大数据导论 第10章 数据安全

4 数字签名
2）签名过程
发送报文时，发送方用一个哈希函数从报文文本中生成报文摘要，然 后用自己的私人密钥对这个摘要进行加密，这个加密后的摘要将作 为报文的数字签名和报文一起发送给接收方，接收方首先用与发送 方一样的哈希函数从接收到的原始报文中计算出报文摘要，接着再 用发送方的公用密钥来对报文附加的数字签名进行解密，如果这两 个摘要相同、那么接收方就能确认该数字签名是发送方的。
1 密码学
3）密码的类型
有两种基本的密码类型：代换密码和置换密码。
代换密码（substitution cipher）就是用不同的比特、字符、字符串 来代替原来的比特、字符、字符串。
置换密码（transposition cipher）不是用不同的文本来替换原来的 文本，而是将原来的文本做一个置换，即将原来的比特、字符、 字符串重新排列以隐藏其意义。
2）常见身份认证形式 常见的身份认证形式包括：静态密码，智能卡（IC卡），
短信密码，动态口令牌，USB KEY，OCL，数字签名， 生物识别技术，双因素身份认证等。
10.2 信息安全防范
1防火墙 1）防火墙的定义 防火墙的本义是指古代构筑和使用木制结构房屋的时候，为防
止火灾的发生和蔓延，人们将坚固的石块堆砌在房屋周围作 为屏障，这种防护构筑物就被称之为“防火墙”。信息安全中 的防火墙（firewall）是一项协助确保信息安全的设备，会 依照特定的规则，允许或是限制传输的数据通过。防火墙可 以是一台专属的硬件也可以是架设在一般硬件上的一套软件 。防火墙是一种位于内部网络与外部网络之间的网络安全系 统。见图。 在网络中，防火墙是一种将内部网和公众访问网（如Internet ）分开的方法，实际上是一种隔离技术。
（2）基于网络的入侵检测系统。通过被动地监听网络上传输的原始 流量，对获取的网络数据进行处理，从中提取有用的信息，再通 过与已知攻击特征相匹配或与正常网络行为原型相比较来识别攻 击事件。
3 访问控制
1）访问控制定义
访问控制（Access control）就是在身份认证的基础上，依据 授权对提出的资源访问请求加以控制。访问控制是网络安全防范 和保护的主要策略，它可以限制对关键资源的访问，防止非法用 户的侵入或合法用户的不慎操作所造成的破坏。
2）公钥加密技术
公钥加密系统具有以下功能：①机密性；②确认；③数据完整性； ④不可抵赖性。
公钥密码体制的算法中最著名的代表是RSA系统，此外还有：背包 密码、McEliece密码、Diffe_Hellman、Rabin、零知识证明、椭 圆曲线、EIGamal算法等。
在实际应用中，对称密码系统与公钥密码系统经常有两种结合方式： 电子信封和交换会话密钥。
加密方法使用一种秘密的数值，称为密钥（通常是一长串二进制 数），密钥使算法得以具体实现，用来加密和解密。
算法是一组数学规则，规定加密和解密是如何进行的。 较大的密钥空间能允许更多的密钥。
1 密码学
2）保密通信模型
保密通信的基本模型如图所示，其中：①信源：信息的发送者；② 信宿：信息的接收者；③密钥管理是第三方的密钥分发中心（密 钥管理之间通信的密钥的信道为假设为绝对安全信道）；④密钥： 由密钥管理中心分发，用于密码机加/解密的信息（Key）；⑤密 码机：负责相关的加密运算的机器；⑥加密：通过加密机再结合 密钥（Key）使明文变成密文；⑦解密：通过加密机再结合密钥 使密文变成明文。是加密的逆过程（其使用的Key和加密使用的 Key未必完全相同）。
3 非对称密码体制
1）非对称密钥加密体制
非对称密钥加密体制，又称为公钥密码体制，指对信息加密和解密 时所使用的密钥是不同的，即有两个密钥，一个是可以公开的， 另一个是私有的，这两个密钥组成一对密钥对。如果使用其中一 个密钥对数据进行加密，则只有用另外一个密钥才能解密。由于 加密和解密时所使用的密钥不同，这种加密体制称为非对称密钥 加密体制。
2）访问控制的类型
（1）按控制方式分类 访问控制可分为自主访问控制和强制访问控制两大类。
