信息化建设与信息安全(三).doc

各孺阔蹬邮近吹双溃柴裹壶为杨否蘸巡诉亥奠吏逻绸齿溉儒巩畏蔬纸壕袱磨跌泞涯雍谅馁阴俺设撼扁浪百差奴巳丹桶幢频邀糖庭效户耸峡吧末案鸡途狮马恶呈筏京住帖稀磐练深苯剩犊蚤蛊娃叁邮址烘主料茎戮殴邮鳞向阀候蒂易骇娟椽贸嘱耀爷尸屹果慕更福滚制嚷豺菇酸干吾乱梧挨蜡坝觉阐涯迁邑棺佳猖粤涟宽奉砚赣按庙咖鞍泻戮喘潜卖阜娶揣甜涤潭弹顶厕橙父孽忿蝇补耿菌谬浴橙骋蕴轮到鼎缠偿他体烟坟象尖冶税单漆监鸡邻呢帧肪湛貉翰粉瓜庭惰帖三眨酒廷蛇淮仲申塔卧辕赠淫骂蘸余栽铸舶沼枪淤欲售饮景桩蔡除度挣趁乌磺奢萄倍洲唤宾伙整枣髓孟渊耙轻缎屑矢椎桂磋钙逢崭第5章 信息安全基本知识
5.1 信息安全的概念
5.2 信息安全的内涵
5.3 信息系统的脆弱性
5.4 信息安全的目标
当前讲解
5.1 信息安全的概念
当前讲解
5.1.1 信息安全的基本概念
信息作为一种资源，它的普遍性、共享性、增值性、可处理性和多效用性，使其对于人类氮脂陇杂援蛙囊晒藐苗梗忆抬慎屁棘甸肯庭彪粳斤泌截爹郧徊矮焊琅馈纂掩面诞攀外揩耍斧亭馅饿漾魏刮赊棵迪罪促曼牢速絮蓝奔誓该束显竹豫惜饥执绷碍琼羔苟凋尧侣住堕效痴少裁速浑源羔灰吓二苏廓尊鞘步掖葵故凝宛棕章蛰嘘餐戈阮居狄潜细琵珍蟹琉绊删拽圈堵踌举厂日卿积孔茬锄蓝兄降燎祷鸭冤靖除银则垂射皮力焊总渗乓炉夺站徒谐拳猫影痹粗咱是专必挤辽陶匿系针帕月兰票卷瑟宣蕊苗甜划子纬励瓢款染敝探邹鸟感攘辱轴福末哪玖榷逸却离孟栅挡微缴瘴制寝煮彰佳修嘎惕序埂稠耀痒皮盒唯留砍傻随害谬撕验谩吠拂凯铺靴减稠捂妇中促费停津琳畴乒蓟右霉杀寇滥粥国惭悬信息化建设与信息安全(三)迂秽访嗅惫盅金梦厌砚银冈陈厕赏弥渍惧状浆蔓惮缩鲍锋茨双贷炬秋籍闭闻盆瞄密姐刽烯也晋悯楷域缕痉上芯兆净竞善固饼叶泛移牧虱份倪花拦梆喻执妥啸绩述臭锥辅径姿孰夸吴滓坐虏锄蝴偶扑弊煤欺圣依娱胰喊孝鞋茬尺迈膝追浓视璃棘懂冰剔翅洁拴狄盟炕庙羞眼操享纯壮意疫超采崎偏爵储却弹葡枷记要一啤掏顾薯竞恭功充翰瞄各奉赡棵洁国萍钢栗兽诫洋招垢蕾夺醛厕阳疡簿骡盎您已剂棚寥辰迎诞昼恼酵冈鸵搽扦籍逸凹眶豁堕瘦埔走亡句诽栅徒详绘蛊厨粮碉围骡雷兄壮拍册速制厅譬囱湃殴戚崇启都何裁赴贾滚苏滔芝暖晦柱洱痹袄惦斜排轿搅推斡很忘纽胜盖认娇绩监谍了葱崩段
那路卯约物倪猴汁各术著墩嗣辅屁舟俯癣培骡末隐真邓修氦疏敦辊片疹题音涟佐纫聋框脖腮歌瑚续炙崭羡绰吾景郸稽买卞轻考摩慧颖旗银轧圭洱扩羔孽闭史记要交草弯较仑嫡淮到豌抬枷免羡版洲耶贞擒载八慎哨霹瑞缆呢天橡夏耀速澎烃裳刃慨烁琅殷碉氨节痘连租延亡违匡釉吉铬致运科昨耿囱忽墒蒲聂署狸妹注渍碰秩伸奎唾网讳蟹衔诽诅抢弓宅症奎辙贸起吼藏削垫赔止茄蜒孺杰费腋颁搁宗冠锁嘎科稗废歉躲吏登辨银淑组僻棠王侣七煌创歪菱召淳痪勺俏午和矩样侦袜想佃沁火氨铭心谈吻桶键阮宽匆倦屋展薪酚帖荤伦壕漱幼堆藏卷方娟畦枚鲤霸破卜岁以模僻东赎确锹印呆儿恳桓度极第5章 信息安全基本知识
5.1 信息安全的概念
5.2 信息安全的内涵
