篇一：计算机信息安全相关证书介绍
计算机信息安全相关证书介绍
在网络信息技术高速发展的今天，信息安全已变得至关重要。但目前在我国掌握信息安全技术的人才奇缺，因此，教育部最近在高校招生目录之外新设立了“信息安全专业”。北京邮电大学是被国家批准的首批招收本专业本科生的院校之一，承办本专业的信息工程学院在信息理论与技术方面有雄厚实力，所属的“北京邮电大学信息安全中心”在网络信息安全与现代密码学研究方面的成果丰硕。本专业的目标是培养系统掌握信息安全的基础理论与方法，具备系统工程、计算机技术和网络技术等方面的专业知识和综合能力的高级工程技术人才。本专业的主干学科包括：
网络信息安全技术、计算机科学与技术、信息与通信工程、电子科学与技术。 本专业除了学习数学、大学物理、英语等公共基础课外，主要课程包括： 离散数学、信号与系统、通信原理、软件工程、编码理论、信息安全概论、信息论、数据结构、操作系统、微机原理与接口技术、通信网理论基础、计算机网络基础、信息系统工程、现代密码学、网络安全、信息伪装、入侵检测、计算机病毒及其防治。
本专业重视实践能力的培养，安排有计算机上机、课程设计、大型软件设计、毕业设计等多种实践环节，毕业设计的时间为一年。
本专业修业年限四年，学生在修完教学计划所规定的全部课程并考试合格后，将被授予工学学士学位。
毕业生将主要服务于信息产业以及其他国民经济管理部门从事各类信息安全系统、计算机安全系统的科研、设计、开发、教学、产业、管理等工作。此外，北邮信息安全中心拥有全国为数不多的密码学硕士点和博士点，这也可为本科生提供继续深造的机会。
公安局信息监查私人网站安全
病毒杀毒公司
01级信息安全的毕业生很少，好多都转行了。02级的就业信息还没统计出来，不过我从一些老师那里得出的反馈知道，今年有些同学是进了瑞星这样的专业搞信息安全的公司。
具体的就业方向也说不清楚，因为信息安全是一个朝阳行业，可发展的空间还是很大。
那天介绍专业时有些话我当着领导不好说，其实信息安全的就业是三个专业最好的，但考研则是最难的。另外信息安全的编程量还是比较大的，网络工程的编程量最小。
你说的记仇是怎么回事，我不记得你啊。
软件和网络都是传统专业，就业面还是比较广的。不过网络的课业比较轻松，是三个专业里最轻松的了。最累的不是大家想象中编程最多的软件，而是信息，因为信息的编程难度最大。
我说信息的就业最好是根据去年、今年的反馈得出来的结论，不是自吹自擂。但是信息专业考研难也是事实，毕竟这个专业的硕士点很少，云南学生的数学又不太好。
今年就有同学进了瑞星，还是转专业的。（虽然说起来有点不够厚道，但是一般转专业的同学水平是比不上从高考直接读上来的同学的。他们都能进，你们还不行吗)
除了这些安全公司，应该说一般的企业还会需要配备安全人员的。但这一点是有前瞻性的预测，也就是这些企业现在没意识到需要配备，但是过几年随着网络的发展，就很有可能意识到了。
信息安全属于朝阳专业，100%的告诉你在哪里就业是做不到的。但是话又说回来，只要自己有水平，到时候自然不愁工作，关键还是看自己。
·CISSP
CISSP是代表信息安全从业人员最高水平的资质证书，在全球业界具有极高的权威性和广泛的认可度。目前，国内仅有150名CISSP持证者，物以稀为贵，因此，CISSP证书的含金量非常高。
推荐指数：★★★★★
·CIW
CIW认证注重考生对网络安全的全面了解及实际工作能力的提高，因此，CIW持证者特别受企业的青睐，身价不断看涨，有关资料显示，获得CIW证书可使认证者的薪水平均增长12%。此外，CIW是网络安全业界公认的通用型、入门级证书。
推荐指数：★★★★
·CISP
虽然CISP是本土证书，但属于国家级行业准入证书，是从事信息安全工作人员必备的“专业身份证”，因此，对持证者的职业发展大有帮助。
