信息安全原理与应用第一章(新)

2014-2015年第二学期《信息安全原理与应用》2012级软件工程1信息安全原理与应用黄翠兰159592760982014-2015年第二学期《信息安全原理与应用》2012级软件工程课程介绍信息安全是一门跨学科跨专业的综合性学科，它涵盖了非常丰富的内容，涉及数论、密码编码、信息论、通信、网络、编程等多方面的知识，无论是从事管理，还是技术研发的人员，甚至普通的计算机用户，都需要从不同层次和角度了解这方面的基本知识。随着信息技术的发展，信息安全新技术新思想不断涌现。2014-2015年第二学期《信息安全原理与应用》2012级软件工程课程的性质和任务性质：专业必修课任务：1.掌握信息安全的基础知识、基本技术，了解学科发展前沿，掌握信息安全和网络安全的一般方法；2.通过本课程的学习，能熟练掌握信息安全的基本概念、框架和技术，掌握常见的信息安全技术、加密技术、防火墙技术、入侵检测与预警技术、防病毒技术、拒绝服务攻击、欺骗攻击、常见的系统漏洞等安全方面的内容。2014-2015年第二学期《信息安全原理与应用》2012级软件工程课程任务（续）重点学习目前在网络信息安全领域应用较多的技术，主要是公钥加密密码技术、防火墙技术、入侵检测（IDS）技术和基于公钥基础设施（PKI）的信息安全技术，主动构建信息安全框架，保证数据库系统的安全，并从内容安全和管理安全的角度介绍信息安全的方法和技术。2014-2015年第二学期《信息安全原理与应用》2012级软件工程本课程与其它课程的关系本课程先行课程：《计算机网络》《高级语言程序设计》《软件工程》本课程的后续课程：《数据库管理》《计算机安全技术》2014-2015年第二学期《信息安全原理与应用》2012级软件工程课程的基本要求结合信息安全的必要性，识别信息时代开放式网络环境下的威胁和漏洞，理解加密解密的基本原理，掌握目前广泛使用的加密算法及相应的密码分析，了解网络安全中典型的入侵方式和防范方法。掌握与密码算法无关的安全解决方案，包括访问控制、防火墙技术、黑客攻击与防范技术、计算机病毒防治与入侵检测技术。了解信息安全的一些标准化情况。2014-2015年第二学期《信息安全原理与应用》2012级软件工程教学内容密码学基础：对称密码(古典密码、现代对称分组密码、流密码）、非对称分组密码、散列算法（Hash)、数字签名、密码技术密码学应用：电子邮件的安全、身份鉴别、SSL/TLS网络安全：防火墙技术、网络攻防与入侵检测系统安全：访问控制、操作系统的安全、病毒……2014-2015年第二学期《信息安全原理与应用》2012级软件工程教材章节内容1信息安全问题的解决方案可以分为两类：1.以密码编码为基础的解决方案2.和密码无关的一些解决方案第一章介绍了ISO7498-2定义的OSI的五大类安全服务：数据机密性、数据完整性、抗抵赖、鉴别和访问控制。本书以经典的通信安全模型和信息访问安全模型为线索，介绍了这五大类安全服务。2014-2015年第二学期《信息安全原理与应用》2012级软件工程教材章节内容2第2~5章以密码分析和密码编码相结合的思路，比较完整地介绍了密码编码学的基本原理和算法实现，包括：古典密码、现代对称密码、公钥密码和散列函数。第6、7章讨论了密码算法实际应用中的一些问题，包括：密钥长度、密钥管理、硬件加密和软件加密等。第8、10~11章介绍了密码编码的相关综合应用，包括鉴别协议、安全电子邮件和网络安全协议。2014-2015年第二学期《信息安全原理与应用》2012级软件工程教材章节内容3第9、12~15章主要讨论了与密码算法无关的安全解决方案，包括访问控制、防火墙技术、黑客攻击与防范技术、计算机病毒防治和入侵检测技术。第16章介绍了信息安全的一些标准化情况，包括信息安全的标准化机构和有关标准。第17章介绍了一个综合应用信息安全有关原理的实例——数据库系统安全。