信息安全考试大纲分析

信息安全考试大纲分析

注：本文适用于某校考研，参照信安大纲编写，
内容参考至《信息安全概论（第3版）》牛少彰

（一）信息安全基础

1.信息安全概述

信息安全：所谓信息安全就是关注信息本身的安全，而不管是否应用了计算机作为信息处理的手段。

信息安全的基本属性：1.完整性 2.可用性 3.保密性 4.不可否认性 5.可控性

2.信息安全威胁

常见的安全威胁：1.信息泄露 2.破坏信息的完整性 3.拒绝服务 4.非法使用 5.窃听 6.业务流分析 7.假冒 8.旁路控制 9.授权侵犯 10.特洛伊木马 11.陷阱门 12.抵赖 13.重放 14.计算机病毒 15.人员不慎 16.媒体废弃 17.物理入侵 18.窃取 19.业务欺骗

信息系统威胁可针对：1.物理环境 2.通讯链路 3.网络系统 4.操作系统 5.应用系统 6.管理系统

常见的网络攻击工具有：1.安全扫描工具 2.监听工具 3.口令破译工具 等

3.信息安全的实现

一个完整的信息安全包含的措施有：1.技术方面的安全措施 2.管理方面的安全措施 3.相应的法律法规

信息安全技术的措施有： 1.信息加密 2.数字签名 3.数字的完整性保护 4.身份鉴别 5.访问控制 6.数据备份和灾难恢复 7.网络控制技术（分为 防火墙技术、入侵检测技术、内网安全技术、安全协议） 8.反病毒技术 9.安全审计 10.业务填充 11.路由控制机制 12.公证机制

网络安全的体系构建主要从以下几个方面进行：1.物理安全 2.网络安全 3.操作系统安全 4.数据安全 5.管理安全

（二）信息保密技术

信息加密是保障信息安全的最基本、最核心的技术措施和理论基础

在互联网传输中，我们经常会遇到信息在传输的过程中被窃听，这时候我们需要用到信息加密技术

1.古典密码

常见的古典密码：1.代换密码 2.置换密码

传统的密码系统主要存在两个缺点：一是密钥管理与分配问题；二是认证问题。

2.分组加密技术

分组密码是指将处理的明文按照固定长度进行分组，加、解密的处理在固定长度下，以一个分组为单位独立进行，得出一个固定长度的对应于明文分组的结果。

分组密码中有两个最重要的手段 混淆和扩散

密码学常见的两种密码体制：

1.对称密码----->单钥密码体制

2.非对称密码----->公钥密码体制

对称密码体制是指：一个加密系统的加密、解密密钥相同或者一个可以推导出另外一个，比如：一把钥匙开一把锁

DES算法：

DES利用56bit串长度的密钥来加密长度为64位的明文，经过16轮运算，得到长度为64位的密文。在DES算法中只用到了64位密钥中的56位，而第8，16，24，36，40，48，56，64位这8个位并未参与运算，即DES的安全性是基于除了这8位外的其余56位的256个组合变化得以保证的。

DES中 S-盒问题：

在DES算法中当然最令人头疼的是S盒问题，在密码学中，S盒是对称加密算法执行替换计算的基本结构。在DES算法中每个S盒将6位输入变成4位的输出，而且他是非线性的，用这个方法从而决定了DES算法的安全性。

分组密码的攻击有以下几类：1.唯密文攻击 2.已知明文攻击 3.选择明文攻击 4.选择密文攻击 。这四类中选择明文攻击是密码分析者可能发动的最强有力的攻击

3.公钥加密技术

公钥密码体制是指一个加密系统的加密密钥和解密密钥是不一样的，或者说一个不能推导出另外一个。其中公钥是用于加密是公开的，还有一个叫私钥用于解密，是保密的。

公钥加密技术有：RES公钥密码算法、ELGamal算法、椭圆曲线算法

4.流密码技术

单钥密码体制中，**按照加密时对明文的处理方法不同，可分为分组密码和流密码，**其中流密码可以亦称位序列密码。

流密码是将待加密的明文分成连续的字符或比特，然后用相应的密钥流对之进行加密，密钥流由种子密钥通过密钥流生成器产生。

流密码具有实现简单、加解密速度快、错误传播底等特点。

5.信息隐藏技术

信息隐藏的特点： 1.不破坏载体的正常使用 2.载体具有某种冗余性 3.载体具有某种相对的稳定量 4.具有较强的针对性

信息隐藏的方法主要分两类：空间域算法和变换域算法。
空间域算法：通过改变载体信息的空间域特性来隐藏信息
变换域算法：通过改变数据（主要指图像、音频、视频等）来变换域的一些系数来隐藏信息

