计算机导论第三版课件第10章.pptVIP

本科教学水平评估上大本科教学水平评估计工作  * 计算机信息安全技术 内容提要 本章首先介绍信息社会所面临的主要问题：信息安全和计算机病毒，包括计算机系统和信息所面临的各种攻击手段以及常见的计算机病毒。重点讲述了各种防御计算机信息受到攻击的技术。通过本章学习，应掌握目前计算机尤其是网络所可能面临的安全保密问题，了解各种保密技术、防御技术、审计与监控技术以及病毒防治技术等防御措施。 * 信息安全的概念与现状 随着信息存储方式的变化，信息安全的概念也出现新的情况。 传统信息安全：通过物理手段和管理制度来保证信息的安全 计算机安全：保护所有信息储存设备所采取的手段 网络安全：用于保护传输的信息和防御各种攻击的措施 随着Internet在更大范围的普及，它所产生的负面影响也越来越大，主要体现： 黑客阵营的悄然崛起 网上黄毒泛滥 网上病毒的传播 网上偷盗之风的盛行 * 信息安全的定义 信息安全的定义：对信息系统中的硬件、软件及数据进行保护，防止遭到破坏、更改或泄漏。要实现这样的“安全”，也不是某个技术能够解决的，它实际上是一个过程 可信任计算机标准评估准则-橙皮书（TCSEC，美国）：该标准将计算机安全分为8个等级，由低到高为D1、C1、C2、B1、B2、B3、A1和A2，各等级主要考虑系统的硬件、软件和存储的信息免受攻击 信息技术安全评价准则-白皮书（ITSEC，英、法、德、荷）：在TCSEC基础上，首次提出了信息安全的保密性、完整性、可用性的概念，把可信计算机的概念提高到可信信息技术的高度上来认识。 信息技术安全评价的通用准则（CC，美、加、英、法、德、荷）：它的基础是欧洲的ITSEC，美国的包括TCSEC在内的新的联邦评价标准，加拿大的 CTCPEC，以及国际标准化组织的SC27下的WG3的安全评价标准。 * 威胁信息安全的类型 威胁信息安全的因素有人为主动的和其他因素造成的两种类型： 计算机罪犯的类型： 工作人员。 外部使用者。 黑客（hacker）和解密者。 有组织的罪犯。 其他的威胁因素 自然危害。 内战和恐怖活动。 技术失误。 人为错误。 * 信息安全的威胁手段 信息安全需求： 保密性：系统中的信息只能由授权的用户访问 完整性：系统中的资源只能由授权的用户进行修改，以确保信息资源没有被篡改 可用性：系统中的资源对授权用户是有效可用的 威胁手段：根据攻击目的和方式可以简单分为主动攻击和被动攻击 被动攻击：通过偷听和监视来获得存储和传输的信息 主动攻击：修改信息、创建假信息 重现：捕获网上的一个数据单元，然后重新传输来产生一个非授权的效果 修改：修改原有信息中的合法信息或延迟或重新排序产生一个非授权的效果 破坏：利用网络漏洞破坏网络系统的正常工作和管理 伪装：通过截取授权的信息伪装成已授权的用户进行攻击 * 威胁信息安全的犯罪的形式 破坏数据和设备。工作人员有时候会试图破坏计算机设备、程序或者文件，而黑客和解密者则也可能通过传播病毒来进行对设备和数据的破坏。 偷窃。偷窃的对象可以是计算机硬件、软件、数据甚至是计算机时间。 操纵。找到进入他人计算机网络的途径并进行未经授权的操作。 * 信息的保密性 对称密码体制：其特征是加密密钥和解密密钥相同，DES是一种分组密码，它适应计算机环境的近代对称密码体制。DES的基本设计思想是通过循环和迭代，将简单的基本运算（左移、右移、模2加法等）和变换（选择函数、置换函数）构成数据流的非线性变换（加密变换或解密变换） 公钥（非对称）密码体制：其特征是密钥由两个不同的部分组成，公开的加密密钥和保密的解密密钥。RSA是公钥密码体制中最成功的一种 * 信息的完整性 消息认证：消息接收者能确定 消息来源于被指定的发送者 消息是发送给预期的接收者 消息内容是完整可信的，即在传输过程中没有被修改或替换 消息的序号和时间性 数字签名：网络服务中的身份验证，消息接收者能确定 接收方能确认信息确实来自指定的发送者 发送者不能否认所发信息的内容 接收者不能伪造信息内容 * 因特网中使用的密码技术 E-mail安全与PGP：PGP是一种E-mail安全的免费软件，实现的安全机制有：数字签名、密钥管理、加密和完整性，它提供安全服务有：保密性、信息来源证明、信息完整性、信息来源的无法否认 Web安全中的密码技术： SSL：建立在TCP/IP协议之上的提供客户机和服务器双方网络应用通信的开放协议，它由SSL记录协议和SSL握手协议组成。SSL握手协议在SSL记录协议发送数据之前建立安全机制，包括认证、数据加密和数据完整性。实现通信双方之间认证、连接的保密性、数据完整性、数据源点认证等安全服务 SHTTP是增强HTTP安全的一种新协议，即将成为一项