Internet安全體系構(gòu)造探析

導(dǎo)語：Internet安全體系構(gòu)造探析一文來源于網(wǎng)友上傳，不代表本站觀點，若需要原創(chuàng)文章可咨詢客服老師，歡迎參考。

摘要：internet提供訪問控制服務(wù)和通信安全服務(wù)的安全技術(shù)。特別要討論防火墻技術(shù)和已經(jīng)提出的網(wǎng)際、傳輸、應(yīng)用等各層上的安全協(xié)議。

關(guān)鍵詞：internet安全性，防火墻，安全策略

Internetsafesystemstructureanalysis

Abstract:ThesafepracticethatInternetoffersserviceofvisittingandcontrolserviceandcommunicationsecurity.Wantanddiscussfirewalltechnologyandinternet,transmit,alayerofsecuritiesagreementthatpayeachofusingetcthatputforwardalreadyverymuch.

Thekeyword:Internetsecurity,thefirewall,safetactics

1.引言

隨著計算機網(wǎng)絡(luò)的不斷發(fā)展，全球信息化已成為人類發(fā)展的大趨勢。但由于計算機網(wǎng)絡(luò)具有聯(lián)結(jié)形式多樣性、終端分布不均勻性和網(wǎng)絡(luò)的開放性、互連性等特征，致使網(wǎng)絡(luò)易受黑客、怪客、惡意軟件和其他不軌的攻擊，所以網(wǎng)上信息的安全和保密是一個至關(guān)重要的問題。對于軍用的自動化指揮網(wǎng)絡(luò)、C3I系統(tǒng)和銀行等傳輸敏感數(shù)據(jù)的計算機網(wǎng)絡(luò)系統(tǒng)而言，其網(wǎng)上信息的安全和保密尤為重要。因此，上述的網(wǎng)絡(luò)必須有足夠強的安全措施，否則該網(wǎng)絡(luò)將是個無用、甚至?xí)＜皣野踩木W(wǎng)絡(luò)。無論是在局域網(wǎng)還是在廣域網(wǎng)中，都存在著自然和人為等諸多因素的脆弱性和潛在威脅。故此，網(wǎng)絡(luò)的安全措施應(yīng)是能全方位地針對各種不同的威脅和脆弱性，這樣才能確保網(wǎng)絡(luò)信息的保密性、完整性和可用性。

2.計算網(wǎng)絡(luò)面臨的威脅

計算機網(wǎng)絡(luò)所面臨的威脅大體可分為兩種：一是對網(wǎng)絡(luò)中信息的威脅；二是對網(wǎng)絡(luò)中設(shè)備的威脅。影響計算機網(wǎng)絡(luò)的因素很多，有些因素可能是有意的，也可能是無意的；可能是人為的，也可能是非人為的；可能是外來黑客對網(wǎng)絡(luò)系統(tǒng)資源的非法使有，歸結(jié)起來，針對網(wǎng)絡(luò)安全的威脅主要有三：

(1)人為的無意失誤：如操作員安全配置不當(dāng)造成的安全漏洞，用戶安全意識不強，用戶口令選擇不慎，用戶將自己的帳號隨意轉(zhuǎn)借他人或與別人共享等都會對網(wǎng)絡(luò)安全帶來威脅。

(2)人為的惡意攻擊：這是計算機網(wǎng)絡(luò)所面臨的最大威脅，敵手的攻擊和計算機犯罪就屬于這一類。此類攻擊又可以分為以下兩種：一種是主動攻擊，它以各種方式有選擇地破壞信息的有效性和完整性；另一類是被動攻擊，它是在不影響網(wǎng)絡(luò)正常工作的情況下，進行截獲、竊取、破譯以獲得重要機密信息。這兩種攻擊均可對計算機網(wǎng)絡(luò)造成極大的危害，并導(dǎo)致機密數(shù)據(jù)的泄漏。

(3)網(wǎng)絡(luò)軟件的漏洞和“后門”：網(wǎng)絡(luò)軟件不可能是百分之百的無缺陷和無漏洞的，然而，這些漏洞和缺陷恰恰是黑客進行攻擊的首選目標(biāo)，曾經(jīng)出現(xiàn)過的黑客攻入網(wǎng)絡(luò)內(nèi)部的事件，這些事件的大部分就是因為安全措施不完善所招致的苦果。另外，軟件的“后門”都是軟件公司的設(shè)計編程人員為了自便而設(shè)置的，一般不為外人所知，但一旦“后門”洞開，其造成的后果將不堪設(shè)想。

