王鑫

（中國計量大學(xué) 浙江杭州 310018）

摘要：隨著網(wǎng)絡(luò)的日益普及，信息安全問題愈發(fā)重要。黑客入侵、信息泄露、計算機病毒傳播等，不僅影響了網(wǎng)絡(luò)的使用，還威脅到用戶的人身、財產(chǎn)安全。信息安全方面的技術(shù)保障也越來越多，其中，最核心的技術(shù)就是密碼技術(shù)。一方面可以保證重要信息的安全，另一方面也有助于數(shù)字簽名、系統(tǒng)安全、身份驗證等各項功能的實現(xiàn)，保證了信息的機密性和完整性，保護相關(guān)信息不被篡改、假冒和偽造。

關(guān)鍵詞：密碼學(xué)；信息安全；網(wǎng)絡(luò)信息；數(shù)字簽名

關(guān)于信息安全，國際標準化組織的定義是：為了保護數(shù)據(jù)處理系統(tǒng)的安全而采取的管理和技術(shù)；讓軟件數(shù)據(jù)、計算機硬件不會遭到惡意的更改和破壞，也不會出現(xiàn)信息的偶然泄露。其基本屬性包括完整性、可審查性、可用性、保密性和可控性。網(wǎng)絡(luò)信息安全涉及到安全監(jiān)控、密碼理論、信息分析、應(yīng)急處理等方方面面，需要綜合運用計算機、電子、通信、數(shù)學(xué)等多學(xué)科技術(shù)成果。毫無疑問，網(wǎng)絡(luò)信息安全技術(shù)是多學(xué)科技術(shù)的結(jié)晶。生活中，網(wǎng)絡(luò)信息安全正面臨多方面的的威脅，具有突發(fā)、無邊界、隱蔽和蔓延等特點。正因為如此，它打破了地理、空間上的邊界概念，讓相關(guān)攻擊具有極大的隱蔽性。

一、網(wǎng)絡(luò)安全方面的威脅

一般認為，當前網(wǎng)絡(luò)安全方面的威脅主要體現(xiàn)在如下方面：

1.非授權(quán)訪問。沒有經(jīng)過事先同意，就使用網(wǎng)絡(luò)資源，即被視作非授權(quán)訪問，包括：故意繞開系統(tǒng)，訪問控制系統(tǒng)，非正常使用網(wǎng)絡(luò)資源，或者擅自擴權(quán)，乃至越權(quán)訪問網(wǎng)絡(luò)信息。主要表現(xiàn)為以下現(xiàn)象：假冒、非法用戶進入系統(tǒng)進行操作、或者合法用戶在未獲得正式授權(quán)的情況下擅自操作等。

2.信息丟失或者泄漏。指無意或者故意泄漏敏感數(shù)據(jù)，比如"黑客"利用搭線竊聽、電磁泄漏等方式，導(dǎo)致相關(guān)信息失竊。

3.破壞數(shù)據(jù)的完整性。非法竊得數(shù)據(jù)的使用權(quán)后，故意插入、刪除、修改或者重發(fā)一些重要信息，目的是引發(fā)攻擊者的大力響應(yīng)；修改數(shù)據(jù)、惡意添加一些內(nèi)容，目的則是干擾用戶，使之無法正常使用。

4.干擾服務(wù)系統(tǒng)。它不斷干擾網(wǎng)絡(luò)服務(wù)系統(tǒng)，以使其改變正常流程，執(zhí)行一些無關(guān)程序，甚至減慢系統(tǒng)響應(yīng)，直至其最終癱瘓。這樣，那些合法用戶就無法進入網(wǎng)絡(luò)系統(tǒng)、享受相應(yīng)的服務(wù)。

二、密碼技術(shù)

密碼到底是什么呢？其實，就像身份證一樣，密碼只是應(yīng)用程序或者登錄系統(tǒng)的人，它們的合法性證明。打個比方，加密就是加了一道鎖，鎖住那些不想外泄的信息或者資料。實際上，密碼技術(shù)就是通過將重要數(shù)據(jù)轉(zhuǎn)變?yōu)閿_碼（加密）來傳送，之后再進行還原（解密）。對那些未獲授權(quán)或未通過身份驗證的人，則拒絕他們訪問。密碼技術(shù)是保證網(wǎng)絡(luò)安全的關(guān)鍵技術(shù)工具之一。通過加密變換，來保護信息與數(shù)據(jù)。

1.單向散列函數(shù)

在密碼算法和協(xié)議中，單向散列函數(shù)十分重要的原因在于它的有效性。單向函數(shù)就是逆運算困難而正運算相對簡單的函數(shù)。目前大部分無碰撞單向散列函數(shù)均是迭代函數(shù)，例如MD2、MD4、MD5 以及 SHA-1。其中 MD2、MD4、MD5 的散列值都是128bit，SHA-1 的散列值是160bit，RIPEMD是另一個迭代單向散列函數(shù)，是MD4的變種。

2.私鑰密碼技術(shù)

私鑰密碼技術(shù)比較傳統(tǒng)，通信雙方共享同一個密鑰，用于加密和解密。私鑰密碼加密和解密均使用一個鑰，一把鑰匙只開一把鎖，可以簡化處理過程。如果私有密鑰未泄露，那么就可以保證機密性和完整性。私鑰密碼體制應(yīng)用廣泛的有：DES、兩個密鑰和三個密鑰的 triple-DES、IDEA、Blowfish、SAFER （K-64 或 K-128） 、CAST、RC2、RC4、RC5，RC6 和 AES。

3.公鑰密碼技術(shù)

