网络信息安全机制与信息保护

2023-10-18 理论教育版权反馈

【摘要】：由于加密算法耗费大量的处理能力，所以选择字段保护是很重要的，在表示层中的加密能提供不带恢复的完整性、抗否认以及所有的机密性。虽然在网络层不提供恢复，但传输层的正常的恢复机制能够恢复网络层检测到的攻击。数字签名机制包括对数据单元签名和验证签名的数据单元两个过程。单靠这种机制不能防止单个数据单元的重演。③由数字签名和公证机制实现的抗抵赖服务。

安全机制可以分成两类：一类与安全服务有关，用来实现安全服务；另一类与安全管理有关，用来加强对系统的安全管理。

（一）加密机制

加密是提供数据保密的最常用的方法，既能为单个数据提供机密性，也能为通信业务流提供机密性，并且还对下面所述的一些别的安全机制起补充作用。加密算法按密码体制可分为序列密码算法和分组密码算法两种，按密钥类型可分为对称密钥算法和非对称密钥算法两种。对称密钥算法知道加密密钥也就知道解密密钥，反之亦然；非对称密钥算法知道了加密密钥并不意味着也知道解密密钥，反之亦然。用加密的方法与其他技术相结合，可以提供数据的保密性和完整性。

大多数应用不要求在多个层加密，加密层的选取主要取决于下列几个因素：

（1）如果要求全通信业务流机密性，那么将选取物理层加密，或传输安全手段（例如，适当的扩频技术）。足够的物理安全、可信任的路由选择以及在中继上的类似机制能够满足所有的机密性要求。

（2）如果要求细粒度保护（即对不同应用提供不同的密钥）和抗否认或选择字段保护，那么将选取表示层加密。由于加密算法耗费大量的处理能力，所以选择字段保护是很重要的，在表示层中的加密能提供不带恢复的完整性、抗否认以及所有的机密性。

（3）如果希望实现所有端系统到端系统通信的简单块保护，或希望有一个外部的加密设备（例如，为了给算法和密钥加物理保护，或防止错误软件），那么将选取网络层加密。这能够提供机密性与不带恢复的完整性。虽然在网络层不提供恢复，但传输层的正常的恢复机制能够恢复网络层检测到的攻击。

（4）如果要求带恢复的完整性，同时又具有细粒度保护，那么将选取传输层加密。这能提供机密性、带恢复的完整性或不带恢复的完整性。

（5）对于今后的实施，不推荐在数据链路层上加密。当关系到这些主要因素中的两项或多项时，可能需要在多个层上提供加密。

除了对话层不提供加密保护外，加密可在其他各层上进行。与加密机制伴随而来的是密钥管理机制。

（二）数字签名机制

数字签名是附加在数据单元上的一些数据，或是对数据单元所做的密码变换，这种数据或变换允许数据单元的接收者确认数据单元来源和数据单元的完整性，并保护数据，防止被人（例如接收者）伪造。

数字签名机制包括对数据单元签名和验证签名的数据单元两个过程。签名过程涉及使用签名者的私有信息作为私钥，或对数据单元进行加密，或产生出该数据单元的一个密码校验值；验证过程涉及使用公开的规程与信息来决定该签名是不是用签名者的私有信息产生的。

数字签名机制具有如下特点：

①签名过程使用签名者的私有信息作为私钥，或对数据单元进行加密，或产生出该数据单元的一个密码校验值。

②验证过程使用公开的规程与信息来决定该签名是否是用签名者的私有信息产生的。

③签名机制的本质特征为该签名只有使用签名者的私有信息才能产生出来。因而，当该签名得到验证后，它能在事后的任何时候向第三方（例如法官或仲裁人）证明只有那个私有信息的唯一拥有者才能产生这个签名。

（三）数据完整性机制

数据完整性包括两种形式：单个数据单元或字段的完整性以及数据单元流或字段流的完整性。一般来说，用来提供这两种类型完整性服务的机制是不相同的，尽管没有第一类完整性服务，第二类服务也无法提供。决定单个数据单元的完整性涉及两个过程，一个在发送实体上，另一个在接收实体上。发送实体给数据单元附加上一个量，这个量为该数据的函数。这个量可以是像分组校验码那样的补充信息，或者是一个密码校验值，而且它本身可以被加密。接收实体产生一个相应的量，并把它与接收到的那个量进行比较以决定该数据是否在转送中被篡改过。单靠这种机制不能防止单个数据单元的重演。在网络体系结构的适当层上，操作检测可能在本层或较高层上导致恢复作用（例如经重传或纠错）。