3.計算機網(wǎng)絡(luò)的安全策略

3.1物理安全策略

物理安全策略的目的是保護計算機系統(tǒng)、網(wǎng)絡(luò)服務(wù)器、打印機等硬件實體和通信鏈路免受自然災(zāi)害、人為破壞和搭線攻擊；驗證用戶的身份和使用權(quán)限、防止用戶越權(quán)操作；確保計算機系統(tǒng)有一個良好的電磁兼容工作環(huán)境；建立完備的安全管理制度，防止非法進入計算機控制室和各種偷竊、破壞活動的發(fā)生。

抑制和防止電磁泄漏（即TEMPEST技術(shù)）是物理安全策略的一個主要問題。目前主要防護措施有兩類：一類是對傳導(dǎo)發(fā)射的防護，主要采取對電源線和信號線加裝性能良好的濾波器，減小傳輸阻抗和導(dǎo)線間的交叉耦合。另一類是對輻射的防護，這類防護措施又可分為以下兩種：一是采用各種電磁屏蔽措施，如對設(shè)備的金屬屏蔽和各種接插件的屏蔽，同時對機房的下水管、暖氣管和金屬門窗進行屏蔽和隔離；二是干擾的防護措施，即在計算機系統(tǒng)工作的同時，利用干擾裝置產(chǎn)生一種與計算機系統(tǒng)輻射相關(guān)的偽噪聲向空間輻射來掩蓋計算機系統(tǒng)的工作頻率和信息特征。

3.2訪問控制策略

訪問控制是網(wǎng)絡(luò)安全防范和保護的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和非常訪問。它也是維護網(wǎng)絡(luò)系統(tǒng)安全、保護網(wǎng)絡(luò)資源的重要手段。各種安全策略必須相互配合才能真正起到保護作用，但訪問控制可以說是保證網(wǎng)絡(luò)安全最重要的核心策略之一。下面我們分述各種訪問控制策略。

3.2.1入網(wǎng)訪問控制

入網(wǎng)訪問控制為網(wǎng)絡(luò)訪問提供了第一層訪問控制。它控制哪些用戶能夠登錄到服務(wù)器并獲取網(wǎng)絡(luò)資源，控制準(zhǔn)許用戶入網(wǎng)的時間和準(zhǔn)許他們在哪臺工作站入網(wǎng)。

用戶的入網(wǎng)訪問控制可分為三個步驟：用戶名的識別與驗證、用戶口令的識別與驗證、用戶帳號的缺省限制檢查。三道關(guān)卡中只要任何一關(guān)未過，該用戶便不能進入該網(wǎng)絡(luò)。

對網(wǎng)絡(luò)用戶的用戶名和口令進行驗證是防止非法訪問的第一道防線。用戶注冊時首先輸入用戶名和口令，服務(wù)器將驗證所輸入的用戶名是否合法。如果驗證合法，才繼續(xù)驗證用戶輸入的口令，否則，用戶將被拒之網(wǎng)絡(luò)之外。用戶的口令是用戶入網(wǎng)的關(guān)鍵所在。為保證口令的安全性，用戶口令不能顯示在顯示屏上，口令長度應(yīng)不少于6個字符，口令字符最好是數(shù)字、字母和其他字符的混合，用戶口令必須經(jīng)過加密，加密的方法很多，其中最常見的方法有：基于單向函數(shù)的口令加密，基于測試模式的口令加密，基于公鑰加密方案的口令加密，基于平方剩余的口令加密，基于多項式共享的口令加密，基于數(shù)字簽名方案的口令加密等。經(jīng)過上述方法加密的口令，即使是系統(tǒng)管理員也難以得到它。用戶還可采用一次性用戶口令，也可用便攜式驗證器（如智能卡）來驗證用戶的身份。

網(wǎng)絡(luò)管理員應(yīng)該可以控制和限制普通用戶的帳號使用、訪問網(wǎng)絡(luò)的時間、方式。用戶名或用戶帳號是所有計算機系統(tǒng)中最基本的安全形式。用戶帳號應(yīng)只有系統(tǒng)管理員才能建立。用戶口令應(yīng)是每用戶訪問網(wǎng)絡(luò)所必須提交的“證件”、用戶可以修改自己的口令，但系統(tǒng)管理員應(yīng)該可以控制口令的以下幾個方面的限制：最小口令長度、強制修改口令的時間間隔、口令的唯一性、口令過期失效后允許入網(wǎng)的寬限次數(shù)。