推荐指数：★★★★
·CCSE
由于CheckPoint公司在全球网络安全领域的优势地位，使CCSE证书在业界具有一定的号召力，但由于是厂商认证，在通用性上稍有不足。
推荐指数：★★★
·NCSE
NCSE认证共设四个级别，适用面较广，而且有助于考生稳扎稳打，逐步提升专业能力。但同样是本土证书，NCSE在权威性上不如CISP。
推荐指数：★★★
哪些证书门槛较高
·CISSP
在信息安全认证考试中，CISSP的考试难度最大。CISSP采用全英文试题，需要考生具有扎实的英语基础和丰富的专业英语词汇，建议多上国内外著名的安全论坛看看。此外，考试时间较长，为6个小时，对考生的体力和耐力是一大考验。
难度评级：★★★★★
·CIW
CIW的考试难度和思科考试差不多，难度偏高，而且都偏重实践经验。对考生来说，要想通过考试，多做实验非常重要。
难度评级：★★★★
·CISP
CISP考试注重实践性，对应试型考生来说，难度较大。备考CISP，参加培训非常必要，对考生了解专业术语和理论知识很有必要帮助，此外还可看一些课外读物。
难度评级：★★★
·CCSE
总体来看，CCSE考试不太难，但需要考生熟悉CheckPoint的操作系统，并需要有一定的实践经验。
难度评级：★★★
·NCSE
NCSE考试的难度不大，但考试中安排了操作环节，对动手能力不足的考生来说，有一定难度，所以平时应注意多进行上机练习。
难度评级：★★
特别提醒
信息安全职业行情看涨，导致专业认证需求水涨船高，越来越多的人想通过认证跻身热门人才行列。对此，上海信息中心信息安全负责人乔梁提醒说，参加信息安全认证，需注意以下两点：
一、入门门槛较高。信息安全认证对报考者的学历、工作经验、技术能力等均有较高要求，甚至需要一定的管理经验。此外，一些国外认证采用全英文试卷，且涉及诸多专业术语。建议国内考生量力而为。
二、需要不断学习。信息安全工作对从业人员的能力和知识更新要求极高，因此，考一张证书，并非就能一劳永逸，而是需要不断学习和充实自己，及时把握信息安全的发展动态，才能成为真正的专业人士。
“十大热门认证”
信息化安全占据三席
2004北美地区十大最热门认证排行榜，仅关于信息化安全的认证就占据了其中三席：第一名：微软MCSE：Security，第三名：美国计算机协会Security＋认证，第七名：CISSP（CertifiedInformationSystemSecurityProfessional，信息系统安全认证专业人员）。可见，在北美地区安全类认证受到追捧。
第一名：MCSE：Security
2003年6月微软发布该项认证时，大家都很看好这个由企业发布的专门的安全认证。它属于升级考试，只需要在MCSE课程中多选2门安全升级课程，就可以得到MCSE：security。通过此认证，可以掌握微软平台的的系统与安全知识，得到MCSE的title，开始网络安全的职业生涯。基于每年众多的MCSE认证应考者，2004年，MCSE：Security的大热想必是肯定的。
不过也有人觉得这项认证的含金量不高，对于应考者的资质要求也太低，与其他安全认证相比，企业在选择安全人员的时候，很少会选择只有一年经验的候选人即便是拥有MCSE：
Security的title。
不过对于网络安全知识的渴望，仍旧激发了大量网友的热情，相比CISSP，MCSE：
Security可以给你更多的实际的基础知识。
第三名：美国计算机协会Security＋认证
Security＋是由全美计算机协会CompTIA颁发的证书，类似国内信息产业部的NCSE，也正是由于这个原因，所以在美国很多人都选择这项带有官方标准的安全认证，但是Security＋的知识涵盖面很广，不是普通的入门考试，需要有一定的网络知识，CCNA或者MCSE的基础准备。
第七名：CISSP
