四、加密技术
1、密码学基本术语
明文：原始消息;密文：加密后的消息;加密：从明文到密文的变换过程;解密：从密文到明文的变换过程;密码编码学：研究各种加密方案的学科;密码体制或密码：加密方案;密码分析学：研究破译密码获得消息的学科;密码学：密码编码学和密码分析学的统称。
(1)密码编码学特征
转换明文为密文的运算类型：所有加密算法都给予两个原理代换和置换。
所用密钥数：发送方和接收方使用相同密钥，为对称密码、单钥密码或传统密码;如果双方使用不同密钥，称为非对称密码、双钥密码或公钥密码。
处理明文的方法：加密算法分为分组密码和流密码。分组密码每次处理一个输入分组，相应输出一个输出分组;流密码则连续地处理输入元素，每次输出一个元素。
(2) 密码分析学
攻击密码体制一般有两种方法：密码分析攻击和穷举攻击。
密码分析学的攻击主要依赖于算法的性质和明文的一般特征或某些明密文对。由此推导出密钥
穷举攻击：攻击者对一条密文尝试所有可能的密钥。
基于加密信息的攻击类型有：唯密文攻击，已知明文攻击，选择密文攻击，选择明文攻击，选择文本攻击。
一般说来，加密算法起码要经受得住明文攻击。
(3)无条件安全与计算上的安全
无论有多少可使用的密文，都不足以唯一地确定由该体制产生密文所对应的明文，也就是说，无论花多少时间，攻击者都无法将密文解密。除一次一密外，所有加密算法都不是无条件安全的，加密算法的使用者应尽量满足以下标准：破译密码的代价超出密文信息的代价;破译密码的时间超出密文信息的有效生命期。
(4)代换与置换技术
对称加密用到的两种技巧。
代换法：将明文字母替换成其他字母、数字或符号的方法。
置换法：通过置换而形成新的队列。
2、对称密码
(1)对称密码模型
5个基本成分：
明文：作为算法的输入
加密算法：对明文进行各种代换和置换
密钥：加密算法的输入，不同于明文
密文：算法的输出
解密算法：加密算法的逆。
笼统说，加密算法根据输入的信息X和密钥K生成密文Y。
(2)数据加密标准
广泛使用的加密体制是数据加密标准(DES),采用64位的分组长度和56位密钥长度。
(3)其他对称加密算法：三重DES、高级加密标准AES、Blowfish算法、RC5算法。
3、公钥密码
是基于数学函数的算法而非基于置换和代换技术。是非对称的，使用两个独立的密钥。
(1)公钥密码体制
公钥算法依赖于一个加密密钥和一个与之相关但不相同的解密密钥。重要特点是：根据密码算法和加密密钥来确定解密密钥在计算上是不可行的。
通信各方均可访问公钥，而私钥是通信方在本地产生的，只要系统控制了私钥，那么他的通信就是安全的，在任何时刻，系统可以改变其私钥，并公布相应的公钥代替原来的公钥。
(2)公钥密码体制的应用
应用分3种：
加密/解密：发送方用接收方的公钥对消息加密。
数字签名：发送方用其私钥对“消息”签名。
密钥交换：通信双方交换会话密钥。
(3)RSA算法
RSA既能用于加密，又能用于数字签名的算法。
RSA是一种分组密码，明文和密文均是0至n-1之间的整数，通常n是1024位二进制数或309位十进制数。
明文以分组为单位加密，每个分组的二进制值均小于n。分组的大小必须小于或等于log2n位。
选取密钥的过程：选取两个大质数p和q，质数值越大，破解RSA越困难。计算n=pq和z=(p-1)(q-1)。选择小于n的数e，并和z没有公约数(e与z互质)。找到数d，满足ed-1被z整除。公钥数对(n，e)，私钥数对(n，d)。公开公钥。
加密过程：密文=明文的e次方再余n。
解密过程：明文=密文的d次方再余n。
(4)还有其他的常用公钥加密算法如elgamal体制(采用离散对数的公钥体质)，背包公钥(速度快易解密)。
