數據加密模型

『壹』 數據加密可以在OSI七層模型中的( )完成的

表示層：是參考模型的第6層。主要功能是：用於處理在兩個通信系統中交換信息的表示方式，主要包括數據格式變換、數據加密與解密、數據壓縮與恢復等功能。

『貳』 數據加密與解密的通信模型

明文（plaintext）：作為加密輸入的原始信息，用M表示。
加密演算法：變換函數F。
密文（ciphertext）：明文變換結果，用C表示。

『叄』 OSI參考模型中哪些是負責對數據的加密和解密

⑴ 物理層
這是整個OSI參考模型的最低層，其任務是提供網路的物理連接，利用物理傳輸介質為數據鏈路層提供位流傳輸。該層的主要任務是在通信線路上傳輸數據比特的電信號。物理層協議主要規定了計算機或終端和通信設備之間的介面標准，包含介面的機械、電氣、功能和規程四個方面的特性。主要包括電纜、物理埠和附屬設備，如雙絞線、同軸電纜、接線設備（如網卡等）、串口和並口等在網路中都是工作在這個層次的。
物理層傳送的基本單位是比特。典型的物理層協議如RS-232系列等。
⑵ 數據鏈路層
數據鏈路層的功能是實現無差錯的傳輸服務。
物理層僅提供了傳輸能力，但信號不可避免地會出現畸變和受到干擾，造成傳輸錯誤。數據鏈路層的主要功能有建立和拆除數據鏈路；將信息按一定格式組裝成幀，以便無差錯地傳送。此外還具有處理應答、差錯控制、順序和流量控制等功能。
數據鏈路層傳送的基本單位是幀。其常見的協議有兩類：一類是面向字元的傳輸控制協議，如BSC（二進制同步通信協議）；另一類是面向比特的傳輸控制協議，如HDLC（高級數據鏈路控制協議）。
⑶ 網路層
網路層屬於OSI中的中間層次，從它的名字可以看出，它解決的是網路與網路之間，即網際的通信問題。網路層的主要功能是提供路由，即選擇到達目標主機的最佳路徑，並沿該路徑傳送數據包。此外，網路層還要能夠消除網路擁擠，具有流量控制和擁擠控制的能力。
網路層傳送的基本單位是分組（或包），X.25就是網路層的協議。
⑷ 傳輸層
傳輸層解決的是數據在網路之間的傳輸質量問題，用於提高網路層服務質量，如消除通信過程中產生的錯誤，提供可靠的端到端的數據傳輸，常說的網路服務質量QoS就是這一層的主要服務。
傳輸層傳送的基本單位是報文。
⑸ 會話層
用戶或進程間的一次連接稱為一次會話，如一個用戶通過網路登錄到一台主機，或一個正在用於傳輸文件的連接等都是會話。會話層利用傳輸層來提供會話服務，負責提供建立、維護和拆除兩個進程間的會話連接。當連接建立後，管理何時哪方進行操作，對雙方的會話活動進行管理。
⑹ 表示層
表示層負責管理數據的編碼方法，對數據進行加密和解密、壓縮和恢復。並不是每個計算機都使用相同的數據編碼方案，表示層提供不兼容數據編碼格式之間的轉換，如轉換美國標准信息交換代碼（ASCII）和擴展二進制交換碼（EBCDIC）。
⑺ 應用層
這是OSI參考模型的最高層，它負責網路中應用程序與網路操作系統之間的聯系，為用戶提供各種服務，如電子郵件和文件傳輸等。

『肆』 OSI參考模型中的哪層負責數據加密，解密，壓縮和解壓

表示層。

應用程序和網路之間的翻譯官，在表示層，數據將按照網路能理解的方案進行格式化；這種格式化也因所使用網路的類型不同而不同。
表示層管理數據的解密與加密，如系統口令的處理。例如：在 Internet上查詢你銀行賬戶，使用的即是一種安全連接。你的賬戶數據在發送前被加密，在網路的另一端，表示層將對接收到的數據解密。除此之外，表示層協議還對圖片和文件格式信息進行解碼和編碼。

『伍』 數據加密和數據簽名的原理作用

加密可以幫助保護數據不被查看和修改，並且可以幫助在本不安全的信道上提供安全的通信方式。例如，可以使用加密演算法對數據進行加密，在加密狀態下傳輸數據，然後由預定的接收方對數據進行解密。如果第三方截獲了加密的數據，解密數據是很困難的。

在一個使用加密的典型場合中，雙方（小紅和小明）在不安全的信道上通信。小紅和小明想要確保任何可能正在偵聽的人無法理解他們之間的通信。而且，由於小紅和小明相距遙遠，因此小紅必須確保她從小明處收到的信息沒有在傳輸期間被任何人修改。此外，她必須確定信息確實是發自小明而不是有人模仿小明發出的。

加密用於達到以下目的：

保密性：幫助保護用戶的標識或數據不被讀取。
數據完整性：幫助保護數據不更改。
身份驗證：確保數據發自特定的一方。
為了達到這些目的，您可以使用演算法和慣例的組合（稱作加密基元）來創建加密方案。下表列出了加密基元及它們的用法。

