一、信息安全基本知识

（一）信息安全的范畴

物理安全：如TEMPEST技术、电磁干扰等。

通信安全：通信网络的安全。

计算机网络安全：网络信息系统的安全性，包括机密性、完整性、鉴别、访问控制、抗抵赖、可用性。

（二）信息安全的发展的3个阶段

通信保密阶段：40年代－70年代。

以密码学研究为主。重点是通过密码技术解决通信保密问题，保证数据的保密性与完整性；主要安全威胁是搭线窃听、密码学分析；主要保护措施是密码加密；重要标志是1949年Shannon发表的《保密通信的信息理论》；1977年美国国家标准局公布的数据加密标准(DES)；1976年由Diffie与Hellman在“New Directions in Cryptography”一文中提出了公钥密码体制(RSA)。

计算机系统安全阶段：70－80年代。

以单机操作系统安全研究为主。重点是确保计算机系统中硬件、软件及存储、传输信息的机密性、完整性和可控性;主要安全威胁扩展到非法访问、恶意代码、脆弱口令等;主要保护措施是安全操作系统设计技术（TCB）。主要标志是1983年美国国防部公布的可信计算机系统评估准则（TCSEC）将操作系统的安全级别分为四类七个级别（D、C1、C2、B1、B2、B3、A1），后补充TNI和TDI。

网络信息系统安全阶段：90年代以来。

开始进行信息安全体系研究。重点需要保护信息，确保信息在存储、处理、传输过程中不被破坏，确保合法用户的服务和限制非授权用户的服务，以及必要的防御攻击的措施。强调信息的保密性、完整性、可控性、可用性;主要安全威胁发展到网络入侵、病毒破坏、信息对抗的攻击等;主要保护措施包括防火墙、防病毒软件、漏洞扫描、入侵检测、PKI、VPN。主要标志是提出了新的安全评估准则CC（ISO15408）、IPv6安全性设计、信息安全管理等;

（三）信息安全的基本特征

相对性：只有相对的安全，没有绝对的安全系统。

时效性：新的漏洞与攻击方法不断发现

配置相关性：日常管理中的不同配置会引入新的问题（安全测评只证明特定环境与特定配置下的安全），新的系统部件会引入新的问题(WORD等有漏洞)

攻击的不确定性：攻击发起的时间、攻击者、攻击目标和攻击发起的地点都具有不确定性

复杂性：信息安全是一项系统工程，需要技术的和非技术的手段，涉及到安全管理、教育、培训、立法、国际合作与互不侵犯协定、应急反应等。

（四）信息系统面临的几类基本威胁

无组织结构的外部威胁

内部威胁（无组织结构的和有组织结构的）

有组织的外部威胁

（五）安全攻击的基本形式

木马：隐藏在合法程序中的有害程序，用于窃取信息或是响应外部发来的恶意指令。

IP欺骗：（IPSPOOFING）欺骗请求连接者或被连接者，使之无法了解对方的真实IP地址。

入侵攻击：利用系统安全漏洞获得系统的使用权，如猜算口令、缓冲区溢出等。

冒充：即伪装成另一用户或实体,通常与其它形式的威胁如重发联合使用。

重发：即重发以前曾发送过的数据。例如截获其它实体发送的有效报文再重发可达到冒充其它实体的目的。

报文修改：即对数据进行非法操作，增删插改。

逻辑炸弹：隐藏在合法程序中的有害程序，用于条件爆破。

蠕虫：侵蚀资源。

陷阱门或后门：给设计者事后进入系统的一种方式。

病毒攻击。

拒绝服务攻击：最常见攻击，如LAND、邮件炸弹等，现出现分布式攻击新模式。

（六）信息安全防护技术

用户的应用程序需要的主要安全服务包括鉴别、访问控制、数据机密性、数据完整性和抗抵赖性和可用性等。安全服务需要采用加密、数字签名、完整性检查等安全机制来实现

主要信息安全技术：

加密（常规加密体制：DES、IDEA等；公钥密码体制：RSA和PKI）；

数字签名；

访问控制：系统、网络不同层次；

鉴别交换：数据源鉴别与身份鉴别；

防火墙、漏洞扫描、入侵检测、响应与恢复；

防信息泄漏与电磁“加固”；

SOC、态势感知。

二、电子政务中的信息安全问题

电子政务类型主要分为以下几种：

面向内部——办公自动化。

面向社会管理和公共服务——公务电子化。

承载网络：国家电子政务内网（与其他网络物理隔离）；国家电子政务外网（与互联网逻辑隔离的政务公用网）；专用网（海关、税务）；基于互联网提供社会管理和公共服务。

（一）面向内部的电子政务系统

1.主要威胁：有组织的外部威胁和内部威胁（既熟悉内部业务流程又熟悉技术，对信息安全构成最大的威胁）。

2.保护重点：机密性、完整性和可用性，重点是机密性。

3.重点措施：

身份认证、授权管理、责任认定；

信息安全管理是关键；

风险评估、分级保护、态势感知、应急处理。

（二）面向社会管理和公共服务的电子政务

1.主要威胁：有组织的外部威胁和无组织的外部威胁。

2.保护重点：重点是可用性与完整性。

3.保护措施：

边界防护、防病毒、防攻击等；

身份认定、授权管理、责任认定；

主动防御、态势感知；

信息安全管理、风险评估、等级保护、应急处理、数据容灾备份。

三、CA及数字证书基本原理

（一）背景

网络世界：包括虚拟世界和数字化世界。

互联网的宗旨：无中心、无管理、无边界

实际需求：信息资源可信可控，应用的快速发展，信息资源的共享与交换的大量需求。

必须解决的问题：是谁？能做什么？做了什么？

（二）需要实现的安全功能

认证;授权;保密性;完整性;防抵赖.

（三）使用数字证书解决以上问题

（四）CA认证中心

CA称作认证中心，主要用途是为用户发放数字证书。

CA是具有权威性\信赖性及公正性的第三方机构,通过采用PKI公开密钥架构技术,专门提供网络身份认证的服务。

CA需获得国家相关部门（国家密码管理局\工信部）的审核批准方可提供服务。

（五）数字证书

数字证书(DigitalID)通俗叫“网络身份证”、“数字身份证”。

数字证书是由CA认证中心发放并经认证中心数字签名的一个可信的数字化文件；可以用来证明数字证书持有者的真实身份。

它包含公开密钥拥有者以及公开密钥相关信息的一种电子文件；由用户的公开钥与用户身份信息以及CA的签名信息所构成的实体，叫做公钥数字证书,简称数字证书。

1.数字证书的产生

审核申请资料后,提交生成证书申请;

CA系统生成一对公钥和私钥;

用户数字证书包含了用户身份的部分信息及用户所持有的公钥，同时利用CA本身的私钥为数字证书加上数字签名，使其不可伪造。

2.数字证书的基本结构

X.509V3国际标准:包括证书序列号、证书持有者名称、证书颁发者名称、证书有效期、公钥、证书颁发者的数字签名等。

部分标准的扩展项和专业扩展项：

部分标准的扩展项和专业扩展项：

密钥用法 KeyUsage

主体密钥标识符 SubjectKeyIdentifier

颁发机构密钥标识符 AuthorityKeyIdentifier

证书策略 CertificatePolicies

实体唯一标识 用户证书必须签发证书唯一标识扩展项。

政务个人唯一标识

个人身份证号码

GB/T20518-2006<信息安全技术公钥基础设施数字证书格式>中有标准定