信息安全与职业道德

第8章信息安全与职业道德第34讲信息安全与职业道德（二）教学目标及基本要求：1、掌握信息安全中的几种鉴别技术2、了解访问控制技术中的登录控制和权限控制3、掌握防火墙的基本功能和分类4、熟悉计算机职业道德及相关法规。教学重点：信息安全中的鉴别技术，防火墙技术。教学难点：信息安全中的鉴别技术教学内容：1、鉴别技术2、访问控制技术3、防火墙的基本功能及其分类4、计算机职业道德及相关法规教学时间：1学时主要内容：8.5鉴别技术8.5.1数字签名数字签名技术，顾名思义就是利用数字技术的方法实现类似人的亲笔签名的技术。该技术是对需要确认的整个文档进行加密，采用公开密钥技术来实现。它的主要作用就是鉴别信息的保密性、完整性以及确认信息真实来源。如图8-4所示，妮妮用自己的私钥将发给可可的信息加密，我们称这个加密后的密文信息就是带有妮妮的数字签名的信息。可可：你好！这是给可可的信息。这是给可可的信息。这是给可可的信息。这是给可可的信息。这是给可可的信息。可可：你好！这是给可可的信息。这是给可可的信息。这是给可可的信息。这是给可可的信息。这是给可可的信息。妮妮妮妮的私钥用妮妮的私钥加密后的密文图8-4数字签名数字签名真的能够验证收到的信息不是伪造的，并且具有不可否认性吗？假设可可具有妮妮的公钥。他在一次电子商务活动中与妮妮发生纠纷。可可将带有妮妮的数字签名的信息提交给法庭，以说明妮妮的确给他发过这个文档，并且这个文档只能是妮妮签发的。他再次用妮妮的公钥解密具有妮妮数字签名的密文，得到他事先提交给法庭的原始的明文信息。这样就可以说明：（1）只有具备私钥才能对该文档进行加密（这是基于公开密钥体制的特性）。（2）只有妮妮本人才具有这个私钥。因此，根据我们上一节介绍的RSA算法的知识，可以说明这个加密文档就是妮妮发过来的。8.5.2报文摘要如前所述，公开密钥体制可以实施数字签名。然而对整个文档进行数字签名需要昂贵的加密、解密的计算开销。因此，日常使用的信息交换没有必要采用数字签名技术。通常，人们在进行信息交换时往往不一定需要对信息进行保密，而只是希望能够保证如下内容。（1）数据的发送者对数据标有印记，并且可以验证数据的发送者。多对一散列函数长报文图8-5报文摘要（2）所发送的数据在发送者标记并发出后没有被修改过。多对一散列函数长报文图8-5报文摘要固定大小的报文摘要通过报文摘要（MessageDigest）技术，可以在不对全部信息进行加密的情况下满足这样的需求。报文摘要采用了一种多对一的散列函数来实现，如图8-5所示。该函数以要发送的信息为输入函数，函数值是一个固定长度的信息，这个信息就是报文摘要。若输入的信息被改变了，则输出的定长值（摘要）也会相应改变。为了保证对信息的不可伪造性，用于生成报文摘要的散列函数必须具备如下特性。固定大小的报文摘要（1）不同内容的数据形成相同摘要的概率几乎为零。（2）根据摘要无法还原出原数据。8.5.3身份认证在网络通信过程中，通信双方的身份确认是网络安全通信的前提。仅采用公开密钥体制进行身份认证是不可靠的。对称加密技术可以进行身份认证，但也存在问题，就是通信双方在通信之前要共同协商一个共有的密钥。这个协商过程是对称加密体制的薄弱环节。通过可信的第三方中介。对于对称密码体制来说，可信中介称为密钥分发中心KDC；对于公开密钥体制来说，可信中介称为认证中心CA。8.5.4数字证书对于公开密钥体制来说，由于通信双方不需要相互传递密钥，也就不需要有KDC之类的设施。但是，在前面利用公开密钥体制来进行身份人证的尝试时，暴露了它的一个问题，那就是如何能够确定公钥拥有者的真实身份？认证中心CA的作用就是将公钥与特殊的实体进行绑定。如图8-8所示给出了数字证书的获取过程。可可将自己的识别信息和自己的公钥一起发给CA，CA对可可的信息进行验证，并确定其身份。如果通过验证，则给可可颁发带有CA数字签名的数字证书。可可的公钥可可的识别信息可可可可的数字证书认证中心的私钥认证中心CA可可的公钥可可的识别信息可可可可的数字证书认证中心的私钥认证中心CA图8-8数字证书的获取过程包过滤防火墙）、应用级网关、电路级网关和规则检查防火墙。1．网络级防火墙网络级防火墙一般是基于源地址和目的地址、协议以及每个IP包的端口，作出通过与否的判断。一个路由器便是一个“传统”的网络级防火墙。先进的网络级防火墙可以提供内部信息以说明所通过的连接状态和一些数据流内容，把判断的信息同规则表进行比较。包过滤防火墙检查每一条规则直至发现包中的信息与某规则相符。如果没有一条规则能符合，防火墙就会使用默认规则。一般情况下，默认规则是要求防火墙丢弃该包。网络级防火墙简洁、速度快、费用低，并且对用户透明，但是对网络的保护很有限，因为它只检查地址和端口，对网络更高协议层的信息无理解能力。2．应用级网关应用级网关能够检查进出的数据包，并通过网关复制传递数据，防止受信任服务器及客户机与不受信任的主机之间直接建立联系。应用级网关能够理解应用层上的协议，能够做复杂一些的访问控制，并做精细的注册和稽核，因而具有较好的安全性，但每种协议都需要相应的代理软件，使用时工作量大，效率不如网络级防火墙。