12．1 信息安全概述

12．1 信息安全概述

12．1．1 常见信息安全问题

信息在存储和传输中，都有可能遭受第三方的攻击。 第三方会利用各种技术，非法窃听、截取、篡改或者破坏信息，所有这些危及信息系统安全的活动一般称为安全攻击。 常见的安全攻击有：

①信息内容的泄漏：信息在存储和传输中，只有得到授权的用户才可以读取信息的内容，而第三方利用某种攻击手段，使得消息的内容被泄露或透露给某个非授权的实体。

②流量分析：第三方捕获通过某个网络的数据，通过分析通信双方的标志、通信频度、消息格式等信息来进行分析，获得对自己有用的信息，从而达到自己的目的。

③拒绝服务：攻击者通过发送大量信息，造成对某个设备请求的资源数量超过其能够供给的数量，从而阻止合法用户对信息或其他资源的合法访问，造成合法用户得不到应有的服务。

④伪造：指一个实体冒充另一个实体。

⑤篡改：第三方在通信双方通信过程中，捕获数据，对用户之间的通信消息进行修改或者改变消息的顺序后发送给接收方。

⑥重放：第三方捕获通信双方的通信数据，将获得的信息再次发送给用户，以期望获得合法用户的利益。

安全攻击又分为主动攻击和被动攻击。 被动攻击只对数据进行窃听和监测，获得传输的信息，而不对信息作任何改动，威胁信息的保密性。 消息内容的泄漏和流量分析就属于被动攻击，用户一般难以察觉所遭受的被动攻击。 主动攻击则主要是篡改或者伪造信息，主动攻击对信息的完整性、可用性和真实性造成了威胁，伪装、篡改、重放和拒绝服务都属于主动攻击。

12．1．2 信息安全的概念

信息安全是指信息在存储、处理和传输状态下能够受到保护，不因偶然和恶意的原因而遭到破坏、更改和泄漏。 一般说来，信息安全的内容主要包括以下几个方面：

①完整性：指信息在存储、处理和传输的过程中能够防止被非法的修改和破坏，从而保持信息的原样性。

②保密性：信息的保密性指信息不应泄漏给未经授权的实体和个人。 信息的保密性要求未经授权的用户不能使用信息，因此必须能够防止信息的泄漏，保证其不被窃取，或者即使第三者窃取了数据，窃取者也不能理解数据的真实含义。

③真实性：信息的真实性指能够对信息的来源进行鉴别，防止第三者冒充，从而保证信息的真实性。

④可用性：信息的可用性是指信息的合法授权用户能够访问信息而不会被拒绝。

⑤不可否认性：信息的不可否认性要求为通信双方提供信息真实性鉴别的安全要求。 在通信过程中，对于同一信息，收、发双方均不可抵赖，这在现在规模日益扩大的电子商务中非常重要。 信息的不可否认性一般通过数字签名来提供。