计算机安全体系综述

计算机安全体系综述
摘要：本文通过对计算机安全的简要探究，阐述了当今计算机安全方面面临的威胁，如何减少甚至是防范计算机犯罪，并且重点解析了计算机安全所包含的内容。

关键词：计算机安全威胁计算机犯罪。

Abstract: In this paper, a brief expl oration of computer security, d escribed today's computer security threats, how to reduce or even prevent computer crime, and the focus on analysis of the content contained in computer security
Keywords: computer security, threats, computer crime.
一、网络安全问题概述
1、计算机网络安全定义
国际标准化组织（ISO）对计算机系统安全的定义是：为数据处理系统建立和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。

由此可以将计算机网络的安全理解为：通过采用各种技术和管理措施，使网络系统正常运行，从而确保网络数据的可用性、完整性和保密性。

所以，建立网络安全保护措施的目的是确保经过网络传输和交换的数据不会发生增加、修改、丢失和泄露等。

2、Internet上的安全隐患
随着Internet的发展，网络丰富的信息资源给用户带来了极大的方便，但同时也给上网用户带来了安全问题。

由于Internet的开放性和超越组织与国界等特点，使它在安全性上存在一些隐患。

Internet的安全隐患主要体现在下列几方面：
(1) Internet是一个开放的、无控制机构的网络，黑客（Hacker）经常会侵入网络中的计算机系统，或窃取机密数据和盗用特权，或破坏重要数据，或使系统功能得不到充分发挥直至瘫痪。

(2) Internet的数据传输是基于TCP/IP通信协议进行的，这些协议缺乏使传输过程中的信息不被窃取的安全措施。

(3) Internet上的通信业务多数使用Unix操作系统来支持，Unix操作系统中明显存在的安全脆弱性问题会直接影响安全服务。

(4) 在计算机上存储、传输和处理的电子信息，还没有像传统的邮件通信那样进行信封保护和签字盖章。

信息的来源和去向是否真实，内容是否被改动，以及是否泄露等，在应用层支持的服务协议中是凭着君子协定来维系的。

(5) 电子邮件存在着被拆看、误投和伪造的可能性。

使用电子邮件来传输重要机密信息会存在着很大的危险。

(6) 计算机病毒通过Internet的传播给上网用户带来极大的危害，病毒可以使计算机和计算机网络系统瘫痪、数据和文件丢失。

在网络上传播病毒可以通过公共匿名FTP文件传送、也可以通过邮件和邮件的附加文件传播。

3、网络安全防范的内容一个安全的计算机网络应该具有可靠性、可用性、完整性、保密性和真实性等特点。

计算机网络不仅要保护计算机网络设备安全和计算机网络系统安全，还要保护数据安全等。

因此针对计算机网络本身可能存在的安全问题，实施网络安全保护方案以确保计算机网络自身的安全性是每一个计算机网络都要认真对待的一个重要问题。

由上面所讨论的网络安全隐患可见，网络安全防范的重点主要有两个方面：一是计算机病毒，
二是黑客犯罪。

计算机病毒是我们大家都比较熟悉的一种危害计算机系统和网络安全的破坏性程序。

黑客犯罪是指个别人利用计算机高科技手段，盗取密码侵入他人计算机网络，非法获得信息、盗用特权等，如非法转移银行资金、盗用他人银行帐号购物等。

随着网络经济的发展和电子商务的展开，严防黑客入侵、切实保障网络交易的安全，不仅关系到个人的资金安全、商家的货物安全，还关系到国家的经济安全、国家经济秩序的稳定问题，因此各级组织和部门必须给予高度重视。

尽管我们都希望有一个安全的网络，但要知道，能满足各种需要的绝对的安全网络是很难实现的。

因此，有关单位和部门必须能够评价所拥有的信息价值，并据此来制定相应的安全策略，加强某一方面的安全措施。

例如，有些单位的数据和信息具有很高的保密性，他们就把网络安全定义为使数据不被外界访问；有些单位需要向外界提供信息，但禁止外界修改这些信息，他们就把网络安全定义为数据不能被外界修改；还有的单位对安全的定义会更复杂，他们把数据划分为不同的级别，其中有些级别数据对外界保密，有些级别数据只能被外界访问而不能被修改等等。

