计算机密码技术（精选11篇）
计算机密码技术 篇1
云计算利用了公布式计算和虚拟资源管理技术, 集中了分散的ICT资源, 使共享资源池得以形成, 从而为用户提供了可度量的服务。虽然云计算能为人们带来一定的便利, 但也存在一定的安全隐患。由于传统的安全防护措施已无法解决云环境下的数据储存、密文检索等问题, 因此, 需要对云计算安全中密码技术应用模型进行分析和研究。
1 云计算安全架构
据权威机构的分析和研究表明, 在云计算中存在特权用户访问、利于遵从企业的免责法规、不确定的数据存储和处理、敏感数据保护等安全隐患。按照云计算三层服务体系可有效分析云计算的安全架构。云计算安全模块和支撑性基础设施是云计算安全架构的两大部分。三层服务体系即Saa S、Paa S和Iaa S, 其可划分云计算安全模块。在Saa S、Paa S和Iaa S这三层安保方法中, 一直贯穿着支撑性基础设施。密码服务是提供给以上安全保障方法的密码资源服务。
在支撑基础设施的各功能组件中可应用密码技术。如果应用云计算安全技术时比较复杂, 则可从各功能组件的角度解析密码。由于交叉和重叠是各功能组件防护范围内的组成部分, 所以, 在给出云计算安全中密码技术应用模型时, 应从云环境中安全系统的工作流程入手。
2 云计算安全中密码技术的应用模型
作为不可信的第三方, 云端所有处理的数据必须是密文, 且不具有解密能力, 这样才能避免用户数据内容被云端读取。从数据拥有者方面看, 包括普通用户、管理员和云端用户三种。其中, 普通用户对数据资源具有提供权和使用权。从安全系统的防护方面看, 云计算安全分为密码系统初始化模块、数据处理模块、认证模块和授权模块。
2.1 普通用户的数据安全应用
数据安全应用视图对应的是云环境中的单个应用。对于普通用户, 有以下4方面的工作: (1) 建立生成密码与主密钥等密码系统, 以满足用户的安全需求; (2) 通过分配密码资源的方式加密数据, 并解密从云端返回的密文数据; (3) 认证数据共享者的身份; (4) 将相关权限授予合法对象, 比如普通用户可授权代理等。
对于数据共享者, 有以下2方面的工作: (1) 通过普通用户建立密码系统, 并建立与之相关的密码参数。 (2) 分配密码资源和加密数据。同时, 解密由云端返回的密文数据。
对于用户加密数据外包云端, 其工作内容为通过与普通用户协商获得密码资源, 并对其外包, 再通过所收到的用户申请查询加密数据, 且要保证查询结果及时返回。
2.2 管理员的数据安全应用
管理员数据安全应用视图与云环境多个应用相对应, 可形成云端资源的应用场景。在该视图中, 树状层次关系可呈现信息系统中的用户对象, 而管理者即树状的根本。其各个模块具有以下功能: (1) 由信息系统的管理者建立分层密码系统, 以满足管理需求, 并生成密码系统需要的公开参数、主密钥; (2) 分配密码资源和加密数据, 并外包存储到云端, 还可解密由云端返回的密文数据; (3) 认证数据共享者的身份; (4) 对合法对象进行相关授权。值得注意的是, 要想使各子成员的功能模块生效, 就必须使其获得上级成员的授权。
3 云计算安全中密码技术的应用方向
3.1 身份认证
在云环境中, 用户身份的认证是通过运用身份加密算法和签名技术实现的, 这是结合云环境动态防御的特点提出的。通过将用户属性作为密码资源的组成部分, 可使用户不再信任云端, 自己掌握密码资源, 这是符合密码应用模型设计思想的。
3.2 访问控制
对于访问控制云环境, 目前, 在密码技术的基础上对其提出的解决方案并不多。访问控制主要利用生成层次密钥和分配策略, 并通过加密算法来实现的。当前的研究热点主要侧重于利用密码方法实行访问控制, 其原因是出于对云端的不信任现象。
3.3 隐私保护
隐私保护是指对数据、用户密文和密钥等方面的保护。从属性加密方面看, 隐私保护方案主要是对密文访问控制策略、密文属性集和解密密钥进行保护的。在无法获得密文的情况下, 基于重加密隐私保护, 会将某个密钥加密的密文转变为另一个密钥加密的密文, 而同态加密则可实现对密文的透明操作, 从而实现隐私保护;从数据的完整性和可用性方面看, 同态加密可实现数据的储存。
3.4 密钥管理
对于公钥加密方案的检索, 可通过身份加密、签名方案和关键字的方式进行, 可简化常见对称密钥体制中的分配问题。
4 结束语
综上所述, 解决安全问题的最佳方案即采用密码技术。在云环境中, 通过新密码技术解决其中存在的一系列安全问题是一种较为合适的方法, 但这种方法中存在一定的效率问题。因此, 还应采用非密码与密码相结合的方式。本文从云计算安全架构、云计算安全中密码技术的应用模型和云计算安全中密码技术的应用方向三个方面, 对云计算安全中密码技术应用模型进行了分析和研究, 以供相关人员参考。
摘要：通过对云计算工作原理与安全隐患的简要分析, 探讨了云计算环境下的安全架构, 提出了密码技术的应用方法, 结合密码学理论和云计算安全架构, 阐述了云计算安全中密码技术的应用模型, 并对其发展趋势进行了研究, 以期为密码技术应用模型在云计算中的安全使用提供一定的理论依据。
关键词：云计算,密码技术,应用模型,计算机
参考文献
[1]徐辉.试论可信计算技术在云计算安全中的应用[J].佳木斯教育学院学报, 2014 (06) .
[2]范翔.可信计算技术在云计算安全中的应用[J].计算机光盘软件与应用, 2014 (23) .
计算机密码技术 篇2
第一章总则
第一条为加强公司计算机系统用户口令（密码）的安全管理，提高计算机系统用户口令（密码）安全管理规范化、制度化水平，完善信息安全管理体系，特制定本规定。
第二条公司、各下属子公司的计算机系统用户口令（密码）的安全管理适用本规定。本规定不包括应用系统客户口令管理和用于保护文件共享等非登录计算机系统用户的口令管理。
第三条本规定所称计算机系统用户口令（密码）是指在登录计算机系统过程中，用于验证用户身份的字符串，以下简称计算机系统用户口令。计算机系统用户口令主要为静态口令、动态口令等。静态口令一般是指在一段时间内有效，需要用户记忆保管的口令。动态口令一般是指根据动态机制生成的、一次有效的口令。计算机系统用户口令主要包括：主机系统（数据库系统）、网络设备、安全设备等系统用户口令；前端计算机系统用户口令；应用系统用户口令；桌面计算机系统用户口令。
第四条计算机系统用户口令的安全管理遵照统一规范、重在意识、技术控制与管理措施相结合的原则。
第五条计算机系统用户口令持有人应保证口令的保密性，不应将口令记录在未妥善保管的笔记本以及其他纸质介质中（密码信封除外），严禁将口令放置在办公桌面或贴在计算机机箱、终端屏幕上，同时严禁将计算机系统用户口令借给他人使用，任何情况下不应泄漏计算机系统用户口令，一旦发现或怀疑计算机系统用户口令泄漏，应立即更换。
第六条计算机系统用户口令必须加密存储计算机系统中，严禁在网络上明文传输计算机系统用户口令，在用户输入口令时，严禁在屏幕上显示口令明文，严禁计算机信息系统输出口令明文（密码信封除外）。
第七条计算机系统用户口令持有人应保证口令具有较高安全性。选择使用口令安全强度较高的口令，不应使用简单的代码和标记，禁止使用重复数字、生日、电话号码、字典单词等容易破译的计算机系统用户口令。
第八条任何人不得利用盗取、猜测、窥视、破解等非法手段获取他人计算机系统用户口令，盗用他人访问权限，威胁信息系统安全。
第九条同一信息系统相同访问权限的用户应具有一致的口令安全要求。
第十条具有登录计算机系统权限的用户必须设置用户口令或其它验证用户身份的方式，严禁不验证用户身份直接登录信息系统。
第二章岗位及其职责
第十一条重要核心设备（如核心交换机、防火墙、服务器等）应设立口令安全管理专职人员，统一管理重要主机系统、核心网络设备、安全设备等超级用户以及重要系统中具有关键访问权限用户的口令。
第十二条计算机用户口令（专职人员管理的口令除外）持有人负责所持计算机用户口令在使用过程中的保密，负责设置、保存、更换计算机用户口令，负责口令自身的安全强度。第十三条系统管理（维护）人员、网络和安全设备管理（维护）人员负责启用计算机系统、网络和安全设备的口令安全管理相关功能；负责删除计算机系统、网络和安全设备多余用户和口令。
第十四条应用系统开发项目经理应负责组织实现应用系统支持口令安全管理的相关功能和机制。
第三章口令基本安全要求
第十五条计算机用户口令基本要求由口令长度、口令字符复杂度、口令历史，口令最长有效期组成：
（一）口令最小长度：6位
（二）口令字符组成复杂度：口令由数字、大小写字母及特殊字符组成，且至少包含其中两种字符（动态口令除外）；
（三）口令历史：修改后的口令至少与前10次口令不同；
（四）口令最长有效期限：30/60/90 天，可根据系统重要性和用户权限采取不同的有效期。
第十六条信息系统原则上应具有支持计算机系统用户口令基本要求的相关功能、机制。
第四章主机系统、网络和安全设备用户口令安全要求
第十七条系统用户口令主要包括主机系统、网络设备、安全设备等系统用户口令。主机系统用户是指能够登录主机系统的用户。
第十八条主机系统、网络设备、安全设备等应启动口令管理相关功能、机制，满足第三章口令基本安全要求，对于原有系统不支持或不具备相关技术功能、机制的，必须逐步建立、完善相应的安全管理制度措施，弥补技术机制上的不足。
第十九条主机系统、网络设备、安全设备等的超级用户口令以及重要系统中具有关键访问权限用户的口令应由专人设置与管理，超级用户口令应由口令设置人员将口令装入密码信封，在骑缝处盖章或签字后存档并登记。
第二十条存放超级用户口令的密码信封应放置在保险箱或带密码锁的箱、柜中，并由专人负责。
第二十一条 主机系统超级用户口令，网络设备、安全设备超级用户口令以及具有修改配置权限用户的口令应设置口令登记薄，记录口令使用相关信息，至少包括：设备名称、用户名称、口令启用时间、口令更换时间、口令使用者等内容。
第二十二条 如遇特殊情况需启用封存的口令，必须经过部门负责人审批，使用完毕后，须立即更换并封存，同时在口令管理登记簿中登记。
第二十三条 主机系统、网络设备、安全设备等超级用户口令最长有效期为30天，具有配置、修改权限用户的口令最长有效期可为60天，其它用户口令最长有效期应符合第三章口令基本要求。为安装应用系统所建立的用户的口令也应定期更换，安装重要应用系统的用户口令最长有效期为30天，安装其它应用系统的用户的口令最长有效期可为60天。