加密基元 使用
私鑰加密（對稱加密） 對數據執行轉換，使第三方無法讀取該數據。此類型的加密使用單個共享的機密密鑰來加密和解密數據。
公鑰加密（不對稱加密） 對數據執行轉換，使第三方無法讀取該數據。此類加密使用公鑰/私鑰對來加密和解密數據。
加密簽名 通過創建對特定方唯一的數字簽名來幫助驗證數據是否發自特定方。此過程還使用哈希函數。
加密哈希 將數據從任意長度映射為定長位元組序列。哈希在統計上是唯一的；不同的雙位元組序列不會哈希為同一個值。

私鑰加密
私鑰加密演算法使用單個私鑰來加密和解密數據。由於具有密鑰的任意一方都可以使用該密鑰解密數據，因此必須保護密鑰不被未經授權的代理得到。私鑰加密又稱為對稱加密，因為同一密鑰既用於加密又用於解密。私鑰加密演算法非常快（與公鑰演算法相比），特別適用於對較大的數據流執行加密轉換。

通常，私鑰演算法（稱為塊密碼）用於一次加密一個數據塊。塊密碼（如 RC2、DES、TrippleDES 和 Rijndael）通過加密將 n 位元組的輸入塊轉換為加密位元組的輸出塊。如果要加密或解密位元組序列，必須逐塊進行。由於 n 很小（對於 RC2、DES 和 TripleDES，n = 8 位元組；n = 16 [默認值]；n = 24；對於 Rijndael，n = 32），因此必須對大於 n 的值一次加密一個塊。

基類庫中提供的塊密碼類使用稱作密碼塊鏈 (CBC) 的鏈模式，它使用一個密鑰和一個初始化向量 (IV) 對數據執行加密轉換。對於給定的私鑰 k，一個不使用初始化向量的簡單塊密碼將把相同的明文輸入塊加密為同樣的密文輸出塊。如果在明文流中有重復的塊，那麼在密文流中將存在重復的塊。如果未經授權的用戶知道有關明文塊的結構的任何信息，就可以使用這些信息解密已知的密文塊並有可能發現您的密鑰。若要克服這個問題，可將上一個塊中的信息混合到加密下一個塊的過程中。這樣，兩個相同的明文塊的輸出就會不同。由於該技術使用上一個塊加密下一個塊，因此使用了一個 IV 來加密數據的第一個塊。使用該系統，未經授權的用戶有可能知道的公共消息標頭將無法用於對密鑰進行反向工程。

可以危及用此類型密碼加密的數據的一個方法是，對每個可能的密鑰執行窮舉搜索。根據用於執行加密的密鑰大小，即使使用最快的計算機執行這種搜索，也極其耗時，因此難以實施。使用較大的密鑰大小將使解密更加困難。雖然從理論上說加密不會使對手無法檢索加密的數據，但這確實極大增加了這樣做的成本。如果執行徹底搜索來檢索只在幾天內有意義的數據需要花費三個月的時間，那麼窮舉搜索的方法是不實用的。

私鑰加密的缺點是它假定雙方已就密鑰和 IV 達成協議，並且互相傳達了密鑰和 IV 的值。並且，密鑰必須對未經授權的用戶保密。由於存在這些問題，私鑰加密通常與公鑰加密一起使用，來秘密地傳達密鑰和 IV 的值。

假設小紅和小明是要在不安全的信道上進行通信的雙方，他們可能按以下方式使用私鑰加密。小紅和小明都同意使用一種具有特定密鑰和 IV 的特定演算法（如 Rijndael）。小紅撰寫一條消息並創建要在其上發送該消息的網路流。接下來，她使用該密鑰和 IV 加密該文本，並通過 Internet 發送該文本。她沒有將密鑰和 IV 發送給小明。小明收到該加密文本並使用預先商定的密鑰和 IV 對它進行解密。如果傳輸的內容被人截獲，截獲者將無法恢復原始消息，因為截獲者並不知道密鑰或 IV。在這個方案中，密鑰必須保密，但 IV 不需要保密。在一個實際方案中，將由小紅或小明生成私鑰並使用公鑰（不對稱）加密將私鑰（對稱）傳遞給對方。有關更多信息，請參見本主題後面的有關公鑰加密的部分。

.NET Framework 提供以下實現私鑰加密演算法的類：

DESCryptoServiceProvider
RC2CryptoServiceProvider
RijndaelManaged

公鑰加密
公鑰加密使用一個必須對未經授權的用戶保密的私鑰和一個可以對任何人公開的公鑰。公鑰和私鑰都在數學上相關聯；用公鑰加密的數據只能用私鑰解密，而用私鑰簽名的數據只能用公鑰驗證。公鑰可以提供給任何人；公鑰用於對要發送到私鑰持有者的數據進行加密。兩個密鑰對於通信會話都是唯一的。公鑰加密演算法也稱為不對稱演算法，原因是需要用一個密鑰加密數據而需要用另一個密鑰來解密數據。