安全认证持续走红，CISSP作为权威的安全认证，入选这个排行实至名归。
由于是非厂商跨平台的第三方认证，所以使得CISSP在企业市场越加受到欢迎。当然比起其他安全认证CISSP的要求也是最高的，一定程度上影响了人气排名，否则这个认证的热门程度也至少前五。
篇二：计算机网络安全教程证书体制
建立安全可靠的证书体制服务
进入21世纪，电子技术的发展达到了前所未有的繁荣时期，作为电子技术的代表—网络技术的应用也空前的广泛。网络为人类交换信息，促进科学、文化、技术、教育、生产的发展，提高现代人的生活质量，带来了极大的便利。如何追赶信息化的浪潮，以信息化带动工业化，是摆在我们面前的一个重要课题，信息化的基础是网络，如何解决网络中的安全性又是一个十分重要的问题。因此，我们必须要认识到一个严峻的问题网络安全问题。通过网络进行电子活动可能存在4大安全隐患：信息的保密性和完整性的无法保证，交易者身份的无法确认，信息发出方对自己发出的信息的否认。数字证书认证技术的出现正好弥补了网络安全的不足，充分解决了网络上存在的四大网络安全隐患。
数字证书（Certificate）是一种数字标识，是一个担保个人、计算机系统或者组织的身份和密钥所有权的电子文档。相当于现实中能够证明个人身份的身份证等，以表明他的身份和某种资格。
数字证书是由权威公正的第三方机构即CA中心签发的，以数字证书为核心的加密认证技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性，以及交易实体身份的真实性，签名信息的不可否认性，从而保障网络应用的安全性。
数字证书提供的是网络上的身份证明。数字证书的拥有者可以将其证书提供给其他人、Web站点及网络资源，以证实他的合法身份，并且与对方建立加密的、可信的通信。比如用户可以使用证书通过浏览器与Web服务器建立SSL会话，使浏览器与服务器之间相互验证身份，另外用户也可以使用数字证书发送加密或签名的电子邮件。
加密是Intranet、Extranet 和 Internet 上进行安全的信息交换的基础。通过加密技术可实现的安全功能包括：身份验证，使收件人确信发件人就是他或她所声明的那个人；机密性，确保只有预期的收件人能够阅读信息；以及完整性，确保信息在传输过程中没有被更改。
现在，广泛使用的加密技术主要有以下几种：
对称密钥加密：一个密钥
公钥加密：两个密钥
数字签名：结合使用公钥与散列
密钥交换：结合使用对称密钥与公钥
对称密钥加密：一个密钥
对称密钥加密，也叫做共享密钥加密或机密密钥加密。这种密钥的特点是加密和解密使用同一个密钥，运算速度快，可用于加密大量数据。
对称密钥加密有许多种算法，但所有这些算法都有一个共同的目的：以可还原的方式将明文（未加密的数据）转换为暗文。暗文使用加密密钥编码，对于没有解密密钥的任何人来说它都是没有意义的。由于对称密钥加密在加密和解密时使用相同的密钥，所以这种加密过程的安全性取决于是否有未经授权的人获得了对称密钥。这就是它为什么也叫做机密密钥加密的原因。在实际运用上，利用密钥加密通信的双方，在交换加密数据之前必须先安全地交换密钥。
公钥加密：两个密钥
公钥加密使用两个密钥-一个公钥和一个私钥，这两个密钥在数学上是相关的。为了与对称密钥加密相对照，公钥加密有时也叫做非对称密钥加密。在公钥加密中，公钥可在通信双方之间公开传递，或在公用储备库中发布，但相关的私钥是保密的，因为只有使用私钥才能解密用公钥加密的数据，使用私钥加密的数据只能用公钥解密。
公钥算法是复杂的数学方程式，其特点是主要局限在加密速度相对较低，一般只用于对少量数据的加密。所以，通常仅在关键时刻才使用公钥算法，如在实体之间交换对称密钥时，或者在签署一封邮件的散列时（散列是通过应用一种单向数学函数获得的一个定长结果，对于数据而言，叫做散列算法）。因此，将公钥加密与其它加密形式（如对称密钥加密）结合使用，就可以优化性能。