2014-2015年第二学期《信息安全原理与应用》2012级软件工程教学时数分配序号教学内容学时备注1第一章绪论4授课2第二章密码学基础、第三章现代对称密码4授课3第四章公钥密码、第五章消息鉴别与数字签名4授课4第六章密码实际应用问题、第七章公钥管理技术4授课5第八章鉴别协议、第九章访问控制4授课6第十章安全电子邮件、第十一章网络安全协议4授课7第十二章防火墙技术及应用、第十三章黑客攻击与防范技术4授课8第十四章计算机病毒及其防治、第十五章入侵检测技术4授课9第十六章信息安全评估标准、第十七章数据库系统的安全、总复习4授课小计362014-2015年第二学期《信息安全原理与应用》2012级软件工程课程考核方式本课程为考试科目总成绩=期末闭卷考试成绩（80%）+平时成绩（考勤、作业20％）2014-2015年第二学期《信息安全原理与应用》2012级软件工程教材及参考书教材信息安全管理与应用，电子工业出版社，王昭等编著，2013年参考书(1)信息安全原理与实践，清华大学出版社，【美】MarkStamp著，张戈译，2013年(2)计算机网络安全教程，清华大学出版社，石志国，2004年(3)网络安全管理与技术防护，北京理工大学出版，姚小兰，2002年(4).计算机安全技术，中国铁道出版社，宋红，2007年2014-2015年第二学期《信息安全原理与应用》2012级软件工程14信息安全原理与应用第一章绪论2014-2015年第二学期《信息安全原理与应用》2012级软件工程15第一章绪论1.1信息和信息安全的概念1.2信息安全的威胁1.3安全服务1.4信息安全模型1.5信息安全的技术体系1.6信息安全的政策法规1.7信息安全的相关机构和相关标准2014-2015年第二学期《信息安全原理与应用》2012级软件工程1.1.1信息的定义广义地说，信息就是消息，一切存在都有信息。信息可以被交流、存储和使用。人的五官生来就是为了感受信息的，是信息的接收器，它们所感受的一切，都是信息。对于大量五官不能直接感受的信息，人类正通过各种手段，发明各种仪器来感知和发现它们。信息的定义有很多种。人们从不同侧面揭示了信息的特征和性质，但同时也存在这样或那样的局限性。1988年，我国信息论专家钟义信教授把信息定义为:事物运动的状态和状态变化的方式。如红外线、空气污染指数等2014-2015年第二学期《信息安全原理与应用》2012级软件工程1.1.2信息的属性和价值信息的属性：（1）无限性：由于信息是事物运动的状态和状态变化的方式，而事物运动的状态和状态变化的方式是无限的。（2）无形的：必须依附于各种载体，如图书、期刊、录音带、录像带、光盘等。（3）时效性：由于事物本身是不断发展变化的，随着时间和空间的推移，信息也会随之变化。（4）信息可以多次存储并传输利用；不同用户可以在同一时间共享同一内容的信息。信息的价值（1）信息的价值与属性有关，信息的真实度越高，就越能减少信息利用者的不确定性，其使用价值就越高。（2）信息的价值也来源于信息可以被交流、存储和利用。2014-2015年第二学期《信息安全原理与应用》2012级软件工程181.1.3信息安全的含义广义地说，信息就是消息。信息可以被交流、存储和使用。安全的本意是采取保护，防止来自攻击者的有意或无意的破坏。信息安全是一个随着历史发展内涵不断丰富的概念Securityis“thequalityorstateofbeingsecure--tobefreefromdanger”2014-2015年第二学期《信息安全原理与应用》2012级软件工程思考结合自己或者所见所闻的经历，谈谈信息安全的重要性2014-2015年第二学期《信息安全原理与应用》2012级软件工程20信息安全含义的历史变化1通信保密（COMSEC）：60-70年代信息保密信息安全以通信保密为主体，要求实现信息的机密性。