公鑰加密演算法使用固定的緩沖區大小，而私鑰加密演算法使用長度可變的緩沖區。公鑰演算法無法像私鑰演算法那樣將數據鏈接起來成為流，原因是它只可以加密少量數據。因此，不對稱操作不使用與對稱操作相同的流模型。

雙方（小紅和小明）可以按照下列方式使用公鑰加密。首先，小紅生成一個公鑰/私鑰對。如果小明想要給小紅發送一條加密的消息，他將向她索要她的公鑰。小紅通過不安全的網路將她的公鑰發送給小明，小明接著使用該密鑰加密消息。（如果小明在不安全的信道如公共網路上收到小紅的密鑰，則小明必須同小紅驗證他具有她的公鑰的正確副本。）小明將加密的消息發送給小紅，而小紅使用她的私鑰解密該消息。

但是，在傳輸小紅的公鑰期間，未經授權的代理可能截獲該密鑰。而且，同一代理可能截獲來自小明的加密消息。但是，該代理無法用公鑰解密該消息。該消息只能用小紅的私鑰解密，而該私鑰沒有被傳輸。小紅不使用她的私鑰加密給小明的答復消息，原因是任何具有公鑰的人都可以解密該消息。如果小紅想要將消息發送回小明，她將向小明索要他的公鑰並使用該公鑰加密她的消息。然後，小明使用與他相關聯的私鑰來解密該消息。

在一個實際方案中，小紅和小明使用公鑰（不對稱）加密來傳輸私（對稱）鑰，而對他們的會話的其餘部分使用私鑰加密。

公鑰加密具有更大的密鑰空間（或密鑰的可能值范圍），因此不大容易受到對每個可能密鑰都進行嘗試的窮舉攻擊。由於不必保護公鑰，因此它易於分發。公鑰演算法可用於創建數字簽名以驗證數據發送方的身份。但是，公鑰演算法非常慢（與私鑰演算法相比），不適合用來加密大量數據。公鑰演算法僅對傳輸很少量的數據有用。公鑰加密通常用於加密一個私鑰演算法將要使用的密鑰和 IV。傳輸密鑰和 IV 後，會話的其餘部分將使用私鑰加密。

.NET Framework 提供以下實現公鑰加密演算法的類：

DSACryptoServiceProvider
RSACryptoServiceProvider
數字簽名
公鑰演算法還可用於構成數字簽名。數字簽名驗證發送方的身份（如果您信任發送方的公鑰）並幫助保護數據的完整性。使用由小紅生成的公鑰，小紅的數據的接收者可以通過將數字簽名與小紅的數據和小紅的公鑰進行比較來驗證是否是小紅發送了該數據。

為了使用公鑰加密對消息進行數字簽名，小紅首先將哈希演算法應用於該消息以創建消息摘要。該消息摘要是數據的緊湊且唯一的表示形式。然後，小紅用她的私鑰加密該消息摘要以創建她的個人簽名。在收到消息和簽名時，小明使用小紅的公鑰解密簽名以恢復消息摘要，並使用與小紅所使用的相同的哈希演算法來散列消息。如果小明計算的消息摘要與從小紅那裡收到的消息摘要完全一致，小明就可以確定該消息來自私鑰的持有人，並且數據未被修改過。如果小明相信小紅是私鑰的持有人，則他知道該消息來自小紅。

請注意，由於發送方的公鑰為大家所周知，並且它通常包含在數字簽名格式中，因此任何人都可以驗證簽名。此方法不保守消息的機密；若要使消息保密，還必須對消息進行加密。

.NET Framework 提供以下實現數字簽名演算法的類：

DSACryptoServiceProvider
RSACryptoServiceProvider
哈希值
哈希演算法將任意長度的二進制值映射為固定長度的較小二進制值，這個小的二進制值稱為哈希值。哈希值是一段數據唯一且極其緊湊的數值表示形式。如果散列一段明文而且哪怕只更改該段落的一個字母，隨後的哈希計算都將產生不同的值。要找到散列為同一個值的兩個不同的輸入，在計算上是不可能的。

消息身份驗證代碼 (MAC) 哈希函數通常與數字簽名一起用於對數據進行簽名，而消息檢測代碼 (MDC) 哈希函數則用於數據完整性。

雙方（小紅和小明）可按下面的方式使用哈希函數來確保數據的完整性。如果小紅對小明編寫一條消息並創建該消息的哈希，則小明可以在稍後散列該消息並將他的哈希與原始哈希進行比較。如果兩個哈希值相同，則該消息沒有被更改；如果值不相同，則該消息在小紅編寫它之後已被更改。為了使此系統發揮作用，小紅必須對除小明外的所有人保密原始的哈希值。

