山大信息安全课件第8章 信息安全讲座

1、信息安全讲座 Digital World 数字世界Real World 真实世界DCS : Data and Communication Security, 数据和通信保护IS： Information Security，信息安全KS： Knowledge Security，知识安全几个名词从人类文明看安全问题在人类社会文明进程中，在知识、遗传、财富、权利、组织、竞争和文化诸方面，安全性问题始终贯彻其间, 安全性概念和内涵在不断发展和进步。 原始文化 （Prime Culture, PC）农业文明 （Agriculture Civilization, AC）工业文明（Industry Civi

2、lization, IC）知识文明（Knowledge Civilization, KC）精神文明（Spirit Civilization, SC）从文明的纵向结构（何传启）看由DCS、IS到KS的进程 -时代 文明结构 结构特点 安全性特征 工具时代 PC 文明的基础 隐藏 农业时代 AC、IC、KC、SC 农业文明为主 DCS 工业时代 IC、AC、KC、SC 工业文明为主IS 知识时代 KC、IC、AC、SC 知识文明为主 KS 知识文明的概念知识文明指的是知识生产、传播和服务的产品、方法和制度等方面所取得的成果和达到的水平。何传启先生预测1971年到2100年这130年是知识文明的发展

3、阶段，可分为四个时期（下表）。四个时期的划分阶段年代特征起步期19711992信息革命、高技术 发展期19932030学习革命、Cyberspace 成熟期20312060生命控制、知识创新 过渡期20612100时空控制、重返自然 人类文明的安全性特征工具时代：原始人类的知识多数是共享的，拥有较多知识的人获得族人的尊敬（各部族有所长、有秘密）；农业时代：知识传播受到官府的控制，知识垄断成为统治者的治国秘方，教育的目的是为统治者培养人才，不是培养知识劳动者，这个时代安全性的主要追求是数据和通信保护（DCS）；工业时代：信息垄断成为治国工具，教育的目的是培养高素质劳动者，安全性的追求是信息安全（

4、IS）；知识时代：知识与经济互动，专有信息的普及成为治国工具，财富体现为精神享受，知识安全成为安全性的主要考虑（KS）。 数据和通信保护(DCS)数据和通信保护的主要手段是隐写术和密码。数据和通信保护的历史追溯 大约在四千年前，发生在尼罗河畔，一种记载一个领主生平的象形文字揭开了有文字记载的密码史，随着埃及文化的兴盛，许多铭文虽不是密写但已具备密码学的一个要素：文字书写的有意变形；后来，随着书写文字的发展和贵人陵墓的增加，这些变形逐渐变得更复杂更巧妙，而具备了密码学第二要素：秘密性，密码学也随之诞生。 西欧的文明导致政治密码学开始应用，从一开始，密码学就存在现在的两种基本类型，密本和密表。相对

5、应的，密码分析也有所发展，历史上1628年4月，有一个青年人破开了雨葛诺教徒的密码，巴本王室亨利二世孔代亲王攻占了久攻不克的雷阿尔蒙特城。大约在1920年，密码分析学（Cryptanalysis）这个词被造了出来。密码学（Cryptology）一词包括密码编码学（Cryptography）和密码分析学两个方面。 技术发展促使通信保护的发展，电报使编码学发展成今天的编码学。1844年，莫尔斯发明了电报，保密日益迫切，并激发了许多人努力去发明不可破的密码，一大批业余爱好者创造了几十种新体制。通信技术和战争促进密码学不断发展，为了对付敌手，保密通信飞速发展。我国密码的大普及是话密的推动。 香农在19

6、世纪50年代奠定了保密通信的理论基础。随机性研究与伪随机序列的利用为通信保密起到了关键作用。现代密码编码学主要为数据和通信保护提供了三类基本密码体制：序列密码（Stream Cipher）、分组密码（Block Cipher）和公开密钥密码(Public Key)。关于密码技术着眼点是对信息的保护随机性的最强势是一次一密(真随机序列) 密码技术的利用必须建立两条不同安全级别的信道序列密码定义:序列密码是一个能产生大周期伪随机序列的数学算法. 密钥随着要求的变化越来越长对周期和密钥熵都有一定的要求线性复杂度抗攻击能力 A.白化能力 B.抗攻击能力（对具体算法而言） C.熵漏的概念序列密码序列密码

7、的设计步骤A:源序列的选择与设计(基础序列)B:非线性加工C:输出合成.序列密码设计技术A:时钟的利用控制工作的流程B:非线性网络(ROM,RAM) 密码学的三个基本假设随机性假设：在单一地域内产生均匀分布的随机比特序列是可能的；计算假设：在合理的计算时间和存储空间内，单向函数存在，它正向计算容易，求逆困难;物理假设：物理保护单一地域的数据是可行的，物理保护远距离传送的数据非常困难。信息安全(IS)机密性(Confidentiality)：保证信息不泄露给未授权的人完整性(Integrality)：保证信息的完整和准确，防止信息的非法修改可用性(Availability)：保证信息及信息系统确

