密码学与网络信息安全

密码学与网络信息安全

【论文摘要】本文以优化中小企业信息化管理为思想，以系统开发为宗旨从系统企业的需求到信息化需要系统的支撑，然后设计出进销存管理系统，最后实现进销存管理系统的整个过程。关键词:信息化进销存优化管理。

【关键词】密码学 信息安全 网络

【Abstract】 In this paper, optimization of information management for SMEs as a thinking, systems development for the purpose of the needs of enterprises from the system to the information needs of system support, and then design inventory management systems, inventory management system to achieve the final the entire process. Keywords: Optimal Management Invoicing information.

【Key words 】information security, cryptography, network

密码学是研究编制密码和破译密码的技术科学。研究密码变化的客观规律，应用于编制密码以保守通信秘密的，称为编码学；应用于破译密码以获取通信情报的，称为破译学，总称密码学。

密码是通信双方按约定的法则进行信息特殊变换的一种重要保密手段。依照这些法则，变明文为密文，称为加密变换；变密文为明文，称为脱密变换。密码在早期仅对文字或数码进行加、脱密变换，随着通信技术的发展，对语音、图像、数据等都可实施加、脱密变换。

密码学是在编码与破译的斗争实践中逐步发展起来的，并随着先进科学技术的应用，已成为一门综合性的尖端技术科学。它与语言学、数学、电子学、声学、信息论、计算机科学等有着广泛而密切的联系。它的现实研究成果，特别是各国政府现用的密码编制及破译手段都具有高度的机密性。

网络安全，这是个百说不厌的话题。因为在互联网上，每台计算机都存在或多或少的安全间题。安全问题不被重视，必然会导致严重后果。诸如系统被破坏、数据丢失、机密被盗和直接、间接的经济损失等。这都是不容忽视的问题。既然说到网络安全，我们经常提到要使用防火墙、杀毒软件等等。这些的确很重要，但是人们往往忽视了最重要的，那就是思想意识。

密码学的新方向

一般来讲，信息安全主要包括系统安全及数据安全两方面的内容。系统安全一般采用防火墙、病毒查杀、防范等被动措施；而数据安全则主要是指采用现代密码技术对数据进行主动保护，如数据保密、数据完整性、数据不可否认与抵赖、双向身份认证等。密码技术是保障信息安全的核心技术。密码技术在古代就已经得到应用，但仅限于外交和军事等重要领域。随着现代计算机技术的飞速发展，密码技术正在不断向更多其他领域渗透。它是集数学、计算机科学、电子与通信等诸多学科于一身的交叉学科。密码技术不仅能够保证机密性信息的加密,而且

完成数字签名、身份验证、系统安全等功能。所以，使用密码技术不仅可以保证信息的机密性，而且可以保证信息的完整性和确证性，防止信息被篡改、伪造和假冒。

密码学(Cryptography)包括密码编码学和密码分析学。密码体制设计是密码编码学的主要内容，密码体制的破译是密码分析学的主要内容，密码编码技术和密码分析技术是相互依相互支持、密不可分的两个方面。密码体制有对称密钥密码体制和非对称密钥密码体制。对称密钥密码体制要求加密解密双方拥有相同的密钥。而非对称密钥密码体制是加密解密双方拥有不相同的密钥，在不知道陷门信息的情况下，加密密钥和解密密钥是不能相互算出的。然而密码学不仅仅只包含编码与破译，而且包括安全管理、安全协议设计、散列函数等内容。不仅如此，密码学的进一步发展，涌现了大量的新技术和新概念，如零知识证明技术、盲签名、量子密码技术、混沌密码等。密码学还有许许多多这样的问题。当前,密码学发展面临着挑战和机遇。计算机网络通信技术的发展和信息时代的到来，给密码学提供了前所未有的发展机遇。在密码理论、密码技术、密码保障、密码管理等方面进行创造性思维，去开辟密码学发展的新纪元才是我们的追求。

对称密钥密码体制中,加密运算与解密运算使用同样的密钥。这种体制所使用的加密算法比较简单，而且高效快速、密钥简短、破译困难，但是存在着密钥传送和保管的问题。例如：甲方与乙方通讯，用同一个密钥加密与解密。首先，将密钥分发出去是一个难题，在不安全的网络上分发密钥显然是不合适的；另外，如果甲方和乙方之间任何一人将密钥泄露，那么大家都要重新启用新的密钥。通常,使用的加密算法 比较简便高效,密钥简短,破译极其困难。但是,在公开的计算机网络上安全地传送和保管密钥是一个严峻的问题。1976年,Diffie和Hellman为解决密钥管理问题,在他们的奠基性的工作

