網(wǎng)絡(luò)傳輸過程中三種安全機(jī)制綜述

2019-11-03 08:59:47

字體：大中小

供稿：網(wǎng)友

彭勁杰

　　[文章導(dǎo)讀]

　　為開放系統(tǒng)的安全通信提供了一種概念性、功能性及一致性的途徑。OSI安全體系包含七個(gè)層次：物理層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層、傳輸層、會話層、表示層和應(yīng)用層。

　　[正文]

　　隨著TCP/ip協(xié)議群在互聯(lián)網(wǎng)上的廣泛采用，信息技術(shù)與網(wǎng)絡(luò)技術(shù)得到了飛速發(fā)展。隨之而來的是安全風(fēng)險(xiǎn)問題的急劇增加。為了保護(hù)國家公眾信息網(wǎng)以及企業(yè)內(nèi)聯(lián)網(wǎng)和外聯(lián)網(wǎng)信息和數(shù)據(jù)的安全，要大力發(fā)展基于信息網(wǎng)絡(luò)的安全技術(shù)。

　　信息與網(wǎng)絡(luò)安全技術(shù)的目標(biāo)

　　由于互聯(lián)網(wǎng)的開放性、連通性和自由性，用戶在享受各類共有信息資源的同事，也存在著自己的秘密信息可能被侵犯或被惡意破壞的危險(xiǎn)。信息安全的目標(biāo)就是保護(hù)有可能被侵犯或破壞的機(jī)密信息不被外界非法操作者的控制。具體要達(dá)到：保密性、完整性、可用性、可控性等目標(biāo)。

　　網(wǎng)絡(luò)安全體系結(jié)構(gòu)

　　國際標(biāo)準(zhǔn)化組織（ISO）在開放系統(tǒng)互聯(lián)參考模型（OSI/RM）的基礎(chǔ)上，于1989年制定了在OSI環(huán)境下解決網(wǎng)絡(luò)安全的規(guī)則：安全體系結(jié)構(gòu)。它擴(kuò)充了基本參考模型，加入了安全問題的各個(gè)方面，為開放系統(tǒng)的安全通信提供了一種概念性、功能性及一致性的途徑。OSI安全體系包含七個(gè)層次：物理層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層、傳輸層、會話層、表示層和應(yīng)用層。在各層次間進(jìn)行的安全機(jī)制有：

　　1、加密機(jī)制

　　衡量一個(gè)加密技術(shù)的可靠性，主要取決于解密過程的難度，而這取決于密鑰的長度和算法。

　　1）對稱密鑰加密體制對稱密鑰加密技術(shù)使用相同的密鑰對數(shù)據(jù)進(jìn)行加密和解密，發(fā)送者和接收者用相同的密鑰。對稱密鑰加密技術(shù)的典型算法是DES（Data Encryption Standard數(shù)據(jù)加密標(biāo)準(zhǔn)）。DES的密鑰長度為56bit，其加密算法是公開的，其保密性僅取決于對密鑰的保密。優(yōu)點(diǎn)是：加密處理簡單，加密解密速度快。缺點(diǎn)是：密鑰管理困難。

　　2）非對稱密鑰加密體制非對稱密鑰加密系統(tǒng)，又稱公鑰和私鑰系統(tǒng)。其特點(diǎn)是加密和解密使用不同的密鑰。

　　（1）非對稱加密系統(tǒng)的關(guān)鍵是尋找對應(yīng)的公鑰和私鑰，并運(yùn)用某種數(shù)學(xué)方法使得加密過程成為一個(gè)不可逆過程，即用公鑰加密的信息只能用與該公鑰配對的私鑰才能解密；反之亦然。

　　（2）非對稱密鑰加密的典型算法是RSA。RSA算法的理論基礎(chǔ)是數(shù)論的歐拉定律，其安全性是基于大數(shù)分解的困難性。

　　優(yōu)點(diǎn)：（1）解決了密鑰管理問題，通過特有的密鑰發(fā)放體制，使得當(dāng)用戶數(shù)大幅度增加時(shí)，密鑰也不會向外擴(kuò)散；（2）由于密鑰已事先分配，不需要在通信過程中傳輸密鑰，安全性大大提高；（3）具有很高的加密強(qiáng)度。

