信息安全技术

信息安全是指信息网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。

信息安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。
实现目标：

　　◆ 真实性：对信息的来源进行判断，能对伪造来源的信息予以鉴别。

　　◆ 保密性：保证机密信息不被窃听，或窃听者不能了解信息的真实含义。

　　◆ 完整性：保证数据的一致性，防止数据被非法用户篡改。

　　◆ 可用性：保证合法用户对信息和资源的使用不会被不正当地拒绝。

　　◆ 不可抵赖性：建立有效的责任机制，防止用户否认其行为，这一点在电子商务中是极其重要的。

　　◆ 可控制性：对信息的传播及内容具有控制能力。

　　◆ 可审查性：对出现的网络安全问题提供调查的依据和手段

安全威胁：

(1) 信息泄露：信息被泄露或透露给某个非授权的实体。

　　(2) 破坏信息的完整性：数据被非授权地进行增删、修改或破坏而受到损失。

　　(3) 拒绝服务：对信息或其他资源的合法访问被无条件地阻止。

　　(4) 非法使用(非授权访问)：某一资源被某个非授权的人，或以非授权的方式使用。

　　(5) 窃听：用各种可能的合法或非法的手段窃取系统中的信息资源和敏感信息。例如对通信线路中传输的信号搭线监听，或者利用通信设备在工作过程中产生的电磁泄露截取有用信息等。

　　(6) 业务流分析：通过对系统进行长期监听，利用统计分析方法对诸如通信频度、通信的信息流向、通信总量的变化等参数进行研究，从中发现有价值的信息和规律。

　　(7) 假冒：通过欺骗通信系统（或用户）达到非法用户冒充成为合法用户，或者特权小的用户冒充成为特权大的用户的目的。黑客大多是采用假冒攻击。

　　(8) 旁路控制：攻击者利用系统的安全缺陷或安全性上的脆弱之处获得非授权的权利或特权。例如，攻击者通过各种攻击手段发现原本应保密，但是却又暴露出来的一些系统“特性”，利用这些“特性”，攻击者可以绕过防线守卫者侵入系统的内部。

　　(9) 授权侵犯：被授权以某一目的使用某一系统或资源的某个人，却将此权限用于其他非授权的目的，也称作“内部攻击”。

　　(10)特洛伊木马：软件中含有一个觉察不出的有害的程序段，当它被执行时，会破坏用户的安全。这种应用程序称为特洛伊木马(Trojan Horse)。

　　(11)陷阱门：在某个系统或某个部件中设置的“机关”，使得在特定的数据输入时，允许违反安全策略。

　　(12)抵赖：这是一种来自用户的攻击，比如：否认自己曾经发布过的某条消息、伪造一份对方来信等。

　　(13)重放：出于非法目的，将所截获的某次合法的通信数据进行拷贝，而重新发送。

　　(14)计算机病毒：一种在计算机系统运行过程中能够实现传染和侵害功能的程序。

　　(15)人员不慎：一个授权的人为了某种利益，或由于粗心，将信息泄露给一个非授权的人。

　　(16)媒体废弃：信息被从废弃的磁的或打印过的存储介质中获得。

　　(17)物理侵入：侵入者绕过物理控制而获得对系统的访问。

　　(18)窃取：重要的安全物品，如令牌或身份卡被盗。

　　(19)业务欺骗：某一伪系统或系统部件欺骗合法的用户或系统自愿地放弃敏感信息等等。

安全策略：

信息安全策略是指为保证提供一定级别的安全保护所必须遵守的规则。实现信息安全，不但靠先进的技术，而且也得靠严格的安全管理，法律约束和安全教育：

　　◆DG图文档加密:能够智能识别计算机所运行的涉密数据，并自动强制对所有涉密数据进行加密操作，而不需要人的参与。体现了安全面前人人平等。从根源解决信息泄密

　　◆ 先进的信息安全技术是网络安全的根本保证。用户对自身面临的威胁进行风险评估，决定其所需要的安全服务种类，选择相应的安全机制，然后集成先进的安全技术，形成一个全方位的安全系统；

　　◆ 严格的安全管理。各计算机网络使用机构，企业和单位应建立相应的网络安全管理办法，加强内部管理，建立合适的网络安全管理系统，加强用户管理和授权管理，建立安全审计和跟踪体系，提高整体网络安全意识；

　　◆ 制订严格的法律、法规。计算机网络是一种新生事物。它的许多行为无法可依，无章可循，导致网络上计算机犯罪处于无序状态。面对日趋严重的网络上犯罪，必须建立与网络安全相关的法律、法规，使非法分子慑于法律，不敢轻举妄动。

