密碼技術(shù)在信息安全中的應(yīng)用

密碼技術(shù)——

信息安全的堅強守護者目錄4基于密碼技術(shù)的PKI+數(shù)字證書如何實現(xiàn)信息安全1

網(wǎng)絡(luò)世界充滿不安2信息安全相關(guān)政策、法規(guī)3密碼技術(shù)在信息安全中的應(yīng)用5

東方中訊簡介目錄4基于密碼技術(shù)的PKI+數(shù)字證書如何實現(xiàn)信息安全1

網(wǎng)絡(luò)世界充滿不安2信息安全相關(guān)政策、法規(guī)3密碼技術(shù)在信息安全中的應(yīng)用5

東方中訊簡介引言

近年來，網(wǎng)絡(luò)安全事件“層出不窮”，商業(yè)泄密案“觸目驚心”，個人信息“唾手可得”，網(wǎng)絡(luò)犯罪“蒸蒸日上”。一系列信息泄密事件，已經(jīng)引起一場軒然大波。人們剛迎來2013年不久，數(shù)據(jù)泄露事件又接連不斷：香港八達通卡泄密、富士通ipad2后殼設(shè)計圖泄密、RSA公司SecurID技術(shù)及客戶資料被竊取和索尼公司的PlayStation用戶數(shù)據(jù)外泄、大眾都熟知的棱鏡事件等等。這樣觸目驚心的消息我們再也傷不起!我們的網(wǎng)絡(luò)世界充滿不安。。。2012年10月百所大學(xué)近12萬賬戶信息被竊2012年7月，云存儲服務(wù)商Dropbox用戶名和密碼2012年7月雅虎45.34萬名用戶的認(rèn)證信息，超過2700個數(shù)據(jù)庫表被盜2012年7月DNSChanger修改多達30萬臺電腦用戶的DNS…2012年6月LinkedIn650萬加密的密碼被發(fā)送到了一家俄羅斯的黑客網(wǎng)站2012年1月，亞馬遜旗下美國電子商務(wù)網(wǎng)站Zappos遭到黑客網(wǎng)絡(luò)攻擊我們的網(wǎng)絡(luò)世界充滿不安。。。Gauss病毒竊取瀏覽器保存的密碼、網(wǎng)銀賬戶、Cookies和系統(tǒng)配置信息等敏感數(shù)據(jù)2012年5月新型蠕蟲病毒火焰(Flame)肆虐中東2012年8月維基解密網(wǎng)站遭受到每秒10G流量持續(xù)攻擊2012年3月著名黑客組織Anonymous威脅干掉整個互聯(lián)網(wǎng)京東商城充值系統(tǒng)于2012年10月30日晚22點30分左右出現(xiàn)重大漏洞，用戶可以用京東積分無限制充值Q幣和話費2009年韓國國會、國防部、外交通商部等機構(gòu)的網(wǎng)站一度無法打開目錄4基于密碼技術(shù)的PKI+數(shù)字證書如何實現(xiàn)信息安全1

