当前位置:
首页 > 互联网+ > 互联网思维 > 商用密码发展报告(2012—2017年)pdf/doc/txt格式电子书下载

商用密码发展报告(2012—2017年)pdf/doc/txt格式电子书下载

本站仅展示书籍部分内容

如有任何咨询

请加微信10090337咨询

商用密码发展报告(2012—2017年)pdf/doc/txt格式电子书下载

书名:商用密码发展报告(2012—2017年)pdf/doc/txt格式电子书下载

推荐语:

作者:《商用密码发展报告(2012—2017年)》编写组著

出版社:电子工业出版社

出版时间:2018-12-01

书籍编号:30458492

ISBN:9787121357725

正文语种:中文

字数:166440

版次:1

所属分类:互联网+-互联网思维

全书内容:

商用密码发展报告(2012—2017年)pdf/doc/txt格式电子书下载






前言


密码是指使用特定变换对数据等信息进行加密保护或者安全认证的物项和技术。商用密码是我国密码体系的重要组成部分,主要用于保护不属于国家秘密的信息。商用密码工作直接关系国家政治安全、经济安全、国防安全和网络安全,直接关系社会组织和公民个人的合法权益。


党中央、国务院历来高度重视商用密码工作。1996年7月,中共中央政治局常委会议专题研究商用密码工作,做出了在我国大力发展商用密码和加强商用密码管理的重要决策。1999年10月,国务院颁布实施《商用密码管理条例》,商用密码管理走上了法治化轨道。经过二十多年的发展,我国商用密码已成为国家安全保障体系的重要组成部分,取得了丰硕成果。特别是党的十八大以来,在以习近平总书记为核心的党中央坚强领导下,商用密码工作坚决落实总体国家安全观和网络强国战略,着力推进商用密码应用与创新发展,各项事业实现快速发展,在维护国家安全、促进经济社会发展、保护人民群众利益中发挥了不可替代的重要作用,走出了一条具有中国特色的商用密码发展道路。


当今,数字化、网络化、智能化深入发展,网络空间与物理空间的边界正在逐渐消融,以网络安全为代表的非传统安全威胁与传统安全威胁融合交织,深刻变革网络安全需求,深入影响网络安全格局,对密码应用和创新发展提出严峻挑战,也赋予了商用密码新的历史使命。与此同时,密码使用方面还存在使用意识不强、对密码维护国家安全和社会稳定的突出作用认识不足,很多领域还在大量使用不符合国家密码管理规定的密码。问题就是导向,需求就是责任。按照国家有关部署,金融和重要领域正在强化密码应用,大量网络和信息系统涉及密码保障系统的建设或升级,商用密码市场前景广阔。随着我国社会经济的进一步发展,对网络安全的需求将会迸发出更多更新的应用,商用密码技术也必然会伴随社会的发展不断演绎出新的内涵。在习近平新时代中国特色社会主义思想指引下,我国商用密码的发展将会更加繁荣,为维护国家安全、促进经济发展、保护人民群众利益作出新的更大贡献。


《商用密码发展报告(2012-2017年)》编写组

第一章 商用密码发展背景概述


一、何谓商用密码


(一)密码的概念和内涵


“密码”一词在当今社会随处可见,但是人们对密码的认识往往是模糊不清的。现实生活中提到“密码”一词,人们通常以为是每天接触的计算机开机“密码”、电子邮箱登录“密码”和银行卡的支付“密码”等。生活中的这些所谓“密码”实际上是口令,英文为“password”。口令只是进入个人计算机、手机、电子邮箱或者个人银行账户的“通行证”,它是一种最简单、最初级的身份认证手段。事实上,口令≠密码,密码具有悠久的发展历史,积累了非常丰富的内容,其含义在发展过程中也不断演变。密码理论与技术的研究逐渐形成了一个专门学科——密码学。


密码是指使用特定变换对数据等信息进行加密保护或者安全认证的物项和技术。其中加密保护是指使用特定变换,将原来可读的信息变成不能识别的符号序列;安全认证是指使用特定变换,确认信息是否被篡改、是否来自可靠信息源以及确认行为是否真实等。物项是指实现加密保护或安全认证功能的设备与系统,技术是指物项实现加密保护或安全认证功能的方法或手段。密码的加密保护功能用于保证信息的机密性,密码的安全认证功能用于实现信息的真实性、数据的完整性和行为的不可否认性。


20世纪70年代之前的密码仅用于实现信息的加密保护。保护信息的机密性,是密码最原始、最基本的功能。在加密保护中,需要保护的信息称为明文,经过加密变换后的信息称为密文。随着技术的发展,密码不仅可以通过适当的变换实现加密保护,还可以实现实体身份和信息来源的安全认证等功能。