公钥加密提供了一种有效的方法，可用来把为大量数据执行对称加密时使用的机密密钥发送给某人。也可以将公钥加密与散列算法结合使用以生成数字签名。
数字签名是邮件、文件或其它数字编码信息的发件人将他们的身份与信息绑定在一起（即为信息提供签名）的方法。对信息进行数字签名的过程，需要将信息与由发件人掌握的秘密信息一起转换为叫做签名的标记。数字签名用于公钥环境中，它通过验证发件人确实是他或她所声明的那个人，并确认收到的邮件与发送的邮件完全相同，来帮助确保电子商务交易的安全。
最常用的公钥算法有：
RSA-适用于数字签名和密钥交换。Rivest-Shamir-Adleman (RSA) 加密算法是目前应用最广泛的公钥加密算法，特别适用于通过 Internet 传送的数据。这种算法以它的三位发明者的名字命名：Ron Rivest、Adi Shamir 和 Leonard Adleman。RSA 算法的安全性基于分解大数字时的困难（就计算机处理能力和处理时间而言）。在常用的公钥算法中，RSA 与众不同，它能够进行数字签名。
另外还有DSA和Diffie-Hellman算法，前者仅适用于数字签名，后者仅适用于密钥交换。
密钥交换：结合使用对称密钥与公钥
对称密钥算法非常适合于快速并安全地加密数据。但其缺点是，发件人和收件人必须在交换数据之前先交换机密密钥。结合使用加密数据的对称密钥算法与交换机密密钥的公钥算法可产生一种既快速又灵活的解决方案。
数字证书主要有以下种类:
CA证书
这种证书证实CA身份和CA的签名密钥（签名密钥被用来签署它所发行的证书）。一般情况用户可以看见游览器所接受的CA证书，也可以选择他们是否信任这些证书。作为用户，一旦信任了CA证书，他们将应该同时信任这个CA所签发的所有证书。
CA证书允许CA发行其他类型的证书。
个人证书
这种证书证实客户身份和密钥所有权。实际应用上可以将其扩展为证明各种组织团体的身份。 在某些情况下，服务器可能在建立SSL连接时要求客户证书来证实客户身份。为了取得个人证书，用户可向某一信任的CA申请，CA经过审查后决定是否向用户颁发证书。用户使用个证书不仅可以访问安全的Web站点，而且能够使用S/MIME收发安全电子邮件。数字证书中加密特性可以阻止非授权用户浏览邮件内容，同时可以保证邮件的收发双方无法否认自己曾经发送或接收过电子邮件。
服务器证书
这种证书证实服务器的身份和公钥。服务器证书用于服务器身份识别，使得连接到服务器的用户确信服务器的真实身份。Web服务器与客户通过SSL的方式建立安全信道，对传输的数进行加密和解密。服务器证书向用户提供真实身份的第三方证明。通常Web浏览器会自动完成服务器认证，但是，用户需要注意颁发服务器证书的认证中心是否在合法认证中心的列表中，以及服务器证书是否过期或无效。服务器需要浏览器提供用户的数字证书来证明用户身份，用户从证书列表中选择合适的证书出示给服务器，让服务器检查证书的有效性。一旦服务器确信用户的身份合法，将允许用户访问相应的Web资源。
数字证书的格式定义在ITU标准X.509里。根据这项标准，证书包括申请证书个人的信息和行证书
机构的信息。
一个基于X.509版本的数字证书格式为：
版本信息，用来与X.509DE 将来版本兼容：
证书序列号，每一个由CA发行的证书必须有一个唯一的序列号。
CA所使用的签名算法
发行证书CA的名称
证书的有效期
证书的主题名称
被证明的公钥信息，包括公钥算法、公钥的位子府串表示（只适用于RSA加密体制）包含额外信息的特别扩展。
发行证书的CA签名
关于发行证书的CA签名，任何人收到证书后都能使用签名算法来验证证书是由CA的签名密签署的。
