的是經(jīng)論證的第三方機構。使用者可以根據(jù)是一個企業(yè)內(nèi)部的特設機構，更主要的是經(jīng)論證的第三方機構。使用者可以根據(jù)這些機構的專業(yè)技術水平、價格、效勞功能等因素，自由選擇，這和其它根底設這些機構的專業(yè)技術水平、價格、效勞功能等因素，自由選擇，這和其它根底設施一樣

33、，比方我們接入寬帶可以選擇不通的接入效勞商。施一樣，比方我們接入寬帶可以選擇不通的接入效勞商。 國家公共國家公共PKI體系信任模型體系信任模型 國家公共國家公共PKI體系采用網(wǎng)狀信任模型，由體系采用網(wǎng)狀信任模型，由 國家橋中心國家橋中心NBCA、地、地區(qū)橋中心區(qū)橋中心LBCA、公眾效勞認證中心、公眾效勞認證中心SCA和注冊機構組成。和注冊機構組成。國家橋中心國家橋中心NBCA是溝通各地方、各行業(yè)是溝通各地方、各行業(yè) 建立的建立的CA認證中心的橋梁，它認證中心的橋梁，它只與只與CA進進 行交叉認證，不向最終用戶發(fā)放證書；行交叉認證，不向最終用戶發(fā)放證書； 地區(qū)橋中心地區(qū)橋中心LBCA功能與功能與

34、NBCA類似，但它是自發(fā)組織的機構，代表一批類似，但它是自發(fā)組織的機構，代表一批CA與與NBCA 交叉認證；交叉認證；國家公共國家公共PKI體系示意圖體系示意圖CA總體結構為實現(xiàn)相關效勞所需要硬件體系結構和軟件系統(tǒng)功能 DMZ是英文是英文“demilitarized zone的縮寫，中文名稱為的縮寫，中文名稱為“隔離區(qū)，也稱隔離區(qū)，也稱“非軍非軍事化區(qū)。它是為了解決安裝防火墻后外部網(wǎng)絡不能訪問內(nèi)部網(wǎng)絡效勞器的問題，事化區(qū)。它是為了解決安裝防火墻后外部網(wǎng)絡不能訪問內(nèi)部網(wǎng)絡效勞器的問題，而設立的一個非平安系統(tǒng)與平安系統(tǒng)之間的緩沖區(qū)，這個緩沖區(qū)位于企業(yè)內(nèi)部網(wǎng)而設立的一個非平安系統(tǒng)與平安系統(tǒng)之間的緩沖

35、區(qū)，這個緩沖區(qū)位于企業(yè)內(nèi)部網(wǎng)絡和外部網(wǎng)絡之間的小網(wǎng)絡區(qū)域內(nèi)，在這個小網(wǎng)絡區(qū)域內(nèi)可以放置一些必須公開絡和外部網(wǎng)絡之間的小網(wǎng)絡區(qū)域內(nèi)，在這個小網(wǎng)絡區(qū)域內(nèi)可以放置一些必須公開的效勞器設施，如企業(yè)的效勞器設施，如企業(yè)Web效勞器、效勞器、FTP效勞器和論壇等。另一方面，通過這樣效勞器和論壇等。另一方面，通過這樣一個一個DMZ區(qū)域，更加有效地保護了內(nèi)部網(wǎng)絡，因為這種網(wǎng)絡部署，比起一般的防區(qū)域，更加有效地保護了內(nèi)部網(wǎng)絡，因為這種網(wǎng)絡部署，比起一般的防火墻方案，對攻擊者來說又多了一道關卡?；饓Ψ桨?，對攻擊者來說又多了一道關卡。 防火墻把網(wǎng)絡劃分為幾個不同的區(qū)域，一般把對外提供網(wǎng)絡效勞的設備如WWW效勞器、F

