论互联网时代下的网络信息安全体系.doc

论互联网时代下的网络信息安全体系 孙振武 南京信息工程大学滨江学院花旗营校区09软件工程系，南京 210044 摘要：21世纪是信息的时代。 信息成为一种重要的战略资源, 信息的获取、处 理和安全保障能力成为一个国家综合国力的重要组成部分。 信息安全事关国家安 全、事关社会稳定。 因此, 必须采取措施确保我国的信息安全。 近年来, 信息安全 领域的发展十分迅速, 取得了许多新的重要成果。 信息安全理论与技术的内容十 分广泛, 但由于篇幅所限, 这里主要介绍密码学、可信计算、网络安全和信息隐 藏等方面的研究和发展。 关键词：网络，信息，安全，密码，法律，责任 1 引言 21世纪是信息的时代。 一方面, 信息技术和产业高速发展, 呈现出空前繁荣的景象。 另一方面, 危害信息安全的事件不断发生, 形势是严峻的。 信息安全事关国家安全和社会稳定, 因此, 必须采取措施确保我国的信息安全[1]。 信息安全主要包括以下4个侧面: 信息设备安全、数据安全、内容安全和行为安全。 信息系统硬件结构的安全和操作系统的安全是信息系统安全的基础, 密码、网络安全等技术是关键技术。 只有从信息系统的硬件和软件的底层采取安全措施, 从整体上采取措施, 才能比较有效地确保信息系统的安全[2]。 为什么信息安全的问题如此严重呢？从技术角度来看, 主要有以下一些原因: 1. 微机的安全结构过于简单。 20世纪70年代, 由于集成电路技术的发展, 产生了微机。微机被称为个人计算机(personal computer)。 由于是个人使用的计算机, 不是公用的计算机, 一是为了降低成本, 二是认为许多安全机制不再必要, 所以就去掉了许多成熟的安全机制, 如存储器的隔离保护机制、程序安全保护机制等。 于是, 程序的执行可以不经过认证, 程序可以被随意修改, 系统区域的数据可以随意修改。 这样, 病毒、蠕虫、木马等恶意程序就乘机泛滥了[3]。 2. 信息技术的发展使微机又成为公用计算机。 在应用上, 微机已不再是单纯的个人计算机, 而变成了办公室或家庭的公用计算机。 可是由于微机去掉了许多成熟的安全机制, 面对现在的公用环境, 微机的安全防御能力就显得弱了。 3. 网络把计算机变成网络中的一个组成部分。 网络的发展把计算机变成网络中的一个组成部分, 在连接上突破了机房的地理隔离, 信息的交互扩大到了整个网络。由于Internet 网络缺少足够的安全设计, 于是置于网络世界中的计算机, 便危机四伏。 难怪人们说: “如果上网, 你所受到的安全威胁将增大几倍。 而如果不上网, 则你所得到的服务将减少几倍”。 又由于网络协议的复杂性, 使得网络协议的安全证明和验证十分困难。 目前人们只能证明和验证一些简单的网络协议, 所以, 无法避免在网络协议中存在安全缺陷。 反言之, 即使网络协议是正确的,也不能确保百分之百安全。 正确的协议也可被利用进行攻击。 攻击者完全可以根据哲学上“量变到质变”的原理, 发起大量的正常访问, 耗尽计算机或网络的资源, 从而使计算机瘫痪。 著名的DoS攻击就是明证[4]。 4. 操作系统存在安全缺陷。 操作系统是计算机最主要的系统软件, 是信息安全的基础之一。 然而, 因为操作系统太庞大(如, Windows 操作系统就有上千万行程序), 致使操作系统都不可能做到完全正确。 操作系统的缺陷所造成的功能故障, 往往可以忽略。 如, 当Windows出现死机时,　人们按一下复位键重新启动就可以了。 但是, 如果操作系统的缺陷被攻击者利用, 则造成的安全后果却不能忽略[5]。 2 技术层面 信息安全离不开密码学。 作为信息安全的关键技术, 密码学可以提供信息的保密性、完整性、可用性以及抗抵赖性。 密码学主要由密码编码学和密码分析学两部分组成, 其中密码编码学的主要任务是研究对信息进行编码以实现信息隐蔽, 而密码分析学主要研究通过密文获取对应的明文信息。 密码编码学与密码分析学相互对立, 又相互依存, 从而推动了密码学自身的快速发展[6,7]。 当前, 密码学的研究主要是基于数学的密码理论与技术。 现代密码学的研究可大致分为3类: Hash函数、对称密码(又称为私钥密码)和非对称密钥(又称为公钥密码)[8,9]。 下面, 我们将分别介绍这3类密码体制的研究现状和发展趋势。 2.1 Hash函数的研究 密码学Hash函数(也称为杂凑函数)将任意长的输入消息串变化成为固定长度的输出串, 这个输出串称为该消息的Hash值(也称为杂凑值)。 这里, 我们设y=h(x)为