信息安全技术综述

2020-06-11张瑜

电子技术与软件工程 2020年1期

文/张瑜

（云南大学旅游文化学院信息学院云南省丽江市 674100）

1 引言

随着信息技术的发展，人们的工作与生活与信息技术息息相关，随着网上购物与手机支付普及，手机银行的使用，信息安全的问题无处不在，时常听到有人说QQ 号被盗，银行卡里的钱被转走了等，这些都是由于个人的重要信息的泄露原因，因此信息安全问题也越来越备受关注，信息安全问题不仅威胁到个人，同时已经威胁到国家的政治，经济，军事等众多领域。

信息安全是指保护信息系统的软硬件和数据资源，不要因为偶然的或者恶意的行为受到篡改、泄露或破坏。这里的信息系统从广义上说：凡是提供信息服务的系统；而从狭义上说是指计算机系统。信息系统的基本要素分为三部分：人、信息、系统。系统安全主要对应物理安全和运行安全；信息安全主要指数据安全和内容安全；人的安全主要是通过管理来保证。系统和信息两部分的安全需要信息安全的重要技术来保证。

2 系统安全技术

系统安全主要由物理安全和运行安全两部分组成。物理安全主要是指实体安全与环境安全，目的是研究如何保护物理设备的安全和环境的安全。主要的物理安全技术包括防偷盗、防火灾、防静电、防雷击、防泄漏和物理隔离等安全技术。信息安全的基础和前提是物理安全，如果不能保证物理安全，那么谈其他安全均没有意义的。

运行安全是信息系统的运行过程和状态的保护。运行安全主要安全技术包括身份认证、访问控制、防火墙、入侵检测和容侵技术、容错技术等。

2.1 身份认证技术

在安全信息系统的设计中，身份认证是第一道关卡，用户在访问系统前，起先经过身份认证来识别身份，系统再由用户的身份和授权决定用户是否有权限访问资源。

身份认证是信息系统对登录者身份进行辨认的过程，即系统证实用户真实身份与自己所声称的身份是否一致的过程。

经常使用的身份认证主要包括基于用户口令的认证、基于密码系统的认证和基于生物特征的认证。

基于口令认证的原理是通过比较用户输入的口令与系统内部储存的口令是否一致来判断用户的身份。基于口令认证是最简单、最常用的认证技术。由于口令认证容易受黑客攻击，因此安全性较差。

基于密码系统的认证主要包括基于对称密钥密码的认证和基于公钥密码的认证技术。基于对称密钥的认证主要有基于挑战-应答方式的认证，Needham-schroeder 认证和Kerberos 认证，而后两种认证必须依赖可信的第三方认证服务来分发共享密钥。而基于挑战-应答方式的认证，因为共享的对称密钥只有信息交换的双方才知道，所以发起的挑战信息加密后也只有他们双方能解密。基于公钥的认证主要有Needham-schroeder 公钥认证和CA 数字证书的认证。CA是权威可信的第三方认证中心，是用来分发共钥的和签发数字证书。数字证书是经过CA 签名的包含拥有者身份信息和公开密钥的电子文档。Needham-schroeder 公钥认证是发送者用私钥加密挑战信息，接收者用发送者的公钥解密，由于只有发送者知道私钥，于是验证了发送者的身份。

基于生物特征的认证是指计算机通过使用人固有的生理或行为特征识别用户的身份。因为生理特征多为先天性的，不易改变；而行为习惯大部分是后天养成的，称为行文特征，因此将生理与行为特征统称为生物特征。常见的生物特征认证主要有指纹、脸形、声音、红膜、笔迹等。生物特征认证与之前的认证相比，具有不易伪造、不易复制的特点，故此认证方式安全性更高。生物特征的认证方式对现在的人并不陌生，因为指纹识别和人脸识别的认证技术在手机中使用比较普遍。图1 是生物特征认证系统的结构。

2.2 访问控制技术

访问控制策略是保证信息系统安全的重要技术。访问控制技术是管控用户对资源进行访问。访问控制由主体、客体和访问控制策略三者构成。实现访问控制模型有自主访问控制、强制访问控制和基于角色的访问控制模型。自主访问控制是允许授权者访问系统控制策略许可的资源，同时阻止非授权者访问资源，某些时候授权者还可以自主把自己拥有的某些权限授予其他授权者的一种访问控制模型，该模型的不足就是人员发生较大变化时，需要大量的授权工作，因此系统容易造成信息泄露。强制访问控制是一种多级访问控制策略，系统首先给访问主体和资源赋予不同的安全属性，在实现访问控制时，系统先对访问主体和受控制资源的安全级别进行比较，再决定访问主体能否访问客体。强制访问控制的优点是授权形式相对简单，工作量小，但不适合访问策略复杂的系统。角色访问控制模型是将访问权限分配给特定角色，授权用户通过扮演不同身份角色取得角色拥有的访问控制权。角色访问控制模型刚好解决了自主访问控制模型和强制访问控制模型的不足。文件系统的安全策略就是使用基于角色访问控制模型，针对系统管理员和普通用户的访问权限不同。

2.3 防火墙技术

防火墙是在内网和外网之间，实施访问控制规则的一个程序，从外网流入所有信息流都必须经过防火墙，只有与安全规则策略相符的信息包才能通过防火墙，不相符信息包则选择丢弃。防火墙是保护内网不受外来非法用户的入侵。防火墙是网络防御体系中的第一道防线。防火墙的主要作用：

