資源簡介

第 3 章 網絡安全與網絡資源
3.1 加密技術與安全
教學設計
教學背景
信息科技是現代科學技術領域的重要部分，主要研究以數字形式表達的信息及其應用中的科學原理、思維方法、處理過程和工程實現。當代高速發展的信息科技對全球經濟、社會和文化發展起著越來越重要的作用。
義務教育信息科技課程具有基礎性、實踐性和綜合性，為高中階段信息技術課程的學習奠定基礎。信息科技課程旨在培養科學精神和科技倫理，提升自主可控意識，培育社會主義核心價值觀，樹立總體國家安全觀，提升數字素養與技能。
教材分析
本節課的教學內容選自人教/地圖出版社選擇性必修2　網絡基礎　第 3 章 網絡安全與網絡資源 　3.1 加密技術與安全 。
網絡正在改變著社會和人們生活的方方面面，給人們帶來了豐富的網絡資源，帶來了各種便捷的獲取和使用資源的手段，方便著人們的工作、學習和生活。不過，網絡在給人們帶來驚喜和奇跡的同時，也給個人、企業、社會、國家等各方面帶來了巨大的安全挑戰。網絡空間已成為繼海、陸、空、天之外的“第五疆域”，網絡安全與政治安全、經濟安全、軍事安全等傳統安全融合交織。
教學目標
1.了解常用的加密技術，了解常用網絡安全協議的作用。
2.能夠設置及使用簡易防火墻。
3.能夠使用適當工具對數據和終端設備進行加密。
教學重點與難點
教學重點:了解常用的加密技術，了解常用網絡安全協議的作用。
教學難點:能夠使用適當工具對數據和終端設備進行加密。
教學方法與教學手段
案例分析法、講授法、任務驅動法。
教學過程
問題導入
體驗探索
回顧網絡安全事件
近年來，網絡安全問題層出不窮。
2017 年 3 月，在公安部的統一指揮下，北京、安徽、遼寧、河南等 14 個省、直轄市的公安機關開展集中收網行動，抓獲犯罪嫌疑人 96 名，查獲被竊的公民個人信息達50 多億條，涉及交通物流、醫療、社交、銀行等多個領域。
2016 年 8 月，一位高中畢業生的個人信息被泄露，并被騙走了上大學的學費。該學生報警后突然離世。數日后，案件告破，查獲被泄露的考生信息達 10 萬多條。
2015 年，我國首例黑客盜刷信用卡案告破，警方查獲 160 多萬條公民個人信息和銀行卡賬號，涉案金額 14.98 億元。
你遭遇或者聽說過哪些網絡安全事件？這些事件給當事人帶來了哪些影響？你覺得這些事件產生的原因是什么？
網絡安全涉及的范圍非常廣，既包括計算機、路由器等硬件設備的安全，也包括操作系統、數據庫、應用軟件等軟件的安全；既涉及國家機密信息的保護，也涉及個人隱私信息的保護；既需要規范的行為習慣，也需要穩定可靠的安全技術......在這一節，將重點介紹通過加密技術增強網絡信息傳輸安全性的知識與方法。
思考活動
探討網絡通信面臨的威脅
在網絡通信過程中，信息安全時時面臨各種威脅。如果進行適當的歸納整理會發現，這些威脅主要包括非法阻斷、竊聽、篡改和偽造等（圖 3.1.1）（參見教材P60）。
與這些威脅相對應，網絡安全就是要盡量保證數據的可用性、保密性、完整性和真實性。可用性，即得到授權的用戶、實體或程序能順利獲取所需的信息，而不被非法阻斷；保密性，即防止未授權的用戶、實體或程序竊取信息；完整性，即盡可能保證數據不會被未授權的一方私自修改；真實性，即確保信息不被偽造。
如果把信息安全問題比作一場戰爭，那么維護信息安全的一方通常被視為防守方，而破壞者則被視為攻擊方。
防守方無論怎樣做，也無法提前針對每一個可能存在的威脅做出相應的對策，而攻擊方只要找到一個不起眼的漏洞，就可以攻破整個防守體系。用戶作為信息系統中的不可控因素，其行為會對信息安全產生不可預估的影響。
盡管如此，研究人員仍然找到了很多可靠的技術手段來增強網絡通信的安全性。
非法阻斷問題，多與網絡設備、通信線路、服務器設置等密切相關。
本節不討論這個問題。
數字摘要及網絡應用
情境 1 ：
王紅下載文件時，發現在下載鏈接的旁邊還有一串奇怪的字符串，趙明說那是文件的數字摘要，可以用來檢測文件是否被篡改過。
數字摘要是什么？如何用它來檢測信息是否被篡改過呢？
數字摘要
