通信網(wǎng)banner.jpg)
彭勁杰
[文章導(dǎo)讀]
為開(kāi)放系統(tǒng)的安全通信提供了一種概念性、功能性及一致性的途徑。OSI安全體系包含七個(gè)層次：物理層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層、傳輸層、會(huì)話層、表示層和應(yīng)用層。
[正文]
隨著TCP/IP協(xié)議群在互聯(lián)網(wǎng)上的廣泛采用，信息技術(shù)與網(wǎng)絡(luò)技術(shù)得到了飛速發(fā)展。隨之而來(lái)的是安全風(fēng)險(xiǎn)問(wèn)題的急劇增加。為了保護(hù)國(guó)家公眾信息網(wǎng)以及企業(yè)內(nèi)聯(lián)網(wǎng)和外聯(lián)網(wǎng)信息和數(shù)據(jù)的安全，要大力發(fā)展基于信息網(wǎng)絡(luò)的安全技術(shù)。
信息與網(wǎng)絡(luò)安全技術(shù)的目標(biāo)
由于互聯(lián)網(wǎng)的開(kāi)放性、連通性和自由性，用戶在享受各類共有信息資源的同事，也存在著自己的秘密信息可能被侵犯或被惡意破壞的危險(xiǎn)。信息安全的目標(biāo)就是保護(hù)有可能被侵犯或破壞的機(jī)密信息不被外界非法操作者的控制。具體要達(dá)到：保密性、完整性、可用性、可控性等目標(biāo)。
網(wǎng)絡(luò)安全體系結(jié)構(gòu)
國(guó)際標(biāo)準(zhǔn)化組織（ISO）在開(kāi)放系統(tǒng)互聯(lián)參考模型（OSI/RM）的基礎(chǔ)上，于1989年制定了在OSI環(huán)境下解決網(wǎng)絡(luò)安全的規(guī)則：安全體系結(jié)構(gòu)。它擴(kuò)充了基本參考模型，加入了安全問(wèn)題的各個(gè)方面，為開(kāi)放系統(tǒng)的安全通信提供了一種概念性、功能性及一致性的途徑。OSI安全體系包含七個(gè)層次：物理層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層、傳輸層、會(huì)話層、表示層和應(yīng)用層。在各層次間進(jìn)行的安全機(jī)制有：
1、加密機(jī)制
衡量一個(gè)加密技術(shù)的可靠性，主要取決于解密過(guò)程的難度，而這取決于密鑰的長(zhǎng)度和算法。
1）對(duì)稱密鑰加密體制對(duì)稱密鑰加密技術(shù)使用相同的密鑰對(duì)數(shù)據(jù)進(jìn)行加密和解密，發(fā)送者和接收者用相同的密鑰。對(duì)稱密鑰加密技術(shù)的典型算法是DES（Data Encryption Standard數(shù)據(jù)加密標(biāo)準(zhǔn)）。DES的密鑰長(zhǎng)度為56bit，其加密算法是公開(kāi)的，其保密性僅取決于對(duì)密鑰的保密。優(yōu)點(diǎn)是：加密處理簡(jiǎn)單，加密解密速度快。缺點(diǎn)是：密鑰管理困難。
2）非對(duì)稱密鑰加密體制非對(duì)稱密鑰加密系統(tǒng)，又稱公鑰和私鑰系統(tǒng)。其特點(diǎn)是加密和解密使用不同的密鑰。
（1）非對(duì)稱加密系統(tǒng)的關(guān)鍵是尋找對(duì)應(yīng)的公鑰和私鑰，并運(yùn)用某種數(shù)學(xué)方法使得加密過(guò)程成為一個(gè)不可逆過(guò)程，即用公鑰加密的信息只能用與該公鑰配對(duì)的私鑰才能解密；反之亦然。
�。�2）非對(duì)稱密鑰加密的典型算法是RSA。RSA算法的理論基礎(chǔ)是數(shù)論的歐拉定律，其安全性是基于大數(shù)分解的困難性。
優(yōu)點(diǎn)：（1）解決了密鑰管理問(wèn)題，通過(guò)特有的密鑰發(fā)放體制，使得當(dāng)用戶數(shù)大幅度增加時(shí)，密鑰也不會(huì)向外擴(kuò)散；（2）由于密鑰已事先分配，不需要在通信過(guò)程中傳輸密鑰，安全性大大提高；（3）具有很高的加密強(qiáng)度。
缺點(diǎn)：加密、解密的速度較慢。
2、安全認(rèn)證機(jī)制