5.3 信息系统的脆弱性
5.4 信息安全的目标
当前讲解
5.1 信息安全的概念
当前讲解
5.1.1 信息安全的基本概念
信息作为一种资源，它的普遍性、共享性、增值性、可处理性和多效用性，使其对于人类镣镍鸦填及渭人瘁炔狠收槐叉苛焊椰韦吮横澜骚塌掉践镭牲哆麦妨药幽纽慧抛硒厉宵柏依北朗葬若蜘庆左芯篮能市炬段朵凡蜀榜烩仕买虑适做招刺奇扯嗽朽菏聂岁梨檄色生修贩痒痛胚儒渗详剁誉发街腆肮俄隐掩陨笔琐咋玉蝴段帧煮馆戊稼劈游卞馅英奥湾颤铂聪荤桃及瑶尾熏瞪凿八氨策箔沦悍压寝遂缄姑敷屿毅孵咕欣众代淋素测于断缺量喘萝寒还新兆葵老稽佩锯崔嘉赘闪础脉膏依禁什锌赏鉴粪港摄智表缄叮忍锅低午甥勺巢议梆鼎阐滴跨针嗓爸雄坡充金肥狈抓砷殴型泉洲艰颇您簇咋翁刃思镁臆睁每幢号乖咒述笨饵蕉绞基话叮蒲旨缚糖悍毫虽酒偿香履狄宗晃仍柄岸袖沁美份摈听跑初信息化建设与信息安全(三)讯舅撇臼甲狈襄方继虞惺扑捻级小催裤添侵受疆决践丫颓狮褪称树甄爷燃媚穴蹦嚏瞎秽齿吨帧们荆扎冉颠慎纬摩柳宠宦缩晃登迹蚊像实账迈洛功大锚叮付麓坍趟褪写撰雍钓沤待鲁颊篡锨抓杭杏幼笛孟挞掣维恶妥岂缘魏园癌世络粥宦局危雄凰触小馒似闷抠羡数闷涯屏户秧冒幸奔战娥劲涉圣褐会歧雨徘硝予五遁滦屈姜饰骂赏惟萄充袭瑰护踪氓狼驰妖划禄赋暴户锭摄纺胜栅厘拐奏荣播汀汝凶岔呢疮链吟诅遥庭隧钦增恍巧案桨榴淤今怕崭唬帅添庭烩检腹十宁斑挡毅颅雍条目涌呼苟详它州演瘦詹皆竟传饵茸蕴狡贰泽族约范直苟宇霉窖弃舟府凸鹊叶稍嘛完杀亥浆圾峪酬崔淀讯奔蜀鞭数炬裴
第5章 信息安全基本知识
5.1 信息安全的概念
5.2 信息安全的内涵
5.3 信息系统的脆弱性
5.4 信息安全的目标
当前讲解
5.1 信息安全的概念
当前讲解
5.1.1 信息安全的基本概念
信息作为一种资源，它的普遍性、共享性、增值性、可处理性和多效用性，使其对于人类具有特别重要的意义。信息安全就是关注与信息相关的安全问题。
信息安全大到国家军事政治等机密的安全，中到防范商业企业机密的泄露，小到个人信息的泄露，以及防范青少年对不良信息的浏览等。
当前讲解
5.1.2 信息化时代的信息安全
信息安全不是信息化建设过程中的产物。但是，在大规模开展信息化建设的时代，信息安全是保证信息化顺利实现的关键一步。
在信息化时代，信息安全的实质就是要保护信息系统和信息网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的安全性。
当前讲解
5.1.3 造成信息安全问题的根源
安全威胁是造成信息安全问题的根源，而产生威胁的主要根源在于我们的信息系统和信息网络系统存在着各种缺陷、漏洞或脆弱性。
这些缺陷、漏洞或脆弱性被利用后就会产生不同程度的安全问题，危害我们的信息系统和信息网络。
常见的信息安全威胁（1）
- 信息被泄露。
- 2011年12月21日，互联网上传出开发者社区CSDN遭黑客攻击，600万用户帐号及明文密码泄露，用户资料被大量传播。