數字摘要是一種認證技術，它采用某種算法對信息中的若干重要元素進行某種變換，最終得到固定長度的摘要值。用于生成數字摘要的算法主要有 MD5、SHA 等。
數字摘要是根據信息生成的二進制數，為了便于表示，常常把它轉換成字符串形式。數字摘要具有三個特征：
·不同信息的數字摘要幾乎不可能重復；
·無法通過數字摘要反向推導生成這個摘要的信息；
·同一算法的數字摘要長度是固定的（圖 3.1.2）（參見教材P62）。
數字摘要的應用
數字摘要與文件下載。不同信息的數字摘要幾乎不可能相同，也就意味著，不同文件的數字摘要通常是不同的，哪怕是文件中的一個 0 變成了 1，數字摘要也會發生變化。
這個特性正好用來驗證文件的完整性（圖 3.1.3）（參見教材P62）。
很多網站提供文件下載服務時，往往會附上數字摘要算法和文件對應的摘要值。下載了某個文件的用戶，只要驗證一下所下載文件的數字摘要，就能知道文件在下載過程中是否發生了傳輸錯誤，或者是否被篡改過。
數字摘要與密碼保護。信息系統中的用戶密碼通常保存在數據庫中，如果直接按密碼的原樣進行保存，那么數據庫的管理人員就可以輕松看到這些隱秘信息，從而帶來密碼泄露的隱患。
這時，可以采用摘要算法對密碼進行保護，即數據庫中存放的是密碼的數字摘要，管理人員即使看到數字摘要，也無法獲悉用戶的密碼，甚至連密碼的長度也無法知道。
使用時，用戶輸入密碼后，信息系統根據用戶輸入的密碼計算數字摘要，然后與系統中已保存的數字摘要進行比對，就能決定是否允許用戶登錄了。
思考活動
數字摘要技術與密碼安全
1. 討論使用數字摘要技術后，一個信息系統是如何校驗用戶密碼的，并把圖 3.1.6 （參見教材P63）補充完整。
2. 用戶丟失密碼后，信息系統 A 的客服人員很熱情，他表示自己雖然不能查看，但可以通過短信等方式，告知原來使用的密碼；信息系統 B 的客服人員則表示，他無法提供原來的密碼，只能幫用戶申請一個臨時密碼。這兩個信息系統，哪一個在密碼安全方面做得更好？為什么？
數字摘要與云存儲。現在，云存儲的使用已經非常普及了，作為云存儲的運營者，難免會遇到這樣的問題：不同的用戶上傳了同樣內容的文件，而作為一個系統，其實只要存一份就夠了。如何才能快速判斷系統中是否已經有相同文件了呢？
這時，可以先在客戶端計算相關文件的數字摘要，并把數字摘要傳給服務器，查看系統中是否已有相同文件。如果有了，就無需用戶繼續上傳，只要用鏈接的技術，讓用戶的云盤中出現這個文件就可以了（圖 3.1.7）（參見教材P64）。
思考活動
探討數字摘要技術的應用
數字摘要還可以用在哪些方面？
數字摘要的局限與應對
首先，數字摘要只能用來驗證信息的完整性，但完整的信息不一定真實可靠。實際上，如果攻擊方同時替換了要傳輸的數據和數字摘要，那么接收方就很難察覺。
其次，不同信息的數字摘要存在重復的可能。計算數字摘要，其實是把無限可能的信息，歸納為有限數字的過程，必然存在信息不同但數字摘要相同的情況（圖 3.1.8）（參見教材P64）。
這就意味著，攻擊者雖然不知道用戶的密碼，但他有可能用數字摘要相同的密碼登錄信息系統。
不過也無需對此過于擔心。一方面，這種現象出現的可能性極低，如果想人為地根據一個特定的數字摘要反推出一個相應的字符串，是一件非常困難的事情，普通攻擊者很難做到。
另一方面，研究人員在不斷研制更安全的摘要算法。
現在，很多信息系統開始改用 SHA1 等新算法，特別敏感的部門甚至會采用更安全的 SHA256 或 SHA512 算法。
當然，更安全的算法，通常需要更多的計算資源或者更長的運算時間。因此，確定數字摘要算法時，要根據實際需求進行選擇，而不能一味地強求安全。比如，雖然MD5 算法已被認為不安全了，但由于其計算過程相對簡單，所以在不太敏感的領域仍廣泛使用。
到目前為止，世界上還沒有絕對安全的技術。一種技術，只要能保證在相對較長的時間里不被攻破，就可以認為是安全的。
加密技術及網絡應用
項目實施
體驗加密過程
1. 準備 4 張紙板，上面有 8 行 8 列共 64 個空心圓。
2. 參照圖 3.1.9 （參見教材P65）中的圖 a 和圖 b，把第 1 張和第 2 張紙板的部分空心圓涂成實心圓。
