安全认证与信息安全

字号：大中小

　　引子

　　几天前，我去银行办事。在等候服务的时候，听到身边两位老大妈在闲聊。一位胖老太抱怨现在银行人多排队，办一次事得等一个多小时。另一位瘦老太鼓动她去办理网上银行，说用了网银很多事情如缴费买基金炒股票就都可以坐在家里上网办理，不必跑银行了。胖老太就说听人讲网上银行不安全，坏人能从网上把账户的钱划走。瘦老太说，你领了证书就安全，而且一定要领移动证书，装在一个小钥匙里可以带着走的。有了它只有你自己才能动帐户里的钱，坏人是划不走钱的，保证安全没问题……

　　听了她们的闲聊深感欣慰。连普通市民都知道了利用数字证书保障网银的安全，说明CFCA（及其同行们）通过这几年在安全认证领域坚持工作，辛苦耕耘，安全意识深入人心，成效显著。

　　不过另一方面，若是把安全与数字证书完全画等号也是不对的，信息安全有着更多更广泛的内涵。我们不必苛求老大妈们，但我们作为保障信息安全的专业工作者，还是要站在一定的高度，对信息安全有更为全面地了解，才能更好地完成我们的使命。

　　本文试图从鸟瞰的角度，对信息安全的全貌以及与安全认证的关系作一简单介绍。

　　信息安全技术发展的历史

　　自从人类进入计算机和通信的信息时代，信息安全就始终陪伴着IT技术的发展而发展。信息安全技术经历了三个时代：数据安全时代、网络安全时代和交易安全时代。其主要的发展规律是：后一发展阶段是前一发展阶段的继续和扩充，前一发展阶段为后一发展阶段筑起了坚实的基础。

　　1．数据安全

　　多年以前，在网络还没有充分发展的时代，数据安全是IT系统的基本安全要求，最基础的安全构件是机密性、完整性和访问控制。数据安全采用军用型的保密安全策略，人员和数据必须划分为不同的等级。而数据安全的等级划分以授权的方式进行，这是属于一种由官方保证的体系。因为数据安全以机密性为主，所以其基础技术是密码技术。

　　2．网络安全

　　上世纪后期，网络蓬勃发展，网络安全成为开放网络时代的基本安全要求。其最基础的安全构件是保护、探测、报告与响应。网络安全以完整性为主，所采用的基本技术是防火墙、VPN加密隧道、IDS入侵检测/入侵防护、防病毒等，因此其基础是防护技术。网络是公共设施，一般不划分为等级，只有两种划分方式：采取了防护措施（以防火墙保护的秘密因特网协议路由器网siprnet）或没有采取防护措施（没有防火墙保护的非保密因特网协议路由器网niprnet）。

　　3．交易安全

　　随着互联网在各行各业被越来越广泛地应用起来，信息安全技术也发展到了第三阶段——交易安全时代。网络交易时代的最基本安全要求是交易的可信性，最基础的安全构件是：主体可信性，客体可信性，行为可信性。交易安全就是对交易过程提供可信性证明的过程，因此其基础是行为可信认证理论。

　　“交易安全”毫无疑问将是未来信息安全要考虑的主要内容。

　　在第三代安全技术的研究中，有两个技术是关键的，一个是代理技术，第二个是认证技术。在一个系统中，数据安全、网络安全、交易安全可能并存，但各自采取不同的安全策略。

　　信息安全的构架

　　信息安全的构架应该由三个维度组成。

　　第一个维度是安全区域的划分。

　　在信息安全保障系统将网络和信息系统，按照重要程度和涉密级别，划分为核心安全域、重要安全域、一般安全域等不同级别的安全区域，有针对性地提供安全保障，内容包括域内计算环境安全、域边界与互联安全、通信传输安全等方面。

　　第二个维度是信息安全的层次化结构，它包括了：

　　数据安全—针对数据存储和使用过程的安全控制，包括数据安全存储、数据备份和恢复等机制；应用安全—针对应用系统计算资源的安全控制，包括用户认证、授权和访问控制、应用数据加密、应用访问审计等机制；系统安全—在系统软件层面上的安全控制，包括系统配置管理、安全补丁管理、病毒检测和防治等机制；网络安全—在网络通信层面上的安全控制，包括网络隔离、网络访问控制、网络管理、网络监控、网络安全传输等机制；物理安全—包括信息资产所处的环境安全、设备和介质安全等机制。

