第二部分密码学与信息安全

《第二部分密码学与信息安全》由会员分享，可在线阅读，更多相关《第二部分密码学与信息安全（79页珍藏版）》请在文档大全上搜索。

1、第二部分第二部分 密码学与信息安全密码学与信息安全2013.9陈志伟陈志伟第二部分 密码学与信息安全计算机密码学是研究计算机计算机密码学是研究计算机信息加密、解密及其变换信息加密、解密及其变换的科学，是数学的科学，是数学和计算机的交叉学科，也是一门新兴的学科。随着计算机网络和计算和计算机的交叉学科，也是一门新兴的学科。随着计算机网络和计算机通讯技术的发展，计算机密码学得到前所未有的重视并迅速普及和机通讯技术的发展，计算机密码学得到前所未有的重视并迅速普及和发展起来。在国内外，它已成为计算机安全主要的研究方向。发展起来。在国内外，它已成为计算机安全主要的研究方向。密码学主要研究通信保密，用于计算

2、机及其保密通信，它的密码学主要研究通信保密，用于计算机及其保密通信，它的基本思想基本思想就是伪装信息就是伪装信息，使未授权者不能理解它的含义。，使未授权者不能理解它的含义。2中国网上银行系统安全性分析中国的网上银行起步比较早的是深圳招商银行，他们开发中国的网上银行起步比较早的是深圳招商银行，他们开发过第一个面向最终用户的网银系统过第一个面向最终用户的网银系统随着网络的大规模普及，中国各个银行也都逐步开启自己随着网络的大规模普及，中国各个银行也都逐步开启自己的网银系统，有些银行的系统仅局限在账户的网银系统，有些银行的系统仅局限在账户信息查询信息查询方面，方面，有些则包含有些则包含转账付款转账付款

3、等功能，还有的已经等功能，还有的已经涉及涉及贷款、投资贷款、投资理财理财等方面的内容等方面的内容。随着网银的普及，。随着网银的普及，网银的安全性网银的安全性成为成为整个系统中最为至关重要的部分了。整个系统中最为至关重要的部分了。信用卡快捷支付信用卡快捷支付3中国网上银行系统安全性分析根据一般的报道分析，不法分子窃取用户信息根据一般的报道分析，不法分子窃取用户信息主要通过木马主要通过木马程序程序（键盘记录工具）（键盘记录工具）来进行来进行，比如，黑客首先在用户电脑，比如，黑客首先在用户电脑系统注入木马程序后，驻留在中招电脑系统里的监控系统就系统注入木马程序后，驻留在中招电脑系统里的监控系统就可以

4、可以 截取、监控系统及用户上网时打开的网银密码窗口。截取、监控系统及用户上网时打开的网银密码窗口。当用户在网银程序里输入卡号或密码时计算机就会自动将相当用户在网银程序里输入卡号或密码时计算机就会自动将相关信息发送给黑客关信息发送给黑客，他们再据此进行读取以破译，钱便被黑，他们再据此进行读取以破译，钱便被黑走了。走了。4中国网上银行系统安全性分析目前网银系统的主要问题是，目前网银系统的主要问题是，安全性过于依赖用户本身安全性过于依赖用户本身的素质的素质，对于安全观念较差的用户，其密码很容易被盗，对于安全观念较差的用户，其密码很容易被盗取，因此取，因此这种这种“信任用户信任用户”的安全模式设计是不

5、合理的的安全模式设计是不合理的。用户的电脑可能安装木马程序，用户的一举一动都可能用户的电脑可能安装木马程序，用户的一举一动都可能被监听和窃取被监听和窃取。只有只有脱离用户的电脑系统脱离用户的电脑系统，使用，使用独立的身份认证硬件设独立的身份认证硬件设备备，才能构造出安全的网银系统。，才能构造出安全的网银系统。5中国网银安全分析：动态密码锁目前有两种流行的身份认证硬件产品可以实现较为安全的网银系目前有两种流行的身份认证硬件产品可以实现较为安全的网银系统登录。第一种身份认证产品名叫统登录。第一种身份认证产品名叫“动态密码锁动态密码锁”。动态密码（动态密码（Dynamic Password）也称）也