由于没有绝对意义上的安全网络存在，任何安全系统的第一步就是制定一个合理的、切实可行的安全策略。

该策略只需阐明要保护的各项条目，并不需要规定具体的技术实现。

因为制定合理的网络安全策略需要正确评估系统信息的价值，所以网络安全策略的制定并不是一件容易的事。

为了对数据进行有效的保护，网络安全策略必须能够覆盖数据在计算机网络系统中存储、传送和处理等各个环节。

二、网络安全管理
网络信息的安全特别是商业信息的安全应包括静态安全和动态安全两个方面，静态安全是指网站内部局域网的安全，是指防止外部黑客攻击和内部越权访问；动态安全则是指信息在传输过程中的安全，包括保密性和认证性。

为了在Internet上方便、安全地开展信息交流和商务活动，目前可以通过下列几项技术措施来加强网络的安全管理。

1、通过口令来控制访问
很多计算机系统常采用口令机制来控制对系统资源的访问，因为选择一个口令是防止未授权访问的最容易和最省钱的方法之一。

网络管理员及用户在选择口令时，应遵循下列原则：用户不得与朋友或者亲属共用口令；
不要使用熟悉的口令类型，诸如自己的生日、纪念日、电话号码或家庭成员的名字等；用户必须选择超过6个字符并且由字母和数字共同组成的口令；
用户必须每隔90天改变一次口令。

如果你是一名网络管理员，那么通过网络操作系统强制用户每隔90天就改变他们的口令；
用户不得写下口令或在电子邮件中传送口令。

在传统的计算机中，使用简单的口令机制就能取得很好的控制效果，因为系统本身不会把口令泄露出去。

但在网络系统中，这样的口令就很容易被窃听。

例如，当某用户从网络登录到一台远程计算机上时，其口令就很容易被人从网络传输线路上窃取，这种技术称为在线窃听。

在线窃听在局域网上更容易实现，因为大多数局域网都是总线结构，任意一台计算机都可以截取网上所有的帧。

所以在网络环境中，使用口令控制机制并不是很安全的方法。

2、防火墙技术
针对黑客入侵带来的问题，可以采用防火墙技术。

所谓防火墙（Firewall）是指一个由软件和硬件设备组合而成，处于局域网和Internet 之间，用来加强局域网与Internet之间安全防范的一个或一组系统。

它具有限制外界用户对内部网络的访问及管理内部用户访问外界网络的权限。

它可以确定哪些内部服务允许外部访
问，哪些外部服务可由内部人员访问。

总之，它可控制内外部网络之间的信息交流，提供接入控制和审查跟踪，是一种访问控制机制。

现有的防火墙技术包括两大类：数据包过滤和代理服务技术。

1）数据包过滤
数据包过滤（Packet Filter）是指在网络层对数据包实施有选择的放行。

事先在防火墙内设计好了一个过滤逻辑，对于通过防火墙的数据流的数据包逐个进行检查，确定是否允许它通过。

图1所示是包过滤器的示意图，网络管理员可以配置包过滤器，指定哪些包可以穿过路由器到达另一网络，哪些包则不可以。

包过滤器是路由器的一部分，因此这种防火墙是基于路由器的防火墙。

包过滤器的工作是检查每个包的头部中的有关字段。

网络管理员可以根据需要灵活配置包过滤器，指定要检测哪些字段，以及如何处理等。

例如，若要控制两个网络的计算机之间进行通信，必须检测每个包头部中的源(source)和目的(destination)字段。

在图1中，若要防止右边网络中IP地址为192.8.52.46的计算机和左边网络中的任何计算机通信，包过滤器必须阻止所有source字段为192.8.52.46的包通过。

同样，若要防止左边网络中IP地址为128.20.02.16的计算机接收来自右边网络中的任意包，包过滤器必须阻止所有destination字段为128.20.02.16的包通过。

除了源地址和目的地址之外，包过滤器还能检查出包中使用的上层协议，从而知道该包所传递的数据属于哪一种服务。

通常，包过滤器的过滤条件是源地址、目的地址以及各种网络服务等的复杂的布尔表达式，凡是满足该过滤条件的包都会被过滤掉。

例如，包过滤器可以同时过滤掉所有目的地址为128.20.3.16的FTP服务，所有源地址为193.3.47.32的WWW 服务，以及所有源地址为193.3.47.33的电子邮件服务。