用戶名和口令驗證有效之后，再進一步履行用戶帳號的缺省限制檢查。網(wǎng)絡(luò)應(yīng)能控制用戶登錄入網(wǎng)的站點、限制用戶入網(wǎng)的時間、限制用戶入網(wǎng)的工作站數(shù)量。當(dāng)用戶對交費網(wǎng)絡(luò)的訪問“資費”用盡時，網(wǎng)絡(luò)還應(yīng)能對用戶的帳號加以限制，用戶此時應(yīng)無法進入網(wǎng)絡(luò)訪問網(wǎng)絡(luò)資源。網(wǎng)絡(luò)應(yīng)對所有用戶的訪問進行審計。如果多次輸入口令不正確，則認(rèn)為是非法用戶的入侵，應(yīng)給出報警信息。

3.2.2網(wǎng)絡(luò)的權(quán)限控制

網(wǎng)絡(luò)的權(quán)限控制是針對網(wǎng)絡(luò)非法操作所提出的一種安全保護措施。用戶和用戶組被賦予一定的權(quán)限。網(wǎng)絡(luò)控制用戶和用戶組可以訪問哪些目錄、子目錄、文件和其他資源。可以指定用戶對這些文件、目錄、設(shè)備能夠執(zhí)行哪些操作。受托者指派和繼承權(quán)限屏蔽（IRM）可作為其兩種實現(xiàn)方式。受托者指派控制用戶和用戶組如何使用網(wǎng)絡(luò)服務(wù)器的目錄、文件和設(shè)備。繼承權(quán)限屏蔽相當(dāng)于一個過濾器，可以限制子目錄從父目錄那里繼承哪些權(quán)限。我們可以根據(jù)訪問權(quán)限將用戶分為以下幾類：（1）特殊用戶（即系統(tǒng)管理員）；（2）一般用戶，系統(tǒng)管理員根據(jù)他們的實際需要為他們分配操作權(quán)限；（3）審計用戶，負(fù)責(zé)網(wǎng)絡(luò)的安全控制與資源使用情況的審計。用戶對網(wǎng)絡(luò)資源的訪問權(quán)限可以用一個訪問控制表來描述。

3.2.3目錄級安全控制

網(wǎng)絡(luò)應(yīng)允許控制用戶對目錄、文件、設(shè)備的訪問。用戶在目錄一級指定的權(quán)限對所有文件和子目錄有效，用戶還可進一步指定對目錄下的子目錄和文件的權(quán)限。對目錄和文件的訪問權(quán)限一般有八種：系統(tǒng)管理員權(quán)限（Supervisor）、讀權(quán)限（Read）、寫權(quán)限（Write）、創(chuàng)建權(quán)限（Create）、刪除權(quán)限（Erase）、修改權(quán)限（Modify）、文件查找權(quán)限（FileScan）、存取控制權(quán)限（AccessControl）。用戶對文件或目標(biāo)的有效權(quán)限取決于以下二個因素：用戶的受托者指派、用戶所在組的受托者指派、繼承權(quán)限屏蔽取消的用戶權(quán)限。一個網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)當(dāng)為用戶指定適當(dāng)?shù)脑L問權(quán)限，這些訪問權(quán)限控制著用戶對服務(wù)器的訪問。八種訪問權(quán)限的有效組合可以讓用戶有效地完成工作，同時又能有效地控制用戶對服務(wù)器資源的訪問，從而加強了網(wǎng)絡(luò)和服務(wù)器的安全性。

