2011年软考系统架构设计师学习笔记（33）

jantkang

为了更好的帮助大家考试，考试百科在文章系统架构设计师辅导：学习笔记中，为大家提供的如下内容：<br />　　11.1.3 密钥分配中心与公钥基础设施<br />　　现代密码系统中，算法本身的保密已经不重要了，只要密钥能够保密，即使加密算法公开，甚至加密设备丢失，也不会对加密系统的坚固性和正常使用产生多大影响。<br />　　如何高效地分配密钥、安全地管理密钥 对保证数据安全来说至关重要。<br />　　1、密钥分配中心<br />　　密钥自动分配 是 密钥分配中心(Key Distribution Center，KDC)技术。<br />　　2、数字证书和公开密钥基础设施<br />　　数字证书的内容一般包括：唯一标识证书所有者的名称、唯一标识证书签发者的名称、证书所有者的公开密钥、证书签发者的数字签名、证书的有效期、证书的序列号等。<br />　　PKI(Public Key Infrastructure，公钥基础设施)的结构模型有三类实体：管理实体、端实体、证书库。<br />　　管理实体是PKI的核心，是服务的提供者，端实体是PKI的用户。<br />　　CA 和 RA 是两种管理实体，CA 能够 发布和撤销 证书，维护证书的生命周期。RA负责处理用户请求。<br />　　证书库的存取对象为证书和CRL，其完整性由数字签名来保证，因此不需要额外的安全机制。<br />　　11.1.4 访问控制<br />　　自动、有效地防止对系统资源进行非法访问或者不当使用。<br />　　它是建立在身份认证的基础之上的。<br />　　1、身份认证技术<br />　　识别用户的身份有两种不同形式：身份认证、身份鉴定。<br />　　认证的方法 归结为 3大类：知道什么、拥有什么、是什么。<br />　　是什么，是一种基于生物识别技术的认证。<br />　　1. 用户名和口令认证，三种简单的认证方式：明文传送、单向散列、单向散列函数和随机函数。<br />　　2. 使用令牌认证，密钥存储于令牌中。<br />　　令牌是一个可以加密存储并运行相应加密算法的设备，完成对用户必须拥有某物的验证。<br />　　令牌的实现分为：质询响应令牌、时间戳令牌，常用的是时间戳令牌。<br />　　系统的安全强度大大增加：私钥采用令牌存储的方式解决了 私钥自身的安全问题，安全强度大大增加。<br />　　而且令牌有 PIN码 保护，对令牌的非法访问超过一定次数后，令牌会死锁。<br />　　时间戳令牌利用时间代替随机数，需要重点考虑时间同步问题，目前在安全性较高的认证系统中，多是采用这种方案。<br />　　3. 生物识别与三因素认证<br />　　基于生物识别技术的认证，主要根据认证者的 图像、指纹、气味、声音等作为认证数据。<br />　　2、访问控制技术<br />　　根据 控制手段 和 具体目的 的不同，通常将 访问控制技术 划分为几个方面：入网访问控制、网络权限控制、目录级安全控制、属性安全控制、网络服务器安全控制等。<br />　　入网访问控制，控制准许用户 入网的时间、准许的工作站等。<br />　　由于用户口令验证方式容易被攻破，很多网络都开始采用 基于数字证书的验证方式。<br />　　用户 和 用户组 被 赋予一定的权限。<br />　　访问机制 两种实现方式：“受托者指派”和“继承权限屏蔽”<br />　　“受托者指派”控制用户 和 用户组 如何使用网络服务器。<br />　　“继承权限屏蔽”相当于一个过滤器，可以限制子目录从父目录那里继承哪些权限。<br />　　特殊用户、一般用户、审计用户。<br />　　对目录和文件的访问权限 一般有 8种：系统管理员权限、读、写、创建、删除、修改、查找、访问控制。<br />　　属性 能够控制以下几个方面的权限：写 数据、复制 文件、删除 目录或文件、察看 目录和文件、执行 文件、隐含 文件、共享、系统属性等。<br />　　11.1.5 安全协议 <br />　　1、IPSec 协议简述<br />　　因特网工程任务组(IETF)，IPSec 在 IP层上 对数据包 进行高强度 的 安全处理 提供 数据源验证、无连接数据完整性、数据机密性、抗重播、有限通信流机密性等安全服务。<br />　　1. IPSec 协议工作原理<br />　　通过使用两种信息安全协议 来为数据报提供高质量的安全性：认证头(AH)协议 和 封装安全载荷(ESP)协议，以及像 Internet 密钥交换(Internet Key Exchange，IKE)协议这样的密钥管理协过程和协议。<br />　　IPSec 允许系统或网络用户 控制安全服务提供的粒度。<br />　　由通信双方建立的安全关联(Security Association，SA)来提供。<br />　　3. IPSec 协议 安全性分析<br />　　可以应用于所有跨越网络边界的通信。<br />　　如果所有来自外部的通信必须使用IP，且防火墙是 Internet 与 组织的唯一入口，则 IPSec 是不能被绕过的。<br />　　IPSec 位于传输层(TCP、UDP)之下，因此对应用程序是透明的，实现时，没有必要在用户或服务器上更改软件。<br />　　IPSec 对最终用户是透明的，没有必要 培训用户掌握安全机制。<br />　　2、SSL 协议<br />　　SSL 协议(Secure Socket Layer)对计算机之间的 整个会话进行加密，位于 TCP 和 应用层 之间，可为应用层 提供 安全业务，主要是 Web应用。<br />　　基本目标是 在通信双方之间 建立安全的连接。<br />　　SSL 协议工作原理<br />　　两个重要的概念：SSL 连接和SSL 会话。<br />　　连接 是 提供恰当类型服务的传输，对于 SSL ，连接是点到点的关系。<br />　　SSL 的会话是 客户和服务器之间的关联，会话通过握手协议来创建。<br />　　会话定义了 加密安全 参数的一个集合。<br />　　会话可以用来避免为每个连接进行 昂贵的新安全参数的协商。<br />　　3、PGP 协议<br />　　1. PGP 协议的定义<br />　　PGP(Pretty Good Privacy)针对 电子邮件 在 Internet上 通信的 安全问题而设计的一种混合加密系统。<br />　　公钥密码和分组密码 是在同一个系统中，PGP 的用户拥有一张公钥表。<br />　　PGP 应用程序具有很多优点：速度快、效率高、可移植性好。<br />　　2. PGP 协议 的 加密过程<br />　　用 IDEA 算法对明文加密，接着用接收者的 RSA公钥 对这个IDEA密钥进行加密。<br />　　PGP 没有用 RSA 算法直接对明文加密，而是对 IDEA 密钥 进行加密。<br />　　由于 IDEA 算法 速度很快，所以不会因为邮件的数量大而耽误时间，而IDEA的密钥位数较少，所以使用RSA算法在速度上也不会有很大影响。<br />上面就是文章系统架构设计师辅导：学习笔记的部分内容，后续文章请继续关注考试百科。http://pc.kaoshibaike.com 相关论坛：http://bbs.kaoshibaike.com/forum.php?mod=forumdisplay&amp;fid=78<br /><br />

ww0564

求下载版啊