但只要其服务器认为该实体的CA(即认证中心Certification Authority的缩写)是可靠的，就可以进行安全通信，而这正是Web商务这样的业务所要求的。例如使用信用卡购物，服务方对自己的资源可根据客户 CA的发行机构的可靠程度来授权。目前国内外尚没有可以被广泛信赖的CA，而由外国公司充当CA在我国是非常危险的。公开密钥密码体制较秘密密钥密码体制处理速度慢，因此，通常把这两种技术结合起来能实现最佳性能。即用公开密钥密码技术在通信双方之间传送秘密密钥，而用秘密密钥来对实际传输的数据加密解密。

在实际应用中不仅需要算法本身在数学证明上是安全的，同时也需要算法在实际应用中也是安全的。因此，在密码分析和攻击手段不断进步，计算机运算速度不断提高以及密码应用需求不断增长的情况下，迫切需要发展密码理论和创新密码算法，在最近研究中，对密码学的发展提出了更多的新技术与新的研究方向． 人类的主观能动性是很厉害的，可以认识世界、改造世界，正确发挥人的主观能动性可以提高认知能力。但是人类本身固有的惰性也是十分严重的，喜欢墨守成规、图省事。就是这点惰性给我的网络带来了安全隐患。据不完全统计，每年因网络安全问题而造成的损失超过300亿美元，其中绝大多数是因为内部人员的疏忽所至。所以，思想意识问题应放在网络安全的首要位置。

一、密码

看到这里也许会有读者以为我大放网词，那就先以我自己的一个例子来说起吧。本人也很懒，但是也比较注意安全性，所以能设置密码的地方都设置了密码，但是密码全是一样的。从E-mail信箱到用户Administrator，统一都使用了一个8位密码。我当初想:8位密码，怎么可能说破就破，固若金汤。所以从来不改。用了几年，没有任何问题，洋洋自得，自以为安全性一流。恰恰在你最得意的时候，该抽你嘴巴的人就出现了。我的一个同事竟然用最低级也是最有效的穷举法吧我的8位密码给破了。还好都比较熟，否则公司数据丢失，我就要卷着被子回家了。事后我问他，怎么破解的我的密码，答曰:只因为每次看我敲密码时手的动作完全相同，于是便知道我的密码都是一样的，而且从不改变。这件事情被我引以为戒，以后密码分开设置，采用10位密码，并且半年一更换。现在还心存余悸呢。我从中得出的教训是，密码安全要放在网络安全的第一位。因为密码就是钥匙，如果别人有了你家的钥匙，就可以堂而皇之的进你家偷东西，并且左邻右舍不会怀疑什么。我的建议，对于重要用户，诸如:Root,Administratoi的密码要求最少要8位，并且应该有英文字母大小写以及数字和其他符号。千万不要嫌麻烦，密码被破后更麻烦。为什么要使用8位密码呢，Unix一共是0x00至Oxff共128个字符。小于0x20的都算是控制符，不能输人为口令，Ox7f为转义符，不能输人。那么总共有128-32-1=95个字符可作为口令的字符。也就是10(数字)+33(标点符号)+26*2(大小写字母)=95个。如果口令取任意5个字母+1位数字或符号(按顺序)，可能性是:52*52*52*52*52*43=16,348,773,000(即163亿种可能性)。但如果5个字母是一个常用词，估算一个，设常用词500条，从5000个常用词中取一个词与任意一个字符组合成口令，因一个字母都分为大小写，所以其可能性为:5000*[1**********]3=6,880,000(即688万种可能性)o但实际上绝大多数人都只用小写字母，所以可能性还要小。这已经可以用微机进行穷举了，在Pentium200上每秒可算3.4万次，像这样简单的口令要不了3分钟。如果用P4算上一周，可进行3000亿次演算。所以6位口令很不可靠，应用8位。

密码设的越难以穷举，并不是带来更加良好的安全性。相反带来的是更加难以记忆，甚至在最初更改的几天因为输人缓慢而被别人记住，或者自己忘记。这都是非常糟糕的，但是密码难于穷举是保证安全性的前提。矛盾着的双方时可以互相转化的，所以如何使系统密码既难以穷举又容易记忆呢，这就是门科学了。目前这方面的书籍几乎没有，所以我只能凭借自我经验来向大家介绍了。

1、采用10位以上密码。

对于一般情况下，8位密码是足够了，如一般的网络社区的密码、E-mail的密码。但是对于系统管理的密码，尤其是超级用户的密码最好要在10位以上，12位最佳。首先，8位密码居多，一般穷举工作的起始字典都使用6位字典或8位字典，10位或12位的字典不予考虑。其次，一个全码8位字典需要占去4G左右空间，10位或12位的全码字典更是天文数字，要是用一般台式机破解可能要到下个千年了，运用中型机破解还有有点希望的。再次，哪怕是一个12个字母的英文单词，也足以让黑客望而却步。