（三）信息认证技术

认证技术主要是用于防止对手对系统进行主动攻击，如伪装、窜扰等

认证技术的目的主要有两个方面 ：1.验证信息的发送者是否合法，即实体认证，包括对信源，信宿的认证和识别。 2.验证消息的完整性，验证数据在传输和储存中是否被篡改重放或延迟等。

1.Hash函数

哈希函数也被称为杂凑函数或散列函数用于检测报文是否被更改

哈希函数是将任意报文压缩到固定长度的二进制串

哈希函数的特性：1.输出的数据长度不变 2.相同的输入的输出结果也必定相同 3.输入内容相似输出的结果也会相差很大 4.输入完全不同的数据也会有低概率哈希值相同 5.不可能通过哈希值返回算出原数据（不可逆）6.计算简单

常见的哈希函数：MD4 MD5 SHA-0 SHA-1 SHA-2

攻击哈希函数的方法有：穷举攻击 、生日攻击和中途相遇攻击。穷举攻击比较直接，效率低

2.数字签名技术

数字签名是实现认证的重要工具。

数字签名就是通过一个单项的Hash函数对要传送的报文进行处理，用以认证报文来源并核实报文是否发生变换的一个字母数字串

数字签名的特性和功能：
特性：1.可信的 2.不可伪造 3.不可复制 4.消息是不可改变的 5.不可抵赖的
功能：数字签名可以解决否认、伪造、篡改及冒充等问题具体要求为： ①发送者时候不能否认发送到报文签名；②接收者能够核实发送者发送的报文签名、接收者不能伪造发送者的报文签名、接收者不能对发送者的报文部分进行篡改；③网络中的某一用户不能冒充另一用户作为发送者或接收者

数字签名机制有两个过程：签名过程和验证过程

3.身份认证技术

身份认证技术是指用户向系统展示自己身份的证明过程，通常是获得系统服务所需要的第一道关卡。

目前常用的身份认证技术可分为两大类 ：一类是基于密码技术的各种电子ID身份认证技术；另一类是基于生物特征识别的认证技术。

身份认证技术的分类：1.条件安全认证系统与无条件安全认证系统。2.有保密功能的认证系统与无保密功能的认证系统。3.有仲裁人认证系统与无仲裁人认证系统。

常见的身份认证技术：1.基于口令的认证技术；2.双因子身份认证技术（用户知道什么和用户拥有什么）；3.生物特征认证技术；4.基于零知识证明的识别技术

4.公钥基础设施

公钥基础设施（Public Key Infrastructure，PKI）是一个采用非对称密码算法原理和技术来实现安全服务的具有通用性安全基础建设，PKI技术采用证书管理公钥，通过第三方可信任机构——认证中心（CA）——把用户的公钥和用户的标识信息捆绑到一起，在Internet上验证用户身份，提供安全可靠的信息处理。

