密码算法DES算法、IDEA算法都属于分组密码算法MD5算法是一种Hash算法也叫杂凑算法SM2算法和RSA算法都属于非对称加密算法SM2算法是一种更先进更安全的算法随着密码技术和计算机技术的发展目前常用的1024位RSA算法面临严重的安全威胁我们国家密码管理部门经过研究决定采用SM2椭圆曲线算法替换RSA算法。1SM1对称分组长度和密钥长度都为128bit。2SM2非对称加密。用于公钥加密算法密钥交换协议数字签名算法国家标准推荐使用素数域256位椭圆曲线。3SM3杂凑算法杂凑值长度为256bit消息分组长度为512bit。4SM4对称加密分组加密和密钥长度都为128bit。5SM9标识密码算法。密码系统三种分类方式1明文变换到密文的操作类型代替、换位。2所用的密钥数量单密钥密码双密钥密码。3明文被处理的方式分组密码、流密码又称序列密码。S/key口令是一种一次性口令生成方案它可以对抗重放攻击。ISO安全体系结构的5种安全服务包括鉴别服务、访问控制、数据完整性、数据保密性、抗抵赖性。数据包过滤也是一种安全技术用于筛选通过计算机网络的数据包允许或拒绝其通过网络设备。数据包过滤器通常用户保护网络免受未经授权的访问和网络攻击。信息安全基本属性名称说明机密性是指网络信息不泄露给非授权的用户、实体或程序能够防止非授权者获取信息完整性是指网络信息或系统未经授权不能进行更改的特性可用性是指合法许可的用户能够及时获取网络信息或服务的特性抗抵赖性是指防止网络信息系统相关用户否认其活动行为的特性可控性是指网络信息系统责任主体对其具有管理、支配能力的属性其他除了常见的网络信息安全特性还有真实性、时效性、公平性、可靠性、可生存性和隐私性等ISO开放系统互联参考模型中数据链路层的功能BLP是安全访问控制的一种模型是基于自主访问控制和强制访问控制两种方式实现的。它是一种严格的形式化描述控制信息只能由低向高流动。它反映了多级安全策略的安全特性。计算机系统安全机制的主要目的是访问控制包括三个任务1授权确定哪些主体有权访问哪些客体。2确定访问权限读、写、执行、删除、追加等存取方式的组合。3实施访问权限。一台连接在以太网内的计算机为了能和其他主机进行通信需要有网卡支持。网卡接收数据帧的状态有unicast、broadcast、multicast、promiscuous等。1unicast是指网卡在工作时接收目的地址是本机硬件地址的数据帧2broadcast是指接收所有类型为广播报文的数据帧3mulitcast是指接收特定的组播报文4promiscuocs是通常说的混杂模式是指报文中的目的硬件地址不加任何检查而全部接收的工作模式。网络协议相关知识通信子网communication subnet或简称子网是指网络中实现网络通信功能的设备及其软件的集合通信设备、网络通信协议、通信控制软件等属于通信子网是网络的内层负责信息的传输。主要为用户提供数据的传输转接加工变换等。通信子网的任务是在端结点之间传送报文主要由转结点和通信链路组成。可以工作在物理层数据链路层、网络层。垃圾邮件过滤机制流量监控是指对数据流进行的监控流量监控的内容流量大小吞吐量带宽情况时间计数延迟情况流量故障。移动终端设备常见的数据存储方式包括1SharedPreferences;2文件存储3SQLite数据库存储4ContenProvider5网络存储Android系统支持的数据存储方式包括以上5种存储方式。虚拟专用网VPN是一种新型的网络安全传输技术为数据传输和网络服务提供安全通道。目前VPN主要四项技术保证安全隧道技术、加解密技术、密钥管理技术、使用者与设备身份认证技术。安全机制描述隧道技术隧道技术是VPN的基本技术类似于点对点来连接技术它在公用建立一条数据通道隧道让数据包通过这条隧道传输。隧道是由隧道协议形成的分为第二、三层隧道协议。第二层隧道协议是先把各种网络协议封装到PPP中再把整个数据包装入隧道协议中这种双层封装方法形成的数据包靠第二层协议进行传输。第二层隧道协议有L2F、PPTP、L2TP等。PPTP通常可以搭配PAP、CHAP、MS-CHAPv1/v2或者EAP-TLS来进行身份验证第三层隧道协议是把各种网络协议直接装入隧道协议中形成的数据包靠第三层协议进行传输。第三层协议有VPT、IPSec等。密钥管理技术密钥管理技术的主要任务是如何在公用数据上安全地传递密钥而不被窃取。现行密钥管理技术又分为SKIP与ISAKMP/OAKLEY两种。身份认证技术是在计算机网络中确认操作者身份的过程而产生的有效解决方法。在真实世界对用户的身份认证最基本方法分为基于信息秘密的身份认证、基于信任物体的身份认证、基于生物特征的身份认证。