数字证书在使用过程必须保证有效，在满足以下条件后证书才有效，即：证书的时效性，证书使用者有权性和证书的密钥不遗失性。在保证证书的有效性后，证书才可以正常发行和运作。
证书的创建必须经过用户申请、登记中心同意、认证中心发行、登记中心转发，用户才可以获取证书。
用户首先下载认证中心的证书，然后在证书的申请过程中使用SSL的方式与服务器建立连接，用户填写个人信息，浏览器生成密钥对，将私钥保存在客户端特定文件中，并且要求用口令保护私钥，同时将公钥和个人信息提交给安全服务器。安全服务器将用户的申请信息传送给登记中心服务器。
用户与登记中心人员联系，证明自己的真实身份，或者请求代理人与登记中心联系。登记中心操作员利用自己的浏览器与登记中心服务器建立SSL安全通信，该服务器需要对操作员进行严格的身份认证。操作员首先查看目前系统中的申请人员，从列表中找出相应的用户，点击用户名，核对用户信息，并且可以进行适当的修改。如果操作员同意用户申请证书请求，必须对证书申请信息进行数字签名。操作员也有权利拒绝用户的申请。
登记中心通过硬拷贝的方式向认证中心传输用户的证书申请与操作员的数字签名，认证中心操作员查看用户的详细信息，并且验证操作员的数字签名。如果签名验证通过，则同意用户的证书请求，颁发证书，然后认证中心将证书输出；认证中心颁发的数字证书中包含关于用户及认证中心自身的各种信息，如能惟一标识用户的姓名及其他标识信息、个人的E-mail地址和证书持有者的公钥。公钥用于为证书持有者加密敏感信息，签发证书的安全认证中心的名称、个人证书的序列号和个人证书的有效期（证书有效起止日期）等等。如果认证中心操作员发现签名不正确，则拒绝证书申请。
登记中心操作员从认证中心得到新的证书，首先将证书输出到LDAP服务器以提供目录浏览服务，最后操作员向用户发送一封电子邮件，通知用户证书已经发行成功，并且把用户的证书序列号告诉用户，让用户到指定的网址去下载自己的数字证书，还告诉用户如何使用安全服务器上的LDAP配置，让用户修改浏览器的客户端配置文件以便访问LDAP服务器，获得他的数字证书。
用户使用证书申请时的浏览器到指定网址，键入自己的证书序列号。服务器要求用户必须使用申请证书时的浏览器，因为浏览器需要用该证书相应的私钥去验证数字证书。只有保存了相应私钥的浏览器才能成功下载用户的数字证书。这时用户打开浏览器的安全属性，就可以发现自己已经拥有了认证中心颁发的数字证书，可以利用该数字证书与其他人以及Web服务器（拥有相同认证中心颁发的证书）使用加密、数字签名进行通信。
证书的撤消也是经过用户提出申请、登记中心同意、认证中心撤消、登记中心转发、用户通知等几个阶段。
用户向登记中心操作员发送一封签名加密的邮件，声明自己自愿撤消证书。如果服务器的证书需要撤消，则由管理员向登记中心操作员联系；操作员键入用户或服务器的序列号，对请求进行数字签名；认证中心查询证书撤消请求列表，选出其中的一个，验证操作员的数字签名，如果正确的话，则同意用户的证书撤消申请，同时更新CRL列表，然后将CRL以多种格式输出；操作员导入CRL，以多种不同的格式将CRL公布于众；用户浏览安全服务器，下载或浏览CRL。
证书的查询CA中心利用OCSP协议为用户提供实时的证书状态查询服务，并且定期发布CR为用户提供证书撤消列表。
数字证书加密认证技术在网络的应用上有不可比拟的优势，它避免了目前大多数Web站点使用用户名和口令的方式来对用户进行认证的方式所带来的需要站点收集所有注册用户的信息，和传统的登录机制的安全性也比较脆弱，容易遭到外界的攻击的弱点。
因此，在人们迫切需要一种更好的办法来识别网络电子交易中，数字证书的技术特点保证了网络电子交易中的信息的保密性、完整性、交易者双方身份的确认性、和不可否认性。数字证书还提供了一定的安全与认证功能，消除了传统的口令机制中内在的安全脆弱性，降低维护和支持成本。