36、TP效勞器放置于4 區(qū)域。4A.信任網(wǎng)絡B.非信任網(wǎng)絡C.半信任網(wǎng)絡D. DMZ非軍事化區(qū) 一個標準的一個標準的X.509數(shù)字證書包含以下一些內(nèi)容：數(shù)字證書包含以下一些內(nèi)容： 1、版本號、版本號標識證書的版本版本標識證書的版本版本1、版本、版本2或是版本或是版本3。2、序列號、序列號由證書頒發(fā)者分配的本證書的唯一標識符。由證書頒發(fā)者分配的本證書的唯一標識符。3、簽名、簽名 簽名算法標識符，由對象標識符加上相關的參數(shù)組成，用于說明本證書簽名算法標識符，由對象標識符加上相關的參數(shù)組成，用于說明本證書所用的數(shù)字簽名算法。例如，所用的數(shù)字簽名算法。例如，SHA-1和和RSA的對象標識符的對象標識符 就

37、用來說明該數(shù)字簽名是就用來說明該數(shù)字簽名是利用利用RSA對對SHA-1雜湊加密。雜湊加密。4、頒發(fā)者、頒發(fā)者證書頒發(fā)者的可識別名證書頒發(fā)者的可識別名DN，這是必須說明。，這是必須說明。5、有效期、有效期證書有效期的時間段。本字段由證書有效期的時間段。本字段由Not Before和和Not After兩項兩項組成，它們分別由組成，它們分別由UTC時間或一般的時間表示在時間或一般的時間表示在RFC2459中有詳細的時間表示規(guī)中有詳細的時間表示規(guī)那么。那么。6、主體、主體 證書擁有者的可識別名，這個字段必須是非空的，除非你在證書擴展中證書擁有者的可識別名，這個字段必須是非空的，除非你在證書擴展中有別

38、名。有別名。7、主體公鑰信息、主體公鑰信息主體的公鑰以及算法標識符，這一項必須說明。主體的公鑰以及算法標識符，這一項必須說明。8、頒發(fā)者唯一標識符、頒發(fā)者唯一標識符證書頒發(fā)者的唯一標識符，僅在版本證書頒發(fā)者的唯一標識符，僅在版本2和版本和版本3中有要求，中有要求，屬于可選項。屬于可選項。9、主體唯、主體唯 一標識符一標識符證書擁有者的唯一標識符，僅在版本證書擁有者的唯一標識符，僅在版本2和版本和版本3中有要求，屬中有要求，屬于可選項。于可選項。10、擴展、擴展 可選的標準和專用的擴展僅在版本可選的標準和專用的擴展僅在版本2和版本和版本3中使用中使用 在在X 509標準中，數(shù)字證書一般不包含標準

39、中，數(shù)字證書一般不包含18 18A版本號版本號 B序列號序列號 C有效期有效期 D密鑰密鑰 28.3 數(shù)字證書的生命周期數(shù)字證書映射數(shù)字證書映射28.4 X.509信任模型28.6 CA應用第29章 PMI權限管理根底設施Source of attribute authority第30章 信息平安審計功能：30.2 平安審計系統(tǒng)建設1、利用入侵監(jiān)測預警系統(tǒng)實現(xiàn)網(wǎng)絡與主機信息監(jiān)測審計、利用入侵監(jiān)測預警系統(tǒng)實現(xiàn)網(wǎng)絡與主機信息監(jiān)測審計2、對重要應用系統(tǒng)運行情況的審計、對重要應用系統(tǒng)運行情況的審計3、基于網(wǎng)絡旁路監(jiān)控方式、基于網(wǎng)絡旁路監(jiān)控方式平安審計是保障計算機系統(tǒng)平安的重要手段之一，其作用不包括平安