第二十四条 当系统用户口令持有人岗位调整时，原则上应删除其使用的用户，因工作需要，需要保留原用户的，必须及时更换系统用户对应的口令，严禁使用原口令登录系统。
第二十五条 对于主机系统、网络设备、安全设备的用户口令以及具有系统配置权限的用户（超级用户ROOT除外），可根据实际情况使用动态口令。
第五章应用系统用户口令安全要求
第二十六条 应用系统用户口令是指只用于访问应用系统的用户口令，口令对应的用户为应用系统用户，在操作系统中并不存在相应用户。
第二十七条 应用系统在开发过程中必须同步实现满足计算机系统用户口令基本要求的机制和功能，通过技术手段实现安全管理要求。对于现运行的、没有达到第三章口令基本要求的计算机系统的改造或升级，可结合具体情况稳步开展。同时，必须采用相应的管理措施，加强计算机系统用户口令的安全管理，保障应用系统的安全。
第二十八条 应用系统用户必须设置口令或使用其它身份认证方式，严禁不验证用户身份访问应用系统（对于信息网站中只浏览网页的用户，可不设置口令）。
第二十九条 应用系统必须提供用户口令更换机制，严禁应用系统代码中包含用户口令。
第三十条应用系统用户的口令应定期更换，口令最长有效期可根据应用系统的重要程度和用户的权限设定，同时符合第三章口令基本安全要求的最长有效期范围规定。
第三十一条 使用密码设备的员工必须经过专业培训和严格审查。
第三十二条 对于应用系统的用户口令，可根据实际情况使用动态口令。
第六章桌面计算机系统用户口令安全要求
第三十三条 桌面计算机系统用户口令主要是指员工用于日常办公信息处理的计算机系统的用户口令，如台式微机、笔记本电脑及其它个人计算设备的用户口令。
第三十四条 桌面计算机系统应设置用户登录口令、屏幕保护口令。
第三十五条 桌面计算机系统用户登录口令、屏幕保护口令应定期更换（操作系统不具有此功能除外），口令最长有效期可为90天。
第七章检查和监督
第三十六条 技术部要定期对计算机系统用户口令安全管理的情况进行检查，检查的主要内容包括：岗位和职责情况，口令登记簿登记情况，口令安全管理相关功能及其启用情况，多余用户口令删除情况，口令安全管理规定的落实和执行情况。
第三十七条 对于安全检查中发现的问题和隐患，各计算机系统主管和使用部门及口令持有人要进行认真整改。对于违反本安全管理规定造成严重后果的，给予警告至开除处分，情节严重触犯法律的将移交司法机关。
第八章附则
第三十八条 本规定由技术部负责解释。
第三十九条 各部门及子公司可依据本规定制定实施细则，并报公司备案。
计算机密码技术 篇3
关键词：计算机；安全防护；密码；设置
中图分类号：TP393.08 文献标识码：A 文章编号：1674-7712 (2012) 10-0142-01
一、前言
计算机的发展给人们的生产和生活带来了便利。随着计算机应用的深入，人们把许多重要的信息也开始储存到计算机中，但如果不采取安全防护措施的话，信息可能被恶意盗取。因此密码成了很好的防护剂，密码的设置也成了我们需要研究的问题。尤其是一些用户在使用密码时经常出现一些问题，密码如何做到安全保密成了研究的重点问题。设置密码可有保证数据的一定安全，但太多的各种密码也对用户带来了困扰，很容易忘记。这时就需要对原有密码解除、设置新的密码，所以产生了以下研究的问题。
二、CMOS密码的设置方法和解除方法
设置方法：通过开机进入界面按DEL键可进入CMOS界面,然后在PAWORD选项栏点击进入，这时提示输入密码如重复密码，这样输入完成后开机时就要先按del键输入密码才能键入，这样CMOS的密码的设置就成功了。
解除方法：通过打开主机的硬件系统可以解除密码,本文是通过软件技术启动开始菜单栏中的运行项，在DEBUG选项框中点击进入，出现DOS窗口，然后输入07010点回车键,再键入010通过回车键入Q再回车，退出程序解除完成。重启电脑时就可直接进入了。
三、WinZip密码的设置方法和解除方法
设置方法：从需要压缩的文件中点右键，弹出对话框点击 “Add to ZIP”按钮,此时出现“添加到文件”选项单击打开，出现“密码”界面，在密码设置中按照常规操作输入想要的密码就可以了。出现“密码设置”选项框中点击进入并输入所需的密码即可。加密后我们可使用“WinZip”查看压缩包中的文件但解压或浏览某个文件时,系统就会要求用户输入密码。
接触的相应方式：假如用户遗忘了ZIP压缩包的密码，那么就不能够对其继续拧相应的解压操作，我们在此时就需要应用一个专门的解码软件AZPR(Advanced?ZIP?Password?Recovery)对于密码进行相应的搜索。在此时，我们只需要从ZIP?Password—encrypted?file”?的相关选项当中选择徐亚奥解除的ZIP压缩包，并且在Brute—Force?rang?options”的相关选项当中进入选择密码范围（例如是否包括空格、符号、数字等），之后单击“Start”按钮，在此时系统应用穷尽法对于可能产生的密码组测试，找到密码之后再将其显示出来。
四、ARJ密码的设置方法和解除方法
设置方法：ARJ是一个命令行实用软件,它的有关操作全部通过命令行来实现,其中“一P”参数就是用来设置压缩包密码的,我们只需在其后面输入相应的密码,即可达到为压缩包设置密码的目的(“一P’,参数与密码之间没有空格)。我们要将c盘DOS目录下的所有文件全部压缩到一个BACKUP的压缩包中,并为它设置“PASSWORD”的密码“ARJA—PPASSWORDBACKUP C：＼DOS”命令即可。
解除方法：当ARJ压缩包的密码被遗忘之后,我们同样可以用一个专业的ARJ压缩包密码解除软件AAPR(Advanced ARJ Password Recovery),然后再利用它找出ARJ压缩包的密码。AAPR的界面及操作方法都与AZPR基本一致,这里就不详细介绍了。
五、Word密码的设置方法与解除方法
设置方法：通过word工具栏中的文件中，点击另存为按钮，接着出现的对话框中点击选项，然后对打开权限密码或修改权限密码进行修改，把自己需要的密码设置进去，通过这种密码权限的改变用户可以对文档的权限设置，保护文档的隐私权。
解除方法：有时用户会对word密码忘记，这时就需要MSOfPass的软件来解除。MSofPass软件是基于word文档编程的基础上编制的。具体操作为点击 “Settings”启动程序,程序启动后打开“Brute force settings”对话框,这时要设置MSOfPass的属性，这主要对Password chanceterset的一些字母大小写、格式的修改。这样完成设置后就要返回主界面。密码需要文件的word文件移动到MSOfPass中，用户根据自己的需求设置新的密码，最终找回原有密码。
此外，excle的密码设置解除和word大同小异，也是通过上面的步骤进行操作，其中一些细节步骤的提示稍稍变了一下。
六、对“*”显示的密码解除的方法
有时我们在输入密码时,很多软件不会显示明字符,显示的字符通过一堆“*”方法表达,这种方法可以有效保障密码的安全。但这样就给密码的解除带来了一定的困难,目前Snadboy软件可以实现对此密码的解除。Snaboy软件是在用 “*”显示密码的情况下特意开发的一款解除工具软件,它的工作原理是查找原有的密码明码,在用户面前显示。这样用户就可以十分简单的自己操作，将Snadboy软件“密码区选择器”中的“十字架”拖到这些应用“*”密码上，密码的明码就会显示出来，提供用户再次使用或者修改。
七、结语
计算机的防护在市场竞争日益激烈的今天十分的重要，密码的设置问题也变得举足轻重。通过掌握一些常用的密码设置与解除方法，做好密码安全的防护工作，为广大的计算机用户的工作和生活提供方便。
参考文献：
[1]秦艳华,浪花.计算机密码的设置与破解.成功（教育版）,2011,14
[2]张亮.浅论可信计算机平台密钥管理.计算机光盘软件与应用,2011,16
[3]吕兴凤,姜誉.计算机密码学中的加密技术研究进展.信息网络安全,2009,4
[4]罗婉平.现代计算机密码学及其发展前景.江西广播电视大学学报,2009,3
量子计算机推动密码学的发展 篇4
一、量子计算机
量子计算机是一类遵循量子力学规律进行高速数学和逻辑运算、存储及处理量子信息的物理装置。它是以量子力学原理直接进行计算的计算机。
1982年美国的R.Feynman提出了把量子力学和计算机结合起来的可能性。1985年英国牛津大学的D.Deutsch进一步阐述了量子计算机的概念, 建立了量子图灵机的模型, 并且证明了量子计算机比经典计算机具有更强大的功能。
量子计算机是以量子比特存储内容。依据量子力学, 用自旋或者二能级态构造量子计算机中的数据位, 并称之为量子比特 (qubit) 。量子比特可以是0或者1, 也可以是0和1的迭加态:α|0>+β|1>。而对经典计算机来说, 信息或者数据由二进制数据位 (bit) 存储, 每一个二进制数据位由0或1表示。每一个数据位是0, 或者是1, 二者必取其一。在经典计算机里, 一个二进制位只能存储一个数据, n个二进制位只能存储n个一位二进制数或者1个n位二进制数, 而在量子计算机里, 一个量子比特可以存储两个数据, n个量子比特可以同时存储2n个数据, 从而大大提高了存储能力。现代物理学发展表明, 量子纠缠态之间的关联效应不受任何局域性假设限制。如果体系的波函数不能写成构成该体系的粒子的波函数的乘积, 则该体系的状态就出处在一个纠缠态, 即体系的粒子的状态是相互纠缠在一起的。如果两个粒子处在纠缠态上, 不管它们离开有多么遥远, 对其中一个粒子进行测量 (或作用) , 必然会同时影响到另外一个粒子。正是由于量子纠缠态之间的神奇的关联效应, 提供了量子并行计算的可能。量子比特越多, 并行计算能力增长越快。300个量子比特的量子计算机, 可以同时代表的数字就比宇宙中的原子还多。要实现目前最强大计算机的功能, 只需要1000个量子比特。量子计算机的另一显著优势是量子系统的模拟, 这是经典计算机无法比拟的。随着研究的进一步深入, 可以预见它的作用远不止是解决一些经典计算机无法解决的问题。
