信息安全概论重点

第二章：

密码系统

一个密码系统可以用以下数学符号描述：

S = {P，C，K，E，D}

P = 明文空间C = 密文空间K = 密钥空间E = 加密算法 D = 解密算法

•当给定密钥k∈K时，加解密算法分别记作Ek、Dk，密码系统表示为

Sk = {P，C，k，Ek ，Dk}

C = Ek （P）

P = Dk （C）= Dk （Ek （P））

第三章：信息认证技术及应用

三、数字签名技术

数字签名概念

在计算机网络应用过程中，有时不要求电子文档的保密性，但必须要求电子文档来源的真实性。数字签名(digital signature)是指利用数学方法及密码算法对电子文档进行防伪造或防篡改处理的技术。就象日常工作中在纸介质的文件上进行签名或按手印一样，它证明了纸介质上的内容是签名人认可过的，可以防伪造或篡改。随着计算机网络的迅速发展，特别是电子商务、电子政务、电子邮件的兴起，网络上各种电子文档交换的数量越来越多，电子文档的真实性显得非常重要。数字签名技术能有效地解决这一问题。

数字签名的功能：可以解决否认、伪造、篡改及冒充等问题

发送者事后不能否认发送的报文签名

接收者能够核实发送者发送的报文签名、接收者不能伪造发送者的报文签名、接收者不能对发送者的报文进行部分篡改

网络中的某一用户不能冒充另一用户作为发送

者或接收者。

RSA签名:

用RSA实现数字签名的方法

要签名的报文输入散列函数，输出一个定长的安全散列码，再用签名者的私有密钥对这个散列码进行加密就形成签名，然后将签名附在报文后。

验证者根据报文产生一个散列码，同时使用签名者的公开密钥对签名进行解密。如果计算得

出的散列码与解密后的签名匹配那么签名就是有效的。因为只有签名者知道私有密钥，因此只有签名者才能产生有效的签名。

认证协议定义：证实客户的真实身份与其所声称的身份是否相符的过程。

//(PKI (Pubic Key Infrastructure)是一个用公钥技术来实施和提供安全服务的具有普适性的安全基础设施)

PKI(Pubic Key Infrastructure)是一系列基于公钥密码学之上，用来创建、管理、存储、分布和作废证书的软件、硬件、人员、策略和过程的集合。

基础：公钥密码学

动作：创建、管理、存储、分布和作废证书

包含：软件、硬件、人员、策略和过程

目的：表示和管理信任关系

作用：PKI能为网络用户建立安全通信信任机制。

什么是证书

数字证书是一段包含用户身份信息用户公钥信息以及身份验证机构数字签名的数据

数字证书是一个经证书认证中心（CA）数字签名的包含公开密钥拥有者信息以及公开密钥

的文件

PKI的应用实例

CA系统实例

在Web服务器和浏览器之间的通讯（SSL）

在Internet上的信用卡交易（SET）

安全电子邮件

Windows智能卡登录

SSL协议流程

Jianhuaban需要上网查查完整版补充一下

SET交易流程

1 持卡人使用浏览器在商家的WEB主页上查看在线商品目录，浏览商品

2 持卡人选择要购买的商品。

3 持卡人填写定单，包括项目列表、价格、总价、运费、搬运费、税费。定单可通过电子化方式从商家传过来，或由持卡人的电子购物软件建立。

4 持卡人选择付款方式，向商家发出购买初始请求，此时SET开始介入。

5 商家返回同意支付、商家证书和支付网关证书等信息。

6 持卡人验证商家身份，将定购信息和支付信息安全传送给商家，但支付信息对商家来说是不可见的。

（双重签名）

7 商家把支付信息传给支付网关，要求验证持卡人的支付信息是否有效

8 支付网关验证商家身份，通过传统的银行网络到发卡行验证持卡人的支付信

息是否有效，并把结果返回商家。

9 商家发送定单确认信息给顾客。顾客端软件可记录交易日志，以备将来查询

10 商家给顾客送货。

11 商家定期向支付网关发送要求支付信息，支付网关通知卡行划帐，并把结

果返回商家。

12 交易结束。

第四章：访问控制

一. 访问控制概念的提出

简单总结，访问控制包括三方面的内容：

认证考虑对合法用户进行验证

控制策略实现对控制策略的选用与管理，对非法用户或是越权操作进行管理

审计非法用户或是越权操作进行追踪

访问控制的三个要素：

客体（Object）：规定需要保护的资源，又称作目标（target)。(文件系统等)

主体（Subject）：或称为发起者(Initiator)，是一个主动的实体，规定可以访问该资源的实体，（通常指用户或代表用户执行的程序）。

控制策略：控制策略是主体对客体的访问规则集，规定可对该资源执行的动作（例如读、写、执行或拒绝访问）。

二. 访问控制模型

•访问控制涉及到主体、客体和控制策略，三者之间关系的实现构成了不同的访问模型，访问控制模型是访问控制实现的基础。

自主访问控制模型（DAC）

强制访问控制模型（MAC）

1985年美国军方提出可信计算机系统评估准则TCSEC

基于角色的访问控制（RBAC）

1992年提出的

基于任务的访问控制模型（TBAC）

前两种访问模型的定义：

自主访问控制模型DAC （Discretionary AccessControl Model）

根据主体的身份及允许访问的权限进行决策。

自主是指具有某种访问能力的主体能够自主地将访问权的某个子集授予其它主体。

是根据自主访问控制策略建立的一种模型，允许合法用户以用户或用户组的身份访问策略规

定的客体，同时阻止非授权用户访问客体，某些用户还可以自主地把自己所拥有的客体的访问权限授予其它用户

强制访问控制模型MAC (Mandatory Access ControlModel)

为了实现比DAC更为严格的访问控制策略，美国政府和军方开发了各种各样的控制模型，这

些方案或模型都有比较完善的和详尽的定义。

用户和客体都被赋予一定的安全级别，如，绝密级，机密级，秘密级，无密级。用户不能

改变自身和客体的安全级别，只有管理员才能够确定用户和组的访问权限。

在实施访问控制时，系统先对访问主体和受控对象的安全级别属性进行比较，再决定访问

主体能否访问该受控对象。

第五章：黑客攻击与防范技术

典型的攻击步骤

①预攻击探测

收集信息,如OS类型,提供的服务端口

②发现漏洞,采取攻击行为

破解口令文件,或利用缓存溢出漏洞

③获得攻击目标的控制权系统