龙源期刊网 http://www.qikan.com.cn
计算机网络信息安全及防护策略研究
作者：杨鹏
来源：《电脑知识与技术》2013年第31期
摘要：计算机网络信息安全对于高度信息使用者而言具有相当重要的地位。随着网络的普及化，组织内的信息管理安全管控、如何防止外界非法入侵、如何识别信息及应用程序的使用者以授予适当的权限等课题，均已成为组织内重要的管理项目之一。在这种背景下，该文重点探讨了信息安全、身份认证及加密等计算机网络信息安全及防护策略等方面的议题。 关键词：计算机网络；信息安全；防护策略
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）31-6986-02 1 计算机网络信息安全的内涵 1）信息安全的基本概念
信息安全似乎是电脑化时代的新名词，然而事实上信息安全的问题数千年来一直处于重要地位。三个概念构筑着信息安全最基本的基石。分别是机密性、完整性、可使用性。 一是机密性，其主张信息只能提供予有权取用的人或组织，无论通过口语、文件、E-mail、复制等任一种形式，只要信息揭露给未授权的人员组织，就破坏了机密性。二是完整性。主张信息必须可被信任为是正确且完整的。该句包含了三个重要的信息。“正确”代表信息没有被更动过，也没有错误；“完整”代表信息没有遗漏或被裁剪；“可被信任”，代表取得信息者可以信任前述“正确”及“完整”的真实性。若信息遭到非属授权的更动，无论有意或无意，即破坏信息的完整性。三是可使用性，其主张负责信息的系统或组织，必须于授权使用者需要时，提供正确无误的需求信息。这项概念似乎与信息安全不太相关，然而其重要性却不容小觑。在信息系统中，例如资料储存媒体损毁、阻断服务攻击，都属破坏可使用性。其中，阻断服务攻击就是使服务中断的攻击行动。例如，传送大量的封包造成提供信息主机超过负荷而当机或损毁等。 2）信息安全服务
依据国际标准组织（ISO）于ISO 7498-2中的定义，信息安全服务应包括下列数项：认证、存取控制、机密性、完整性、不可否认性。上述各项信息安全服务，应用一至数种不等的安全机制来达成。例如：加密、数字签章、存取控制清单等。
以SSL为例，其即为一个实作了安全服务的资料保密协定。当连入网络银行或线上购物网站，常会发现它的网址（URL）前的http：//改为https：//，这个小变化即说明了目前的连线方式采用了SSL机制，以保障双方的交易安全。SSL首先由Netscape所提出，让网页浏览器
龙源期刊网 http://www.qikan.com.cn
与服务器间传送的资料，能加密后再传递，它的方法并非建立一个没有其他人能接近的私人通道，而是就算第三者窃取到传输的资料，也因无法解密而得不到真实内容，故这种沟通方式，能够防止资料在网络间传输时，被恶意的第三者取得。SSL协定中包含了签章、加密及杂凑三种安全机制。而这三种安全机制各利用了不同的演算法来进行操作。 2 对称与非对称式的信息加密防护策略
该加密过程至少包含以下元素：明文、加密演算法、加密钥匙及密文。明文代表未加密内容，密文代表加密后内容，演算法代表加密规则、钥匙代表加密时所要定义的参数。以替代加密法的例子为例，选定凯撒加密法为演算法，而决定字母要位移几位，就是钥匙，加解密双方都必须知道这只钥匙，才能顺利加解密。加解密时使用同一把钥匙，是一直以来的概念，也即密码学发展到此时，均属对称式加密，诸如DES、RC2、Blowfish等。于是在加密法强化到难以破解后，钥匙的交换与保护，便成为重要课题。无论资料如何加密保护，钥匙的传递都必须曝露在相对公开的环境下传送，非对称式加密，即是为了解决这样的困境而诞生的。 非对称式加密的原理，即为加密与解密使用一组不同且配对的钥匙。现以两个人物─甲跟乙来说明，在非对称式加密中，每个人都有两把钥匙，一把称为私密金钥，须留在自己身边，不可透露给任何人，另一把称为公开金钥，可公开散布，不须保密，因此非对称式加密又称为公开金钥加密。假设甲要写信给乙，首先须取得乙的公开金钥，由于公钥不是秘密，乙大可通过网络寄给甲，甲用乙的公钥对信件加密，再寄给乙，这封加密信即使被偷看，也因偷窥者没有乙的私钥，而无法解读，乙收到信后用私钥解密，即可看到信件内容。非对称式加密虽然安全，但由于演算法复杂，与对称式加密相较，加密所费时间拉长许多，为顾及效率，实际上加密作业会综合这两种技术。以对称式加密，加密本文，再以非对称的公钥，加密对称式钥匙，该方法即可加快文件加密的效率，也可解决钥匙传递的安全问题，著名的RSA，以及DH、Elgamal、DSA等，均属目前较常见的非对称式加密法。 3 杂凑与数字签章信息加密防护策略
杂凑函数为待传递的信息或文件，建立一个唯一的“指纹”。将信息代入杂凑函数后，将算出唯一的固定长度的数列或字串。杂凑函数必须要为一个不可逆的单向函数。对于同一杂凑函数而言，任一来源信息，都必然只对应到唯一的杂凑值。