无论是量子并行计算还是量子模拟计算, 本质上都是利用了量子相干性。遗憾的是, 在实际系统中量子相干性很难保持。为此世界各地的科学家不懈地努力, 许多实验室正在以巨大的热情追寻着这个梦想。1995年, 科学家采用单量子比特的任意旋转和双量子比特的受控非门就可以搭建任意的量子电路, 即所谓的量子计算机标准模型。1998年美国和英国的牛津大学小组已在实验室里制造出了最简单的量子计算机。它如同一只咖啡杯, 我们无法确定未来的量子计算机究竟是什么样的。目前科学家们提出了几种方案:第一种方案是核磁共振计算机, 我们可以用自旋向上或向下表示量子比特的0和1两种状态, 那么怎么实现自旋状态的控制非操作呢?在许多有机分子中, 当其中一个原子的自旋处于不同状态时, 另外一个原子的自旋翻转所需的能量或者说共振频率也不同。如果我们把其中一个原子的自旋状态当作控制位, 另一个原子的自旋当作目标位, 控制不同的共振频率, 就可以实现控制非操作。而它之所以更像一个咖啡杯, 是由于这些有机分子 (例如氯仿) 被溶解于另外的有机溶液里。这些有机溶液与氯仿几乎没有相互作用, 从而保证了量子态和环境的较好隔离;第二种方案是离子阱计算机, 在这种计算机中, 一系列自旋为1/2的冷离子被禁锢在线性量子势阱里, 组成一个相对稳定的绝热系统。这种量子计算机由激光来实现自旋翻转的控制非操作。由于在这种系统中, 去相干效应在整个计算中几乎可以忽略, 而且很容易在任意离子之间实现n位量子门;第三种方案是硅基半导体量子计算机。在高纯度硅中掺杂自旋为1/2的离子实现存储信息的量子位, 由绝缘物质实现量子态的隔绝, 硅基半导体量子计算机与经典计算机一样建立在半导体技术的发展基础上, 因此有着巨大的诱惑力。此外还有线性光学方案, 腔量子动力学方案等。1999年, IBM研究实验室的查尔斯·本内特总结说:“作为一个基础科学研究题目, 量子计算已经差不多研究完了。真正造一台量子计算机现在已经是一个工程问题。”从此全世界的努力聚集于储存和操作量子比特的方法上。目前世界各个发达国家都投入了大量的人力和物力进行量子计算机的研究。美国启动了“mini-Manhattan project”以研究量子芯片的计划[1], 而由布里斯托尔大学、日本东北大学、以色列魏茨曼科学研究所和荷兰屯特大学的科学家组成的国际研究小组将利用光子芯片来进行量子力学模拟, 并准备通过增加光子数和增大芯片尺寸等手段来完成更复杂的实验。量子计算机不但与未来的计算机产业的发展紧密相关, 更重要的是它与国家的保密、电子银行、军事和通讯等重要领域密切相关。量子计算机结合了二十世记许多杰出的发现和成果, 实现量子计算机是二十一世纪科学技术的最重要的目标之一。
二、密码学
密码学 (cryptographer) 是研究如何隐密地传输信息的学科, 主要包括密码编码学和密码分析学。密码学发展历史可以追溯几千年前, 古典密码学主要考虑信息的机密性, 即如何将可理解的信息 (通常称为明文) 转换成难以理解的信息 (通常称为密文) , 并且使得秘密接受者能够逆向恢复信息, 但同时保证密文的拦截者无法解读信息或者防范密文被攻击。密码编码学是依据密码编码理论将明文编成密文, 其目的最大限度地防范密文的拦截者, 体现为密码技术 (cryptology) ;密码分析学是研究明文编译为密文的设计思想, 破译密文的技术;两者对于信息保密传输是相互依赖, 一方面, 两者在加强密码分析的安全上互为促进;另一方面, 在实施更为有效的攻击方面也互为影响。1949年, C.E.Shannon的奠基性论著“保密系统的通信理论 (Communication Theory of Secrecy System) ”的发表, 标志着现代密码学的诞生。1976年, W.Diffie和M.E.Hellman发表了“密码学中的新方向 (New Directions in Cryptography) ”, 提出了一种创新的密码设计思想, 证明了从发送端到接受端无密钥传输的保密通信是可能的, 从而开创公钥密码学的新时代, 为密码学广泛应用提供了必不可少的基础。
公钥密码体制的设计思想在于每个用户有两个密钥, 加密密钥和解密密钥, 这两个密钥是不同的且不能从一个推出另一个, 因此也称为非对称密码体制。将加密密钥 (通常称为公钥) 公开, 仅对解密密钥 (通常称为密钥) 保密, 它的安全性取决于所依据的数学问题的计算复杂性。
1976年, W.Diffie和M.E.Hellman首次建议利用计算复杂度来设计密码系统。他们认为利用较困难的NP问题是非常合适的对象。当巧妙设置陷门到密码系统时, 密码的破译者就相当于求解一个较困难的NP问题, 无法在多项式时间内完成, 但对知道这个陷门的人而言, 可以简便地求解。但是比NP问题更复杂的问题来设计密码系统, 却不一定理想, 因为密码的加密、解密速度也不能太慢。1978年美国麻省理工学院三位教授Rivest、Shamir及Adlemen就根据此设计理念, 将计算复杂度建立于大因数分解的问题, 即RSA密码系统[2]。
现在, 网络的广泛运用, 为了使用户对电子消息的认证, 模拟传统文件的手写签名, 数字签名技术应运而生。数字签名基于离散对数问题的签名方案, 例如1985年的ElGamal型数字签名方案, 其最快的算法需要O (cexp) , 以及DSA (Digital Signature Alogrithm) 签名方案, 而RSA签名方案是基于素因子分解问题的数字签名方案。RSA密码体系已广泛地植入网络信息安全中。
三、量子计算机对密码学的影响
从1982年美国的R.Feynman提出了把量子力学和计算机结合起来的可能性, 到1985年英国牛津大学的D.Deutsch进一步阐述了量子计算机的概念, 并且证明了量子计算机比经典计算机具有更强大的功能[3]。在量子计算机的研制过程中, 各国科学家已经开始探讨它对现有的密码体制的影响及发展方向。
首先, 早在上世纪九十年代Shor受Simon启发, 利用数论中的一些定理, 将大数的因子分解转化为求一个函数的周期问题, 而后者可以用量子快速傅里叶变换 (FFT) 在多项式步骤内完成。同样求解离散对数问题也可以有多项式量子算法, 使部分经典计算的难题在量子计算机上可以在多项式时间内求解[4]。因此基于大整数分解 (RSA公钥体制, 以及基于二次剩余问题的密码体制) 和离散对数 (包括有限域上的离散对数以及椭圆曲线上的离散对数) 的难解性的密码体制会受到量子计算机的威胁。即以大数因式分解算法为依据的电子银行、网络等领域的RSA公开密钥密码体系在量子计算机面前不堪一击。W·Dam等给出了一个基于有限域上的乘法特征位移问题的量子算法, 并证明了该量子算法可以用于破解代数同态的密码体制, 这样离散对数算法也可以分析代数同态的密码体制。所以Shor证明了量子计算机会对现有的社会和国民经济以及国防产生潜在的威胁。
其次是Grover提出的量子搜索算法作用。1995年, Grover给出了基于无序数据库的搜索算法。对于一个无结构的数据库, 最优经典算法的搜索复杂度为O (N) , 用经典计算机搜索的期望次数为N/2步。Grover给出了一个搜索复杂度为的量子搜索算法, 称为Grover算法, 用Grover算法对密码体制实施攻击称为Grover攻击, 它可以破译DES密码体系。虽然量子搜索算法并没有在指数上加速问题的求解, 但由于其应用的广泛性同样备受关注[5,6]。
除此之外, 1982年, Feymann就猜测量子计算机可以用来模拟一切局域量子系统, 这一猜想, 在1996年由Lloyd证明是正确的。首先得指出, 模拟量子系统是经典计算机无法胜任的工作。作为一个简单的例子, 考虑由40个自旋为1/2的粒子构成的一个量子系统, 利用经典计算机来模拟, 至少需要内存为240=106M, 而计算其时间演化, 就需要求一个240×240维矩阵的指数, 这一般来讲, 是无法完成的。而利用量子计算机, 只需要40个量子比特, 就足以用来模拟。Lloyd进一步指出, 大约需要几百至几千个量子比特, 即可精确地模拟一些具有连续变量的量子系统, 例如格点规范理论和一些量子引力模拟。这些结果表明, 模拟量子系统的演化, 很可能成为量子计算机的一个主要用途。这将对更高计算复杂度的密码体制提供信息处理的条件, 同时也使得目前某些基于较高计算复杂度的密码体制变得容易攻破。
在量子计算机对现有的密码体系构成潜在威胁的同时, 量子密码通信技术的研究却为信息保密传输开辟了另一个方向。根据量子力学原理, 用量子的物理特性来保护信息。由于“Heisenberg测不准原理”和“单光子不可复制原理”, 以量子存在的状态作为信息加密、解密的密钥, 其实质是在信息传输中来规避信息拦截者的攻击, 可行的量子密钥分配方案有BB84协议、B92协议, 已经逐步从实验室技术走向实用技术[7]。
四、结束语
当今信息资源已经成为人们生活、工作的不可缺少的一部分, 信息保密也已经受到更大的关注, 现有密码体制在日益发达的计算机技术面前遇到了前所未有的挑战, 量子计算机的研发为密码学发展创造了机遇与困境并存的条件, 促使密码学要不断创新。而量子密码通信新技术为保密通信开辟一条崭新的方向, 为军事、国防、商业、政府政务等各个领域保密通信的广泛应用展现美好前景, 多个国家已经瞄准量子技术作为未来科技战略竞争的目标以求大力发展。
参考文献
[1]郭光灿, 周正威, 郭国平, 等.量子计算机的发展现状与趋势[J].科学发展, 2010, 25 (5) :516-524.
[2]Rivest R, Shamir A and Adlemen L.A Method for Obtaining Digital Signatures and Public-Key Cryptosystems[C].Communications of the ACM, 1978, 21 (2) :120-126.
[3]吕欣, 马智, 钟淑琴.量子密码理论研究进展[J].计算机工程与应用, 45 (23) :28-32.
[4]Shor P W.Polynomial-time algorithms for prime factorization and discrete logarithms on a quantum computer[J].SIAM Journal on Computing, 1997, 26 (5) :1484-1509.
[5]Grover L K.A fast quantum mechanical algorithm for database search[C]//Proc of 28th STOC, 1996:212-219.
[6]Grover L K.A Quantum search on structured problems[C]//Lecture Notes in Computer Science, 1999, 1509:126-139.
