文档介绍：网络的可生存性
荆继武冯登国
信息安全国家重点实验室
提纲
现有网络的安全问题
旧的安全技术不能保证安全
网络的可生存性问题
可生存性技术
新华网的几则消息
钓鱼式网页欺诈
一个邮件,告诉你银行网络要升级让输入帐号和密码等,输入完成后升级成功,帐户里的钱不见了。
银行网站频现克隆(3/1)
中国银行英文版遭人假冒,年底有两家,中国银联也被假冒
网上银行不安全(2/17)
病毒盗取密码,工行帐号内1000元被人盗走。律师称:银行没有责任。香港10月,23起假冒银行网案件,最大金额66万港元。
电子政务面临的挑战
民众调查一致地表示,用户最优先考虑的。然而许多政府网站却缺乏简单的隐私和安全策略。网上行为和信息的不安全妨碍了电子政务的开始
Public opinion surveys consistently identify security and privacy issues as a foremost concern for users, yet many government websites fail to reassure citizens with simple privacy and security policies. Uncertainty over the security of online activities and information will hamper the take up of e-government
GLOBAL E-GOVERNMENT SURVEY
2001/9
2:1选择放慢电子政务先解决安全
Hackers break into puters
Gov’t employees misuse personal information
Less personal privacy
People without get less gov’t service
Government more impersonal
Harder to get answers to problem
Public names improved security as top priority for government Web pages.
HART-TEETER/August 2000
现有的安全问题
程序漏洞/错误
缓冲区溢出
蠕虫与病毒
垃圾邮件
网络欺骗(邮件/网站)
僵尸网络()
现有网络的安全形势严峻
安全事件频繁发生
民意调查关注安全
网络缺陷多
攻击手段多
安全问题复杂
简单保护技术(修墙)的失败
修得太小,好多东西没保住
修得太大,内部问题一大堆
修得再好,敌人就会有更好的手段
大气层保护,不让人进入太空,还是进了
水保护水下动物,人也下去了
城墙修了,飞机可以飞过
房子修了,X射线可以穿过
是否有完美的保护系统?
是否存在在任何条件下都完全正确的复杂逻辑设计(如CPU)?
几百万门的复杂电路没有任何漏洞?
是否存在没有错误的编码(如OS)?
TCB的编码和设计可以做到万无一失?
编写TCB的程序员绝对不会成为叛徒?
集成电路的设计人员和软件都没有任何问题?
只修墙不行!
内部攻击,身份假冒
基于系统漏洞的攻击
存取控制
内部系统
用户鉴别/认证