3.2.4屬性安全控制

當(dāng)用文件、目錄和網(wǎng)絡(luò)設(shè)備時，網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)給文件、目錄等指定訪問屬性。屬性安全控制可以將給定的屬性與網(wǎng)絡(luò)服務(wù)器的文件、目錄和網(wǎng)絡(luò)設(shè)備聯(lián)系起來。屬性安全在權(quán)限安全的基礎(chǔ)上提供更進一步的安全性。網(wǎng)絡(luò)上的資源都應(yīng)預(yù)先標(biāo)出一組安全屬性。用戶對網(wǎng)絡(luò)資源的訪問權(quán)限對應(yīng)一張訪問控制表，用以表明用戶對網(wǎng)絡(luò)資源的訪問能力。屬性設(shè)置可以覆蓋已經(jīng)指定的任何受托者指派和有效權(quán)限。屬性往往能控制以下幾個方面的權(quán)限：向某個文件寫數(shù)據(jù)、拷貝一個文件、刪除目錄或文件、查看目錄和文件、執(zhí)行文件、隱含文件、共享、系統(tǒng)屬性等。網(wǎng)絡(luò)的屬性可以保護重要的目錄和文件，防止用戶對目錄和文件的誤刪除、、執(zhí)行修改、顯示等。

3.2.5網(wǎng)絡(luò)服務(wù)器安全控制

隨著多媒體技術(shù)的發(fā)展，人們由網(wǎng)絡(luò)上的靜態(tài)文本需求轉(zhuǎn)化為視頻、音頻及圖像等多媒體需求，90年代引入的Web服務(wù)器與InternetExplorer和Netscape等瀏覽器的結(jié)合基本滿足了這一要求。Web是一個基于Internet/Intranet的、全球連接的、分布的、動態(tài)的和多平臺的交互式超媒體信息系統(tǒng)，它經(jīng)歷了靜態(tài)文檔、動態(tài)交互界面和電子商務(wù)3個重要階段。Web瀏覽器和Web服務(wù)器之間遵守HTTP協(xié)議。它與絕大多數(shù)服務(wù)不同，在用戶從Web服務(wù)器上檢索信息的時候，它不生成和維護一個單獨的會話。一個帶有許多圖形的Web頁面需要生成多個同時運行的連接才能裝入瀏覽器中，Web瀏覽器常常為了讀取一個Web頁面生成幾十個會話，這就為黑客竊聽和截取信息提供了可乘之機。

另外，Gopher也是一種功能強大、結(jié)構(gòu)簡單的文件檢索工具。Gopher服務(wù)器可以彼此連接起來，用戶可以透明地在多個系統(tǒng)上檢索文件信息，Gopher客戶和Gopher服務(wù)器之間遵守Gopher協(xié)議。由于Gopher和Web服務(wù)器的軟件結(jié)構(gòu)龐大而且復(fù)雜，存在著許多安全隱患，HTTP協(xié)議和Gopher協(xié)議不適合傳遞保密信息，后來發(fā)展的SHTTP協(xié)議和SSL協(xié)議則解決了保密信息的傳輸問題。

許多網(wǎng)絡(luò)服務(wù)器使用的是Unix操作系統(tǒng)，基于該操作系統(tǒng)的網(wǎng)絡(luò)模塊都是從BSD（伯克利大學(xué)系統(tǒng)分發(fā)版本）的Unix系統(tǒng)中的網(wǎng)絡(luò)代碼派生出來的，而BSD系統(tǒng)的網(wǎng)絡(luò)部門的代碼流傳較廣，攻擊者通過分析就能發(fā)現(xiàn)一些網(wǎng)絡(luò)模塊中的缺陷，從而找到訪問系統(tǒng)的攻擊點。

網(wǎng)絡(luò)允許在服務(wù)器控制臺上執(zhí)行一系列操作。用戶使用控制臺可以裝載和卸載模塊，可以安裝和刪除軟件等操作。網(wǎng)絡(luò)服務(wù)器的安全控制包括可以設(shè)置口令鎖定服務(wù)器控制臺，以防止非法用戶修改、刪除重要信息或破壞數(shù)據(jù)；可以設(shè)定服務(wù)器登錄時間限制、非法訪問者檢測和關(guān)閉的時間間隔。

3.2.6網(wǎng)絡(luò)監(jiān)測和鎖定控制

網(wǎng)絡(luò)管理員應(yīng)對網(wǎng)絡(luò)實施監(jiān)控，服務(wù)器應(yīng)記錄用戶對網(wǎng)絡(luò)資源的訪問，對非法的網(wǎng)絡(luò)訪問，服務(wù)器應(yīng)以圖形或文字或聲音等形式報警，以引起網(wǎng)絡(luò)管理員的注意。如果不法之徒試圖進入網(wǎng)絡(luò)，網(wǎng)絡(luò)服務(wù)器應(yīng)會自動記錄企圖嘗試進入網(wǎng)絡(luò)的次數(shù)，如果非法訪問的次數(shù)達到設(shè)定數(shù)值，那么該帳戶將被自動鎖定。