網(wǎng)絡(luò)世界充滿不安2信息安全相關(guān)政策、法規(guī)3密碼技術(shù)在信息安全中的應(yīng)用5

東方中訊簡介信息安全法律法規(guī)國內(nèi)主要的信息安全相關(guān)法律法規(guī)如下：信息網(wǎng)絡(luò)傳播權(quán)保護條例2006—2020年國家信息化發(fā)展戰(zhàn)略網(wǎng)絡(luò)信息安全等級保護制度信息安全等級保護管理辦法(試行)互聯(lián)網(wǎng)信息服務(wù)管理辦法中華人民共和國電信條例中華人民共和國計算機信息系統(tǒng)安全保護條例公用電信網(wǎng)間互聯(lián)管理規(guī)定聯(lián)網(wǎng)單位安全員管理辦法（試行）文化部關(guān)于加強網(wǎng)絡(luò)文化市場管理的通知證券期貨業(yè)信息安全保障管理暫行辦法信息安全法律法規(guī)中國互聯(lián)網(wǎng)絡(luò)域名管理辦法科學(xué)技術(shù)保密規(guī)定計算機信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定計算機軟件保護條例國家信息化領(lǐng)導(dǎo)小組關(guān)于我國電子政務(wù)建設(shè)指導(dǎo)意見電子認(rèn)證服務(wù)密碼管理辦法互聯(lián)網(wǎng)IP地址備案管理辦法計算機病毒防治管理辦法中華人民共和國電子簽名法認(rèn)證咨詢機構(gòu)管理辦法中華人民共和國認(rèn)證認(rèn)可條例信息安全法律法規(guī)認(rèn)證培訓(xùn)機構(gòu)管理辦法中華人民共和國產(chǎn)品質(zhì)量法中華人民共和國產(chǎn)品質(zhì)量認(rèn)證管理條例商用密碼管理條例網(wǎng)上證券委托暫行管理辦法信息安全產(chǎn)品測評認(rèn)證管理辦法產(chǎn)品質(zhì)量認(rèn)證收費管理辦法信息安全升至國家戰(zhàn)略層面?。。牡缺？葱畔踩难葸M2003年9月中辦國辦頒發(fā)《關(guān)于加強信息安全保障工作的意見》（中辦發(fā)[2003]27號）2004年11月四部委會簽《關(guān)于信息安全等級保護工作的實施意見》（公通字[2004]66號）2005年9月國信辦文件《關(guān)于轉(zhuǎn)發(fā)《電子政務(wù)信息系統(tǒng)信息安全等級保護實施指南》的通知》（國信辦[2004]25號）2005年公安部標(biāo)準(zhǔn)《等級保護安全要求》《等級保護定級指南》《等級保護實施指南》《等級保護測評準(zhǔn)則》總結(jié)成一種安全工作的方法和原則最先作為“適度安全”的工作思路提出確認(rèn)為國家信息安全的基本制度，安全工作的根本方法形成等級保護的基本理論框架，制定了方法，過程和標(biāo)準(zhǔn)1994年國務(wù)院頒布《中華人民共和國計算機信息系統(tǒng)安全保護條例》2006年四部委會簽公通字[2006]7號文件（關(guān)于印發(fā)《信息安全等級保護管理辦法（試行）》的通知）明確做等級保護，等級保護工作的重點是基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國家安全、經(jīng)濟命脈、社會穩(wěn)定等方面的重要信息系統(tǒng)定義了五個保護級別、監(jiān)管方式、職責(zé)分工和時間計劃定義了電子政務(wù)等級保護的實施過程和方法定義了等級保護的管理辦法，后被43號文件取代。首次提出計算機信息系統(tǒng)必須實行安全等級保護。提出了等級保護的定級方法、實施辦法，并對不同等級需要達到的安全能力要求進行了詳細的定義，同時對系統(tǒng)保護能力等級評測指出了具體的指標(biāo)。等級保護的政策標(biāo)準(zhǔn)的演進2007年7月16日四部門會簽公信安[2007]861號文件：四部門下發(fā)《關(guān)于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知》提出了等級保護的推進和管理辦法為等級保護工作開展提供了參考開始了等級保護的實質(zhì)性工作的第一階段2007年四部委會簽公通字[2007]43號文件《信息安全等級保護管理辦法》替代公通字[2006]7號文件，明確了等級保護的具體操作辦法和各部委的職責(zé)，以及推進等級保護的具體事宜2006年公安部、國信辦下發(fā)了《關(guān)于開展信息系統(tǒng)安全等級保護基礎(chǔ)調(diào)查工作的通知》從2006年1月10日到4月10日，分三個階段對國家重要的基礎(chǔ)信息系統(tǒng)進行摸底，包括黨政機關(guān)、財政、海關(guān)、能源、金融、社會保障等行業(yè)2007年7月至10月在全國范圍內(nèi)組織開展重要信息系統(tǒng)安全等級保護定級工作，其中包括公用通信網(wǎng)、廣播電視傳輸網(wǎng)等基礎(chǔ)信息網(wǎng)絡(luò)以及鐵路、銀行、海關(guān)、稅務(wù)、民航、電力、證券、保險、外交、人事勞動和社會保障、財政、等行業(yè)等級保護的政策標(biāo)準(zhǔn)的演進《信息安全技術(shù)信息安全等級保護技術(shù)設(shè)計要求》報批稿，對等級保護的方案設(shè)計提出了參考。提出“一個中心下的三重防護”體系等級保護的落地邁出了實質(zhì)性的一步等級保護有了國家標(biāo)準(zhǔn)作為參考依據(jù)同步提出了等級保護基礎(chǔ)技術(shù)的課題研究2008年7月，公安部發(fā)布《公安機關(guān)信息安全等級保護檢查工作》（試行）文件，提出等級保護檢查工作的細則，并發(fā)布到重點政府行業(yè)用戶2008年，國家標(biāo)準(zhǔn)化委員會正式批復(fù)并發(fā)布《信息安全技術(shù)信息安全等級保護基本要求》和《信息安全技術(shù)信息安全等級保護定級指南》，編號分別為GB/T22239-2008、GB/T22240-2008目前已正式頒布的有：《GB/T22239-2008信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求》《GB/T22240-2008信息安全技術(shù)信息系統(tǒng)安全等級保護定級指南》《公安機關(guān)信息安全等級保護檢查工作規(guī)范》2008年定級備案工作基本結(jié)束2+2X用戶已完成在公安機關(guān)的定級備案工作；備案的四級系統(tǒng)大約200多個；三級系統(tǒng)大約25000多個；二級系統(tǒng)大約32000多個。目錄4基于密碼技術(shù)的PKI+數(shù)字證書如何實現(xiàn)信息安全1

