基于密码技术的网络信息安全

分类号TB114.3陕西师范大学学士学位论文基于密码技术的网络信息安全作者单位数学与信息科学学院指导老师张建中作者姓名马伟芳专业、班级信息与计算科学2003级4班提交时间2007年5月基于密码技术的网络信息安全马伟芳（陕西师范大学数学与信息科学学院2003级4班，西安，710062）指导教师张建中教授摘要：当前随着计算机与信息技术的飞速发展，网络的应用已经成为现代社会中人们工作和生活不可或缺的组成部分，但是由于网络的开放性和互连性，使其安全性受到严重威胁，这给网络信息安全带来了新的挑战。本文简要介绍了网络信息安全的基本知识和信息安全存在的主要问题，对信息安全技术尤其是对加密技术中的RSA作了详细的分析，并对信息安全的现状及发展做出了概括与描述。关键词：信息安全；安全技术；RSA；混合加密；安全现状NetworkInformationSecurityBasedontheTechnologyofCipherMaWeifang(Class4,Grade2003,CollegeofMathematicsandInformationScience,Xi’an,710062)Advisor:ProfessorZhangJian-zhongAbstract:Withtherapiddevelopmentofcomputerandtechnology,theuseofInternethasbecomeanindispensablepartofmodernsociety.However,becauseofitsopennessandinterconnection,itssecurityhasbeengreatthreatened,whichitbringsnewchallengetotheInternetinformationsecurity.ThispassagemainlydescribedsomebasicknowledgeofInternetinformationsecurityanditsexistingmainproblems.ItanalysedthetechnologyofInternetinformationsecurityindetails,especiallytheRSAinthetechnologyofencryption,anditalsogeneralizedanddescribeditsremainingcondition.Keywords:informationsecurity;technologyofsecurity;RSA;mixedencryption;present-stateofsecurity随着网络信息技术的飞速发展，网上银行、网上购物、资金划转等网上活动正日益普及，这是信息社会的一大趋势，这比以前人工方式更加方便快捷，而这些活动的信息在某种意义上就是一种财富，因此其信息的保密使人们迫切需要的，这就对网络信息的安全性提出了更高的要求。目前，人们对网络环境和网络资源的依赖程度不断加深，信息泄漏、黑客入侵、计算机病毒传播甚至于威胁国家安全的问题出现的越来越多。在保障网络信息安全的众多技术中，密码技术是保证信息安全的一种必要的手段，可以说，没有密码技术就没有信息安全，所以密码技术是信息安全的核心技术。目前，随着现代计算机技术的发展，密码技术正在不断地向更多的领域渗透，已经从外交和军事领域走向公开，且已发展成为一门结合数学、计算机科学、电子与通信、微电子等技术的交叉学科，它不仅可以完成对信息的加密，而且可以完成数字签名、身份验证、系统安全等功能。所以，是用密码技术不仅可以保证信息的机密性，而且可以保证信息的完整性和确定性，还可以防止信息被篡改、伪造和假冒。1网络信息安全基本知识1.1信息安全的定义信息的定义[1]是多样的，但最基本的，信息是在信源与信宿之间传播的，其中信息由信源产生，又能被信宿所访问。为了传递的有效性，我们希望信源是可用的，可靠的；信源是受保护的，传递是可控的，保密的；信宿所获取的信息应该是期望的，完整的且不可否认的。信息安全正是研究如何满足这些要求的学科。信息的基本流程及相关要求，如图1。可靠性可用性不可冒认性受保护性1产生2互相信任3传递信息信息受保护性保密性、完整性、可控性、不可否认性图1信息的基本流程及相关要求信息安全技术与信息的表示及传递方式密切相关。1948年，香农发表了具有划时代意义的论文《通讯的数学理论》（AMathematicalTheoryofCommunication）。香农指出，所有的通信信息，都可以编码成数字1和0传输初，接受后再进行解码，也就是说，任何信息都可以将其数字化，信息一旦数字化，就可以实现通信的无损传输。香农的这一理论描绘了信息数字化的蓝图，奠定了现代通信工程学的基础。随着信息数字的急速发展，信息的传播速度和信息传播的容量得到快速提高，但同时也给人们带来了前所未有的问题和困惑，如黑客问题、信息战、病毒的传播等。1.2信息安全概念演变早期：“通信保密”阶段，通信内容保密为主。中期：“信息安全”阶段，信息自身的静态防护为主。近期：“信息保障”阶段，强调动态的、纵深的、生命周期的、全信息系统资产的信息安全。我们当前所指的“信息安全”=“信息保障”：目标是“保障数据及其服务的完整性、保密性、可用性（防拒绝和破环）、真实性（交互双方的数据、人员的身份和权限、设施的鉴别）、可控型（监控、防有害内容传播）、可核查性（审计、取证）而抵制各类威胁所提供的一种能力”。1.3网络信息安全的特征信息安全的特征是保留信息的如下特性[2]：(1)保密性（Confidentiality）：保障信息只让合法用户访问；计算机系统不被非授权的个人或实体使用或不泄露给非授权的个人或实体。信息的保密性包括文件的保密性，传输过程中的保密性等两个方面。(2)完整性（Integnity）：保障信息及其处理方法的准确性（accuracy）、完全性（completeness）；信息在存储或传输过程中保持不被修改、不被破坏和不丢失的特性。