单靠这种机制不能防止单个数据单元的重演。在网络体系结构的适当层上，应检测可能在本层或较高层上导致恢复作用的操作。对于连接方式的数据传送，保护数据单元序列的完整性还另外需要某种明显的排序形式。数据单元序列的完整性是要求序列编号的连续性和时间标记的正确性，以防止假冒、丢失、重发、插入或修改数据序列。

（四）鉴别交换机制

鉴别交换是以交换信息的方式来确认实体身份的机制。用于交换鉴别的技术有：(www.chuimin.cn)

（1）口令，由发送方实体提供，接收方实体检测；

（2）密码技术，将交换的数据加密，只有合法用户才能解密，从而得出有意义的明文。许多情况下，这种技术需要与时间标记和同步时钟、双方或三方“握手”协议、数字签名和公证机构等技术一起使用以防止重演和否认问题的发生；

（3）利用实体的特征或所有权，如指纹识别、声音识别和身份卡。这种机制可设置在（N）层以提供对等实体鉴别。如果在鉴别实体时得到否定的结果，就会导致连接的拒绝或终止，可能在安全审计跟踪中增加一个记录，也可能给安全管理中心一个报告。

当采用密码技术时，这些技术可以与“握手”协议结合起来以防止重演（即确保存活期）。鉴别交换技术的选用取决于使用它们的环境。在许多场合，它们将必须与下列各项结合使用。

①时间标记与同步时钟。

②两方握手和三方握手（分别对应于单方鉴别和相互鉴别）。

③由数字签名和公证机制实现的抗抵赖服务。

（五）业务流量填充机制

提供针对流量分析的保护。通过填充冗余的数据流，保持业务数据流量基本恒定，从而防止攻击者对业务流量进行观测分析。流量填充的实现方法是随机生成数据并对其加密，再通过网络发送。

（六）访问控制机制

为了决定和实施一个实体的访问权，访问控制机制可以使用该实体已鉴别的身份，或使用有关该实体的信息（例如它与一个已知的实体集的从属关系），或使用该实体的权利。如果这个实体试图使用非授权的资源，或者以不正当方式使用授权资源，那么访问控制功能将拒绝这一企图，另外还可能产生一个报警信号或记录它作为安全审计跟踪的一个部分来报告这一事件。对于无连接数据传输，发给发送者的拒绝访问的通知只能作为强加于原发的访问控制结果而被提供。

访问控制机制建立在下述的一种或多种手段之上：访问控制信息库。它有对等实体的访问权限，由授权中心或正被访问的那个实体保存；鉴别信息，如口令、权力，对它的占有和出示便证明有权访问由该信息所规定的实体或资源；安全标记，可用来表示同意或拒绝访问，通常根据安全策略而定；试图访问的时间；试图访问的路由；访问持续期。

访问控制机制可应用于通信联系中的一端点，或应用于任一中间点。涉及原发点或任一中间点的访问控制是用来决定发送者是否被授权与指定的接收者进行通信，或是否被授权使用所要求的通信资源。在无连接数据传输目的端上的对等访问控制机制的要求在原发点必须事先知道，还必须记录在安全管理信息库中。

（七）路由控制机制

一个大型网络中，从源节点到目的节点可能有多条线路可以到达，有些线路可能是安全的，而另一些线路是不安全的。路由控制机制可使信息发送者动态地或预定地选择特殊的路由，以便只使用物理上安全的子网络、中继站或链路，从而保证数据安全。

路由选择控制机制具有以下特点：

①路由能动态地或预定地选取，以便只使用物理上安全的子网络、中继站或链路。

②在检测到持续的操作攻击时，端系统可以指示网络服务的提供者经不同的路由建立连接。

③带有某些安全标记的数据可能被安全策略禁止通过某些子网络、中继站或链路。连接的发起者（或无连接数据单元的发送者）可以指定路由选择说明，由它请求回避某些特定的子网络、中继站或链路。

（八）公正机制

有关在两个或多个实体之间通信的数据的性质，如它的完整性、原发、时间和目的地等能够借助公证机制而得到确保。这种保证是由第三方公证人提供的，公证人为通信实体所信任，并掌握必要信息，以一种可证实方式提供所需的保证。每个通信事例可使用数字签名、加密和完整性机制以适应公证人提供的那种服务。当这种公证机制被用到时，数据便在参与通信的实体之间经由受保护的通信实例和公证方进行通信。

网络信息安全机制与信息保护

相关推荐