计算机密码技术 篇5
摘 要：随着我国信息科学技术的快速发展，各种网络通信设备得到了大范围的推广和使用。如果某些通信协议存在安全隐患，很可能在网络应用中被其他恶意用户攻击。安全通信协议在信息传输过程中可以实现保密功能，并且为通信双方确认身份提供了便利。因此，在网络应用中保障通信协议安全十分关键。本文以密码技术为基础对网络安全通信协议进行了研究和探讨。
关键词：密码技术；网络安全；通信协议
人们将日常生活中容易理解的内容通过一定的转换或者变化，让这些内容变为不能通过常规思维理解的信息，这就是密码技术。密码技术从本质来看属于数学应用，其应用过程可以分为加密、传递和解密三步[1]。为了便于执行通信过程中的加密和解密操作，进而保障网络通信安全，人们制定了安全通信协议，该协议规定了通信双方执行各项操作的顺序与规范。安全通信协议的参与方在两个或以上，参与者在执行各步操作过程中应该按照规定依此完成，不可跳过和漏项。安全通信协议在信息传输过程中可以实现保密功能，并且为通信双方确认身份提供了便利。安全协议可以在满足网络安全的基础上，减少网络通信中影响运行效率的各种因素。本文以密码技术为基础对网络安全通信协议进行了研究和探讨。密码技术在网络通信协议中的应用
网络通信系统中可以使用密码技术对传输的信息进行加密，并且设置必要的身份鉴别，同时也可以运用授权和控制访问存取的方式保障通信安全。网络通信中的密码技术主要是对数据进行加密，在信息的传输、存储方面应用较多。从网络通信数据加密的方式来看，常见的有节点加密、链路加密等[2]。这些加密方法在应用过程中各有特点，在传输密级程度较高的信息过程中，应该综合运用多种加密方式。在实际运用过程中应该结合通信安全的需求，考虑加密技术是否会增加网络运行过程中的负荷等。由于在不同的情况下每一个通信实体具有的网络结构存在很大差异，因此实际应用过程中应该根据不同的网络结构设置安全通信协议。目前常用的安全通信协议有密钥协商、身份认证和加密等[3]。
在网络通信安全防护阶段可以综合运用信息加密、身份验证和鉴别等多种密码保护技术，以此保障网络通信安全。管理人员可以运用密码技术限制非授权用户进入系统，可综合运用身份识别、口令机制等达到目的。如果入侵者进入系统的方式比较特殊，可以运用访问控制和验证等方式达到保密信息的目的。如果入侵者能够通过特殊的方式获取保密信号，管理者应该根据实际情况对信息进行不同程度的加密。
企业级别网络可以分为商务服务网、办公网和内部信息网三部分，每一个子网对信息的安全需求不同，应该结合实际使用不同的密码技术，在降低投入成本的同时满足整体安全需求。商务服务网可以使用控制细粒度访问的方式，对用户和服务器等进行身份验证。企业内部信息网不仅需要防止非法入侵以及外部用户的非法访问，也需要对内部用户进行管理，适当控制内部用户的对外访问。办公网是企业网络的核心，禁止信息从网络向外部流动，并且在用户和服务器之间设置安全通道，在安全通道中设置身份认证等，避免外部用户进入办公网络中。基于密码技术的网络安全通信协议对策
在深入分析企业级网络通信协议的安全需求后，我们可以充分结合密码技术以及现有的设备和技术，在网络系统中保障安全保密技术和保密模式的一致性，将密码、秘钥等集中起来进行统一管理，密码的处理使用专用的硬件，以此保障企业级网络系统的安全。常用的网络通信安全协议对策有：
⑴将VPN设备接入内网的路由器节点中，构建一个VPN的专用安全通道，对VPN通道中的信息进行认证和加密，以IPSEC作为参考。虚拟专用网络（VPN）是信息网络中的一项新技术，在企业网络中设置独立的VPN设备，可以在不提高运营成本的前提下保障各种信息数据的交换安全，运用这种方式也可以避免在WAN中投入过多的成本，并且能够充分利用各种信息资源。VPN的专用安全通道可以对各种数据进行封装传输，并且各种信息均经过密钥处理，可以在公共网络上安全地传输和通信。
⑵在网络的重要服务器配置或者用户终端设置密码机，将端端加密和节点加密等密码技术应用于特殊系统中，在系统标准应用方面提供加密或者身份认证等服务。在通信网络中建立密码逻辑管理中心，对用户密码机、专用密钥等进行分配与管理，以此更好地管理各种网络安全设备或者密钥等。
⑶将安全授权、设备控制应用于企业网络各子网的重要节点上，实现接入口的身份认证和用户授权，制定并合理配置各种细粒度安全策略，让加密和鉴别等为网络通信细粒度访问控制把关。在内外信息网络中设置网络防火墙，有效隔离企业网络中的业务子网络，对网络中的出入路由器进行控制，较粗粒度地进行进出数据控制，确保数据传输和通信过程中的保密性，在不同层次的安全访问控制过程中使用较粗粒度控制。结语
在计算机信息网络应用范围不断扩展的同时，网络通信安全问题也变得更为严峻。因此，在网络中综合利用密码技术以及各种安全通信技术，能够避免网络通信信息受到侵害，保障信息数据的传输安全，这对于促进信息化的发展具有十分重要的意义。
[参考文献]
谈密码技术的发展趋势 篇6
密码技术作为一种保护通信秘密的手段和方法，已经有几千年的历史。自从人类文明诞生以来，密码的技术方法就随之而来。密码学不仅本身涉及到秘密性，就其本身的发展过程也说，也是非常神秘的。因为保密的需要，要隐蔽于秘密之中，它就是一门秘密的科学。第二次世界大战后，美、苏、英等几个密码大国的专业密码学家因为国家军事、政治的需要，不仅要隐姓埋名，而且发表著作时还要接受严格的审查，当时公开出版的文献更本无法全面反映这门科学的真实状况。
纵观密码技术的发展历程，大体可以将其分为三个阶段，即古典加密方法，古典密码体制和现代密码体制。
古典加密方法通常是指那些通过某些原始的约定，将需要表达的信息限制在一定范围内。比如古代的离合诗技术、倒读隐语、语言隐写技术，还有漏格方法和俚语黑话等。这些方法已经体现了密码编码学中代替和换位的基本思想。
古典密码体制是在有线与无线通信技术产生后逐步兴起的，特别在军事斗争中，秘密的无线通信就显得格外重要。古典密码体制的典型例子有CASER加密体制和PLAYFAIR加密体制，其主要方法就是利用文字的代替和换位，有时还运用某些简单的数学运算。随着高速、大容量和自动化保密通信的要求，出现了机械与电路相结合的转轮加密设备，古典密码体制也就退出了历史舞台。
二战以后，密码技术迅速与计算机技术密切结合，无论是其算法还是应用对象均与计算机、现代通信技术紧密结合。现代密码学不仅与计算机科学密不可分，还与统计学、组合数学、信息论、以及随机过程等各学科关系密切。特别是在1976年， Diffie和Hellman发表了《密码学的新方向》一文，开辟了公钥密码算法的崭新领域。从此，密码技术揭开了神秘的面纱，真正成为公开讨论的话题。密码技术的应用领域也逐步由政府和军事扩展到民间，在企业、新闻、商业、金融乃至社会生活的各个方面得到广泛应用。从此，密码技术的发展进入了一个空前繁荣的时代，各种加密思想和方法不断涌现。
Diffie和Hellman的《密码学的新方向》一文奠定了公钥密码算法的基础。公钥密码算法的概念在密码技术的发展史上具有划时代意义。公钥密码算法又称非对称密钥算法、双钥密码算法。在公钥密码算法中，公钥可以公开，密钥必须保密。加密算法和解密算法也都是公开的。虽然密钥是由公钥决定的，但却不能根据公钥计算出密钥。
公钥密码算法出现后，只有两种类型的公钥系统密码算法是安全实用的，即基于大整数困难分解问题的密码算法和基于离散对数困难问题的密码算法。基于大整数困难分解问题的公钥密码算法有RSA, Rabin，LUC算法及其推广，二次剩余算法等。
RSA体制最初是由美国麻理工的Riverst，Shamir和Adleman于1978年提出的。RSA算法能抵抗所有的密码攻击，但其理论基础非常简单。RSA算法基于一个十分简单的数论事实：将两个大素数相乘十分容易，但对其乘积进行因式分解却极其困难，因此可以将乘积公开作为加密公钥。RSA算法的安全性取决于素数乘积的安全，素数乘积被分解成功，该密码算法便被破译。即破译RSA的难度不超过大整数的分解，但我们不能证明破译RSA和分解大整数是等价的。作为对RSA算法制的一种修正，M.O.Rabin于1979年提出了一种变形的RSA算法，称之为Rabin算法，可证明它的安全性等价于大整数因子分解问题。目前，由于计算机分解大整数的能力越来增强，目前一般使用1024的模长，未来几年里可能要被迫选择2048的模长。但由此带来的问题是系统更复杂，计算速度更慢。
由于RSA体制比较简单和成熟，目前RSA体制已经作为一种标准被广泛使用，比如现流行的PGP就是将RSA作为传送会话密钥和数字签名的标准算法。
基于离散对数困难问题的密码体制主要包括基于有限域的乘法群上的离散对数问题的ElGamal体制和基于椭圆曲线离散对数的椭圆曲线密码体制（ECC），以及近来Lenstra等人提出的XTR群的离散对数问题的XTR公钥体制。
前文已经说过，为保证RSA算法的安全性，RSA的密钥长度需要一再增大，使得它的运算负担越来越大。相比之下，椭圆曲线密码体制（ECC）可用短得多密钥获得同样的安全性。该体制，由Koblitz和Miller于20世纪80年代中期分别提出。ECC的安全性只与椭圆曲线本身有关系，基于椭圆的离散对数问题比一般的基于整数的离散对数问题和整数分解问题更加困难。ECC由于其自身的安全性高，密钥量小，较好的灵活性，得以广泛应用。目前，ECC已经被IEEE公钥密码标准P1363采用。
近年来，我国在密码技术的理论和应用等方面已经取得了一些成绩，在一些领域已经达到世界先进水平。但研究的深度、广度和可持续发展性都与国际水平还有差距，新理论、新观点和新方法还不够多，在很多方面都有待于进一步加强。
新技术的应用和计算能力的提升必将对密码学带来巨大的挑战，密码技术的研究必须顺应时代的要求。综观全局，密码技术的发展呈现出以下四大趋势：
（1）密码的标准化趋势。密码标准是密码理论与技术发展的结晶和原动力，像AES、NESSE、eSTREAM和SHA3等计划都大大推动了密码学的研究。
（2）密码的公理化趋势。追求算法的可证明安全性是目前的时尚，密码协议的形式化分析方法、可证明安全性理论、安全多方计算理论和零知识证明协议等仍将是密码协议研究的主流方向。
（3）面向社会应用的实用化趋势。电子政务和电子商务的大力发展给密码技术的实际应用带来了机遇和挑战。生物特征密码技术是现在的一个研究热点，由于应用的需要，它也将是未来的一个发展方向。轻量级密码技术（适度安全的密码技术）的研究已成为当前很受关注的一个方向。
（4）面向新技术发展的适应性趋势。量子密码、DNA密码等可以应对新的计算能力和新的计算模式带来的巨大挑战；随着网络技术的广泛普及和深度应用，密码技术的研究也呈现出网络化、分布式发展趋势，并诱发新技术和应用模式的出现。
具体来讲，密码技术的发展趋势呈现出以下几个特点：
（1）后量子时代的密码或量子免疫的密码是公钥密码研究的一个重要方向。
（2）面向新兴应用、新型信息安全系统的密码系统芯片的设计是未来的方向。当前的研究重点是如何降低校验方法的复杂度、硬件开销和验算时间。
（3）数字签名的重点研究方向是新的数字签名的设计、安全性基础问题的挖掘和已有数字签名的安全性分析与证明。
（4）既可以进行形式化分析，又具有密码可靠性的方法是目前形式化方法研究的热点，也是未来的发展方向。可复合性问题是目前密码协议形式化分析的另一个热点问题。