这一时期的信息安全需求基本来自军政指挥体系方面的“通信保密”要求，主要目的是要使信息即使在被截获的情况下也无法被敌人使用，因此其技术主要体现在加解密设备上。2014-2015年第二学期《信息安全原理与应用》2012级软件工程21基本的通讯模型通信的保密模型通信安全-60年代（COMSEC）发方收方信源编码信道编码信道传输通信协议发方收方敌人信源编码信道编码信道传输通信协议密码2014-2015年第二学期《信息安全原理与应用》2012级软件工程22信息安全含义的历史变化2信息安全（INFOSEC）：80-90年代机密性（C）、完整性（I）、可用性（A）、不可否认性等随着小规模计算机组成的简单网络系统的出现，网络中多点传输、处理以及存储的保密性、完整性、可用性问题成为关注焦点；计算机之间的信息交互，要求人们必须采取措施在信息存储、处理、传输过程中，保护信息和信息系统不被非法访问或修改，同时不能拒绝合法用户的服务请求，其技术发展主要体现在访问控制上。这时，人们开始将“通信安全”与“计算机安全”合并考虑，“信息系统安全”(INFOSEC)成为研究热点。2014-2015年第二学期《信息安全原理与应用》2012级软件工程23信息安全的含义(80-90年代)信息安全的三个基本方面保密性Confidentiality即保证信息为授权者享用而不泄漏给未经授权者。完整性Integrity数据完整性，未被未授权篡改或者损坏系统完整性，系统未被非授权操纵，按既定的功能运行可用性Availability即保证信息和信息系统随时为授权者提供服务，而不要出现非授权者滥用却对授权者拒绝服务的情况。2014-2015年第二学期《信息安全原理与应用》2012级软件工程24信息安全的其他方面不可否认性Non-repudiation：要求无论发送方还是接收方都不能抵赖所进行的传输鉴别Authentication鉴别就是确认实体是它所声明的。适用于用户、进程、系统、信息等审计Accountability确保实体的活动可被跟踪可靠性Reliability特定行为和结果的一致性2014-2015年第二学期《信息安全原理与应用》2012级软件工程25信息安全含义的历史变化3信息保障（IA(informationAssurance））：90年代-信息保障是一种保证信息和信息系统能够安全运行的防护性行为，是信息安全在当前信息时代的新发展。信息保障的对象是信息以及处理、管理、存储、传输信息的信息系统；目的是采取技术、管理等综合性手段，使信息和信息系统具备机密性、完整性、可用性、可认证性、不可否认性，以及在遭受攻击后的可恢复性。2014-2015年第二学期《信息安全原理与应用》2012级软件工程26信息保障InformationAssurance保护（Protect）检测（Detect）反应（React）恢复（Restore）保护Protect检测Detect反应React恢复Restore2014-2015年第二学期《信息安全原理与应用》2012级软件工程信息保障进入20世纪90年代，随着网络技术的进一步发展，超大型网络迫使人们必须从整体安全的角度去考虑信息安全问题。网络的开放性、广域性等特征把人们对信息安全的需求，延展到可用性、完整性、真实性、机密性和不可否认性等更全面的范畴。同时，随着网络黑客、病毒等技术层出不穷、变化多端，人们发现任何信息安全技术和手段都存在弱点，传统的“防火墙+补丁”这样的纯技术方案无法完全抵御来自各方的威胁，必须寻找一种可持续的保护机制，对信息和信息系统进行全方位的、动态的保护。1989年美国卡内基·梅隆大学计算机应急小组开始研究如何从静态信息安全防护向动态防护转变。之后，美国防部在其信息安全及网络战防御理论探索中吸收了这一思想，并于1995年提出了“信息保障”概念。2014-2015年第二学期《信息安全原理与应用》2012级软件工程安全的信息交换一般认为，安全的信息交换应该满足的五个基本特性是：（1）数据机密性（2）数据完整