　　缺點(diǎn)：加密、解密的速度較慢。

　　2、安全認(rèn)證機(jī)制

　　在電子商務(wù)活動(dòng)中，為保證商務(wù)、交易及支付活動(dòng)的真實(shí)可靠，需要有一種機(jī)制來驗(yàn)證活動(dòng)中各方的真實(shí)身份。安全認(rèn)證是維持電子商務(wù)活動(dòng)正常進(jìn)行的保證，它涉及到安全管理、加密處理、PKI及認(rèn)證管理等重要問題。目前已經(jīng)有一套完整的技術(shù)解決方案可以應(yīng)用。采用國際通用的PKI技術(shù)、X.509證書標(biāo)準(zhǔn)和X.500信息發(fā)布標(biāo)準(zhǔn)等技術(shù)標(biāo)準(zhǔn)可以安全發(fā)放證書，進(jìn)行安全認(rèn)證。當(dāng)然，認(rèn)證機(jī)制還需要法律法規(guī)支持。安全認(rèn)證需要的法律問題包括信用立法、電子簽名法、電子交易法、認(rèn)證管理法律等。

　　1）數(shù)字摘要

　　數(shù)字摘要采用單向Hash函數(shù)對信息進(jìn)行某種變換運(yùn)算得到固定長度的摘要，并在傳輸信息時(shí)將之加入文件一同送給接收方；接收方收到文件后，用相同的方法進(jìn)行變換運(yùn)算得到另一個(gè)摘要；然后將自己運(yùn)算得到的摘要與發(fā)送過來的摘要進(jìn)行比較。這種方法可以驗(yàn)證數(shù)據(jù)的完整性。

　　2）數(shù)字信封

　　數(shù)字信封用加密技術(shù)來保證只有特定的收信人才能閱讀信的內(nèi)容。具體方法是：信息發(fā)送方采用對稱密鑰來加密信息，然后再用接收方的公鑰來加密此對稱密鑰（這部分稱為數(shù)字信封），再將它和信息一起發(fā)送給接收方；接收方先用相應(yīng)的私鑰打開數(shù)字信封，得到對稱密鑰，然后使用對稱密鑰再解開信息。

　　3）數(shù)字簽名

　　數(shù)字簽名是指發(fā)送方以電子形式簽名一個(gè)消息或文件，表示簽名人對該消息或文件的內(nèi)容負(fù)有責(zé)任。數(shù)字簽名綜合使用了數(shù)字摘要和非對稱加密技術(shù)，可以在保證數(shù)據(jù)完整性的同時(shí)保證數(shù)據(jù)的真實(shí)性。

　　4）數(shù)字時(shí)間戳

　　數(shù)字時(shí)間戳服務(wù)（DTS）是提供電子文件發(fā)表時(shí)間認(rèn)證的網(wǎng)絡(luò)安全服務(wù)。它由專門的機(jī)構(gòu)（DTS）提供。

　　5）數(shù)字證書

　　數(shù)字證書（Digital ID）含有證書持有者的有關(guān)信息，是在網(wǎng)絡(luò)上證明證書持有者身份的數(shù)字標(biāo)識，它由權(quán)威的認(rèn)證中心（CA）頒發(fā)。CA是一個(gè)專門驗(yàn)證交易各方身份的權(quán)威機(jī)構(gòu)，它向涉及交易的實(shí)體頒發(fā)數(shù)字證書。數(shù)字證書由CA做了數(shù)字簽名，任何第三方都無法修改證書內(nèi)容。交易各方通過出示自己的數(shù)字證書來證明自己的身份。

　　在電子商務(wù)中，數(shù)字證書主要有客戶證書、商家證書兩種。客戶證書用于證明電子商務(wù)活動(dòng)中客戶端的身份，一般安裝在客戶瀏覽器上。商家證書簽發(fā)給向客戶提供服務(wù)的商家，一般安裝在商家的服務(wù)器中，用于向客戶證明商家的合法身份。

　　3、訪問控制策略

　　訪問控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非常訪問。它也是維護(hù)網(wǎng)絡(luò)系統(tǒng)安全、保護(hù)網(wǎng)絡(luò)資源的重要手段。各種安全策略必須相互配合才能真正起到保護(hù)作用。下面我們分述幾種常見的訪問控制策略。

　　1）入網(wǎng)訪問控制

　　入網(wǎng)訪問控制為網(wǎng)絡(luò)訪問提供了第一層訪問控制。它控制哪些用戶能夠登錄到服務(wù)器并獲取網(wǎng)絡(luò)資源，以及用戶入網(wǎng)時(shí)間和入網(wǎng)地點(diǎn)。

