信息安全保障基本知识与实践郭亚军.ppt

目前全球对信息的安全性要求越来越高,信息安全作为非传统安全因素，已与各国的政治安全、经济安全、国防安全、文化安全共同成为国家安全的重要组成部分。 信息安全的基本特征 保密性：确保信息不被非授权者获得与使用 完整性：信息是真实可信的，其发布者不被冒充，内容不被篡改。 可用性：确保授权的用户在需要时可以访问信息 可控性：信息能被信息的所有者或被授权人所控制，防止被非法利用。 抗抵赖性：通信双方不能否认己方曾经签发的信息。 信息安全应该达到的效果 口令安全 口令是最常见的身份认证方式 你的口令比你想像的更不安全 目前有一些非常著名的口令猜测软件，使用已经泄漏的口令数据库作为训练数据，能够很快猜出你的口令。 下面是国内几个网站泄漏的口令中，前10名的口令排名 最常见的弱口令特征 单一字符，如111，aaa 顺序字符，包括键盘规律，如123456，qwerty,abcdef 顺序字符叠加 日期，手机号、邮政编码、幸运数字 常见的人名、常见的字，常见的歌曲、电影电视名称等 口令重用或者部分重用 强口令特征 口令长度尽量长，最好能达到12个字符以上 口令应该包含多个不同类型的字符 口令中不能包含与网站名或者用户其他信息内容 口令中尽量不包括常见的字，不用@表示a，这不能增强口令强度 最好自己创建一个句子，这个句子是书面上不出现的，用首写字母和标点符号构建口令 Hash函数的要求 H能用于任意大小的分组 H能产生定长的输出 对任何给定的x，H(x)要相对易于计算，使得硬件和软件实现成为实际可能 对任何给定的码h，寻找x使得H(x)=h在计算上是不可行的，即单向性 对任何给定的分组x，寻找不等于x的y，使得H(x)=H(y)在计算上是不可行的，即弱抗冲突性 寻找对任何的(x,y)对使得H(x)=H(y)在计算上是不可行的，即强抗冲突性 典型的hash算法 MD5，输出128位，使用最广，早就不安全了，1992年开始发现问题，1996年完全攻破。 SHA-1和RIPEMD-160替代 高级一点SHA-512 认证 认证是证实信息交换过程有效性和合法性的一种手段 包括消息认证和实体认证 实体认证有人分为：人机认证和设备间认证 人机认证(身份认证) 人机认证可以通过下面四种方法进行： (1) 根据用户知道什么。如借助口令验证，通过提问验证等。 (2) 根据用户拥有什么。如用磁卡和个人识别卡PIN一起使用。 (3) 根据用户的生物特征。验证用户具有哪些生理特征，如指纹、声音、视网膜纹路、声音、脚印、容貌等。 (4) 根据用户的下意思动作。不同人的同一个动作会留下不同的特征，如手写签字。 设备间认证 一般使用认证协议来实现设备之间的认证 协议是一系列步骤，它包括两方或多方 认证协议主要通过密码技术实现，使用密码技术完成通信双方或多方的身份认证、密钥分发、保密通信和完整性确认等功能 认证协议通常采用密码学机制，如对称加密、消息验证密码、公开密钥加密、hash函数、数字签名和随机数生成程序等来保证消息的保密性、完整性以及消息来源、消息目的、次序、时间性和消息含义等的正确性。 设备之间的认证协议主要分为：基于对称密钥认证协议，基于公开密钥认证协议，两类密钥联合的认证协议以及基于能力的认证协议 数字签名 是使以数字形式存储的明文信息经过特定密码变换生成密文，作为相应明文的签名，使明文信息的接收者能够验证信息确实来自合法用户，以及确认信息发送者身份 一些特殊签名：不可否认签名、盲签名、群签名等 数字证书是由CA签名 网络中的一些攻击 网络嗅探：如可以获取口令、聊天等信息 木马攻击： 钓鱼： 系统漏洞攻击： 口令破解 安全防范 提高安全意思，特别是行为习惯的安全 接入网络前的安全配置：如系统补丁，按照杀毒木马软件，开启防火墙等等 口令设置，不要重用口令，至少要记住不相关的几套口令。 不要随便打开某个链接 不要随便帮别人点赞、投票、或者兑换积分 谢谢！ “ ” “ ” 信息安全保障基本知识与实践郭亚军 信息安全的重要性 信息安全基本知识 身边的信息安全问题 加密技术 密码学中的哈希算法 认证和数字签名 安全防范 目录 据2017年CNNIC（中国互联网络信息中心）的中国互联网络发展状况统计报告显示，截至2016年6月，中国网民规模达到7.10亿人，互联网普及率达到51.7%。 从国家互联网应急中心（CNCERT）发布的《2016年我国互联网网络安全态势综述》中显示，2016年，移动互联网恶意程序捕获数量、网站后门攻击数量以及安全漏洞收录数量较2015年有所上升，而木马和僵尸网络感染数量、拒绝服务攻击事件数量、网页仿冒和网页篡改页面数量等均有所下降。我国网