【正文】 一個(gè)過(guò)程發(fā)生在發(fā)送實(shí)體，另一個(gè)過(guò)程發(fā)生在接收實(shí)體。 訪問(wèn)控制 ?訪問(wèn)控制是按事先確定的規(guī)則決定主體對(duì)客體的訪問(wèn)是否合法 。 特別是針對(duì)通信雙方發(fā)生爭(zhēng)執(zhí)時(shí)可能產(chǎn)生的如下安全問(wèn)題： ?用加密的方法與其他技術(shù)相結(jié)合，可以提供數(shù)據(jù)的保密性和完整性。 ?為作到這一點(diǎn) ， 發(fā)放發(fā)送信息時(shí)要有發(fā)方的簽名 ， 收方應(yīng)發(fā)收方簽名的回執(zhí) ， ?不得否認(rèn)發(fā)送：這種服務(wù)向數(shù)據(jù)接收者提供數(shù)據(jù)源的證據(jù) ，從而可防止發(fā)送者否認(rèn)發(fā)送過(guò)這個(gè)數(shù)據(jù) 。 ?選擇字段的連接完整性：該服務(wù)提供在連接上傳送的選擇字段的完整性 ， 并能確定所選字段是否已被修改 、 插入 、 刪除或重放 。 在使用密碼技術(shù)進(jìn)行驗(yàn)證時(shí) ， 一般使用非線性單向函數(shù)求出鑒別碼 ， 稱(chēng) MAC。 ?標(biāo)識(shí)鑒別是對(duì)主體的識(shí)別和證明 ， 特別防止第三者的冒名頂替； ?數(shù)據(jù)鑒別是對(duì)客體的鑒別 ， 主要檢查主體對(duì)客體的負(fù)責(zé)性 ，防止冒名偽造的數(shù)據(jù)： 1） 發(fā)方是真實(shí)的； （ 客戶 ） 2） 收方是真實(shí)的； （ 服務(wù)器 ） 3） 數(shù)據(jù)源和目的地也是真實(shí)的； 完整性 (integrity) ?數(shù)據(jù)完整性是數(shù)據(jù)本身的真實(shí)性證明 。 ?無(wú)連接保密：即對(duì)一個(gè)無(wú)連接的數(shù)據(jù)報(bào)的所有用戶數(shù)據(jù)提供保密 。 這種變動(dòng)中的多級(jí)控制是一個(gè)復(fù)雜問(wèn)題 ，以后漫漫涉及到 。 密級(jí)劃分也是等級(jí)劃分 ， 按不同密級(jí)加密是為了實(shí)現(xiàn)多級(jí)控制 。 ? 一個(gè)實(shí)體抑制發(fā)往特定地址的所有信件 ， 如發(fā)往審計(jì)服務(wù)器的所有信件 。 修改攻擊 ? 信件被改變 ， 延時(shí) ， 重排 ， 以至產(chǎn)生非授權(quán)效果 。 信息源 信息目的地 主要攻擊 冒充攻擊 ?一個(gè)實(shí)體假裝成另外一個(gè)實(shí)體 。 ?這種攻擊包括搭線竊聽(tīng) ， 文件或程序的不正當(dāng)拷貝 。 ? Mitink被 Shimomura和 FBI逮捕。 ? 入侵者沒(méi)有獲得訪問(wèn)權(quán)，而是用不良的程序，引起網(wǎng)絡(luò)持久性或暫時(shí)性的運(yùn)行失敗、重新啟動(dòng)、掛起或者其他無(wú)法操作的狀態(tài)。 ? Justin Tanner Peterson ? 在試圖獲得 6位數(shù)的欺騙性電匯時(shí)被捕?！?入侵者 ” 利用獲得的非法訪問(wèn)權(quán)，破壞重要數(shù)據(jù)，拒絕合法用戶服務(wù)請(qǐng)求，或?yàn)榱俗约旱哪康闹圃炻闊?。一個(gè)單純的程序有效地摧毀了數(shù)百臺(tái)（或數(shù)千臺(tái)）機(jī)器，那一天標(biāo)志著 Inter安全性研究的開(kāi)始。 Intern發(fā)展的主要?jiǎng)恿? 