3．电路级网关电路级网关用来监控受信任的客户或不受信任的主机间TCP握手信息，以此来决定该会话（Session）是否合法，电路级网关是在OSI模型中会话层上过滤数据包，这样比包过滤防火墙要高二层。但是电路级网关也存在着一些缺陷，因为该网关是在会话层工作的，所以无法检查应用层级的数据包。4．规则检查防火墙规则检查防火墙结合了包过滤防火墙、电路级网关和应用级网关的特点。同包过滤防火墙一样，规则检查防火墙能够在OSI网络层上通过IP地址和端口号，过滤进出的数据包。规则检查防火墙不依靠与应用层有关的代理，而是依靠某种算法来识别进出的应用层数据。这些算法通过已知合法数据包的模式来比较进出数据包，比应用级代理在过滤数据包上更有效。目前市场上流行的防火墙大多属于规则检查防火墙。从趋势上看，未来的防火墙将位于网络级防火墙和应用级防火墙之间。也就是说，网络级防火墙将变的更加能够识别通过的信息，而应用级防火墙在目前的功能上则向“透明”、“低级”方面发展。最终，防火墙将成为一个快速注册稽查系统，可保护数据一加密方式通过，使所有组织可以放心地在节点间传送数据。8.8计算机职业道德及相关法规8.8.1计算机网络信息的正负面影响1．网络信息系统带来的积极影响网络信息系统的发展，给人们的工作和生活带来很大的变化。在网络信息系统中，人们可以在自己感兴趣的栏目中公开发表自己的见解，也可以用电子邮件广泛地交流自己的观点和意见。信息网还为公民的经营和交易提供了更大的自由度。网上每个用户都可以获取各种商业信息，进行电子购物，发布电子广告，进行金融证券交易。可以通过四通八达的互联网进行全球性的经营活动。另外，网络还可以增强人们相互帮助的能力2．网络信息系统带来的负面影响由于网络中信息的源头和流向很难掌握，复制和修改信息非常容易，而且不留痕迹，这就会给不法分子和法制观念淡薄者以可乘之机，产生各种侵害公民合法权益的行为。随着金融和电子上午的发展，各地银行实行联网，从而能够实现公民存款在各地银行的通存通取，也可以使用电子货币形式进行许多交易，为公民的生活和工作带来很大的方便。与此同时，金融商贸领域的计算机犯罪也应运而生。不法分子通过伪造信用卡、盗窃信息卡、盗窃或猜测密码（口令）等方式，非法操作电子数据，直接获取现金或将他人的款项转移到自己的账户中。8.8.2信息工作人员职业道德要善于网上学习，不浏览不良信息；要诚实友好交流，不侮辱欺诈他人；要增强自护意识，不随意约会网友；要维护网络安全，不破坏网络秩序；要有益身心健康，不沉溺虚拟时空。8.8.3我国与信息安全相关的法律法规1．网络安全相关法规（1）1989年，公安部发布了《计算机病毒控制规定（草案）》。（2）1991年，国务院第八十三次常务委员会通过《计算机软件保护条例》。（3）1994年2月18日，国务院发布《中华人民共和国计算机信息系统安全保护条例》。（4）1996年2月1日，国务院发布《中华人们共和国计算机信息网络国际联网管理暂行规定》。（5）1997年5月20日，国务院信息化领导小组制定了《中华人民共和国计算机信息网络国际互联网管理暂行规定实施办法》、《中国互联网络域名注册暂行管理办法》、《中国互联网络域名注册实施细则》。（6）1997年，原邮电部出台《国际互联网出入信道管理办法》。（7）2000年9月20日，《互联网信息服务管理办法》正式实施。（8）2000年11月，信息产业部发布《互联网电子公告服务管理规定》。2．网络安全相关法律（1）1998年9月5日，第七界全国人民代表大会常务委员会第三次会议通过《中华人民共和国保守国家秘密法》，第三章第十七条提出“采用电子信息等技术存取、处理、传递国家秘密的办法，由国家保密部门会同中央有关机关规定”和“属于国家秘密的设备或者产品的研制、生产、运输、使用、维修和销毁由国家保密工作部门会同中央有关机关制定保密办法”，明确规定了“在有线、无线通信中传递国家秘密的，必须采取保密措施”。（2）1997年10月，我国第一次在修订刑法时增加了计算机犯罪的罪名。新《刑法》规定了5种形式的计算机犯罪：非法侵入计算机系统罪（第二百八十五条）；破坏计算机信息系统功能罪（第二百八十六条第一款）；破坏计算机数据、程序罪（第二百八十六条第二款），制作、传播计算机破坏性程序罪（第二百八十六条第三款）；利用计算机实施其他犯罪（第二百八十六条）。此外，我国还缔约及参加了许多与计算机相关的国际性的法律和法规，如《建立世界知识产权组织公约》、《保护文学艺术作品的伯尔尼公约》与《世界版权公约》等。加入世界贸易组织后，我国要执行《与贸易有关的知识产权（包括假冒商品贸易）协议》。小结：在信息安全中,需要保证信息的完整性以及通信过程中用户身份的真实性,所以就应通过数字签名、报文摘要、身份认证和数字证书等技术来具体实现。访问控制技术很广，包括登录访问控制、网络权限控制及属性控制等手段。防火墙是一种系统保护措施，能够防止外部网络的不安全因素的涌入，其主要的功能体现在包过滤和代理两个方面，防