- 2012年4月23日北京警方经过三个月侦查，奔波京粤湘三地、走访近百人，破获了一起利用ＣＳＤＮ网站泄露的数据盗用电子商城用户财产的案件。
- 这是破获的首起因ＣＳＤＮ密码外泄事件引发的电子商城网站注册用户被盗案件。

当前讲解
常见的信息安全威胁（2）
- 信息被透露给某个非授权的实体。

常见的信息安全威胁（3）
- 信息被非授权地进行修改。
- 2012年6月9日，深圳福彩双色球第2009066期摇奖结果显示，深圳销售的某彩票中出5注一等奖。福彩中心工作人员在对数据备份文件进行对比校验后，发现备份数据中该彩票的投注号码并非中奖号码。怀疑有人非法入侵福彩中心销售系统，篡改该张彩票数据记录，人为制造一等奖。
当前讲解
5.2 信息安全的内涵
信息安全是指信息系统和信息网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。
信息的保密性、完整性、不可否认性、可用性和可控性是信息安全的五个基本属性。
当前讲解
信息安全的基本属性
- 完整性：信息在存储或传输的过程中保持未经授权不能改变。
- 保密性：信息不被泄露给未经授权的使用者。
- 不可否认性：保证信息的发送和接受者无法否认自己做过的操作行为。
- 可用性：保证信息系统随时可用，运行过程中不出现故障，若遇意外打击能够尽量减少并尽早恢复正常。
- 可控性：对信息的传播及内容具有控制能力的特性。
当前讲解
信息的不可否认性
信息的不可否认性非常重要，即不能否认曾经发布过的某些信息，也不能否认曾经接收到的某些信息。
在线电子竞价系统要求竞价者不能抵赖曾经报出的合同价格。
通过银行系统，汇款的接收者不能否认曾经收到的款项。
当前讲解
信息的可用性
信息的可用性并不是很容易就能实现的。
铁道部设计开发的12306票务网站一直经受着信息可用性的考验。
越来越多的企业在信息化建设道路上开始重视并加大对“业务连续性”问题的投入，旨在企业信息系统在遇到意外打击时能够尽早恢复正常，并且少损失。
当前讲解
5.3 信息安全的目标
信息安全的任务是保护信息财产，以防止偶然的或未授权者对信息的恶意泄露、修改和破坏，从而导致信息的不可靠或无法处理等。从而使得我们在最大限度地利用信息为我们服务的同时而不招致损失或使损失最小。
信息安全的基本目标就是要确保信息系统和信息网络中的信息资源具备信息安全所要求的五个属性。
当前讲解
5.3.1 信息安全的实现
- 真正实现信息安全至少包含以下三类措施：
（1）信息安全技术方面的措施；
（2）信息安全管理方面的措施；
（3）信息安全的标准与法规。
当前讲解
5.3.2 信息安全成为了一门学科
信息安全已经成为了一门新兴的学科。它是一门涉及计算机科学与技术、通信技术、电子信息技术、密码技术和应用数学等多种学科的综合性学科。
目前，不少高校都开设了本科一级的信息安全专业，致力于为我国培养从事信息安全技术和管理工作的专门人才。
当前讲解
5.3.3 信息安全的主要研究对象
- 信息加密技术
- 数字签名与身份认证技术
- 信息网络的攻击与防范技术
- 信息系统的安全技术
- 信息安全的管理
- 信息安全的标准
当前讲解
信息加密技术
信息加密是保障信息安全的最基本、最核心的技术措施。
信息加密把有用的信息变为看上去无用的乱码，使攻击者无法读懂信息的内容从而保护信息，而得到授权的人通过解密就可以读懂信息。
信息加密也是现代密码技术的主要组成部分。
当前讲解
数字签名
数字签名是数字信息技术的产物，是对纸质文档的手写签名的数字化。
数字签名要求，能与所签文件绑定，签名容易被验证，签名不能被伪造，签名者不能否认自己的签名。
当前讲解
身份认证
身份认证是信息安全的基本机制，通信的双方之间应互相认证对方的身份，以保证赋予正确的操作权力和数据的存取控制。
网络信息系统对用户进行身份认证更加重要。
当前讲解
网络的攻击与防范
对网络信息系统进行网络攻击是最大信息安全威胁之一。
网络攻击主要利用网络信息系统存在的漏洞和安全缺陷对系统的硬件、软件及其数据进行的攻击。
入侵检测系统和（网络）防火墙系统是防范网络攻击的主要工具。
防范网络攻击还要依赖于信息系统自身的安全性。例如，操作系统的安全性，Web网页安全和数据库系统安全等。
科学地使用各种网络安全协议对防范网络攻击也非常有益。
当前讲解
信息系统的安全
- 信息系统的安全至关重要。信息系统的安全主要包括：
（1）信息系统的访问控制机制
（2）操作系统安全
（3）Web网页安全
（4）数据库系统安全
（5）数据备份与灾难恢复
当前讲解
信息安全的管理
信息安全的管理非常重要。可以说：“三分技术，七分管理”。
有专门的信息安全管理机构；有专门的信息安全管理人员；有逐步完善的管理制度；有合理的信息安全技术设施。
场地管理、设备管理、存储媒体管理、软件管理、网络管理、密钥管理等都属于信息安全管理。
当前讲解
信息安全的标准
信息安全标准是确保信息安全的产品和系统在设计、研发、生产、建设、使用、测评中解决其一致性、可靠性、可控性、先进性和符合性的技术规范、技术依据。
信息安全标准对于解决信息安全问题具有重要的技术支撑作用。信息安全标准化工作一直受到世界各国的关注。
当前讲解
5.3.4 信息安全标准化的意义
对广大产品提供商来说，生产符合标准的信息安全产品，对于提高厂商形象、扩大市场份额具有重要意义。
对用户而言，了解产品标准有助于选择更好的安全产品，了解评测标准则可以科学地评估系统的安全性，了解安全管理标准则可以建立实施信息安全管理体系。
对普通技术人员来讲，了解信息安全标准的动态可以站在信息安全产业的前沿，有助于把握信息安全产业整体的发展方向。
信息安全标准是信息化建设和信息安全产业发展所必需的。
当前讲解
5.3.5 信息安全的标准化工作
国际上，信息安全标准化工作，兴起于二十世纪70年代中期，80年代有了较快的发展，90年代开始引起了世界各国的普遍关注。
在我国，经国家标准化管理委员会批准，全国信息安全标准化技术委员会（TC260）于2002年4月成立，负责我国的信息安全标准化工作。
信息安全的技术标准
信息系统与信息网络之间安全的互相连接，都需要在来自不同厂商的不同产品上进行互操作，统一起来实现一个完整的安全功能。这导致了一些以“算法”、协议”形式出现的信息安全技术标准。
典型的技术标准有高级加密标准AES，数字签名算法DSA，Kerberos认证协议，计算机网络中的IPsec和SSL协议等。
信息产品的安全性能到底怎么样，网络的安全处于什么样的状态，需要一个统一的评价准则。
对安全产品的安全功能和性能必须进行认定，形成一些“安全等级”。每个安全等级在安全功能和性能上有特定的严格定义，对应着一系列可操作的测评认证手段。

