通過實(shí)例認(rèn)識(shí)安全認(rèn)證與信息安全

引子
幾天前，我去銀行辦事。在等候服務(wù)的時(shí)候，聽到身邊兩位老大
媽在閑聊。一位胖老太抱怨現(xiàn)在銀行人多排隊(duì)，辦一次事得等一
個(gè)多小時(shí)。另一位瘦老太鼓動(dòng)她去辦理網(wǎng)上銀行，說用了網(wǎng)銀很
多事情如繳費(fèi)買基金炒股票就都可以坐在家里上網(wǎng)辦理，不必跑
銀行了。胖老太就說聽人講網(wǎng)上銀行不安全，壞人能從網(wǎng)上把賬
戶的錢劃走。瘦老太說，你領(lǐng)了證書就安全，而且一定要領(lǐng)移動(dòng)
證書，裝在一個(gè)小鑰匙里可以帶著走的。有了它只有你自己才能
動(dòng)帳戶里的錢，壞人是劃不走錢的，保證安全沒問題……
聽了她們的閑聊深感欣慰。連普通市民都知道了利用數(shù)字證書保
障網(wǎng)銀的安全，說明CFCA(及其同行們)通過這幾年在安全認(rèn)證領(lǐng)
域堅(jiān)持工作，辛苦耕耘，安全意識(shí)深入人心，成效顯著。
不過另一方面，若是把安全與數(shù)字證書完全畫等號(hào)也是不對(duì)的，信息安全有著更多更廣泛的內(nèi)涵。我們不
必苛求老大媽們，但我們作為保障信息安全的專業(yè)工作者，還是要站在一定的高度，對(duì)信息安全有更為全
面地了解，才能更好地完成我們的使命。
本文試圖從鳥瞰的角度，對(duì)信息安全的全貌以及與安全認(rèn)證的關(guān)系作一簡(jiǎn)單介紹。
信息安全技術(shù)發(fā)展的歷史
自從人類進(jìn)入計(jì)算機(jī)和通信的信息時(shí)代，信息安全就始終陪伴著IT技術(shù)的發(fā)展而發(fā)展。信息安全技術(shù)經(jīng)歷
了三個(gè)時(shí)代：數(shù)據(jù)安全時(shí)代、網(wǎng)絡(luò)安全時(shí)代和交易安全時(shí)代。其主要的發(fā)展規(guī)律是：后一發(fā)展階段是前一
發(fā)展階段的繼續(xù)和擴(kuò)充，前一發(fā)展階段為后一發(fā)展階段筑起了堅(jiān)實(shí)的基礎(chǔ)。
1.數(shù)據(jù)安全
多年以前，在網(wǎng)絡(luò)還沒有充分發(fā)展的時(shí)代，數(shù)據(jù)安全是IT系統(tǒng)的基本安全要求，最基礎(chǔ)的安全構(gòu)件是機(jī)密
性、完整性和訪問控制。數(shù)據(jù)安全采用軍用型的保密安全策略，人員和數(shù)據(jù)必須劃分為不同的等級(jí)。而數(shù)
據(jù)安全的等級(jí)劃分以授權(quán)的方式進(jìn)行，這是屬于一種由官方保證的體系。因?yàn)閿?shù)據(jù)安全以機(jī)密性為主，所
以其基礎(chǔ)技術(shù)是密碼技術(shù)。
2.網(wǎng)絡(luò)安全
上世紀(jì)后期，網(wǎng)絡(luò)蓬勃發(fā)展，網(wǎng)絡(luò)安全成為開放網(wǎng)絡(luò)時(shí)代的基本安全要求。其最基礎(chǔ)的安全構(gòu)件是保護(hù)、
探測(cè)、報(bào)告與響應(yīng)。網(wǎng)絡(luò)安全以完整性為主，所采用的基本技術(shù)是防火墻、VPN加密隧道、IDS入侵檢測(cè)/入
侵防護(hù)、防病毒等，因此其基礎(chǔ)是防護(hù)技術(shù)。網(wǎng)絡(luò)是公共設(shè)施，一般不劃分為等級(jí)，只有兩種劃分方式：
采取了防護(hù)措施(以防火墻保護(hù)的秘密因特網(wǎng)協(xié)議路由器網(wǎng)siprnet)或沒有采取防護(hù)措施(沒有防火墻保護(hù)
的非保密因特網(wǎng)協(xié)議路由器網(wǎng) niprnet)。
3.交易安全
隨著互聯(lián)網(wǎng)在各行各業(yè)被越來越廣泛地應(yīng)用起來，信息安全技術(shù)也發(fā)展到了第三階段——交易安全時(shí)代。
網(wǎng)絡(luò)交易時(shí)代的最基本安全要求是交易的可信性，最基礎(chǔ)的安全構(gòu)件是：主體可信性，客體可信性，行為
