架构-信息安全技术基础知识
一、信息安全基础
1. 信息安全的5个基本要素（重点）
- 机密性：确保信息不泄露给未授权的人或程序。
▶ 举例：银行用户的账户密码必须保密，防止黑客窃取。 - 完整性：保证信息不被非法修改，保持准确和完整。
▶ 举例：网购时订单金额被篡改会导致交易纠纷，需通过技术确保金额不变。 - 可用性：合法用户能及时访问所需信息或服务。
▶ 举例：DDOS攻击会导致网站瘫痪，破坏可用性，如某电商平台被攻击后用户无法下单。 - 可控性：控制授权范围内的信息流向和行为。
▶ 举例：企业限制员工只能访问与工作相关的网站，防止滥用网络资源。 - 可审查性：对安全事件提供调查依据，追踪责任。
▶ 举例：黑客攻击后，通过日志记录追踪攻击来源和过程。
2. 信息安全的范围
- 设备安全：物理设备（如服务器、路由器）的防护，防止被盗或损坏。
- 数据安全：保护数据不被篡改、泄露，如数据库加密。
- 内容安全：过滤不良信息，如社交平台屏蔽暴力内容。
- 行为安全：监控用户行为，防止恶意操作，如银行系统检测异常转账。
3. 安全隐患与威胁
- 安全隐患：系统本身存在的问题，如物理安全性不足（设备未锁）、软件漏洞（未更新补丁）。
- 安全威胁：主动攻击行为，如非授权访问（黑客破解账号）、信息泄露（内部人员倒卖数据）、拒绝服务攻击（使服务器瘫痪）。
二、信息加解密技术（高频考点）
1. 对称加密（共享密钥）
- 特点：加密和解密用同一个密钥，效率高但安全性较低，密钥分发困难。
- 算法：DES（早期常用，56位密钥）、AES（现代常用，128/256位密钥）。
- 实际场景：微信传输文件时，用对称加密快速加密内容，但需安全传递密钥。
2. 非对称加密（公开密钥）
- 特点：用公钥加密、私钥解密（或反之），安全性高但效率低，密钥分发容易（公钥可公开）。
- 算法：RSA（最常用，用于HTTPS）、ECC（椭圆曲线，更高效）。
- 实际场景：网购时，浏览器用网站的公钥加密数据，网站用私钥解密，确保通信安全。
3. 对称 vs 非对称加密对比（重点）
| 特性 | 对称加密 | 非对称加密 |
|---|---|---|
| 密钥数量 | 1个（共享密钥） | 2个（公钥+私钥） |
| 效率 | 高（适合大量数据） | 低（适合小数据或密钥） |
| 安全性 | 依赖密钥保密 | 依赖私钥保密 |
| 典型用途 | 加密文件、传输数据 | 数字签名、密钥交换 |
三、密钥管理技术
1. 数字证书（重点）
- 内容：包含公钥、证书有效期、颁发机构（CA）、序列号等信息，用于证明身份。
- 实际场景：访问HTTPS网站时，浏览器验证网站的数字证书，确认其合法性（如证书由可信CA签发）。
- PKI体系：由CA（认证中心）、RA（注册审批机构）组成，负责证书的签发和管理。
2. 密钥分发
- 对称加密的密钥通过非对称加密传输（如用接收方公钥加密对称密钥），解决密钥分发难题。
四、访问控制技术（重点）
1. 核心目标
- 防止非法用户进入系统（如禁止未注册用户登录）。
- 阻止合法用户越权访问（如普通员工不能查看财务报表）。
2. 三要素
- 主体：主动访问者（如用户、程序）。
- 客体：被访问的资源（如文件、数据库）。
- 控制策略：权限规则（如“用户A对文件B有读取权限”）。
3. 实现技术
- 访问控制列表（ACL）：按“客体”设置权限，如Linux文件的读/写/执行权限（
chmod命令）。 - 能力表：按“主体”设置权限，如某员工的账号能访问哪些系统模块。
五、数字签名技术（高频考点）
1. 信息摘要
- 用单向散列函数（如MD5、SHA）生成固定长度的摘要值，用于检测信息是否被篡改。
- 举例：下载文件后用MD5校验工具对比摘要，确认文件未被篡改。
2. 数字签名流程
- 发送方用散列函数生成消息摘要。
- 用自己的私钥加密摘要（形成签名）。
- 接收方用发送方的公钥解密签名，对比摘要是否一致。
- 作用：确保信息完整性（防篡改）和不可抵赖性（证明发送方身份）。
3. 实际场景
- 电子合同签署：甲方用私钥对合同摘要签名，乙方用公钥验证，确保合同未被篡改且甲方无法抵赖。
六、信息安全保障体系——等级保护（重点）
我国将信息系统分为5个安全等级，从低到高：
- 用户自主保护级：普通内联网用户（如企业内部非敏感系统）。
- 系统审计保护级：需要保密的单位（如中小企业财务系统）。
- 安全标记保护级：重要单位（如政府部门、金融机构）。
- 结构化保护级：关键部门（如国防科研机构）。
- 访问验证保护级：国防关键部门（如军事信息系统）。
▶ 举例：某银行的核心交易系统需达到安全标记保护级，确保数据安全和抗攻击能力。
七、重要知识点总结（加粗标注）
- 信息安全五要素：机密性、完整性、可用性、可控性、可审查性。
- 加解密技术：
- 对称加密（效率高、密钥分发难，如DES、AES）。
- 非对称加密（安全性高、效率低，如RSA、ECC）。
- 密钥管理：**数字证书内容（公钥、CA、有效期）**和PKI体系。
- 访问控制：**三要素（主体、客体、控制策略）**和目标（防非法进入、防越权访问）。
- 数字签名：信息摘要（防篡改）+私钥加密（防抵赖）。
- 等级保护：5个安全等级及其适用场景（尤其三级以上高安全需求场景）。
八、总结
文档围绕信息安全核心技术，从基础概念到具体技术（加解密、访问控制、数字签名），再到保障体系（等级保护），层层递进。中需重点掌握五要素、加解密对比、数字证书、访问控制目标、等级保护级别，结合实际场景（如网购加密、电子签名）理解会更轻松。