3.2.7網(wǎng)絡(luò)端口和節(jié)點的安全控制

網(wǎng)絡(luò)中服務(wù)器的端口往往使用自動回呼設(shè)備、靜默調(diào)制解調(diào)器加以保護，并以加密的形式來識別節(jié)點的身份。自動回呼設(shè)備用于防止假冒合法用戶，靜默調(diào)制解調(diào)器用以防范黑客的自動撥號程序?qū)τ嬎銠C進行攻擊。網(wǎng)絡(luò)還常對服務(wù)器端和用戶端采取控制，用戶必須攜帶證實身份的驗證器（如智能卡、磁卡、安全密碼發(fā)生器）。在對用戶的身份進行驗證之后，才允許用戶進入用戶端。然后，用戶端和服務(wù)器端再進行相互驗證。

3.2.8防火墻控制

防火墻是近期發(fā)展起來的一種保護計算機網(wǎng)絡(luò)安全的技術(shù)性措施，它是一個用以阻止網(wǎng)絡(luò)中的黑客訪問某個機構(gòu)網(wǎng)絡(luò)的屏障，也可稱之為控制進/出兩個方向通信的門檻。在網(wǎng)絡(luò)邊界上通過建立起來的相應(yīng)網(wǎng)絡(luò)通信監(jiān)控系統(tǒng)來隔離內(nèi)部和外部網(wǎng)絡(luò)，以阻檔外部網(wǎng)絡(luò)的侵入。目前的防火墻主要有以下三種類型；

(1)包過濾防火墻：包過濾防火墻設(shè)置在網(wǎng)絡(luò)層，可以在路由器上實現(xiàn)包過濾。首先應(yīng)建立一定數(shù)量的信息過濾表，信息過濾表是以其收到的數(shù)據(jù)包頭信息為基礎(chǔ)而建成的。信息包頭含有數(shù)據(jù)包源IP地址、目的IP地址、傳輸協(xié)議類型（TCP、UDP、ICMP等）、協(xié)議源端口號、協(xié)議目的端口號、連接請求方向、ICMP報文類型等。當(dāng)一個數(shù)據(jù)包滿足過濾表中的規(guī)則時，則允許數(shù)據(jù)包通過，否則禁止通過。這種防火墻可以用于禁止外部不合法用戶對內(nèi)部的訪問，也可以用來禁止訪問某些服務(wù)類型。但包過濾技術(shù)不能識別有危險的信息包，無法實施對應(yīng)用級協(xié)議的處理，也無法處理UDP、RPC或動態(tài)的協(xié)議。

(2)防火墻：防火墻又稱應(yīng)用層網(wǎng)關(guān)級防火墻，它由服務(wù)器和過濾路由器組成，是目前較流行的一種防火墻。它將過濾路由器和軟件技術(shù)結(jié)合在一起。過濾路由器負(fù)責(zé)網(wǎng)絡(luò)互連，并對數(shù)據(jù)進行嚴(yán)格選擇，然后將篩選過的數(shù)據(jù)傳送給服務(wù)器。服務(wù)器起到外部網(wǎng)絡(luò)申請訪問內(nèi)部網(wǎng)絡(luò)的中間轉(zhuǎn)接作用，其功能類似于一個數(shù)據(jù)轉(zhuǎn)發(fā)器，它主要控制哪些用戶能訪問哪些服務(wù)類型。當(dāng)外部網(wǎng)絡(luò)向內(nèi)部網(wǎng)絡(luò)申請某種網(wǎng)絡(luò)服務(wù)時，服務(wù)器接受申請，然后它根據(jù)其服務(wù)類型、服務(wù)內(nèi)容、被服務(wù)的對象、服務(wù)者申請的時間、申請者的域名范圍等來決定是否接受此項服務(wù)，如果接受，它就向內(nèi)部網(wǎng)絡(luò)轉(zhuǎn)發(fā)這項請求。防火墻無法快速支持一些新出現(xiàn)的業(yè)務(wù)（如多媒體）。現(xiàn)要較為流行的服務(wù)器軟件是WinGate和ProxyServer。