（四）PKI与PMI认证技术

1.数字证书

证书是证明实体所声明的身份和公钥绑定关系的一种电子文档，

2.PKI 系统

PKI公钥基础设施是提供公钥加密和数字签名服务的系统平台，目的是为了管理密钥和证书

一套完整的PKI系统对于数字证书的操作通常包括：证书颁发、证书更新、证书废除、证书和CRL的公布、证书状态的在线查询、证书认证等

一个典型、完整、有效的PKI应用系统至少包括以下部分：①认证机构；②根CA；③注册机构；④证书目录；⑤管理协议；⑥操作协议；⑦个人安全环境

3.常用信任模型

信任模型提供了建立和管理信任的框架，是PKI系统整个网络结构的基础。

基于X.509证书的信任模型主要有以下几种：通用层次结构、下属层次信任模型、网状模型、混合信任模型、桥CA模型、信任链模型

交叉认证：是一种把以前无关的CA连接在一起的有用机制，从而使得在它们各自主体群之间的安全成为可能。

4.基于PKI的服务

PKI服务分为：核心服务和支撑服务
核心服务：认证、完整性、保密性
支撑服务：不可否认性服务、安全时间戳服务、公证服务

（五）访问控制技术

访问控制的目的是防止对信息资源的非授权访问和非授权使用

访问控制是客体对主体提出访问请求后，对这一审批、允许、撤销的全过程进行有效的控制，从而确保只有符合访问控制策略的主体才能合法访问

1.访问控制的模型

是一种从访问控制的角度出发描述安全系统，建立安全模型的方法

访问控制的三要素：主体、客体和控制策略。
主体：是指一个提出要求或请求的实体
客体：是接受其他实体访问的被动实体
控制策略：是主体对客体的操作行为集和约束条件集

**自主访问模型（DAC）**是根据自主访问控制策略建立的一种模型

强制访问模型（MAC）是为了实现比DAC更为严格的访问控制策略，在DAC访问控制中用户和客体资源都被赋予一定的安全级别用户不能改变自身和客体的安全级别，只有管理员才能够确定用户和组的访问权限

2.访问控制策略

安全策略的实施原则：①最小特权原则②最小泄露原则③多级安全原则

基于身份的安全策略：目的是过滤对数据或资源的访问，只有通过认证的那些主体才有可能正常使用客体资源。

基于规则的安全策略：授权通常依赖于敏感性。在实现上由系统通过比较用户的安全级别和客体资源的安全级别来判断是否允许用户进行访问。

3.安全级别与防问控制

访问控制表（ALC）：是以文件为中心建立的访问权限表

访问控制的实现类别：①接入访问控制②资源访问控制③网络端口和节点的访问控制

访问控制的具体实现是与安全的级别联系在一起的，安全级别有两个含义：①一个是主体信息资源的安全类别，它分为有层次的安全级别和无层次的安全级别；②另一个是访问控制实现的安全级别

4.防火墙技术

网络防火墙是一种用来加强网络之间的访问控制、防止外部网络用户以非法手段通过外部网络进入内部网络、访问内部网络资源、保护内部网络操作环境的特殊网络互联设备。

防火墙三要素：安全、管理、速度

防火墙组成的四大要素：①安全策略②内部网③外部网④技术手段

防火墙必须保证的两大要点：①保证内部网的安全：对内部网进行过滤和审核，以防未经授权的访问进出计算机网络；不能有绕过防火墙的情况。②保证内部网和外部网的连通

设置防火墙的优点：①保护网络中脆弱的服务；②作为网络控制的“要塞点”；③集中安全性；④增强保密性、强化私有权；⑤审计和警告；⑥防火墙可限制内部网络的暴露程度；⑦安全政策执行。

防火墙技术主要有：包过滤技术、代理技术、VPN技术等
包过滤型防火墙即在网络中的适当位置对数据包实施选择通过。选择依据即为系统设置的过滤规则（通常称为访问控制表），只有满足规则的数据包才能转发到相应的网络接口，其余丢掉。
代理技术又称为应用层网关技术。代理技术和包过滤技术完全不同，包过滤技术是在网络层拦截所有信息流，代理技术是针对每一个特定应用都有一个程序。代理企图在应用层实现防火墙功能。

虚拟专用网（VPN）指的是依靠ISP（Internet服务提供商）和其他NSP（网络Net服务提供商）在公用网络中建立的专用的数据通信网络技术。（记忆：老色批和其他new色批在公网建立的通讯）

在虚拟专网中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的

课后题精选

第一部分

1． 什么是信息技术?

答：笼统地说，信息技术是能够延长或扩展人的信息能力的手段和方法。
本书中，信息技术是指在计算机和通信技术支持下，用以获取、加工、存储、变换、显示和传输文字、数值、图像、视频、音频以及语音信息，并且包括提供设备和信息服务两大方面的方法与设备的总称。
也有人认为信息技术简单地说就是3C：Computer＋Communication＋Control。

2． 信息安全的基本属性主要表现在哪几个方面?

答：（1）完整性（Integrity） （2）保密性（Confidentiality）（3）可用性（Availability）（4）不可否认性（Non-repudiation）（5）可控性（Controllability）

4． 信息安全的威胁主要有哪些?