2）代理服务
代理服务（Proxy Service）技术是一种基于代理服务器的防火墙技术，通常有两部分组成：客户与代理服务器连接，代理服务器再与外部服务器连接，从而使内部网络与外部网络之间没有直接的连接关系。

如果用户所用本地主机位于设有这种防火墙的内部网络中，必须通过代理服务器才能获得外部Internet的服务。

代理服务器一般都提供注册（Log）和审计（Audit）功能。

审计提供了一种分析能力和跟踪调查某些网上行为的功能，它可以对网络系统资源的使用情况做一个完备的记录，以便全面监督和控制网络。

通过审计可以对一些非法行为提供有力的证据，然后向防火墙提出一份不受欢迎的“黑名单”，并对列入“黑名单”的用户或其地址实行封杀。

基于代理服务器的防火墙比基于路由器的（包过滤）防火墙安全保密性要强一些，技术实施也要复杂一些，相应的成本也要高一些。

此外，还有其他形式的防火墙，如屏蔽主机的防火墙，它是将基于路由器的防火墙和基于代理服务的防火墙相结合的一种防火墙技术。

另外还有一种称为网络地址转换器的防火墙技术，其原理同电话网络中的总机类似，网络地址转换器就是一个总机，内部的网络用户就是一个分机。

当内部用户要对外部网络进行访问时，都必须使用同一部总机，而外部网络用户要对内部网络用户通信时，也必须通过总机来转接。

3）防火墙技术的局限性
防火墙技术在网络的安全上能起到一定的防范措施，这主要表现在它可以有效地保护企业的内部网不受主动攻击和入侵。

但防火墙技术还是有一定的局限性的，主要表现在下列几方面：
防火墙只能防止经由防火墙的攻击，而不能防止绕过防火墙的攻击，不能防止网络内部用户对网络的攻击。

由于防火墙对网络安全实行单点控制，因此可能受到黑客的攻击。

像企业内联网由于管理原因造成的人为破坏，防火墙是无能为力的。

防火墙不能保证数据的秘密性，不能对数据进行鉴别，也不能保证网络不受病毒的攻击，
不能防范受病毒感染的软件或文件的传输。

3、数据加密技术
由于防火墙并不能保证数据的秘密性，信息在传输过程中有可能受到攻击而丧失保密性。

针对信息的真实性、完整性和保密性的要求，可以采用数据加密技术。

所谓加密就是利用数学原理，采用计算机科学中的软件方法或硬件方法来重新组织信息，使得除了合法的接收者外，任何人要想恢复原来的信息或读懂变化后的信息是非常困难的。

目前的数据加密技术主要有私钥加密体制和公钥加密体制两种。

1）私钥加密
私钥加密也称为单钥加密或对称加密，这种体制的加密密钥和解密密钥相同或本质上相同（即从其中一个可以很容易地推出另一个），私钥加密的过程如图2所示。

私钥加密的过程是：发送方用一个密钥对待发报文进行加密，然后将报文传送至接受方，接收方再用相同的密钥对收到的报文进行解密。

这一过程可表示成如下的数学形式：
E = encrypt(K, M)
其中：encrypt为发送方使用的加密函数，K为密钥，M为待加密报文，E为加密后的报文。

接收方使用解密函数decrypt产生一逆过程，由此生成原来的报文：
M = decrypt (K, E)
数学上，decrypt和encrypt互为逆函数，它们之间存在如下关系：
M = decrypt(K, encrypt(K, M))
根据对明文加密方式的不同，又可以将私钥加密体制分为两种，一种是序列密码，在这类密码中，将明文按字符逐位地进行加密（替换密码和变位密码就属于序列加密）；另一类是分组密码，在这类密码中，先将明文划分为固定长度的数据组，然后以组为单位进行加密。

私钥加密的典型代表产品是美国的数据加密标准DES(Data encryption standard)，它属于分组密码。

私钥加密方法的特点是：加密的信息具有很高的保密强度，但它的密钥必须严格按照安全的途径进行传递，不同的用户之间使用的密钥要互不相同且要定期更换，因此密钥管理成为影响系统安全的关键性因素，难于满足开放式计算机网络的需求。

