现代密码学原理与应用第1章 .pptVIP

芦花丛中一扁舟， 俊杰俄从此地游， 义士若能知此理， 反躬难逃可无忧。 * 第1章 信息安全与密码学 教材： 现代密码学原理与应用，宋秀丽主编，机械工业出版社 参考书籍： 计算机密码学－－计算机网络中的数据保密与安全（第3版），卢开澄编著，清华大学出版社。 密码编码学与网络安全：原理与实践（第三版），William Stallings 著，刘玉珍，王丽娜等译，电子工业出版社。 1.1 信息安全 根据美国国家安全通信以及信息系统安全委员会的定义：信息安全就是保护信息及其关键要素，包括使用、存储以及传输信息的系统和硬件。 不仅仅指为系统软件设置防火墙，或者使用最新的补丁程序修补最近发现的漏洞，或者将存放备份磁带的档案柜锁起来。信息安全决定需要保护哪些对象，为什么要保护这些对象，需要从哪些方面进行保护，以及如何在生存期内进行保护。 1.1.1 信息安全的概念  “网络安全”与“信息安全” “信息安全”的概念更广，包含着“网络安全” 信息安全——信息在处理、存储、传输和使用中的保密性、完整性和可用性。包含制度法规等管理要素 网络安全——支撑信息处理、存储、传输和使用的网络资源的保护，网络设备、连接线路、网络协议…… Ｐage* 我国法律将信息安全定义为“保障计算机及其相关的、配套的设备和设施（网络）的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，维护计算机信息系统的安全运行”。 信息安全主要指计算机信息系统的安全，具体反映在以下三个层面： (1) 实体安全（又称物理安全）：防止计算机及其网络的硬件设备遭到自然或人为破坏，确保计算机信息系统硬件的稳定运行。 (2) 数据安全（即狭义的“信息安全”）：防止信息在收集、处理、存储、检索、传输和交换等过程中被非法泄漏、篡改、窃取、仿冒或抵赖。 (3) 运行安全（又称系统安全），即：确保计算机及其网络系统的软件稳定运行。 1.1.2 信息安全的基本属性 信息安全的基本属性体现在：保密性、完整性、可用性、可控性和不可否认性。 (1) 保密性(Confidentiality) 保密性是指信息不被泄漏给非授权的用户、实体或进程，或被其利用的特性。 保证信息不被非授权访问，即使非授权用户得到信息也无法知晓信息的内容，因而不能使用。 保密性措施： 采用加密算法； 对信息划分密级，对用户分配不同权限，对不同权限的用户访问的对象进行访问控制； 防止硬件辐射泄露、网络截获、窃听等等。 (2)完整性 (Integrity) 完整性是指信息未经授权不能进行更改的特性。 即信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。 任何中断、窃取、篡改和伪造信息应用特性或状态等行为都是破坏信息的完整性的。 完整性措施： 引入报文（消息）鉴别码（MAC）、数字签名（DS）； 严格控制对系统中数据的写访问。只允许被授权的实体更改。 (3)可用性（Availability） 可用性是指保证被授权的实体可以在需要的时候使用信息及相关的资源。 要求包括信息、信息系统等都可以被授权实体在规定的时间，按要求的方式，及时、可靠地访问，甚至在信息系统部分受损或需要降级使用时，仍能为授权用户提供有效服务。 可用性措施： 在坚持严格的访问控制机制的条件下，为用户提供方便和快速的访问接口，提供安全的访问工具。 (4) 可控性（Controllability）对信息的传播及内容具有控制能力的特性。 (5) 不可否认性（Non-repudiation）防止发送者否认自己已发送过数据，以及接收者否认已收到过数据的特性。 根据威胁的来源和威胁的强度，将信息安全面临的威胁分为自然威胁、系统漏洞、人为因素威胁和敌对的威胁。 1．自然威胁 自然威胁的因素包括自然界不可抗的因素和其他物理因素。 2. 系统漏洞 系统漏洞是在硬件、软件、协议的具体实现成系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。 1.1.3 信息安全面临的威胁  3. 人为因素威胁 人为因素造成的威胁，主要指偶发性威胁、蓄意入侵、计算机病毒等。人为因素的威胁又可以分为如下两类： (1) 人为无意失误 如操作员安全配置不当造成的安全漏洞，用户安全意识不强，用户口令选择不慎，用