答：（1）信息泄露 （2）破坏信息的完整性（3）拒绝服务（4）非法使用（非授权访问）（5）窃听（6）业务流分析（7）假冒（8）旁路控制（9）授权侵犯（10）特洛伊木马（11）陷阱门（12）抵赖（13）重放（14）计算机病毒（15）人员不慎（16）媒体废弃（17）物理侵入 （18）窃取（19）业务欺骗等

5．怎样实现信息安全?

答：信息安全主要通过以下三个方面：

A 信息安全技术：信息加密、数字签名、数据完整性、身份鉴别、访问控制、安全数据库、网络控制技术、反病毒技术、安全审计、业务填充、路由控制机制、公证机制等；
B 信息安全管理：安全管理是信息安全中具有能动性的组成部分。大多数安全事件和安全隐患的发生，并非完全是技术上的原因，而往往是由于管理不善而造成的。安全管理包括：人事管理、设备管理、场地管理、存储媒体管理、软件管理、网络管理、密码和密钥管理等。
C 信息安全相关的法律：法律可以使人们了解在信息安全的管理和应用中什么是违法行为，自觉遵守法律而不进行违法活动。法律在保护信息安全中具有重要作用对于发生的违法行为，只能依靠法律进行惩处，法律是保护信息安全的最终手段。同时，通过法律的威慑力，还可以使攻击者产生畏惧心理，达到惩一警百、遏制犯罪的效果。

第二部分

1． 为了实现信息的安全，古典密码体制和现代密码体制所依赖的要素有何不同？

答：古典密码体制中，数据的保密基于加密算法的保密。
现代密码体制中，数据的安全基于密钥而不是算法的保密。

2． 按使用密钥数量，可将密码体制分为几类？若按照对明文信息的加密方式呢？

答：对称密码体制（单钥密码体制）和非对称密码体制（公钥密码体制）。
流密码和分组密码。

3． 设计分组密码的主要指导原则是什么？实现的手段主要是什么？

答：a.为了保证密码的安全性，Shannon提出的混乱原则和扩散原则。
b. 针对实现的设计原则,分组密码可以用软件和硬件来实现。基于软件和硬件的不同性质，分组密码的设计原则可根据预定的实现方法来考虑。
软件实现的设计原则：使用子块和简单的运算。密码运算在子块上进行，要求子块的长度能自然地适应软件编程，比如8、16、32比特等。在软件实现中，按比特置换是难于实现的，因此我们应尽量避免使用它。子块上所进行的一些密码运算应该是一些易于软件实现的运算，最好是用一些标准处理器所具有的一些基本指令，比如加法、乘法和移位等。
硬件实现的设计原则：加密和解密可用同样的器件来实现。尽量使用规则结构，因为密码应有一个标准的组件结构以便其能适应于用超大规模集成电路实现。
另外，简单性原则，必要条件，可扩展性也是要考虑的。
c.多数分组密码算法的思想采用了Feistel密码结构，用代替和置换的手段实现混淆和扩散的功能。

4． 对分组密码的常见攻击有哪些？

答：唯密文攻击，已知明文攻击，选择明文攻击，选择密文攻击。

5． 公钥密码体制出现有何重要意义？它与对称密码体制的异同有哪些？

答： 公钥密码体制是密码学研究的一个具有里程碑意思的重要事件。公钥密码系统在消息的传输过程中采用彼此不同的加密密钥与解密密钥，并且在考虑时间因素的情况下，由加密密钥推导出与之相对应的解密密钥不具有可实现性。至此，密码体制解脱了必须对密钥进行安全传输的束缚，使密码学的应用前景豁然开朗。
与对称密码相比，
相同点：
都能用于数据加密；
都能通过硬件实现；
不同点：
对称密码体制加密密钥和解密密钥是相同的，而公钥密码体制使用不同的加密密钥和解密密钥；
公钥密码体制基于数学难题，而对称密码体制不是；
公钥密码体制密钥分发简单。加密密钥可以做成密钥本公开，解密密钥由各用户自行掌握，而对称密码体制不可以；
公钥体制的加密速度比较慢，而对称密码体制速度较快；
公钥体制适应于网络的发展，能够满足不相识的用户之间进行保密通信的要求；
公钥体制中每个用户秘密保存的密钥量减少。网络中每个用户只需要秘密保存自己的解密密钥，与其他用户通信所使用的加密密钥可以由密钥本得到；