公鑰密碼技術(shù)，又被稱為非對稱密碼技術(shù)，每位用戶都有一對數(shù)學(xué)上有相關(guān)性的密鑰：公開密鑰與私密密鑰，雖然它們成對生成，可知道其中一個卻不能計算出另外一個。公鑰密碼技術(shù)既可以保證信息機密性，又可以保證信息可靠性。公鑰密碼技術(shù)能讓通信雙方不需要事先進行密鑰交換就能安全通信，它廣泛用于數(shù)字簽名、身份認證等領(lǐng)域。公鑰密碼技術(shù)大多建立在一些數(shù)學(xué)難題上面，最有代表性的公鑰密碼體制是 RSA。

三、密碼學(xué)在信息安全中的應(yīng)用

密碼技術(shù)當之無愧地成為信息安全技術(shù)之核心，主要包括編碼技術(shù)、分析技術(shù)。密碼編碼技術(shù)就是尋找具有較高安全性的有效密碼算法及相關(guān)協(xié)議，以滿足加密或認證方面條件；密碼分析技術(shù)則反過來，利用偽造認證信息或者將密碼進行破譯來竊取機密或者實施各種破壞活動。他們既相互依存又相互對立，共同推動了密碼學(xué)的進步與快速發(fā)展。當前，密碼方面的技術(shù)主要有兩類，一類是建立在數(shù)學(xué)基礎(chǔ)上的技術(shù)，它們包括VPN技術(shù)、PKI技術(shù)、密鑰管理、身份識別、公鑰密碼、分組密碼、數(shù)字簽名等；另一類則不是建立在數(shù)學(xué)基礎(chǔ)上的技術(shù)，它們包括建立在生物特征基礎(chǔ)上的識別技術(shù)、信息隱藏和量子密碼等。

只有合理使用多種技術(shù)，才能構(gòu)建網(wǎng)絡(luò)信息安全體系，最終保障信息安全。

3.1加密保護

變換密碼將明文轉(zhuǎn)成合法者可以解讀的密文，是密碼的基本功能。主要分為傳輸信息加密和存儲信息加密兩種方式。對傳輸?shù)母鞣N信息加密，稱為傳輸信息加密。又可以分為不同的加密層次，可以根據(jù)不同的保密需要分別采用。而對存儲的文件和數(shù)據(jù)加密，稱為存儲加密，又分為文件庫加密和數(shù)據(jù)庫加密。存儲加密難度大，存在著加密和查詢間的矛盾，關(guān)鍵技術(shù)有待突破。

3.2信息完整性

為防止信息被篡改，可以采取密碼技術(shù)運算相關(guān)信息，并生成一組數(shù)據(jù)，也就是信息驗證碼。接受方收到信息后，需要進行同樣的運算，以檢驗新生成的信息驗證碼與接收到的信息驗證碼是否一致，從而對信息的正確性進行。運用這種方法可以及時發(fā)現(xiàn)信息是否遭到篡改和偽造。

3.3 數(shù)字簽名、身份驗證技術(shù)的運用

數(shù)字簽名是對電子消息進行簽名的方法。無論是公鑰密碼體制，還是私鑰密碼體制，都能獲取數(shù)字簽名，當然，公鑰密碼體制更有利于數(shù)字簽名技術(shù)的應(yīng)用和研究。數(shù)字簽名技術(shù)相關(guān)研究，包括以下幾種方法：橢圓曲線數(shù)字簽名、RSA 數(shù)字簽名、有限自動機數(shù)字簽名和E1Gama1數(shù)字簽名等算法。它還牽涉到有關(guān)法律問題，各國紛紛制定法律予以規(guī)范，2004年，我國也頒布了電子簽名法。

3.4PKI與VPN的運用

PKI技術(shù)提供了信息安全方面的基礎(chǔ)設(shè)施。其本質(zhì)是解決網(wǎng)絡(luò)公鑰的分發(fā)問題，在網(wǎng)絡(luò)上建立起相互信任的基礎(chǔ)。PKI是公鑰證書在創(chuàng)建、分發(fā)、存儲和撤消的過程中，有關(guān)軟硬件及策略的集合。

結(jié)束語

隨著計算機網(wǎng)絡(luò)的飛速普及，密碼學(xué)在信息安全上的作用至關(guān)重要。需要指出的是，密碼方面的技術(shù)只是解決信息安全問題的一個方法，僅憑密碼方面的技術(shù)是不可能解決安全方面的所有問題，要想獲得更多的安全保障，還需要結(jié)合其他技術(shù)。但技術(shù)也不是萬能的，安全問題是一個系統(tǒng)工程，它還涉及人、操作和管理等方方面面。類似于"木桶原理"，最薄弱的一個環(huán)節(jié)往往決定著安全系統(tǒng)的成敗。但無論如何，密碼技術(shù)都是至關(guān)重要的一個環(huán)節(jié)。隨著眾多密碼新技術(shù)的不斷探索，信息安全將越來越有保障。

參考文獻：

[1]楊明，謝希仁，等.密碼編碼學(xué)與網(wǎng)絡(luò)安全：原理與實踐（第二版）[M].北京：電子工業(yè)出版社，2001.

[2]馮登國.密碼分析學(xué)[M].北京：清華大學(xué)出版社，2000.

[3]王育民， 劉建偉. 通信網(wǎng)的安全 - 理論與技術(shù)[M].西安： 西安電子科技大學(xué)出版社， 1999.

[4] 石淑華，池瑞楠 . 計算機網(wǎng)絡(luò)安全技術(shù) [ M ] . 北京：人民郵電出版，2008， 12.