计算机安全学.pptxVIP

计算机安全学上海交通大学计算机系王立斌 博士lbwang@/personal/wanglibin/wlb_cn.htm本课程的目的本课程的主要任务是通过对密码编码学和网络安全在原理和实践两方面的课程概述，和大量的背景资料介绍，使学生对计算机安全学概念有较深入理解，并在实践中起指导作用。课程的要求要求学生对基本概念、理论的理解和掌握，进而通过实践结合特定专题研究（指定文献的阅读）加深理解和获得专业经验。第一章 计算机安全概述1.1 一些概念1.2 安全的需求1.3 OSI安全框架及网络安全模型1.4安全威胁（攻击）与防护措施1.5安全服务1.6我国的信息安全现状1.7国家信息安全技术发展战略1.1计算机安全中的一些概念安全的含义（Security or Safety?) 平安，无危险；保护，保全。 （汉语大词典）计算机安全的含义 保护计算机系统，使其没有危险，不受威胁，不出事故。可从它的技术特征上对其进一步认识。安全的含义“如果把一封信锁在保险柜中，把保险柜藏起来，然后告诉你去看这封信，这并不是安全，而是隐藏；相反，如果把一封信锁在保险柜中，然后把保险柜及其设计规范和许多同样的保险柜给你，以便你和世界上最好的开保险柜的专家能够研究锁的装置，而你还是无法打开保险柜去读这封信，这才是安全…”-Bruce Schneier1.1计算机安全中的一些概念(cont.)计算机安全网络安全信息安全（如何定义它们？它们之间的关系如何？）但由此我们可以看出在安全领域的共性问题， 在众多的应用中准确把握分析问题、解决问题的思路。1.2安全的需求（为什么要安全？） 一些数据表明信息安全的重要地位.1.2.1信息业务及其价值1.2.2机密信息1.2.3产权及敏感信息计算机（信息）安全的技术特征可靠性可用性保密性完整性不可抵赖性可控性可靠性（Reliability) 指信息系统能够在规定条件下和规定的时间内完成规定的功能的特性。有三种度量指标：抗毁性 指系统在人为破坏下的可靠性生存性 随机破坏下系统的可靠性有效性 是基于业务性能的可靠性可用性（Availability) 指信息可被授权实体访问并按需求使用的特性，是系统面向用户的安全性能。一般用系统正常使用时间和整个工作时间之比来度量。保密性(Confidentiality) 指信息不被泄露给非授权的用户、实体或过程，或供其利用的特性。保密性是在可靠性和可用性基础上，保障信息安全的重要手段。完整性(Integrity) 指网络信息未经授权不能进行改变的特性，既信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。不可抵赖性(Non-repudiation) 指在信息交互过程中，确信参与者的真实同一性，既所有参与者都不可能否认或抵赖曾经完成的操作和承诺。可控性(Controllability) 指对信息传播及内容具有控制能力的特性。1.3 OSI安全框架及网络安全模型ITU-T X.800 即OSI安全框架提供定义安全和刻画安全措施的系统方法主要概念安全服务安全机制安全性攻击网络安全模型（安全通信模型）网络安全模型模型要求 设计安全变换的合理算法 生成算法所用的秘密信息（密钥）开发秘密信息的分发方法规范使用这种方法通信的协议网络访问安全模型1.4安全威胁与防护措施1.4.1基本概念威胁（Threat)攻击（attack）防护措施（Safeguard）风险（Risk） 现在还没有统一的定义，除了书中给出的定义，还请大家多归纳总结（作业）。1.4安全威胁与防护措施安全的威胁中断截获篡改伪造攻击的分类被动攻击主动攻击1.5安全服务五种通用服务：认证（Authentication）保密 （Encryption）数据完整（Integrity）不可否认（Non-repudiation）访问控制（Access Control）1.5安全服务（Cont.)发展热点：无线加密与电子商务认证中心安全系统基础设施安全风险评估与分析版权信息控制1.6我国的信息安全现状我国与国际标准靠拢的信息安全与网络安全技术和产品标准陆续出台.建立了全国信息技术标准化技术委员会信息技术安全分技术委员会.中国互联网安全产品认证中心宣告成立.公安部计算机信息系统安全产品质量监督检验中心正式成立.1.6我国的信息安全现状（问题）复杂的信息安全管理尚未以立法的形式体现，对密码的管理还没有向公众发布可以遵循的法规。政府部门对信息系统的安全性是非常重视的，但苦于没有好的解决方案或安全建设经费不足。国家通信网络的交换机及其通信设备有一部分由于没有经过安全检测，安全问题没有保证，这是由于安全检测工作的建设滞后于系统的建设造成的。1.6我国的信息安全现状（问题）金融领域的有些单位在系统采购时，没有采购安全系统或安全系统建