（5）可证明安全性的发展将集中在如何为新的安全属性建立合适的模型，标准模型下可证明安全的密码协议设计等。另外，重置零知识、精确零知识也是密码协议的一个发展方向。
（6）密钥管理技术中，如何在各种应用环境中支持匿名性和隐私保护，以及适应具体应用的密钥管理新技术的研究都是目前的重要研究方向。PKI技术将向着跨域、无中心化、容侵容错、基于身份的结构和应用研究等方向发展。
（7）量子密码已进入实用化阶段，克服量子密码应用中的技术难题和进行深入的安全性探讨将是今后量子密码发展的趋势。另外，量子中继器，地面与卫星之间的量子保密通信，量子密钥容量的计算，设备无关的量子密码系统等都是未来的一些重要研究方向。
计算机密码技术 篇7
随着计算机应用的普及, 许多用户都开始利用计算机处理一些涉及隐私甚至比较机密的信息, 这就不可避免的会遇到如何保密的问题。相对而言, 设置密码是运用最多, 也是最方便有效的安全控制措施!计算机密码的设置, 主要包括:开机密码、屏幕保护密码、Word密码。
1.1 开机密码
对于Window s XP, 设置开机密码的方法一般有三种, 即系统用户密码、系统启动密码和BIOS密码。其设置方法分别如下:
1.1.1 系统中设置用户密码的方法:
开始→控制面板→用户帐户→选择你的帐户→创建密码→输入两遍密码→按“创建密码”按钮即可。如果要取消密码, 只要在第2步要求输入新密码时直接回车即可。
1.1.2 系统中设置启动密码的方法:
Window s XP除了可以在控制面板的用户帐户里设置“用户密码”来确保系统安全外, 系统还提供了一个更安全有效的“系统启动密码”, 这个密码在开机时先于“用户密码”显示, 而且还可以生成钥匙盘。如果你设置了“系统启动密码”, 系统就更安全了。Windows XP设置“系统启动密码”的方法如下:
单击“开始”“运行”, 在“运行”对话框中输入“Syskey” (引号不要输入) , 按“确定”或回车, 弹出“保证Windows XP帐户数据库的安全”对话框, 在对话框中点击“更新”按钮, 弹出“启动密码”对话框, 选中“密码启动”单选项, 在下面输入系统启动时的密码, 按“确定”按钮即可。
要取消这个系统“启动密码”, 按上面的操作后在“启动密码”对话框中选中“系统产生的密码”, 再选中下面的“在本机上保存启动密码”即可, 确定后启动密码就会保存到硬盘上, 下次启动时就不会出现启动密码的窗口了。
“启动密码”在出现登录画面之前显示, 只有输入正确的启动密码后, 才会显示登录画面, 用户才能输入用户名和登录密码完全登录系统。如此, 系统就有二重密码保护。
1.1.3 BIOS中设置密码的方法 (不同机器有所不同) :
(1) 开机按De l键进入CMOS设置, 将光标移到“Advance d BIOS Fe ature s (高级BIOS功能设置) ”回车, 打开“Advanced BIOS Features”页面, 找到“Security Option (检查密码方式) ”或“Password Check (检查密码方式) ”, 将其设置为“System (系统) ” (注:该项有两个设定值System和Setup, 设置为System时开机进入CMOS设置和进入操作系统均要输入密码;设置为Setup时仅开机进入CMOS设置要输入密码) , 按Esc键回到主页面; (2) 在主页面将光标移到“Set Supervisor Password (超级管理员密码) ”回车, 在出现的窗口中输入密码并回车, 在出现的窗口中再次输入同一密码并回车, CMOS便回将密码记录下来并返回主页面。 (3) 在主页面将光标移到“Save&Exit (存储退出) ”回车, 按Y键, 再回车即可。
在第2步选择“Set User Password (设置用户密码) ”可以设置用户密码, 用户密码与超级管理员密码的区别是:用用户密码进入CMOS设置只能查看不能修改。
上述三种密码中以系统启动密码的安全性最高, 用户密码其次, BIOS密码的安全性最低。BIOS密码可以通过将主板上的电池取下而消除;用户密码在网上也可以找到很多破解方法;但启动密码还很难找到破解方法。建议同时设置启动密码和用户密码, 这样就有双重密码保护, 不但开机时要输入密码, 而且在暂时离开时可以通过同时按Windows徽标键 (Ctrl和Alt之间的那个键) 和字母L键锁定计算机 (锁定时, 计算机返回登录的画面, 必须输入拥护密码才能返回系统进行正常操作) , 使他人无法使用。
1.2 屏幕保护密码
当你只是离开计算机一小会儿, 你不想让别人偷窥到你的桌面。你可以设置屏幕保护密码。另外, 屏幕保护程序还有保护显示器的作用。
设置:右击桌面空白处并执行“属性”命令, 打开“显示属性”设置框, 然后单击“屏幕保护程序”选项卡并从“屏幕保护程序”列表框中选择喜欢的屏幕保护程序, 激活系统的屏幕保护功能。接下来我们应复选“密码保护”选项, 然后单击“更改”按钮, 打开“更改密码”对话框并重复两次输入密码即可达到设置密码保护的目的。
1.3 Word密码
设置:在保存Word文档时, 在“另存为”对话框中单击"选项"按钮, 然后在弹出的“保存”对话框的“打开权限密码”或“修改权限密码”栏中设置密码 (设置“打开权限密码”后, 不知道密码的用户将无法打开文档;设置“修改权限密码”后, 其他用户仍然可以打开文档进行浏览, 但是不能对文档进行修改) , 最后单击“确定”按钮即可。
为了保证自己数据的安全, 防止他人的非法破解, 我们在设置密码时应注意以下几点: (1) 每月左右更改一次系统开机密码和Window s的启动密码。 (2) 不要将多个不同项目的密码设置得完全一样。 (3) 密码千万不要少于8个字符。 (4) 不要将自己的个人资料作为密码 (如姓名、英文名字、生日、电话、身份证号码等) , 也不要采用某个现成的英文单词作为密码。 (5) 密码最好采用英文字符、数字及符号的混合, 如A2s?9Qb1+等。 (6) 除少数软件在设置密码时不区分大小写外, 更多的软件则是将大小写字符视为不同的密码。
2 多余端口关闭
Window s有很多端口是开放的, 上网时, 网络病毒和黑客可以通过这些端口进行攻击。
2.1 端口分类
计算机端口, 主要分为:公认端口、注册端口、动态和/或私有端口。
2.1.1 公认端口 (We ll Know n Ports) :
从0到1023, 它们紧密绑定 (binding) 于一些服务。通常这些端口的通讯明确表明了某种服务的协议。例如:80端口实际上总是HTTP通讯。
2.1.2 注册端口 (Re gis te re d Ports) :
从1024到49151。它们松散地绑定于一些服务。也就是说有许多服务绑定于这些端口, 这些端口同样用于许多其它目的。例如:许多系统处理动态端口从1024左右开始。
2.1.3 动态和/或私有端口 (Dynam ic and/or Private Ports) :
从49152到65535。理论上, 不应为服务分配这些端口。实际上, 机器通常从1024起分配动态端口。但也有例外:SUN的RPC端口从32768开始。
2.2 关闭端口
第一步, 点击“开始”菜单/设置/控制面板/管理工具, 双击打开“本地安全策略”, 选中“IP安全策略, 在本地计算机”, 在右边窗格的空白位置右击鼠标, 弹出快捷菜单, 选择“创建IP安全策略”, 于是弹出一个向导。在向导中点击“下一步”按钮, 为新的安全策略命名;再按“下一步”, 则显示“安全通信请求”画面, 在画面上把“激活默认相应规则”左边的钩去掉, 点击“完成”按钮就创建了一个新的IP安全策略。
第二步, 右击该IP安全策略, 在“属性”对话框中, 把“使用添加向导”左边的钩去掉, 然后单击“添加”按钮添加新的规则, 随后弹出“新规则属性”对话框, 在画面上点击“添加”按钮, 弹出IP筛选器列表窗口;在列表中, 首先把“使用添加向导”左边的钩去掉, 然后再点击右边的“添加”按钮添加新的筛选器。
第三步, 进入“筛选器属性”对话框, 首先看到的是寻址, 源地址选“任何IP地址”, 目标地址选“我的IP地址”;点击“协议”选项卡, 在“选择协议类型”的下拉列表中选择“TCP”, 然后在“到此端口”下的文本框中输入“135”, 点击“确定”按钮, 这样就添加了一个屏蔽TCP 135 (RPC) 端口的筛选器, 它可以防止外界通过135端口连上你的电脑。
点击“确定”后回到筛选器列表的对话框, 可以看到已经添加了一条策略, 重复以上步骤继续添加TCP 137、139、445、593端口和UDP 135、139、445端口, 为它们建立相应的筛选器。
重复以上步骤添加TCP 1025、2745、3127、6129、3389端口的屏蔽策略, 建立好上述端口的筛选器, 最后点击“确定”按钮。
第四步, 在“新规则属性”对话框中, 选择“新IP筛选器列表”, 然后点击其左边的圆圈上加一个点, 表示已经激活, 最后点击“筛选器操作””选项卡。在“筛选器操作”选项卡中, 把“使用添加向导”左边的钩去掉, 点击“添加”按钮, 添加“阻止”操作:在“新筛选器操作属性”的“安全措施”选项卡中, 选择“阻止”, 然后点击“确定”按钮。
第五步、进入“新规则属性”对话框, 点击“新筛选器操作”, 其左边的圆圈会加了一个点, 表示已经激活, 点击“关闭”按钮, 关闭对话框;最后回到“新IP安全策略属性”对话框, 在“新的IP筛选器列表”左边打钩, 按“确定”按钮关闭对话框。在“本地安全策略”窗口, 用鼠标右击新添加的IP安全策略, 然后选择“指派”。
重新启动后, 电脑中上述网络端口就被关闭了, 病毒和黑客再也不能连上这些端口, 从而保护了计算机的安全运行。
2.3“重定向”端口
系统管理员可以“重定向”端口。一种常见的技术是把一个端口重定向到另一个地址。例如默认的HTTP端口是80, 不少人将它重定向到另一个端口, 如8080。
实现重定向是为了隐藏公认的默认端口, 降低受破坏率。这样如果有人要对一个公认的默认端口进行攻击则必须先进行端口扫描。大多数端口重定向与原端口有相似之处, 例如多数HTTP端口由80变化而来:81, 88, 8000, 8080, 8888。同样POP的端口原来在110, 也常被重定向到1100。也有不少情况是选取统计上有特别意义的数, 像1234, 23456, 34567等。许多人有其它原因选择奇怪的数, 42, 69, 666, 31337。近来, 越来越多的远程控制木马 (Re m ote Acce s s Trojans, RATs采用相同的默认端口。如Ne tBus的默认端口是12345。Blake R.Swopes指出使用重定向端口还有一个原因, 在UNIX系统上, 如果你想侦听1024以下的端口需要有root权限。如果你没有root权限而又想开web服务, 你就需要将其安装在较高的端口。此外, 一些ISP的防火墙将阻挡低端口的通讯, 这样的话即使你拥有整个机器你还是得重定向端口。
3 结束语
认真做好每台计算机的密码设置和关闭多余的计算机端口, 就能有效地防止计算机信息资料的丢失, 又能阻止计算机病毒的攻击, 使计算机系统安全运行, 更好地为教学、为学生、为科研、为机关服务。
摘要：计算机设置密码, 是为了保护计算机信息和系统正常运行的安全。关闭计算机多余的端口, 是为了防止病毒攻击, 使计算机系统运行更畅通。
计算机密码技术 篇8
“框计算”带来人机界面的革命
