软件设计师【软考中级】复习笔记 —— 第六章（信息安全基础知识）

6.1 信息系统安全属性

最小授权原则：再给某个角色进行授权的时候，依据最小授权原则。能保证该角色的工作能够正常进行，至少给它开那些权限，就给他开那些权限。不要给过多的授权。

完整性：信息从一个节点发送到另外一个节点的时候，过程中信息不能有变化。

可用性：合法用户可以以合法的方式用到相应的资源。

6.2 对称加密与非对称加密

6.2.1 对称加密技术

对称加密：加密和解密时候，所使用的密钥是完全一样的。用什么样的密钥加密，就用什么样的密钥解密。
优点：加密速度快，效率高。
缺点：加密强度不高；密钥分发比较困难。

6.2.2 非对称加密技术

加密和解密是用不同的密钥，用公钥加密，就用私钥解密；用私钥加密就用公钥解密。

案例：甲要将一段明文加密后发给乙，可选用以下哪个密钥加密：
A：甲的公钥 B：乙的公钥 C：甲的私钥 D：乙的私钥

分析：只能选乙的公钥加密。
要给谁发加密信息，直接用对方的公钥加密，发送给他就可以。

非对称加密技术由于密钥长度长（1024位）加密速度慢，效率低，不适合用来加密数据量比较大的信息的。

在实际应用中，对称加密和非对称加密是互为补充的，用对称加密技术加密大内容数据，用非对称技术加密密钥。这样对称加密密钥分发的问题就得以解决了。

6.3 信息摘要

信息摘要：一段信息的特征值；特点：原始信息信息发生变化，特征值也会跟着发生变化。
信息摘要的算法：采用单向的散列函数（单向Hash函数）。
单向：可以将明文通过摘要算法算的摘要结果，但不能将将摘要还原成明文。
摘要算法是一种有破坏性的操作，取特征值，长度较短。

6.4 数字签名

是一种防抵赖的技术。用数字化的方式来给发送者在信息上面签上自己的名字。

A要发信息给B，将该信息的信息摘要用A的私钥加密，然后传给B，如果B能够用A的公钥解密得到信息摘要，就能反推出这段信息是A发的，因为A的私钥就只有A自己有。相当于A在信息上做了签名。一般我们将A的私钥加密过程叫数字签名的过程。而把A的公钥解密的过程叫数字签名验证过程。
因为其实没有加密作用，只有识别身份的作用。

6.5 数字信封与PGP

对称加密技术适合大信息量的加密，而非对称加密技术适合小信息量的加密。

6.6 设计邮件加密系统(实例)

发送方A将邮件正文以随机密钥K加密得到密文，然后将密钥K用接收方B的公钥加密，将邮件密文和加密后的密钥K发给B；
B收到密文和加密后的密钥K后，先用B（他自己）的私钥解密得到密钥K，然后用密钥K解密得到邮件正文。至此，保密传输完成。

A用邮件正文算出邮件摘要，然后用A（他自己）的私钥做数字签名，得到签名后的摘要（摘要密文），发送给B，B收到摘要密文以后，要验证摘要（解密摘要），用A的公钥解密（因为A的公钥只能解密A自己的私钥加密的数据，而A的私钥只要A自己有，所以只要能解密得到原始邮件摘要，就证明该信息是发送方A的，完成了数字签名的验证），得到原始的邮件摘要，在将以上解密的邮件正文算出邮件摘要，将两个邮件摘要对比，如果能够匹配，则邮件传输过程中没有被第三方篡改。

6.7 各个网络层次的安全保障

Https：原有的Http协议走的是明文传输，而网页的明文传输一旦被截获，隐患较大。所以就将Http和SSL协议结合起来，形成Https；
物理层：提高安全性的基本手段就是隔离和屏蔽。无线电信号的屏蔽。
从第二层开始，基本上就走的是协议来保障安全，协议就是通讯时候封包的一种规则；
数据链路层：PPTP，L2TP两种隧道协议，隧道协议的基本理念是在开放的互联网之上，开出两条安全的隧道，这两条隧道传输的东西不会遭到破坏和截获。
网络层：防火墙技术，防火墙有软件性质的，也有硬件软件配合在一起的，即该设备就是专门为防火墙策略做支撑的一个平台。专门运行防火墙软件的主机。
IPSec：针对IP包进行加密的协议，IP包不涉及加密问题，直接明文传输的，但传输的数据非常保密的时候，可以用IPSec介入。
传输层：
TLS：标准的传输层安全协议。
SET：面向于电子商务的协议，集成了很多机制，如：通信过程的安全保密，购物过程防抵赖措施。
SSL：超越传输层，到应用层。

6.8 网络威胁与攻击

6.8.1

6.8.2

6.9 防火墙技术

防火墙分网络级的防火墙和应用级的防火墙。
网络级的防火墙工作层次比较低，但是效率较高。可以设置接收或丢弃某一个段的IP包。
至于包中的信息，在网络层是不会进行检查的。检查的是头部信息，IP头。但是可以伪造头信息蒙混过关。
应用级防火墙工作层次比较高，但是工作效率比较低。开箱检查。有安全隐患的杜绝门外。
应用级是把箱子拆出来看里面是啥东西，这样子效率必然低。
包过滤：最简单的防火墙；
状态检测：TCP/IP连接时会有连接状态信息，网络级的状态检测防火墙就会将状态信息情况进行相应的分析统计。

屏蔽子网：从微观结构来看，该防火墙做的极其复杂，由多道防火请构成；
基本思路是弥补防火墙已有和固有的一些缺陷，防火墙有一个特点：防外不防内，网络攻击如果是由外部发起的，要穿透防火墙进入到内部，这种攻击会被过滤掉，但是内部发起的攻击，防火墙是顾不到的，（经过统计造成损失的网络攻击80%是内部发起的）。
在外网和内网之间，做了一个屏蔽子网区，也称隔离区，或者叫DMZ非军事区，该区域既不属于内部网络，也不属于外部网络，隔离区放对外提供服务的服务器，如果外部的入侵者攻破了一道防火墙，然后在要进入到内部网络，还有一道防火墙，所以安全性提高了，内部网路访问这些服务器，也要经过一道防护墙，也挺高了相应的安全性。