.NET Framework 提供以下實現數字簽名演算法的類：

HMACSHA1
MACTripleDES
MD5CryptoServiceProvider
SHA1Managed
SHA256Managed
SHA384Managed
SHA512Managed
隨機數生成
隨機數生成是許多加密操作不可分割的組成部分。例如，加密密鑰需要盡可能地隨機，以便使生成的密鑰很難再現。加密隨機數生成器必須生成無法以計算方法推算出（低於 p < .05 的概率）的輸出；即，任何推算下一個輸出位的方法不得比隨機猜測具有更高的成功概率。.NET Framework 中的類使用隨機數生成器生成加密密鑰。

RNGCryptoServiceProvider 類是隨機數生成器演算法的實現。

『陸』 微信 返回的數據加密是什麼加密

⑴物理層這是整個OSI參考模型的最低層，其任務是提供網路的物理連接，利用物理傳輸介質為數據鏈路層提供位流傳輸。該層的主要任務是在通信線路上傳輸數據比特的電信號。物理層協議主要規定了計算機或終端和通信設備之間的介面標准，包含介面的機械、電氣、功能和規程四個方面的特性。主要包括電纜、物理埠和附屬設備，如雙絞線、同軸電纜、接線設備（如網卡等）、串口和並口等在網路中都是工作在這個層次的。物理層傳送的基本單位是比特。典型的物理層協議如RS-232系列等。⑵數據鏈路層數據鏈路層的功能是實現無差錯的傳輸服務。物理層僅提供了傳輸能力，但信號不可避免地會出現畸變和受到干擾，造成傳輸錯誤。數據鏈路層的主要功能有建立和拆除數據鏈路；將信息按一定格式組裝成幀，以便無差錯地傳送。此外還具有處理應答、差錯控制、順序和流量控制等功能。數據鏈路層傳送的基本單位是幀。其常見的協議有兩類：一類是面向字元的傳輸控制協議，如BSC（二進制同步通信協議）；另一類是面向比特的傳輸控制協議，如HDLC（高級數據鏈路控制協議）。⑶網路層網路層屬於OSI中的中間層次，從它的名字可以看出，它解決的是網路與網路之間，即網際的通信問題。網路層的主要功能是提供路由，即選擇到達目標主機的最佳路徑，並沿該路徑傳送數據包。此外，網路層還要能夠消除網路擁擠，具有流量控制和擁擠控制的能力。網路層傳送的基本單位是分組（或包），X.25就是網路層的協議。⑷傳輸層傳輸層解決的是數據在網路之間的傳輸質量問題，用於提高網路層服務質量，如消除通信過程中產生的錯誤，提供可靠的端到端的數據傳輸，常說的網路服務質量QoS就是這一層的主要服務。傳輸層傳送的基本單位是報文。⑸會話層用戶或進程間的一次連接稱為一次會話，如一個用戶通過網路登錄到一台主機，或一個正在用於傳輸文件的連接等都是會話。會話層利用傳輸層來提供會話服務，負責提供建立、維護和拆除兩個進程間的會話連接。當連接建立後，管理何時哪方進行操作，對雙方的會話活動進行管理。⑹表示層表示層負責管理數據的編碼方法，對數據進行加密和解密、壓縮和恢復。並不是每個計算機都使用相同的數據編碼方案，表示層提供不兼容數據編碼格式之間的轉換，如轉換美國標准信息交換代碼（ASCII）和擴展二進制交換碼（EBCDIC）。⑺應用層這是OSI參考模型的最高層，它負責網路中應用程序與網路操作系統之間的聯系，為用戶提供各種服務，如電子郵件和文件傳輸等。

『柒』 數據量比較大應該採用什麼加密技術

大數據生命周期分為數據發布、數據儲存、分析和挖掘、數據使用，在這些環節中都存在數據隱私保護的問題。加密是保護數據的一個手段，但是加密之後的數據無法使用。現在的技術需要保證數據在流通使用過程中也不造成泄露，也就是限制數據的使用。

在沙龍現場，幾位嘉賓也探討了目前幾種常見的數據加密技術。

差分隱私

差分隱私其實是一種度量方式。通過一群人里算出來的模型，和去除A算出來的是一樣的，這樣就無從判斷A是否還在這群人中，就起到保護A隱私的作用。這個方法對於保護「泯然眾人」的數據是有用的，但是卻很難保護那些「很個性」的數據，因為這些「個性」的數據對於整體數據的計算印象很大。

多方安全計算

多方安全計算（MPC）是解決一組互不信任的參與方之間保護隱私的協同計算問題，MPC要確保輸入的獨立性，計算的正確性，同時不泄露各輸入值給參與計算的其他成員。主要是針對無可信第三方的情況下，如何安全地計算一個約定函數的問題，在電子選舉、電子投票、電子拍賣、秘密共享、門限簽名等場景中有著重要的作用。

K匿名

k-匿名技術是1998 年由Samarati和Sweeney提出的，要求發布的數據中存在一定數量(至少為k)的在准標識符上不可區分的記錄，使攻擊者不能判別出隱私信息所屬的具體個體，從而保護了個人隱私。

