身份认证
访问控制
安全审计
本章实验
===密码学=====
古典密码 算法本身的保密性
近代密码 机械密码机电 密码打字密码机轮转机
现代密码 基于密钥
公钥密码 公钥
==================
对称加密 (单私钥密码算法
DES3DESIDEAAES
密钥相对较短,一般采用128,192,256比特
加密密钥和解密密钥相同,从一个易于推出另一个.
效率高,算法简单,系统开销小
适合加密大量数据
明文长度与密文长度相等
密钥管理复杂
无法解决消息的篡改否认问题
====================
非对称 (公钥密码算法
RSAECCELGamal
公开密钥 私有密钥 公钥和私钥从一个很难推出另一个
公钥加密+私钥解密
密钥分发数目与参与者数目相同;
有大量参与者的情况下易于密钥管理;安全;
支持数字签名和不可否认姓
速度相对较慢;加密后密文边长
私钥加密+公钥解密
密码长度512-2048
===========
混合加密
对称和非对称结合(解决信息的机密性问题)
---
哈希函数(保证信息的完整性,实际系统和网络可能受到篡改攻击)
将任意长度比特串映射为固定长度的比特串.
输出的哈希值也称 散列值信息摘要(message Digest,MD)
用户A发送数据和哈希值给用户B
如果哈希值匹配,说明数据有效.
---
MD5算法
MD message Digest,消息摘要
输入:
任意长度的消息
输出:
128位消息摘要
处理:
以512位输入数据块为单位
----
SHA-1(慢
secure Hash Algorithms
输入
最大长度为264位的消息
输出:
160位消息摘要
处理
输入以512位数据块为单位处理
---
数字签名(是传统签名的数字化
可鉴别和不可否认
A将原文经哈希算法得哈希值再经用户A的私钥得出密文
A将密文和原始数据一起发送给B,
B通过原文和A的公钥得出哈希值与经哈希算法得到的哈希值进行比较看是否相同.
如果哈希值匹配,说明该数据由该私钥签名.
===
可信性
不可重用(哈希值是随机的
完整性
不可伪造
不可否认
===数字证书=====
数字证书:
绑定用户信息和公钥
和一堆公私月相对应
网络世界的电子身份证
包含相关信息
公钥基础设施(PKI public Key Infrastructure
利用加密数字签名数字证书来保护应用通信或事务处理的安全
包括硬件软件人员策略和规程的集合,用来实现基于公钥密码体制的密钥和数字证书的产生管理存储分发和撤销等功能
如同电力基础设施为家用电器提供电力一样,PKI为各种应用提供安全保障,提供网络信任基础.
CA
认证权威机构(同公安局发身份证
签发管理验证数字证书
RA
证书注册机构(派出所
承担一部分CA工作
目录服务(LDAP
保存删除修改获取
CRL证书撤销列表
进入黑名单
证书载体
内存IC卡软盘USB-KEY
=======身份认证===========
身份认证
1用户知道(静态动态[动态|随机短信口令[物理隔绝|利用移动网络动态口令认证方式
通信窃取(窃听获取明文的用户名和口令
字典攻击(选择有意义的单词或数字作字典
暴力攻击(穷举全部可能组合猜测口令
外部泄露(搜索存有口令的纸片或文件
窥探(安装监视器或从背后窥探
社交工程(冒充合法用户假冒管理源骗取口令
====数据安全==================
禁用ActiveX控件(一些嵌入在网页中的小程序)
浏览网站服务器时,用户可以使用这些小程序与工具栏和股票行情等内容进行交互;某些情况下,可以用来收集用户计算机的个人信息破坏计算机的信息,或在未获取用户同意的情况下安装恶意软件
网上金融交易常用的安全措施
U盾
收集短信验证
口令卡
采用安全超文本传输协议
账户口令安全
暴力破解
键盘记录木马
屏幕快照木马
数据安全
数据备份
传统方式 采用内置或外置的磁带机进行冷备份
云备份到云服务器
数据恢复
EASYrecovery(在内存中重新新建分区表
数据加密
文件加密zip rar
磁盘加密工具PGPDisk TrueCrypt(通过软件在计算机上产生一个或几个虚拟盘来存放敏感数据,,每个虚拟磁盘使用高强度密码算法进行加解密,加解密过程全部自动实现,用户只要输入正确的口令,就能读取这些文件,否则不能读取数据.
彻底删除重要文件防止对存储介质进行数据恢复窃取曾存在的重要数据
数据删除只是对文件的目录做了删除标记,保证了文件在删除前所占用的空间确实得到释放,而文件实际存放在数据区的内容毫无改变.
硬销毁(物理化学)和软销毁(数据覆盖,将非保密数据写入以前存有敏感数据的硬盘簇的过程,技术原理,依据硬盘上的数据都是以二进制的1 形式存储的,而使用预先定义的无意义无规律的信息反复多次覆盖硬盘上原先存储的数据就无法知道原先的数据,也就达到了销毁数据的,目的)
2拥有的
USB Key 电子印章
基于USB Key的认证方法
软硬件相结合的挑战和应答认证模式
内置单片机或智能卡芯片,可以存储用户的密钥或数字证书
认证系统发送一个随机数(挑战),用户使用USB Key中的密钥和算法计算出一个数值(应答),认证系统对该数值进行检验,若正确则认为是合法用户
3生物特征
视网膜扫描(扫描眼球后方的视网膜上面的血管的图案
虹膜扫描(眼睛中位于瞳孔周围的一圈彩色部分,有独特的图案,分叉,颜色,环状,光环以及皱褶,人出生6-18个月成型后终身不再发生变化
语音识别
面部扫描
4其他身份认证技术
单点登录(SSO, Single Sign-On
用户只登录进行一次注册,就可以访问多个系统,不必重复输入用户名和密码
远程用户拨号认证系统
指纹识别(光电扫描和计算机图像处理技术
===========访问控制===========
访问控制
针对越权使用资源的防御措施
主体 可以操作被动实体的相关信息或数据,如用户进程程序等
客体 被操作的对象,规定需要保护的资源,如文件存储介质程序进程等
主体客体可以互换角色
访问控制安全策略实施遵循最小特权原则:
给主体最小权力,避免突发事件操作错误未授权等以外情况给系统造成的危险
自主访问控制(Discretionary Access Control ,DAC
访问控制矩阵 矩阵元素响应用户相应文件的相应访问权限
细粒度
灵活性高
配置效率低
强制访问控制(Mandatory Access Con往01, MAC
系统决定
控制粒度大
灵活性不高
用于安全要求较高的系统
基于角色的访问控制(RBAC
扮演某种角色,激活角色,有和功能
================安全审计===========
安全审计
记录访问使用记录
主动被动
威慑和警告潜在的攻击者和滥用授权的合法用户
提供有价值的系统使用日志
在发生故障后,帮助评估故障损失重建事件和数据恢复
对系统控制安全策略与规程中特定的改变做出评价和反馈,便于修订决策和部署
===========移动智能终端安全防护========
伪基站攻击(伪基站可以随意更改发送的号码)
监听与伪装
吸引手机接入
发送短信
提出手机