李彦宏说, “‘框计算’对于老百姓的意义就是说, 未来你打开电脑, 一秒钟就可以看到一个框, 而且电脑的屏幕就只有这么一个框, 你不管干什么, 你告诉这个框, 完全用自己的语言告诉它就可以, 你不需要学习一个新的操作系统, 不需要有各种各样复杂的语法。”
从这个“框”, 已经可以看出未来智能化的人机界面, 这个界面为未来的语音界面打下了基础。语音界面肯定是要替代Windows图形界面的。现有图形界面的输入和输出主要是靠键盘。从纯粹的图形界面转向语音输入图形输出, 从纯粹的图形界面向语音输入和输出, 这两种转变需要有语音介入的人机对话, 从技术上不难实现。
这两种界面组合的实现, 是一种巨大的飞跃。而这种飞跃需要做两件事:一是底层的后台的智能系统, 二是语音转化。笔者相信, 后者是水到渠成的, 这是系统的创新。前者是这种革命性转变的核心任务。这需要做长期的探索和积累, 需要做好知识储备。百度长期积累的中文分词技术是具有核心商业价值的, 现在又开始做界面升级的创新, 百度将具有先发优势。“框计算”奠定了新的人机界面的基础。如果百度充分认识到这一点, “框计算”的未来会走得更好。如果微软认识到这一点, 必然会采取应对措施。
“框计算”是搜索的更高级形态
百度的“框计算”是在“框” (搜索框) 的简易入口基础上发展出一系列的后台的智能化处理的新搜索。“框计算”必须具备两个基础条件:一是对用户意图的具体分析, 这实则是需要建立一个百度的局部语义网;二是做好后台的智能化匹配。这两个条件明显反映出, “框计算”与原来的搜索不是一回事, 这是一种更高级的搜索形态, 是智能化的搜索。
传统搜索引擎的原理是利用被称为网络蜘蛛 (Spider) 的自动搜索机器人程序来连接每一个网页上的超链接而搜集信息, 然后保存搜集的信息并进行整理和建立索引, 最后接受用户查询并向用户输出信息。现在“框计算”是围绕用户的需求给出最终答案, 这就是一种更高级的新的搜索形态。
传统的搜索引擎在输出结果时会有“排序”的重要环节, 而“框计算”则不再存在“排序”的必要性。在“框计算”的后台具有很强大的自组织能力, 能够甄别出信息的重要性、相关性、完整性等, 这都是在后台完成的, 是一项庞大的工程。
“框计算”的索引将发生两个转变。第一, “框计算”在建立索引时, 将从单索引向双索引转变, 同时还将新建立一个答案库。“框计算”的索引实际是二次索引, 纳米化的索引。传统的搜索以语词为索引并且是单向的索引, 现在仅仅依靠语词索引已经不够了, 语词本身就是很复杂、庞大的。“框计算”在利用现有的语词库的基础上再建立一个“答案库”, 也就是维基 (wiki) 化的搜索。“框计算”对索引进行了一次叠加比对处理, 是“或”和“且”的关系, 这里有一系列复杂的处理。“框计算”从单索引向双索引转变, 建立答案库, 将会需要引用很多的维基和知识问答网站, 尤其会整合百度百科和百度知道。
第二, “框计算”在建立索引时, 将更多地增加“人机协同”的成分。“框计算”的索引是建立在百度知道的基础上, 这个索引库有些部分具有人工的构成, 因此, “框计算”在响应用户查询时, 不再是传统搜索那种由机器完成, 也不纯粹是由人工完成, 而是由机器和人工共同作出的综合响应。“框计算”是人机协同的系统。根据百度“框计算”官方网页披露的“框计算”技术架构显示, 在分析用户需求时使用了语义分析、行为分析、智能人机交互、海量计算。在这个过程中, 就增加了“人机协同”。人的成分包括传统搜索的核心技术分词技术, “框计算”还将深入地把握在哪些关键领域和环节需要有人的接手, 比如从搜索引擎的现有信息库中找不到答案, 这时, 就需要有人工的加入。
“框计算”的“框”是语法框
“框计算”让笔者想起了生活搜索——结构化的搜索。“框计算”就是框架搜索, 也就是结构化的搜索。百度的“框计算”就是要对用户需求进行语义分析, 否则肯定不能实现从“反馈信息”向“告诉答案”的转变。
“框计算”的“框”实际是语法框。搜索一般是“谓宾结构”, 如哪里可以买到二手自行车、火车站在哪里;“是”和“不是”也是一种“谓宾结构”;所有的搜索其实都隐藏了一个“问”字, 只给用户显示了一个搜索框。当然, 语法框内也会出现定语、状语、补语, 以及主语。
人的需求往往都跟动作有关, 工作、学习、恋爱、交往等人在生存中的动作行为都必然可以作为谓语。框中的某一个语法项就是谓语项。框计算的“谓语项”要建立一个库, 就是把汉语中的所有的动词建立一个库, 并且把同义词、近义词进行分析、“合并同类项”, 这样就建立了一个语法结构的索引库。所有的宾语、状语、定语放在一起, 而且可以有好几种排列组合, 在用户输入的时候, 百度需要完成智能化的分析。“框计算”的秘密就是:框是建立在语法库的基础上的索引库的“理解”。百度把最常用的语词已经在后台储备好, 它往往是一次性的。而任意取几个语词组合, 维基上查不到, 就需要人工的参与。首先在百度知道里找问过相关语词的问题, 如果百度知道里有这样的问题, 就会立刻把百度知道的答案头一个反馈给用户。
此外结构化的知识库如火车车次价格、租房信息等, 这种知识库是非常有限的。语法框引导的结构化搜索就是对输入、输出、后台都要结构化。传统的搜索只有后台结构化, 而现在搜索的“头”和“尾”都结构化了。智能化就是对话, 所有的一切都是在语法的前提下实现的。
语法框是可以扩展、排列组合的。搜索库一般是矩阵式的, 可扩展的, 现在在框里也是可以扩展的。语法框的结构是可以叠加的, 可以进行逻辑处理的。如果发展得更好, 可能会引入数理结构。语法框里可以加入很多注释、补充、约束性的条件, 这些注释以后可以成为标准语言。从这个角度看, 语法框是传统结构化的升级版。
“框计算”迎来智能机时代
李彦宏表示, 未来上网的需求都可以通过这个“框”来实现, 今后打开电脑或许不再需要经过打开操作系统、打开浏览器、登录百度网页这样的程序, 而是在打开电脑或手机之后, 就可以直接利用“框”实现各种应用。
通过“框”可以进入各种应用, 如文字处理、影音播放、排版、游戏等, 通过“框”可以完成多项任务, 这给人的启示是, 事实上这个“框”已经在改变现有的操作系统的架构:“框”已经代替了开始菜单。“框”对用户的需求结构化, 菜单就是将不通的运用的结构化。在“框”里面就可以实现这种结构化, 如在“框”的右侧就可以弹出让用户选择进入。把搜索人、搜索事物进一步诠释就是对话, 这是最基本的对话。操作系统在中英文输入、对运用进行选择, 这也是最基本的人机对话。所以说, “框”成为操作系统不是危言耸听。现在已经可以整合各种应用, 要发展出一个全新的操作系统, 技术上不存在障碍。
在操作系统上增加了智能化, 对Windows而言, “框”带来的操作系统就是有生命的“Windows”。有生命的“Windows”包括技术层面的底层的“Windows”和智能化的构成。两者一结合, 就是智能化的操作系统。安装智能操作系统的PC不再遥远, 可以说, “智能机”的时代, 必然来临。
“框计算”与“云计算”不具备可比性。“云计算”是对用户资源、对储备资源的分享, 改变了互联网的宏观结构;而“框计算”改变了互联网和操作系统的结构, 增加了一个计算和互联网中的智能构成成分在互联网和操作系统的构成。
密码技术与信息隐藏技术比较研究 篇9
随着网络时代的到来和以电子商务为代表的网络经济的兴起, 网络信息安全问题也日益突出。如何保护政府、企业和个人的信息不被非法获取、盗用、篡改和破坏, 已成为影响国家安全、经济发展、个人利益和社会稳定的重大关键问题。
1 密码技术和信息隐藏技术的含义
现实生活中, 人们对于信息的保护往往求助于密码技术。密码学是研究通信安全保密的学科, 它的基本思想是对机密信息进行伪装。即用户对需要进行伪装的机密信息进行变换, 得到另外一种看起来似乎与原有信息不相关的表示, 如图1所示, 合法用户可以从这些信息中还原出原来的机密信息, 而非法用户如果试图从这些伪装后的信息中分析出原有的机密信息, 要么这种分析过程根本是不可能的, 要么代价过于巨大, 以至于无法进行。
而随着计算机软硬件技术的发展, 对密码破译能力越来越强, 这迫使人们对加密算法的强度提出越来越高的要求, 对于这种挑战, 传统的加密系统目前只是通过增加密钥的长度来加强其自身的安全性。在许多领域, 密码技术已显示出它的局限性, 密文容易引起攻击者注意是密码技术的一个显著弱点。因此, 对某些应用来说, 仅仅对信息内容加密是不够的。
信息隐藏的目的是将机密信息秘密隐藏于一般的文件中, 再进行传递。非法拦截者从网络上拦截的资料看起来和其他非机密性的一般资料无异, 如图2所示。因此, 避免受到攻击的机率较高。就像自然界中某些动物的保护色, 巧妙地将自己隐藏于环境中, 免于被天敌发现而遭到攻击, 这正是信息隐藏技术最本质的内涵。
2 密码通信系统和信息隐藏系统模型
信息隐藏技术沿袭了传统密码技术的一些概念和基本思想, 但两者采用的保护信息手段不同。密码技术是把有意义的信息 (消息) 编码为伪随机性的乱码以保护信息的一门技术, 它主要研究如何对信息进行变换, 以保护信息在信道传输过程中不被对手窃取、解读和利用以及如何分析和破译密码。密码通信系统模型如图3所示。该模型描述了消息的加解密过程、密钥等敏感信息在秘密信道的分发以及密文在信道传递过程中可能遇到的密码攻击或密码分析。其中, 密钥1等于密钥2的系统称为对称密码系统, 密钥1不等于密钥2的系统称为公钥密码系统, 对公钥密码系统, 不需要事先通过秘密信道分发密钥。
信息隐藏技术是把一个有意义的信息隐藏在另一个称为载体的信息中得到隐秘载体, 攻击者不知道这个普通信息中是否隐藏了其它信息, 而且即使知道, 也难以提取或去除隐藏的信息。所用的载体可以是文字、图像、声音、视频等。信息隐藏系统模型如图4所示。该模型描述了消息的预处理过程、嵌入过程、提取过程、密钥分发以及隐秘载体在信道传递过程中可能遇到的攻击。图中, 若提取算法提取消息时不需要利用原始载体, 则称为盲隐藏, 否则称为非盲隐藏。
3 密码技术和信息隐藏技术的比较
密码技术和信息隐藏技术同属于信息安全保护范畴, 有许多相似之处:
(1) 系统模型中均存在通信双方, 分别称为Alice和Bob, 有被动攻击者Eve和主动攻击者Mallet。
(2) 两者都是把对信息的保护转化为对密钥的保护, 因而密码学中对密钥的基本要求也适用于信息隐藏技术。
(3) 都存在对称密钥算法和公钥算法。
(4) 对系统的攻击手段有类似的分类方法, 如:密码系统的唯密文攻击、已知明文攻击、选择明文攻击、选择密文攻击分别对应于信息隐藏系统的唯隐文攻击、已知载体攻击和已知消息攻击、选择消息攻击、选择载体攻击。
(5) 两者存在许多共同的理论研究基础, 如信息论等。
但密码技术和信息隐藏技术也存在着很大差异, 主要体现在以下几个方面:
(1) 密码技术是隐藏信息的内容, 而信息隐藏技术主要是隐藏信息的存在性。一般而言, 隐蔽通信比加密通信更安全, 因为隐藏了通信的发方、收方, 及通信过程的存在, 不易引起怀疑。
(2) 对密码系统的攻击是为了恢复或篡改消息, 而对信息隐藏系统的攻击除了提取和篡改消息外, 还包括检测消息的存在性。
(3) 密码技术是对消息本身的加密和传递, 而信息隐藏技术是将消息嵌入载体并在信道上传递隐秘载体。