3. 比對第 1 張紙板和第 2 張紙板，如果某一位置的圓一個為空心圓，一個為實心圓，則把第 3 張紙板的對應位置的圓涂成實心圓（圖 c）。
4. 只把第 3 張紙板交給另一位同學，看看他（她）能否猜出原本的記號。
5. 把第 2 張紙板也交給那位同學，讓他（她）與第 3 張紙板進行比對，并按照同樣的規則涂第 4 張紙板，看看最后的結果（圖 d）。
上面這個活動，其實展示了一個簡單的加密過程。其中圖 a 相當于明文，圖 b 相當于密鑰。由圖 a 和圖 b 得出圖 c的過程相當于加密過程，由圖 c 和圖 b 得出圖 d 的過程，相當于解密過程。加解密過程可抽象為圖 3.1.10（參見教材P65）。
現在使用的加密技術，主要包括對稱密鑰加密和非對稱密鑰加密兩種。
對稱密鑰加密
對稱密鑰加密的特點是加密和解密過程使用相同的密鑰（圖 3.1.11）（參見教材P66）。前面進行的活動，可歸屬于對稱密鑰加密。目前常使用的對稱密鑰加密算法包括DES（data encryption standard，數據加密標準）、AES（advanced encryption standard，高級加密標準）等。
與數字摘要不同，密文的長度一般隨明文長度而變，明文越長，密文一般也越長。如果輸錯了密鑰，則無法解開密文。
對稱密鑰加密擁有 AES 等可靠的加密算法，但也面臨一個棘手的問題：如何把密鑰安全地傳遞給接收方。在網絡通信過程中，攻擊者完全有可能通過網絡竊聽，獲得密鑰，從而獲取機密信息（圖 3.1.12）（參見教材P67）。
非對稱密鑰加密
非對稱密鑰加密的特點是，加密和解密過程分別使用不同的密鑰。這一對密鑰中，一個公開發給他人，稱為公鑰，用于加密；一個自己保留，稱為私鑰，用于解密（圖 3.1.13）（參見教材P68）。RSA 算法是目前最常用的非對稱密鑰加密算法。
非對稱密鑰加密、解密的過程，可以參見圖 3.1.14（參見教材P69）。
在非對稱密鑰加密技術中，公鑰原本就是要廣而告之的，任何想給 A 發送機密信息的人，只要用 A 公布的公鑰進行加密操作就可以了，因而不害怕密鑰被竊聽的問題。
不過這一技術也有弱點，比如，B 收到一個號稱來自A 的公鑰，B 還必須想辦法驗證這確實是 A 的公鑰，否則傳輸過程就可能被攻擊（圖 3.1.15）（參見教材P70）。
在圖 3.1.15 演示的過程中，攻擊者 C 悄悄截獲了 A 發出的公鑰，并把自己的公鑰發給了 B ；B 誤以為是 A 的公鑰，用其完成了加密操作，并發送密文；攻擊者 C 截獲 B 發出的密文，并用自己的私鑰解開，從而實現竊聽，甚至還可以偽造一份信息發給 A，從而進行欺詐。
把公鑰交由權威的第三方，由第三方通過其他手段確認公鑰的可靠性后，再放到網上供大家下載，可以比較好地解決公鑰認證問題。具體過程見圖 3.1.16（參見教材P70）。
RSA 算法原理簡介
RSA 算法是信息安全領域廣泛使用的一種非對稱密鑰加密算法，其公鑰和私鑰的生成需要事先給出兩個不同的大質數，然后通過一系列的計算得出兩個互相關聯的數對，分別作為公鑰和私鑰（圖 3.1.17）（參見教材P71）。
產生公鑰和私鑰的過程，主要包括以下五步：
第一步，找兩個質數 p 和 q，求這兩個數的乘積 N。
第二步，求數 L，L 是 p – 1 和 q – 1 的最小公倍數。
第三步，找一個數 E，要求 E 和 L 互質。
第四步，求數 D，要求 E 和 D 的乘積除以 L，余數是 1。
第五步，把 E 和 N 作為一組，形成公鑰；把 D 和 N 作為一組，形成私鑰。
公鑰中包含了 N，那是不是可以通過對 N 進行質因數分解，得到 p 和 q，從而推導出私鑰呢？在實際加解密時，p 和 q 都是非常大的質數，可能在 1 024 比特以上。可以想象，其乘積 N 將是個非常大的整數。到目前為止，人們還沒有找到能夠對大整數進行質因數分解的高效算法。所以，即使公鑰中有 N，也很難通過質因數分解的方法獲得 p 和q。正是因為這個原因，RSA 很難被破解。
簡單地說，RSA 之所以安全，其背后依賴的原理是：求兩個質數的乘積比較容易，反過來，對一個大整數進行質因數分解則非常困難。