40、審計是保障計算機系統(tǒng)平安的重要手段之一，其作用不包括1。1A. 檢測對系統(tǒng)的入侵檢測對系統(tǒng)的入侵 B. 發(fā)現(xiàn)計算機的濫用情況發(fā)現(xiàn)計算機的濫用情況 C. 發(fā)現(xiàn)系統(tǒng)入侵行為和潛在的漏洞發(fā)現(xiàn)系統(tǒng)入侵行為和潛在的漏洞 D. 保證可信網(wǎng)絡內(nèi)部信息不外泄保證可信網(wǎng)絡內(nèi)部信息不外泄第31章 信息平安系統(tǒng)的組織與管理1、信息平安管理國際標準、信息平安管理國際標準涉及10個領域：2、信息平安管理體系實施、信息平安管理體系實施31.5.5 ISO27000系列標準系列標準2005年年10月月15日日ISO發(fā)布了國際標準發(fā)布了國際標準ISO/IEC27001：2005，正式標題為，正式標題為?BS7799-2：20

41、05 信息技術信息技術-平安技術平安技術-信息平安管理體系信息平安管理體系-要求要求?如何構建企業(yè)信息平安管理體系如何構建企業(yè)信息平安管理體系 任何技術措施只能夠起到加強信息平安防范能力作用，只有管任何技術措施只能夠起到加強信息平安防范能力作用，只有管理到位，才能夠保障技術措施從分發(fā)揮作用，才能對信息網(wǎng)絡理到位，才能夠保障技術措施從分發(fā)揮作用，才能對信息網(wǎng)絡有效地管理和控制。有效地管理和控制。ISO/IEC 27001的的11個控制域，企業(yè)信息平安管理在此根底個控制域，企業(yè)信息平安管理在此根底上面增加上面增加4個平安域，其中包括信息平安教育和培訓、外部合個平安域，其中包括信息平安教育和培訓、外

42、部合作伙伴的平安、加密作伙伴的平安、加密 、檢查、檢查/監(jiān)督和審計。這使企業(yè)信息平安監(jiān)督和審計。這使企業(yè)信息平安管理體系更佳的合理，全面。建立和管理企業(yè)信息平安管理體管理體系更佳的合理，全面。建立和管理企業(yè)信息平安管理體系需要采用與建立和管理其他管理體系相同的方法。其中主要系需要采用與建立和管理其他管理體系相同的方法。其中主要包括籌劃、實施、檢查和處理全過程的平安管理，同時也要注包括籌劃、實施、檢查和處理全過程的平安管理，同時也要注重建立評估、響應、防護、評估的動態(tài)閉環(huán)的管理流程。重建立評估、響應、防護、評估的動態(tài)閉環(huán)的管理流程。ISO/IEC 20000 建立在國際公認的英國標準建立在國際公

43、認的英國標準 BS 15000 的根底之上并取而代之。的根底之上并取而代之。ISO/IEC 20000 的發(fā)布分為兩個局部：的發(fā)布分為兩個局部：第一局部是效勞管理標準，涵蓋了第一局部是效勞管理標準，涵蓋了 IT 效勞管理。效勞管理。 認證機構根據(jù)此局部對您的組織認證機構根據(jù)此局部對您的組織進行審核，它規(guī)定了要通過認證須到達的最低要求。進行審核，它規(guī)定了要通過認證須到達的最低要求。第二局部是效勞管理的實施準那么，描述了標準范圍內(nèi)效勞管理流程的最正確做法。第二局部是效勞管理的實施準那么，描述了標準范圍內(nèi)效勞管理流程的最正確做法。 適用于哪些組織？適用于哪些組織？任何依賴任何依賴 IT 效勞的組織，不管其規(guī)模大小、所屬行業(yè)或地理位置如何，均可使用效勞的組織，不管其規(guī)模大小、所屬行業(yè)或地理位置如何，均可使用 ISO/IEC 20000。 該標準尤其適合于內(nèi)部該標準尤其適合于內(nèi)部 IT 效勞提供商如效勞提供商如 IT 部門和外部部門和外部 IT 效勞提供商如效勞提供商如 IT 外包組織。外包組織。該標準已經(jīng)對一些依賴該標準已經(jīng)對一些依賴 IT 的主