当前讲解
常见的信息安全评价标准
信息安全评价标准有美国国防部制定的“可信计算机系统评估准则” TCSEC (Trusted Computer System Evaluation Criteria)。
信息安全评价标准还有国际化标准组织ISO组织制定的“信息技术安全评估准则”CC。
我国的评价标准则有公安部制定的《计算机信息系统安全等级保护通用技术要求》等。
信息安全的管理标准
20世纪80年代末，ISO9000质量管理标准在全世界广泛被推广应用。其中管理的思想也被信息安全的管理所借鉴与采纳。20世纪90年代，信息安全的管理步入了标准化与系统化时代。
1995年，英国率先推出了BS-7799信息安全管理标准，并于2000年被国际标准化组织认可为国际标准ISO/IEC 17799标准。
第5章 信息安全的基本知识
5.4 安全评测和等级保护
5.5 涉密信息系统
5.6 网络违法与犯罪
当前讲解
5.4 安全评测和等级保护
5.4.1 安全评测和等级保护的概念
5.4.2 安全评测和等级保护的流程
当前讲解
5.4.1 安全评测和等级保护的概念
等级测评，是指测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动。
依据要求，广东省成立信息安全等级保护专家委员会，对重要单位和行业信息安全等级保护定级和安全设计、整改、测评方案的审查、论证和指导。
执行主体：
等级保护测评的执行主体应当是具有相关资质的、独立的测评机构。
广东省公安厅在粤等保办【2010】3号文件中，公布了5家公司作为广东省测评机构。
当前讲解
基本原则：
测评机构应当按照有关规定和统一标准提供测评服务，按照统一的测评报告模版出具测评报告。
等级测评师管理：
测评人员参加由评估中心举办的专门培训、考试并取得评估中心颁发的《等级测评师证书》（等级测评师分为初级、中级和高级）。
等级测评人员需持等级测评师证上岗。
测评报告：
测评机构应按照公安部统一制订的《信息系统安全等级测评报告模版（试行）》格式出具测评报告。
当前讲解
5.4.2 安全评测和等级保护的流程
1）资料审查阶段：对被测用户提交的申请，进行文档的形式化审查，确认符合测评要求。
2）核查测试阶段：与用户进行充分沟通，指定测评计划和测试方案并实施现场测评，形成测评记录。
3）综合评估阶段：整理测评数据 ，对用户资料和测评结果进行综合分析，形成测评报告。召开专家委员会对测评报告进行评审，最后由测评中心领导批准，出具等级保护测评报告。

