计算机网络信息安全保密措施
2010-02-24 计算机信息传递是高技术的产物。保障计算机系统安全，曾经是一件非常简单的事情，把它锁到一间屋里，仅限少数信得过的人接触就行了。网络技术完全改变了这种简单含义的安全。地理上分散终端、本地控制资源和未加保护线路的存在，引发了一系列全新的问题。因此，必须借助于高技术，确保计算机信息的安全与保密。这些技术手段包括密码技术、安全控制技术和安全防范技术。（１）密码技术
密码技术用以解决信息的保密以及信息即使被窃取了或泄漏了也不易识别这样一个问题。它的安全机制是伪装信息，使有关人员明白其中的含义，而无关人员却无法理解。密码技术由明文、密文、算法和密钥四要素构成。明文就是原始信息，密文是明文变换后的信息，算法是明文密文之间的变换法则，密钥是用以控制算法实现的关键信息。因此密码技术的核心是密码算法和密钥。密码算法通常是一些公式、法则、运算关系；密钥可看作算法中的可变参数，改变了密钥也就改变了明文与密文之间的数据关系。加密过程是通过密钥把明文变成密文，解密过程则是把密文恢复成明文。按密码算法所用的加、解密密钥是否相同，可分为密钥相同的常规密码体制（又称对称密码体制），密钥不相同的公开密码体制。下面将着重分析信息保密过程中的密钥管理。
１）密钥的产生和分配
在密钥的产生中，关键是随机性，要求尽可能用客观的、物理的方法产生密钥，并尽可能用完备的统计方法检验密钥的随机性，使不随机的密钥序列的出现概率能够最小。
密钥的分配是密钥管理中最大的问题。密钥必须通过最安全的通路进行分配，派非常可靠的信使携带密钥分配给互相通信的各用户的人工方式不再适用，因为随着用户的增多和通信量的增大，密钥更换十分频繁（密钥必须定期更换才能做到可靠），密钥在网内的自动分配方法便应运而生。
密钥在网内可在用户之间直接实现分配，也可通过密钥分配中心KDC（KeyDistribution）分配。用户甲向密钥分配中心送明文，说明想和用户乙通信，这就是向KDC申请会话时所用的会话密钥。KDC收到申请后，从用户专用主密钥文件中找出用户甲和乙的主密钥，同时产生为甲和乙通信而用的会话密钥，甲和乙即可用会话密钥进行保密通信。KDC可以为每对用户每次通信产生一个新的会话密钥，这就使得破译密文变得十分困难。主密钥是用来保护会话密钥的，因此主密钥也不能长期使用而不进行更换。
２）密钥的注入
密钥的注入方式可用键盘、软盘、磁卡和磁条等。对密钥的注入应给予严格保护，注入过程应有一个封闭的、保密的环境，注入人员应当可靠。操作时只有在输入合法的口令后才可开始注入，重要的密钥应当由多人、多批次分开注入完成，不允许存在任何可能导出密钥的残留信息，一旦窃取者试图读出或分析推算出注入的密钥，密钥能自行销毁。
３）密钥的存贮与销毁
在密钥产生以后，需要以密文形式存贮密钥。对密钥的存贮方法有两种：一种是让密钥存贮在密码装置中。这种方法需大量存贮和频繁更换密钥，实际操作过程中十分繁琐；另一种方法是运用一个主密钥来保护其它密钥。它可将主密钥存贮在密码中，而将数量相当之多的数据加密存贮在限制访问权限的密钥表中，从而既保证了密钥的安全性与保密性，又利于密钥的管理。此外，在密钥存贮过程中，加、解密的操作口令应由密码操作人员掌握；加密设备应有物理保护措施，如失电保护等；对非法使用加密设施应有审核手段；采用软件加密形式，应有软件保护措施。对使用时间过长和已经失效的密钥应及时予以销毁。
（２）计算机信息安全控制技术
１）数字签名
书信或文件是根据亲笔签名或印章来证明其真实性的。但在计算机网络中传递的文电又如何盖章呢？这就是数字签名所需解决的问题。数字签名必须保证以下三点：
·接收者能核实发送者对报文的签名；
·发送者事后不能抵赖对报文的签名；
·接收者不能伪造对报文的签名。
目前实现数字签名的方法主要有三种：一是用公开密钥技术；二是利用传统密码技术；三是利用单向校验和函数进行压缩签名。１９９１年美国颁布了数字签名标准DSS。DSS的安全性基础是离散对数问题的困难性。数字签名一方面可以证明这条信息确实是此发信者发出的，而且事后未经过他人的改动（因为只有发信者才知道自己的私人钥匙），另一方面也确保发信者对自己发出的信息负责，信息一旦发出且署了名，他就无法再否认这一事实。