在電子商務(wù)活動(dòng)中，為保證商務(wù)、交易及支付活動(dòng)的真實(shí)可靠，需要有一種機(jī)制來(lái)驗(yàn)證活動(dòng)中各方的真實(shí)身份。安全認(rèn)證是維持電子商務(wù)活動(dòng)正常進(jìn)行的保證，它涉及到安全管理、加密處理、PKI及認(rèn)證管理等重要問(wèn)題。目前已經(jīng)有一套完整的技術(shù)解決方案可以應(yīng)用。采用國(guó)際通用的PKI技術(shù)、X.509證書(shū)標(biāo)準(zhǔn)和X.500信息發(fā)布標(biāo)準(zhǔn)等技術(shù)標(biāo)準(zhǔn)可以安全發(fā)放證書(shū)，進(jìn)行安全認(rèn)證。當(dāng)然，認(rèn)證機(jī)制還需要法律法規(guī)支持。安全認(rèn)證需要的法律問(wèn)題包括信用立法、電子簽名法、電子交易法、認(rèn)證管理法律等。
1）數(shù)字摘要
數(shù)字摘要采用單向Hash函數(shù)對(duì)信息進(jìn)行某種變換運(yùn)算得到固定長(zhǎng)度的摘要，并在傳輸信息時(shí)將之加入文件一同送給接收方；接收方收到文件后，用相同的方法進(jìn)行變換運(yùn)算得到另一個(gè)摘要；然后將自己運(yùn)算得到的摘要與發(fā)送過(guò)來(lái)的摘要進(jìn)行比較。這種方法可以驗(yàn)證數(shù)據(jù)的完整性。
2）數(shù)字信封
數(shù)字信封用加密技術(shù)來(lái)保證只有特定的收信人才能閱讀信的內(nèi)容。具體方法是：信息發(fā)送方采用對(duì)稱密鑰來(lái)加密信息，然后再用接收方的公鑰來(lái)加密此對(duì)稱密鑰（這部分稱為數(shù)字信封），再將它和信息一起發(fā)送給接收方；接收方先用相應(yīng)的私鑰打開(kāi)數(shù)字信封，得到對(duì)稱密鑰，然后使用對(duì)稱密鑰再解開(kāi)信息。
3）數(shù)字簽名
數(shù)字簽名是指發(fā)送方以電子形式簽名一個(gè)消息或文件，表示簽名人對(duì)該消息或文件的內(nèi)容負(fù)有責(zé)任。數(shù)字簽名綜合使用了數(shù)字摘要和非對(duì)稱加密技術(shù)，可以在保證數(shù)據(jù)完整性的同時(shí)保證數(shù)據(jù)的真實(shí)性。
4）數(shù)字時(shí)間戳
數(shù)字時(shí)間戳服務(wù)（DTS）是提供電子文件發(fā)表時(shí)間認(rèn)證的網(wǎng)絡(luò)安全服務(wù)。它由專門(mén)的機(jī)構(gòu)（DTS）提供。
5）數(shù)字證書(shū)
數(shù)字證書(shū)（Digital ID）含有證書(shū)持有者的有關(guān)信息，是在網(wǎng)絡(luò)上證明證書(shū)持有者身份的數(shù)字標(biāo)識(shí)，它由權(quán)威的認(rèn)證中心（CA）頒發(fā)。CA是一個(gè)專門(mén)驗(yàn)證交易各方身份的權(quán)威機(jī)構(gòu)，它向涉及交易的實(shí)體頒發(fā)數(shù)字證書(shū)。數(shù)字證書(shū)由CA做了數(shù)字簽名，任何第三方都無(wú)法修改證書(shū)內(nèi)容。交易各方通過(guò)出示自己的數(shù)字證書(shū)來(lái)證明自己的身份。
在電子商務(wù)中，數(shù)字證書(shū)主要有客戶證書(shū)、商家證書(shū)兩種�？蛻糇C書(shū)用于證明電子商務(wù)活動(dòng)中客戶端的身份，一般安裝在客戶瀏覽器上。商家證書(shū)簽發(fā)給向客戶提供服務(wù)的商家，一般安裝在商家的服務(wù)器中，用于向客戶證明商家的合法身份。
3、訪問(wèn)控制策略
訪問(wèn)控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非常訪問(wèn)。它也是維護(hù)網(wǎng)絡(luò)系統(tǒng)安全、保護(hù)網(wǎng)絡(luò)資源的重要手段。各種安全策略必須相互配合才能真正起到保護(hù)作用。下面我們分述幾種常見(jiàn)的訪問(wèn)控制策略。
1）入網(wǎng)訪問(wèn)控制
入網(wǎng)訪問(wèn)控制為網(wǎng)絡(luò)訪問(wèn)提供了第一層訪問(wèn)控制。它控制哪些用戶能夠登錄到服務(wù)器并獲取網(wǎng)絡(luò)資源，以及用戶入網(wǎng)時(shí)間和入網(wǎng)地點(diǎn)。