2、使用不规则密码。

对于有规律的密码，如:alb2c3d4e5f6，尽管是12位的，但是也是非常好破解的。因为现在这种密码很流行，字典更是多的满天飞，使用这种密码等于自杀。

3、使用键盘外围的按健作为密码的组成部分。

现在的许多破解软件都支持Incremental(渐进)方式的密码组合进行穷举，其核心内容就是引人频率统计信息，即”高频先试”的原则。所以，对于键盘外围的按键都属于”低频使用”的按键。运用这些按键组成密码可以防止支持渐进式组合穷举的破解软件。

4、使用左右上下按键结合输人的密码。

把键盘从

5,不要选取显而易见的信息作为口令。

单词、生日、纪念日、名字都不要作为密码的内容。以上就是密码设置的基本注意事项。密码设置好了，并不代表万事大吉，密码的正确使用和保存才是关键。

1、要熟练输入密码，保证密码输人的速度要快。输人的很慢等于给别人看，还是熟练点好。2、不要将密码写下来。密码应当记在脑子里，千万别写出来。3、不要将密码存人计算机的文件中。4、不要让别人知道。5、不要在不同系统上使用同一密码。6、在输人密码时最好保证没有任何人和监视系统的窥视。7、定期改变密码，最少半年一次。这点尤为重要，是密码安全问题的关键。永远不要对自己的密码过于自信，也许无意中就泄漏了密码。定期改变密码，会使密码被破解的可能性降到很低的程度。8、对于大M网络的系统管理员，应该定期使用密码破解软件来检测全体用户密码的安全性。但要注意这些软件是否留有后门。对于有些用户来说，这样做的确有点太那个了;但是对于管理员来说，就显得尤为

重要。有些用户采用诸如PGP(Pretyt Good Privacy，良好隐私)这类的软件来生成密码。这是个很好的方法，但是PGP的真正用途是用于对机密性文件的加密。一般密匙都在1024位，如著名的BSA公匙。对于一般密码生成，PGP不是最好的，它并不适合你自己。管理员应该保证Root用户、Administrators用户组、PowerUsers用户组、SuperUsers用户组以及Repilcator用户组密码的安全性要高，防止低权限的用户的密码被窃取影响到高权限用户的安全性及整个系统的安全性。不要用Root及其他高权限用户去察看其他用户的文件，以免造成安全隐患。管理员要定期给员工进行安全知识培训，增强员工的安全意识。一旦发现高权限用户无法登陆，察看系统日志，必要时刻将主机断开所有网络以保证主机系统及重要文件的安全性。

6、多方密钥协商问题

当前已有的密钥协商协议包括双方密钥协商协议、双方非交互式的静态密钥协商协议、双方一轮密钥协商协议、双方可验证身份的密钥协商协议以及三方相对应类型的协议。如何设计多方密钥协商协议？存在多元线性函数(双线性对的推广)吗？如果存在，我们能够构造基于多元线性函数的一轮多方密钥协商协议。而且，这种函数如果存在的话，一定会有更多的密码学应用。然而，直到现在，在密码学中，这个问题还远远没有得到解决。

7、可证安全性密码学

对于公钥加密和数字签名等方案，我们建立相应的安全模型。在相应的安全模型，定义各种所需的安全特性。对于模型的安全性，目前可用的最好的证明方法是随机预言模型ROM(Random Oracle Model)。这是由Bellare和Rogaway于1993年提出的，它是一种非标准化的计算模型。在这个模型中，任何具体的对象例如哈希函数，都被当作随机对象。它允许人们规约参数到相应的计算，哈希函数被作为一个预言返回值，对每一个新的查询，将得到一个随机的应答。规约使用一个对手作为一个程序的子例程，但是，这个子例程又和数学假设相矛盾，例如RSA是单向算法的假设。概率理论和技术在随机预言模型中被广泛使用。 密码学还有许许多多这样的问题。当前,密码学发展面临着挑战和机遇。计算机网络通信技术的发展和信息时代的到来，给密码学提供了前所未有的发展机遇。在密码理论、密码技术、密码保障、密码管理等方面进行创造性思维，去开辟密码学发展的新纪元才是我们的追求。

参考文献：

[1]信息技术研究中心.网络信息安全新技术与标准规范实用手册[M].第1版.北京:电子信息出版社.2004

[2]周学广、刘艺.信息安全学[M].第1版.北京:机械工业出版社.2003

[3]陈月波.网络信息安全[M].第1版.武汉:武汉工业大学出版社.2005

[4]宁蒙.网络信息安全与防范技术[M].第1版.南京:东南大学出版社.2005