信息安全第3章网络安全技术

《信息安全第3章网络安全技术》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第３章网络安全技术3.1密钥管理3.2身份认证3.3访问控制3.4公钥基础设施3.5授权管理基础设施3.6IP安全技术3.7传输层安全3.1密钥管理3.1.1概论密钥的管理是整个加密系统中最薄弱的环节，密钥的泄露将直接导致明文内容的泄露。例如曾经有一种计算机使用了DES算法来实现一个文件加密工具，它将密钥与密文保存在一起，用户可以选择用密文或明文形式保存文件，而且加密/解密过程是透明的，使用很方便。但是，对于了解密文格式的攻击者而言，他可以很容易地发现密文的密钥，从而发现明文。显然从密钥管理的途径窃取机密比用破译的方法花费的代价要小得多，所以对密钥的管理和保护格

2、外重要。网络安全所依赖的基础之一就是对传送数据的加密。无论是链路加密还是端到端加密，其核心都是密钥技术的应用。密钥管理是数据加密技术中的重要内容，密钥管理的目的是确保密钥的安全性(包括真实性和有效性)。　　密钥管理涉及密钥的生成、验证、传递、保管、使用及销毁等多个方面，涵盖了密钥的整个生存周期，另外还涉及密钥的行政管理制度和管理人员的素质。其中，密钥管理最主要的过程是密钥生成、保护和分发。3.1.2密钥的组织结构从信息安全的角度看，密钥的生存期越短，破译者的可乘之机就越少。在实际使用中，尤其是在网络环境下，多采用层次化的密钥管理结构。用于数据加密的工作密钥平时

3、不在加密设备中，需要时动态产生，并由其上层的密钥加密密钥进行加密保护；密钥加密密钥可根据需要由其上一级的加密密钥进行保护，依此类推。层次的划分根据实际的使用环境确定，与环境的规模有关，规模越大，层次越多。最高层的密钥称为主密钥，它构成整个密钥管理系统的核心。在分层密钥管理系统中，通常低一层的密钥由高一层按照某种密钥协议生成，所以，掌握了主密钥，就有可能找出下层的各个密钥。工作密钥常称为会话密钥，建立会话密钥的必要性在于：重复使用密钥容易导致泄露，所以应经常更换；如果使用相同的密钥，攻击者可将以前截获的信息插入当前的会话，而通信双方不一定能发现；密钥一旦被破解，则

4、使用这一密钥加密的信息都会失密，若使用会话密钥，则只有当前会话的信息失密；如果对方不可靠，则更换会话密钥可防止对方以后继续窃取信息。　　多层密钥体制大大增强了密码系统的安全性。因为使用得最多的会话密钥经常更换，而高层密钥则用得较少，使得破译者可用的信息变得很少，增加了攻击的难度。另外，多层密钥体制为自动化管理带来了方便，因为下层密钥可由计算机系统自动产生和维护，并通过网络自动分配和更换，减少了接触密钥的人数，也减轻了用户的负担。　　在层次结构框架下，可以对密钥进行连通和分割定义。密钥的连通是指在用户之间共享密钥的范围；而密钥的分割是指对这个范围的限制(细化)

5、。按空间分割密钥，可区分不同的用户群，例如：①不同密级的数据之间的密钥分割；②不同业务部门、业务系统之间的密钥分割；③上下级机关之间的密钥分割；④应用系统和管理系统之间的密钥分割，等等。按时间分割密钥可实现让各个用户在不同的时期使用不同的密钥，使用户的使用权具有时间限制。　　分割的实现有两种方式：　　①静态分割：在给用户的加密设备注入密钥时就给定了用户的密码连通范围，即用户只能使用注入的密钥；　　②动态分割：密钥分配中心定期向规定范围内的用户加密传送一个用于控制分割范围的通播密钥(向指定用户广播的密钥)，即收到什么，使用什么。3.1.3密钥管理的基本内容密

6、钥管理所涉及的工作内容如图3-1所示。用户经注册后获得在系统中合法使用密钥的权力，并经初始化后正式成为使用者。系统为用户生成其所使用的密钥，若非初次使用，可以在以前的基础上进行密钥更新。用户可以自行保管自己的密钥或委托系统代为保管，如果是后者，则每次进入系统后需要从系统中将密钥恢复处理。用户获得密钥后需要安装在自己的环境中，以实现与相应应用的衔接。为保证安全性，用户还可以将密钥备份在系统中。如果使用非对称密钥，则用户的密钥需要首先在CA中进行注册，然后才可使用。如果密钥丢失(但未泄露)，则用户可以重新恢复密钥；如果密钥已泄露或不再需要，则要将其撤销。由于被密钥作

7、用的数据可能仍然存在，因此被撤销的密钥不能立即丢弃，要保存在密钥档案库中，以备使用这些数据时需要。如果确信相关数据也结束生命周期，则对应的密钥可以销毁。图3-1密钥管理的总体结构3.2身份认证3.2.1认证的基本原理1．认证的概念身份认证是在计算机网络中确认操作者身份的过程。在现实生活中，人们的身份主要是通过各种证件来确定的。计算机网络信息系统中，各种计算资源(如文件、数据库、应用系统)也需要认证机制的保护，确保这些资源被应该使用的人使用。在计算机网络世界中，一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也

8、是针对用户数字身份的授权