现代密码学在网络安全中的应用策略

题目现代密码学在网络

安全中的应用策略

学院：

姓名：

学号：

时间：

现代密码学在网络安全中的应用策略

摘要

计算机网络飞速发展的同时，安全问题不容忽视。网络安全经过了二十多年的发展，已经发展成为一个跨多门学科的综合性科学，它包括：通信技术、网络技术、计算机软件、硬件设计技术、密码学、网络安全与计算机安全技术等。

在理论上，网络安全是建立在密码学以及网络安全协议的基础上的。密码学是网络安全的核心，利用密码技术对信息进行加密传输、加密存储、数据完整性鉴别、用户身份鉴别等，比传统意义上简单的存取控制和授权等技术更可靠。加密算法是一些公式和法则，它规定了明文和密文之间的变换方法。从技术上，网络安全取决于两个方面：网络设备的硬件和软件。网络安全则由网络设备的软件和硬件互相配合来实现的。但是，由于网络安全作为网络对其上的信息提供的一种增值服务，人们往往发现软件的处理速度成为网络的瓶颈，因此，将网络安全的密码算法和安全协议用硬件实现，实现线速的安全处理仍然将是网络安全发展的一个主要方向。

在安全技术不断发展的同时，全面加强安全技术的应用也是网络安全发展的一个重要内容。同时，网络安全不仅仅是防火墙，也不是防病毒、入侵监测、防火墙、身份认证、加密等产品的简单堆砌，而是包括从系统到应用、从设备到服务的比较完整的、体系性的安全系列产品的有机结合。

总之，网络在今后的发展过程中不再仅仅是一个工具，也不再是一个遥不可及仅供少数人使用的技术专利，它将成为一种文化、一种生活融入到社会的各个领域。

关键词：计算机；网络；安全；防范；加密

1．密码学的发展历程

密码学在公元前400多年就早已经产生了，正如《破译者》一书中所说“人类使用密码的历史几乎与使用文字的时间一样长”。密码学的起源的确要追溯到人类刚刚出现，并且尝试去学习如何通信的时候，为了确保他们的通信的机密，最先是有意识的使用一些简单的方法来加密信息，通过一些（密码）象形文字相互传达信息。接着由于文字的出现和使用，确保通信的机密性就成为一种艺术，古代发明了不少加密信息和传达信息的方法。例如我国古代的烽火就是一种传递军情的方法，再如古代的兵符就是用来传达信息的密令。就连闯荡江湖的侠士，都有秘密的黑道行话，更何况是那些不堪忍受压迫义士在秘密起义前进行地下联络的暗语，这都促进了密码学的发展。

事实上，密码学真正成为科学是在19世纪末和20世纪初期，由于军事、数学、通讯等相关技术的发展，特别是两次世界大战中对军事信息保密传递和破获敌方信息的需求，密码学得到了空前的发展，并广泛的用于军事情报部门的决策。例如在希特勒一上台时，德国就试验并使用了一种命名为“谜”的密码机，“谜”型机能产生220亿种不同的密钥组合，假如一个人日夜不停地工作，每分钟测试一种密钥的话，需要约4.2万年才能将所有的密钥可能组合试完，希特勒完全相信了这种密码机的安全性。然而，英国获知了“谜”型机的密码原理，完成了一部针对“谜”型机的绰号叫“炸弹”的密码破译机，每秒钟可处理2000个字符，它几乎可以破译截获德国的所有情报。后来又研制出一种每秒钟可处理5000个字符的“巨人”型密码破译机并投入使用，至此同盟国几乎掌握了德国纳粹的绝大多数军事秘密和机密，而德国军方却对此一无所知；太平洋战争中，美军成功破译了日本海军的密码机，读懂了日本舰队司令官山本五十六发给各指挥官的命令，在中途岛彻底击溃了日本海军，击毙了山本五十六，导致了太平洋战争的决定性转折。因此，我们可以说，密码学为战争的胜利立了大功。在当今密码学不仅用于国家军事安全上，人们已经将重点更多的集中在实际应用，在你的生活就有很多密码，例如为了防止别人查阅你文件，你可以将你的文件加密；为了防止窃取你钱物，你在银行账户上设置密码，等等。随着科技的发展和信息保密的需求，密码学的应用将融入了你的日常生活。