(4) 密码技术对内容的保护只局限在加密通信的过程中或其他加密状态下, 一旦解密, 则毫无保护可言;而信息隐藏技术不影响宿主数据的使用, 只是在需要隐藏的那一部分信息时才进行提取, 有较长时间的保护效力。
(5) 信息隐藏技术一般以多媒体数据作为载体, 而多媒体数据本身往往容忍一定程度的失真, 而加密后的数据不容许一个比特的改变, 否则无法解密。
密码技术与信息隐藏技术是从不同的角度提出的信息安全技术, 将两者有机结合, 可进一步提高信息的安全性。例如, 先对消息加密得到密文, 再把密文隐藏到载体中, 这样, 攻击者要想获得消息, 就首先要检测到消息的存在, 并知道如何从隐秘载体中提取密文及如何对密文解密以恢复消息, 大大增加了攻击的难度。
密码技术和信息隐藏技术是保证信息安全的两种有效手段, 两者互相促进, 共同发展。
但是, 解决信息安全问题, 仅仅依靠技术手段是不够的, 还有赖于第三方认证中心、法制手段、道德观念和保密措施的完善, 这是一个全方位的问题。
参考文献
银行卡密码校验技术概述 篇10
为保障持卡人的合法权益和资金安全, 国际上已开始实施多种密码技术。我国各商业银行也在探索、采用部分有效的密码校验方法, 为持卡人提供安全的金融服务。下面介绍一下现有的银行卡密码技术和标准。
一、CVV密码校验
CVV, 即Card Verification Value, Mastercard称作Card Validation Code (CVC) , 两者生成方法是一样的, 都是由卡号、有效期和服务约束代码生成的3位或4位数字。CVV密码校验是指商业银行在其使用的银行卡号编码规则和磁条数据格式中加入自定义加密算法的验证码 (CVN) 。CVV信息被存储在磁条银行卡的第二磁道中, 根据银行卡号、第二磁道主帐号 (PAN) 、发卡银行标识代码、发卡机构标识代码、发卡网点标识代码、起始标记、结束标记、分隔符 (SF) 等信息, 通过各银行自定义的特殊加密算法进行计算, 每步计算都采用CVKA技术加密后, 得到银行卡加密验证码 (CVN) 。由于各行加密算法各不相同, 各行加密算法和机密技术各不相同, 因此利用获得的银行卡信息非法制作的部分假卡在发卡行解密时能够被识别而无法使用。
二、SSL安全协议
SSL安全协议, 即是安全套接层 (Secure Sockets Layer) 协议, 是Netscape公司于1996年设计开发的国际上最早应用于电子商务的一种开放性协议。它主要提供三方面的服务:一是用户和服务器的合法性认证, 二是加密数据以隐蔽被传送的数据, 三是保护数据的完整性。它涉及所有TCP/IP应用程序, 是一个保证任何安装了安全套接层的客户和服务器之间安全的协议。
SSL协议有三方面的功能特性:一是提供两台设备之间的安全连接。二是从电子商务特性来看, 它并不具备商务性、服务性、协调性和集成性。三是SSL协议只实现双方的安全通信, 不支持三方及以上的安全通信。随着电子商务活动的迅速增加, 对厂商认证的问题越来越突出, 因此人们预期SSL安全协议将逐渐被SET协议取代。
三、SET协议
SET协议 (Secure Electronic Transaction) , 又称安全电子交易规范, 是由Master Card和Visa联合Netscape、Microsoft等公司, 于1997年6月1日推出的一种应用于互联网的电子支付协议。SET协议是B2C上基于信用卡支付模式而设计的, 采用公钥密码体制和X.509数字证书标准, 主要应用于保障网上购物信息的安全性, 它提供了消费者、商家和银行之间的认证, 确保了交易数据的安全性、完整可靠性和交易的不可否认性。因此, 至2012年, 它成为了公认的信用卡的网上交易的国际安全标准。
在SET协议中, 支付环境的信息保密性是通过公钥加密法和私钥加密法相结合的算法来加密支付信息而获得的。它采用的公钥加密算法是RSA的公钥密码体制, 私钥加密算法是采用DES数据加密标准。这两种不同加密技术的结合应用在SET中被形象的成为数字信封, 其认证过程相当繁琐及复杂。完成一次SET认证中, 需验证电子证书9次, 验证数字签名6次, 传递证书7次, 进行签名5次, 4次对称加密和非对称加密。通常完成一个SET协议认证大约要花费2分钟, 甚至更长时间。现阶段, SET协议仍无法被广泛应用, 因此SET协议与SSL协议共存的局面将持续。
四、VISA 3-D认证
VISA 3-D认证是由VISA国际信用卡组织提出的新一代全球通用支付标准。3-D认证通过复杂的加密技术, 能保护持卡人机密交易资料的安全传输, 避免泄露及截取, 以减少网络信用卡欺诈及交易纠纷问题。其功能特性有三方面:一是3D操作平台能够透过网络联机, 实时确保参与网络交易的VISA持卡人与网络特约商店获得银行授权, 也能保护VISA持卡人进行网络交易时所输入的信息不会在网络传输过程外泄或产生任何变动。二是该系统包含了编码技术、逻辑通行管制、实体数据保护及网络安全, 减少网络伪卡盗刷及交易纠纷问题。三是采用该协议, 持卡人在网络特约商店进行在线支付时, 需要比原来填写的信息多填一组持卡人自设的安全密码, 大大提高隐私与交易安全。该技术是开放性的, VI-SA允许美国运通和日本JCB使用。
五、EMV技术
EMV标准由国际三大银行卡组织:Europay、Master Card和Visa共同发起制定, 是基于CPU IC卡的金融支付标准, 目前已成为公认的框架性标准。其目的是在金融IC卡支付系统中建立卡片和终端接口的统一标准, 使得在此体系下所有的卡片和终端能够互通互用。
1、芯片借记卡
传统的磁条借记卡, 在持卡人输入密码后, 系统以PINBlock传送至发卡银行主机作检核;而芯片借记卡则是以芯片卡本身产生的交易验证码作为发卡银行检核的依据。因此若磁条卡遭侧录, 且密码泄漏, 卡片就容易在短时间内被复制, 进而发生持卡人存款被盗领、卡片额度被盗用的事件。芯片借记卡具有CPU、内存及I/O, 几乎具备一部计算机的最基本功能, 因此芯片借记卡本身可安全存放发卡银行的逻辑运算与基码, 而卡片产生的验证码只有发卡银行知道。也就是说, 使用芯片卡交易时, 持卡人密码不需送至发卡银行查核, 而是由芯片金融卡直接进行密码正确性的验证, 验证通过后才产生交易验证码供核查。由于不法分子无法自行复制芯片卡的逻辑运算, 可有效解决密码被侧录的风险。
2、芯片信用卡
传统的磁条信用卡, 由刷卡机读取第二磁道的资料, 再经通讯网络送至发卡行, 发卡行通过CVV验证磁条卡的真实性后发出授权码。而芯片信用卡自带3DES Key程序, 可利用其内部存放的EMV参数产生ARQC (Authorisation Request Cryptogram) 进行验证。第二磁道信息被泄露而复制出的伪卡, 因不能复制芯片卡内部的Key, 因此无法产生ARQC送往发卡机构授权, 降低了发卡行的伪卡风险。
EMV标准是框架性标准, 各国际组织根据自身需要, 在EMV标准的基础上制定了本地化的芯片卡标准, VI-SA制定了VSDC标准, Master Card制定了M/Chip标准, JCB制定了J/Smart标准, 英国制定了Ukis标准, 中国人民银行也于2005年3月完成了PBOC 2.0规范的编写工作。PBOC2.0是我国的芯片卡标准。
国际上, 马来西亚成为EMV迁移最成功的国家之一, 早在2009年其POS终端实现了100%的EMV迁移, 其ATM机也100%实现了芯片技术更新换代, 在发卡、业务流程、安全控管、受理市场、信息转接等多个环节都成功地实现了磁条卡向智能IC卡技术的升级。
中国工商银行于2007年11月推出国内首张PBOC2.0标准信用卡, 至此正式拉开了我国各发卡行开始发行IC芯片卡的序幕。央行表示, 2013年1月1日起, 全国性商业银行均要开始发行IC芯片卡, 2015年1月1日起在经济发达地区和重点合作行业领域, 商业银行发行的、以人民币为结算账户的银行卡均应为IC芯片卡。总之, 近两年在政策的助推之下, IC芯片卡的发行数量大幅超出市场预期。预计2014年IC芯片卡的净增量达到5亿张。
六、生物识别技术
上述的银行卡防复制技术的最终目的都在于实现双方身份的验证, 采用生物识别技术的验证便可“摒弃”现有的银行卡实物。生物识别技术, 就是通过计算机与光学、声学、生物传感器和生物统计学原理等高科技手段密切结合, 利用人体固有的生理特性, (如指纹、人脸、红膜等) 和行为特征 (如笔迹、声音、步态等) 来进行个人身份的鉴定及确认。人类的生物特征通常具有唯一性、可以测量或可自动识别和验证、遗传性或终身不变等特点, 因此生物识别认证技术较传统认证技术存在较大的优势。
早在2005年, 日本东京三菱银行就发行具有生物识别技术的银行卡。这种新型信用卡以掌纹静脉识别技术为基础, 持卡人在申请办理时将自己的生物信息输入系统, 然后就可以根据本人的生物特征信息到银行的自动柜员机进行金融交易。
根据人类个体脑电波的细微差别, 美国某高校于2013年更研究出一种名为passthoughts新型密码验证方式。使用者需要事先录入一段相对应的脑电波, 作为验证过程中的用户匹配数据。在验证过程中, 使用者需要佩戴一款名为Neurosky设备。该设备自动读取用户脑电波信息, 再将信息传至计算机验证处理, 即可完成验证。但该技术仍处于实验室研究阶段, 相信不久后在银行卡身份验证领域会有很好的应用。
目前在银行身份认证系统中, 常用的生物识别技术有指纹识别、人脸识别、签名识别、虹膜识别等, 各商业银行正在尝试采用人体生物特征取代我们手中的各种身份认证和密码。技术成熟且应用广泛的是指纹识别技术, 指纹的识别属于“模式识别”, 实现识别的系统核心是OCR (光学字符识别) 技术。一般通过摄像头采集指纹图像, 再提取指纹总体特征与局部特征, 然后通过互联网加密传输录入银行计算机系统, 再通过一系列复杂的指纹识别算法, 就能在极短的时间内完成任何人的身份识别认证。2014年推出个高端智能手机中也在解锁等功能上应用指纹识别技术, 可见指纹验证技术将可应用于移动支付。
计算机密码技术 篇11
PKCS#11是RSA实验室与其他安全系统开发商为促进公钥密码技术的发展而制订的一系列标准之一。作为密码令牌接口开放标准, PKCS#11从1995年发布1.0版本以来, 经历了v2.01、v2.10、v2.11到现在的v2.20, 提供了一个能完成密码信息存取、执行密码操作的称为Cryptoki (cryptographic token interface) 的API接口规范, 采用基于对象机制来实现技术无关 (任何类型的密码设备) 和资源共享 (多个应用访问多个设备) , 呈递给应用的是一个通用的称为密码令牌的设备逻辑视图。Cryptoki把应用和密码设备的详细实现细节隔离, 使应用在不同的设备或运行环境中使用相同的接口, 并使不同厂商的密码设备在该标准下实现互操作。标准中定义了许多密码类型和机制, 并随着密码技术的发展, 在不改变标准中已定义的通用界面的前提下新的密码类型和机制可以随后加入到标准中来, 而附加机制可以不间断的文档发布 (如针对v2.20版本RSA实验室先后发布了5个修订补充文档, 分别说明了支持AES、ARIA、CAMELLIA、SHA-224算法的相关机制、支持密码令牌密钥初始化协议的相关机制、支持一次性口令令牌的相关机制、增加解决HMAC密钥一致性等问题而定义HMAC的密钥类型、增加AES-GCM和AES-CCM密码操作机制等) 。
