要了解什么是网络,先必须清楚什么是「」。一般对信息系统安全的认知与评判方式,包含五项原则:私密性、完整性、身份鉴别、授权、不可否认性。这五项原则虽各自独立,在实际维护系统安全时,却又环环相扣缺一不可。
私密
当信息可被信息来源人士、收受人之外的第三者,以恶意或非恶意的方式得知时,就丧失了私密性。某些形式的信息特别强调隐私性,诸如个人身份资料、信用交易记录、医疗保险记录、公司研发资料及产品规格等等。
完整
当信息被非预期方式更动时,就丧失了完整性。如飞航交通、金融交易等应用场合,资料遭受变动后,可能会造成重大的生命财产损失,因此须特别重视资料的完整性。
身份鉴别
身份鉴别确保使用者能够提出与宣称身份相符的证明。对于信息系统,这项证明可能是电子型式 (如使用者帐号密码、IC卡等),或其它独一无二的方式 (如指纹、虹膜、声纹等生物辨识)。
授权
系统必须能够判定用户是否具备足够的权限,进行特定的活动,如开启档案、执行程序等等。因为系统授权给特定用户后,用户才具备权限运行于系统之上,因此用户事先必须经由系统「身份鉴别」,才能取得对应的权限。
不可否认
用户在系统进行某项运作后,若事后能提出证明,而无法加以否认,便具备不可否认性。因为在系统运作时必须拥有权限,不可否认性通常架构在「授权」机制之上。
网络安全面临的新议题 – 有效性
除了以上描述的五点安全原则,「网络安全」因为独特的领域特性,也面临提供服务的有效性问题。某些网络服务因服务性质的因素,必须公开提供给非特定人士使用 (如网页、邮件服务),但各项服务因为设计或硬件能力上的限制,势必都存在服务能力的上限,当该项服务被有心人士攻击,而使得经过身份鉴别及授权的正常用户无法取得服务时,便丧失了有效性。
安全等级概念
安全并不是非黑即白的绝对值,实际上存在许多的灰色地带。对某个应用环境而言,相关的安全机制足敷所需,但把同样的机制转移至其它的应用环境时,却可能无法满足应用需求。
针对特定场合、特殊需求,在实际运作时,选用的安全机制可能会因为方便性、效率、经费、法令限制等原因而有所取舍。一般用户与服务提供端之间,对于如何决定应用系统安全等级,则必须仰赖契约或法令的规范,提供相当程度的安全机制。
安全机制必须公开并可被验证
同意在某项应用环境下,实施某项安全机制的先决条件,在于充份了解该安全机制如何运作、缺点、必须承担的风险与对应赔偿责任。简述这个原则,就是「你无法保证你不清楚的事」。因此安全机制必须是公开的,或至少使用该安全机制的应用系统及用户,能够验证该机制合乎要求。
一般人常有「使用专有格式就是安全」的错误认识,事实上专有 (私有) 格式、专有算法等,通常无法由安全专家加以验证,可能存在许多后门与漏洞,反而十分不安全。
网络安全学习资源分享:
零基础入门
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
CSDN大礼包:《黑客&网络安全入门&进阶学习资源包》免费分享 (qq.com)
同时每个成长路线对应的板块都有配套的视频提供: