前言
今天是2022年8月27日，距离软考高级《系统架构设计师》考试还有71天。
加密与解密
密码学是研究加密方法，秘密通信的原理，以及破解方法，破译密码的一门科学。
加密和解密的过程大致如下：
首先，信息的发送方准备好要发送的信息的原始形式，叫做明文。然后对明文经过一系列的变换后形成信息的另一种不能直接体现明文含义的形式，叫做密文。明文转为密文的过程，叫做加密。加密时采用的一组规则或方法称为加密算法。接受者在收到米问候，再把密文还原成明文，已获得信、具体内容，这个过程叫做解密。解密也是需要运用一系列与加密算法对应的方法或者规则，叫做解密算法。在加密和解密的过程中，由通信双方掌握的参数信控制具体的加密和解密的过程，这个参数叫做秘钥。秘钥分为加密秘钥和解密秘钥，分别用于加密和解密过程。
加密和解密的过程中，如果采用的加密和解密秘钥相同，或者很容易从一个计算到另一个，则这种方法叫做对称秘钥密码体质，也叫作单钥密码体制。 反之，如果加密和解密的秘钥并不相同，或者很难从一个计算得到另一个，就叫做不对称秘钥密码系统或者公开密钥密码体制，也叫作双密钥体制。
对称密钥密码体制与典型算法
DES
DES 算法的过程，简单来说，就是把要加密的明文分成64位的数据段作为输入，再根据64位秘钥变化生成52个子密钥，对输入的数据段依次进行初始置换、16轮迭代、逆初始置换，然后得到64位密文。
DES 的解密过程，几乎相同，只是使用的子密钥的顺序刚好相反。
IDEA算法
IDEA 和DES也是接近的。但是所用的密钥长度为128位。破解时间大大增加。
不对称加密算法
与对称加密算法不同，不对称加密技术在对信息进行加密和解密时，需要分别采用2个不同的秘钥，因此也称为双秘钥加密算法。
在运算过程中，先产生一对秘钥，其中之一是保密密钥，有自己保存，不能对外界泄露，简称私钥； 另一个为公钥，可对外公开。
只有使用私钥才能解密用公钥加密的数据，同时使用私钥加密的数据智能用公钥解密。在通信过程中，如果发送者想要想接收者发送保密信息，需要先用接收方的公开密钥进行加密，然后发送给接收者，接收方通过其私钥能够顺利解密。而其他人收到加密的密文，也无法正确解读，从而达到保密通信的目的。
RSA 密码体制
RSA 的安全性依赖于大数的分解，其原理涉及到数论的知识，不详细展开。
不仅可以用于数字加密，且可以用于数字签名。
数字签名与数字信封
数字签名
网络中发送的重要文件、数据和信息等。无论是发送方、接收方还是第三方，都不应该对其进行修改。
为了实现这个目标，就离不开数字签名技术。
数字签名主要由2个部分组成：
- 签名算法
- 验证算法
数字签名的大致过程：
信息发送方利用自己的私钥进行签名，发送方把这个签名和信息一起发送给接收方。接收方收到信息后利用发送方的公钥来对其中的数字签名进行验证，确认其合法性。
RSA 结合 MD5 数字签名
RSA 结合 MD5 数字签名的主要过程是：
信息的发送方通过对信息进行散列运算生成一个消息摘要，接着发送方用自己的私钥对这个消息摘要进行加密，就形成发送方的数字签名。
然后，把这个数字签名作为信息的附件和信息一起发送给信息的接收方。接收方收到信息后，首先对收到的信息进行与发送者相同的散列运算得到一个消息摘要，接着再用发送方的公钥来对信息中附加的数字签名进行解密得到发送方计算出的散列码。如果两个散列码相同，那么接收方就能确认该信息和数字签名是由发送方发出的。通过数字签名能够实现对原始信息完整性的鉴别和发送方发送信息的不可抵赖性.
数字信封
数字信封是公钥密码体制在实际中的一个应用，是用加密技术来保证只有规定的特定收信人才能阅读通信的内容。在数字信封中，信息发送方采用对称密钥来加密信息内容，然后将此对称密钥用接收方的公开密钥来加密（这部分称数字信封），之后，将它和加密后的信息一起发送给接收方，接收方先用相应的私有密钥打开数字信封，得到对称密钥，然后使用对称密钥解开加密信息。这种技术的安全性相当高。
安全协议
IPSec
为了确保在 IP 网络上进行安全保密的通信，IETF 制定了一套开放标准的网络安全协议IPSec（IP Security）。该协议把密码技术应用在网络层，以向信息的发送方和接收方提供源地址验证、数据传输的完整性、存取控制、保密性等安全服务，保护通信免遭窃听、抵御网络攻击，而且更高层的应用层协议也可以直接或间接地使用这些安全服务，为其上层协议如TCP、UDP 等提供透明的安全保护服务，在 Internet 这样不安全的网络中为通信提供安全保证。
IPSec 协议的基本工作原理是：发送方在发送数据前对数据实施加密，然后把密文数据发送到网络中去，开始传输。在整个传输过程中，数据都是以密文方式传输的，直到数据到达目的节点，才由接收方对密文进行解密，提取明文信息。IPSec 协议不是一个单独的协议，它包括应用于 IP 层上网络数据安全的一整套协议，主要包括 AH（Authentication Header，IP 认证头部协议）、ESP（Encapsulating Security Payload，封装安全负载协议）、IKE（Internet Key Exchange，Internet 密钥交换协议）和用于网络认证及加密的一些算法等。
AH 提供数据的完整性和认证，但不包括保密性；而 ESP 原则上只提供保密性，但也可在 ESP Header 中选择适当的算法及模式来实现数据的完整性和认证。AH 和 ESP 可分开使用也可一起使用。IKE 则提供加密算法、密钥等的协商。
SSL
SSL 是用于安全传输数据的一种通信协议。它采用公钥加密技术、对称密钥加密技术等保护两个应用之间的信息传输的机密性和完整性。但是，SSL 也有一个不足，就是它本身不能保证传输信息的不可否认性。
SSL 协议包括服务器认证、客户认证、SSL 链路上的数据完整性、SSL 链路上的数据保密性等几个方面，通过在浏览器和 Web 服务器之间建立一条安全的通道来保证 Internet数据传递的安全性。目前，利用公钥加密的 SSL 技术，已经成为 Internet 上进行保密通信的工业标准。SSL 协议常常用于增强 Web 服务的安全性。
PGP
PGP（Pretty Good Privacy）是美国人 PhilZimmermann 于 1995 年提出的一套电子邮件加密方案。它可以用来对邮件加密以防止非授权者阅读，还能对邮件加上数字签名而使收信人可以确认邮件确实是由发送方发出的。
PGP 并不是新的加密算法或协议，它综合采用了多种加密算法，例如，对邮件内容加密采用 IDEA 算法、对于加密信息采用 RSA 公钥加密算法，还采用了用于数字签名的消息摘要算法，加密前进行压缩处理等技术手段进行邮件加密的一套软件。通过组合使用这些加密方法，把 RSA 公钥加密体系的良好加密效果和对称密钥加密体系的高速度结合起来，并且通过在数字签名和密钥认证管理机制中的巧妙设计，使得 PGP 成为一个优秀的强有力的数据加密程序。
由于 PGP 功能强大、处理迅速、使用简便，而且它的源代码是免费的，因此，PGP 在IT 等多个行业得到了广泛的应用，迅速普及。如今，PGP 除了用于通常的电子邮件加密，还可以用来加密重要文件，用 PGP 代替 UUencode 生成 RADIX64 格式（就是 MIME 的BASE64 格式）的编码文件，以保证它们在网络上的安全传输，或为文件做数字签名，以防止篡改和伪造。
计算机病毒与防治
计算机病毒概述
1．计算机病毒的特征
计算机病毒多种多样，但是它们都具有共同的特征，即传染性、非授权性、潜伏性和破坏性。
2．计算机病毒的分类
计算机病毒按不同的分类标准，有许多不同分类：
按照操作系统分，可分为攻击 DOS 系统的病毒、攻击 Windows 系统的病毒、攻击Unix/Linux 系统的病毒、攻击OS/2 系统的病毒、攻击 Macintosh 系统的病毒、攻击手机的病毒、其他操作系统上的病毒。
按照链接方式分，计算机病毒可分为源码型病毒、嵌入型病毒、Shell 病毒、宏病毒、脚本型病毒、操作系统型病毒。
按照破坏情况分，计算机病毒可分为良性病毒和恶性病毒。
按传播媒介来分，计算机病毒可分为单机病毒和网络病毒。
3．计算机病毒的组成
病毒程序一般由传染模块、触发模块、破坏模块和主控模块组成，相应地完成病毒的传染、触发和破坏等任务。也有少数病毒不具备所有的模块。
计算机病毒的检测与清除
计算机病毒的检测
1．特征码检测 2．校验和检测 3．行为监测 4．启发式扫描 5．虚拟机
病毒的清除
将病毒代码从宿主中去除，使之恢复为可正常运行的系统或程序，称为病毒清除。大多数情况下，采用反病毒软件或采用手工处理方式可以恢复受感染的文件或系统。不是所有染毒文件都可以消毒，也不是所有染毒的宿主都能够被有效恢复。依据病毒的种类及其破坏行为的不同，感染病毒后，如果宿主数据没有被删除，常常可以恢复；如果宿主数据被病毒删除或覆盖、或者宿主数据的逻辑关系被病毒破坏，常常不能恢复。
身份认证与访问控制
访问控制是通过某种途径限制和允许对资源的访问能力及范围的一种方法。它是针对越权使用系统资源的保护措施，通过限制对文件等资源的访问，防止非法用户的侵入或者合法用户的不当操作造成的破坏，从而保证信息系统资源的合法使用。
访问控制技术可以通过对计算机系统的控制，自动、有效地防止对系统资源进行非法访问或者不当地使用，检测出一部分安全侵害，同时可以支持应用和数据的安全需求。
访问控制技术并不能取代身份认证，它是建立在身份认证的基础之上的。访问控制技术包括如下几方面的内容：
（1）用户标识与认证。 （2）逻辑访问控制。 （3）审计与跟踪。 （4）公共访问控制。
身份认证技术
口令认证方式
每个用户有一个唯一的系统标识，并且保证口令在系统的使用和存储过程中是安全的，同时口令在传输过程中不能被窃取、替换。
特别注意的是，在认证前，用户必须确认认证者的真实身份，以防止把口令发给冒充的认证者。
认证的过程：
- 请求认证者和认证者之间建立安全的连接、并且确认认证者身份等；
- 请求认证者想认证者发送认证请求，认证请求中必须包含请求认证者的ID和口令。
- 认证者接受ID和口令，在用户数据库中找出请求认证的ID和口令；
- 查找是否有此用户并比较口令是否相同；
- 最后向请求认证者发回认证结果。
PS：这不就是web中的账号密码登录，换取token的过程吗？
基于公钥签名的认证方式
通过请求认证者与认证者之间对于一个随机数做数字签名与验证数字签名来实现的。
这种认证方式中，认证双方的个人秘密信息不用在网上传输，从而减少了口令等秘密信息泄漏的风险。
数字签名认证在每一次请求和响应中进行，即接收信息的一方先从接收到的信息中验证发送者的身份，通过后才处理信息。
要求：
- 请求认证者必须有撕咬实现数字签名的功能；
- 认证者必须具有弓腰验证数字签名的功能；
- 认证者必须具有产生随机数的功能，而且随机数的质量必须达到一定要求。
持卡认证方式
最早采用磁卡，不仅保存数据，而且还存储用户的身份信息。
例如校园卡，银行卡等。
基于人体生物特征的认证方式
特点：
- 不会丢失
- 防伪性好
- 随时随地可用
主要生物特征包括：
- 指纹
- 笔记
- 人脸
- 红外温
- 视网膜
- 手形
- 掌纹
动态口令技术
一般来说，计算机口令都是静态的，很容易被劫持，而且很容易收到基于字典的暴力攻击。
动态口令密码和2个因子相关：
- 用户的私钥，代表用户的身份的识别码
- 变动因子，用来产生动态的随机一次性口令
PPP中的认证协议
RADIUS协议
网络安全体系
ISO 的OSI/RM是著名的网络架构模型，但是OSI/RM并没有在安全方面做专门的设计，因此该模型本身的安全性是非常弱的。
于是ISO提出了OSI安全架构
OSI 安全架构
OSI 安全架构是一个面向对象的、多层次的结构，它认为安全的网络应用师由安全的服务实现的，而安全的服务又是由安全的机制来实现的。
OSI 安全服务
针对网络的系统的技术环境，OSI 安全架构中对网络安全提出了5类安全服务，即：
