江苏省计算机一级 第4章4.5 网络信息安全.ppt

4.5 网络信息安全 4.6.1 概述 4.6.2 数据加密 4.6.3 数字签名 4.6.4 身份鉴别与访问控制 4.6.5 防火墙与入侵检测 4.6.6 计算机病毒防范 4.5.1 概述 信息传输(存储)中受到的安全威胁 确保信息安全的技术措施 （1）真实性鉴别：对通信双方的身份和所传送信息的真伪能准确地进行鉴别 （2）访问控制：控制用户对信息等资源的访问权限，防止未经授权使用资源 （3）数据加密：保护数据秘密，未经授权其内容不会显露 （4）保证数据完整性：保护数据不被非法修改，使数据在传送前、后保持完全相同 （5）保证数据可用性：保护数据在任何情况（包括系统故障）下不会丢失 （6）防止否认：防止接收方或发送方抵赖 （7）审计管理：监督用户活动、记录用户操作等 4.5.2 数据加密 数据加密的基本概念 目的：即使被窃取，也能保证数据安全 重要性：数据加密是其他信息安全措施的基础 基本概念： 加密算法的基本思想 改变明文中符号的排列方式，或按照某种规律置换明文中的符号，使得只有通过数据解密才能读懂接收到的信息 例(恺撒密码) 对称密钥加密方法 特点： 加密的密钥也用于解密 密钥越长，安全性越好 计算量适中，速度快，适用于对大数据量消息加密 随着计算能力提高，加密技术的安全性也随之降低 任何加密技术的能力都是相对的 非对称密钥加密方法——公钥加密 乙用私钥加密的消息，甲也只有用乙的公钥才能解密 选讲： 公钥加密举例（RSA算法） 产生密钥对： 选择两个素数p和q, 且 p?q 计算：n = pq, z = (p-1)(q-1) 选择一个比z小的整数e, 使得 e和 z互质 计算d，使得ed-1能被z整除 于是公钥为： {e,n} 私钥为： {d,n} 使用： 加密: C = Me mod n 解密: M = Cd mod n 4.5.3 数字签名 数字签名的意义 在网络通信中，经常发生： 伪造消息 ■ 窜改消息内容 消息认证：在电子商务和电子政务中必须对收到的消息进行认证，证实它来自声称的发送方，且未被修改过（认证消息的真实性和消息的完整性） 解决方案：数字签名 数字签名是什么？ 数字签名是与消息一起发送的一串代码，它无法伪造，并能发现消息内容的任何变化 数字签名的处理过程 数字签名中的双重加密 4.5.4 身份鉴别与访问控制 身份鉴别(认证) 身份鉴别的含义: 证实某人的真实身份是否与其所声称的身份相符,以防止欺诈和假冒 什么时候进行? 在用户登录某个系统，或者在访问/传送重要消息时进行 身份鉴别的依据(方法): 鉴别对象本人才知道的信息(如口令、私钥、身份证号等) 鉴别对象本人才具有的信物(例如磁卡、IC卡、USB钥匙等) 鉴别对象本人才具有的生理特征(例如指纹、手纹等) 双因素认证 认证依据：（用户名、口令）＋（ IC卡、USB key） 举例：网银身份认证过程（1 用户预先申请开通网银，经审核后发给USB key；2 采用密钥加密技术，密钥存在于USB key中，并作为一种特殊的文件存在（KEY文件），文件无法打开） 什么是访问控制? 访问控制的含义: 计算机对系统内的每个信息资源规定各个用户(组)对它的操作权限（是否可读、是否可写、是否可修改等） 访问控制是在身份鉴别的基础上进行的 访问控制的任务: 对所有信息资源进行集中管理 对信息资源的控制没有二义性（各种规定互不冲突） 有审计功能（记录所有访问活动,事后可以核查） 文件的访问控制举例 4.5.5 防火墙与入侵检测 网络会遭受多种攻击 因特网防火墙 什么是因特网防火墙(Internet firewall)? 用于将因特网的子网（最小子网是1台计算机）与因特网的其余部分相隔离, 以维护网络信息安全的一种软件或硬件设备 防火墙的原理: 防火墙对流经它的信息进行扫描，确保进入子网和流出子网的信息的合法性，它还能过滤掉黑客的攻击，关闭不使用的端口，禁止特定端口流出信息, 等等 入侵检测 入侵检测（Intrusion Detection）是主动保护系统免受攻击的一种网络安全技术 原理：通过在网络若干关键点上监听和收集信息并对其进行分析，从中发现问题，及时进行报警、阻断和审计跟踪 入侵检测是防火墙的有效补充： 可检测来自内部的攻击和越权访问，防火墙只能防外 入侵检测可以有效防范利用防火墙开放的服务进行入侵 4.5.6 计算机病毒防范 什么是计算机病毒? 计算机病毒是有人蓄意编制的一种具有自我复制能力的、寄生性的、破坏性的计算机程序 计算机病毒能在计算机中生存，通过自我复制进行传播，在一定条件下被激活，从而给计算机系统造成损害甚至严重破坏系统中的软件、硬