2．密码学的基础知识

密码学(Cryptogra phy)在希腊文用Kruptos(hidden)+graphein(to write)表达，现代准确的术语为“密码编制学”，简称“编密学”，与之相对的专门研究如何破解密码的学问称之为“密码分析学”。密码学是主要研究通信安全和保密的学科，他包括两个分支：密码编码学和密码分析学。密码编码学主要研究对信息进行变换，以保护信息在传递过程中不被敌方窃取、解读和利用的方法，而密码分析学则于密码编码学相反，它主要研究如何分析和破译密码。这两者之间既相互对立又相互促进。密码的基本思想是对机密信息进行伪装。一个密码系统完成如下伪装：加密者对需要进行伪装机密信息（明文）进行伪装进行变换（加密变换），得到另外一种看起来似乎与原有信息不相关的表示（密文），如果合法者（接收者）获得了伪装后的信息，那么他可以通过事先约定的密钥，从得到的信息中分析得到原有的机密信息（解密变换），而如果不合法的用户（密码分析者）试图从这种伪装后信息中分析得到原有的机密信息，那么，要么这种分析过程根本是不可能的，要么代价过于巨大，以至于无法进行。

在计算机出现以前，密码学的算法主要是通过字符之间代替或易位实现的，我们称这些密码体制为古典密码。其中包括：易位密码、代替密码（单表代替密码、多表代替密码等）。这些密码算法大都十分简单，现在已经很少在实际应用中使用了。由于密码学是涉及数学、通讯、计算机等相关学科的知识，就我们现有的知识水平而言，只能初步研究古典密码学的

基本原理和方法。但是对古典密码学的研究，对于理解、构造和分析现代实用的密码都是很有帮助。以下介绍我们所研究的古典密码学。

3．现代密码学的作用

现代密码学研究信息从发端到收端的安全传输和安全存储，是研究“知己知彼”的一门科学。其核心是密码编码学和密码分析学。前者致力于建立难以被敌方或对手攻破的安全密码体制，即“知己”；后者则力图破译敌方或对手已有的密码体制，即“知彼”。人类有记载的通信密码始于公元前400年。古希腊人是置换密码的发明者。1881年世界上的第一个电话保密专利出现。电报、无线电的发明使密码学成为通信领域中不可回避的研究课题。

随着信息化和数字化社会的发展，人们对信息安全和保密的重要性认识不断提高。如网络银行、电子购物、电子邮件等正在悄悄地融入普通百姓的日常生活中，人们自然要关注其安全性如何。1977年，美国国家标准局公布实施了“美国数据加密标（DES）”，军事部门垄断密码的局面被打破，民间力量开始全面介入密码学的研究和应用中。

现有的密码体制千千万万，各不相同。但是它们都可以分为私钥密码体制（如DES密码）和公钥密码（如公开密钥密码）。前者的加密过程和脱密过程相同，而且所用的密钥也相同；后者，每个用户都有公开和秘密钥。

编码密码学主要致力于信息加密、信息认证、数字签名和密钥管理方面的研究。信息加密的目的在于将可读信息转变为无法识别的内容，使得截获这些信息的人无法阅读，同时信息的接收人能够验证接收到的信息是否被敌方篡改或替换过；数字签名就是信息的接收人能够确定接收到的信息是否确实是由所希望的发信人发出的；密钥管理是信息加密中最难的部分，因为信息加密的安全性在于密钥。历史上，各国军事情报机构在猎取别国的密钥管理方法上要比破译加密算法成功得多。

密码分析学与编码学的方法不同，它不依赖数学逻辑的不变真理，必须凭经验，依赖客观世界觉察得到的事实。因而，密码分析更需要发挥人们的聪明才智，更具有挑战性。

现代密码学是一门迅速发展的应用科学。随着因特网的迅速普及，人们依靠它传送大量的信息，但是这些信息在网络上的传输都是公开的。因此，对于关系到个人利益的信息必须经过加密之后才可以在网上传送，这将离不开现代密码技术。

4．几种常用的网络安全技术

4.1 防火墙技术

网络安全所说的防火墙(Fire Wall)是指内部网和外部网之间的安全防范系统。它使得内部网络与因特网之间或与其它外部网络之间互相隔离、限制网络互访，用来保护内部网络。防火墙通常安装在内部网与外部网的连接点上。所有来自Internet（外部网）的传输信息或从内部网发出的信息都必须穿过防火墙。