从功能上看,密码技术主要包括加密保护技术和安全认证技术;从内容上看,密码技术主要包括密码算法、密钥管理和密码协议。


密码算法是对信息进行“明”“密”变换、产生认证“标签”的一种特定的规则。不同的密码算法实现不同的变换规则:实现明文到密文变换功能的为加密算法;实现密文到明文变换功能的为解密算法;实现类似于手写签名功能的为数字签名算法;实现任意长消息压缩为固定长摘要功能的为密码杂凑算法。


在密码算法中,密钥是控制密码变换的关键参数,它相当于一把“钥匙”。只有掌握了密钥,密文才能被解密,恢复成原来的明文。同样,为了能够产生独一无二的数字签名,也需要签名人拥有相应的密钥,以确保签名不能被伪造。密钥是密码安全的根本,需要进行严格管理,制定科学合理的安全策略,对密钥的产生、分发、存储、使用、更新、归档、撤销、备份、恢复和销毁等进行全生命周期的管理。


密码协议是指两个或两个以上参与者使用密码算法,为达到加密保护或安全认证目的而约定的交互规则。密码协议是将密码算法等应用于具体使用环境的重要密码技术,具有十分丰富的内容。


1.密码算法


密码算法的设计与分析是密码技术的核心内容。密码算法设计,也称为密码编码,是根据安全性、实现性等需求指标,设计适用的密码算法;密码算法分析,也称为密码破译,是对密码算法进行各类攻击,检验算法的实际安全性。


“分析”一词在密码中等同于“攻击”或“破译”。密码算法分析与密码算法设计是相伴而成、不断斗争的两个对立面。正是由于这种攻和防的矛盾斗争,促进了密码技术的发展,产生了许多优秀的密码算法。


不同的密码算法,应满足不同的安全功能要求。对于加密算法,要求攻击者不能从密文得到关于明文或者密钥的任何信息;对于数字签名算法,要求攻击者不能伪造有效签名;对于杂凑算法,要求攻击者不能用不同的输入消息产生相同的摘要,以及不能从摘要得到原来的输入消息。


设计满足安全功能要求的密码算法,需要可靠的理论。这一理论就是密码学中的密码编码学,它建立在数学、计算机、通信、电子技术等相关学科基础上,为密码算法设计提供坚实的理论基础和可靠的技术保障。例如,常见的公钥密码算法,建立在公认的计算困难问题之上,如离散对数问题,这样的公钥密码算法具有可证明安全性,即如果所依赖的问题是困难的,那么所设计的算法就可证明是安全的。


好的密码算法要能够抵御各类攻击。密码学中研究密码算法分析等内容的分支学科——密码分析学,专门研究各类密码算法、协议等的攻击方法,为最终形成安全的密码算法提供有力的支撑手段。实用的密码算法要从理论上估算出各类攻击的复杂度,并保持足够的安全余量。


2.密钥


现代密码学认为:一切秘密寓于密钥之中,密码算法是可以公开的,密钥则必须绝对保密,这样才能确保密码的安全。密钥参与密码的“运算”,并对密码的“运算”起特定的控制作用。


最初的密码技术,就是一种将信息的文字打乱顺序和替换为其他字母、让攻击者破译不了的方法,也称为密码术。攻击者不掌握这一密码术,就难以获取原来的信息。密码的整个秘密就是密码术本身。一旦这种技术被攻击者掌握,就必须设计和更换新的密码。


随着密码技术的发展,密码的具体实现过程,即怎么进行打乱处理的过程(密码算法)逐渐公开化,但需要在其中加入控制密码处理过程的秘密信息,即密钥。不知道密钥,即使知道密码是怎么进行变换处理的,也不能从密文中得到原来的明文。这样一来,密钥成为控制密码处理过程的关键因素,密码技术中需要保密的只有密钥。为了安全,可以定期更换密钥,而无须改变密码的处理过程,也就是不用更换密码算法,这样既安全又节省成本。


实际上,密钥就是控制密码运算过程的一串不可预测的随机数或二进制数据。例如,加密过程中,将密钥和被加密的信息通过数学运算充分地“搅拌”在一起,形成难以破译的密文。合法用户如果需要打开这些密文,只需利用密钥,就像用钥匙开锁一样,经过与加密过程相反的数学运算,也即解密过程,就可从密文中恢复原来的明文。


如果算法的安全强度足够大,攻击者只能靠猜测密钥的方法进行破译,但猜对的概率几乎为零。例如,SM4分组密码算法(简称SM4算法)是公开的,也就是如何实现加密的过程、程序是公开的,但128比特的密钥需要保密。假设攻击者获取了一个密文,他如果在所有可能的密钥中猜测,需要试验2128次,即使是使用超级计算机(每秒试验10万亿个密钥),仍需要试验108亿亿年。