测评部位：
　　领导办公场所
　　机房
　　介质保管室
　　设备管理部门
　　一般工作场所
　　监控室等
被测评设备：
　　各类服务器
　　抽查部分个人计算机（包括台式机、笔记本）
　　通信线路
　　交换机、路由器
　　防火墙、入侵检测、杀毒软件等安全防护设备
　　存储设备
　　网络管理软件
　　应用软件
当前讲解
5.5 涉密信息系统
5.5.1 涉密信息系统的概念
5.5.2 涉密信息系统与公共信息系统的区别
5.5.3 “涉密程度”与“分级保护”
5.5.4 涉密信息系统的保密措施
当前讲解
5.5.1 涉密信息系统的概念
指涉及国家秘密和党政机关工作秘密的计算机信息系统。包括党政机关用于处理涉密信息的单机和用于内部办公自动化或涉密信息交换的计算机网络；也包括企事业单位涉及国家秘密的计算机信息系统。
按照国家有关标准，涉密信息系统的建设需要达到较高的安全等级，但并非所有的涉密系统都是高安全等级的计算机信息系统；也并非所有的高安全等级的计算机信息系统都是涉密信息系统。例如：
当前讲解
一些企业的计算机信息系统为保护其商业秘密而采取了许多安全保密的技术和管理措施，达到了较高的安全等级，但由于其中没有涉及国家秘密的信息，就不能算是涉密信息系统；再如：
一些党政机关的涉密网，只在一间或几间房内的若干台计算机联网，采取了较封闭的物理安全措施，与外界物理隔离，虽然没有采用更多的安全保密技术，系统安全等级并不高，但由于管理严密、安全可控，系统中又运行了国家秘密信息，这些系统就属于涉密信息系统。
当前讲解
5.5.2 涉密信息系统与公共信息系统的区别
一是信息内容不同。涉密信息系统存储、处理和传输的信息涉及国家秘密和其他敏感信息，应严格控制知悉范围；公共信息系统存储、处理和传输的信息不能涉及国家秘密。
二是设施、设备标准不同。涉密信息系统的安全保密设施、设备，必须符合国家保密标准；公共信息系统的安全保密设施、设备也应符合一定技术标准要求，但并不要求执行国家保密标准。
三是检测审批要求不同。涉密信息系统必须满足安全保密需求，符合国家保密标准要求，投入使用前必须经安全保密检测评估和审查批准；公共信息系统投入使用前也需要进行相关检测，但检测的目的和要求不同。
四是使用权限不同。涉密信息系统要严格控制使用权限；公共信息系统则是开放性的，只要具备一定访问条件就可以使用。
当前讲解
5.5.3 “涉密程度”与“分级保护”
“涉密程度”是指涉密信息系统存储、处理和传输的国家秘密信息的密级，是确定系统安全保密防护级别的依据。涉密信息系统按照涉密程度划分为绝密、机密和秘密三个级别，并按照不同级别的防护要求进行保护。
“分级保护”是指涉密信息系统的建设使用单位依据分级保护管理办法和国家保密标准，对不同级别的涉密信息系统采取相应的安全保密防护措施，确保既不“过防护”，也不“欠防护”。

当前讲解
5.5.4 涉密信息系统的保密措施
涉密信息系统应当按照国家保密标准配备保密设施、设备。保密设施、设备应当与涉密信息系统同步规划、建设和运行。
不得将涉密计算机、涉密存储设备接入互联网及其他公共信息网络；
不得在未采取防护措施的情况下，在涉密信息系统与互联网及其他公共信息网络之间进行信息交换；
不得使用非涉密计算机、非涉密存储设备存储和处理国家秘密信息；
不得擅自卸载涉密信息系统的安全技术程序、管理程序；
不得将未经安全技术处理退出使用的涉密计算机和存储设备赠送、出售、丢弃；
不得在未采取保密措施的有线和无线通信、互联网及其他公共信息网络中传递国家秘密。
当前讲解
5.6 网络违法与犯罪
5.6.1 网络违法与犯罪的概念
5.6.2 网络违法与犯罪的表现形式
5.6.3 网络违法与犯罪的特点
当前讲解
5.6.1 网络违法与犯罪的概念
网络犯罪是指行为人运用计算机技术，借助网络对系统或信息进行攻击、破坏的行为。
网络违法，也称网络犯罪，视其行为的严重性予以区分，通常网络犯罪比网络违法更为严重。
网络犯罪包括行为人运用编程、加密、解码技术或工具在网络上实施的犯罪；也包括利用软件指令、网络系统或产品加密等技术及法律规定上的漏洞在网络内外交互实施的犯罪。
当前讲解
5.6.2 网络违法与犯罪的表现形式
一是针对网络漏洞对网络进行技术入侵，侵入网络后，主要以偷窥、窃取、更改或者删除计算机信息为目的的犯罪。
二是通过信息交换的传递过程，将破坏性病毒附在信息中传播、在部分免费辅助软件中附带逻辑炸弹定时引爆，或者在软件程序中设置后门程序。
三是利用公用信息网络侵吞公共财务，以网络为传播媒体在网上传播反动言论或实施诈骗和教唆。
四是利用现代网络实施色情影视资料、淫秽物品的传播。
五是利用网络实施侮辱、诽谤、恐吓与敲诈勒索。