4.1.1 防火墙的主要功能

防火墙的主要功能包括：

〔1〕防火墙可以对流经它的网络通信进行扫描，从而过滤掉一些攻击，以免其在目标计算机上被执行。

〔2〕防火墙可以关闭不使用的端口，而且它还能禁止特定端口的输出信息。

〔3〕防火墙可以禁止来自特殊站点的访问，从而可以防止来自不明入侵者的所有通信，过滤掉不安全的服务和控制非法用户对网络的访问。

〔4〕防火墙可以控制网络内部人员对Internet上特殊站点的访问。

〔5〕防火墙提供了监视Internet安全和预警的方便端点。

4.1.2 防火墙的主要优点

防火墙的主要优点包括:

〔1〕可作为网络安全策略的焦点

防火墙可作为网络通信的阻塞点。所有进出网络的信息都必须通过防火墙。防火墙将受信任的专用网与不受信任的公用网隔离开来，将承担风险的范围从整个内部网络缩小到组成防火墙系统的一台或几台主机上。从而在结构上形成了一个控制中心，极大地加强了网络安全，并简化了网络管理。

〔2〕可以有效记录网络活动

由于防火墙处于内网与外网之间，即所有传输的信息都会穿过防火墙。所以，防火墙很适合收集和记录关于系统和网络使用的多种信息，提供监视、管理与审计网络的使用和预警功能。

〔3〕为解决IP地址危机提供了可行方案

由于Internet的日益发展及IP地址空间有限，使得用户无法获得足够的注册IP地址。防火墙则处于设置网络地址转换NA T的最佳位置。NA T有助于缓和IP地址空间的不足。

4.1.3 防火墙的主要缺陷

由于互联网的开放性，防火墙也有一些弱点，使它不能完全保护网络不受攻击。防火墙的主要缺陷有：

〔1〕防火墙对绕过它的攻击行为无能为力。

〔2〕防火墙无法防范病毒，不能防止感染了病毒的软件或文件的传输，对于病毒只能安装反病毒软件。

〔3〕防火墙需要有特殊的较为封闭的网络拓扑结构来支持。网络安全性的提高往往是以牺牲网络服务的灵活性、多样性和开放性为代价。

4.1.4 防火墙的分类

防火墙的实现从层次上大体可分为三类：包过滤防火墙，代理防火墙和复合型防火墙。

〔1〕包过滤防火墙

包过滤防火墙是在IP层实现，它可以只用路由器来实现。包过滤防火墙根据报文的源IP地址，目的IP地址、源端口、目的端口和报文传递方向等报头信息来判断是否允许有报文通过。

包过滤路由器的最大优点是：对用户来说是透明的，即不需要用户名和密码来登陆。

包过滤路由器的弊端是明显的，由于它通常没有用户的使用记录，我们不能从访问中发现黑客的攻击记录。它还有一个致命的弱点，就是不能在用户级别上进行过滤，即不能识别用户与防止IP地址的盗用。如果攻击者将自己的主机设置为一个合法主机的IP地址，则很容易地通过包过滤防火墙。

〔2〕代理防火墙

代理防火墙也叫应用层网关防火墙，包过滤防火墙可以按照IP地址来禁止未授权者的访问。但它不适合单位用来控制内部人员访问外部网络，对于这样的企业，应用代理防火墙是更好的选择。

代理服务是设置在Internet防火墙网关上的应用，是在网管员允许下或拒绝的特定的应用程序或者特定服务，一般情况下可应用于特定的互联网服务，如超文本传输、远程文件传输等。同时还可应用于实施较强的数据流监控、过滤、记录和报告等功能。

应用层网关包括应用代理服务器、回路级代理服务器、代管服务器、IP通道、网络地址转换器、隔离域名服务器和邮件技术等。

〔3〕复合型防火墙

复合型防火墙是将数据包过滤和代理服务结合在一起使用，从而实现了网络安全性、性能和透明度的优势互补。

随着技术的发展，防火墙产品还在不断完善、发展。目前出现的新技术类型主要有以下几种：状态监视技术、安全操作系统、自适应代理技术、实时侵入检测系统等。混合使用数据包过滤技术、代理服务技术和一些新技术是未来防火墙的趋势。