　　用戶的入網(wǎng)訪問控制可分為三個(gè)步驟：用戶名的識別與驗(yàn)證、用戶口令的識別與驗(yàn)證、用戶帳號的缺省限制檢查。只有通過各道關(guān)卡，該用戶才能順利入網(wǎng)。

　　對用戶名和口令進(jìn)行驗(yàn)證是防止非法訪問的首道防線。用戶登錄時(shí)，首先輸入用戶名和口令，服務(wù)器將驗(yàn)證所輸入的用戶名是否合法。如果驗(yàn)證合法，才繼續(xù)驗(yàn)證輸入的口令，否則，用戶將被拒之網(wǎng)絡(luò)之外。用戶口令是用戶入網(wǎng)的關(guān)鍵所在。為保證口令的安全性，口令不能顯示在顯示屏上，口令長度應(yīng)不少于6個(gè)字符，口令字符最好是數(shù)字、字母和其他字符的混合，用戶口令必須經(jīng)過加密，加密的方法很多，其中最常見的方法有：基于單向函數(shù)的口令加密，基于測試模式的口令加密，基于公鑰加密方案的口令加密，基于平方剩余的口令加密，基于多項(xiàng)式共享的口令加密，基于數(shù)字簽名方案的口令加密等。用戶還可采用一次性用戶口令，也可用便攜式驗(yàn)證器（如智能卡）來驗(yàn)證用戶的身份。

　　2）網(wǎng)絡(luò)的權(quán)限控制

　　網(wǎng)絡(luò)的權(quán)限控制是針對網(wǎng)絡(luò)非法操作所提出的一種安全保護(hù)措施。用戶和用戶組被賦予一定的權(quán)限。網(wǎng)絡(luò)控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源。可以指定用戶對這些文件、目錄、設(shè)備能夠執(zhí)行哪些操作。我們可以根據(jù)訪問權(quán)限將用戶分為以下幾類：（1）特殊用戶（即系統(tǒng)管理員）（2）一般用戶，系統(tǒng)管理員根據(jù)他們的實(shí)際需要為他們分配操作權(quán)限；（3）審計(jì)用戶，負(fù)責(zé)網(wǎng)絡(luò)的安全控制與資源使用情況的審計(jì)。用戶對網(wǎng)絡(luò)資源的訪問權(quán)限可以用一個(gè)訪問控制表來描述。

　　3）目錄級安全控制

　　網(wǎng)絡(luò)應(yīng)允許控制用戶對目錄、文件、設(shè)備的訪問。用戶在月錄一級指定的權(quán)限對所有文件和子目錄有效，用戶還可進(jìn)一步指定對目錄下的子目錄和文件的權(quán)限。對目錄和文件的訪問權(quán)限一般有八種：系統(tǒng)管理員權(quán)限（Supervisor）、讀權(quán)限（Read）、寫權(quán)限（Write）、創(chuàng)建權(quán)限（Create）、刪除權(quán)限（Erase）、修改權(quán)限（MOdify）、文件查找權(quán)限（FileScan）、存取控制權(quán)限（accessControl）。用戶對文件或目標(biāo)的有效權(quán)限取決于以下二個(gè)因素：用戶的受托者指派、用戶所在組的受托者指派、繼承權(quán)限屏蔽取消的用戶權(quán)限。一個(gè)網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)當(dāng)為用戶指定適當(dāng)?shù)脑L問權(quán)限，這些訪問權(quán)限控制著用戶對服務(wù)器的訪問。八種訪問權(quán)限的有效組合可以讓用戶有效地完成工作，同時(shí)又能有效地控制用戶對服務(wù)器資源的訪問，從而加強(qiáng)了網(wǎng)絡(luò)和服務(wù)器的安全性。

　　隨著計(jì)算機(jī)技術(shù)和通信技術(shù)的發(fā)展，計(jì)算機(jī)網(wǎng)絡(luò)將日益成為工業(yè)、農(nóng)業(yè)和國防等方面的重要信息交換手段，滲透到社會生活的各個(gè)領(lǐng)域。因此，認(rèn)清網(wǎng)絡(luò)的脆弱性和潛在威脅，采取強(qiáng)有力的安全策略，對于保障網(wǎng)絡(luò)信息傳輸?shù)陌踩詫⒆兊檬种匾?

　　
摘自　通信市場

上一篇：IPV6為下一代網(wǎng)絡(luò)奠定堅(jiān)實(shí)的基礎(chǔ)

下一篇：一種改善TCP性能的cdma2000鏈路層RLP重傳方案