信息的完整性是网络信息安全的基本要求，破坏信息的完整性是影响网络信息安全的常用手段。(3)可用性（Availability）：保证合法用户在需要时可以访问到信息及相关资产。计算机系统可被合法用户访问并按要求的特性使用，即当需要是存取所需信息。(4)可控型（Controllability）：授权机构可以随时控制信息的机密性，每一个用户只能访问自己被授权可以访问的信息，同时对系统中可利用的信息及资源也要进行相应的分级，确保信息的可控性。2网络信息安全存在的主要问题由于计算机网络具有开放性、互联性连接方式的多样性及终端分布的不均匀性，再加上本身存在的许多难以克服的技术上的弱点和人为的疏忽，致使网络易受计算机病毒、黑客或恶意软件的侵害。面对网络安全的种种威胁，信息安全是个不可回避的问题。2.1技术上存在的问题(1)计算机软硬件的“先天不足”[3]。硬件在设计制造过程中可能造成保密信息的泄漏；电力供应不足或突然中断等而使设备遭到破坏；静电、强磁场可能会破坏硬件设备；硬件设备自身老化和损坏导致数据丢失等。软件问题主要有操作系统和应用软件的漏洞。操作系统的漏洞主要表现在：操作系统的缺省安装；没有口令或使用弱口令账号；没有备份或备份不完整等等诸多漏洞。应用软件的漏洞主要表现在：未检查客户端的信息输入、容错能力差、引用处理模块不当等等。此外，系统及应用软件中编写的BUG、系统配置不当、口令失窃、未加密通信数据等也成为网络信息安全的隐患。(2)网络技术问题。随着网络环境及网络资源的日益开放，资源共享已成为大势所趋，但是这种共享的开放性将会以牺牲安全性为代价，以求达到更多的使用性。另外，Internet的协议是TCP/IP协议，它是建立在可信的环境之下的，协议是完全公开的，这种基于地址协议的口令本身不易保密，会随时泄漏。因此可以通过IP欺骗、拒绝服务、数据监听、通信劫持等手段达到供给网络信息安全的目的。(3)计算机病毒的长期威胁。随着计算机技术和网络技术日新月异的发展，网络病毒呈现出新的特点：制毒周期短、传播速度快，据悉目前世界上平均每20分钟产生一个新病毒，通过互联网以每秒30万公里的速度传播；扩散范围广、感染途径多，它不仅可以通过磁盘、光碟的读写操作感染扩散，还可借助共享文件夹、网络服务器访问、电子邮件、FTP文件交换以及浏览访问等传播；数量巨大、种类繁多、病毒机理不断演变，并以几何数增长。目前，虽然反病毒技术发展很快，各种反病毒软件应有尽有，但是“道高一尺，魔高一丈”，总是处于被动地位，防不胜防，从而对网络信息安全构成严重的威胁。2.2管理上存在的问题管理问题包括组织建设、制度建设和人员意识[4]。组织建设是指有关安全管理机构的建设。信息安全管理包括安全规划、风险管理、应急计划、安全教育培训、安全系统评估、安全认证等。(1)缺少网络信息安全的专门管理机构。我国网络信息安全管理体制是一种分散的体制，各部门和机构只负责各自单位的网络信息安全，缺少统一的具有高度权威性的信息安全领导机构，这样就很难防范境外情报机构的黑客攻击及网络病毒的侵害。(2)组织机构管理体制不足。实际上，网络也是一项工程，它需要统一的安全管理策略、完善的安全管理制度。目前，虽然采取了一些安全措施，如身份认证、防毒卡、防火墙等，但这大都只是在理论上解决了某些安全问题，事实上并没有对系统的安全风险作出详细的评估和建设性的预测，而是盲目的被动的防御，致使网络系统缺乏与网络安全产品相配套的网络安全管理规定和策略，导致网络安全体系和安全控制不能有效的发挥作用。(3)工作人员素质问题。由于工作人员在意识、素质、技术、操作、敬业精神等方面存在很大差异，导致在网络的信息安全上产生可能的漏洞。比如缺乏专业安全知识，不能及时发现随时可能出现的问题，对突发事件不能作出积极有效地反应；操作不规范，直接打开电子邮件的附件、密码设置过于简单、开通不必要的网络端口或服务器等；缺乏安全意识、杀毒软件没有及时更新和升级、安装来路不明的软件等。另一方面，网络用户总是在寻求方便、快捷、高效的途径来索取网络资源，而很少考虑可能存在的潜在风险，这都有可能给网络信息安全带来威胁。2.3法律政策问题信息网络的不断发展，一方面给人们获取信息提供了许多方便，另一方面又产生了大量的网络犯罪问题，这给我国的法律政策提出了更大的挑战。要使信息安全运行、传递，需要必要的法律建设，以法制化来强化信息安全。这主要涉及到网络规划与建设的法律，网络管理与经营的法律，信息安全的法律，用户数据的法律保护，电子资金划转的法律认证，计算机犯罪与刑事立法，计算机政局的法律效力等。法律是保障信息安全的第一道防线，而我国目前计算机网络安全法规尚不健全，网络犯罪案件的惩处常常无法可依，因此无法保障网络信息的安全。3网络信息安全技术当前网络信息中存在着各种各样的问题，面临着许多威胁，主要有：非授权访问、窃听、重传、伪造、篡改、拒绝服务攻击、行为否认、病毒传播等。由于安全需要，应采取多方面的措施来保障网络信息安全，使其免受威胁或受到的威胁与损失最小化。目前，确保网络信息安全的技术主要有被动防卫型的防火墙技术和开放性的建立在加密机制上的数据加密技术两大类，另外还有新的生物识别技术，使用这些网络安全技术可以达到身份真实性、信息机密性和完整性等一系列网络安全目的。3.1防火墙技术网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段进入内部网络、访问内部网络资源，保护内部网络的特殊网络技术[5]。它对两个或多个网络之间传输的数据包按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统，提出了防火墙的概念后，防火墙技术得到了空前的发展。根据防火墙所采用的技术不同，我们可以将其分为四种基本类型：包过滤型、网络地址转换—NAT、代理型和监测性。3.2数据加密技