4.1.5 防火墙的部署

防火墙是网络安全的关口设备，只有在关键网络流量通过防火墙的时候，防火墙才能对此实行检查，防护功能。

〔1〕防火墙的位置一般是内网与外网的接合处，用来阻止来自外部网络的入侵。

〔2〕如果内部网络规模较大，并且设置虚拟局域网（VLAN），则应该在各个VLAN 之间设置防火墙。

〔3〕通过公网连接的总部与各分支机构之间应该设置防火墙。

〔4〕主干交换机至服务器区域工作组交换机的骨干链路上。

〔5〕远程拨号服务器与骨干交换机或路由器之间。

总之，在网络拓扑上，防火墙应当处在网络的出口与不同安全等级区域的结合处。安装防火墙的原则是：只要有恶意侵入的可能，无论是内部网还是外部网的连接处都应安装防火墙。

防火墙技术是指网络之间通过预定义的安全策略，对内外网通信强制实施访问控制的安全应用措施。它对两个或多个网络之间传输的数据包按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。由于它简单实用且透明度高，可以在不修改原有网络应用系统的情况下，达到一定的安全要求，所以被广泛使用。据预测近5年世界防火墙需求的年增长率将达到174%。

目前，市场上防火墙产品很多，一些厂商还把防火墙技术并入其硬件产品中，即在其硬件产品中采取功能更加先进的安全防范机制。可以预见防火墙技术作为一种简单实用的网络信息安全技术将得到进一步发展。然而，防火墙也并非人们想象的那样不可渗透。在过去的统计中曾遭受过黑客入侵的网络用户有三分之一是有防火墙保护的，也就是说要保证网络信息的安全还必须有其他一系列措施，例如对数据进行加密处理。需要说明的是防火墙只能抵御来自外部网络的侵扰，而对企业内部网络的安全却无能为力。要保证企业内部网的安全，还需通过对内部网络的有效控制和管理来实现。

4.2 数据加密技术

数据加密技术就是对信息进行重新编码，从而隐藏信息内容，使非法用户无法获取信息、的真实内容的一种技术手段。数据加密技术是为提高信息系统及数据的安全性和保密性，防止秘密数据被外部破析所采用的主要手段之一。

数据加密技术按作用不同可分为数据存储、数据传输、数据完整性的鉴别以及密匙管理技术4种。数据存储加密技术是以防止在存储环节上的数据失密为目的，可分为密文存储和存取控制两种;数据传输加密技术的目的是对传输中的数据流加密，常用的有线路加密和端口加密两种方法;数据完整性鉴别技术的目的是对介入信息的传送、存取、处理人的身份和相关数据内容进行验证，达到保密的要求，系统通过对比验证对象输入的特征值是否符合预先设定的参数，实现对数据的安全保护。数据加密在许多场合集中表现为密匙的应用，密匙管理技术事实上是为了数据使用方便。密匙的管理技术包括密匙的产生、分配保存、更换与销毁等各环节上的保密措施。

4.2.1加密技术

加密的目的是为了保护信息的保密性、完整性和安全性,简单地说就是信息的防伪造与防窃取。信息加密原理是将信息格式转化为密文,然后传输或存储密文,当需要时再重新转化为明文。加密技术分为两类,即专用密钥加密/对称加密和公共密钥加密/非对称加密。

（1）专用密钥加密/对称加密对称加密的特点:专用密钥加密具有对称性,即加密密钥也可以用于解密。使用对称加密方法将简化加密的处理,通讯双方都不必彼此研究和交换专用的加密算法,而是采用相同的加密算法并只交换共享的专用密钥。对称加密的限制:对称加密技术存在着在通信双方之间确保密钥安全交换的问题。此外,当某一通讯方有‘n’个通讯关系,那么他就要维护‘n’个专用密钥(即每把密钥对应一通讯方)。对称加密方式存在的另一个问题是无法鉴别通信发起方或通信最终方。因为通信双方共享同一把专用密钥,通信双方的任何信息都是通过这把密钥加密后传送给对方的。加密标准:数据加密标准(DES)是目前广泛采用的对称加密方式之一,该标准是由美国国家标准局提出的。该标准主要应用于银行业中的电子资金转帐(EFT)领域。DES的密钥长度为56位，三重DES是DES的一种变形。这种方法使用两个独立的56位密钥对交换的信息(如EDI数据)进行3次加密,从而使其有效密钥长度达到112位。RCZ和RC4方法是RSA数据安全公司的对称加密专利算法。RCZ 和RC4不同于DES,它们采用可变密钥长度的算法。通过规定不同的密钥长度,RCZ和RC4能够提高或降低安全的程度，一些电子邮件产品(如LotusNotes和Apple的openCollaborationEnvironment)已采用了这些算法。