8、实能为授权者可用可控性（Controllability）：对信息和信息系统实施安全监管，防止为非法者所用不可否认性(Non-Repudiation)：保证信息行为人不能否认自己的行为 概括而言，信息安全要解决信息的 “ 攻、防、测、控、管、评 ” 的基础理论、实现技术和产品开发。信息安全体系的主要理论和技术支柱以上每个方面都有明确的研究内容和研究目标，以及所要解决的关键问题，相互间又紧密配合，形成有机整体，实现总体目标。在信息与网络安全体系中，安全体系结构是基础，现代密码理论是核心，安全协议是连接两者的桥梁，信息安全芯片系统是关键，信息分析与监控是保障。1.信息与网络安全体系结构研究信息与网络

9、安全是系统的，有层次的，动态变化的，要通过对信息与网络系统脆弱性和安全威胁的分析，建立科学的安全体系结构的理论模型，研究提出信息安全的评价准则。当前存在的问题：国际上还没有一种统一满足保密性、完整性、可用性、可控性和不可否认性的综合安全模型及评价准则；国内单一安全模型所基于的芯片和核心逻辑多是国外引进的，不能为我安全利用、有效监控。安全协议是提供安全机制和安全服务的规则，是信息安全的重要组成部分。协议如果不能正确地设计，提供的安全机制和安全服务将会失败。当前存在的主要问题：协议的安全性分析应采用形式化方法，然而，安全协议的形式化描述和完备性证明是国际上尚未解决的问题。国内缺少自主创新的信息安全

10、协议。2信息与网络安全协议研究密码是信息和网络安全的核心。密码编码学主要是研究高强度的密码算法，以满足对信息加密和信息认证的需要；密码分析学主要是研究密码破译或对认证码的攻击，目的是获取机密信息或给对方的信息交换造成破坏。3、现代密码理论研究面对个人化、网络化、全球化的信息安全要求，以及日益增强的计算机能力和人类智慧，密码学遇到强劲的挑战，迫切要求创建新的密码理论和密码算法： 对密码编码而言，要为设计更强更快的密码算法提供坚实的理论基础；对密码分析而言，要为评价、考察密码算法提供理论准则和方法。3、现代密码理论研究通过对网络环境下高速信息流的获取和智能化分析，提供国家网络监控管理的理论、技术和

11、方法，保障网络信息安全。当前存在的主要问题：网络高速信息交换下获取和分析信息流 的困难性；缺乏国家对网络监控管理的基础理论和 高新技术。4. 信息分析与监控系统建在硅片上是信息技术发展的趋势。目前我国信息安全的芯片大都是从国外引进的，难以监控管理。研制我国自主的信息安全芯片已成为保障信息安全的关键。当前存在的主要问题：对国外引进的安全协议和算法芯片尚未作解剖分析，不知漏洞在那，难以监控管理；我国目前尚未形成综合设计信息安全芯片的理论、方法和队伍。5、信息安全芯片集成关键理论和机理研究小结数据和通信保护阶段，主要利用的是随机性来解决保密的问题；信息安全阶段，最重要的发展是利用冗余解决了认证的问题

12、；知识安全阶段，需要考虑：1、保护知识创造者和拥有者的利益，同时防止知识霸权；2、人不再是知识的唯一载体，只有特定的环境和特定的人相结合，才能发挥出知识的效力。结合保密的要求，如何保证在其中的一方或双方出现故障时能最大限度保证知识继续有效？知识与信息知识的定义：经济合作与发展组织（OECD，http:/）认为，知识是指经过人的思维整理过的信息、数据、形象、意向、价值标准以及社会的其它符号化产物。知识的概念比信息的概念要宽展。信息是事实和数据的某种集合，不象知识那样反映事实和数据之间的内在联系和规律；信息可以通过告知而获得，知识则需要学习和思考，甚至钻研方能掌握。知识被作为象自然资源、社会资源的

13、一种资源。信息和知识相交的两个集合，信息化的知识和知识化的信息都是知识。在计算机意义上，知识和信息可以相互转化。 知识与信息的关系数据、消息、信号信 息知 识加工编码加工有用信息丢弃无用信息知 识公共知识个人知识Know WhatKnow WhyKnow HowKnow Who可编码的知识数字世界只可意会的知识真实世界知识安全研究内容包括五个方面：1）知识的抽取：如何把人的直观的判断和经验抽取出来；如何从浩大的信息海洋中提取、归纳出知识。2）知识的表达：落实到如何进行汉字的表达。最近，美国商业部提到数字世界实际上是0-9的序列，我们考虑汉字是否能用十进制数字来表达。知识安全研究内容3）知识的传

