文档介绍：第2章物联网安全技术框架学****任务常用信息安全技术简介物联网安全技术架构 12 本章主要涉及: 4 常用信息安全技术简介?现代经常涉及的信息安全技术主要有数据加密、身份认证、访问控制和口令、数字证书、电子签证机关( CA )、数字签名等常用信息安全技术。?为便于进一步学****先在本节进行概念性解释。常用信息安全技术简介数据加密与身份认证 1. 数据加密?数据加密是计算机系统对信息进行保护的一种最可靠的办法。它利用密码技术对信息进行交换, 实现信息隐蔽,从而保护信息的安全。?考虑到用户可能试图旁路系统的情况,如物理地取走数据库,在通信线路上窃听。对这样的威胁最有效的解决方法就是数据加密,即以加密格式存储和传输敏感数据。常用信息安全技术简介 2. 身份验证?身份验证是指通过一定的手段,完成对用户身份的确认。身份验证的目的是确认当前所声称为某种身份的用户,确实是所声称的用户。?身份验证的方法有很多,基本上可分为:基于共享密钥的身份验证、基于生物学特征的身份验证和基于公开密钥加密算法的身份验证。不同的身份验证方法,安全性也各有高低。常用信息安全技术简介访问控制和口令 1. 访问控制?按用户身份及其所归属的某预设的定义组限制用户对某些信息项的访问,或限制对某些控制功能的使用。?访问控制通常用于系统管理员控制用户对服务器、目录、文件等网络资源的访问。常用信息安全技术简介 2. 访问控制的类型?自主访问控制,是指由用户有权对自身所创建的访问对象(文件、数据表等)进行访问,并可将对这些对象的访问权授予其他用户和从授予权限的用户收回其访问权限?强制访问控制,是指由系统(通过专门设置的系统安全员)对用户所创建的对象进行统一的强制性控制,按照规定的规则决定哪些用户可以对哪些对象进行什么样操作系统类型的访问,即使是创建者用户,在创建一个对象后,也可能无权访问该对象。常用信息安全技术简介 3. 口令?通过用户 ID和口令进行认证是操作系统或应用程序通常采用的。?如果非法用户获得合法用户身份的口令,他就可以自由访问未授权的系统资源,所以需要防止口令泄露。?易被猜中的口令或缺省口令也是一个很严重的问题,但一个更严重的问题是有的账号根本没有口令。实际上,所有使用弱口令,缺省口令和没有口令的账号都应从系统中清除。常用信息安全技术简介目前各类计算资源主要靠固定口令的方式来保护,对口令的攻击包括以下几种: (1)网络数据流窃听( Sniffer ): 攻击者通过窃听网络数据,如果口令使用明文传输,则可被非法截获。常用信息安全技术简介(2)认证信息截取/重放( Record/Replay ): 有的系统会将认证信息进行简单加密后进行传输,如果攻击者无法用第一种方式推算出密码,可以使用截取/重放方式,需要的是重新编写客户端软件以使用加密口令实现系统登录。