（2）公共密钥加密/非对称加密非对称加密的特点:公共密钥加密使用两个不同的密钥,因此是一种不对称的加密系统。用在非对称算法中的密钥在数学上是相关的，一个密钥不能从另一个计算出来。在非对称加密体系中,密钥被分解为一对(一把公开密钥即加密密钥和一把专用密钥即解密密钥)。这对密钥中的任何一把都可作为公开密钥(加密密钥)通过非保密方式向他人公开,而另一把则作为专用密钥(解密密钥)加以保存。公开密钥用于对机密信息的加密,专用密钥则用于对加密信息的解密。专用密钥只能由生成密钥对的一方掌握,公开密钥可广泛发布,但它只对应于生成该密钥的一方。RSA算法是非对称加密领域内最为著名的算法,但是它存在的主要问题是算法的运算速度较慢。因此,在实际的应用中通常不采用这一算法对信息量大的信息(如大的EDI交易)进行加密。对于加密量大的应用,使用对称加密方法进行加密,而公开密钥加密算法通常用于对称加密方法密钥的加密。

4.2.2网络信息安全问题

网络与信息安全是一个综合、交叉的学科领域,要涉及到安全体系结构、安全协议、密码理论、信息分析、安全监控、应急处理等各个方面,还要利用数学、电子、信息、通信、计算机等诸多学科的长期知识积累和最新发展成果。信息安全要综合利用数学、物理、通信和计算机诸多学科的长期知识积累和最新发展成果,进行自主创新研究,加强顶层设计,提出系统的、完整的,协同的解决方案。网络信息安全面临的威胁是多方面的,具有无边界性、突发性、蔓延性和隐蔽性等新的特点。网络模糊了地理、空间上的边疆概念,使得网上的冲突和对抗更具隐蔽性。对计算机网络的攻击往往是在没有任何先兆的情况下突然发生的,而且会沿着网络迅速蔓延。对网络信息安全防御的困难还在于,一个攻击者仅需要发起一个成功的攻击,而防御者则需要考虑所有可能的攻击，而且这种攻击是在动态变化的。因此,仅从技术上解决网络信息安全是有一定风险的。国际标准化组织(ISO)将"信息安全"定义为:为数据处理系统建立和采取的技术和管理的安全保护,保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄露。简单说,信息安全的基本属性有可靠性、保密性、完整性、可用性和可控性。信息保密性是指信息不被泄漏给非授权的个人和实体,或供其使用的特性。信息的保密性包括文件的保密性、传输过程中的保密性等两个方面。信息的完整性是指信息在存储或传输时不被修改、不被破坏,不被插入、不延迟、不乱序和不丢失的特性。信

息可用性是指信息可被合法用户访问并能按要求顺序使用的特性

信息可控性是指授权机关可以随时控制信息的机密性。每一个用户只能访问自己被授权可以访问的信息。同时对系统中可利用的信息及资源也要进行相应的分级,确保信息的可控性。信息的可靠性是指以用户认可的质量连续服务于用户的特性。这不仅是要保护信息的安全可用,还和信息系统本身的可靠性有关。实际上不论是局域网还是广域网,都是一种系统,所以系统安全问题的解决,必然是一项系统工程,必须采用系统工程学的方法、运用系统工程学的原理来设计网络信息安全体系。解决网络信息安全的基本策略是技术、管理和法制并举。技术是核心,要通过关键技术的突破,构筑起国家信息安全技术防范体系。管理是关键,根据"木桶原理",信息安全链条中任何一个环节的脆弱都有可能导致安全防护体系的失效,必须要加强各管理部门和有关人员间的密切合作。法制是保障,通过建立信息安全法规体系,规范信息化社会中各类主体的行为,以维持信息化社会的正常运作秩序。

4.2.3密码是解决网络信息安全的关键技术

网络环境下信息的保密性、完整性、可用性和抗抵赖性,都需要采用密码技术来解决。密码技术是信息安全技术的核心,它主要由密码编码技术和密码分析技术两个分支组成。密码编码技术的主要任务是寻求产生安全性高的有效密码算法和协议,以满足对消息进行加密或认证的要求；密码分析技术的主要任务是破译密码或伪造认证信息,实现窃取机密信息或进行诈骗破坏活动。这两个分支既相互对立又相互依存,正是由于这种对立统一关系,才推动了密码学自身的发展。目前人们将密码理论与技术分成两大类,一类是基于数学的密码理论与技术,包括公钥密码、分组密码、序列密码、认证码、数字签名、Hash函数、身份识别、密钥管理、PKI技术、VPN技术等;另一类是非数学的密码理论与技术,包括信息隐藏、量子密码、基于生物特征的识别理论与技术等。网络信息安全体系的构建要求我们必须合理的使用多种密码技术,这样才能保证信息的可靠性、保密性、完整性、可用性和可控性。