明略科技集團首席科學家吳信東教授舉例解釋，「比如，為了避免報警者受到報復，警察記錄的是方圓多少距離的人打來的報警電話，通過對位置信息的泛化，保護了報警者的位置信息，但同時也會降低數據的可用性。可能警察記錄是五公里以內的人打了電話，但是警察自己也找不到那個人是誰。」

什麼樣的數據值得保護？數據隱私保護技術就像是順豐快遞，要看寄送的東西值不值得快遞費用。評估數據的價值，是比數據保護更重要的事情。數據保護問題的本質就在於我們如何對數據進行定價。

或許有人出價一萬買你的隱私，你會斷然拒絕；但如果是一億呢？離開數據的定價、數據流動產生的價值和通過數據得到的服務去討論數據隱私，其實都是比較片面的。

『捌』 RSA加密演算法原理

RSA加密演算法是一種典型的非對稱加密演算法，它基於大數的因式分解數學難題，它也是應用最廣泛的非對稱加密演算法，於1978年由美國麻省理工學院（MIT）的三位學著：Ron Rivest、Adi Shamir 和 Leonard Adleman 共同提出。

它的原理較為簡單，假設有消息發送方A和消息接收方B，通過下面的幾個步驟，就可以完成消息的加密傳遞：
消息發送方A在本地構建密鑰對，公鑰和私鑰；
消息發送方A將產生的公鑰發送給消息接收方B；
B向A發送數據時，通過公鑰進行加密，A接收到數據後通過私鑰進行解密，完成一次通信；
反之，A向B發送數據時，通過私鑰對數據進行加密，B接收到數據後通過公鑰進行解密。
由於公鑰是消息發送方A暴露給消息接收方B的，所以這種方式也存在一定的安全隱患，如果公鑰在數據傳輸過程中泄漏，則A通過私鑰加密的數據就可能被解密。
如果要建立更安全的加密消息傳遞模型，需要消息發送方和消息接收方各構建一套密鑰對，並分別將各自的公鑰暴露給對方，在進行消息傳遞時，A通過B的公鑰對數據加密，B接收到消息通過B的私鑰進行解密，反之，B通過A的公鑰進行加密，A接收到消息後通過A的私鑰進行解密。
當然，這種方式可能存在數據傳遞被模擬的隱患，但可以通過數字簽名等技術進行安全性的進一步提升。由於存在多次的非對稱加解密，這種方式帶來的效率問題也更加嚴重。

『玖』 什麼叫網路加密演算法其分為哪幾類分別舉例。

很負責告訴你，拷貝過來的，關鍵看你能不能看明白了

由於網路所帶來的諸多不安全因素使得網路使用者不得不採取相應的網路安全對策。為了堵塞安全漏洞和提供安全的通信服務，必須運用一定的技術來對網路進行安全建設，這已為廣大網路開發商和網路用戶所共識。

現今主要的網路安全技術有以下幾種：

一、加密路由器(Encrypting Router)技術

加密路由器把通過路由器的內容進行加密和壓縮,然後讓它們通過不安全的網路進行傳輸,並在目的端進行解壓和解密。

二、安全內核(Secured Kernel)技術

人們開始在操作系統的層次上考慮安全性,嘗試把系統內核中可能引起安全性問題的部分從內核中剔除出去,從而使系統更安全。如S olaris操作系統把靜態的口令放在一個隱含文件中, 使系統的安全性增強。

三、網路地址轉換器(Network Address Translater)

網路地址轉換器也稱為地址共享器(Address Sharer)或地址映射器,初衷是為了解決IP 地址不足,現多用於網路安全。內部主機向外部主機連接時,使用同一個IP地址;相反地,外部主機要向內部主機連接時,必須通過網關映射到內部主機上。它使外部網路看不到內部網路, 從而隱藏內部網路，達到保密作用。

數據加密(Data Encryption)技術

所謂加密(Encryption)是指將一個信息(或稱明文--plaintext) 經過加密鑰匙(Encrypt ionkey)及加密函數轉換,變成無意義的密文( ciphertext),而接收方則將此密文經過解密函數、解密鑰匙(Decryti on key)還原成明文。加密技術是網路安全技術的基石。

數據加密技術要求只有在指定的用戶或網路下,才能解除密碼而獲得原來的數據,這就需要給數據發送方和接受方以一些特殊的信息用於加解密,這就是所謂的密鑰。其密鑰的值是從大量的隨機數中選取的。按加密演算法分為專用密鑰和公開密鑰兩種。

專用密鑰,又稱為對稱密鑰或單密鑰,加密時使用同一個密鑰,即同一個演算法。如DES和MIT的Kerberos演算法。單密鑰是最簡單方式,通信雙方必須交換彼此密鑰,當需給對方發信息時,用自己的加密密鑰進行加密,而在接收方收到數據後,用對方所給的密鑰進行解密。這種方式在與多方通信時因為需要保存很多密鑰而變得很復雜,而且密鑰本身的安全就是一個問題。

