信息安全与职业道德

第8章 信息安全与职业道德

第34讲 信息安全与职业道德（二）

教学目标及基本要求：

1、掌握信息安全中的几种鉴别技术

2、了解访问控制技术中的登录控制和权限控制

3、掌握防火墙的基本功能和分类

4、熟悉计算机职业道德及相关法规。

教学重点：

信息安全中的鉴别技术，防火墙技术。

教学难点：

信息安全中的鉴别技术

教学内容：

1、鉴别技术

2、访问控制技术

3、防火墙的基本功能及其分类

4、计算机职业道德及相关法规

教学时间：

1学时

主要内容：

8.5 鉴 别 技 术

8.5.1 数字签名

数字签名技术，顾名思义就是利用数字技术的方法实现类似人的亲笔签名的技术。该技术是对需要确认的整个文档进行加密，采用公开密钥技术来实现。它的主要作用就是鉴别信息的保密性、完整性以及确认信息真实来源。如图8-4所示，妮妮用自己的私钥将发给可可的信息加密，我们称这个加密后的密文信息就是带有妮妮的数字签名的信息。

图8-4 数字签名

数字签名真的能够验证收到的信息不是伪造的，并且具有不可否认性吗？

假设可可具有妮妮的公钥。他在一次电子商务活动中与妮妮发生纠纷。可可将带有妮妮的数字签名的信息提交给法庭，以说明妮妮的确给他发过这个文档，并且这个文档只能是妮妮签发的。他再次用妮妮的公钥解密具有妮妮数字签名的密文，得到他事先提交给法庭的原始的明文信息。这样就可以说明：

（1）只有具备私钥才能对该文档进行加密（这是基于公开密钥体制的特性）。

（2）只有妮妮本人才具有这个私钥。

因此，根据我们上一节介绍的RSA 算法的知识，可以说明这个加密文档就是妮妮发可可：你好！

这是给可可的信息。这是给

可可的信息。这是给可可的

信息。这是给可可的信息。

这是给可可的信息。

妮妮 妮妮的 私钥 用妮妮的私钥加密后的密文

过来的。

8.5.2 报文摘要

如前所述，公开密钥体制可以实施数字签名。然而对整个文档进行数字签名需要昂贵的加密、解密的计算开销。因此，日常使用的信息交换没有必要采用数字签名技术。通常，人们在进行信息交换时往往不一定需要对信息进行保密，而只是希望能够保证如下内容。

（1）数据的发送者对数据标有印记，并且可以验证数据的发送者。

（2）所发送的数据在发送者标记并发出后没有被修改过。 通过报文摘要（Message Digest ）技术，可以在不对全部信息进行加密的情况下满足这样的需求。报文摘要采用了一种多对一的散列函数来实现，如图8-5所示。该函数以要发送的信息为输入函数，函数值是一个固定

长度的信息，这个信息就是报文摘要。若输入的信息被改变了，则输出的定长值（摘要）也会相应改变。为了保证对信息的不可伪造性，用于生成报文摘要的散列函数必须具备如下特性。

（1）不同内容的数据形成相同摘要的概率几乎为零。

（2）根据摘要无法还原出原数据。

8.5.3 身份认证

在网络通信过程中，通信双方的身份确认是网络安全通信的前提。

仅采用公开密钥体制进行身份认证是不可靠的。对称加密技术可以进行身份认证，但也存在问题，就是通信双方在通信之前要共同协商一个共有的密钥。这个协商过程是对称加密体制的薄弱环节。通过可信的第三方中介。对于对称密码体制来说，可信中介称为密钥分发中心KDC ；对于公开密钥体制来说，可信中介称为认证中心CA 。

8.5.4 数字证书

对于公开密钥体制来说，由于通信双方不需要相互传递密钥，也就不需要有KDC 之类的设施。但是，在前面利用公开密钥体制来进行身份人证的尝试时，暴露了它的一个问题，那就是如何能够确定公钥拥有者的真实身份？认证中心CA 的作用就是将公钥与特殊的实体进行绑定。如图8-8所示给出了数字证书的获取过程。可可将自己的识别信息和自己的公钥一起发给CA ，CA 对可可的信息进行验证，并确定其身份。如果通过验证，则给可可颁发带有CA 数字签名的数字证书。