目 錄 1. 網(wǎng)絡(luò)的發(fā)展和變化 2. 網(wǎng)絡(luò)安全現(xiàn)狀 3. 網(wǎng)絡(luò)安全威脅 4. 網(wǎng)絡(luò)安全服務(wù) 5. 安全標(biāo)準(zhǔn)和組織 6. 安全保障 Email Web ISP門(mén)戶網(wǎng)站 ECommerce 電子交易 復(fù)雜程度 時(shí)間 Inter 變得越來(lái)越重要 網(wǎng)絡(luò)安全問(wèn)題日益突出 混合型威脅 (Red Code, Nimda) 拒絕服務(wù)攻擊 (Yahoo!, eBay) 發(fā)送大量郵件的病毒 (Love Letter/Melissa) 多變形病毒 (Tequila) 特洛伊木馬 病毒 網(wǎng)絡(luò)入侵 70,000 60,000 50,000 40,000 30,000 20,000 10,000 已知威脅的數(shù)量 CERT有關(guān)安全事件的統(tǒng)計(jì) 計(jì)算機(jī)緊急響應(yīng)組織（ CERT） 年份 事件報(bào)道數(shù)目 1988 6 1989 132 1990 252 1991 406 1992 773 1993 1334 1994 2340 1995 2412 1996 2573 1997 2134 1998 3734 1999 9859 2022 21756 2022 52658 ? CERT有關(guān)安全事件的統(tǒng)計(jì) 年度 報(bào)道事件數(shù)目 與軟件漏洞相關(guān)事件數(shù)目 2022上半年 43136 2148 2022 52658 2437 2022 21756 1090 代碼攻擊的損失程度 012345678910Love Bug2022Code Red2022SirCam2022Melissa1999Explorer1999Nimda2022惡意代碼攻擊的年度損失 0246810121416181996 1997 1998 1999 2022 2022為什么網(wǎng)絡(luò)安全變得非常重要 ? 進(jìn)行網(wǎng)絡(luò)攻擊變得越來(lái)越簡(jiǎn)單 ? 越來(lái)越多的個(gè)人或公司連入 Inter ? 并不是所有的用戶都具有基本的安全知識(shí) 理解 Inter領(lǐng)域 ? Inter為什么不安全 ? Inter的設(shè)計(jì)思想 ? 專(zhuān)用主義 ? 技術(shù)泄密 理解 Inter領(lǐng)域 ? Inter的設(shè)計(jì)思想 ? 開(kāi)放式、流動(dòng)的和可訪問(wèn) ? 異構(gòu)的網(wǎng)絡(luò) ? 多數(shù)應(yīng)用是客戶機(jī) /服務(wù)器模式 ? 網(wǎng)絡(luò)允許部分匿名用戶 理解 Inter領(lǐng)域 ? 專(zhuān)用主義 ? ActiveX ? 應(yīng)該進(jìn)行安全檢查的語(yǔ)言： ? JavaScript ? VBScript ? ActiveX 理解 Inter領(lǐng)域 ? 技術(shù)泄密 ? 普通用戶可以得到各種攻擊工具 ? 對(duì)攻擊行為比較感興趣，喜歡嘗試和冒險(xiǎn) ? 從攻擊行為中牟利 ? 以攻擊行為為職業(yè) Inter安全性研究的開(kāi)始 ? 1988年 11月 3日，第一個(gè) “ 蠕蟲(chóng) ” 被放到 Inter上。網(wǎng)絡(luò)與信息安全概論 胡建斌 北京大學(xué)網(wǎng)絡(luò)與信息安全研究室 Email: 課程體系 ? 