網(wǎng)絡(luò)世界充滿不安2信息安全相關(guān)政策、法規(guī)3密碼技術(shù)在信息安全中的應(yīng)用5

東方中訊簡介信息安全的基本屬性針對信息的安全屬性存在的攻擊模式信息安全需要哪些安全服務(wù)？實現(xiàn)這些服務(wù)的技術(shù)？數(shù)學(xué)、信息、通信、計算機網(wǎng)絡(luò)等多學(xué)科技術(shù)領(lǐng)域的綜合，其中密碼學(xué)是網(wǎng)絡(luò)安全的基礎(chǔ)理論和關(guān)鍵技術(shù)。信息安全中常用的密碼技術(shù)對稱/分組加密DES-(數(shù)據(jù)加密標(biāo)準(zhǔn)DataEncryptionStandard)IDEAInternationalDataEncryptionAlgorithm——國際數(shù)據(jù)加密算法，是1990年由瑞士聯(lián)邦技術(shù)學(xué)院來學(xué)嘉X.J.Lai和Massey提出的建議標(biāo)準(zhǔn)算法。AES(高級加密標(biāo)準(zhǔn)AdvancedEncryptionStandard)X.J.Lai常用的密碼技術(shù)公鑰加密RSARivestShamirAdlemanECCEllipticCurvecryptsystem常用的密碼技術(shù)鑒別和散列函數(shù)散列函數(shù)-Hash函數(shù)MD5Message-DigestAlgorithm5消息-摘要算法(R)SHASecureHashAlgorithm安全散列算法(NSA)信息安全機制加密數(shù)字簽名否認(rèn)偽造冒充篡改訪問控制數(shù)據(jù)完整性數(shù)據(jù)單元的完整性發(fā)送實體接收實體數(shù)據(jù)單元序列的完整性防止假冒、丟失、重發(fā)、插入或修改數(shù)據(jù)。交換鑒別

口令密碼技術(shù)時間標(biāo)記和同步時鐘雙方或三方“握手”數(shù)字簽名和公證機構(gòu)業(yè)務(wù)流量填充路由控制公證機制密碼技術(shù)在信息安全中的價值讓攻擊變得困難：數(shù)字猜測破解密碼推知私鑰越權(quán)訪問截獲安全信道。。。。。。目錄4基于密碼技術(shù)的PKI+數(shù)字證書如何實現(xiàn)信息安全1

