网络中的数据加密可分为两个途径，一种是通过硬件实现数据加密，一种是通过软件实现数据加密。通过硬件实现网络数据加密有3种方式：链路加密、节点加密和端一端加密；软件数据加密就是指使用前述的加密算法进行加密。
（1）链路加密 链路加密（Link Encryption）是指传输数据仅在数据链路层上进行加密。如图所示。
P节点1节点2节点3节点nPECL1DECL2DECLn-1D
链路加密
（2）节点加密 节点加密的目的是对源节点到目的节点之间的传输链路提供加密保护。节点加密指每对节点共用一个密钥，对相邻两节点间（包括节点本身）传送的数据进行加密保护。
（3）端—端加密 端点加密的目的是对源端用户到目的端用户的数据提供加密保护。端—端加密（又称脱线加密或包加密）要求传送的数据从源端到目的端一直保持密文状态，数据在发送端被加密，在接收端解密，中间节点处不以明文的形式出现。
11
12、通信加密方式的比较和选择
① 链路加密的特点：加密方式比较简单，实现也较容易；可防止报文流量分析的攻击；一个链路被攻破，不影响其他链路上的信息；一个中间节点被攻破时，通过该节点的所有信息将被泄露；加密和维护费用大，用户费用很难合理分配；链路加密只能认证节点，而不面向用户，因此链路加密不能提供用户鉴别。
② 端-端加密的特点：可提供灵活的保密手段，例如主机到主机、主机到终端、主机到进程的保护；加密费用低，并能准确分配；加密在网络应用层实现，可提高网络加密功能的灵活性；加密可使用软件实现，使用起来很方便；不能防止信息流量分析攻击； ③ 加密方式的选择：从以上两种加密方式可知，链路加密对用户系统比较容易，使用的密钥较少，而端-端加密比较灵活。因此，用户在选择通信方式时可作如下考虑：在需要保护的链路数少，且要求实时通信，不支持端-端加密的远程调用等通信场合，宜采用端-端加密方式；在多个网络互联的环境中，宜采用端-端加密方式；在需要抵御信息系统流量分析场合，可采用链路加密和端-端加密相结合的加密方式。
12
总而言之，与链路加密方式相比，端-端加密具有成本低、保密性强、灵活性好等优点，因此应用更为广泛。 访问控制
访问控制的概念及含义
访问控制是在身份认证的基础上，根据用户身份对得出的资源访问请求加以控制，是针对越权使用资源的现象进行防御的措施。访问控制具体包括两个方面含义：
1）指用户的身份验证即对用户进入系统的控制，最简单常用的方法是用户帐号与口令验证；
2）用户进入系统后根据用户的身份对其访问资源的行为加以限制，最常用的方法是访问权限和资源属性限制。 4、访问控制系统中的3个要素
⑴主体是指发出资源访问操作请求的主动方，是动作的发起者。 ⑵客体是接受其他实体访问的被动方，是在访问中必须进行控制的资源。
⑶访问策略就是一套访问的规则，用以确定一个主体是否对客体拥有访问的能力。它决定了主体与客体之间交互作用可行的操作。 5、访问控制的类型
13
访问控制以其不同的实现方法可以分为自主访问控制、强制访问控制、基于角色的访问控制、基于任务的访问控制和基于对象的访问控制等。
⑴自主访问控制DAC（Discretionary Access Control） 自主访问控制是一种最为普遍的访问控制手段，是指在系统允许经过身份验证和授权之后，有访问许可的主体能够直接或间接地向其他主体转让访问权。
⑵强制访问控制MAC（Mandatory Access Control） 强制访问控制是用户和客体资源都被赋予了一定的安全级别，用户不能改变自身和客体的安全级别，是有管理员才能确定用户的和用户组的访问权限。
⑶基于角色的访问控制RBAC（Role-base Access Control） 基于角色的访问控制的基本思想就是要求确定每一个用户在系统中所扮演的角色，不同的角色具有不同的访问权限，这些权限由系统管理员分配给角色。
⑷基于任务的访问控制TBAC（task-based access control） 基于任务的访问控制是从应用和企业层角度来解决安全问题，而已往的访问控制是从系统的角度出发。它采用“面向任务”的观点，从任务的角度来建立安全模型和实现安全机制,在任务处理的过程中提供动态实时的安全管理。
14
身份识别
1．口令安全面临的威胁
口令机制是一种最简单、最常用的系统或应用程序访问控制的方法。尽管目前许多计算机系统和网络的进入或登录都是采用口令来防止非法用户的入侵，然而口令系统却是非常脆弱的。其安全威胁主要来自于：
（1）非法用户利用有问题而缺少保护的口令进行攻击 （2）屏蔽口令 （3）窃取口令 （4）木马攻击 （5）安全意识淡薄 2、身份识别与鉴别的概念
身份识别是指用户向系统出示自己身份证明的过程；身份鉴别是系统核查用户的身份证明的过程，实质上是查明用户是否具有他所请求资源的存储和使用权。人们通常把这两项工作统称为身份鉴别，也称为身份认证。信息技术领域的身份鉴别通常是通过将一个证据与实体身份绑定来实现的。实体可能是用户、主机、应用程序甚至进程。证据与身份之间是一一对应的关系，双方通信过程中，一方实体向另一方提供这个证据证明自己的身份，另一方通过相应的机制来验证证据，以确定该实体是否与证据所宣称的身份一致。
15