目录

一、安全基础技术

1.1 对称与非对称加密

1.2 数字签名（防抵赖）

1.3 信息摘要（防篡改）

1.4 加密、数字签名、信息摘要结合使用

1.5 数字证书（防止公钥被截取篡改）

二、网络安全

2.1 安全协议

2.2 网络攻击

2.3 等级保护标准

2.4 安全服务

一、安全基础技术

1.1 对称与非对称加密

• 对称加密:加密和解密一样。

优缺点: 加密强度不高，但是效率高。

秘钥分发困难。

常见对称秘钥加密法: 都是秘钥长度不长。

• DES。替换+移位，56位秘钥，衍生出3DES（三重DES）:两个56位的秘钥k1,k2。加密K1加密，k2解密，k1加密。解密:k1解密，k2加密，k1解密。
• RC-5，IDEA算法，AES算法。

• 非对称加密:加密和解密秘钥不一样，公钥加密私钥解密或者反过来。

比如A要明文加密，给B发生数据。则用B的公钥加密。但是用A私钥加密发送数据，称为数字签名，解密叫验证签名。私钥一般用来签名和用来解密。

缺陷:加密速度慢。但是解决了秘钥分发。

常见算法:

• RSA:2048或者1024位秘钥，计算量大，难破解。
• elgmal:安全性依赖于计算有限域上离散对数。
• ECC:椭圆曲线算法。

1.2 数字签名（防抵赖）

直接用原文做数字签名太慢。其实数字签名就是用私钥加密的过程。常用信息摘要做数字签名。

结合使用过程:

1. 原文产生信息摘要（单向加密），用A的私钥签名，形成数字签名，用A的公钥验证签名。得到结果1。
2. 同时传输原文，原文产生信息摘要，得到结果2。
3. 结果1和结果2对比一致，说明原文未被篡改。

数字签名功能:防发送方抵赖，发送者身份确认，保证数据的完整性（数据保护）。不能进行接收方身份确认。

1.3 信息摘要（防篡改）

信息摘要是单向的，正常解密不了，无法篡改。

作用:原始信息值提取出来，使用相同的算法形成一个值，两个值进行比较，查看内容是否被篡改。

原文变，摘要跟着变。单向散列函数，固定长度的散列值。

常见消息摘要算法:MD5（常用）,SHA。散列值分别为128和160，SHA安全性高于md5。

1.4 加密、数字签名、信息摘要结合使用

图解流程：

发送者：

1. 邮件原文通过随机秘钥进行加密（对称加密），形成邮件密文。
2. 邮件原文通过单向摘要算法形成邮件摘要（信息摘要技术），邮件摘要通过发送者私钥加密（数字签名），形成摘要密文。
3. 随机秘钥用接收者的公钥加密，形成加密后的秘钥。
4. 将邮件密文，摘要密文，加密后的秘钥一起发送给接收方。

接收者：

1. 接收方拿到加密后的秘钥用自己的私钥解密，得到秘钥。
2. 使用秘钥对原文进行解密，得到邮件原文。
3. 使用自己的公钥对摘要密文进行解密，得到发送者的摘要密文。
4. 对邮件原文使用相同的摘要算法，得到自己的摘要密文。
5. 发送者的摘要密文和自己的摘要密文进行对比，如果两个摘要信息一致，说明信息未被篡改。

使用对称加密后的密文，再次使用非对称加密后叫做数字信封。

1.5 数字证书（防止公钥被截取篡改）

包括内容:

• 证书版本信息。
• 证书序列号，每个证书都有一个唯一的证书序列号。
• 证书所使用的签名算法。证书的发行机构名称，命名规则一般采用X.500格式。
• 证书的有效期，一般采用utc时间，计时范围1950-2049。
• 证书所有人名称，命名规则一般采用X.500格式。
• 证书所有人的公开密钥。
• 证书发行者对证书的签名。即CA（秘钥管理中心，认证中心）使用自己的私钥对数字证书进行了签名。用CA的公钥可以验证数字证书的真伪。

应用过程:PKI公钥体系

包括:

• CA:认证中心。负责生成和签署数字证书。
• RA:注册审批机构。负责验证用户身份。
• 证书受理点。
• 证书管理中心-KMC

用https访问工商银行讲解。

1、下载证书。工行数字证书。包括工行的公钥，工行的信息。下载到客户机本地。可以识别银行服务器是不是假的。浏览器有标识是不是安全的。

2、提取出公钥，本地产生一个随机秘钥（对称钥）。

3、用公钥加密这个随机秘钥发送给工行服务器，https交互都是加密的。

4、接下里就用随机秘钥传输加密进行通信。

二、网络安全

2.1 安全协议

各个网络层次的安全保障。

防火墙把对外提供的网络服务的设备放置在DMZ区（非军事化区）。

2.2 网络攻击

被动攻击: 收集信息为主，破坏保密性。

主动攻击: 中断（破坏可用性），篡改（破坏完整性），伪造（破坏真实性）。

被动攻击方式:

• 窃听（网络监听）。窃取信息资源和敏感信息。
• 业务流分析。强调数据分析，长期监听，利用统计分析方法诸如利用通信频度，通信信息流向，通信总量变化等参数进行研究，从而发现有价值的信息和规律。
• 非法登录。有些资料为被动（看数据），也有主动（做了必须是主动）。

主动攻击:

• 假冒身份。
• 抵赖。
• 旁路控制。利用系统的安全缺陷或安全上的脆弱之处获得非授权的权利或特权。
• 重放攻击。做截取的某次合法的通信数据进行拷贝，出于非法的目的而被重新发送。加时间戳能够识别。
• 拒绝服务（DOS,DDOS）。对信息或其他资源的合法访问被无条件的阻止。采用大量请求对系统进行攻击。
• SQL诸如攻击。访问是url带入参数，重用web。参数校验，sql预加载。

2.3 等级保护标准

2.4 安全服务

1、鉴别服务。即登录登录。用户名+口令，数字证书，生物特殊识别。

2、访问控制。即权限控制。自主访问控制（最高管理员，对主体指定那些客体访问权），访问控制列表（对客体指定运行的主体），强制访问控制，基于角色的访问控制，基于任务的访问控制（工作流）。

3、数据完整性。

阻止访问的机制:隔离，访问控制，路由控制。

探测非授权修改的机制:数字签名，数据重复，指纹，消息序列号。

4、数据保密性。禁止访问提供者机密，加密提供机密性。

5、抗抵赖。数字签名。

数据库容灾属于系统安全和应用安全。

宏病毒：Word（静态不可执行文件）被感染，。

目录性病毒：文件链接地址错误。

文件性病毒：可执行文件被破坏。