6． 在DES算法中，S-盒的作用是什么？

答：每个S-盒将6位输入变成4位的输出。它是非线性的，决定了DES算法的安全性。

7． 你认为AES比DES有哪些优点？

答：（1）AES的密钥长度可以根据需要而增加，而DES是不变的；
(2)Rijndael加解密算法中，每轮常数的不同消除了密钥的对称性，密钥扩展的非线性消除了相同密钥的可能性；加解密使用不同的变换，消除了在DES里出现的弱密钥和半弱密钥存在的可能性；总之，在Rijndael的加解密算法中，对密钥的选择没有任何限制。
(3)依靠有限域/有限环的有关性质给加密解密提供了良好的理论基础，使算法设计者可以既高强度地隐藏信息，又同时保证了算法可逆，又因为Rijndael算法在一些关键常数（例如：在m(x)）的选择上非常巧妙，使得该算法可以在整数指令和逻辑指令的支持下高速完成加解密。
(4)AES安全性比DES要明显高。

8. 信息隐藏和数据加密的主要区别是什么？

答：区别：
目标不同：加密仅仅隐藏了信息的内容； 信息隐藏既隐藏了信息内容，还掩盖了信息的存在。
实现方式不同：加密依靠数学运算；而信息隐藏充分运用载体的冗余空间。
应用场合不同：加密只关注加密内容的安全，而信息隐藏还关注载体与隐藏信息的关系。
联系： 理论上相互借用，应用上互补。信息先加密，再隐藏

9. 信息隐藏的方法主要有哪些？

答：空间域算法与变换域算法。

第三部分

1． 简述什么是数字签名。

答：数字签名就是通过一个单向函数对要传送的报文进行处理得到的用以认证报文来源并核实报文是否发生变化的一个字母数字串,该字母数字串被成为该消息的消息鉴别码或消息摘要，这就是通过单向哈希函数实现的数字签名；在公钥体制签名的时候用户用自己的私钥对原始数据的哈希摘要进行加密所得的数据，然后信息接收者使用信息发送者的公钥对附在原始信息后的数字签名进行解密后获得哈希摘要，并通过与用自己收到的原始数据产生的哈希摘要对照，便可确信原始信息是否被篡改，这样就保证了数据传输的不可否认性。这是公钥签名技术。

2． Hash函数可能受到哪几种攻击？你认为其中最为重要的是哪一种？

答：穷举攻击、生日攻击和中途相遇攻击。

3． 设想一下，如果你为学院设计了一个网站，出于安全与使用的角度，能使用本章中哪些安全原理。

答：（1）用数字签名解决否认、伪造、篡改及冒充等问题，
（2）利用基于密码技术的电子ID身份识别技术：使用通行字的方式和持证的方式。
（3）在安全性要求较高的系统中，有口令或持证已经不能提供安全的保障了，可利用个人的生理特征来实现。这种身份识别技术主要有：手写签名识别技术、指纹识别技术、语音识别技术、视网膜图样识别技术、虹膜图样识别技术和脸型识别。

第四部分

1.完整的KPI应用系统应该包括哪些部分？

答：认证机构、根CA、注册机构、证书目录、管理协议、操作协议、个人安全环境

2.PMI和PKI的区别主要体现在那些方面？

答：PKI证明用户是谁，并将用户的身份信息保存在用户的公钥证书中。
PMI证明这个用户有什么权限，什么属性，能干什么，并将用户的属性信息保存在授权证书中

第五部分

1.什么是访问控制？访问控制包括哪几个要素？

访问控制是指主体依据某些控制策略或权限对客体本身或是其资源进行的不同授权访问。
访问控制包括三个要素，即：主体、客体和控制策略。
主体：是可以对其它实体施加动作的主动实体，简记为S。
客体：是接受其他实体访问的被动实体, 简记为O。
控制策略：是主体对客体的操作行为集和约束条件集, 简记为KS。