　　第三个维度是信息安全的生命周期。

　　信息安全保障体系，是针对网络和信息系统生命周期的各阶段（系统设计、系统实现、运行维护等），全程提供安全控制，既包括了针对安全事件的事先预防保护机制，也包括了安全事件发生时的检测和响应机制，同时还包括了安全事件发生后的应急恢复措施，以达到安全保障的目标。这样，三维架构的信息安全保障是层次化、全方位、全时空的，可以有效地防止和抵御各类攻击和安全事件的发生。

安全认证与信息安全

　　图1信息安全保障体系结构

　　信息安全保障的具体措施

　　下列几项具体措施可以称之为信息安全的利器：

　　·防火墙。它在内部网络与不安全的外部网络之间设置障碍，阻止外界对内部资源的非法访问，防止内部对外部的不安全访问。主要技术有：包过滤技术，应用网关技术，代理服务技术。防火墙能够较为有效地防止黑客利用不安全的服务对内部网络的攻击，并且能够实现数据流的监控、过滤、记录和报告功能，较好地隔断内部网络与外部网络的连接。实践中常采用多极异构、双机热备的防火墙保护网络边界的安全；

　　·入侵检测系统（Intrusion Detection Syetem， IDS）。它通过收集和分析计算机网络或计算机系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。进行入侵检测的软件与硬件的组合便是IDS。严密部署网络入侵检测系统IDS以及病毒网关，能够有效对来自外部网络环境的网络蠕虫病毒和黑客攻击行为进行检测和响应；

　　·根据不同的网络通信介质环境，采用不同的加密设施和加密机制。如使用对称密码的加密机、使用公钥密码和对称密码的PKI/SSL安全传输等，有效地保护了通信传输安全；

　　·采用基于PKI的数字证书认证机制以及第三方权威的认证中心的服务，除了能够在交易发生时进行强身份认证外，还保证了交易信息的真实性、完整性、私密性和不可否认性；

　　·在信息系统中部署单机版或网络版的分布式杀毒系统，可以有效地遏制病毒危害；

　　·采用VPN（Virtual Private Network），即“虚拟专用网络”技术。VPN的核心就是利用公共网络建立虚拟私有网。它可以通过特殊的加密的通讯协议（如IPSec），在连接在Internet上的位于不同地方的两个或多个企业内部网之间建立一条专有的通讯线路，就好比是架设了一条专线一样，但是它并不需要真正的去铺设光缆之类的物理线路。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。

　　·信息系统使用可靠的物理安全保护设施（机房环境、基础设施、安全保卫、通信链路等）；

　　·一整套安全策略、安全管理制度、操作规范以及周到的安全组织、安全审计、安全监督

安全认证与信息安全

　　图2信息安全保障的措施

　　网络安全认证在信息安全中的地位

　　从上述信息安全保障体系架构中我们可以看到，网络安全认证只是这个庞大复杂架构中的一个环节。认证是为了保障安全，但认证并不等于安全。信息系统的安全必须全方位、全时空、多层次地加以保护，才能达到目的。

　　当然，我们也同时看到，安全认证在信息安全，特别是交易安全中占有极其重要的地位。因为在处理互联网的事务中最基本安全要求是交易的可信性，既包括交易主体的可信性，也包括交易客体（即交易内容）的可信性。所以我们在为众多网上业务系统设计安全方案时，总是把安全认证作为信息安全保障的主要措施，放在方案的首位。

　　还有一点需要指出，安全认证与其他安全措施相互之间也具有互补的性质。就像打防御战一样，第一道防线被攻破了，还有第二道、第三道防线顶着。在网上银行交易中，不法分子利用木马程序窃取了客户的口令、账号等个人信息，这等于攻破了第一道防线，但是网银系统如果采用了严格的数字证书认证机制，不法分子没有用户的数字证书，就无法进行转帐交易，还是达不到窃取用户存款的目的。