电子政务的信息安

1、 电子政务的信息安全一、在进入我们的论题之前先看几个案例二、何谓信息安全三、信息安全的威胁四、信息安全的防范五、网络防火墙（属于访问控制）六、数字签名，加密，认证技术 （属于密码学）七、参考资料 一、在进入我们的论题之前先看几个案例1996年初，据美国旧金山的计算机安全协会与联邦调查局的一次联合调查统计，有53%的企业受到过计算机病毒的侵害，42%的企业的计算机系统在过去的12个月被非法使用过。而五角大楼的一个研究小组称美国一年中遭受的攻击就达25万次之多。1994年末，俄罗斯黑客弗拉基米尔利维与其伙伴从 圣彼得堡的一家小软件公司的联网计算机上，向美国CITYBANK银行发动了一连串攻击，通过

2、电子转帐方式，从CITYBANK银行在纽约的计算机主机里窃取1100万美元。1996年8月17日，美国司法部的网络服务器遭到黑客入侵，并将“ 美国司法部” 的主页改为 “ 美国不公正部” ，将司法部部长的照片换成了阿道夫希特勒，将司法部徽章换成了纳粹 党徽，并加上一幅色情女郎的图片作为所谓司法部部长的助手。此外还留下了很多攻击美国司法政策的文字。1996年9月18日，黑客又光顾美国中央情报局的网络服务器，将其主页由“中央情报局” 改为“ 中央愚蠢局” 。1996年12月29日，黑客侵入美国空军的全球网网址并将其主页肆意改动，其中有关空军介绍、新闻发布等内容被替换成一段简短的黄色录象，且声称美国

3、政府所说的一切都是谎言。迫使美国国防部一度关闭了其他80多个军方网址。二、何谓信息安全 人上述案例我们可以看出信息在传播过程中的安全性是很脆弱的，由于信息量的急剧增加，要求大容量、高效率地传输这些信息。并保证这些信息的安全。于是有了信息安全的概念。所谓信息安表是指保护信息和信息系统免受来自未经授权的访问，使用，泄露，中断，篡改，检视，记录和销毁。 信息安全这一术语，与计算机安全和信息保障（information assurance）等术语经常被不正确地互相替换使用。这些领域经常相互关联，并且拥有一些共同的目标：保护信息的机密性、完整性、可用性；然而，它们之间仍然有一些微妙的区别区别主要存在于达

4、到这些目标所使用的方法及策略，以及所关心的领域。信息安全主要涉及数据的机密性、完整性、可用性，而不管数据的存在形式是电子的、印刷的还是其它的形式。计算机安全可以指：关注计算机系统的可用性及正确的操作，而并不关心计算机内存储或产生的信息。三、信息安全的威胁信息泄露：保护的信息被泄露或透露给某个非授权的实体。 破坏信息的完整性：数据被非授权地进行增删、修改或破坏而受到损失。 拒绝服务：信息使用者对信息或其他资源的合法访问被无条件地阻止。 非法使用(非授权访问)：某一资源被某个非授权的人，或以非授权的方式使用。 窃听：用各种可能的合法或非法的手段窃取系统中的信息资源和敏感信息。例如对通信线路中传输的

5、信号搭线监听，或者利用通信设备在工作过程中产生的电磁泄露截取有用信息等。 业务流分析：通过对系统进行长期监听，利用统计分析方法对诸如通信频度、通信的信息流向、通信总量的变化等参数进行研究，从中发现有价值的信息和规律。 假冒：通过欺骗通信系统（或用户）达到非法用户冒充成为合法用户，或者特权小的用户冒充成为特权大的用户的目的。我们平常所说的黑客大多采用的就是假冒攻击。 旁路控制：攻击者利用系统的安全缺陷或安全性上的脆弱之处获得非授权的权利或特权。例如，攻击者通过各种攻击手段发现原本应保密，但是却又暴露出来的一些系统“特性”，利用这些“特性”，攻击者可以绕过防线守卫者侵入系统的内部。 授权侵犯：被授

6、权以某一目的使用某一系统或资源的某个人，却将此权限用于其他非授权的目的，也称作“内部攻击”。 抵赖：这是一种来自用户的攻击，涵盖范围比较广泛，比如：否认自己曾经发布过的某条消息、伪造一份对方来信等。 计算机病毒：这是一种在计算机系统运行过程中能够实现传染和侵害功能的程序，行为类似病毒，故称作计算机病毒。 信息安全法律法规不完善：由于当前约束操作信息行为的法律法规还很不完善，存在很多漏洞，很多人打法律的擦边球，这就给信息窃取、信息破坏者以可趁之机。四、信息安全的防范信息安全的防范技术严格地讲仅包含3类：隐藏、访问控制和密码学典型的措施有： 数字水印属于隐藏。数字水印（Digital Waterm

