2015蓝牙密码.pptVIP

蓝牙的基带传输 编码理论包括三方面内容 信道编码error control coding（可靠性） 信源编码source coding（有效性） 数据加密编data encryption（安全性） 1 信息的安全性 谁是敌人？ 弱点在哪，系统的薄弱环节是什么？ 这些攻击在被攻击之后可能引起的后果是什么？ 那些地方需要进行特别的保护？ 这种保护需要的费用？ 安全系统建立后，其将在多大程度上影响到系统的开放性并带来可能的不便？ 防患于未然是否一定胜过事后补救，如果防范措施过于昂贵或者不切实际，那么在攻击后恢复损失的战是什么？ 世界上没有绝对安全，在某种情况下，被认为是安全的系统在其他一些情况下则有可能不再安全，因此在构建一个安全保障体系时，用户在回答以上问题之后应尽量地权衡考虑。 移动环境下，系统需要有一个强健能安全和信任的基础。无线网络的薄弱点有可能成为整个网络的脆弱环节。 一个安全保障系统就是一个能够保护用户资产不受攻击的系统。 现实中，攻击总是面向防御系统的薄弱环节。薄弱环节可以是偶然情况下暴露或被人分析得到。由此，攻击开始。 2 攻击的后果 静态资产的损失（病毒删除数据库、文件、文档） 动态资产的损失（信用卡交易过程中，信用卡号码被窃取） 对动态资产的攻击可分为 截获---对机密性的攻击 修改/篡改---对完整性的攻击 中断---对可用性的攻击 伪造---对真实性的攻击 截获 属于被动攻击：本质上是在传输的偷听或监视，其目的是从传输中获得信息。被动攻击主要是收集信息而不是进行访问，数据的合法用户对这种活动一点也不会觉察到。被动攻击包括嗅探、信息收集等攻击方法。 修改/篡改 中断 伪造，中断，修改属于主动攻击。 主动攻击包含攻击者访问他所需信息的故意行为。比如远程登录到指定机器的端口找出公司运行的邮件服务器的信息；伪造无效IP地址去连接服务器，使接受到错误IP地址的系统浪费时间去连接哪个非法地址。攻击者是在主动地做一些不利于你或你的公司系统的事情。 对静态资产的攻击 病毒和蠕虫 拒绝服务 入侵 重放 缓冲区溢出攻击 后门攻击 3 信息安全组件 机密性：机密性的获取来自对数据的加密。 密码系统包含两个组件：算法和协议 一个算法是一个可以进行加密与解密的数学函数。 一个协议则涉及到如何使用算法的过程及程序。 通过协议、算法可以用来保证系统能够满足所需的安全性，由此使得系统抵抗外部的攻击。 一个安全系统通过利用发端密钥来对明文进行加密操作，发送者然后通过各种媒体并利用某种协议将加密后的消息传递给接收者，接收者利用接收端密钥进行解密并提取出原始消息。 密钥通常是个很大的数字，一个密钥的可能取值范围被称为“密钥空间”，空间越大，黑客破解密钥并窃取原始信息的可能性越小。类似于锁具。 信息安全组件 完整性 保证消息的完好无损，其通过在消息中加一些附加的信息得以实现，具体实现方法包括校验值，消息摘要和数字签名。在接收端这些附加的消息被检查以使收方可以判断出出消息是否曾经被篡改过，比如银行的支票，推荐对静态和动态资产进行完整性验证。 信息安全组件 授权 反拒认证性 授权和反拒认证具有一些相似的属性，反拒认证性可认为是一个具有正式记录的授权。这些记录将具有法律效应。类似一张支票上的签名，用户可通过数字签名Digital Signature以获得计量。 数字签名的功能 保证信息传输的完整性、发送者的身份认证、防止交易中的抵赖发生。 　　数字签名技术是将摘要信息用发送者的私钥加密，与原文一起传送给接收者。接收者只有用发送的公钥才能解密被加密的摘要信息，然后用HASH函数对收到的原文产生一个摘要信息，与解密的摘要信息对比。如果相同，则说明收到的信息是完整的，在传输过程中没有被修改，否则说明信息被修改过，因此数字签名能够验证信息的完整性。 　　数字签名是个加密的过程，数字签名验证是个解密的过程。 4 安全技术和算法 通常加密算法主要分为对称密钥加密算法和公钥加密算法。 在对称密钥加密算法中，用于加密的密钥也是用于解密的密钥，有些情况下，加密与解密甚至采用相同的算法。 在公钥加密算法，加密和解密使用了不同的密钥。 4.1流加密和块加密 流加密（stream cipher） 每次取一个比特或一个字节进行加密，这种算法将明文当作一个比特流，基于这种技术，明文的长度将等于密钥的长度，无线局域网采用流加密算法，在这种技术中，每次加密所使用的密钥必须各不相同。如果多个分组数据包都使用相同的密钥，那么这些分组数据如果被截获，由此将带来漏洞。 块加密 每次处理提取出明文的一个数据块，然后这一数据块被作为一个整体来产生一个相同长度的加密块。通用的加密块