加解密技术加解密技术是数据通道中一项比较成熟的技术VPN可直接利用现有技术实现加解密。认证是证实事是否名副其实或者是否有效的一个过程。认证是一个实体向另一个实体证明其所有声称的身份的过程。认证类型可分为单项认证、双向认证和第三方认证。认证能有效阻止主动攻击但不能阻止所有攻击。IP地址分类分类范围专用地址范围公有IP地址数字签名是可信的、不容易被伪造的、不容易抵赖的、而且是不可改变的。WAPI协议与WIFI的单项加密认证不同WAPI双向均认证从而保证传输的安全性。WAPI安全系统采用公钥密码技术鉴权服务器AS负责证书的颁发、验证与吊销等无线客户端与无线接入点AP上都安装有AS颁发的公钥证书作为自己的数字身份凭证。WAPI包括两部分WAI和WPI。WAI和WPI分别实现对用户身份的鉴别和对传输的业务数据加密其中WAI采用公开密钥密码体制WPI则采用对称密码算法进行加、解密操作。WAPI从应用模式上分为单点式和集中式两种可以彻底扭转当前WLAN采用多种安全机制并存且互不兼容的现状从根本上解决安全问题和兼容性问题。【WAPI鉴别及密钥管理的方式有两种即基于证书和基于预共享密钥PSK】蜜罐安全技术蜜罐有四种不同的配置方式诱骗服务弱化系统强化系统用户模式服务器。数字水印是指通过数字信号处理方法在数字化的媒体文件中嵌入特定的标记。数字水印常见的应用场景主要由版权保护、信息隐蔽、信息溯源、访问控制等。1数字水印技术在数字版权保护中必须满足的基本应用需求是保密性、隐蔽性、完整性。2数字水印必须满足的基本应用需求是安全性、隐蔽性、鲁棒性。特洛伊木马可以分为远程控制型木马、信息窃取木马和破坏型木马等。1远程控制型木马冰河、网络神偷、广外女生、网络公牛、黑洞、上兴、彩虹桥、Posion ivy、PCShare、灰鸽子等。2破坏型木马Trojan-Ransom僵尸网络是指采用一种或多种传播手段将大量主机感染bot程序从而在控制者和被传播主机之间形成的一个可以一对多控制的网络。僵尸网络的传播手段主动攻击漏洞邮件病毒即时通信软件、恶意网站脚本、特洛伊木马。SSL协议位于应用层和传输层之间。SSL协议指定了一种在应用程序协议如HTTP、Telnet、NNTPH和FTP等和TCP/IP协议之间提供数据安全性分层的机制它为TCP/IP连接提供数据加密、服务器认证、消息完整性以及可选客户机认证。防火墙相关知识网络地址转换NAT当在专用网内部的一些主机本来已经分配到了本地IP地址即仅用在本专用网内使用的专用地址但又想和因特网上的主机通信并不需要加密时可使用NAT方法。NAT的实现有3种方式静态转换NAT动态转换NAT和端口多路复用OverLoad。防火墙的安全风险1网络安全旁路。防火墙只能对通过它的网络通信包进行控制。2防火墙功能缺陷。防火墙不能完全防止感染病毒的软件或文件传输防火墙不能防基于数据驱动式的攻击防火墙不能完全防止后门攻击。3防火墙安全机制形成单点故障和特权威胁。防火墙处于不同网络安全区域之间所有区域之间的通信都经过防火墙受其控制从而形成特权。4防火墙无法防范内部威胁。5防火墙受限于安全规则。防火墙是一种位于内部网络与外部网络之间的网络安全系统内外网络通信时依照特定的规则允许或限制传输的数据通过。它不能防范内部威胁及病毒威胁。生产认证码的方法有3种报文加密消息认证码MAC基于HASH函数的消息认证码HMAC。认证技术方法有口令认证技术、智能卡技术、基于生物特征认证技术、Kerberos认证技术、公钥基础设施PKI技术、单点登录技术、基于人脸识别认证技术、多因素认证技术、基于行为的身份鉴别技术、快速在线认证FIDO。数字签名是0和1的数字串长度因消息而异信息安全等级保护等级保护国家安全社会秩序和公共利益公民法人第1级用户自主保护级损害第2级系统审计保护级损害严重损害第3级安全标记保护级损害严重损害第4级结构化保护级严重损害特别严重损害第5级访问验证保护级特别严重损害信息泄露是一种常见的安全威胁尤其使用户个人敏感信息泄露往往会造成很大的安全隐患常见的信息泄露方式包括数据窃听、网络流量分析、偷窃用户账号这些属于被动攻击。智能卡是指粘贴或嵌有集成电路芯片的一种便捷式卡片塑胶智能卡的片内操作系统COS是智能卡芯片内的一个监控软件COS包括通信管理模块、安全管理模块、文件管理模块及应用管理模块等四个模块。Snort是一款开源的网络入侵检测系统能够执行实时流量分析和IP协议网络的数据包记录。Snort有三种工作方式嗅探器、数据包记录和网络入侵检测系统。