可信性。交易安全就是對(duì)交易過程提供可信性證明的過程，因此其基礎(chǔ)是行為可信認(rèn)證理論。
“交易安全”毫無疑問將是未來信息安全要考慮的主要內(nèi)容。
在第三代安全技術(shù)的研究中，有兩個(gè)技術(shù)是關(guān)鍵的，一個(gè)是代理技術(shù)，第二個(gè)是認(rèn)證技術(shù)。 在一個(gè)系統(tǒng)
中，數(shù)據(jù)安全、網(wǎng)絡(luò)安全、交易安全可能并存，但各自采取不同的安全策略。
信息安全的構(gòu)架
信息安全的構(gòu)架應(yīng)該由三個(gè)維度組成。
第一個(gè)維度是安全區(qū)域的劃分。
在信息安全保障系統(tǒng)將網(wǎng)絡(luò)和信息系統(tǒng)，按照重要程度和涉密級(jí)別，劃分為核心安全域、重要安全域、一
般安全域等不同級(jí)別的安全區(qū)域，有針對(duì)性地提供安全保障，內(nèi)容包括域內(nèi)計(jì)算環(huán)境安全、域邊界與互聯(lián)
安全、通信傳輸安全等方面。
第二個(gè)維度是信息安全的層次化結(jié)構(gòu)，它包括了：
數(shù)據(jù)安全—針對(duì)數(shù)據(jù)存儲(chǔ)和使用過程的安全控制，包括數(shù)據(jù)安全存儲(chǔ)、數(shù)據(jù)備份和恢復(fù)等機(jī)制;應(yīng)用安全—
針對(duì)應(yīng)用系統(tǒng)計(jì)算資源的安全控制，包括用戶認(rèn)證、授權(quán)和訪問控制、應(yīng)用數(shù)據(jù)加密、應(yīng)用訪問審計(jì)等機(jī)
制;系統(tǒng)安全—在系統(tǒng)軟件層面上的安全控制，包括系統(tǒng)配置管理、安全補(bǔ)丁管理、病毒檢測(cè)和防治等機(jī)
制;網(wǎng)絡(luò)安全—在網(wǎng)絡(luò)通信層面上的安全控制，包括網(wǎng)絡(luò)隔離、網(wǎng)絡(luò)訪問控制、網(wǎng)絡(luò)管理、網(wǎng)絡(luò)監(jiān)控、網(wǎng)絡(luò)
安全傳輸?shù)葯C(jī)制;物理安全—包括信息資產(chǎn)所處的環(huán)境安全、設(shè)備和介質(zhì)安全等機(jī)制。
第三個(gè)維度是信息安全的生命周期。
信息安全保障體系，是針對(duì)網(wǎng)絡(luò)和信息系統(tǒng)生命周期的各階段(系統(tǒng)設(shè)計(jì)、系統(tǒng)實(shí)現(xiàn)、運(yùn)行維護(hù)等)，全程
提供安全控制，既包括了針對(duì)安全事件的事先預(yù)防保護(hù)機(jī)制，也包括了安全事件發(fā)生時(shí)的檢測(cè)和響應(yīng)機(jī)
制，同時(shí)還包括了安全事件發(fā)生后的應(yīng)急恢復(fù)措施，以達(dá)到安全保障的目標(biāo)。這樣，三維架構(gòu)的信息安全
保障是層次化、全方位、全時(shí)空的，可以有效地防止和抵御各類攻擊和安全事件的發(fā)生。
信息安全保障的具體措施
下列幾項(xiàng)具體措施可以稱之為信息安全的利器：
◆防火墻。它在內(nèi)部網(wǎng)絡(luò)與不安全的外部網(wǎng)絡(luò)之間設(shè)置障礙，阻止外界對(duì)內(nèi)部資源的非法訪問，防止內(nèi)部
對(duì)外部的不安全訪問。主要技術(shù)有：包過濾技術(shù)，應(yīng)用網(wǎng)關(guān)技術(shù)，代理服務(wù)技術(shù)。防火墻能夠較為有效地
防止黑客利用不安全的服務(wù)對(duì)內(nèi)部網(wǎng)絡(luò)的攻擊，并且能夠?qū)崿F(xiàn)數(shù)據(jù)流的監(jiān)控、過濾、記錄和報(bào)告功能，較
好地隔斷內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的連接。實(shí)踐中常采用多極異構(gòu)、雙機(jī)熱備的防火墻保護(hù)網(wǎng)絡(luò)邊界的安全;
◆入侵檢測(cè)系統(tǒng)(Intrusion Detection Syetem， IDS)。它通過收集和分析計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中若