DES是一種數據分組的加密演算法,它將數據分成長度為6 4位的數據塊,其中8位用作奇偶校驗,剩餘的56位作為密碼的長度。第一步將原文進行置換,得到6 4位的雜亂無章的數據組;第二步將其分成均等兩段 ;第三步用加密函數進行變換,並在給定的密鑰參數條件下,進行多次迭代而得到加密密文。

公開密鑰,又稱非對稱密鑰,加密時使用不同的密鑰,即不同的演算法,有一把公用的加密密鑰,有多把解密密鑰,如RSA演算法。

在計算機網路中,加密可分為"通信加密"(即傳輸過程中的數據加密)和"文件加密"(即存儲數據加密)。通信加密又有節點加密、鏈路加密和端--端加密3種。

①節點加密,從時間坐標來講,它在信息被傳入實際通信連接點 (Physical communication link)之前進行;從OSI 7層參考模型的坐標 (邏輯空間)來講,它在第一層、第二層之間進行; 從實施對象來講,是對相鄰兩節點之間傳輸的數據進行加密,不過它僅對報文加密,而不對報頭加密,以便於傳輸路由的選擇。

②鏈路加密(Link Encryption),它在數據鏈路層進行,是對相鄰節點之間的鏈路上所傳輸的數據進行加密,不僅對數據加密還對報頭加密。

③端--端加密(End-to-End Encryption),它在第六層或第七層進行 ,是為用戶之間傳送數據而提供的連續的保護。在始發節點上實施加密,在中介節點以密文形式傳輸,最後到達目的節點時才進行解密,這對防止拷貝網路軟體和軟體泄漏也很有效。

在OSI參考模型中,除會話層不能實施加密外,其他各層都可以實施一定的加密措施。但通常是在最高層上加密,即應用層上的每個應用都被密碼編碼進行修改,因此能對每個應用起到保密的作用,從而保護在應用層上的投資。假如在下面某一層上實施加密,如TCP層上,就只能對這層起到保護作用。

值得注意的是,能否切實有效地發揮加密機制的作用,關鍵的問題在於密鑰的管理,包括密鑰的生存、分發、安裝、保管、使用以及作廢全過程。

(1)數字簽名

公開密鑰的加密機制雖提供了良好的保密性,但難以鑒別發送者, 即任何得到公開密鑰的人都可以生成和發送報文。數字簽名機制提供了一種鑒別方法,以解決偽造、抵賴、冒充和篡改等問題。

數字簽名一般採用不對稱加密技術(如RSA),通過對整個明文進行某種變換,得到一個值,作為核實簽名。接收者使用發送者的公開密鑰對簽名進行解密運算,如其結果為明文,則簽名有效,證明對方的身份是真實的。當然,簽名也可以採用多種方式,例如,將簽名附在明文之後。數字簽名普遍用於銀行、電子貿易等。

數字簽名不同於手寫簽字:數字簽名隨文本的變化而變化,手寫簽字反映某個人個性特徵, 是不變的;數字簽名與文本信息是不可分割的,而手寫簽字是附加在文本之後的,與文本信息是分離的。

(2)Kerberos系統

Kerberos系統是美國麻省理工學院為Athena工程而設計的,為分布式計算環境提供一種對用戶雙方進行驗證的認證方法。

它的安全機制在於首先對發出請求的用戶進行身份驗證,確認其是否是合法的用戶;如是合法的用戶,再審核該用戶是否有權對他所請求的服務或主機進行訪問。從加密演算法上來講,其驗證是建立在對稱加密的基礎上的。

Kerberos系統在分布式計算環境中得到了廣泛的應用(如在Notes 中),這是因為它具有如下的特點:

①安全性高,Kerberos系統對用戶的口令進行加密後作為用戶的私鑰,從而避免了用戶的口令在網路上顯示傳輸,使得竊聽者難以在網路上取得相應的口令信息;

②透明性高,用戶在使用過程中,僅在登錄時要求輸入口令,與平常的操作完全一樣,Ker beros的存在對於合法用戶來說是透明的;

③可擴展性好,Kerberos為每一個服務提供認證,確保應用的安全。

Kerberos系統和看電影的過程有些相似,不同的是只有事先在Ker beros系統中登錄的客戶才可以申請服務,並且Kerberos要求申請到入場券的客戶就是到TGS(入場券分配伺服器)去要求得到最終服務的客戶。
Kerberos的認證協議過程如圖二所示。

Kerberos有其優點，同時也有其缺點，主要如下：

①、Kerberos伺服器與用戶共享的秘密是用戶的口令字,伺服器在回應時不驗證用戶的真實性,假設只有合法用戶擁有口令字。如攻擊者記錄申請回答報文,就易形成代碼本攻擊。

②、Kerberos伺服器與用戶共享的秘密是用戶的口令字,伺服器在回應時不驗證用戶的真實性,假設只有合法用戶擁有口令字。如攻擊者記錄申請回答報文,就易形成代碼本攻擊。

③、AS和TGS是集中式管理,容易形成瓶頸,系統的性能和安全也嚴重依賴於AS和TGS的性能和安全。在AS和TGS前應該有訪問控制,以增強AS和TGS的安全。

④、隨用戶數增加,密鑰管理較復雜。Kerberos擁有每個用戶的口令字的散列值,AS與TGS 負責戶間通信密鑰的分配。當N個用戶想同時通信時,仍需要N*(N-1)/2個密鑰