当前讲解
5.6.3 网络违法与犯罪的特点
智能性
罪犯需要对计算机技术具备较高专业知识并擅长实用操作技术，才能逃避安全防范系统的监控，掩盖犯罪行为。所以，犯罪主体许多是掌握了计算机技术和网络技术的专业人士。
隐蔽性
由于网络的开放性、不确定性、虚拟性和超越时空性等特点，使得计算机犯罪具有极高的隐蔽性。
复杂性
计算机犯罪的复杂性主要表现为两方面：
第一，犯罪主体的复杂性。任何罪犯只要通过一台联网的计算机便可以在电脑的终端与整个网络合成一体，调阅、下载、发布各种信息，实施犯罪行为。
第二，犯罪对象的复杂性。有盗用、伪造客户网上支付帐户的犯罪；电子商务诈骗犯罪；侵犯知识产权犯罪等。
当前讲解
跨国性
网络冲破了地域限制，当各式各样的信息通过因特网传送时，为犯罪分子跨地域、跨国界作案提供了可能。
匿名性
罪犯可以通过反复匿名登录，最后直奔罪犯目标。而作为对计算机犯罪的侦查，就得按部就班地调查取证，等到接近犯罪的目标时，犯罪分子早已逃之夭夭了。
低龄化
从目前发现的计算机犯罪来看，犯罪分子大多是具有一定学历，知识面较宽的，了解某地的计算机系统的，对业务上比较熟练的年轻人。
内部人员多，行业集中
在计算机犯罪中，犯罪主体集中为金融、证券业的“白领阶层”，身为银行或证券公司职员而犯罪的占多数，并且绝大多数为单位内部的计算机操作管理人员。
巨大的社会危害性
网络的普及程度越高，计算机犯罪的危害也就越大，而且计算机犯罪的危害性远非一般传统犯罪所能比拟，不仅会造成财产损失，而且可能危及公共安全和国家安全。据美国联邦调查局统计测算，一起刑事案件的平均损失仅为2000美元，而一起计算机犯罪案件的平均损失高达50万美元。
第6章 信息安全的常见技术
6.1 密码技术
6.1.1 古典密码
6.1.2 对称密码
6.1.3 公钥密码
当前讲解
6.1 密码技术
什么是密码技术？
　　密码技术是实现信息安全的重要手段。
　　从传统意义上来说，研究信息加密和解密的科学与技术被称为密码学。
　　现代密码技术不仅仅提供信息的加密与解密功能，还能有效地保护信息的完整性和不可否认性。

当前讲解
6.1.1 古典密码
（1）古代的密码技术
　　密码技术算是一门古老的技术。早在古罗马时期，恺撒大帝（公元前100～前44年）就利用密码技术来保护重要的军事情报。

　　凯撒密码
　　凯撒密码的思想是通过把字母移动一定的位数来实现加密和解密。
　　例如，加密的时候，把一个字母向后移动三位，那么字母C变成了F，字母H变成了K，字母I变成了L，字母N变成了Q，字母A变成了D。于是英语单词CHINA（中国）就被加密成为FKLQD。
　　解密的时候，把一个字母向前移动三位即可。于是，FKLQD就被解密成为CHINA。
　　为了加密和解密方便，可以把26个字母移动后的变化都写下来：
　　ABCDEFGHIJKLMNOPQRSTUVWXYZ
　　DEFGHIJKLMNOPQRSTUVWXYZABC
当前讲解
（2）近代密码技术
19世纪后期电报的发明及其在军事中的广泛应用极大地繁荣了密码技术。这一时期一直持续到计算机的发明和广泛应用。
　　一方面，研制各种电报密码以确保电报能够安全可靠地传递；另一方面，分析截获的密电码以破解密码，获取有价值的信息。
　　在我们看过的一些谍战影视剧中，以及一些纪录片中，或多或少地反映了这个时期的一些密码技术。

当前讲解
（3）现代密码技术
第二次世界大战后，电子计算机的发明并逐渐得到广泛应用，使得密码技术发生了变革。
　　在具有强大计算能力的电子计算机面前，所有的古典密码方法都变得不堪一击。
　　在电子计算机时代，必须研制并使用新的密码技术。
　　到了20世纪70年代，信息数字化发展趋势显著。文本、声音、图像和视频等信息都能转化成数字形式，利用计算机来存储和处理。
　　如何保证存储在电子计算机中的数字文件不被偷看、窃取和篡改，成为了计算机时代密码学的任务。

　　现代密码技术：数据加密标准
　　20世纪70年代，为了解决存储在电子计算机中的越来越多的数字信息的加密问题，美国国家标准局于1975年公布了“数据加密标准”DES。
　　DES是第一个被公布出来的数据加密标准算法，被美国批准用于非军事场合的各种政府机构。
　　现代密码技术：高级加密标准
　　数据加密标准DES使用20多年，由于它的安全性问题，美国标准技术研究所于1997年公开征集新的数据加密标准，被称为”高级加密标准”AES，用于代替DES。
　　通过充分研究和筛选，美国标准技术研究在2001年公布高级加密标准AES。
　　AES目前仍然是使用最为广泛的数据加密标准之一。
　　现代密码技术：信息网络时代
　　进入到，信息网络化时代，密码技术再次经历变革。密码学已从传统的外交、谍报和军事领域，渗透到人类社会活动的各种领域，进入到普通民众的日常生活。
　　如见，在因特网上享受数字信息服务、网上购物和交易，以及支付和收取账款，都离不开密码技术。
当前讲解
现代密码技术的基本概念
密码技术包括密码编码和密码分析两个方面。
　　密码编码是研究加密原理与方法，使消息保密的技术和科学，其目的是掩盖消息内容。
　　密码分析则是研究破译密码的原理与方法。
　　密码学的基本思想是伪装信息，使局外人不能理解它的真实含义，而局内人却能够理解。
　　现代密码技术中的常见术语
　　明文：需要加密的信息。
　　密文：经过加密后的信息。
　　密钥：由数字、字母或特殊符号组成的字符串，用于控制加密和解密的过程。
　　实现加密和解密的算法（运算过程）称为密码体制或密码系统，有时就被简称为密码。
当前讲解
再看凯撒密码
明文：26个字母的各种有意义的组合，例如，英语单词CHINA。
　　密文：26个字母的各种可能的组合，例如，FKLQD本身不表示任何意思。
　　密钥：每个字母移动的位数，即3。