Sniffer可以捕获到达主机端口的网络报文国家密码管理局于2006年1月6日发布公告公布了《无线局域网产品必须使用的系列密码算法》包括对称密码算法SMS4签名算法ECDSA密钥协商算法ECDH杂凑算法SHA-256随机数生成算法自行选择。其中ECDSA和ECDH密码算法须采用国家密码管理局指定的椭圆曲线和参数。雪崩效应指明文或密钥的少量变化会引起密文的很大变化。指当输入发生微小的改变例如反转一个二进制位时也会导致输出的不可区分性改变输出中每个二进制位有50%的概率发生反转雪崩效应通常发生在块密码和加密散列函数中。a17b2满足a与b取模同余的是“取模同余”是指存在一个正整数模数m通常m1使得a≡b(mod m)即a和b除以m的到的余数相同。m∣(a−b)m整除a−b m|(a-b)m整除a-bm∣(a−b)m整除a−b计算a−b17−215 a-b17-215a−b17−215因此所以能整除15的正整数m且m1都满足条件m的取值为3515因为15的正因数有13515通常不考虑模1衡量密码体制安全性的基本准则计算安全实际安全可证明安全、无条件安全。设在RSA的公钥密码体制中公钥为e,n755则私钥dnp×qn是两个素数p和q的乘积 np×qn是两个素数p和q的乘积np×qn是两个素数p和q的乘积给定n55所以p和q是55的因数。555×11所以p5q11φ(n)(p−1)(q−1)欧拉函数 φ(n) (p-1)(q-1)欧拉函数φ(n)(p−1)(q−1)欧拉函数然后计算φ(n) (p-1)(q-1) 4×10 40公钥指数e7。私钥指数d是e模φ(n)的模逆即满足e*d ≡ 1 mod φ(n)的d。7d ≡ 1 (mod 40在缺省安装数据库管理系统MySQL后root用户拥有所有权限且是空口令为安全起见必须为root用户设置口令。有3种方式为root账号指定密码1使用SET PASSWORD语句2使用myadmin命令行客户端程序3使用UPDATE语句使用UPDATE直接修改user表。修改数据库Mysql下的访问控制列表是无法完成口令设置的。数字签名的目的是通过网络信息安全技术手段实现传统的纸质签字活盖章的功能以确认交易当事人的真实身份保证交易的安全性、真实性和不可抵赖性。假设网络中有n个用户每两个用户之间共享一个密钥则共需要n∗(n−1)/2n*(n-1)/2n∗(n−1)/2RADIUS基于UDP协议认证端口为1812计费端口为1813传输过程中的密码本身加密其他部分明文传输支持多种认证方式。一种完善的签名应满足以下三个条件1签名者事后不能抵赖自己的签名2任何其他人不能伪造签名3如果当事的双方关于签名的真伪发生争执能够在公正的仲裁者前面通过验证签名来确认其真伪。数字签名过程是1发送方用 私钥 对数据的 杂凑值哈希值进行加密运算得到签名。2接收方用发送方的 公钥 对签名进行解密得到杂凑值再与接收数据重新计算的杂凑值对比以验证真实性。数字证书也称公钥证书CA提供数据证、书的申请、审核、签发、查询、发布以及证书吊销等生命周期的管理服务。数字证书中包含了版本号、序列号、签名算法、颁布者、有效期、主体、主体公钥信息、颁布者唯一标识符、主体唯一标识符、扩展项等。每个数字证书的序列号都是唯一的。数字证书通过CA的私钥进行了签名其真伪及有效性可通过CA的公钥来验证。对路由器、交换机等网络设备启用日志功能并将日志发送到中央日志服务器的主要益处1实时监控设备的CPU、内存利用率等健康状态2基于流量日志分析网络瓶颈优化性能3在发生安全事件是回溯分析攻击路径和设备操作。PDRRProtection, Detection, Recovery、Respons。PDRR改进了传统的只有保护的单一安全防御思想,强调信息安全保障的四个重要环节。1保护(Protection)的内容主要有加密机制、数据签名机制、访问控制机制、认证机制、信息隐藏、防火墙技术等。2检测(Detection)的内容主要有入侵检测、系统脆弱性检测、数据完整性检测、攻击性检测等。3恢复(Recovery)的内容主要有数据备份、数据修复、系统恢复等。4响应(Response)的内容主要有应急策略、应急机制、应急手段、入侵过程分析及安全状态评估等。网络安全体系的主要特征整体性、协同性、过程性、全面性、适应性。网络信息安全十二个问题如下:1、网络强依赖性及网络安全关联风险凸显2、产品供应链与安全质量风险3、产品技术同质性与技术滥用风险4、建设与管理发展不平衡、不充分的风险5、数据安全风险6、高级持续威胁风险APT7、恶意代码风险8、软件代码和安全漏洞风险9、人员的网络安全意识风险10、技术复杂性和运营安全风险11、地下黑产经济风险12、间谍与网络战风险