14、递：包括信源编码、信道编码（纠错和减小通信量）、加密编码（利用冗余和随机性），考虑如何三码合一；4）知识的保存：也就是存储技术的研究。知识可以发展到人们无法想象的程度，但是如果没有相应的技术来保存，那么随着时间的推移，什么知识也没有了，因此，知识的保存是一个非常重要的问题；5）知识的保护：采取新理论、新技术对映射到数字世界的知识进行各类需求保护。关于知识 “知识就是力量”，这是十六世纪哲学家弗南西斯培根的教学名言。二十一世纪，是知识的世纪、世界运转的机制、财富的来源、影响力的大小，不再靠有形的物质、材料，而是由看不见、摸不着的观念与知识来主导。越来越多的人强调“知识就是财富”。 知识经济经济界

15、的人士普遍认为,未来世界的经济将具有高速、全球化和以知识为驱动等特征。全世界正处在一个经济大转变的时代，特别是以大量消耗原材料和能源为特征的传统经济正在逐渐丧失昔日的荣耀，一种全新的基于最新科技和人类知识精华的经济形态已经显示出勃勃生机，这就是知识经济。知识经济知识经济（knowledge economy）一词，是1997年美国总统克林顿在一份报告中提出的。舆论认为这是对OECD报告的发展。1996年，总部设在巴黎的OECD在国际组织文件中首次正式使用了“基于知识的经济”这个新概念，并对这一篇概念的内涵作了界定：知识经济是建设在知识和信息的生产、分配和使用之上的经济。现在，知识已经被认为是提高

16、生产率和实现经济增长的驱动器。因此，信息、技术和学习在经济活动中已成为人们关注的焦点。“以知识为基础的经济”这一术语，就是基于重新认识知识和技术在经济中的地位而由OECD提出来的。知识经济正在来临的知识经济时代有两个主要特点：全球化、知识化。从知识化看，90年代以来，微电子、计算机、通信等新兴产业迅速发展，带来信息化、网络化、智能化、集成化的经济走向。知识化的发展趋势，使一切产品和服务所创造的价值中，知识含量的比重越来越高。过去，使用原材料和使用机械加工所创造的价值，其比重会越来越少；将来以更少的能源消耗，创造出更大的价值。知识管理管理大师彼得.德鲁克在知识社会的兴起一书中指出，100多年来人

17、类经历过三次革命，即工业革命、生产力革命和管理革命，这三次革命都是由知识意义的根本转变驱动的。随着知识经济的形成和发展，需要有与之相适应的管理模式、管理理论和实践，正如彼得.德鲁克所强调：“因为知识社会是一个组织的社会，其中心器官是管理，仅仅管理就能使今日的所有知识成为有效。” 如果说诞生在美国的“泰罗制”引发企业管理的“第一次革命”，那么在人类进入21世纪之时，全球的企业管理将迎来以人性化的知识管理为标志的第二次革命。知识管理知识管理是一个过程,个人通过这一过程学习新知识和获得新经验。并将这些新知识和新经验反应出来，进行共享,以用来促进培养、增强个人的知识和机构组织的价值。知识管理不同于信息

18、管理，它是通过知识共享、运用集体的智慧提高应变和创新能力。对于企业来说，知识管理的实施在于建立激励雇员参与知识共享的机制，设立知识总监，培养企业创新和集体创造力。在大多数传统企业里，管理人员仍然相信说不出的默认的金科玉律：掌握知识就是力量。但是，知识经济建立在相反信条的基础上：“共享知识就是力量”。知识创新知识创新是指通过科学研究获得新的自然科学和技术科学知识的过程。（科学研究包括基础研究和应用研究）。知识创新的目的是追求新发现、探索新规律、创立新学说、创造新方法、积累新知识。知识创新是技术创新的基础，是新技术和新发明的源泉，是促进科技进步和经济增长的革命性力量。知识产权知识产权是指公民或法人对其智力创造成果依法享有的权利。中国民法通则规定，知识产权包括著作权、专利权、商标权、发明权和发现权。知识产权与工业产权含义不同。工业产权是指工商业等产业领域的智力成果所有者对其成果所享有的一种专利，通常包括发明专利、实 用新型专利、外观设计专利等专利权和商品商标、服务商标、厂商名称、产地名称等商标权。工业产权与版权一起构成知识产权。 知识霸权工业时代，市场经济的第一天敌是市场垄断。知识时代，知识经济的首要敌人是知识霸权。软件业的霸权是一种独特的霸权，是知识霸权。首先，软件产品的生产成本较高，但是复制成本很低，几乎是一种零边际成本的特殊产品。这种独特的成本结构