（ 3 ）、PGP演算法

PGP(Pretty Good Privacy)是作者hil Zimmermann提出的方案, 從80年代中期開始編寫的。公開密鑰和分組密鑰在同一個系統中,公開密鑰採用RSA加密演算法,實施對密鑰的管理;分組密鑰採用了IDEA演算法,實施對信息的加密。

PGP應用程序的第一個特點是它的速度快,效率高;另一個顯著特點就是它的可移植性出色,它可以在多種操作平台上運行。PGP主要具有加密文件、發送和接收加密的E-mail、數字簽名等。

(4)、PEM演算法

保密增強郵件(Private Enhanced Mail,PEM),是美國RSA實驗室基於RSA和DES演算法而開發的產品,其目的是為了增強個人的隱私功能, 目前在Internet網上得到了廣泛的應用,專為E-mail用戶提供如下兩類安全服務:

對所有報文都提供諸如:驗證、完整性、防抵 賴等安全服務功能; 提供可選的安全服務功能,如保密性等。

PEM對報文的處理經過如下過程:

第一步,作規范化處理:為了使PEM與MTA(報文傳輸代理)兼容,按S MTP協議對報文進行規范化處理;

第二步,MIC(Message Integrity Code)計算;

第三步,把處理過的報文轉化為適於SMTP系統傳輸的格式。

身份驗證技術

身份識別(Identification)是指定用戶向系統出示自己的身份證明過程。身份認證(Authertication)是系統查核用戶的身份證明的過程。人們常把這兩項工作統稱為身份驗證(或身份鑒別),是判明和確認通信雙方真實身份的兩個重要環節。

Web網上採用的安全技術

在Web網上實現網路安全一般有SHTTP/HTTP和SSL兩種方式。

（一）、SHTTP/HTTP

SHTTP/HTTP可以採用多種方式對信息進行封裝。封裝的內容包括加密、簽名和基於MAC 的認證。並且一個消息可以被反復封裝加密。此外,SHTTP還定義了包頭信息來進行密鑰傳輸、認證傳輸和相似的管理功能。SHTTP可以支持多種加密協議,還為程序員提供了靈活的編程環境。

SHTTP並不依賴於特定的密鑰證明系統,它目前支持RSA、帶內和帶外以及Kerberos密鑰交換。

（二）、SSL(安全套層) 安全套接層是一種利用公開密鑰技術的工業標准。SSL廣泛應用於Intranet和Internet 網,其產品包括由Netscape、Microsoft、IBM 、Open Market等公司提供的支持SSL的客戶機和伺服器,以及諸如Apa che-SSL等產品。

SSL提供三種基本的安全服務,它們都使用公開密鑰技術。

①信息私密,通過使用公開密鑰和對稱密鑰技術以達到信息私密。SSL客戶機和SSL伺服器之間的所有業務使用在SSL握手過程中建立的密鑰和演算法進行加密。這樣就防止了某些用戶通過使用IP packet sniffer工具非法竊聽。盡管packet sniffer仍能捕捉到通信的內容, 但卻無法破譯。 ②信息完整性,確保SSL業務全部達到目的。如果Internet成為可行的電子商業平台,應確保伺服器和客戶機之間的信息內容免受破壞。SSL利用機密共享和hash函數組提供信息完整性服務。③相互認證,是客戶機和伺服器相互識別的過程。它們的識別號用公開密鑰編碼,並在SSL握手時交換各自的識別號。為了驗證證明持有者是其合法用戶(而不是冒名用戶),SSL要求證明持有者在握手時對交換數據進行數字式標識。證明持有者對包括證明的所有信息數據進行標識以說明自己是證明的合法擁有者。這樣就防止了其他用戶冒名使用證明。證明本身並不提供認證,只有證明和密鑰一起才起作用。 ④SSL的安全性服務對終端用戶來講做到盡可能透明。一般情況下,用戶只需單擊桌面上的一個按鈕或聯接就可以與SSL的主機相連。與標準的HTTP連接申請不同,一台支持SSL的典型網路主機接受SSL連接的默認埠是443而不是80。

當客戶機連接該埠時,首先初始化握手協議,以建立一個SSL對話時段。握手結束後,將對通信加密,並檢查信息完整性,直到這個對話時段結束為止。每個SSL對話時段只發生一次握手。相比之下,HTTP 的每一次連接都要執行一次握手,導致通信效率降低。一次SSL握手將發生以下事件:

1.客戶機和伺服器交換X.509證明以便雙方相互確認。這個過程中可以交換全部的證明鏈,也可以選擇只交換一些底層的證明。證明的驗證包括:檢驗有效日期和驗證證明的簽名許可權。

2.客戶機隨機地產生一組密鑰,它們用於信息加密和MAC計算。這些密鑰要先通過伺服器的公開密鑰加密再送往伺服器。總共有四個密鑰分別用於伺服器到客戶機以及客戶機到伺服器的通信。