（1）使用信息隐藏和公钥密码、分组密码等密码技术保证信息的保密性信息隐藏对于在网络中保护信息不受破坏起到重要作用,信息隐藏是把机密信息隐藏在大量信息中不让对手发觉的一种方法。主要侧重于隐写术、数字水印、潜信道、隐匿协议、可视密码等方面的理论与技术的研究。

（2）使用Hash函数保证信息的完整性Hash函数(也称杂凑函数或杂凑算法)就是把任意长的输入消息串变化成固定长的输出串的一种函数。Hash函数主要用于完整性校验和提高数字签名的有效性,目前己有很多方案。这些算法都是伪随机函数,任何杂凑值都是等可能的，输出并不以可辨别的方式依赖于输入。

（3）使用数字签名和各种身份验证技术保证信息的可控性数字签名是对电子形式的消息签名的一种方法。基于公钥密码体制和私钥密码体制都可以获得数字签名,特别是公钥密码体制的诞生为数字签名的研究和应用开辟了一条广阔的道路。关于数字签名技术的研究,目前主要集中在基于公钥密码体制的数字签名技术的研究。数字签名的研究内容非常丰富,主要有RSA数字签名算法、E1Gama1数字签名算法、椭圆曲线数字签名算法和有限自动机数字签名算法等。数字签名的应用已经涉及到法律问题,美国联邦政府的部分州己制定了数字签名法,一些国家如法国和德国也己经制定了数字签名法,我国的电子签名法也在2004年颁布。

（4）使用PKI和VPN保证信息的可靠性及可用性简单的说,PKI技术就是利用公钥理论和技术建立的提供信息安全服务的基础设施。PKI是解决信任和加密问题的基本解决方案,本质就是实现了大规模网络中的公钥分发问题,建立了大规模网络中的信任基础。PKI是创建、管理、存储、分发和撤消基于公钥加密的公钥证书所需要的一套硬件、软件、策略和过程的集合。PKI为开放的Internet环境提供了四个基本的安全服务:

〔1〕认证,确认发送者和接收者的真实身份;

〔2〕数据完整性,确保数据在传输过程中不能被有意或无意地修改;

〔3〕不可抵赖性,通过验证,确保发送方不能否认其发送消息;

〔4〕机密性,确保数据不能被非授权的第三方访问。

另外,PKI还提供了其他的安全服务,主要包括以下两个:

〔1〕授权,确保发送者和接收者被授予访问数据、系统或应用程序的权力;

〔2〕可用性,确保合法用户能正确访问信息和资源。

VPN是利用接入服务器(AccessServer)、广域网上的路由器或VPN专用设备在公用的WAN上实现虚拟专网的技术。也就是说,用户觉察不到他在利用公用WAN获得专用网的服务。如果强调其安全性,可以认为VPN是综合利用了认证和加密技术,在公共网络(比如Internet)上搭建一个只属于自己的虚拟专用安全传输网络,为关键应用的通信提供认证和数据加密等安全服务。如果将VPN的概念推广一步,我们可以认为凡是在公共网络中实现了安全通信(主要包括通信实体的身份识别和通信数据的机密性处理)的协议都可以称之为VPN 协议。到目前为止,VPN己经在网络协议的多个层次上实现,从数据链路层、网络层、传输层一直到应用层。特别是IPSec标准的制定,对实施VPN奠定了坚实的基础。

4.3 系统容灾技术

一个完整的网络安全体系，只有防范和检测措施是不够的，还必须具有灾难容忍和系统恢复能力。因为任何一种网络安全设施都不可能做到万无一失，一旦发生漏防漏检事件，其后果将是灾难性的。此外，天灾人祸、不可抗力等所导致的事故也会对信息系统造成毁灭性的破坏。这就要求即使发生系统灾难，也能快速地恢复系统和数据，才能完整地保护网络信息系统的安全。现阶段主要有基于数据备份和基于系统容错的系统容灾技术。数据备份是数据保护的最后屏障，不允许有任何闪失。但离线介质不能保证安全。数据容灾通过IP容灾技术来保证数据的安全。数据容灾使用两个存储器，在两者之间建立复制关系，一个放在本地，另一个放在异地。本地存储器供本地备份系统使用，异地容灾备份存储器实时复制本地备份存储器的关键数据。二者通过IP相连，构成完整的数据容灾系统，也能提供数据库容灾功能。

