侯佳音，史淳樵

（同濟(jì)大學(xué) 附屬第十人民醫(yī)院，上海 200072）

網(wǎng)絡(luò)信息安全建設(shè)的目的是保證網(wǎng)絡(luò)信息真實(shí)完整、系統(tǒng)能夠正常運(yùn)行，具體工作包括硬件設(shè)備和軟件系統(tǒng)中數(shù)據(jù)的保護(hù)，保護(hù)數(shù)據(jù)不會(huì)因?yàn)橐馔馐鹿驶蛘呷藶閻阂馄茐亩恍孤?、更改，刪除，保證系統(tǒng)能夠正常運(yùn)作?？偟膩?lái)說(shuō)，網(wǎng)絡(luò)信息安全涉及以下幾個(gè)方面的安全防護(hù)：計(jì)算機(jī)硬件安全、系統(tǒng)軟件安全、運(yùn)行安全、數(shù)據(jù)安全。

1 影響網(wǎng)絡(luò)信息安全因素分析

網(wǎng)絡(luò)信息安全防護(hù)問(wèn)題已成為當(dāng)前時(shí)代發(fā)展的重點(diǎn)問(wèn)題，影響計(jì)算機(jī)網(wǎng)絡(luò)信息安全的主要因素有：

1.1 自然因素與意外事故

因?yàn)榫W(wǎng)絡(luò)是依存于計(jì)算機(jī)和網(wǎng)絡(luò)光纜之上存在的，而這一點(diǎn)就決定了硬件的故障很可能導(dǎo)致信息的丟失，可能的原因包括自然環(huán)境的影響：溫度、濕度、振動(dòng)、雷電或者是人為電磁波干擾問(wèn)題，另外突然事故也可能導(dǎo)致信息損失，目前我國(guó)許多計(jì)算機(jī)空間仍舊缺少防水、防火、防電磁泄露干擾設(shè)施，抵御自然災(zāi)害和意外事故的能力較差，對(duì)信息安全造成了隱患。

1.2 用戶(hù)個(gè)人安全意識(shí)問(wèn)題

用戶(hù)安全意識(shí)不強(qiáng)，登錄口令設(shè)置簡(jiǎn)單，用戶(hù)將自己的賬號(hào)隨意泄露等，因?yàn)榕侣闊?，而不設(shè)置密保，都會(huì)造都會(huì)對(duì)信息安全造成嚴(yán)重的威脅。

用戶(hù)使用盜版軟件也是導(dǎo)致信息安全隱患的另一重要原因。盜版軟件在中國(guó)隨處可見(jiàn)，盜版軟件一般來(lái)說(shuō)價(jià)格比較低，而且適用性也能夠滿(mǎn)足很多用戶(hù)的需要，所以很多用戶(hù)都在電腦中安裝盜版軟件，但是這些軟件設(shè)計(jì)未經(jīng)認(rèn)證，也會(huì)帶來(lái)潛藏的信息安全隱患，例如有些用戶(hù)購(gòu)買(mǎi)的或者網(wǎng)絡(luò)上下載的盜版軟件都很有可能帶有木馬或者惡意執(zhí)行代碼，一旦一臺(tái)計(jì)算機(jī)染上病毒，很可能網(wǎng)絡(luò)系統(tǒng)就因此全部癱瘓。

1.3 人為入侵行為

1）病毒木馬與惡意代碼

計(jì)算機(jī)病毒是能通過(guò)信息流動(dòng)感染計(jì)算機(jī)的一段程序，通常，病毒具有傳染性、潛伏性等特點(diǎn)，病毒的最終目的是侵入攻擊對(duì)象的系統(tǒng)，竊取信息，破壞程序等。病毒的傳播途徑很廣泛、可以通過(guò)文件復(fù)制、傳輸、運(yùn)行等操作進(jìn)行傳輸，病毒是程序文件，承載體可以是軟盤(pán)、硬盤(pán)、光盤(pán)。病毒的危害主要在于其破壞性和傳播能力。服務(wù)器一旦被感染，就會(huì)迅速地在網(wǎng)絡(luò)傳播，傳播速度極快、范圍極廣，而清除全部病毒則是病毒傳播時(shí)間的幾十倍以上。病毒根據(jù)目的不同有不同破壞性，輕則信息泄露、重則直接損壞計(jì)算機(jī)硬件軟件系統(tǒng)，使計(jì)算機(jī)無(wú)法正常工作。