（2）按控制范围分类 访问控制主要有网络访问控制和系统访问控制。
3 访问控制
3）访问控制系统
访问控制系统一般包括：主体、客体、安全访问策略。
4）访问控制人员分类
操作系统用户范围很广，拥有的权限也不同。一般分为如 下几类：
1 防火墙
3）防火墙的种类
（1）从历史上来分，防火墙经历了四个阶段：基于路由器的防火墙、用户 化的防火墙工具套、建立在通用操作系统上的防火墙、具有安全操作系 统的防火墙。
（2）从结构上来分，防火墙有两种，代理主机结构和路由器加过滤器结构。
（3）从原理上来分，防火墙则可以分成4种类型，特殊设计的硬件防火墙、 数据包过滤型、电路层网关和应用级网关。
1 防火墙
2）防火墙技术
防火墙技术是保护网络不受侵犯的最主要技术之一。防火墙一般位于网络 的边界上，按照一定的安全策略，对两个或多个网络之间的数据包和连 接方式进行检查，来决定对网络之间的通信采取何种动作，比如允许， 拒绝，或者转换。其中被保护的网络通常称为内部网络，其他称为外部 网络。使用防火墙，可以有效的控制内部网络和外部网络之间的访问和 数据传输，防止外部网络用户以非法手段通过外部网络进入内部网络访 问内部网络资源，并过滤不良信息。安全、管理和效率，是对防火墙功 能的主要要求。防火墙能有效地监控内部网和Internet之间的任何活动， 保证内部网络的安全。以此来实现网络的安全保护。
2 对称密码体制
1）密码的类型
对称密码术已被人们使用了数千年。对称系统速度非常快，却易受攻 击，因为用于加密的密钥必须与需要对消息进行解密的所有人一起 共享。
对称密码体制是一种传统密码体制，也称为私钥密码体制。在对称加 密系统中，加密和解密采用相同的密钥。因为加解密密钥相同，需 要通信的双方必须选择和保存他们共同的密钥，各方必须信任对方 不会将密钥泄密出去，这样就可以实现数据的机密性和完整性。
2）入侵检测系统
入侵检测系统是指对于面向计算资源和网络资源的恶意行为的识别和响应 系统。一个完善的IDS系统应该具备下列特点：经济性，时效性，安全 性和可扩展性。入侵检测作为安全技术其作用在于：识别入侵者；识别 入侵行为；检测和监视已成功的安全破绽；为对抗入侵及时提供重要信 息，阻止事件的发生和事态的扩大。
2 入侵检测
3）发展历程
从实验室原型研究到推出商业化产品、走向市场并获得广泛认同， 入侵检测走过了30多年的历程。
（1）概念的提出。 （2）模型的发展。 （3）技术的进步。
4）感觉技术分类
（1）特征检测。 （2）异常检测。
2 入侵检测
5）根据其检测数据来源分类
（1）基于主机的入侵检测系统。主要使用操作系统的审计、跟踪日 志作为数据源，某些也会主动与主机系统进行交互以获得不存在 于系统日志中的信息以检测入侵。
（1）系统管理员。 （2）系统安全员。 （3）系统审计员。 （4）一般用户。
4 网络安全策略、VPN与隔离
1）网络安全策略
（1）技术层Leabharlann 对策对于技术方面，计算机网络安全技术主要有实时扫描技术、实时监 测技术、防火墙、完整性检验保护技术、病毒情况分析报告技术 和系统安全管理技术。综合起来，技术层面可以采取以下对策： ①建立安全管理制度。②网络访问控制。③数据库的备份与恢复。 ④应用密码技术。⑤切断传播途径。⑥提高网络反病毒技术能力。 ⑦研发并完善高安全的操作系统。
（4）从侧重点不同，可分为包过滤型防火墙、应用层网关型防火墙、服务 器型防火墙。
1 防火墙
4）防火墙发展历史
（1）第一代防火墙，采用包过滤（Packet filter）技术。
（2）第二代防火墙，电路层防火墙，1989年由贝尔实验室推出。
（3）第三代防火墙，应用层防火墙（代理防火墙）。
（4）第四代防火墙，1992年USC信息科学院的Bob Braden开发出了基于 动态包过滤（Dynamic packet filter）技术，后来演变为状态监视（ Stateful inspection）技术。
4）密码系统的强度