網(wǎng)絡(luò)世界充滿不安2信息安全相關(guān)政策、法規(guī)3密碼技術(shù)在信息安全中的應(yīng)用5

東方中訊簡介什么是PKI？解決網(wǎng)上身份認(rèn)證、信息的完整性和不可抵賴性等安全問題，為網(wǎng)絡(luò)應(yīng)用（如瀏覽器、電子郵件、電子交易）提供可靠的安全服務(wù)。密碼技術(shù)PKI如何實現(xiàn)信息安全PKI+數(shù)字證書實現(xiàn)信息安全模型鑒別和散列函數(shù)使用公鑰加密算法、分組加密等PKI中信息安全交互實例1.1你是誰?RickMaryInternet/Intranet應(yīng)用系統(tǒng)1.2怎么確認(rèn)你就是你?認(rèn)證1.1我是Rick.1.2口令是1234.授權(quán)保密性完整性防抵賴2.我能干什么?2.你能干這個,不能干那個.3.如何讓別人無法偷聽?3.我有密鑰?5.我偷了機密文件,我不承認(rèn).5.我有你的罪證.4.如何保證不能被篡改?4.別怕,我有數(shù)字簽名.28PKI對各安全要素的解決方法認(rèn)證身份證明：

證書中告訴別人，你是誰？身份驗證：

數(shù)字簽名和證書的唯一性向別人證明，你確是此人？機密性加密技術(shù)對稱加密共享密鑰非對稱加密公開密鑰PKI對各安全要素的解決方法完整性數(shù)字簽名如果數(shù)字簽名驗證失敗，說明數(shù)據(jù)的完整性遭到了破壞不可抵賴性數(shù)字簽名

證明信息已經(jīng)被發(fā)送或接收:發(fā)送方不能抵賴曾經(jīng)發(fā)送過數(shù)據(jù)使用發(fā)送者本人的私鑰進行數(shù)字簽名接收方不能抵賴曾經(jīng)接收到數(shù)據(jù)接收方使用私鑰對確認(rèn)信息進行數(shù)字簽名DigitalSignature,Date,Time

PKI的優(yōu)勢PKI作為一種安全技術(shù)，已經(jīng)深入到網(wǎng)絡(luò)的各個層面。PKI的靈魂來源于公鑰密碼技術(shù)，圍繞著非對稱密碼技術(shù)，數(shù)字證書破殼而出，并成為PKI中最為核心的元素：5、PKI具有極強的互聯(lián)能力。不論是上下級的領(lǐng)導(dǎo)關(guān)系，還是平等的第三方信任關(guān)系，PKI都能夠按照人類世界的信任方式進行多種形式的互聯(lián)互通，從而使PKI能夠很好地服務(wù)于符合人類習(xí)慣的大型網(wǎng)絡(luò)信息系統(tǒng)。1、采用公開密鑰密碼技術(shù)，能夠支持可公開驗證并無法仿冒的數(shù)字簽名，從而在支持可追究的服務(wù)上具有不可替代的優(yōu)勢。2、由于密碼技術(shù)的采用，保護機密性是PKI最得天獨厚的優(yōu)點。PKI不僅能夠為相互認(rèn)識的實體之間提供機密性服務(wù)，同時也可以為陌生的用戶之間的通信提供保密支持。3、由于數(shù)字證書可以由用戶獨立驗證，不需要在線查詢，原理上能夠保證服務(wù)范圍的無限制地擴張，這使得PKI能夠成為一種服務(wù)巨大用戶群的基礎(chǔ)設(shè)施。4、PKI提供了證書的撤銷機制，從而使得其應(yīng)用領(lǐng)域不受具體應(yīng)用的限制。數(shù)字證書的應(yīng)用領(lǐng)域

電子政務(wù)：網(wǎng)上稅務(wù)申報，工商年檢、企業(yè)組織代碼申領(lǐng)、政府網(wǎng)上采購招標(biāo)、網(wǎng)上審批和統(tǒng)計、企業(yè)年報、網(wǎng)上