3.信息加密演算法(用於加密)和hash函數(用於確保信息完整性)是綜合在一起使用的。Netscape的SSL實現方案是:客戶機提供自己支持的所有演算法清單,伺服器選擇它認為最有效的密碼。伺服器管理者可以使用或禁止某些特定的密碼。

代理服務

在 Internet 中廣泛採用代理服務工作方式, 如域名系統(DNS), 同時也有許多人把代理服務看成是一種安全性能。

從技術上來講代理服務(Proxy Service)是一種網關功能,但它的邏輯位置是在OSI 7層協議的應用層之上。

代理(Proxy)使用一個客戶程序,與特定的中間結點鏈接,然後中間結點與期望的伺服器進行實際鏈接。與應用網關型防火牆所不同的是,使用這類防火牆時外部網路與內部網路之間不存在直接連接,因此 ,即使防火牆產生了問題,外部網路也無法與被保護的網路連接。

防火牆技術

(1)防火牆的概念

在計算機領域,把一種能使一個網路及其資源不受網路"牆"外"火災"影響的設備稱為"防火牆"。用更專業一點的話來講,防火牆(FireW all)就是一個或一組網路設備(計算機系統或路由器等),用來在兩個或多個網路間加強訪問控制,其目的是保護一個網路不受來自另一個網路的攻擊。可以這樣理解,相當於在網路周圍挖了一條護城河,在唯一的橋上設立了安全哨所,進出的行人都要接受安全檢查。

防火牆的組成可以這樣表示:防火牆=過濾器+安全策略(+網關)。

(2)防火牆的實現方式

①在邊界路由器上實現;
②在一台雙埠主機(al-homed host)上實現;
③在公共子網(該子網的作用相當於一台雙埠主機)上實現,在此子網上可建立含有停火區結構的防火牆。

(3)防火牆的網路結構

網路的拓撲結構和防火牆的合理配置與防火牆系統的性能密切相關,防火牆一般採用如下幾種結構。
①最簡單的防火牆結構
這種網路結構能夠達到使受保護的網路只能看到"橋頭堡主機"( 進出通信必經之主機), 同時,橋頭堡主機不轉發任何TCP/IP通信包, 網路中的所有服務都必須有橋頭堡主機的相應代理服務程序來支持。但它把整個網路的安全性能全部託付於其中的單個安全單元,而單個網路安全單元又是攻擊者首選的攻擊對象,防火牆一旦破壞,橋頭堡主機就變成了一台沒有尋徑功能的路由器,系統的安全性不可靠。

②單網端防火牆結構

其中屏蔽路由器的作用在於保護堡壘主機(應用網關或代理服務) 的安全而建立起一道屏障。在這種結構中可將堡壘主機看作是信息伺服器,它是內部網路對外發布信息的數據中心,但這種網路拓撲結構仍把網路的安全性大部分託付給屏蔽路由器。系統的安全性仍不十分可靠。

③增強型單網段防火牆的結構

為增強網段防火牆安全性,在內部網與子網之間增設一台屏蔽路由器,這樣整個子網與內外部網路的聯系就各受控於一個工作在網路級的路由器,內部網路與外部網路仍不能直接聯系,只能通過相應的路由器與堡壘主機通信。

④含"停火區"的防火牆結構

針對某些安全性特殊需要, 可建立如下的防火牆網路結構。 網路的整個安全特性分擔到多個安全單元, 在外停火區的子網上可聯接公共信息伺服器,作為內外網路進行信息交換的場所。

網路反病毒技術

由於在網路環境下,計算機病毒具有不可估量的威脅性和破壞力, 因此計算機病毒的防範也是網路安全性建設中重要的一環。網路反病毒技術也得到了相應的發展。

網路反病毒技術包括預防病毒、檢測病毒和消毒等3種技術。(1) 預防病毒技術,它通過自身常駐系統內存,優先獲得系統的控制權,監視和判斷系統中是否有病毒存在,進而阻止計算機病毒進入計算機系統和對系統進行破壞。這類技術是:加密可執行程序、引導區保護、系統監控與讀寫控制(如防病毒卡)等。(2)檢測病毒技術,它是通過對計算機病毒的特徵來進行判斷的技術,如自身校驗、關鍵字、文件長度的變化等。(3)消毒技術,它通過對計算機病毒的分析,開發出具有刪除病毒程序並恢復原文件的軟體。

網路反病毒技術的實施對象包括文件型病毒、引導型病毒和網路病毒。

網路反病毒技術的具體實現方法包括對網路伺服器中的文件進行頻繁地掃描和監測;在工作站上採用防病毒晶元和對網路目錄及文件設置訪問許可權等。

隨著網上應用不斷發展,網路技術不斷應用,網路不安全因素將會不斷產生，但互為依存的，網路安全技術也會迅速的發展,新的安全技術將會層出不窮，最終Internet網上的安全問題將不會阻擋我們前進的步伐