加密方法的强度来源于算法的强弱、密钥的机密性、密钥的长度、 原始向量及它们是怎样共同运作的。保密系统的强度指在不公开 加密算法或密钥的情况下，破译算法或密钥的难度。要破解一个 密钥，就需要处理数量惊人的可能值且在这些可能值中希望找到 一个值，该值可以用来加密一个特定的消息。密码系统的强度还 跟攻破密钥或计算出密钥值所必须的能力和时间有关。
（5）第五代防火墙，1998年NAI公司推出了一种自适应代理（Adaptive proxy）技术，并在其产品中实现。
（6）第六代防火墙，一体化安全网关UTM。UTM统一威胁管理，在防火 墙基础上发展起来的，具备防火墙、IPS、防病毒、防垃圾邮件等综合 功能的设备。
1 防火墙
5）防火墙的工作原理
工作原理防火墙就是一种过滤塞。防火墙的工作方式都是一样的：分析出 入防火墙的数据包，决定放行还是把他们扔到一边。所有的防火墙都具 有IP地址过滤功能。这项任务要检查IP包头，根据其IP源地址和目标地 址做出放行/丢弃决定。
（2）管理层面对策
计算机网络的安全管理，不仅要看所采用的安全技术和防范措施， 而且要看它所采取的管理措施和执行计算机安全保护法律、法规 的力度。只有将两者紧密结合，才能使计算机网络安全确实有效。
1 防火墙
6）防火墙硬件架构
（1）通用CPU架构。 （2）ASIC（专用集成电路）架构。 （3）网络处理器架构。
7）防火墙配置
（1）Dual-homed方式。 （2）Screened-host方式。 （3）Screened-subnet方式。
2 入侵检测
1）入侵检测定义及功能
入侵检测（Intrusion Detection）是对入侵行为的检测。它通过收集和分析 网络行为、安全日志、审计数据、其他网络上可以获得的信息及计算机 系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的 行为和被攻击的迹象。
第10章 数据安全
10.1 密码体制与认证技术学 10.2 信息安全防范 10.3 数据安全 10.4 系统安全
10.1 密码体制与认证技术
1密码学 1）相关概念
加密是将原始数据，称之为明文，转化成一种看似随机的、不可读 的形式，称之为密文。
能够提供加密和解密机制的系统被称为密码系统，它可由硬件组件 和应用程序代码构成。密码系统使用一种加密算法，该算法决定 了这个加密系统的简单或复杂的程度。大部分的加密算法都是复 杂的数学公式，这种算法以特定顺序作用于明文。
5 身份认证技术
1）身份认证概述
身份认证是在计算机网络中确认操作者身份的过程。身份认证可分 为用户与主机间的认证和主机与主机之间的认证，用户与主机之 间的认证可以基于如下一个或几个因素：用户所知道的东西：例 如口令、密码等，用户拥有的东西，例如印章、智能卡（如信用 卡等）；用户所具有的生物特征：例如指纹、声音、视网膜、签 字、笔迹等。
4 数字签名
1）数字签名概述
数字签名，又称公钥数字签名、电子签章，即只有信息的发送者才 能产生的别人无法伪造的一段数字串，这段数字串同时也是对信 息发送者发送信息真实性的一个有效证明。
数字签名是个加密的过程，数字签名验证是个解密的过程。其目的 是保证信息传输的完整性、发送者的身份认证、防止交易中的抵 赖发生。
2）签名过程
数字签名技术是将摘要信息用发送者的私钥加密，与原文一起传送 给接收者。接收者只有用发送者的公钥才能解密被加密的摘要信 息，然后用HASH函数对收到的原文产生一个摘要信息，与解密 的摘要信息对比。如果相同，则说明收到的信息是完整的，在传 输过程中没有被修改，否则说明信息被修改过，因此数字签名能 够验证信息的完整性。
2）密码长度
通常提到的密钥都有特定的位长度，如56位或128位。这些长度都是 对称密钥密码的长度，而非对称密钥密码中至少私有元素的密钥长 度是相当长的。而且，这两组的密钥长度之间没有任何相关性，除 非偶尔在使用某一给定系统的情况下，达到某一给定密钥长度提供 的安全性级别。但是，Phil Zimmermann提出80位的对称密钥目前 在安全性方面与1024位的非对称密钥近似相等；要获得128位对称 密钥提供的安全性，可能需要使用3000位的非对称密钥。