2）黑客入侵

網(wǎng)絡(luò)黑客指的是專(zhuān)門(mén)使用網(wǎng)絡(luò)侵入系統(tǒng)，竊取機(jī)密數(shù)據(jù)或者對(duì)文件進(jìn)行篡改等行為、甚至遠(yuǎn)程控制計(jì)算機(jī)使計(jì)算機(jī)系統(tǒng)癱瘓的計(jì)算機(jī)技術(shù)人員。目前從世界范圍來(lái)看，黑客數(shù)量龐大，且出現(xiàn)了協(xié)同作戰(zhàn)的現(xiàn)象，黑客群體組織化、攻擊對(duì)象也由個(gè)人和中小企業(yè)逐步轉(zhuǎn)向了政府機(jī)構(gòu)、情報(bào)機(jī)構(gòu)、銀行、大型企業(yè)等。黑客攻擊往往表現(xiàn)出很強(qiáng)的隱蔽性，從智能水平看，黑客通常有著很高的計(jì)算機(jī)水平，能夠有技巧地繞過(guò)防火墻和攔截，黑客行為一般比較嚴(yán)重，2010年，中國(guó)最大的搜索引擎百度被黑客攻擊，癱瘓數(shù)個(gè)小時(shí)，除了經(jīng)濟(jì)利益的損失之外，大型網(wǎng)站被攻擊會(huì)造成社會(huì)心理的不安。

2 計(jì)算機(jī)網(wǎng)絡(luò)信息安全策略構(gòu)建

首先，對(duì)網(wǎng)絡(luò)信息的綜合控制，可以在以下幾個(gè)環(huán)節(jié)進(jìn)行控制，具體的控制要點(diǎn)如圖1所示，下文將根據(jù)其中的幾個(gè)重點(diǎn)內(nèi)容進(jìn)行詳細(xì)論述。

圖1 信息安全防護(hù)策略Fig.1 Information security protection strategy

一般個(gè)人計(jì)算機(jī)使用軟件防火墻殺毒軟件進(jìn)行信息防護(hù)，殺毒軟件也是最常用的是安全防護(hù)技術(shù)，這種技術(shù)能夠有效地查殺病毒，防御木馬及其他的一些黑客程序的入侵。這是最基礎(chǔ)的信息安全防護(hù)手段。除此之外，重點(diǎn)的信息安全技術(shù)包括用戶(hù)認(rèn)證、信息加密、入侵檢測(cè)的設(shè)計(jì)。

其中認(rèn)證的方式主要包括身份認(rèn)證、訪問(wèn)授權(quán)、數(shù)字簽名等。數(shù)字簽名是近年來(lái)出現(xiàn)的新技術(shù)，數(shù)字簽名一種是DES形式，另一種是 RES形式，這兩種方式都是從數(shù)字簽名的應(yīng)用協(xié)議方面區(qū)分的。系統(tǒng)需要設(shè)計(jì)一個(gè)辨別程序，對(duì)于未經(jīng)授權(quán)的用戶(hù)，系統(tǒng)則限制訪問(wèn)，這是最基本的一種防護(hù)措施，每戶(hù)通過(guò)系統(tǒng)認(rèn)定之后，方可使用權(quán)限。其內(nèi)部認(rèn)證途徑如圖2所示。

圖2 認(rèn)證服務(wù)程序圖Fig.2 Certification service program

3 計(jì)算機(jī)網(wǎng)絡(luò)信息安全認(rèn)證策略的設(shè)計(jì)

3.1 EAP認(rèn)證過(guò)程

如圖3所示，EAP認(rèn)證過(guò)程基本上由3個(gè)步驟來(lái)實(shí)現(xiàn)，首先是進(jìn)行鏈路的建立，建立完成后，認(rèn)證者發(fā)送一個(gè)或多個(gè)請(qǐng)求數(shù)據(jù)包來(lái)對(duì)對(duì)方進(jìn)行認(rèn)證，該數(shù)據(jù)包中有一個(gè)類(lèi)型域表明請(qǐng)求的類(lèi)型。然后是由對(duì)方發(fā)送一個(gè)響應(yīng)數(shù)據(jù)包對(duì)每一個(gè)請(qǐng)求做出應(yīng)答。響應(yīng)包中的類(lèi)型域與請(qǐng)求包中的類(lèi)型域?qū)?yīng)。這樣進(jìn)行對(duì)應(yīng)以后，認(rèn)證者發(fā)送一個(gè)成功或失敗數(shù)據(jù)包結(jié)束認(rèn)證階段。

