信息安全属性(★★★)
机密性 / 完整性 / 可用性 / 可控性 / 可审查性
数据的完整性：指数据是正确的、真实的、未被篡改的、完整无缺的属性。
信息安全的技术措施主要有：信息加密、数字签名、身份鉴别、访问控制、网络控制技术、反病毒技术、 数据备份和灾难恢复。
加密技术
每一个密钥 K 均由加密密钥 Ke 和解密密钥 Kd 组成。
对称加密算法(★★★)
对称加密算法也称为私钥加密算法，是指加密密钥和解密密钥相同，它的加密强度不高，且密钥分发困难需要经过安全可靠的途径。
属于 共享密钥。
常见算法：DES （密钥长度为 56 位） / 3DES （密钥长度是 112 位） / IDEA / AES /
非对称加密算法(★★★)
它也称为
公钥算法，加密密钥和解密密钥完全不同，其中一个为公钥，另一个为私钥。公钥是公开的，私钥是人们自己保存。二者配合使用。A的公钥加密必须用 A的私钥解密。缺点是：加密速度慢，算法复杂。
最常见的非对称加密算法是 RSA，RSA 算法的密钥长度为 512 位。
数字摘要技术(★★★)
是主要的数字签名算法，它是利用散列( Hash )函数(哈希函数、 杂凑函数)进行数据的加密。
输入一个 长度不固定 的字符串，返回一串 定长 的字符串，这个返回的字符串称为消息摘要(Message Digest, MD)，也称为 Hash 值或散列值。
数字摘要三个特性：单向性、抗弱碰撞性(很难找到另外 明文块相同 的加密后 生成相同的数字摘要)可以防伪造、抗强碰撞性、不管明文有多长都会生成相同长度的数字摘要。
消息摘要算法(Message Digest algorithm 5, MD5)用于确保信息传输完整一致，它的作用是将一个任意长度的字节串变换成一个定长的大数)。
MD5 和 SHA 的散列值分别为128、160位。 通常认为由于 SHA 采用的密钥长度较长，因此安全性高于 MD5。SM3(国密算法)：256位。
数字摘要能保证完整性但是却不能保证机密性，因为明文在“裸奔”! 所以经常是消息摘要算法 和 安全散列算法 结合使用。
数字签名是指通过一个单向函数对要传送的报文进行处理，得到用以认证报文来源并核实报文是否发生变化的一个字母数字串。它与数据加密技术一起，构建起了安全的商业加密体系。数字签名使用的是公钥算法(非对称密钥技术)。
传统的数据加密是保护数据的最基本方法，它只能够防止第三者获得真实的数据(数据的机密性)，而数字签名则可以解决否认、伪造、篡改和冒充的问题(数据的完整性和不可抵赖性)，但不能说明接收的消息 m 无泄密。
数字签名的过程:(★★★)
1，发送者 A 先通过散列函数对要发送的信息 (M) 计算消息摘要 (MD) ；
2， 发送者 A 将 原文(M) 和 消息摘要(MD) 用自己的 私钥(PrA) 进行加密，就是完成签名动作；
3，然后以接收者B的公钥(PB)作为密钥，对这个信息包进行再次加密，得到PB(PrA(M+MD))。
(4) 当接收者收到后，首先用自己的私钥PrB进行解密，从而得到PrA(M+MD)。
(5) 再利用A的公钥(PA)进行解密，如果能够解密，显然说明该数据是A发送的，同时也就将得到原文M和消息摘要MD。
(6) 然后对原文M计算消息摘要，得到新的MD，与收到MD进行比较，如果一致，说明该数据在传输时未被篡改。
数字加密和数字签名的区别:(★★★)
-
数字加密是用接收者的公钥加密，接收者用自己的私钥解密。
-
数字签名是：将摘要信息用发送者的私钥加密，与原文一起传送给接收者。接收者只有用
发送者的公钥才能解密被加密的摘要信息，然后用 HASH 函数对收到的原文产生一个新摘要信息，与解密的摘要信息对比。
数字证书的内容：
数字证书的版本信息；
序列号(每个证书都有一个唯一的证书序列号)；
证书所使用的签名算法；
证书发行机构名称，命名规则一般采用 X.500 格式；
证书有效期；
证书所有者的名称；
证书所有者的公钥信息；
证书发行者对证书的签名
并利用 CA 的公钥 验证该证书的真伪。
用户 A 从 CA 获取了自己的数字证书，该数字证书中包含了 CA 的私钥和 A 的公钥。
在 PKI 系统体系中，证书机构 CA 负责 生成和签署数字证书，注册机构 RA 负责 验证申请数字证书用户的身份。
访问控制的实现技术(★★★)
1）访问控制矩阵
2）访问控制表
3）能力表
4）授权关系表
拒绝服务攻击与防御(★★★)
拒绝服务攻击(DoS) 是借助于网络系统或网络协议的缺陷和配置漏洞进行网络攻击，使网络拥塞、 系统资源耗尽或者系统应用死锁，妨碍目标主机和网络系统对正常用户服务请求的及时响应，造成服务的性能受损甚至导致服务中断。
拒绝服务攻击主要有以下几种模式：
（1）消耗资源
大量地申请系统资源，并长时间地占用；
（2）破坏或更改配置信息
攻击者修改配置文件，从而改变系统向外提供服务的方式；
（3）物理破坏或改变网络部件
ARP欺骗(★★★)
此种攻击可让攻击者获取局域网上的数据包甚至可篡改数据包，且可让网络上特定计算机或所有计算机无法正常连线。
通常使用 IPSec 为IP数据报文进行加密。
用于在网络应用层和传输层之间提供加密方案的协议是 SSL。
可提供安全电子邮件服务的是 S/MIME(Multipurpose Internet Mail Extensions)。
采用 Kerberos 系统进行认证时，可以在报文中加入 时间戳 来防止重放攻击。
`
`
网友评论