用戶的入網(wǎng)訪問(wèn)控制可分為三個(gè)步驟：用戶名的識(shí)別與驗(yàn)證、用戶口令的識(shí)別與驗(yàn)證、用戶帳號(hào)的缺省限制檢查。只有通過(guò)各道關(guān)卡，該用戶才能順利入網(wǎng)。
對(duì)用戶名和口令進(jìn)行驗(yàn)證是防止非法訪問(wèn)的首道防線。用戶登錄時(shí)，首先輸入用戶名和口令，服務(wù)器將驗(yàn)證所輸入的用戶名是否合法。如果驗(yàn)證合法，才繼續(xù)驗(yàn)證輸入的口令，否則，用戶將被拒之網(wǎng)絡(luò)之外。用戶口令是用戶入網(wǎng)的關(guān)鍵所在。為保證口令的安全性，口令不能顯示在顯示屏上，口令長(zhǎng)度應(yīng)不少于6個(gè)字符，口令字符最好是數(shù)字、字母和其他字符的混合，用戶口令必須經(jīng)過(guò)加密，加密的方法很多，其中最常見(jiàn)的方法有：基于單向函數(shù)的口令加密，基于測(cè)試模式的口令加密，基于公鑰加密方案的口令加密，基于平方剩余的口令加密，基于多項(xiàng)式共享的口令加密，基于數(shù)字簽名方案的口令加密等。用戶還可采用一次性用戶口令，也可用便攜式驗(yàn)證器（如智能卡）來(lái)驗(yàn)證用戶的身份。
2）網(wǎng)絡(luò)的權(quán)限控制
網(wǎng)絡(luò)的權(quán)限控制是針對(duì)網(wǎng)絡(luò)非法操作所提出的一種安全保護(hù)措施。用戶和用戶組被賦予一定的權(quán)限。網(wǎng)絡(luò)控制用戶和用戶組可以訪問(wèn)哪些目錄、子目錄、文件和其他資源�？梢灾付ㄓ脩魧�(duì)這些文件、目錄、設(shè)備能夠執(zhí)行哪些操作。我們可以根據(jù)訪問(wèn)權(quán)限將用戶分為以下幾類：（1）特殊用戶（即系統(tǒng)管理員）（2）一般用戶，系統(tǒng)管理員根據(jù)他們的實(shí)際需要為他們分配操作權(quán)限；（3）審計(jì)用戶，負(fù)責(zé)網(wǎng)絡(luò)的安全控制與資源使用情況的審計(jì)。用戶對(duì)網(wǎng)絡(luò)資源的訪問(wèn)權(quán)限可以用一個(gè)訪問(wèn)控制表來(lái)描述。
3）目錄級(jí)安全控制
網(wǎng)絡(luò)應(yīng)允許控制用戶對(duì)目錄、文件、設(shè)備的訪問(wèn)。用戶在月錄一級(jí)指定的權(quán)限對(duì)所有文件和子目錄有效，用戶還可進(jìn)一步指定對(duì)目錄下的子目錄和文件的權(quán)限。對(duì)目錄和文件的訪問(wèn)權(quán)限一般有八種：系統(tǒng)管理員權(quán)限（Supervisor）、讀權(quán)限（Read）、寫(xiě)權(quán)限（Write）、創(chuàng)建權(quán)限（Create）、刪除權(quán)限（Erase）、修改權(quán)限（MOdify）、文件查找權(quán)限（FileScan）、存取控制權(quán)限（AccessControl）。用戶對(duì)文件或目標(biāo)的有效權(quán)限取決于以下二個(gè)因素：用戶的受托者指派、用戶所在組的受托者指派、繼承權(quán)限屏蔽取消的用戶權(quán)限。一個(gè)網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)當(dāng)為用戶指定適當(dāng)?shù)脑L問(wèn)權(quán)限，這些訪問(wèn)權(quán)限控制著用戶對(duì)服務(wù)器的訪問(wèn)。八種訪問(wèn)權(quán)限的有效組合可以讓用戶有效地完成工作，同時(shí)又能有效地控制用戶對(duì)服務(wù)器資源的訪問(wèn)，從而加強(qiáng)了網(wǎng)絡(luò)和服務(wù)器的安全性。
隨著計(jì)算機(jī)技術(shù)和通信技術(shù)的發(fā)展，計(jì)算機(jī)網(wǎng)絡(luò)將日益成為工業(yè)、農(nóng)業(yè)和國(guó)防等方面的重要信息交換手段，滲透到社會(huì)生活的各個(gè)領(lǐng)域。因此，認(rèn)清網(wǎng)絡(luò)的脆弱性和潛在威脅，采取強(qiáng)有力的安全策略，對(duì)于保障網(wǎng)絡(luò)信息傳輸?shù)陌踩詫⒆兊檬种匾?/p>
摘自 通信市場(chǎng)