7、arking）技术是将一些标识信息(即数字水印)直接嵌入数字载体当中(包括多媒体、文档、软件等)或是间接表示(修改特定区域的结构)，且不影响原载体的使用价值，也不容易被探知和再次修改。但可以被生产方识别和辨认。通过这些隐藏在载体中的信息，可以达到确认内容创建者、购买者、传送隐秘信息或者判断载体是否被篡改等目的。 数字水印系统必须满足一些特定的条件才能使其在数字产品版权保护和完整性鉴定方面成为值得信赖的应用体系。一个安全可靠的水印系统一般应满足如下要求： 隐蔽性 也称不可感知性，即对于不可见水印处理系统，水印嵌入算法不应产生可感知的数据修改，也就是水印在通常的视觉条件下应该是不可见的，水印的存在

8、不会影响作品的视觉效果。 鲁棒性 水印必须很难去掉(希望不可能去掉)，当然在理论上任何水印都可以去掉，只要对水印的嵌入过程有足够的了解，但是如果对水印的嵌入只是部分了解的话，任何破坏或消除水印的企图都应导致载体严重的降质而不可用。 抗窜改性 与抗毁坏的鲁棒性不同，抗窜改性是指水印一旦嵌入到载体中，攻击者就很难改变或伪造。鲁棒性要求高的应用，通常也需要很强的抗窜改性。在版权保护中，要达到好的抗窜改性是比较困难的。 水印容量 嵌入的水印信息必须足以表示多媒体内容的创建者或所有者的标志信息，或是购买者的序列号。这样在发生版权纠纷时，创建者或所有者的信息用于标示数据的版权所有者，而序列号用于标示违反协

9、议而为盗版提供多媒体数据的用户。 安全性 应确保嵌入信息的保密性和较低的误检测率。水印可以是任何形式的数据，比如数值、文本、图像等。所有的水印都包含一个水印嵌入系统和水印恢复系统。 低错误率 即使在不受攻击或者无信号失真的情况下，也要求不能检测到水印(漏检、false -negative) 以及不存在水印的情况下，检测到水印(虚检、false - positive) 的概率必须非常小。五、网络防火墙（属于访问控制）防火墙的工作原理: 网络防火墙就是一个位于计算机和它所连接的网络之间的软件。该计算机流入流出的所有网络通信均要经过此防火墙。 防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击

10、，以免其在目标计算机上被执行。 防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。 防火墙的作用: 防火墙作为内部网与外部网之间的一种访问控制设备，常常安 装在内部网和外部网交界点上。防火墙具有很好的网络安全保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。你可以将防火墙配置成许多不同保护级别。高级别的保护可能会禁止一些服务，如视频流等，但至少这是你自己的保护选择。 主要作用： Internet防火墙可以防止Internet上的危险(病毒、资源盗用)传播到网络内部。 能强化安全策

11、略； 能有效记录Internet上的活动； 可限制暴露用户点； 它是安全策略的检查点。六、数字签名，加密，认证技术 （属于密码学）1. 加密技术 加密技术是电子商务采取的基本安全措施，交易双 方可根据需要在信息交换的阶段使用。加密技术分为两类，即对称加密和非对称加密。 对称加密。 对称加密又称私钥加密，即信息的发送方和接收方用同一个密钥去加密和解密数据。它的最大优势是加/解密速度快，适合于对大数据量进行加密，但密钥管理困难。如果进行通信的双方能够确保专用密钥在密钥交换阶段未曾泄露，那么机密性和报文完整性就可以通过这种加密方法加密机密信息、随报文一起发送报文摘要或报文散列值来实现。 非对称加密

12、非对称加密又称公钥加密，使用一对密钥来分别完成加 密和解密操作，其中一个公开发布（即公钥），另一个 由用户自己秘密保存（即私钥）。信息交换的过程是：甲方生成一对密钥并将其中的一把作为公钥向其他交易方公开，得到该公钥的乙方使用该密钥对信息进行加密后再发送给甲方，甲方再用自己保存的私钥对加密信息进行解密。 2. 认证技术。 认证技术是用电子手段证明发送者和接收者身份及其文件完整性的技术，即确认双方的身份信息在传送或存储过程中未被篡改过。 数字签名。 数字签名也称电子签名，如同出示手写签名一样，能起到电子文件认证、核准和生效的作用。其实现方式是把散列函数和公开密钥算法结合起来，发送方从报文文本中生成一个散列值，并用自己的私钥对这个散列值进行加密，形成发送方的数字签名； 然后，将这个数字签名作为报文的附件和报文一起发送给报文的接收方；报文的接收方首先从接收到的原始报文中计算出散列值，接着再用发送方的公开密钥来对报文附加的数字签名进行解密；如果这两个散列值相同，那么接收方就能确认该数字签名是发送方的。数字签名机制提供了一种鉴别方法，以解决伪造、抵赖、冒充、篡改等问题。 数字证书。 数字证书是一个经证书授权中心数字签名的包含公钥拥有者信息以及公钥的文件数字证书的最主要构成包括一个用户公钥，加上密钥所有