- 对象认证服务
- 访问控制服务
- 数据保密服务
- 数据完整性服务
- 禁止否认服务
OSI 安全机制
- 加密机制
- 数字签名机制
- 访问控制机制
- 数据完整性机制
- 鉴别交换机制
- 流量填充机制
- 路由验证机制
- 公正机制
VPN在网络安全中的应用
虚拟专用网络 是指利用不安全的公共网络如Internet等作为传输媒介，通过一系列的安全技术处理，是心啊类似专用网络的安全性能，保证重要信息的安全传输的一种网络技术。
优点
- 网络通信安全
- 方便的扩展性
- 方便的管理
- 节约成本显著
VPN的原理
- 安全隧道技术
- 用户认证技术
- 访问控制技术
系统的安全性设计
物理安全问题与设计
物理安全包括：设备本身是否可考，设备的位置与环境安全。重要设备应该放在专门区域，并限制外来人员来访，减少未经授权的访问。
防火墙及其在系统安全中的作用
网络安全隐患主要是由网络的开放性、无边界性、自由性等造成的。所以保护网络安全可以首先把被保护的对象从开放的、无边界的、自由的公共网络中独立出来，使之成为有管理的、可控制的、安全的内部网络。
目前基本的网络隔离手段就是防火墙，也是用来实现网络安全的一种重要的措施。
防火墙通常使用 包过滤、状态检测、应用网关等几种方式控制网络连接。
防火墙的优点：
- 可以隔离网络，限制安全问题的扩散
- 通过防火墙对网络中的安全进行集中化管理，简化网络安全管理的复杂度。
- 能有效记录Internet上的活动。
使用防火墙注意：
- 可以防范外部网络的非法连接，但是对来自本地网络的内部攻击无从防范。
- 即使对于来自外部的攻击，目前的任何防火墙也不能做到完全阻挡所有的非法入侵。
- 防火墙不能防范病毒，无法抵抗基于数据的攻击。
- 防火墙不能防范全部的威胁，只能防备已知的威胁。
- 防火墙不能防范不通过它的连接。
入侵检测系统
入侵检测系统可以在系统发生一些不正常的操作时发出警报，防患于未然。
设置硬件防火墙，可以提高网络的通过能力并阻挡一般性攻击； 而采用入侵检测系统，则可以对越过防火墙的攻击行为及来自网络内部的违规操作进行监测和相应。
其主要分为4个阶段：
- 数据采集阶段
- 数据处理及过滤阶段
- 入侵分析及检测阶段
- 报告及响应阶段
安全性规章
安全管理制度
据统计，危害信息系统安全的因素中，70%以上来自组织内部。所以建立定期的安全检查、口令管理、人员管理、策略管理、备份管理、日志管理等一些列的安全规章制度，并认证贯彻执行，对于维护信息系统的安全来说非常重要。
安全制度应该主要包括以下内容：
- 机房安全管理制度
- 人员管理制度，包括管理人员、设计人员、操作人员、人事变更等。
- 软件管理制度
- 数据管理制度
- 密码口令管理制度
- 病毒防治管理制度
- 用户登记和信息管理制度
- 工作记录制度
- 数据备份制度
- 审计制度
- 安全培训制度
计算机犯罪和相关法规
计算机犯罪
是指针对和利用计算机系统，通过非法操作以及其他手段，对计算机系统的完整性或正常运行造成危害的行为。
计算机犯罪的对象是计算机系统或其中的数据，包括计算机设备、系统程序、文本资料、运算数据、图形表格等。
所谓非法操作，是指没有按照操作规范或是超越授权范围而对计算机系统进行的操作。非法操作是对计算机系统造成损害的直接原因。
我国相关法律法规
刑法 第二百八十五条（非法侵入计算机系统罪）违反国家规定，侵入国际事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或拘役。
刑法 第二百八十六条（破坏计算机信息系统罪）违反国家规定，对计算机信息系统进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处5年以下有期徒刑或者拘役；后果特别严重的，处5年以上有期徒刑。违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款处置。
刑法 第二百八十七条（利用计算机实施的各种犯罪）利用计算机实施金融诈骗、盗窃、贪污、挪用公款、窃取国家秘密或者其他犯罪的，依照本法有关规定定罪处罚。