(3)雙穴主機防火墻：該防火墻是用主機來執(zhí)行安全控制功能。一臺雙穴主機配有多個網(wǎng)卡，分別連接不同的網(wǎng)絡(luò)。雙穴主機從一個網(wǎng)絡(luò)收集數(shù)據(jù)，并且有選擇地把它發(fā)送到另一個網(wǎng)絡(luò)上。網(wǎng)絡(luò)服務(wù)由雙穴主機上的服務(wù)來提供。內(nèi)部網(wǎng)和外部網(wǎng)的用戶可通過雙穴主機的共享數(shù)據(jù)區(qū)傳遞數(shù)據(jù)，從而保護了內(nèi)部網(wǎng)絡(luò)不被非法訪問。

防火墻技術(shù)的缺陷主要體現(xiàn)在以下幾個方面。

（1）防火墻把外部網(wǎng)絡(luò)當(dāng)成不可信網(wǎng)絡(luò)，主要是用來預(yù)防來自外部網(wǎng)絡(luò)的攻擊。它把內(nèi)部網(wǎng)絡(luò)當(dāng)成可信任網(wǎng)絡(luò)。然而事實證明，50%以上的黑客入侵都來自于內(nèi)部網(wǎng)絡(luò)，但是對此防火墻卻無能為力。為此可以把內(nèi)部網(wǎng)分成多個子網(wǎng)，用內(nèi)部路由器安裝防火墻的方法以保護一些內(nèi)部關(guān)鍵區(qū)域。這種方法維護成本和設(shè)備成本都會很高，同時也容易產(chǎn)生一些安全盲點，但畢竟比不對內(nèi)部進行安全防范要好。

（2）基于Web的視頻會議系統(tǒng)和電子商務(wù)系統(tǒng)都增加一些傳統(tǒng)防火墻所沒有的訪問規(guī)則，從而有可能使傳統(tǒng)防火墻的功能得到削弱，增加了黑客入侵的機會。

（3）防火墻只允許來自外部網(wǎng)絡(luò)的一些規(guī)則允許的服務(wù)通過，這樣反而會抑制一些正常的信息通信，從某種意義上說大大削弱了Internet應(yīng)有的功能，特別是對電子商務(wù)發(fā)展較快的今天，防火墻的使用很容易錯失商機。

（4）公司銷售人員因出差等原因想查看一下公司內(nèi)部網(wǎng)絡(luò)內(nèi)的重要數(shù)據(jù)庫信息，或公司領(lǐng)導(dǎo)想從內(nèi)部網(wǎng)絡(luò)外對內(nèi)部人員發(fā)出指令，也常常被防火墻堵截到門外，這樣容易導(dǎo)致政令不通；而一旦給公司的這些人員賦予訪問權(quán)限，他們的計算機將成為安全盲區(qū)，反而易成為黑客攻擊的重點。公司CEO等要員的移動電腦內(nèi)常常帶有公司內(nèi)部重要資料，一旦被入侵，將給公司造成巨大損失。對這種情況的一個補救措施是對該電腦內(nèi)的每個重要文件都設(shè)立登錄名和口令，嚴(yán)加控制以防黑客入侵。另外一些公司政要的家庭計算機內(nèi)也常有重要資料，入侵者完全可以安裝一個遠(yuǎn)程控制的特洛伊木馬程序發(fā)送到他們的機器上，從而可以獲得穿過公司內(nèi)的防火墻和虛擬專用網(wǎng)的權(quán)限，因為這些公司要員的計算機對公司局域網(wǎng)而言是可信任的。

（5）現(xiàn)在跨地區(qū)的大公司常利用公用的Internet網(wǎng)建立本公司的虛擬專用網(wǎng)（VPN），雖然大部分防火墻集成了對VPN的支持，但VPN只是在介于公司兩個局域網(wǎng)絡(luò)的網(wǎng)關(guān)間的公共網(wǎng)絡(luò)上建立起一個加密通道，一旦通信越過目標(biāo)站點網(wǎng)關(guān)，它將被解密并暴露在內(nèi)部網(wǎng)絡(luò)上，內(nèi)部網(wǎng)絡(luò)上固有的安全隱患也將可能出現(xiàn)。

4.信息加密策略

信息加密的目的是保護網(wǎng)內(nèi)的數(shù)據(jù)、文件、口令和控制信息，保護網(wǎng)上傳輸?shù)臄?shù)據(jù)。網(wǎng)絡(luò)加密常用的方法有鏈路加密、端點加密和節(jié)點加密三種。鏈路加密的目的是保護網(wǎng)絡(luò)節(jié)點之間的鏈路信息安全；端-端加密的目的是對源端用戶到目的端用戶的數(shù)據(jù)提供保護；節(jié)點加密的目的是對源節(jié)點到目的節(jié)點之間的傳輸鏈路提供保護。用戶可根據(jù)網(wǎng)絡(luò)情況酌情選擇上述加密方式。