6、称一次性密码一次性密码，它指用户的密它指用户的密码按照时间或使用次数不断动态变化，每个密码只使用一次码按照时间或使用次数不断动态变化，每个密码只使用一次。下图是这种产品的外观，其中数字键用于输入用户下图是这种产品的外观，其中数字键用于输入用户PIN码，显示屏码，显示屏用于显示一次性密码。用于显示一次性密码。每次输入正确的每次输入正确的PIN码，都可以得到一个当码，都可以得到一个当前可用的一次性动态密码前可用的一次性动态密码。6中国网银安全分析：动态密码锁这种产品的密码生成芯片这种产品的密码生成芯片运行专门的密码算法，根据运行专门的密码算法，根据当前时间以及使用当前时间以及使用次数生成当前密码次

7、数生成当前密码并显示在显示屏上。认证服务器采用相同的算法计算并显示在显示屏上。认证服务器采用相同的算法计算当前的有效密码。静态当前的有效密码。静态PIN码的安全要素码的安全要素还还在于在于，这个这个PIN码不是在电脑码不是在电脑上输入的，而是在密码锁上输入的上输入的，而是在密码锁上输入的。而而用户每次使用的密码都不相同，用户每次使用的密码都不相同，即使黑客即使黑客截获截获了一次密码，也了一次密码，也无法利无法利用这个密码来仿冒合法用户的身份，用这个密码来仿冒合法用户的身份，因为下一次登录必须使用另外一个因为下一次登录必须使用另外一个动态密码。动态密码。威胁：威胁：PIN码被人码被人窥窃窥窃遮挡

8、遮挡DynamicPasswordDemo7中国网银安全分析：USB Key现在我们将介绍另外一种广泛应用的现在我们将介绍另外一种广泛应用的身份认证产品：身份认证产品：USB Key。USB Key目前在目前在网上银行应用十分广泛网上银行应用十分广泛，大家看到一些银行的，大家看到一些银行的U盾、盾、优优KEY等都是这种产品。等都是这种产品。USB Key的使用方法是，当登录网银系统的时候，的使用方法是，当登录网银系统的时候，在电脑上插入在电脑上插入USB Key，然后输入，然后输入PIN码，如果验证通过，则可以进行相关交易码，如果验证通过，则可以进行相关交易。这种加密方式这种加密方式使用了使用

9、了双钥加密，私钥双钥加密，私钥(数字证书数字证书)安全地保存在安全地保存在Key中中，在网络应用的环境下，可以更安全，在网络应用的环境下，可以更安全，弥补了动态密码锁单钥加密的一弥补了动态密码锁单钥加密的一些缺陷些缺陷。8中国网银安全分析：USB Key和单钥的动态密码锁不同的是，和单钥的动态密码锁不同的是，USB Key采用双钥（公钥）采用双钥（公钥）加密的认证模式加密的认证模式，USB Key是一种是一种USB接口的硬件设备，接口的硬件设备，外形如下图所示。外形如下图所示。它内置单片机或智能卡芯片，有一定的存储空间，可以它内置单片机或智能卡芯片，有一定的存储空间，可以存存储用户的私钥以及数

10、字证书储用户的私钥以及数字证书，利用利用USB Key内置的公钥算内置的公钥算法实现对用户身份的认证法实现对用户身份的认证。由于用户私钥保存在密码锁中，。由于用户私钥保存在密码锁中，理论上使用任何方式都无法读取，因此保证了用户认证的理论上使用任何方式都无法读取，因此保证了用户认证的安全性安全性。9中国网银安全分析：USB KeyUSB Key的硬件和的硬件和PIN码码构成了可以使用证书的两个必要因构成了可以使用证书的两个必要因素素。如果用户。如果用户PIN码被泄漏，只要码被泄漏，只要USB Key本身不被盗用即本身不被盗用即安全。黑客如果安全。黑客如果想要破解想要破解USB Key，那么需要先

11、偷到用户，那么需要先偷到用户USB Key的物理硬件的物理硬件。USB Key的一个最重要的的一个最重要的优点就是成本低廉优点就是成本低廉。一些单片机芯。一些单片机芯片片USB Key的成本可以低于的成本可以低于10元，很利于大规模普及应用。元，很利于大规模普及应用。11密码学基础Phaistos圆盘圆盘，一种直径约为，一种直径约为160mm的的Cretan-Mnoan粘粘土圆盘，始于公元前土圆盘，始于公元前17世纪。世纪。表面有明显字间空格的字表面有明显字间空格的字母，至今还没有破解母，至今还没有破解。12密码学基础二战中美国陆军和海军使用二战中美国陆军和海军使用的的条形密码设备条形密码设备