（1）网络流量过滤，只有与安全规则策略相符的数据包才能通过，这明显加强了内网的安全性。

（2）网络审计监控，防火墙监视控制了所有外来访问信息包，并记录了所有的数据访问并生成访问日志。当发现有可疑信息包时，防火墙就会发出警报，并提供可疑信息包的内容。

（3）支持NAT 的部署，大多数防火墙都会支持NAT 技术。NAT 是网络地址翻译，是用来缓解网络地址短缺问题。但使用IPv6 协议后网络地址短缺问题就不存在了。

（4）支持隔离区DMZ 部署，DMZ 是一个放置了服务器的缓冲区，DMZ 提供了外部网想要访问内部网络服务器的问题，在这缓冲区上放置了公共的服务器。如企业Web 服务器,FTP 服务器等。常见的防火墙有包过滤防火墙，代理防火墙、个人防火墙。

2.4 入侵检测技术

入侵检测系统是一种网络安全防御系统，它对数据包传输进行实时监控，在发现可疑数据包时立即发出警报或采取积极地响应措施。有人形象地把防火墙比喻成一幢楼的大门，那么入侵检测系统就相当于楼里的监视系统。入侵检测系统的检测技术主要有基于误用检测和基于异常检测。误用检测是事前定义出已知的攻击行为的攻击特征，将实际入侵数据与攻击特征匹配，依据匹配情况来判断是不是发生了误用攻击。误用检测的不足是只能检测已知的攻击，对于新的攻击无法检测。并且把具体的攻击抽象成为入侵特征也具有一定的困难性。误用检测的长处是由于依据入侵特征判断的，检测的准确度很高，错误报警率低。异常检测是依据使用者的行为以及对资源的使用状况水平与正常状态下的特征轮廓之间的偏差确定了一个阈值来判断是否遭到入侵，如果偏差高于阈值则发生异常侵入。异常检测的缺点是由于比较难以确定阈值，因为合法用户的某些错误操作，这样的行为可能偏离正常的标准，而发生报警，因此遗漏报警率低，错误报警率高。优点是既能检测已知入侵，又能检测新的入侵。

容错的基本思想是系统出现了错误也能执行完一组程序；程序不会因为故障而中断或被修改，并且系统也不会引起运行错误，总之，容错是让系统有抗抵错的能力。容侵技术是指即使系统受到了攻击，系统还是保证正常运行。因此从思想上，容错与容侵技术是相同的，二者根据入侵攻击和发生故障的不同来区分。

3 信息部分的安全技术

信息部分的安全主要指数据安全和内容安全；数据安全是指保护数据在传输、储存过程中的不被泄露、窃取、篡改、破坏等。主要的技术有加密、数字签名、VPN 等。

3.1 加密技术

加密主要是使用密码学的加密来保证数据安全。经典的密码体制有对称密码和公钥密码。

对称密码是指信息交换的双方共享一个密钥，加密和解密的密钥相同，而安全性取决于这个共享密钥。对称密码算法有数据加密标准DES、三重DES、RC5、国际加密算法IDEA、高级加密标准AES。

最早、最经典的对称密码算法就是美国IBM 公司提出的数据加密标准DES。图2 是DES 算法的流程图。

DES 是针对二进制数据块进行加密的一种分组算法。数据每个分组有64 位，使用加密的有效密钥长度为56 位。DES 首先对64位明文分组进行初始置换IP，目的是为打乱64 位明文分组顺序，然后64 位明文分组分为前32 位后32 位，进入16 轮的迭代运算，其中扩张置换将后32 位进行扩展置换成48 位，再与48 位子密钥进行异或运算。扩张置换是通过重复某些为数位来达到扩展的目的。之后进入S 盒代换：将48 位输入压缩成32 位的输出，S 盒称为压缩代换。实际上DES 算法到现在都没有完全公开S 盒，其隐藏了DES 的安全性。S 盒代换后进入P 盒置换，P 盒置换主要是对数据交换位置，主要为了打乱32 位顺序。这是一轮的迭代，经过16 轮迭代之后最后将生成的64 位在经过初始逆置换，生成64 位密文。56 位有效密钥经过移位，压缩置换生成48 位16 轮的子密钥，16轮迭代每轮使用的子密钥都不同。

公钥密码是指加密解密有两个不同的密钥，公钥是公开的，私钥是保密的。常用的公钥密码算法：RSA、Rabin 密码算法、ElGamal 和ECC 等。

RSA 是使用最广的公钥密码体制，该算法的是基于欧拉定理和大整数因子分解困难的问题，在算法中设计了一个单向陷门函数，由于单向函数中已知自变量求函数值是简单的，但反过来就很难求，这就是单向函数的不可逆性。这就保证算法的安全性，此外RSA安全性是基于大整数因子分解问题和离散对数这难题。RSA 通常用于加密会话密钥，以保证密钥传递安全，通常不用于数据量大时加密的传输，因为RSA 是加密速度慢，特别是在随机选取大素数时和通过公钥推算模运算下的乘法逆元即就是私钥时速度都慢。

3.2 数字签名

数字签名主要是为了避免信息发送者的否认性和数据的完整性。数字签名分为签名和验证过程。而签名过程可以理解为加密过程，验证过程则是解密过程。数字签名常用的有基于公钥密码的签名，数字签名是通过对发送的信息文件使用哈希函数进行散列计算，并用发送者的私钥对散列值加密，加密后的散列值称为数字签名，将数字签名作为原消息的附件一起发送给接收者，当接收者收到消息后，对原消息进行同样的散列计算，得到散列值，再使用发送者的公钥对数字签名进行解密，解密后得到发送者的散列值，将这两个散列值比较，如果相同则可验证消息发送者的身份和数据的完整性。