4、密钥管理
(1)密钥的分发
对称密码学的缺点是通信双方事先对密钥达成一致。一般通过密钥分发中心(KDC)，KDC是一个独立的可信网络实体，是一个服务器。每个用户可通过秘密密钥同KDC通信。
如果A和B都是KDC的用户，A与B通信，A通过秘密密钥与KDC通信得到R,B也得到R;则A和B可通过R通信。
(2)密钥的认证
认证中心(CA)验证一个公共密钥是否属于一个特殊的实体。认证中心负责将公共密钥和特定实体进行绑定，CA的工作就是证明身份和发放证书。
五、认证技术;消息认证、数字签名、身份认证。
1、消息认证(验证消息是否来自发送方并未经修改)
(1)消息认证的概念：
接收者能够检验收到的消息是否真实的方法，又称消息完整性校验。
认证的内容包括：消息的信源信宿、内容是否篡改，消息的序号和时间是否正确等。
认证只在通信双方之间进行，不允许第三者进行上述认证。
(2)消息认证的方法：
消息来源认证：A、通信双方事先约定发送消息的数据加密密钥，接收者只要证实发送来的消息是否能用该密钥还原成明文就能鉴定发送者。B、事先约定各自发送消息所使用的通行字，发送者消息中含有加密的通行字，接收者验证是否含有通行字即可，通行字是可变的。
认证信息的完整性：基本途径有两条：采用消息认证码和采用篡改检测码。
认证消息的序号和时间：目的是阻止消息的重放攻击，常用的方法是流水作业号、随机数认证法和时间戳等。
(3)消息认证模式
单向认证：单向通信，接收者验证发送者的身份和消息的完整性
双向认证：双向通信，接收者验证发送者的身份和消息的完整性，同时发送者确认接收者是真实的。
(4)认证函数:分为3类：
信息加密函数MEF：用完整信息的密文作为对信息的认证。
信息认证码MAC：是对信源消息的一个编码函数。消息认证码的安全性取决于两点：采用的加密算法;待加密数据块的生成方法。
散列函数HASH Function：将任意长的信息映射成一个固定长度的信息。
2、数字签名(通信双方真实性检验)
(1)数字签名的需求：消息认证来保护通信双方免受第三方的攻击，但无法防止通信双方的相互攻击。解决方案是是数字签名，是笔迹签名的模拟。具有如下性质：
能证实作者签名和签名的日期和时间、签名时必须能对内容进行鉴别、必须能被第三方证实以解决争端。
基于公钥密码体制、私钥密码体制、公证系统都可以获得数字签名。常用的公钥数字签名算法包括：RSA算法和数字签名标准算法(DSS)。
(2)数字签名的创建
数字签名是一个加密的消息摘要，附加在消息后面。步骤是：甲创建公钥/私钥对;将公钥发送给乙;消息作为单项散列函数输入，散列函数的输出为消息摘要;甲用私钥加密消息摘要，得到数字签名。
数字签名的验证：发送的数据是消息与数字签名的组合。乙将计算出来的消息摘要与甲解密后的消息相匹配，则证明消息的完整性并验证了消息的发送者是甲。
3、身份认证(用户身份是否合法)
又称身份识别。是通信和数据系统中正确识别通信用户或终端身份的重要途径。
常用的方法有：口令认证、持证认证和生物识别。
口令认证：口令由数字、字母组成的字符串，有时也有特殊字符、控制字符等。
持证认证：一种个人持有物，类似钥匙。
生物识别：依据人类自身所固有的生理或行为特征，包括指纹识别、掌纹识别等
常用的身份认证协议有：
一次一密制：每次根据信息产生口令。
X.509认证协议：利用公钥密码技术对X.500(对分布式网络中存储用户信息的数据库所提供的目录检索服务的协议标准)的服务所提供的认证服务的协议标准。
Kerberos认证协议：基于对称密钥体制，与网络上的每个实体共享一个不同的密钥，通过是否知道密钥验证身份。
六、安全技术应用