3.2 RADIUS中的EAP擴(kuò)展協(xié)議

認(rèn)證端點(diǎn)（撥號(hào)用戶(hù)）和NAS之間的EAP會(huì)話先是發(fā)起身份請(qǐng)求，然后以LCP（鏈路控制協(xié)議）協(xié)商EAP開(kāi)始認(rèn)證過(guò)程，流程如圖4所示。

圖3 EAP認(rèn)證過(guò)程簡(jiǎn)圖Fig.3 EAP authentication process diagram

整個(gè)過(guò)程中。NAS不需要處理EAP數(shù)據(jù)包，僅僅作為透明傳輸代理，無(wú)需理解EAP協(xié)議。

3.3 EAP的屬性封裝

1）EAP-Message

這個(gè)屬性封裝的是EAP數(shù)據(jù)包，類(lèi)型代碼為79，string域最長(zhǎng)253字節(jié)，如果數(shù)據(jù)包太長(zhǎng)的話，處理器可以對(duì)其進(jìn)行分片，依次封裝在多個(gè)EAP-Message屬性中。

2）Message-Authenticator

這種屬性格格式表明其類(lèi)型代碼為80，其長(zhǎng)度為18個(gè)字節(jié)，String域?yàn)?6個(gè)字節(jié)，整個(gè)流程是通過(guò)服務(wù)器收到接入請(qǐng)求開(kāi)始的，如果發(fā)現(xiàn)其含有EAP-Message屬性，則計(jì)算Message-Authenticator，如果發(fā)現(xiàn)這二者不相同，數(shù)據(jù)包被丟棄。

圖4 EAP/RADIUS工作流程Fig.4 RADIUS,EAP/workflow

3.4 EAP-MD5算法

MD5算法的優(yōu)化也是本次設(shè)計(jì)的一部分，設(shè)計(jì)的總體思想是以512位分組來(lái)處理輸入的信息，且每一分組又被劃分為16個(gè)32位子分組，經(jīng)過(guò)了一系列的處理后，算法的輸出由4個(gè)32位分組組成，將這4個(gè)32位分組級(jí)聯(lián)后將生成一個(gè)128位散列值。

第一步：增加填充，填充的方法就是在信息的字節(jié)上進(jìn)行填充，最終目的是使得字節(jié)長(zhǎng)度對(duì)512求余的結(jié)果等于448。

第二步：補(bǔ)足長(zhǎng)度，在這個(gè)結(jié)果后面附加一個(gè)以64位二進(jìn)制表示的填充前信息長(zhǎng)度。經(jīng)過(guò)這兩步的處理，現(xiàn)在的信息字節(jié)長(zhǎng)度=n*512+448+64=（n+1）*512，即長(zhǎng)度恰好是 512的整數(shù)倍。

第三步：初始化變量，用到 4個(gè)變量，分別為 A、B、C、D，均為 32 bit長(zhǎng)。 初始化為：a=0x01234567，b=0x89abcdef，c=0xfedcba98，d=0x76543210。

第四步：數(shù)據(jù)處理，四輪循環(huán)運(yùn)算，當(dāng)設(shè)置好這4個(gè)鏈接變量后，就開(kāi)始進(jìn)入算法的四輪循環(huán)運(yùn)算。循環(huán)的次數(shù)是信息中512位信息分組的數(shù)目。

第五步：輸出，最后得到的 a，b，c，d 級(jí)連為輸出結(jié)果（即摘要），共128 bit。其中a為低位，d為高位。

3.5 EAP_MD5數(shù)據(jù)包格式

EAP-MD5認(rèn)證值長(zhǎng)度Value-Size一字節(jié)長(zhǎng)，指示“值”字段的長(zhǎng)度。值ValBe，其作用是在字節(jié)正常的情況下，傳輸最高位。質(zhì)詢(xún)值是可變字節(jié)流，質(zhì)詢(xún)值必須在每次發(fā)送質(zhì)詢(xún)時(shí)都要改變。

圖5 EAP-MD5數(shù)據(jù)包格式Fig.5 EAP-MD5 packet format

3.6 模塊總體設(shè)計(jì)