在密码系统中,密钥的生成、使用和管理至关重要。密钥的失控将导致密码系统失效,因此密钥必须严格保护。


3.密码协议


所谓协议,就是通信双方约定好的一些传递信息的方法和过程。这如同两个人打电话一样,摘机→互报姓名→双方讲话→挂机,这个过程就是通话协议。密码学中用“交互”一词来表示用户之间来回传递信息。


在实际中,应用密码算法实现特定安全功能是十分复杂的,不同的使用环境需用不同的密码协议。不同的安全功能,也由不同的密码协议实现。因此,密码技术中存在多种多样的密码协议,如身份认证协议、密钥协商协议、电子支付协议等。Diffie Hellman密钥协商协议就是基于离散对数的困难问题,建立共享密钥的密码协议。


密码协议的安全性对密码应用至关重要,密码协议不安全,即使密码算法再安全,密码应用仍是不安全的。密码协议的安全性,由所用密码算法和交互规则的安全性共同决定。实际上协议的漏洞往往存在于交互方式之中。因此,协议中常加入随机数、时间戳等参数,防止消息重用和中间人攻击等。


(二)密码的重要作用


密码在网络空间中对于身份鉴别、安全隔离、信息加密、完整性保护和抗抵赖性等方面具有不可替代的重要作用,可实现信息的机密性、真实性、数据的完整性和行为的不可否认性。相对于其他类型的安全手段,如人力保护、设备加固、物理隔离、防火墙、监控技术、生物技术等,密码技术是保障网络与信息安全最有效、最可靠、最经济的手段。


1.保证机密性


信息的机密性是指保证信息不被泄漏给非授权的个人、计算机等实体的性质。


信息是网络空间中最有价值的资产,信息泄漏会给国家、社会、行业、团体和个人带来巨大的危害和影响。信息的机密性是网络与信息安全的主要属性之一。


采用密码技术,可以方便地实现对信息机密性的保护。利用实现加密的一段计算机程序,对电子文件进行加密,可产生形如乱码的密文。攻击者即使截取了密文,由于加密算法具有足够的强度,他也不能从密文中获取有用信息。而拥有密钥的人利用实现解密的一段计算机程序,可从这一串乱码中恢复出原来的文件。


2.保证真实性


信息的真实性是指保证信息来源可靠、没有被伪造和篡改的性质。


信息的真实性也是网络与信息安全的主要属性之一。如何鉴别信息的合法性?如何确认真实的身份信息?如何防止冒充、伪造?这些都是网络与信息安全领域非常重要的任务,它们直接影响着社会秩序、生产生活秩序的各个方面。


密码中的安全认证技术正是为解决信息的真实性等问题而出现的。这些技术包括数字签名、消息认证码、身份鉴别协议等。这些技术的基本思想是:合法的人都有各自的“秘密信息”。用这个“秘密信息”对公开信息进行处理,得到相应的“印章”,用它来证明公开信息的真实性。而不掌握相应“秘密信息”的非法用户无法伪造“印章”。


3.保证完整性


数据的完整性是指数据没有受到非授权的篡改或破坏的性质,它是网络与信息安全的又一个重要属性。


信息时代具有空前数量的数据、信息、文件等,各行各业都存在大量的公开传输、存储的数据。如何保证这些数据在传输、存储过程中不被篡改是极具挑战性的任务,特别是维护大量资料库、文件库时,这一任务更为艰巨。


杂凑算法可方便地实现数据的完整性。杂凑算法通过数学处理过程,从文件中计算出唯一标识这个文件的特征信息,称为摘要。文件内容的细微变化都会产生不同的摘要。只要在电子文件后面附上一个这样简短的摘要,就可以鉴别文件的完整性。因为不同的文件拥有不同的摘要,一旦文件被篡改,摘要也就不同了。要想检查某个文件是否被修改了,只需使用杂凑算法计算出一个新的摘要,将这个新的摘要与原来附带的摘要进行比对,如果两个摘要一样,就说明这个文件没有被改动,反之则证明已被修改。对于大量的电子文件的保护任务而言,杂凑算法是一种非常便捷、可靠的安全手段。


4.保证不可否认性


不可否认性也称抗抵赖性,是指一个已经发生的操作行为无法被否认的性质,它同样是网络与信息安全的重要属

....

本站仅展示书籍部分内容

如有任何咨询

请加微信10090337咨询

本站仅展示书籍部分内容
如有任何咨询

请加微信10090337咨询

再显示