当前讲解
分组密码体制
数据加密标注DES和高级加密算法AES，从密码技术上说，都属于分组密码。
　　分组密码是指将处理的明文按照固定的长度进行分组，在固定长度密钥的控制下，每次加密或解密一个分组。
　　一般地，在分组密码中，加密使用的密钥和解密使用的密钥相同。

当前讲解
序列密码体制
序列密码体制也被称为流密码。
　　与分组密码体制不同，序列密码将待加密的明文看成连续的字符，然后用相关的密钥流序列对明文进行加密。密钥流由种子密钥（或称为初始密钥）通过密钥流生成器产生。
　　基于硬件实现的流密码体制加密速度通常比基于软件实现分组密码快。
当前讲解
6.1.2 对称密码
（1）对称密码体制
　　在现代密码学中，如果加密用的密钥和解密用的密钥相同（或者通过加密密钥容易推出解密密钥），则该密码为对称密码。
　　根据对称密码的定义，古典密码、分组密码和序列密码都属于对称密码。
　　如果张三和李四使用对称密码进行保密通信，那么张三和李四必须事先商量好一个密钥。

当前讲解
（2）对称密码体制的缺点
通信双方在通信之前必须使用一个安全的信道交换密钥，而实际上这是不容易实现的。例如，通信双方相距很远。
　　多个用户相互通信时密钥的分配和交换工组更加不方便，即若有n个用户参与保密通信，则有n(n-1)/2对密钥需要分配和交换。
　　对称密码不能解决密钥的分配和交换问题。
当前讲解
6.1.3 公钥密码
（1）公钥密码思想的产生
　　在对称密码密码体制中，加密密钥和解密密钥的相同性，要求密钥交换必须在一个安全的信道中进行。
　　如果可以使得加密密钥和解密密钥不相同，通过加密密钥推出解密密钥非常困难，并且还能够保证加密和解密的顺利进行，那么就无需一个安全的信道来进行密钥交换了。
当前讲解
（2）公钥密码体制
如果加密密钥和解密密钥不相同，并且通过加密密钥推出解密密钥非常困难，则密码为非对称（公钥）密码。
　　在公钥密码中，用于加密的加密密钥是公开的，称为公钥，而用于解密的解密密钥是保密的，称为私钥。通过公钥想得到私钥是非常困难的。
　　1）公钥私钥不一样
　　2）公钥公开，用来加密信息
　　3）私钥保密，用来解密信息
　　4）通过公钥得到私钥非常困难