加密技术一直以来，多只能提供机密性的保持，数字签章则需同时运用杂凑函数及公开金钥技术。若甲写信寄给乙，欲请乙看过后，再转寄给丁时，若只直接加密，待乙解读后，便可修改后再重用丁的公钥加密，这样丁将会收到被乙偷改的信件。若甲在寄件时，先将明文以杂凑函数算出杂凑值，再以自己的私钥加密，丁收到信后，用甲的公钥解开加密的杂凑值，并用相同杂凑函数计算明文的杂凑值来比较，若两组完全相同，便可证明信件内容未被窜改。另外，利用私人金钥只被单一拥有者持有的特性，也说明了这份文件确是甲寄出的，提供了不可否认性。甲以杂凑函数产生明文杂凑值，再以自己的私钥加密的产物，便是所谓的数字签章。
龙源期刊网 http://www.qikan.com.cn
4 公开金钥基础建设
公开金钥加密的问题，在于公钥的可信度。假设前例中，丙伪称甲重写一封信后，先用自己的私钥加密，再用乙的公钥加密寄给乙，并在信件中附上自己的公钥，宣称那是甲的公钥，那么乙还是会相信这封假造的信，为了防止这个问题，一个公证可信的公钥管理机制是必要的。公开金钥基础建设，提供一个让使用者在不保证安全的开放网络上，得以安全地及私人地交换资料或进行交易的架构。这个基础建设主要应用了公开金钥加密技术（即非对称式加密），故得此名称。在此架构下，使用者拥有一份个人凭证，内含个人识别资料及公开金钥，这份凭证由公正的凭证管理单位负责签发及管理，欲与他人交换信息时，可至凭证管理单位查得对方凭证，再使用对方凭证中的公开金钥对欲交换内容加密后传送，即可保证交换资料的安全性及正确性。
公开金钥基础建设，包含四个主要的部分组成：凭证授权单位、注册授权单位、凭证储存库、终端使用者。一是注册授权单位，负责接受及审理申请凭证者的申请。若申请经核可，则注册授权单位会转交由凭证授权单位来签发凭证。二是凭证授权单位。一个负责签发及管理凭证与公开金钥的授权单位。替每一位使用者产生一组配对的公开及私人金钥，并将使用者的个人识别资料与公开金钥组合成一份凭证资料，这个凭证中的个人识别资料，对于该凭证授权单位言必须是唯一的可识别的资料，而由个人识别资料与公开金钥组成的凭证，将由凭证授权单位加以签发，以凭证授权单位的私钥签署后，此份凭证的内容便无人得以更动。三是凭证储存库，以目录服务的方式，分类及储存凭证，并负责管理凭证废止清册。四是终端使用者，负责申请、查询、或使用凭证。 5 PKI应用的信息加密防护策略 1）自然人凭证
每位申请自然人凭证的民众，于核可后均可领到一张晶片卡。卡上的晶片是可储存并处理资料的微处理器，晶片即为储存申请人的个人凭证之处。目前晶片内储存两张凭证，分别用于电子签章及加解密，每张凭证均为符合X.509标准，储存包含公开金钥、凭证格式版本、凭证序号、签发者、有效期限、签章演算法、凭证用户身份识别、CA签章值等信息。 2）应用自然人凭证于身份认证
自然人凭证内之凭证可以经由相关的应用程序介面通过读卡机取得，但使用私钥时，则需使用者输入一组PIN码，PIN码相当于取用私钥的“通关密语”，必须输入正确的PIN码，才能取用私钥来解密或签章。自然人凭证属于Security Token一类，须用中介软件与凭证及应用程序界接，如图10。介面程序必须符合PKCS#11及MicrosoftCSP的标准，也即，用户端欲使用自然人凭证，则必须安装读卡机驱动程序、中介软件、以及身份认证所需应用程序。中介软件一般第一层会是与晶片供应商相关的介面程序，主要提供符合PKCS#11或Microsoft CSP的
龙源期刊网 http://www.qikan.com.cn
API。而相关软件公司，则会再包装第二层，提供更多程序介面及附加功能，以适用于更多种类的程序语言。目前，旧版的自然人凭证，底层中介软件为由AET所提供的Safe Sign。 目前很多组织应用自然人凭证呃身份认证于公司内部的人员出勤签到及电子公文的签核中。一般组织要应用该凭证从事身份认证，首先必须建立服务器端服务及白名单，由于自然人凭证并未提供持有人在公司的识别资料，例如员工编号等，而白名单即在维护凭证与员工识别资料间的关联，及储存公开凭证等。 6 小结
时至今日，由于网络的普及，越来越多信息通过网络传递，网络是一个公开的环境，有心人士可能会拦截、偷听网络封包，信息安全因而变得越来越需要被重视，因此组织有必要使用自然人凭证加强身份认证机制。该文研究也期待经由对计算机网络信息安全基本观念的阐述，能让读者对信息安全及身份验证有进一步的了解。 参考文献：
[1] 方鑫.计算机网络安全的探析[J].信息与电脑（理论版），2010（7）. [2] 王俐.网络安全及防范技术简介[J].才智，2010（2）.
[3] 赵日峰，赵飞.办公系统计算机网络的安全性[J].网络与信息，2009（8）. [4] 王建波.计算机网络安全性的风险与防御措施[J].信息与电脑（理论版），2011（5）.