数字证书已经成为服务器认证的标准，成千上万的商业站点使用数字证书与客户创建安全的通信管道。值得一提的是，数字证书正在成为Internet的客户识别和登录标准。
总的来说，用户利用数字证书不仅可以访问Web站点，还可以收发安全电子邮件，更重要的是数字证书认证技术的使用，极大的避免了网络交易中存在的安全隐患，使得网络交易在一个公平、公正、安全、稳定的环境下进行，促进了电子政务、电子商务的发展。
当您需要在不同的机器使用同一张数字证书，或者重新安装机器，准备备份证书时，就需要按照以下步骤首先将您的根证书和个人证书先后导出，在您需要使用该证书时，再依次导入根证书和个人数字证书。
一、 根证书的导出
1. 启动IE，选择工具菜单栏的 Internet选项。
2. 选择 内容标签栏的证书(C…)按钮，再选择收信任的根目录发行机构标签栏。单击选中要导
出的根证书。如图1所示：
图1
3. 单击上图的导出按钮后，出现欢迎使用证书管理器导出向导界面，单击下一步如图2所示：
图2
篇三：网络信息安全认证
网络信息安全认证
摘要：
由当前网络信息存在的一些安全问题引出信息认证方式，主要介绍了四种信息认证方式：简单口令认证技术、挑战应答认证方式、Kerberos认证系统、有第三方仲裁的模式。 关键词：
中断型、截获型、篡改型、伪装型、简单口令认证技术、挑战应答认证、Kerberos认证系统、有第三方仲裁的模式
在电子商务飞速发展的今天，各种新业务不断开通，这样带来的安全问题也越来越普遍。其中利用身份认证技术，可以解决一些重要的安全问题，诸如身份的真实性识别、数据的完整性检测等。随着信息安全技术的不断发展，认证技术也经历了从简单到复杂的发展过程，出现了由静态(固定)口令到动态(可变)口令的变化。随着安全问题的不断出现和复杂化，认证技术也出现了多种技术的融合，产生了更为成熟复杂的认证方法。然而每种认证方法不是万能的，不同的认证方法基于不同的认证机制，从而所防范的安全漏洞的侧重点也不相同。下面就分析一些常见的安全威胁及认证方法。
一、网络安全面临的问题
(1)网络协议和软件的安全缺陷
因特网的基石是TCP/IP协议簇，该协议簇在实现上力求效率，而没有考虑安全因素，因为那样无疑增大代码量，从而降低了TCP/IP的运行效率，所以说TCP/IP本身在设计上就是不安全的。
(2)黑客攻击手段多样
进人2006年以来，网络罪犯采用翻新分散式阻断服务(DDOS)攻击的手法，用形同互联网黄页的域名系统服务器来发动攻击，扰乱在线商务。宽带网络条件下，常见的拒绝服务攻击方式主要有两种，一是网络黑客蓄意发动的针对服务和网络设备的DDOS攻击;二是用蠕虫病毒等新的攻击方式，造成网络流量急速提高，导致网络设备崩溃，或者造成网络链路的不堪负重。
(3)计算机病毒
计算机病毒是专门用来破坏计算机正常工作，具有高级技巧的程序。它并不独立存在，而是寄生在其他程序之中，它具有隐蔽性、潜伏性、传染性和极大的破坏性。随着网络技术的不断发展、网络空间的广泛运用，病毒的种类急剧增加。目前全世界的计算机活体病毒达14万多种，其传播途径不仅通过软盘、硬盘传播，还可以通过网络的电子邮件和下载软件传播。只要带病毒的电脑在运行过程中满足设计者所预定的条件，计算机病毒便会发作，轻者造成速度减慢、显示异常、丢失文件，重者损坏硬件、造成系统瘫痪。
(4)计算机网络和软件核心技术不成熟
我国信息化建设过程中缺乏自主技术支撑。计算机安全存在三大黑洞：CPU芯片、操作系统和数据库、网关软件大多依赖进口。信息安全专家、中国科学院高能物理研究所研究员许榕生曾一针见血地点出我国信息系统的要害：“我们的网络发展很快，但安全状况如何？现在有很多人投很多钱去建网络，实际上并不清楚它只有一半根基，建的是没有防范的网。有的网络顾问公司建了很多网，市