信息加密過程是由形形色色的加密算法來具體實施，它以很小的代價提供很大的安全保護。在多數(shù)情況下，信息加密是保證信息機密性的唯一方法。據(jù)不完全統(tǒng)計，到目前為止，已經(jīng)公開發(fā)表的各種加密算法多達數(shù)百種。如果按照收發(fā)雙方密鑰是否相同來分類，可以將這些加密算法分為常規(guī)密碼算法和公鑰密碼算法。

在常規(guī)密碼中，收信方和發(fā)信方使用相同的密鑰，即加密密鑰和解密密鑰是相同或等價的。比較著名的常規(guī)密碼算法有：美國的DES及其各種變形，比如TripleDES、GDES、NewDES和DES的前身Lucifer;歐洲的IDEA；日本的FEAL－N、LOKI－91、Skipjack、RC4、RC5以及以代換密碼和轉(zhuǎn)輪密碼為代表的古典密碼等。在眾多的常規(guī)密碼中影響最大的是DES密碼。

常規(guī)密碼的優(yōu)點是有很強的保密強度，且經(jīng)受住時間的檢驗和攻擊，但其密鑰必須通過安全的途徑傳送。因此，其密鑰管理成為系統(tǒng)安全的重要因素。

在公鑰密碼中，收信方和發(fā)信方使用的密鑰互不相同，而且?guī)缀醪豢赡軓募用苊荑€推導(dǎo)出解密密鑰。比較著名的公鑰密碼算法有：RSA、背包密碼、McEliece密碼、Diffe-Hellman、Rabin、Ong-Fiat-Shamir、零知識證明的算法、橢園曲線、EIGamal算法等等。最有影響的公鑰密碼算法是RSA，它能抵抗到目前為止已知的所有密碼攻擊。

公鑰密碼的優(yōu)點是可以適應(yīng)網(wǎng)絡(luò)的開放性要求，且密鑰管理問題也較為簡單，尤其可方便的實現(xiàn)數(shù)字簽名和驗證。但其算法復(fù)雜。加密數(shù)據(jù)的速率較低。盡管如此，隨著現(xiàn)代電子技術(shù)和密碼技術(shù)的發(fā)展，公鑰密碼算法將是一種很有前途的網(wǎng)絡(luò)安全加密體制。

當(dāng)然在實際應(yīng)用中人們通常將常規(guī)密碼和公鑰密碼結(jié)合在一起使用，比如：利用DES或者IDEA來加密信息，而采用RSA來傳遞會話密鑰。如果按照每次加密所處理的比特來分類，可以將加密算法分為序列密碼和分組密碼。前者每次只加密一個比特而后者則先將信息序列分組，每次處理一個組。

密碼技術(shù)是網(wǎng)絡(luò)安全最有效的技術(shù)之一。一個加密網(wǎng)絡(luò)，不但可以防止非授權(quán)用戶的搭線竊聽和入網(wǎng)，而且也是對付惡意軟件的有效方法之一。

5.網(wǎng)絡(luò)安全管理策略

在網(wǎng)絡(luò)安全中，除了采用上述技術(shù)措施之外，加強網(wǎng)絡(luò)的安全管理，制定有關(guān)規(guī)章制度，對于確保網(wǎng)絡(luò)的安全、可靠地運行，將起到十分有效的作用。

網(wǎng)絡(luò)的安全管理策略包括：確定安全管理等級和安全管理范圍；制訂有關(guān)網(wǎng)絡(luò)操作使用規(guī)程和人員出入機房管理制度；制定網(wǎng)絡(luò)系統(tǒng)的維護制度和應(yīng)急措施等。