◆   安全操作系统：给系统中的关键服务器提供安全运行平台，构成安全WWW服务，安全FTP服务，安全SMTP服务等，并作为各类网络安全产品的坚实底座，确保这些安全产品的自身安全。

目前技术：

在市场上比较流行，而又能够代表未来发展方向的安全产品大致有以下几类：

　　◆ 用户身份认证：是安全的第一道大门，是各种安全措施可以发挥作用的前提，身份认证技术包括：静态密码、动态密码（短信密码、动态口令牌、手机令牌）、USB KEY、IC卡、数字证书、指纹虹膜等。

　　◆ 防火墙：防火墙在某种意义上可以说是一种访问控制产品。它在内部网络与不安全的外部网络之间设置障碍，阻止外界对内部资源的非法访问，防止内部对外部的不安全访问。主要技术有：包过滤技术，应用网关技术，代理服务技术。防火墙能够较为有效地防止黑客利用不安全的服务对内部网络的攻击，并且能够实现数据流的监控、过滤、记录和报告功能，较好地隔断内部网络与外部网络的连接。但它其本身可能存在安全问题，也可能会是一个潜在的瓶颈。

　　◆ 安全路由器：由于WAN连接需要专用的路由器设备，因而可通过路由器来控制网络传输。通常采用访问控制列表技术来控制网络信息流。

　　◆ 虚拟专用网(VPN)：虚拟专用网（VPN）是在公共数据网络上，通过采用数据加密技术和访问控制技术，实现两个或多个可信内部网之间的互联。VPN的构筑通常都要求采用具有加密功能的路由器或防火墙，以实现数据在公共信道上的可信传递。

　　◆ 安全服务器：安全服务器主要针对一个局域网内部信息存储、传输的安全保密问题，其实现功能包括对局域网资源的管理和控制，对局域网内用户的管理，以及局域网中所有安全相关事件的审计和跟踪。

　　◆ 电子签证机构--CA和PKI产品：电子签证机构（CA）作为通信的第三方，为各种服务提供可信任的认证服务。CA可向用户发行电子签证证书，为用户提供成员身份验证和密钥管理等功能。PKI产品可以提供更多的功能和更好的服务，将成为所有应用的计算基础结构的核心部件。

　　◆ 安全管理中心：由于网上的安全产品较多，且分布在不同的位置，这就需要建立一套集中管理的机制和设备，即安全管理中心。它用来给各网络安全设备分发密钥，监控网络安全设备的运行状态，负责收集网络安全设备的审计信息等。

　　◆ 入侵检测系统（IDS）：入侵检测，作为传统保护机制（比如访问控制，身份识别等）的有效补充，形成了信息系统中不可或缺的反馈链。

　　◆ 入侵防御系统（IPS）：入侵防御，入侵防御系统作为IDS很好的补充，是信息安全发展过程中占据重要位置的计算机网络硬件。

　　◆ 安全数据库：由于大量的信息存储在计算机数据库内，有些信息是有价值的，也是敏感的，需要保护。安全数据库可以确保数据库的完整性、可靠性、有效性、机密性、可审计性及存取控制与用户身份识别等。

　　◆ 安全操作系统：给系统中的关键服务器提供安全运行平台，构成安全WWW服务，安全FTP服务，安全SMTP服务等，并作为各类网络安全产品的坚实底座，确保这些安全产品的自身安全。

　　◆DG图文档加密:能够智能识别计算机所运行的涉密数据，并自动强制对所有涉密数据进行加密操作，而不需要人的参与。体现了安全面前人人平等。从根源解决信息泄密

CA和PKI产品：

PKI（Public Key Infrastructure ）即"公开密钥体系"，是一种遵循既定标准的密钥管理平台,它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。

PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。

PKI的基本组成

完整的PKI系统必须具有权威认证机构(CA)、数字证书库、密钥备份及恢复系统、证书作废系统、应用接口（API）等基本构成部分，构建PKI也将围绕着这五大系统来着手构建。

认证机构（CA）：即数字证书的申请及签发机关，CA必须具备权威性的特征；

数字证书库：用于存储已签发的数字证书及公钥，用户可由此获得所需的其他用户的证书及公钥；

密钥备份及恢复系统：如果用户丢失了用于解密数据的密钥，则数据将无法被解密，这将造成合法数据丢失。为避免这种情况，PKI提供备份与恢复密钥的机制。但须注意，密钥的备份与恢复必须由可信的机构来完成。并且，密钥备份与恢复只能针对解密密钥，签名私钥为确保其唯一性而不能够作备份。