干關(guān)鍵點(diǎn)的信息，檢查網(wǎng)絡(luò)或系統(tǒng)中是否存在違反安全策略的行為和被攻擊的跡象。進(jìn)行入侵檢測(cè)的軟件
與硬件的組合便是IDS。嚴(yán)密部署網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)IDS以及病毒網(wǎng)關(guān)，能夠有效對(duì)來自外部網(wǎng)絡(luò)環(huán)境的網(wǎng)
絡(luò)蠕蟲病毒和黑客攻擊行為進(jìn)行檢測(cè)和響應(yīng);
◆根據(jù)不同的網(wǎng)絡(luò)通信介質(zhì)環(huán)境，采用不同的加密設(shè)施和加密機(jī)制。如使用對(duì)稱密碼的加密機(jī)、使用公鑰
密碼和對(duì)稱密碼的PKI/SSL安全傳輸?shù)龋行У乇Ｗo(hù)了通信傳輸安全;
◆采用基于PKI的數(shù)字證書認(rèn)證機(jī)制以及第三方權(quán)威的認(rèn)證中心的服務(wù)，除了能夠在交易發(fā)生時(shí)進(jìn)行強(qiáng)身份
認(rèn)證外，還保證了交易信息的真實(shí)性、完整性、私密性和不可否認(rèn)性;
◆在信息系統(tǒng)中部署單機(jī)版或網(wǎng)絡(luò)版的分布式殺毒系統(tǒng)，可以有效地遏制病毒危害;
◆采用VPN(Virtual Private Network)，即“虛擬專用網(wǎng)絡(luò)”技術(shù)。VPN的核心就是利用公共網(wǎng)絡(luò)建立虛擬
私有網(wǎng)。它可以通過特殊的加密的通訊協(xié)議(如IPSec)，在連接在 Internet上的位于不同地方的兩個(gè)或多
個(gè)企業(yè)內(nèi)部網(wǎng)之間建立一條專有的通訊線路，就好比是架設(shè)了一條專線一樣，但是它并不需要真正的去鋪
設(shè)光纜之類的物理線路。虛擬專用網(wǎng)可以幫助遠(yuǎn)程用戶、公司分支機(jī)構(gòu)、商業(yè)伙伴及供應(yīng)商同公司的內(nèi)部
網(wǎng)建立可信的安全連接，并保證數(shù)據(jù)的安全傳輸。
◆信息系統(tǒng)使用可靠的物理安全保護(hù)設(shè)施(機(jī)房環(huán)境、基礎(chǔ)設(shè)施、安全保衛(wèi)、通信鏈路等);
◆一整套安全策略、安全管理制度、操作規(guī)范以及周到的安全組織、安全審計(jì)、安全監(jiān)督
網(wǎng)絡(luò)安全認(rèn)證在信息安全中的地位
從上述信息安全保障體系架構(gòu)中我們可以看到，網(wǎng)絡(luò)安全認(rèn)證只是這個(gè)龐大復(fù)雜架構(gòu)中的一個(gè)環(huán)節(jié)。認(rèn)證
是為了保障安全，但認(rèn)證并不等于安全。信息系統(tǒng)的安全必須全方位、全時(shí)空、多層次地加以保護(hù)，才能
達(dá)到目的。
當(dāng)然，我們也同時(shí)看到，安全認(rèn)證在信息安全，特別是交易安全中占有極其重要的地位。因?yàn)樵谔幚砘ヂ?lián)
網(wǎng)的事務(wù)中最基本安全要求是交易的可信性，既包括交易主體的可信性，也包括交易客體(即交易內(nèi)容)的
可信性。所以我們?cè)跒楸姸嗑W(wǎng)上業(yè)務(wù)系統(tǒng)設(shè)計(jì)安全方案時(shí)，總是把安全認(rèn)證作為信息安全保障的主要措
施，放在方案的首位。
還有一點(diǎn)需要指出，安全認(rèn)證與其他安全措施相互之間也具有互補(bǔ)的性質(zhì)。就像打防御戰(zhàn)一樣，第一道防
線被攻破了，還有第二道、第三道防線頂著。在網(wǎng)上銀行交易中，不法分子利用木馬程序竊取了客戶的口
令、賬號(hào)等個(gè)人信息，這等于攻破了第一道防線，但是網(wǎng)銀系統(tǒng)如果采用了嚴(yán)格的數(shù)字證書認(rèn)證機(jī)制，不
法分子沒有用戶的數(shù)字證書，就無法進(jìn)行轉(zhuǎn)帳交易，還是達(dá)不到竊取用戶存款的目的。