2）公钥加密公钥加密体制要求密钥成对出现，即它给每个用户分配两把密钥：一个为加密密钥（Ke），一个为解密密钥（Kd）。

其中加密密钥Ke是公开的，加密算法encrypt和解密算法decrypt也是公开的，只有解密密钥Kd是需要保密的。

公钥加密过程如图3所示。

公钥加密体制的特点如下：
用Ke对明文M加密后，再用Kd解密，即可恢复明文，即decrypt(encrypt(M,Ke),Kd)= M ，而且，加密和解密的运算可以对调，即encrypt(decrypt(M,Kd),Ke)= M
加密密钥不能用来解密，即decrypt(encrypt(M,Ke),Ke)≠M
计算机可以很容易地产生成对的Ke和Kd。

从已知的Ke推导出秘密保存的Kd是不可行的。

可以证明，公钥加密体制是能够保证秘密性的。

只要发送方使用接收方的加密密钥来加密待发报文，就只有接收方能读懂报文，因为只有接收方才知道解密密钥。

目前有许多公钥密码算法，其中最著名的和应用最广泛的公钥密码体制是RSA体制，它是由美国麻省理工学院（MIT）的三位科学家Rivest、Shamir和Adleman提出的，并以他们名字的字头命名。

RSA方法是基于数论中的大整数的素数分解难题，其操作过程如下：
公钥
选择两个素数p和q（典型地这两个素数都应大于10100）
使n=p×q 和φ(n)=（p-1）(q-1)
选择一个正数e使其满足：
（e, φ(n)）= 1, 1< e <φ(n)
将Kp = (n,e) 作为公钥。

私钥
求出正数d使其满足
e×d = 1 modφ(n) , 1 < d <φ(n)
将Ks = (d,p,q)作为私钥。

加解密过程
加密过程：将明文M作变换C = EKp(M) =Memod n ，从而得到密文C。

解密过程：将密文C作变换M = DKs(C) =Cd mod n , 从而得到明文M。

采用公钥加密体制的优点有：密钥分配简单，密钥的保存量少；不相识的人进行谈话可实现保密性要求；可以完成数字签名和数字鉴别等。

虽然公钥加密算法解决了私钥加密算法中密钥分配和管理困难的问题，但公钥加密算法也有它自己的缺点，即对于加密大量重要的秘密信息来说，公钥算法的速度会非常之慢。

此外，公钥加密算法对于有选择的明文攻击是比较脆弱的。

因此在实际应用中，往往采用公钥算法来加密会话密钥（私钥加密密钥），而用私钥加密密钥来加密实际的大量的信息。

具体操作过程如下：
发送方使用公开密钥加密私钥；
发送方传输该加密后的私钥给接收方；
发送方使用该私钥加密明文；
发送方将密文传送给接收方；
接收方使用私有密钥解密加密的私钥，从而获得加密密钥；
接收方接收密文，并用加密密钥解密密文，从而获得明文。

3）信息认证技术
信息的认证性是信息安全的重要方面。

认证的目的有两个：一是验证信息的发送者是真正的而非冒充的；二是验证信息的完整性，即验证信息在传送和存储过程中没有被篡改、重放或延迟等。

信息认证技术主要包括数字签名、身份识别和信息完整性校验等。

在电子商务活动中，信息认证是通过第三方权威机构对用户合法性进行检验和确认，从而保证交易双方或多方的利益不受损害。

(1)数字签名技术
数字签名在电子商务中的作用就如同手工签名在传统商务活动中的作用一样，能起到电子文件认证、核准和生效的作用。

数字签名的基本功能有如下三点：
接收者能够核实发送者对报文的签名；
发送者事后不能抵赖对报文的签名；
接受者不能伪造对报文的签名。

使用公钥密码技术就可以实现数字签名，具体实现过程如下所述：
发送方A用其私钥AKd对报文M进行运算，将结果D(M,AKd)传送给接收方B；
接收方B用已知的公钥对接收到的内容进行运算，得到结果E(D(M,AKd),AKe)= M；
数字签名：因为除了A 以外没有其他人拥有A的私钥，所以除了A以外就没有人能产生密文D(M,AKd)，这说明M被电子签名了；
不可抵赖：若A抵赖曾发报文M给B，B就将M及D(M,AKd)出示给第三方（仲裁方），仲裁方可用密钥Ake验证A确实发送报文M给B，从而使A无法抵赖；
防伪造：若接收方B将报文M伪造成了M'，则B将不能在仲裁方面前出示D(M',AKd)，从而证明了B伪造了报文。

