1 概述
自1994年国务院颁布《中华人民共和国信息系统安全保护条例》(国务院[19941147号令)以来，信息系统安全等级保护体系逐步完善成熟。在传统架构的信息系统下发挥了很大的作用。
密码技术是保障信息安全的核心技术，是等级保护建设中必不可少的基础技术。密码技术不仅能够保证机密性信息的加密，而且完成数字签名、身份验证、系统安全等功能。所以，使用密码技术不仅可以保证信息的机密性，而且可以保证信息的完整性和确证性，防止信息被篡改、伪造和假冒。
2 密码学技术
密码技术，如加密技术、数字签名技术是解决网络安全的核心技术，是实现所有安全服务的重要基础。密码体制是密码技术中最为核心的概念。目前主要的加密技术有：对称加密技术、公开密钥技术。
2．1对称加密技术
对称加密技术即常规加密技术，是指加密和解密使用同一个密钥，通信双方必须交换彼此密钥。发送消息时，发送方使用自己的密钥对传输信息进行加密，接收方收到信息后，用发送方所给的密钥进行解密。
2．2公开密钥技术
公开密钥算法的理论依据来源于数论，公私钥对是基于一对大素数，对于攻击者来说，采用穷举法把使用的大素数猜测出或把密钥的因子算出是 件非常困难的事，公开密钥算法的安全性基于密钥的安全性，一般使用的密钥长度为512位或1024位可以保证密钥的安全性。常用的公开密钥加密算法有RSA公开密钥加密算法、E1Gamal算法、椭圆曲线密码算法等。公开密钥算法的优点是通信双方事先无需使用秘密通道和复杂的协议来交换密钥即可建立起保密通信。网络中的每一用户只需保存自己的解密密钥，密钥便于管理，密钥分配简单，最广泛的应用就是实现数字签名以及身份认证。公钥技术的缺点就是算法处理速度相对于对称密钥慢。
2．3 对称加密技术和公开密钥技术的综合应用
对称加密技术和公开密钥技术各有其优缺点，在实际应用中往往把两者结合起来，综合应用，互相取长补短，具体应用中，并不直接使用公开加密算法加密明文，而仅用它来保护实际加密明文的对称密钥。
3 身份认证实现
身份认证的本质是被认证方有一些信息，除被认证方自己外，任何第三方不能伪造，被认证方能够使认证方相信他确实拥有那些秘密，则他的身份就得到了认证。以下介绍几种常用的身份认证技术：
3．1 口令核对
鉴别用户身份最常见也是最简单的方法就是口令核对法：系统为每一个合法用户建立一个用户名／口令对，当用户登录系统或使用某项功能时，提示用户输入自己的用户名和口令，系统通过核对用户输入的用户名、口令与系统内已有的合法用户的用户名／口令对是否匹配，如与某一项用户名／N令对匹配，则该用户的身份得到了认证。
3．2 单向认证
如果通信的双方只需要一方被另一方鉴别身份，这样的认证过程就是一种单向认证，前面提到的口令核对法实际也可以算是一种单向认证，只是这种简单的单向认证还没有与密钥分发相结合。
与密钥分发相结合的单向认证主要有两类方案：一类采用对称密钥加密体制，需要一个可信赖的第三方—— 通常称为KDC(密钥分发中心)或AS(认证服务器)，由这个第三方来实现通信双方的身份认证和密钥分发；另一类采用非对称密钥加密体制，无需第三方参与。
需第三方参与的单向认证：
(1)A—KDC：IDA||IDB||N1
(2)KDC—A：EKa[k||IDB||N1||EKbEs||IDA]]
(3)A—B：Ekb||IDA]||Eks[M]
无需第三方参与的单向认证：
A—B：EKub[Ks]||EKs[M]
当信息不要求保密时，这种无需第三方的单向认证可简化为：
A—B：M||Ekra(M)]
3．3双向认证
在双向认证过程中，通信双方需要互相认证鉴别各自的身份，然后交换会话密钥，双向认证的典型方案是Needham／Schroeder协议：
(1)A—KDC：IDA||IDB||N1
(2)KDC—A：EKa[k||IDB||N1||Ekb[Es||IDA]]
(3)A—B：Ekb[Ks||IDA]
(4)B—A：Eks[N2]
(5)A—B：EKs(f(N2)]
3．4 身份的零知识证明
通常的身份认证都要求传输口令或身份信息，如果不传输这些信息，身份也能得到证明就好了，这就需要身份的零知识证明技术。
零知识证明是这样一种技术，被认证方P掌握某些秘密信息，P想设法让认证方v相信他确实掌握那些信息，但又不想让v也知道那些信息。
被认证方P掌握的秘密信息可以是某些长期没有解决的猜想问题的证明，如：费尔玛最后定理，图的三色问题，也可以是缺乏有效算法的难题解法，如：大数因式分解等，信息的本质是可以验证的，即可通过具体的步骤来检测它的正确性。
核心关注：拓步ERP系统平台是覆盖了众多的业务领域、行业应用，蕴涵了丰富的ERP管理思想，集成了ERP软件业务管理理念，功能涉及供应链、成本、制造、CRM、HR等众多业务领域的管理，全面涵盖了企业关注ERP管理系统的核心领域，是众多中小企业信息化建设首选的ERP管理软件信赖品牌。
转载请注明出处：拓步ERP资讯网http://www.toberp.com/
本文标题：等级保护密码技术的应用探索
相关文章