系統(tǒng)安全模塊的的總體設(shè)計(jì)基本框架如圖6所示。

在整個(gè)系統(tǒng)中，協(xié)商處理模塊是系統(tǒng)的中心模塊，圍繞該模塊的分別有一系列的階段和事件算法等：狀態(tài)庫(kù)、交換階段、超時(shí)事件、密碼算法、網(wǎng)絡(luò)接口和PF_KEY接口。為了能夠更加直觀。

圖6 IKEv2總體設(shè)計(jì)的基本框架Fig.6 The basic framework of the overall design of the IKEv2

上述模塊主要可以用于可信賴(lài)的有特權(quán)的密鑰管理程序或者用于操作系統(tǒng)內(nèi)部密鑰管理的通信。密鑰引擎和它的構(gòu)件是一個(gè)會(huì)話安全屬性的具體表現(xiàn)，也是“安全關(guān)聯(lián)”的實(shí)例?！鞍踩P(guān)聯(lián)”（SA）的概念在RFC2401（原文為RFC1825現(xiàn)已被代替）中說(shuō)明。這里所說(shuō)的PF_KEY和密鑰引擎引用多于加密密鑰，傳統(tǒng)術(shù)語(yǔ) “密鑰管理”為了一致性予以保留。PF_KEY源于BSD的路由套接字PF_ROUTE（[Skl91]）的一部分。例如：在兩個(gè)直接通信的應(yīng)用層程序之間，但是這種可能性這里不做詳細(xì)討論。安全策略在這個(gè)接口中慎重地忽略。PF_KEY不是協(xié)調(diào)全系統(tǒng)安全策略的機(jī)制，也不想要實(shí)施任何密鑰管理策略。PF_KEY的開(kāi)發(fā)者認(rèn)為把安全機(jī)制 （如PF_KEY）和安全策略分離是很重要的，這樣允許一個(gè)機(jī)制很容易的支持多個(gè)策略。大多數(shù)密鑰管理通常部分或者全部在應(yīng)用層實(shí)現(xiàn)。例如：IPsec的密鑰管理提案ISAKMP/Oakley、GKMP和Photuris都是應(yīng)用層協(xié)議；手動(dòng)調(diào)節(jié)也是在應(yīng)用層完成；甚至部分SKIP協(xié)議層密鑰管理提案能夠在應(yīng)用層實(shí)現(xiàn)。

4 結(jié)束語(yǔ)

計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)是發(fā)展的一把“雙刃劍”，使用網(wǎng)絡(luò)技術(shù)就無(wú)法避免網(wǎng)絡(luò)信息安全問(wèn)題，網(wǎng)絡(luò)環(huán)境本身的開(kāi)放性決定了信息系統(tǒng)的脆弱性，只有不斷研究不斷積極地保護(hù)信息安全，才能夠更好地享受網(wǎng)絡(luò)環(huán)境帶給我們的便利，如今，我國(guó)對(duì)于網(wǎng)絡(luò)安全十分重視，并開(kāi)展網(wǎng)絡(luò)安全建設(shè)，我們可以在此適當(dāng)借鑒國(guó)外先進(jìn)經(jīng)驗(yàn)，學(xué)習(xí)先進(jìn)技術(shù)，引用到我國(guó)網(wǎng)絡(luò)安全建設(shè)中，進(jìn)一步加快我國(guó)的網(wǎng)絡(luò)信息安全建設(shè)。

[1]何涇沙.“信息安全概論”課程建設(shè)及教學(xué)改革研究[J].信息網(wǎng)絡(luò)安全，2011（4）:25.

[2]薛琴.新時(shí)期手機(jī)網(wǎng)絡(luò)犯罪研究[J].信息網(wǎng)絡(luò)安全，2011（5）:25.

[3]Chadwick，Andrew，Bringing E-Democracy Back in：Why it matters for future research on E-Governance[J].Social Science Computer Review，2013（4）：443-455.

[4]顧華詳.國(guó)外保障信息安全的法治措施及啟示[J].行政管理改革，2010（12）:30.

[5]ZHANG Fang-fang，CHEN Xue-dong.Preliminary research on smart living space[J].Energy Procedia，2011（11）:2265.

[6]田衛(wèi)蒙，衛(wèi)晨.高校網(wǎng)絡(luò)辦分系統(tǒng)安全策略研究及技術(shù)實(shí)現(xiàn)[J].電子科計(jì)工程，2015（13）:27-29，33.