从上述过程可以看出，以上处理仅是对报文进行了数字签名，并没有对报文进行加密。

由于任何一个截获到D(M,AKd)的人都可以利用公钥得到原始报文M，所以在这种传输系统中，
一般使用两套密钥，一套用于数字签名，另一套用于加密。

目前常用的数字签名算法有：RSA签名、DSS签名和Hash签名等。

(2)身份识别技术
在网络环境中开展商务活动，身份识别就显得尤为重要。

一方面，只有合法的用户才可以使用网络资源，所以网络资源管理要求识别用户的身份。

另一方面，电子商务交易的双方并不见面，只通过普通的电子传输信息很难确认对方的身份，所以只有采取一定的措施使商家能确认对方的身份，商家才能放心地开展电子商务活动。

常用的信息认证技术有如下两种：口令方式：口令一般是长度由5到8个字母、数字、特殊符号及控制符等组成。

原则上口令应该容易记忆、不易猜中、不易分析和破译。

标记方式：标记是一种个人持有物，其上记录着可由机器识别的个人信息，作用类似于钥匙的功能。

标记一般有磁介质和智能（IC）卡两种。

在电子商务中，身份识别技术的实现往往要采用密码技术（尤其是公钥密码技术）设计出安全性高的识别协议。

(3)信息完整性及校验技术
信息的完整性要靠信息的认证来实现，信息认证是信息的合法接收者对消息的真伪进行判定的技术，主要内容包括：信息的来源、信息的完整性、信息的序列和时间。

信息完整性校验常用的方法是：发送方在信息中加入一个鉴别码，加密后发送给接收方。

接收方利用约定的算法对收到的信息解密，将得到的鉴别码与收到的鉴别码进行比较，若二者相等则接收，否则拒绝接收。

4、虚拟专用网
虚拟专用网（VPN）是利用公共网络资源为用户建立的专用网。

虚拟专用网有两层含义：一是虚拟的网，虚拟表明其在构成上与实在的网络不同，即没有固定的物理连接，网络只有在用户需要时才建立；二是利用共享的公共网基础设施构成的专用网。

VPN可以将信息加密后重新组包在公共网络上传输，并使用“隧道”技术，使用户感觉好像直接和他们的私有网络相连，是一种集网络加密、访问控制、认证和网络管理与一体，能够实现廉价的、安全可靠的跨地域的数据通信。

这里所说的“隧道”，是指从一个VPN设备开始，通过路由器横跨整个公网到达其它VPN设备，穿过多层建立起一条点到点的虚拟的“通道”，企业网的数据被封装在隧道中进行传输。

虚拟专用网的处理过程为：内部网主机发送明文信息到连接公共网络的VPN设备；VPN 设备根据网络管理员设置的规则，确定是否需要对数据进行加密或让数据直接通过；对需要加密的数据，VPN设备在网络IP层对IP数据包进行加密和附上数字签名；VPN设备对加密后的数据进行重新封装，重新封装后的数据包通过虚拟通道在公网上传输；当数据包到达目标VPN设备时，数据包被解封装，数字签名核对无误后数据包才被解密。

VPN连接中使用的协议有：点到点隧道协议（PPTP）、第二层转发协议（L2F、L2TP）及第三层加密协议（IPSEC）等。

通常VPN整合了范围广泛的用户，从家庭的拨号上网用户到办公室连网的工作站，直到ISP的Web服务器。

用户类型、传输方法，以及由VPN使用的服务的混合性，增加了VPN 设计的复杂性，同时也增加了网络安全的复杂性。

如果能有效地采用VPN技术，是可以防止欺诈、增强访问控制和系统控制、加强保密和认证的。

当然，选择一个合适的VPN解决方案或产品并不是一件容易的事，因为你要处处堤防网络黑客的恶意攻击。

5、反病毒技术
早期的计算机病毒采用的是传统的设计方法，其代码直观、简单，表现形式和处理特征
比较明显，诸如总内存数量减少、速度变慢、直观的显示信息和明显的破坏症状等；侵袭系统的病毒通常为引导型和可执行文件型。