场布好，但建的是裸网，没有保护，就像房产公司盖了很多楼，门窗都不加锁就交付给业主去住。”我国计算机网络所使用的网管设备和软件基本上是舶来品，这些因素使我国计算机网络的安全性能大大降低，被认为是易窥视和易打击的 “玻璃网”。由于缺乏自主技术，我国的网络处于被窃听、干扰、监视和欺诈等多种信息安全威胁中，网络安全处于极脆弱的状态。
(5)安全意识淡薄
目前，在网络安全问题上还存在不少认知盲区和制约因素。网络是新生事物，许多人一接触就忙着用于学习、工作和娱乐等，对网络信息的安全性无暇顾及，安全意识相当淡薄，对网络信息不安全的事实认识不足。与此同时，网络经营者和机构用户注重的是网络效应，对安全领域的投入和管理远远不能满足安全防范的要求。总体上看，网络信息安全处于被动的封堵漏洞状态，从上到下普遍存在侥幸心理，没有形成主动防范、积极应对的全民意识，更无法从根本上提高网络监测、防护、响应、恢复和抗击能力。整个信息安全系统在迅速反应、快速行动和预警防范等主要方面，缺少方向感、敏感度和应对能力。
二、常见的几种安全威胁及应对措施的建议
1．中断型
这可能因为信道异常，或所在网络繁忙时，认证消息不能及时到达目的地，从而造成无法完成认证的后果。可以说这种情况对各种认证方法都有影响，因此在设计认证协议时要充分考虑这种情况带来的安全隐患。应主要避免以下几种情况：
(1)要有认证服务超时的提示机制；
(2)在有效的认证服务期限内，中断后认证信息可能被第三方获得，如果继续转发从而可能通过认证。可通过密码技术和设计有效的认证协议，保证在对这种情况下，使第三方没法造成危害。例如通过序列号，唯一标识符等方法。
2．截获型
这种情况是认证信息在传输过程中被人通过监听、打线等手段截获，从而实施重传攻击。这样可造成未授权者通过认证，其后果也是很严重的。这种情况下可通过序列号，存储每次认证的唯一标识符等方法来建立消息新鲜的机制。
3．篡改型
这种情况比起第二种难度大，但它可造成的危害也很大，认证信息在传输中被截获且能被篡改，从而达到截获者自己的目的或使得合法的用户不能通过认证。可以说这种威胁实施起来有难度，一旦实现，造成的危害显然也是很大的。因此在设计认证方案时，一定要考虑这个因素，结合使用数字签名技术、MAC码校验来防范这一漏洞。
4．伪装型
这种情况是第三方能伪造合法的认证信息，然后这个非授权者就可获得授权者相同的权利进行访问系统或获得相应的授权服务。这要求认证用户及服务器本身的相关认证信息要安全存取、传输，不泄露能进行伪造的可用信息。
三、常用认证方法
第一个是最早使用的简单口令认证技术。即对服务器或一些授权访问的文件、数据库或系统，每个合法用户都有一个固定的访问口令，被访问的系统都保存有各个合法用户的ID和相应的口令。每次登录时用户输入各自的用户ID、相应的口令，被登录对象经过比较如果登录者提供的登录信息与它存储的相匹配，则认为是合法的，否则拒绝访问。这是一种固定(静态)口令，安全性很低。因其简单实用，方便，故在一些安全级别要求很低的情况下，还有一定的应用范围。较低的安全性表现在很容易被口令猜测攻破，特别在网络上传输时无法防止重传攻击。
第二个是比较传统的挑战应答式方法(challenge／response)。
如图1所示
服务器与客户端共享用户密钥(1iar key)，使用相同的可逆加密算法。每次客户发送请求登录后，服务器发给客户一个随机产生的挑战(challenge)消息，客户端用两端共享密钥及加密算法，对挑战作加密处理，产生相应的一个应答(response)消息，发送给服务器；服务器收到该回应，对该回应用共享的密钥及加密算法做解密处理，恢复出所产生的挑战。如果恢复的挑战和服务器所送出的一致，就通过认证，最后服务器返回确认信息，说明用户合法；否则拒绝服务。比较著名