２）鉴别技术
鉴别技术用于证实交换过程的合法性、有效性和交换信息的真实性，可以防止对信息进行有意窜改的主动攻击。常用的方法主要有报文鉴别和身份鉴别。
在对报文内容进行鉴别时，信息发送者在报文中加入一个鉴别码，并经加密后提供给对方检验。信息接收方利用约定的算法，对脱了密的报文进行运算，将得到的鉴别码与收到的鉴别码进行比较，如果相符，则该报文内容正确。否则，报文在传送过程中已被改动了。
身份鉴别是对用户能否使用计算机的鉴定，包括识别与验证。识别是为了确认谁要进入系统。验证是在进入者回答身份后，系统对其身份的真伪鉴别。没有验证，识别就没有可信性。口令是最常用的验证方法，也是针对网络的最常见的攻击点之一。一般说来，口令是使用者为获得进入要求访问的计算机系统或文件所必须使用的代码，计算机将用户提供的口令和存放在系统中的口令表进行比较来鉴别用户的合法身份。口令的生成方法有两种，一是由用户自己选择，另一种是由机器自动生成。“令牌”是另外一种身份鉴别方法，它是用户插入阅读器的物理钥匙或磁卡，通过在注册时验证令牌来获得对计算机的访问权。令牌相对于口令的优点是：用户不必担心忘记他们的口令；口令可以很长且不可猜测。令牌的发展是“智能卡”，即带有智能化的微处理器与存贮器，它的识别性能更好，能很好地对付冒充、猜测与攻击。例如，银行通过给每个客户一个个人识别号（PIN）保证了自动出纳机的安全问题。
除口令与令牌这两种身份鉴别外，还有一种利用个体属性的生物测量鉴别方法。它利用人的身体的一个或几个独特方面来确保用户的真实性。如：指纹识别、视网膜扫描、声音验证、手型识别和签名识别等。
３）访问控制技术
访问控制技术是要确定合法用户对计算机系统资源所享有的权限，以防止非法用户的入侵和合法用户使用非权限内资源。实施访问控制是维护计算机安全运行、保护系统信息的重要技术手段。它包括网络的访问控制技术、主机的访问控制技术、微型机的访问控制技术和文件的访问控制技术。访问控制可以起到如下作用：保护存储在计算机中的个人信息的保密性；保护公司重要信息的机密性；维护机器内信息的完整性；减少病毒感染机会，延缓感染的传播速度。
访问控制的过程可以用审计的方法加以记载。审计是记录用户使用某一计算机系统所进行的所有活动的过程，它通过记录违反安全访问规定的时刻、日期，以及用户活动而在计算机的控制方面起着重要作用。因为审计过程中收集的数据量非常大，所以审计系统的设计十分重要。
（３）计算机信息安全保护技术
为了做好信息的保密工作，近年来针对计算机系统的安全保护技术不断产生，以下重点介绍其中的三种技术。
１）病毒防治技术
２０世纪８０年代中期以来，随着国内计算机市场的迅速发展，计算机病毒如同瘟疫一般在我国流行开来。虽然到目前为止我国还没有出现影响很大的病毒破坏事件，但我们不能因此而放松警惕。事实上，计算机病毒每时每刻都在准备攻击计算机系统，破坏计算机信息的安全。为扼制计算机病毒的蔓延，国家专门成立了计算机病毒的防治科研机构，反病毒技术有了长足的进步。
从技术上来讲，对计算机病毒的防治可以通过如下途径：一是在服务器上装载防病毒模块；二是软件防治，定期或不定期地用防毒软件检测计算机；三是在计算机上插防病毒卡；四是在网络接口卡上安装防病毒芯片。软件防治可以不断提高防治能力，但需要人为地经常去启动软盘防毒软件，而且往往在病毒发作以后才能检测到。目前国内比较成熟的防病毒软件有KILL和KV３００。防毒卡可以达到实时监测的目的，但防毒卡的升级不方便，而且对计算机运行速度有一定的影响。防病毒芯片将存取控制和病毒防护合二为一，但是版本升级不及时。