6.安全問題的未來研究方向

(1)必須建立自主產(chǎn)權(quán)的網(wǎng)絡(luò)操作系統(tǒng)。現(xiàn)在國內(nèi)90%以上的Web站點用的都是WindowsNT服務(wù)器操作系統(tǒng)，而客戶機大部分用的是Windows95/98或WindowsNT操作系統(tǒng)。IntelPentiumⅢ處理器和Windows98在產(chǎn)品中都開了后門，通過PentiumⅢ處理器的序列號，在上網(wǎng)時將用戶的信息與截獲的信息一一對應(yīng)起來，就能破獲用戶的隱私和密碼；對于Windows98的用戶在撥號上網(wǎng)時，Microsoft的系統(tǒng)能自動搜集用戶電腦內(nèi)的資料和身份認(rèn)證資料。這樣我們使用的網(wǎng)絡(luò)產(chǎn)品極易留下嵌入式病毒、隱性通道和可恢復(fù)密鑰的密碼等隱患。建立在他人操作系統(tǒng)之上的網(wǎng)絡(luò)安全系統(tǒng)，無論從何角度上講，安全性都值得懷疑。特別對于軍隊的網(wǎng)絡(luò)安全系統(tǒng)而言，使用自己的網(wǎng)絡(luò)操作系統(tǒng)就顯得更加重要。當(dāng)然建立一個安全可靠的操作系統(tǒng)并非易事，但Linux等開放源代碼系統(tǒng)做了大量的前期準(zhǔn)備工作，建立在該代碼之上的開發(fā)或許對我們會有所幫助。

(2)必須研制高強度的保密算法。網(wǎng)絡(luò)安全從本質(zhì)上說與數(shù)據(jù)加密息息相關(guān)。現(xiàn)在網(wǎng)絡(luò)上采用的加密算法分對稱密鑰算法和公開密鑰算法2種。對稱密鑰算法密鑰管理難度較大且安全性不夠高。公開密鑰算法使用公共密鑰和私有密鑰，公共密鑰可從認(rèn)證機構(gòu)CA中得到，私有密鑰由個人保存，從根本上解決了對稱密鑰算法管理上的困難。電子商務(wù)使用的數(shù)字簽名技術(shù)就使用了公開密鑰算法體制。電子商務(wù)在我國能否大力發(fā)展，很大程度上取決于所使用的加密算法的加密強度，因此研制高強度的密碼算法非常重要。網(wǎng)絡(luò)安全建設(shè)應(yīng)與密碼算法研制同步發(fā)展。同時，密鑰管理理論和安全性證明方法的研究也應(yīng)該重點關(guān)注。

(3)需要研制新一代的防火墻和入侵測試軟件。該軟件可裝在每臺機器上進行適時監(jiān)測，不但能監(jiān)測來自外部的入侵，同時也能監(jiān)測來自內(nèi)部的入侵，并能進行適時報警。對Internet上正常友好的通信應(yīng)該允許通過，克服了現(xiàn)有防火墻的許多缺陷。

(4)需要研究新一代的防病毒軟件。Internet給人類帶來信息資源共享便利的同時，也帶來了網(wǎng)絡(luò)病毒、蠕蟲、特洛伊木馬、電子郵件炸彈等有害的東西。這些病毒通過E-mail或用戶下載的JavaApplet和ActiveX組件進行傳播。除了對現(xiàn)有的殺毒軟件要不斷升級外，研制針對網(wǎng)絡(luò)安全的殺毒軟件也刻不容緩。

結(jié)束語

網(wǎng)絡(luò)安全措施的使用是為了保護信息交換，而不是限制信息交換或使其復(fù)雜化。系統(tǒng)管理也是在開發(fā)安全系統(tǒng)時應(yīng)該高度重視的，這些管理包含網(wǎng)絡(luò)配置、密鑰分配、設(shè)備檢查、數(shù)據(jù)庫維護和審計報告的生成等。另外應(yīng)保證數(shù)據(jù)的安全存儲，確保數(shù)據(jù)的機密性，即使攻擊者得到數(shù)據(jù)也無法使用。總之，要綜合考慮各種因素，使構(gòu)筑的網(wǎng)絡(luò)既好用又安全。

隨著計算機技術(shù)和通信技術(shù)的發(fā)展，計算機網(wǎng)絡(luò)將日益成為工業(yè)、農(nóng)業(yè)和國防等方面的重要信息交換手段，滲透到社會生活的各個領(lǐng)域。因此，認(rèn)清網(wǎng)絡(luò)的脆弱性和潛在威脅，采取強有力的安全策略，對于保障網(wǎng)絡(luò)的安全性將變得十分重要。

參考文獻：

航天706所金茂順編譯自《ACMTransactionsonSystem》1997