集群技术是一种系统级的系统容错技术，通过对系统的整体冗余和容错来解决系统任何部件失效而引起的系统死机和不可用问题。集群系统可以采用双机热备份、本地集群网络和异地集群网络等多种形式实现，分别提供不同的系统可用性和容灾性。其中异地集群网络的容灾性是最好的。存储、备份和容灾技术的充分结合，构成的数据存储系统，是数据技术发展的重要阶段。随着存储网络化时代的发展，传统的功能单一的存储器，将越来越让位于一体化的多功能网络存储器。

4.4 入侵检测技术

入侵检测技术是从各种各样的系统和网络资源中采集信息（系统运行状态、网络流经的信息等），并对这些信息进行分析和判断。通过检测网络系统中发生的攻击行为或异常行为，入侵检测系统可以及时发现攻击或异常行为并进行阻断、记录、报警等响应，从而将攻击行为带来的破坏和影响降至最低。同时，入侵检测系统也可用于监控分析用户和系统的行为、审计系统配置和漏洞、识别异常行为和攻击行为（通过异常检测和模式匹配等技术）、对攻击行为或异常行为进行响应、审计和跟踪等。

典型的IDS系统模型包括4个功能部件：

〔1〕事件产生器，提供事件记录流的信息源。

〔2〕事件分析器，这是发现入侵迹象的分析引擎。

〔3〕响应单元，这是基于分析引擎的分析结果产生反应的响应部件。

〔4〕事件数据库，这是存放各种中间和最终数据的地方的统称，它可以是复杂的数据库，也可以是简单的文本文件。

4.4.1 入侵检测系统的分类

入侵检测系统根据数据来源不同，可分为基于网络的入侵检测系统和基于主机的入侵检测系统。

网络型入侵检测系统的实现方式是将某台主机的网卡设置成混杂模式，监听本网段内的所有数据包并进行判断或直接在路由设备上放置入侵检测模块。一般来说，网络型入侵检测系统担负着保护整个网络的任务。

主机型入侵检测系统是以系统日志、应用程序日志等作为数据源，当然也可以通过其它手段（如检测系统调用）从所有的主机上收集信息进行分析。

入侵检测系统根据检测的方法不同可分为两大类：异常和误用。

异常入侵检测根据用户的异常行为或对资源的异常存放来判断是否发生了入侵事件。

误用入侵检测通过检查对照已有的攻击特征、定义攻击模式、比较用户的活动来了解入侵。例如，著名的Internet蠕虫事件是利用fingerd(FreeBSD)上的守护进程，允许用户远程读取文件系统，因而存在可以查看文件内容的漏洞和Sendmail(Linux上的守护进程，利用其漏洞可取得root权限)的漏洞进行攻击。对这种攻击可以使用这种检测方法。

4.4.2 目前入侵检测系统的缺陷

入侵检测系统作为网络安全防护的重要手段，目前的IDS还存在很多问题，有待于我们进一步完善。

〔1〕高误报率

误报率主要存在于两个方面：一方面是指正常请求误认为入侵行为；另一方面是指对IDS用户不关心事件的报警。导致IDS产品高误报率的原因是IDS检测精度过低和用户对误报概念的不确定。

〔2〕缺乏主动防御功能

入侵检测技术作为一种被动且功能有限的安全防御技术，缺乏主动防御功能。因此，需要在一代IDS产品中加入主动防御功能，才能变被动为主动。

4.4.3 防火墙与入侵检测系统的相互联动

防火墙是一个跨接多个物理网段的网络安全关口设备。它可以对所有流经它的流量进行各种各样最直接的操作处理，如无通告拒绝、ICMP拒绝、转发通过（可转发至任何端口）、各以报头检查修改、各层报文内容检查修改、链路带宽资源管理、流量统计、访问日志、协议转换等。

当我们实现防火墙与入侵检测系统的相互联动后，IDS就不必为它所连接的链路转发业务流量。因此，IDS可以将大部分的系统资源用于对采集报文的分析，而这正是IDS最眩目的亮点。IDS可以有足够的时间和资源做些有效的防御工作，如入侵活动报警、不同业务类别的网络流量统计、网络多种流量协议恢复（实时监控功能）等。IDS高智能的数据分析技术、详尽的入侵知识描述库可以提供比防火墙更为准确、更严格、更全面的访问行为审查功能。