病毒的技术防范毕竟是属于被动防御型的措施，对它的全面治理需遵循“防杀结合，以防为主，以杀为辅，软硬互补，标本兼治”的原则，从管理等方面着手，严格各项规章制度。特别要强调的是应加强有关人员的安全防范意识，克服麻痹思想和侥幸心理，力争防患于未然。目前我国对单机的防查病毒较为重视，对网络病毒的防治意识十分淡薄。事实上，当网络用户将对方带病毒的文档或其它文件作为电子邮件接受过来并且另存到硬盘或软盘上时，文件一直处于重编码状态，传统的基于服务器和工作站的杀毒软件对它都无能为力，用户等于把整个系统完全暴露在病毒的攻击下。例如，１９９６年底，互联网中出现了一匹名为Penpal Greetings的特洛伊木马。它以电子邮件的外表出现，表面上似乎在征集笔友，而一旦用户下载，就会捣毁硬盘，并自动向信箱中所有存贮地址转发这一邮件。
２）防火墙技术
防火墙技术是一种使用很广泛的网络安全技术。顾名思义，防火墙是用来阻挡外部火情影响内部网络的屏障。无论外部世界多么错综复杂，良莠不齐，经过防火墙过滤，内部网络大可隔岸观火，不受火灾危害。用专业术语来描述，防火墙是设置在被保护网络和外部网络之间的一道屏障，以防止发生不可预料的、潜在的破坏入侵。它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽被保护网络的信息、结构和运行情况等，防止外部网络的未授权访问，实现对网络信息的安全保护。这一技术一般适用于相对独立，与外部网络互联途径有限，并且网络服务相对集中的网络，如企业内部网，即Intranet网。
防火墙的职责就是根据本单位的安全策略，对外部网络与内部网络交流的数据进行检查，符合的予以放行，不符合的拒之门外。基于“包过滤”的包过滤型防火墙是防火墙技术的初级产品，这种类型的防火墙检查数据流中的每个数据包后，根据数据包的源地址、目的地址、连接请求的方向（连入或连出的端口）、数据包协议和服务请求的类型等因素的组合，来确定是否允许数据包通过。只有满足访问控制标准的数据包才被转发到相应的目的地出口端，其余的则被删除。其它类型的防火墙包括代理服务器型、复合型、自适应代理型和监测型等。防火墙技术不同，其安全性能也大不一样。
由于防火墙的隔断作用，一方面加强了内部网络的安全，另一方面却使内部网络与外部网络的信息交流受到阻碍。此外，防火墙只能阻截来自外部网络的侵扰，对于内部怀有恶意的工作人员却不产生防御作用，即防火墙不能替代墙内的安全措施。防火墙在当今因特网上的存在是有生命力的，但它不是解决所有网络安全的万能药方，而只是网络安全政策和策略中的一个组成部分。因此，不能完全依赖防火墙来保证网络的安全，应将它与其它技术，如加密、监控等保密手段在内的综合性安全措施结合使用。
３）信息泄漏防护技术
长期以来，计算机的辐射安全问题并没有引起人们的足够重视，认为把计算机辐射出来的信息与计算机邻近的复杂噪声背景相区别并分离出来存在很大的难度。在1967年的计算机年会上，美国科学家韦尔首次阐明了计算机系统的四个脆弱性，即处理器、通讯线路、转换设备和输出设备的辐射问题。计算机在运行时，电磁辐射信号不但频谱成分丰富且携带信息，从而对信息的安全性造成威胁。１９８３年瑞典科学家列 举 了计算机的几个辐射泄漏问题 ：视频信号的辐射、无线电元器件的辐射和电源线路的辐射。１９８５年荷兰学者艾克把计算机的电磁辐射可能造成的泄密威胁从幕后提到了前台。他成功地用一台改进后的普通黑白电视机将计算机视频单元上显示的信息复现出来，而且清晰可读。这一事件的直接结果是使得信息泄漏防护技术成为一种极为重要的信息安全防护技术，即TEMPEST。
TEMPEST是“瞬时电磁脉冲辐射标准”的缩写，是关于抑制电子系统非预期的电磁辐射，保证信息不泄漏的标准。它的综合性很强，涉及到信息的分析、预测、接收、识别、复原、测试、防护和安全评估。美国国家安全局制订了有关TEMPEST的测试与鉴定标准，而且规定必须使用符合上述标准的计算机来处理涉及国家机密的信息。我国有关部门也正在制定这方面的标准。
对计算机电磁辐射的防护应从多方面考虑，如计算机的外壳封装、内部线路与器件、输入输出电路、传输电缆、电源系统以及声学方面的考虑。具体防护方式有两种：设备级防护和系统级防护，其中系统防护是对整机加以屏蔽，防止信号的各种辐射。