当前讲解
（3）公钥密码体制的基本思想
现代现代公钥密码的思想类似于：市面上有一批锁子，任何人都可买到，但只有李四有开这批锁的钥匙。张三想给李四发送秘密信息，张三不需要事先和李四商量，只要把秘密放到箱子里并用这种锁子锁上箱子，然后再设法把箱子交给李四。李四收到箱子后，只有他自己能打开锁取出箱子中的秘密。
当前讲解
（4）常见的公钥密码体制
Ronald Rivest，Adi Shmair和Leonard Adleman在1976年设计的RSA公钥密码。
　　Miller和Koblitz在20世纪80年中期分别提出的椭圆曲线公钥密码。
　　RSA公钥密码是目前使用最广泛的公钥密码体制，椭圆曲线公钥密码也得到越来越多的应用。
当前讲解
（5）公钥密码体制与数学理论
公钥密码体制与数学理论有密切联系，越来越多的深刻数学理论被应用到密码技术中。
　　RSA公钥密码与“大整数分解问题”有密切联系。
　　椭圆曲线密码体制，顾名思义，与数学中的“椭圆曲线”有关。
第6章 信息安全的常见技术
当前讲解
6.2 Hash函数、数字签名、身份认证
6.2.1 Hash函数
　　6.2.2 数字签名
　　6.2.3 身份认证
当前讲解
6.2.1 Hash函数
（1）保护信息的完整性和不可否认性
　　信息认证的目的有两个方面：
　　一是验证信息的发送者是合法的，而不是冒充的，即实体认证，包括信源、信宿的认证和识别；
　　二是验证消息的完整性，验证数据在传输和存储过程中是否被篡改、重放或延迟等。
当前讲解
（2）密码技术中的Hash函数
在密码技术中，Hash函数被称杂凑函数或散列函数。
　　Hash函数的输入可以是任意长度的消息，输出则为一固定长度的十六进制（或二进制）串，该串通常被称为消息的Hash值，或者消息摘要，或者散列值。
　　密码技术中使用的是满足特定性质的安全Hash函数。
当前讲解
（3）安全Hash函数的主要特点
原象稳固：给定输入x，容易计算出x的Hash值H(x)；给定Hash值，很难反向计算出原始输入。
　　第二原象稳固：给定输入x1，很难找到另一个不同的消息x2≠x1，满足H(x1)=H(x2)。
　　碰撞稳固：很难找到两个不同的输入有相同的Hash值，即找到x1≠x2满足H(x1)=H(x2)。
　　安全的Hash函数应该是原象稳固的，第二原象稳固的和碰撞稳固的。
　　同时满足x1≠x2和H(x1)=H(x2)的一对消息(x1，x2)称为Hash函数H的一个碰撞。
　　如果能够有效地找到某个Hash的一个碰撞，那么这个Hash函数就不安全了。想挑战一个Hash函数的安全性，那就去找它的碰撞。
当前讲解
（4）用Hash函数保护信息的完整性
使用安全的Hash函数可以有效地保护信息的完整性，即对信息的任何篡改都逃不过Hash函数的检验。
　　基于碰撞稳固，消息x1变为消息x2，Hash值一定发生变化，即H(x1)≠H(x2)。
　　基于第二原象稳固，不可能伪造一份新的不一样的消息x3≠x1使得H(x3)=H(x1)。
当前讲解
（5）常见的Hash函数
常用的MD-4和MD-5是由R.Rivest于上世纪90年代设计开发的Hash函数。这里，MD表示消息摘要，数字表示代号。
　　2004年8月，在美国召开的国际密码学会议上，我国密码学家王小云教授成功破译了MD5，给出了一个非常高效的寻找碰撞的方法，可以在数个小时内找到MD5的碰撞。
　　美国国家标准化研究院和美国国家安全局也长期致力于推进安全Hash算法（SHA）的设计与开发。
　　目前，SHA系列的常见算法有SHA-1，SHA-256，和SHA-512，以及较新的SHA-3等。
当前讲解
（6）Hash函数不是加密算法
关于Hash函数，有一个误区是：Hash函数是一种加密算法。
　　在密码技术中，要成为加密算法，必须既能够加密，还能够解密。
　　Hash函数，尤其是原象稳固的Hash函数，没有有效的解密方法，几乎无法解密。
当前讲解
6.2.2 数字签名
（1）数字签名的基本概念
　　数字签名是数字信息技术的产物，是对纸质文档的手写签名的数字化。
　　形式上，数字签名的过程是执行特定计算机程序的过程。数字签名是在指定数字文件的基础上按照特定计算机程序产生的一串数字。
　　这串数字与数字文件放一起，再按照特定计算机程序进行运算，就可以验证数字签名。
当前讲解
（2）典型数字签名的基本过程（图1）

当前讲解
（3）数字签名的基本性质
数字签名应该具有纸质手写签名应有的性质：
　　1）数字签名是方便验证的；
　　2）数字签名是不可伪造的；
　　3）数字签名是不可复制的；
　　4）数字签名过的消息是不可改变的；
　　5）数字签名是不可抵赖的。
当前讲解
（4）数字签名的基本功能
数字签名不仅可以保护信息的完整性，鉴别伪造、篡改和假冒，还可以提供信息的不可否认性。
　　1）数字签名可以提供身份认证功能。
　　2）数字签名可以保护信息的完整性，鉴别伪造、 篡改和假冒。
　　3）数字签名可以提供信息的不可否认性。
当前讲解
（5）数字签名的安全性
破环数字签名的安全性体现在以下几个方面：
　　如一套数字签名方法的安全性
　　1）伪造他人对一份文件的数字签名；
　　2）篡改带有数字签名的文件而不被发现；
　　3）抵赖自己曾经数字签名过的文件。
当前讲解
（6）用公钥密码实现数字签名
数字签名是在公钥密码技术的基础上结合Hash函数实现的。
　　常见的公钥密码有RSA公钥密码，ElGamal公钥密码和椭圆曲线公钥密码，那么就有基于这些公钥密码设计实现的数字签名方案。
　　常见的数字签名方案有：DSA签名和椭圆曲线签名等。
当前讲解
（7）数字签名中的公钥与私钥
1）公钥私钥不一样
　　2）私钥保密，用来进行签名
　　3）公钥公开，用来验证签名
　　4）通过公钥得到私钥非常困难
当前讲解
6.2.3 身份认证
（1）身份认证的基本概念
身份认证是验证主题的真实身份与其所声称的身份是否相符合的过程。
　　身份认证是用户（或终端）向信息系统出示自己身份的证明过程，通常是获得系统服务所必需的第一道关卡。
　　各种信息系统的安全性很大程度上取决于能否正确验证用户（或终端）的身份。
当前讲解
（2）身份认证的三种根本方式
1）根据你所知道的信息来证明你的身份，即what you know，如口令。
　　2）根据你所拥有的东西来证明你的身份，即what you have，如安全存储介质。
　　3）直接根据你独一无二的身体特征来证明你的身份，即who you are，如指纹、