10.1.3安全机制 为了实现上述安全服务，OSI安全体系结构还定 义了安全机制。这些安全机制可分成两类：一类 在特定的协议层实现，另一类不属于任何的协议 层或安全服务。在特定的协议层设置的一些安全 机制主要为以下几种。 1.加密机制 这种机制提供对数据或信息流的保密，并可作为 其他安全机制的补充。加密算法分为两种类型 一是对称密钥密码体制，加密和解密使用相同的 秘密密钥；二是非对称密钥密码体制，加密使用 公开密钥，解密使用私人密钥。网络条件下的数 据加密必然使用密钥管理机制。 信息安全导论10 17
10.1.3 安全机制 • 为了实现上述安全服务，OSI安全体系结构还定 义了安全机制。这些安全机制可分成两类：一类 在特定的协议层实现，另一类不属于任何的协议 层或安全服务。在特定的协议层设置的一些安全 机制主要为以下几种。 1.加密机制 • 这种机制提供对数据或信息流的保密，并可作为 其他安全机制的补充。加密算法分为两种类型： 一是对称密钥密码体制，加密和解密使用相同的 秘密密钥；二是非对称密钥密码体制，加密使用 公开密钥，解密使用私人密钥。网络条件下的数 据加密必然使用密钥管理机制。 信息安全导论10 17
2.数字签名机制 数字签名是附加在数据单元上的一些数据，或是 对数据单元所作的密码变换，这种数据或变换允 许数据单元的接收方确认数据单元来源和数据单 元的完整性，并保护数据，防止被人伪造。数字 等名机刷定个过程，单签彩 过名的数据单元。 签名过程使用签名者专用的保密信息作为私用 钥， 加密一个数据单元并产生数据单元的一个密 码校验值。，验证过程则使用公开的方法和信息来 确定签名是否是使用签名者的专用信息产生的 但由验证过程不能推导出签名者的专用保密信息 明某出剷骋H安雾‘晋学韩*聋明窝老喉 用信息产主。 信息安全导论10 18
2.数字签名机制 • 数字签名是附加在数据单元上的一些数据，或是 对数据单元所作的密码变换，这种数据或变换允 许数据单元的接收方确认数据单元来源和数据单 元的完整性，并保护数据，防止被人伪造。数字 签名机制确定两个过程，对数据单元签名和验证 签过名的数据单元。 • 签名过程使用签名者专用的保密信息作为私用密 钥，加密一个数据单元并产生数据单元的一个密 码校验值。验证过程则使用公开的方法和信息来 确定签名是否是使用签名者的专用信息产生的。 但由验证过程不能推导出签名者的专用保密信息。 数字签名的基本特点是，签名只能使用签名者的 专用信息产生。 信息安全导论10 18
3.访问控制机制 当实体试图使用非授权资源或以不正确方式使用授权资 源时，访问控制功能将拒绝这种企图，产生事件报警并 记录下来作为安全审计跟踪的一部分。访问控制机制可 用以下一种或多种信息类型为基础。 (1)访问控制信息库。该库存有对等实体的访问权限，这 种信息可由授权中心或正被访问的实体保存。 ·(2)鉴别信息。如通行字等。 ·(3)用于证明访问实体或资源的权限的能力和属性。 ·(4)按照安全策略，许可或拒绝访问的安全标号。 ·(5)试图访问的时间。 ·(6)试图访问的路径。 ·(7)访问的持续时间。 信息安全导论10 19
3.访问控制机制 • 当实体试图使用非授权资源或以不正确方式使用授权资 源时，访问控制功能将拒绝这种企图，产生事件报警并 记录下来作为安全审计跟踪的一部分。访问控制机制可 用以下一种或多种信息类型为基础。 • (1)访问控制信息库。该库存有对等实体的访问权限，这 种信息可由授权中心或正被访问的实体保存。 • (2)鉴别信息。如通行字等。 • (3)用于证明访问实体或资源的权限的能力和属性。 • (4)按照安全策略，许可或拒绝访问的安全标号。 • (5)试图访问的时间。 • (6)试图访问的路径。 • (7)访问的持续时间。 信息安全导论10 19
4.数据完整性机制 数据完整性包括两个方面：一是单个数据单元或字 段的完整性；二是数据单元或字段序列的完整性。 确定单个数据单元完整性包括两个过程：一是发送 实体将数据本身的某个函数量（称为校验码字段） 附加在该数据单元上；二是接收实体产生一个对应 的字段，与所接收到的字段进行比较以确定在传输 过程中数据是否被修改。但是，仅使用这种机制不 能防止单个数据单元的重播。 对连接型数据传输中数据单元序列完整性的保护 要求附加明显的次序关系。例如，顺序编号、时间 戳或密码链。对于无连接型数据传输，使用时间戳 可提供一种防止个别数据单元重播的限定形式。 信息安全导论10 20
4.数据完整性机制 • 数据完整性包括两个方面：一是单个数据单元或字 段的完整性；二是数据单元或字段序列的完整性。 • 确定单个数据单元完整性包括两个过程：一是发送 实体将数据本身的某个函数量（称为校验码字段） 附加在该数据单元上；二是接收实体产生一个对应 的字段，与所接收到的字段进行比较以确定在传输 过程中数据是否被修改。但是，仅使用这种机制不 能防止单个数据单元的重播。 • 对连接型数据传输中数据单元序列完整性的保护， 要求附加明显的次序关系。例如，顺序编号、时间 戳或密码链。对于无连接型数据传输，使用时间戳 可提供一种防止个别数据单元重播的限定形式。 信息安全导论10 20
5.鉴别交换机制 鉴别交换机制是通过互换信息的方式来确认实体 身份的机制。 这种机制可使用如下技术：发送方实体提供鉴别 信息（如通行字），由接受方实体验证；加密技 术；利用实体的特征或属性等。鉴别交换机制可 与相应层次相结合以提供同等实体鉴别。 当采用密码技术时，鉴别交换机制可以和握手” 协议相结合以抵抗重放攻击。 鉴别交换机制的选择取决于不同的应用场合。 信息安全导论10 21
5.鉴别交换机制 • 鉴别交换机制是通过互换信息的方式来确认实体 身份的机制。 • 这种机制可使用如下技术：发送方实体提供鉴别 信息（如通行字），由接受方实体验证；加密技 术；利用实体的特征或属性等。鉴别交换机制可 与相应层次相结合以提供同等实体鉴别。 • 当采用密码技术时，鉴别交换机制可以和“握手” 协议相结合以抵抗重放攻击。 • 鉴别交换机制的选择取决于不同的应用场合。 信息安全导论10 21