1、安全电子邮件
加密技术用在网络安全方面通常有两种形式：面向网络的服务和面向应用的服务。
(1)PGP(面向个人、团体)
安全电子邮件加密方案。由5种服务组成：鉴别、机密性、压缩、电子邮件的兼容性和分段。PGP有4种类型的密钥：一次性会话的常规密钥、公开密钥、私有密钥和基于口令短语的常规密钥。
(2)S/MIME(面向商业组织)
基于RSA数据安全技术的Internet电子邮件格式标准的安全扩充。功能有：(1)加密的数据：由加密内容和加密密钥组成。(2)签名的数据：使用签名者的私钥对摘要进行加密形成数字签名。(3)透明签名的数据：签名的数据形成了内容的数字签名。(4)签名并加密的数据：加密的数据可被签名、签名或透明的数据可加密。
2、网络层安全---IPSEC
IP安全协议(称为IPSEC)是在网络层提供安全的一组协议，专门用于Ipv6，但也可用于Ipv4。主要有两个主要协议：身份认证头(AH)协议和封装安全负载(ESP)协议。
AH协议提供源身份认证和数据完整性，但没有提供秘密性;而ESP协议提供了数据完整性、身份认证和秘密性。
源主机在向目的主机发送安全数据报之前，源主机和网络主机进行握手并建立网络层逻辑连接，该逻辑通道称为安全协定(SA)。SA定义的逻辑连接是单工的;如果要双向传输，需要建立两个逻辑连接。
IP数据报格式：IP头+ AH头+TCP或UDP数据段以及IP头+ ESP头+TCP或UDP数据段+ESP尾+ESP身份认证。
3、WEB安全
Web面临的威胁：Web服务器安全威胁、Web浏览器安全威胁、浏览器与服务器之间的网络通信量安全威胁。
Web流量安全性方法
网络级：使用IPSec，使用IP安全性。
传输级：使用安全套接层，在TCP上实现安全性。
应用级：如安全的电子交易(SET)，与应用相关的安全服务被嵌入到特定的应用程序中。
七、入侵检测技术与防火墙
1、入侵检测技术
入侵者分为3类：假冒者(外部人员，未经授权使用计算机资源的人)、非法者(内部人员，越权访问的人)、秘密用户(夺取超级控制并利用控制逃避审计或抑制审计的人)
入侵检测技术分为两种：
统计异常检测：收集一段时间的合法用户的行为，然后统计测试观测其行为，判断是否违法。从阈值检测和基于轮廓两个方面。
基于规则检测：包括异常检测和渗透规则两个方面。
2、防火墙特性
防火墙设计目标：所有由外道内或由内到外必须经过防火墙，只有被授权的通信才能通过防火墙。
用来控制访问和执行站点安全策略的4种常用技术：
服务控制(确定可以访问的Internet服务类型)、方向控制(决定哪些特定方向上服务请求可以被发起并通过防火墙)、用户控制(根据哪个用户尝试访问服务来控制对一个服务的访问)和行为控制(控制怎样使用特定的服务)。
防火墙的功能：
防火墙定义了单个阻塞点，将未授权的用户隔离在被保护的网络之外。不能放拨号上网。
提供了安全与监视有关事件的场所
是一些与安全无关的Internet功能的方便平台
可用作IPSEC(网络层安全)平台。
3、防火墙的分类
常用的防火墙有包过滤路由器、应用级网关和电路级网关。
包过滤路由器：根据一套规则对收到的IP数据报进行处理，决定转发还是丢弃。
应用级网关：也称代理服务器，在应用级的通信中扮演着一个消息传递者的角色。
电路级网关：是一个独立系统，或说它是某项具体功能，也可由应用级网关在某个应用中执行，但不允许建立一个端到端的直接TCP连接，由网关建立两个链接，一个是网关到网内的TCP用户，一个是网关到外部TCP用户，网关仅是一个中继作用。
堡垒主机：作为应用级网关和电路级网关的服务平台。
推荐阅读：
出国留学网计算机等级考试 栏目推荐：