综上所述，防火墙与IDS在功能上可以形成互补关系。这样的组合较以前单一的动态技术或静态技术都有了较大的提高。使网络的防御安全能力大大提高。防火墙与IDS的相互联动可以很好地发挥两者的优点，淡化各自的缺陷，使防御系统成为一个更加坚固的围墙。在未来的网络安全领域中，动态技术与静态技术的联动将有很大的发展市场和空间。

4.4.4 结语

网络安全是一个很大的系统工程，除了防火墙和入侵检测系统之外，还包括反病毒技术和加密技术。反病毒技术是查找和清除计算机病毒技术。其原理就是在杀毒扫描程序中嵌入病毒特征码引擎。然后根据病毒特征码数据库来进行对比式查杀。加密技术主要是隐藏信息、防止对信息篡改或防止非法使用信息而转换数据的功能或方法。它是将数据信息转换为一种不易解读的模式来保护信息，除非有解密密钥才能阅读信息。加密技术包括算法和密钥。算法是将普通的文本（或是可以理解的信息）与一串数字（密钥）的结合，产生不可理解的密文的步骤。密钥是用来对数据进行编码和解码的一种算法。在安全保密中，可通过适当的密钥加密技术和管理机制来保证网络的信息通信安全。

4.5 漏洞扫描技术

漏洞扫描是自动检测远端或本地主机安全的技术，它查询TCP/IP各种服务的端口，并记录目标主机的响应，收集关于某些特定项目的有用信息。这项技术的具体实现就是安全扫描程序。扫描程序可以在很短的时间内查出现存的安全脆弱点。扫描程序开发者利用可得到的攻击方法，并把它们集成到整个扫描中，扫描后以统计的格式输出，便于参考和分析。

4.6 物理安全

为保证信息网络系统的物理安全，还要防止系统信息在空间的扩散。通常是在物理上采取一定的防护措施，来减少或干扰扩散出去的空间信号。为保证网络的正常运行，在物理安全方面应采取如下措施:

〔1〕产品保障方面:主要指产品采购、运输、安装等方面的安全措施。

〔2〕运行安全方面:网络中的设备，特别是安全类产品在使用过程中，必须能够从生成厂家或供货单位得到迅速的技术支持服务。对一些关键设备和系统，应设置备份系统。

〔3〕防电磁辐射方面:所有重要涉密的设备都需安装防电磁辐射产品，如辐射干扰机。

〔4〕保安方面:主要是防盗、防火等，还包括网络系统所有网络设备、计算机、安全设备的安全防护。

计算机网络安全是个综合性和复杂性的问题。面对网络安全行业的飞速发展以及整个社会越来越快的信息化进程，各种新技术将会不断出现和应用。

网络安全孕育着无限的机遇和挑战，作为一个热门的研究领域和其拥有的重要战略意义，相信未来网络安全技术将会取得更加长足的发展。

参考文献

[1] 《密码学》北京大学数学系王杰教授，春季教学课件

[2] [美] Merike Kaeo 著.网络安全性设计[M]. 北京：人民邮电出版社，2005.9.

[3] 黄怡强,等.浅谈软件开发需求分析阶段的主要任务[M].中山大学学报论丛，2002(01).

[4] 胡道元.计算机局域网[M].北京:清华大学出版社.2001.

[5] https://www.360docs.net/doc/6a5267732.html,/Develop/Article/13/13370.shtm - 30k

[6] https://www.360docs.net/doc/6a5267732.html,/kuangmein/source/files/13_14.htm - 2k

[7] https://www.360docs.net/doc/6a5267732.html,/school/asp/base/000140810060421.htm

[8]杨明,谢希仁,等.密码编码学与网络安全:原理与实践(第二版)[M].北京:电子工业出版社,2001.

[9]JessGarms,DanielSummerfield.Professional-JavaSecurity[M].北京:电子工业出版社,2002.

[10]STEVEB,STEPHENB.Cryptography[M].NewYork:McGraw-Hill,2001.

[11]冯登国.密码分析学[M].北京:清华大学出版社,2000.

[12]王育民,刘建伟.通信网的安全-理论与技术[M].西安:西安电子科技大学出版社,1999.

[13]孟博,熊丽,陈浩然.基于PKI的电子商务安全研究[J].计算机工程与应用,2002,38(11):152-155.