对计算机网络安全策略及安全技术的若干思考(2)

        2.1 网络加密技术 网络信息加密的目的是保护网内的数据、文件、口令和控制信息，保护网上传输的数据。网络加密常用的方法有链路加密，端点加密和节点加密三种。链路加密的目的是保护网络节点之间的链路信息安全；端点加密的目的是对源端用户到目的端用户的数据提供加密保护；节点加密的目的是对源节点到目的节点之间的传输链路提供加密保护。用户可根据网络情况选择上述三种加密方式。         信息加密过程是由形形色色的加密算法来具体实施的，它以很小的代价提供很牢靠的安全保护。在多数情况下，信息加密是保证信息机密性的唯一方法。据不完全统计，到目前为止，已经公开发表的各种加密算法多达数百种。如果按照收发双方的密钥是否相同来分类，可以将这些加密算法分为常规密码算法和公钥密码算法。
        在实际应用中，人们通常将常规密码和公钥密码结合在一起使用，比如：利用DES或者IDEA来加密信息，而采用RSA来传递会话密钥。如果按照每次加密所处理的比特来分类，可以将加密算法分为序列密码算法和分组密码算法，前者每次只加密一个比特而后者则先将信息序列分组，每次处理一个组。
        网络加密技术是网络安全最有效的技术之一。一个加密网络，不但可以防止非授权用户的搭线窃听和入网，而且也是对付恶意软件（或病毒）的有效方法之一。
        2.2 防火墙技术 防火墙（Firewall）是用一个或一组网络设备（计算机系统或路由器等），在两个或多个网络间加强访问控制，以保护一个网络不受来自另一个网络攻击的安全技术。防火墙的组成可以表示为：防火墙=过滤器+安全策略（+网关），它是一种非常有效的网络安全技术。在Internet上，通过它来隔离风险区域（即Internet或有一定风险的网络）与安全区域（内部网，如Intranet）的连接，但不防碍人们对风险区域的访问。防火墙可以监控进出网络的通信数据，从而完成仅让安全、核准的信息进入，同时又抵制对企业构成威胁的数据进入的任务。
        2.3 网络地址转换技术（NAT） 网络地址转换器也称为地址共享器（Address Sharer）或地址映射器，设计它的初衷是为了解决IP地址不足，现多用于网络安全。内部主机向外部主机连接时，使用同一个IP地址；相反地，外部主机要向内部主机连接时，必须通过网关映射到内部主机上。它使外部网络看不到内部网络，从而隐藏内部网络，达到保密作用，使系统的安全性提高，并且节约从ISP得到的外部IP地址。
        2.4 操作系统安全内核技术 除了在传统网络安全技术上着手，人们开始在操作系统的层次上考虑网络安全性，尝试把系统内核中可能引起安全性问题的部分从内核中剔除出去，从而使系统更安全。操作系统平台的安全措施包括：采用安全性较高的操作系统；对操作系统的安全配置；利用安全扫描系统检查操作系统的漏洞等。
        美国国防部（DOD）技术标准把操作系统的安全等级分成了D1、C1、C2、B1、B2、B3、A级，其安全等级由低到高。目前主要的操作系统的安全等级都是C2级（例如，Unix、Windows NT），其特征包括：①用户必须通过用户注册名和口令让系统识别；②系统可以根据用户注册名决定用户访问资源的权限；③系统可以对系统中发生的每一件事进行审核和记录；④可以创建其他具有系统管理权限的用户。
        2.5 身份验证技术 身份验证（Identification）是用户向系统出示自己身份证明的过程。身份认证是系统查核用户身份证明的过程。这两个过程是判明和确认通信双方真实身份的两个重要环节，人们常把这两项工作统称为身份验证（或身份鉴别）。