1 PKCS#11通用模型
Cryptoki是定义在应用和所有类型的便携式密码设备 (如智能卡、PCMCIA卡和智能磁盘等) 之间的接口, 是一个抽象了密码设备具体实现细节的通用编程接口, 将上层的应用程序接口与下层的密码设备分开, 上层的应用程序不会因为下层的密码设备的改变而改变, 用户无需了解下层密码设备的实现细节。Cryptoki通过一组“槽”为活动在系统里的一个或多个密码设备提供接口。槽可以是一个可包含有令牌的物理读卡器或PCIX等设备接口, 多个槽可以共享一个物理读卡器, 而一个令牌是呈现在槽中的密码设备 (抽象为智能卡等与个人身份相关的安全设备) 。图1描述了Cryptoki的通用模型。模型显示了一个系统可以有多个槽, Cryptoki提供了一个槽和令牌的逻辑视图, 一个应用程序可以连接到一个或多个令牌上。Cryptoki使用标准的设备驱动通过一个命令集驱动密码设备执行一组密码操作。Cryptoki使各类密码设备逻辑上看起来是一样的, 为应用隐藏了设备的实现细节, 事实上底层的“密码设备”完全可以使用软件来实现而不是必需的特别硬件。
2 PKCS#11中的主要概念
Cryptoki采用槽、令牌、用户、会话、类、对象、机制、属性、模板、会话句柄、对象句柄、功能函数等概念来抽象对密码设备的操作过程。一个令牌的Cryptoki的逻辑视图是一个能存储对象、执行密码功能的设备;会话抽象为应用到设备的连接;对象是属性的集合, 对象可根据生命周期分为:会话对象和令牌对象;属性描述了对象的特征;模板就是一个属性数组;应用打开一个会话时, Cryptoki以会话句柄方式标识会话, 便于应用使用会话句柄访问会话, 同时应用可通过调用Cryptoki接口创建或查询对象, 而Cryptoki以对象句柄方式标识对象, 便于会话通过对象句柄访问对象;Cryptoki定义了四类存储对象:数据对象、证书对象、密钥对象、密码算法域参数对象。数据对象直接由应用定义;一个证书对象存储一个证书;一个密钥对象存储一个密码密钥;一个密码算法域参数对象存储算法若干个相关的域参数。密钥可以是一个公钥或一个私钥或一个保密密钥或为一个OTP密钥。这几类密钥都有用在特别机制中的子类型。一个机制作为一个对象明确指定了一个密码处理是怎样被执行的。Cryptoki中定义的机制被不同的密码操作支持。对于一个特定的令牌, 一个特定的操作只支持Cryptoki中定义的机制集合的一个子集。图2描述了PKCS#11中主要概念之间的关系。
2.1 Cryptoki的功能函数
Cryptoki提供了68个ANSI C的标准接口函数, 通过句柄来操纵对象和执行密码运算操作, 并且定义了完整的数据类型和数据结构。通过对密码操作过程的面向对象抽象, 定义了相关的数据结构 (如:对象操作机制、对象属性、对象操作方法 (函数) 、对象类型等) , 并定义了比较完备的各种功能函数:管理功能函数、密码功能函数两大类。管理功能函数包括:通用函数、槽和令牌管理函数、会话管理函数、对象管理函数;密码功能函数包括:密码管理函数、密码操作管理函数;管理功能函数主要用于管理整个应用系统的密码操作过程, 如初始化令牌、为应用与设备建立会话、管理槽和令牌等。密码功能函数主要用于完成用户的密码操作和密码管理功能, 如密钥对象生成、查找、对象属性修改设置、加解密、签名验签等操作。
2.2 Cryptoki中的对象
Cryptoki提供了一套对象管理函数, 可以进行创建、查询、修改、销毁对象等操作。Cryptoki对创建对象时那些属性必须指定那些可选都有明确的规定, 并且明确了属性之间的一致性定义。在对象拷贝时, 能否修改对象的属性依赖于确定对象的属性值, 如一个保密密钥对象在使用C_Copy Object进行对象拷贝时其CKA_SENSITIVE属性的值可以由CK_FALSE改变为CK_TRUE, 而不能由CK_TRUE改变导CK_FALSE。图3为Cryptoki对象类层次的简化UML图示。
2.3 Cryptoki中的用户
Cryptoki识别三种用户类型:安全官 (Security Officer (SO) ) 、正规用户 (normal user (NU) ) 、上下文特定用户 (context specific user (CSU) ) 。只有NU在通过认证之后才能准许访问令牌上的私有对象。可能有些令牌在执行任何密码操作之前还要求用户证实身份, 而不管密码操作是否涉及私有对象。SO的角色是初始化一个令牌, 并设置NU的PIN (或者定义其他方式来对NU进行认证) , 或许还要操纵一些公用对象。NU在SO没有为其设置PIN之前是不能登录令牌的。事实上SO和NU可以是一个人, 这可根据密码令牌的管理策略来确定。CSU只有在重新认证密码操作时才会用到。
2.4 Cryptoki中的会话
应用在访问令牌对象或在令牌上进行密码操作之前, Cryptoki要求应用首先打开一个或多个会话。会话为应用和令牌之间提供了逻辑上的连接, 可以是读/写 (R/W) 或只读 (R/O) 会话。读/写或只读指的是对令牌对象的访问而不是访问会话对象。在这两种会话类型下, 应用程序能够创建、读、写和销毁会话对象并且能读令牌对象。只有在读/写会话中, 应用才能创建、读、写和销毁令牌对象。应用在打开一个会话后, 就可以访问令牌的公共对象。一个应用的所有线程都可以正确地访问相同的会话和会话对象。应用要访问令牌的私有对象时, 必须要通过正规用户的登录认证。当一个会话关闭的时候, 在这个会话中创建的会话对象将自动销毁。如果一个应用在一个令牌上打开了多个会话, 并使用其中一个创建一个会话对象, 这个对象对其他会话也是可见的, 当创建它的会话关闭的时候, 不管其他会话有没有正在使用这个会话对象, 这个会话对象将被强制销毁。Cryptoki支持在多个令牌上创建多个会话。一个应用可以使用一个或多个令牌创建一个或多个会话;一个令牌可以有多个会话用于一个或多个应用。特别实现的令牌可能限制一个应用只能创建有限数量的会话或者限制只能创建有限数量的读/写会话。
一个打开的会话可以处于多种会话状态中的一个。会话的状态决定对象和Cryptoki功能函数的访问许可, 表1列出了所有的会话状态。
只读会话可以处于两种状态中的一个 (如图4) 。当最初会话打开时, 它不是处于R/O公用会话状态下 (如果应用先前没有一个经过认证登录的会话) 就是处于R/O用户功能状态 (如果应用已经有了一个经过认证登录的会话) , 而只读的SO会话是不存在的。读写会话可以处于三种状态中的一个 (如图5) 。当打开一个读写会话后, 它或者处于R/W Public Session状态 (应用打开读写会话之前没有用户被认证登录令牌) , 或者处于R/W User Functions状态 (应用打开读写会话之前正规用户已通过令牌认证登录) , 或者处于R/W SO Functions状态 (应用打开读写会话之前安全官已通过令牌认证登录) 。表2列出了不同的会话类型对不同对象类型的访问能力。从图4和图5可以看出五个会话事件导致了会话状态发生转移, 它们分别是安全官登录、正规用户登录、用户注销、关闭会话、设备移除。
2.5 Cryptoki应用与系统进程和线程之间的关系
Cryptoki可通过一个共享库为应用提供接口。应用程序线程调用了Cryptoki中的C_Initialize函数后, 才可以调用其他Cryptoki功能函数。当利用Cryptoki中的功能函数完成了相应的工作后, 应用程序线程必须调用C_Finalize释放Cryptoki库占有的资源。
对于要使用Cryptoki库的多进程应用程序, Cryptoki考虑各个进程具有独立的地址空间以及应用的稳定和性能问题, 要求应用程序在每个进程中都要成对调用C_Initialize、C_Finalize函数, 而不管各个进程是否都需要使用Cryptoki中的其他函数。对于要并发使用Cryptoki库的多线程应用程序, Cryptoki考虑了使用本地操作系统提供的同步原语或应用程序提供的同步原语来保证线程安全。
3 PKCS#11安全性设计
作为密码设备的一个接口, Cryptoki通过两个安全机制为计算机系统或通信系统提供了一个基本的安全保障。一方面, 当应用在存取令牌上的私有对象或证书或操作密码功能函数时, Cryptoki都要求提供一个PIN来认证应用的合法性。这一点保证了持有设备而没有正确PIN的实体将不能使用密码设备。另一方面, Cryptoki可通过设置“sensitive”和“unextractable”属性标记保护令牌上的私有密钥和保密密钥, 设置了“sensitive”属性的密钥不能从令牌中以明文方式导出, 而设置了“unextractable”属性的令牌则根本就不能从令牌中导出, 只能作为一个有效的密钥保存在令牌上使用。通过编程方式或逆向工程从令牌设备中提取私有的或设置了“sensitive”和“unextractable”属性标记的对象将是不可行的。
如果设备没有防篡改环境或受保护的用来保存私有对象和敏感对象的内存, 那么设备可以使用一个从用户的PIN导出一个主密钥来加密这样的对象。令牌有了这样的特性就可以为应用的对象管理提供足够的安全性。另外, 为保证一个令牌是可信的, 我们可以在令牌中内置一个可以被认证的公私钥对, 由一个证书权威机构使用令牌的公钥为它签发一个证书。这样令牌可以通过内置的私钥向应用证明自己的身份。
4 PKCS#11应用实例
这里使用江南计算技术研究所实现的Cryptoki库举例说明283比特二进制域上的ECC签名密码算法公私钥对生成过程 (图6) 。
5 总结
随着公钥密码技术的广泛应用, 密码设备生产商实现了各种各样的设备, PKCS#11标准很好的解决了它们之间的互操作性、在多任务操作系统中的资源共享和密码应用程序的可移植性等问题。Cryptoki不仅可以单独提供给密码应用程序开发人员使用, 还可以CSP方式接入到Java安全体系或微软的MS-CAPI中去。PKCS#11标准是开放可扩展的, 令牌厂商可以在其中定义他们自己的密码机制, 江南计算技术研究所在PKCS#11的实现中就扩展了自主研发实现的SSF、ECC等商用密码算法。本文通过详细介绍PKCS#11标准规范中的各种概念及它们之间的关系, 描述了PKCS#11的机制原理并举例说明, 可供Cryptoki开发人员提供参考。
摘要：PKCS#11是RSA实验室与其他安全系统开发商为促进公钥密码技术的发展而制订的一系列标准之一, 以解决各种类型密码设备互操作和资源共享为目标。本文首先描述了PKCS#11标准中的通用模型, 然后对模型实现中使用的会话和具有层次特性的对象等关键概念进行详细描述分析, 接着又分析了PKCS#11中基于用户认证、私有对象和设置对象的敏感属性来保证密码令牌存储对象信息的安全性。最后举例说明PKCS#11库的使用。
关键词：公开密钥密码标准,密码令牌,槽,会话
参考文献
[1]RSA Laboratories.PKCS #11 v2.20: Cryptographic Token In-terface Standard. 28 June 2004.
[2]RSA Laboratories.PKCS #11 v2.20 Amendment 5 - Draft 1Additional PKCS#11 Mechanisms. April 15.2008.