第四章 网络应用系统信息安全技术重点介绍.ppt

网络应用系统信息安全技术 问题的提出 网络环境的特点 －开放型 －资源共享 引发的问题 －安全性较差 安全性目标（1） 必威体育官网网址性 只向已授权用户提供信息，对未授权用户，这些信息是不可获得的或不可理解的； 完整性 只允许授权用户修改信息，以保证提供给用户的信息资源是完整的、正确的； 安全性目标（2） 可用性 可随时向用户提供他们各自应得到的信息资源服务； 可审查性 使系统内所发生的所有与安全有关的动作均有说明性记录可查。 安全机制－ISO 7498-2建议 加密机制：加密数据信息 数字签名机制：由签名与证实两个过程组成 访问控制机制：控制实体的访问权限 数据完整性机制：通过校验方式 认证交换机制：利用实体特征或口令 防业务流分析机制：填充冗余信息 路由控制机制：规定路由要求 公证机制：由第三方参加的签名机制 网络应用系统信息安全的威胁  及应对策略 由于网络应用系统是面向Internet的，所以网络应用系统信息安全所面临的威胁和攻击来自很多方面。信息安全威胁和攻击的方法种类繁多，层出不穷，并且随着时间的变化而变化。对于企业公司来说，应用系统受到的威胁和攻击会造成各种严重的后果。 网络应用系统信息安全的威胁  及应对策略 问题的源头--这些威胁和攻击是如何实施的 问题的表现形式--威胁和攻击主要有哪些种类及具体表现形式 问题的解决--如何应对这些威胁和攻击 攻击的一般过程 第一步：收集被攻击方的有关信息，分析被攻击方可能的漏洞 第二步：系统安全弱点的探测 第三步：建立模拟环境，进行模拟攻击 第四步：具体实施网络攻击 攻击的种类 由于网络计算机信息的共享性和易于扩散等特性，它在处理、存储、传输和使用上有着严重的脆弱性，很容易被干扰、滥用和丢失，威胁和攻击来自各个方面种类繁多，并且随着时间的变化而变化，所以人们对威胁计算机系统信息安全形式的分类也日益复杂和困难。 攻击的种类 通常将威胁和攻击分成三类： 必威体育官网网址性攻击：指造成信息和其它资源的丢失和泄漏。攻击者试图窃取口令、信用卡资料等重要机密数据。 完整性攻击：指造成信息和其它资源的破坏。攻击者往往试图非法改变部分系统。 可用性攻击：指造成信息服务的中断。攻击者往往试图破坏系统的正常运行。 常见攻击形式 网络嗅探攻击 用户帐号和口令攻击 拒绝服务攻击 重放攻击 假冒伪装攻击 非授权注册和访问攻击 对攻击行为的应对策略  信息安全威胁的应对策略通常是通过使用各种各样的安全服务来体现。国际标准化组织ISO在网络安全体系设计标准(IS07498-2)中，提出了层次型的安全体系结构，并定义了五大安全服务功能，包括：身份认证服务，访问控制服务，数据必威体育官网网址性服务，数据完整性服务，不可否认服务。 信息安全的关键技术和机制 密码技术 身份认证机制 基于角色的访问控制机制（RBAC） 密码技术 密码技术是网络安全中最有效最重要的技术之一。 按照收发双方密钥是否相同来分类，可以将加密技术分为对称密钥加密技术和非对称密钥加密技术 。 常规密钥密码体系（1） 也称为对称密钥密码体系，此时，加密与解密的机制相同。 替代密码 － 对明文中的数字或字母进行替换。 常规密钥密码体系（1）替代密码 替代密码(substitution cipher)的原理可用一个例子来说明。 常规密钥密码体系（1）替代密码 替代密码(substitution cipher)的原理可用一个例子来说明。 常规密钥密码体系（2） 置换密码 置换密码(transposition cipher)是按照某一规则重新排列消息中的比特或字符顺序。 常规密钥密码体系（2） 置换密码 置换密码(transposition cipher)是按照某一规则重新排列消息中的比特或字符顺序。 常规密钥密码体系（2） 置换密码 置换密码(transposition cipher)是按照某一规则重新排列消息中的比特或字符顺序。 常规密钥密码体系（2） 置换密码 置换密码(transposition cipher)是按照某一规则重新排列消息中的比特或字符顺序。 常规密钥密码体系（2） 置换密码密文的得出 常规密钥密码体系（2） 置换密码密文的得出 常规密钥密码体系（2） 置换密码密文的得出 常规密钥密码体系（2） 置换密码密文的得出 常规密钥密码体系（2） 置换密码密文的得出 常规密钥密码体系（2） 置换密码密文的得出 常规密钥密码体系（2） 置换密码解出明文 常规密钥密码体系（3） 从得到的密文序列结构来划分： － 序列密码：即一位一位数据进行加密（密钥中的第i位对明文中的第i位进行运算形成密文中的第