2. 什么是自主访问控制？什么是强制访问控制？这两种访问控制有什么区别？说说看，你会在什么情况下选择强制访问控制。

自主访问控制模型是根据自主访问控制策略建立的一种模型，允许合法用户以用户或用户组的身份访问策略规定的客体，同时阻止非授权用户访问客体，某些用户还可以自主地把自己所拥有的客体的访问权限授予其它用户。
强制访问控制模型是一种多级访问控制策略，它的主要特点是系统对访问主体和受控对象实行强制访问控制，系统事先给访问主体和受控对象分配不同的安全级别属性，在实施访问控制时，系统先对访问主体和受控对象的安全级别属性进行比较，再决定访问主体能否访问该受控对象。
区别：自主访问控制模型中，用户和客体资源都被赋予一定的安全级别，用户不能改变自身和客体的安全级别，只有管理员才能够确定用户和组的访问权限；强制访问控制模型中系统事先给访问主体和受控对象分配不同的安全级别属性，通过分级的安全标签实现了信息的单向流通。
强制访问控制一般在访问主体和受控客体有明显的等级划分时候采用。

3.什么是防火墙，它应具有什么基本功能？

因特网防火墙是这样的（一组）系统，它能增强机构内部网络的安全性，用于加强网络间的访问控制，防止外部用户非法使用内部网的资源，保护内部网络的设备不被破坏，防止内部网络的敏感数据被窃取。
防火墙的基本功能是对网络通信进行筛选屏蔽以防未经授权的访问进出计算机网络。

4.一个好的防火墙应该具备那些特征？

一个好的防火墙系统应具有以下五方面的特性：
（1） 所有在内部网络和外部网络之间传输的数据都必须能够通过防火墙；
（2） 只有被授权的合法数据，即防火墙系统中安全策略允许的数据，可以通过防火墙；
（3） 防火墙本身不受各种攻击的影响；
（4） 使用目前新的信息安全技术，比如现代密码技术、一次口令系统、智能卡；
（5） 人机界面良好，用户配置使用方便，易管理。系统管理员可以方便地对防火墙进行设置，对Internet的访问者、被访问者。访问协议以及访问方式进行控制。

5.防火墙有哪几种体系结构，他们的优缺点是什么，如何合理地选择防火墙体系结构?

（1）双宿主主机防火墙
双宿主主机通过用户直接登录到双宿主主机上来提供服务，从而需要在双宿主主机上开许多帐号，这是很危险的：
（a）用户帐号的存在会给入侵者提供相对容易的入侵通道，每一个帐号通常有一个可重复使用口令（即通常用的口令，和一次性口令相对），这样很容易被入侵者破解。破解密码可用的方法很多，有字典破解、强行搜索或通过网络窃听来获得。
（b）如果双宿主主机上有很多帐号，管理员维护起来是很费劲的。
（c）支持用户帐号会降低机器本身的稳定性和可靠性。
（d）因为用户的行为是不可预知的，如双宿主主机上有很多用户帐户，这会给入侵检测带来很大的麻烦。
（2）被屏蔽主机防火墙
一般说来，路由器只提供非常有限的服务，所以保卫路由器比保卫主机更容易实现，从这一点可以看出，被屏蔽主机结构能提供比双宿主主机更好的安全性和可用性。
但是，如果侵袭者设法侵入堡垒主机，则在堡垒主机和其余内部主机之间没有任何保护网络安全的东西。路由器同样会出现这样的问题，如果路由器被损害，整个网络对侵袭者是开放的。因此，被屏蔽子网体系结构变得日益普及。
（3）被屏蔽子网防火墙
采用了屏蔽子网体系结构的堡垒主机不易被入侵者控制，万一堡垒主机被控制，入侵者仍然不能直接侵袭内部网络，内部网络仍受到内部过滤路由器的保护。
（4）其他形式的防火墙体系结构：将被屏蔽子网结构中的内部路由器和外部路由器合并；屏蔽子网结构中堡垒主机与外部路由器合并；使用多台堡垒主机；使用多台外部路由器；使用多个周边网络。
实际中选择防火墙时，需要平衡安全牢固性和设备条件的限制，以求用最简单的设备实现相对高的安全。

5.简述VPN的工作原理，为什么要使用VPN技术？

虚拟专用网VPN是一种新的网络技术，为我们提供了一种通过公用网络安全的对用户内部网络进行访问的连接方式。一般网络连接通常由三个部分组成：客户机、传输介质和服务器。VPN同样也由这三部分组成，不同的是VPN连接使用隧道作为传输通道，这个隧道是建立在公共网络或专用网络基础之上的。VPN依靠三项技术保证通信的安全性：隧道协议、身份认证和数据加密。

当一个公司企业内部人员在外地出差，某一个公司外地分支机构，想要共享该公司的内部网络时就需要VPN技术