图8-8 数字证书的获取过程

图8-5 报文摘要 可可

可可的数字

证书

认证中心

的私钥 认证中心CA

可可的识

别信息

可可的公

钥

长报文

固定大小的报文摘要

多对一散

列函数

8.6 访问控制技术

网络安全技术除信息的保密性、信息的完整性和用户身份的认证之外，还包括访问控制技术。即便是合法的用户，也要根据用户的类型分别赋予对系统的不同访问权限。就像国家重要机关一定要有严格的人员进出控制一样，网络系统也需要根据系统维护、信息保密以及信息的有偿服务等方面的因素合理地限制用户的访问权限。访问控制的主要任务是保证网络资源不被非法/越权访问。

访问控制服务的一般模型如图8-9所示。它假定了

一些主动的实体，称为主体。这是访问事件的发起者，

他们试图去访问一些资源，这些被访问的资源称为客体。访问控制位于主体和客体之间，授权决策控制着哪些主

体在何种情况下可以访问哪些客体。访问控制涉及的技

术比较广，包括登录访问控制、网络权限控制及属性控制等多种手段。 8.6.1 登录控制

登录控制为网络访问提供了第一层访问控制。它控制哪些用户能够登录到服务器并获得网络资源，控制准许用户入网的时间及从哪台工作站入网。

用户的登录控制可分为3个步骤：用户名的识别与验证、用户口令的识别与验证及用户账号的缺省限制检查。3道关卡中只要任何一关未过，该用户便不能进入网络。

对网络用户的用户名可口令进行验证是防止非法访问的第一道防线。为保证口令的安全性，用户的口令不能显示在显示屏上，口令长度应不少于6个字符，口令字符最好是数字、字母和其他字符的混合且用户口令必须经过加密。用户可采用一次性用户口令，也可采用便携式验证器（如智能卡）来验证身份。

网络管理员可以控制或限制普通用户的账号使用、访问网络的时间和方式。用户账号只有系统管理员才能建立。用户口令是用户访问网络所必须提交的“证件”。用户可以修改自己的口令，但系统管理员应该可以控制对口令的以下几个方面的限制：最小口令长度、强制修改口令的时间间隔、口令的唯一性及口令过期失效后允许入网的宽限次数。

用户名和口令验证有效之后，再进一步履行用户账号的默认限制检查。网络应能控制用户登录入网的站点、限制用户入网的时间及限制用户入网的工作站数量。当用户对交费网络的访问“资费”用尽时，网络还应能对用户的帐号加以限制，使用户此时无法进入网络访问。网络应对所有用户的访问进行审计，如果多次输入口令不正确，则认为是非法用户的入侵，应给出报警信息。

8.6.2 权限控制

网络的权限控制是针对网络非法操作提出的一种安全保护措施。用户和用户组虽被赋予了一定的权限，但网络能够控制用户和用户组可以访问哪些目录、子目录、文件和其他资源，可以指定用户对这些文件、目录和设备能够执行哪些操作。受托者指派和继承权限屏蔽可作为权限控制的两种实现方式。受托者指派控制用户和用户组如何使用网络服务器的目录、文件和设备；继承权限屏蔽相当于一个过滤器，可以限制子目录从父目录那里继承哪些权限。

网络应允许/控制用户对目录、文件、设备的访问。用户在目录一级指定的权限对所有文件和子目录有效，用户还可进一步指定对目录下的子目录和文件的权限。对目录和文件的访问权限一般有8种：系统管理员权限、读权限、写权限、创建权限、删除权限、修改权限、文件查找权限及访问控制权限。用户对文件或目标的有限权限取决于以下几个因素：用户的受托者指派、用户所在组的受托者指派和继承权限屏蔽取消的用户权限。一个网络管理员应 图8-9 访问控制服务的一般模型

访问控制 客体 主体

授权策略