证书作废系统：证书作废处理系统是PKI的一个必备的组件。与日常生活中的各种身份证件一样,证书有效期以内也可能需要作废，原因可能是密钥介质丢失或用户身份变更等。为实现这一点,PKI必须提供作废证书的一系列机制。

应用接口（API）：PKI的价值在于使用户能够方便地使用加密、数字签名等安全服务，因此一个完整的PKI必须提供良好的应用接口系统，使得各种各样的应用能够以安全、一致、可信的方式与PKI交互，确保安全网络环境的完整性和易用性。

通常来说，CA是证书的签发机构,它是PKI的核心。众所周知，构建密码服务系统的核心内容是如何实现密钥管理。公钥体制涉及到一对密钥（即私钥和公钥），私钥只由用户独立掌握，无须在网上传输，而公钥则是公开的，需要在网上传送，故公钥体制的密钥管理主要是针对公钥的管理问题，目前较好的解决方案是数字证书机制。

 

信息安全软件技术：

CA技术、CSP/CNG/PKCS#11、Openssl、加密库（OpenSC、Crypto++、Cryptolib、NSS、CDSA）

 

Crypto++和Openssl的区别

【openssl资源】
作者：Eric Yang等
官方网站：http://www.openssl.org
中文网站推荐：http://gdwzh.126.com
当前版本: openssl-0.9.7
【Crypto++】
作者：Wei Dai
下载网站：http://www.eskimo.com/~weidai/cryptlib.html
当前版本：Version 5.0

目前开放源代码的加密库中，openssl和Crypto++都是比较流行的，本文将根据自己的一点理解对这两个库作一些比较，希望能对大家有用。这两个库的构造思想和目的都不太一样. Openssl主要是针对SSL/TLS协议的实现,SSL的功能体现的非常完善，而算法库只是一个附带的必要部分，当然也是非常重要和完善的一个部分。Crypto++则就是实现了加密算法以及相关的一些编码标准。
【openssl的组成和特点】
openssl是一个非常优秀的SSL/TLS开放源码软件包，它包括SSL库、加密算法库以及应用程序三大部分，并提供了测试程序和一些应用例子,实现了SSL/TLS协议和其相关的PKI标准。openssl因为开发的比较早，所以采用了c语言作为编写的语言，但是，openssl里面确可以找到很多面向对象的思想，如BIO的封装就是一个典型的例子。对于刚刚开始接触openssl的技术人员来说，可能会觉得有点困难，因为openssl的结构非常膨大，即便要阅读完其非常不完善的文档，工作量也是非常膨大的。建议开始接触openssl的时候，除了有一些基本的密码学和PKI的概念外，最好从使用它提供的一些应用程序开始。其实，openssl的应用程序已经很完善，许多CA就是基于这些基础上做成的。
对于很多人来说，openssl应用程序就足以完成他们需要的功能，openssl应用程序主要提供了下列的一些功能：
1.各种类型密钥以及密钥参数的生成和格式转换功能
2.使用各种加密算法进行数据加密的功能
3.证书请求、证书生成和签发以及证书其它相关标准的转换功能，实现了一个CA的功能
4.信息摘要算法以及其相关编码的实现
5.SSL协议模拟客户端和服务器端的实现，可以用来测试SSL服务器和SSL客户端程序。
【Crypto++的组成和特点】
Crypto++实现了各种公开密钥算法、对称加密算法、数字签名算法、信息摘要算法以及其相关的其它算法等等。它采用C＋＋语言编写而成，因为是面向对象语言，所以对于初学者来说更容易理清其结构。该库没有提供应用程序，只是作为库函数提供应用。因为基于C++面向对象的思想，其算法的剥离相对于openssl来说可能更加容易。对于不需要涉及SSL协议的技术人员来说，使用该库函数应用是一个不错的选择。   
【应用现状以及建议】
目前，很多CA以及其它PKI商业程序都是基于openssl开发的，基于openssl开发的好处周期非常短，而且功能强大。而Crypto++因为仅仅局限于加密算法，所以其应用没有openssl广泛，但是对于只需要加密算法的情况来说，这是一个更好的选择。
建议如果你的应用涉及到SSL等PKI协议，应该使用openssl；如果只是应用一些加密算法，则建议使用Crypto++,最好使用静态连接，不要使用动态连接。这样可以少去一层风险，或者省掉一层确保安全的机制。

 

参考资料：

http://www.infosec-china.cn/index.php