密碼學(xué)基礎(chǔ)：經(jīng)典密碼、對(duì)稱(chēng)密碼、非對(duì)稱(chēng)密碼、密鑰管理技術(shù) ? 認(rèn)證理論與技術(shù)：散列算法、數(shù)字簽名、身份鑒別和訪問(wèn)控制 ? 網(wǎng)絡(luò)安全：電子郵件的安全、 IP的安全、 Web的安全、掃描、攻擊與入侵檢測(cè) ? 系統(tǒng)安全：防火墻技術(shù)、操作系統(tǒng)的安全、病毒 ? 專(zhuān)題講座： 講授內(nèi)容 ? 密碼學(xué)基礎(chǔ) － 古典密碼學(xué)、現(xiàn)代加密方法、公鑰密碼學(xué)等 ? 密碼應(yīng)用 －身份鑒別、訪問(wèn)控制等 ? 防火墻技術(shù)及其應(yīng)用 ? 網(wǎng)絡(luò)掃描 ? 網(wǎng)絡(luò)攻擊 ? PKI ? 入侵檢測(cè)技術(shù) ? 響應(yīng)和跟蹤 ? IPsec和 VPN ? Web安全 ? 電子郵件的安全 ? 操作系統(tǒng)安全 ? 其它應(yīng)用程序的安全 ? 安全程序設(shè)計(jì) 學(xué)習(xí)用書(shū) ? 教材： William Stallings, Cryptography and work security: principles and practice, Second Edition ? 楊明 ，胥光輝等譯 《 密碼編碼學(xué)與網(wǎng)絡(luò)安全：原理與實(shí)踐 》 （第二版） ,電子工業(yè)出版社， 2022， 4 ? Applied Cryptography, Protocols, algorithms, and source code in C (2nd Edition)， Bruce Schneier 著 ? 應(yīng)用密碼學(xué) －協(xié)議、算法與 C源程序， 吳世忠、祝世雄、張文政等譯 ? 其它參考材料 : 實(shí)驗(yàn)指導(dǎo) 實(shí)驗(yàn)指導(dǎo) 實(shí)驗(yàn)指導(dǎo) 本課程對(duì)學(xué)生的要求 ? 基本課堂講授 +上機(jī)實(shí)踐 +專(zhuān)題講座的教學(xué)方式 ? 了解和掌握網(wǎng)絡(luò)與信息安全的基本原理、技術(shù)、及最新研究成果 ? 具有網(wǎng)絡(luò)與信息安全的理論基礎(chǔ)和較強(qiáng)實(shí)踐能力 ? 考試分平時(shí)作業(yè) (40%)和期末筆試 (60%) 目 錄 1. 網(wǎng)絡(luò)的發(fā)展和變化 2. 網(wǎng)絡(luò)安全現(xiàn)狀 3. 網(wǎng)絡(luò)安全威脅 4. 網(wǎng)絡(luò)安全服務(wù) 5. 安全標(biāo)準(zhǔn)和組織 6. 安全保障 目 錄 1. 網(wǎng)絡(luò)的發(fā)展和變化 2. 網(wǎng)絡(luò)安全現(xiàn)狀 3. 網(wǎng)絡(luò)安全威脅 4. 網(wǎng)絡(luò)安全服務(wù) 5. 安全標(biāo)準(zhǔn)和組織 6. 安全保障 計(jì)算機(jī)與網(wǎng)絡(luò)技術(shù)的發(fā)展歷程 用戶規(guī)模 主要應(yīng)用 成熟期 大型機(jī) 小 科學(xué)計(jì)算 1960年代 10年 小型機(jī) /WAN 1970年代 小 7年 部門(mén)內(nèi)部 PC / LAN 1980年代 中 5年 企業(yè)之間 Client / Server 1990年代 大 4年 商家之間 Intra Inter 2022年代 商家與消費(fèi)者之間 服務(wù)為本 全球無(wú)所不在