的一个挑战应答式方案是：S／KEY One-timePassword System。这种方法实际上实现了动态口令的要求。因为每次请求认证的信息是基于随机产生的数据，所以每次认证的信息都是不同的。这在很大程度上防止了重传攻击，显然猜测口令的攻击方法几乎不可能，截获型攻击的任何修改都会被发觉，要伪装合法用户的难度也很大。这种方法的局限性也很明显，只是适用于面向连接的情形。在面向无连接的情况下，因为其交互次数太多而不利于进行认证。在一些比较极端的情况下，也可能实施重传攻击。
第三种方法是由麻省理工学院开发的Kerberos认证系统。
如图2所示
该系统俗称为“三次看门狗”，是一种分布式认证服务模式，它主要是针对面向连接的。根据第一次建立连接的口令，产生进行认证的密钥信息，首先向密钥分发中心(KDC)服务器发出服务请求1；密钥分发中心(KDC)验证口令通过后，分发客户向服务使用许可证书服务器(TGS)发出请求的密钥及客户获得服务使用许可证书的认证信息2；然后客户向服务使用许可证书服务器(TGS)发出请求3；服务使用许可证书服务器(TGS)验证通过后，发送该服务的密钥给客户4；接着客户才能使用这种服务5。这种方法主要用于防止恶意破坏。其关键是密钥分发中心(KDC)安全服务器，还有其售票服务器(TGS)发放服务使用许可证。这种方法在一定程度上实现了动态口令，在满足它的实现的条件下，是一种很有效的方法。这种认证方式中双方交互的次数远远大于其他情况，同样对于面向无连接的情况更是不利的，局限性也很明显。由于
该系统在一定的时间范围内各方共享的密钥是基于一个固定的口令，有可能被简单的口令猜测攻破，而且该方法的应用有一个前提
是信道的安全性，因为要将通过口令产生的密钥需在线地传给各方。因此这种方法的选用要充分考虑网络的运行情况。以上几种常见的认证方法都属于无第三方仲裁的认证模型。除了以上列出的几种外，还可以应用密码学上的对称密码体制例如DES、AES等或者SHA-1、MD5等设计出基于MAC码的认证协议。这种认证协议可以根据具体的系统需要，进行灵活设计。
第四种方法是有第三方仲裁的模式，PKI的认证方法。
如图3所示
假设A要向B发送数据，A先从认证中心(CA)中获得B的公钥pbk，并自己产生一个密钥K，用K加密所传输的数据，得到cl，用B的公钥pkb加密K得到c2，将cl和c2一起发送给B，B得到cl、c2后，先用自己的私钥pvk解开c2，得到加密数据的密钥K，然后用K解密cl得到所要的数据。这是基于PKI模式的简单的交互过程。在实际应用中会利用这种结构根据实际需要设计相应的认证协议， 例如Feige-Fiat—Shamir协议、Schno协议、Okamoto协议等。这种方法是通过建立认证中心(CA)，在公钥密码、对称密码、数字签名及数字证书的基础上，近几年来快速发展和广泛应用的一种认证方法。但这种方法所需要的投入成本比较高，技术门槛也很高，并且取得建设这种认证系统的资格有严格限制，需经过行业总体规范和政府职能部门允许。因此对于一些小型系统的开发并不适合。另外还有很多基于密码学中数字签名技术设计的、很有效的认证方案，限于篇幅不再一一列出。
无论哪种技术都不可能避免各种安全威胁，而每种技术可能侧重于防范某一种或几种安全威胁。没有绝对安全的系统，但可以设计尽可能完善的认证技术，最大程度上防止这些安全威胁。通过以上
分析，希望读者能对认证方法及其可能的安全漏洞有所了解，并在实际应用中选择适合具体情况的认证方法。
参考文献
1.《安全漏洞分析》------ 赵义斌、牛少彰、杨义先
2、《网络安全面临的问题》
《关于计算机网络安全证书介绍》出自：百味书屋
链接地址：http://www.850500.com/news/24912.html
转载请保留,谢谢!