随着反病毒技术的发展及传统软件保护技术的广泛应用，病毒的制造者们在技术和方法上也有了很大提高，病毒的攻击对象也趋于混合，如可同时对可执行文件和系统引导区进行感染；许多病毒增加了反跟踪调试、程序加密和隐蔽性等技术，攻击性和破坏性也大大增强。

新型病毒正向着更具破坏性、更加隐蔽、感染率更高、传播速度更快、适应平台更广泛的方向发展。

病毒的种类和能力也不断地变化和提高，比如象CIH病毒，不仅能破坏软件、侵吞数据，还能破坏硬件BIOS芯片中的程序，导致系统无法启动。

随着Internet的普及和发展，它在给人类带来高效信息传播和交换的同时，也为计算机病毒的传播和发展提供了良好的平台，针对网络的病毒正在以惊人的速度发展，Internet已成为传播病毒的新途径。

特别是E-Mail已成为病毒传播的主要途径之一，由于发送E-Mail 的多向性，一旦一个信息点被感染，整个系统受感染也只是瞬间的事。

因此，如何防止计算机病毒的侵袭已成为网络安全的一项重要内容。

1）常见的几种病毒类型
引导型病毒是最普通的一种病毒。

它驻留在软磁盘的引导扇区，并且被传输到磁盘的分区或DOS引导扇区。

引导型病毒传染计算机的唯一途径就是试图用一张已经被传染了病毒的软盘引导计算机。

宏病毒是采用字处理或扩展性电子表格的宏形式的一种较新的病毒。

它在用户运行字处理或扩展性电子表格程序时就可能运行。

宏病毒是第一种不传染扩展性文件而只传染数据文件的病毒。

由于数据文件更适合用户间共享，并且由于宏病毒比扩展型病毒编制起来更容易些，因此宏病毒很快就流行起来了。

文件型病毒把它们自己附着在可执行文件上，当运行被感染上病毒的可执行文件时，病毒就把自身拷贝进内存，然后再把它们自身安装进其它的可执行文件。

有些文件型病毒能够把它们自身安装到其它的程序上。

传染上文件型病毒的症状包括：程序文件受损、文件大小莫名其妙地增大、程序的图标被修改、当试图运行一个程序时弹出一条奇怪的消息，或者不能运行程序等。

网络病毒可以通过网络协议、命令、消息发布程序和数据连接各种方式传播。

尽管理论上所有的病毒都可以通过网络连接来传递，但网络病毒却是专门利用了网络的脆弱之处设计出来的。

例如，有的网络病毒可以使它们自己附着在工作站与Web服务器之间的FTP传输上，还有的网络病毒只通过Microsoft Exchange消息来传播扩散。

蠕虫病毒并不是技术意义上的病毒，而是一种能够独立运行并通过网络在计算机之间进行传递的程序。

它们可以通过任何类型的文件传输来传播，包括E-mail，所以交换软盘或者在因特网上交换文件时应该注意检测这种病毒。

传染上蠕虫病毒的症状可能包括各种各样不规则的东西，从弹出陌生的消息到损坏文件都有可能。

任何一种类型的病毒如果再具有其它特性的话，检测和清除它们就会变得更加困难。

这些特性可能有加密性、隐蔽性、多态性或者依赖时间性等。

加密的病毒通过修改而防止被检测出来。

大多数病毒扫描软件是通过搜索文件来发现那些标识病毒的字符串而扫描病毒的。

因此加密的病毒会阻止反病毒程序对它进行检测。

具有隐藏性的病毒通过隐藏自己而防止被检测出来。

这类病毒把自己伪装成合法的程序或用它们自己的具有破坏性的代码替换掉合法程序的部分代码。

具有多态性的病毒在每次传输到一个新的系统时都会修改它们自己的特性（如字节的大小和内部指令的安排等），这样就使得要辨认它们变得更加困难。

多态性病毒被认为是最复杂并且潜在威胁最大的一种病毒。

依赖时间性的病毒被设计成依据一个特殊的日期而发作。

这种病毒被比作“定时炸弹”，它在发作日期到来之前会一直保持潜伏和无害状态。