加密技術的混合使用
對稱加密算法，加解密速度快，但密鑰容易被竊聽；非對稱加密算法，發送的公鑰不怕被竊聽，但加解密的速度慢。
在實際應用中，人們常常混合使用這兩種加密技術。
對于一般的、長的信息交由 AES 等對稱加密技術來處理，以適應網絡交互的特點；而短的、關鍵性的信息用 RSA 等非對稱加密技術進行處理（圖 3.1.18）（參見教材P73）。
在這個過程中，發送方利用對稱加密速度快的特點，對消息明文進行加密操作；同時利用公鑰為對稱密鑰進行了加密，這樣就可以利用非對稱加密系統的特點，解決秘鑰傳送可能被監聽的問題。最后把兩種密文組合起來，發送出去。
解密時，先按照事先的約定，把組合的信息分解成密鑰密文和消息密文；接著，用私鑰解開密鑰密文，獲取對稱密鑰；最后，用對稱加密密鑰對消息密文進行解密操作（圖 3.1.19）（參見教材P74）。
思考活動
分析混合加密的注意事項
解密時，先按照事先的約定，把組合的信息分解成密鑰密文和消息密文；接著，用私鑰解開密鑰密文，獲取對稱密鑰；最后，用對稱加密密鑰對消息密文進行解密操作（圖 3.1.19）（參見教材P74）。
1. 由于混合加密的過程中，對稱加密密鑰會用公鑰進行加密，因此可以指定非常簡單的密鑰，如全是 1、全是 a 等，這種做法可取嗎？為什么？
2. 混合加密過程中，使用“隨機生成的密鑰”和使用“事先指定的密鑰”這兩種方法相比，你認為哪一種更好？為什么？
加密技術與數字簽名
情境 2 ：
趙明收到了一份據稱來自王紅的加密文檔和文檔的 MD5 值，他用自己的私鑰解密了文檔，并重新計算 MD5 值進行了比對，一切看起來都很正常。
趙明正準備按文檔要求行事，正好王紅打來電話。在聊天中，趙明驚訝地發現，王紅說自己沒有發送過這份文檔！
這一切是怎么回事呢？
在非對稱加密過程中，王紅如果想給趙明發送信息，就會用趙明公開的公鑰加密，等趙明收到后，再用他的私鑰解密（圖 3.1.20）（參見教材P75）。
公鑰加密保證了信息的機密性、完整性等要求，但趙明的公鑰是公開的，趙明無法確認信息肯定來自王紅，王紅也可以隨時否認自己發送過信息。不過，如果公鑰和私鑰反過來用，就可以起到不一樣的效果。
私鑰是每個人單獨保存的，因此王紅用自己的私鑰加密，相當于給文檔添加數字簽名；趙明用王紅的公鑰解密，相當于驗證簽名（圖 3.1.21）（參見教材P75）。
數字簽名能比較好地解決網絡傳輸中信息的真實性問題，即能保證信息來自真實的發送者，而且發送者也沒法否認自己發送過相關的信息。
項目實施
加密傳輸文稿
王紅和趙明之間想通過網絡安全傳送比較大的文稿，通信過程既要保證機密性、完整性，同時也要保證真實性。請先判斷已有方案是否合適，然后提出自己的解決方案。假定發送方為 A，接收方為 B。
【方案一】
操作：發送方 A 用自己的私鑰加密，接收方 B 用 A 的公鑰解密。
理由：加密后，密文不可閱讀，保證了機密性，改動密文會造成解密過程失敗，因而保證了完整性，同時私鑰加密可以保證數據的真實性。
可行性：□可行 □不可行
解釋：
【方案二】
加密過程：
①用接收方 B 的公鑰對消息進行加密，得到密文 1。
②用發送方 A 的公鑰對密文 1 進行加密，得到密文 2。
解密過程：
①用發送方 A 的私鑰對消息進行解密，得到密文 1。
②用接收方 B 的私鑰對密文 1 進行解密，得到原文。
可行性：□可行 □不可行
解釋：
【自定的方案】
加密過程：
解密過程：
解釋：
加密技術與網絡安全協議
默認情況下，網絡以明文方式傳輸數據。用戶輸入的賬號、密碼等隱私信息，隨時可能被人監聽。現在主要有兩種方法用于增強網絡傳輸的安全性。
一種是在現有傳輸層之上插入可以安全傳輸信息的層（圖 3.1.22）（參見教材P77），如 SSL（secure socket layer ，安全套接字層）。
信息傳輸到這一層后，由相關軟件自動進行加密和解密，從而實現安全傳輸。很多應用層的安全協議，如 HTTPS（hypertext transfer protocol secure，超文本傳輸安全協議）就工作在 SSL 的基礎上（圖 3.1.23）（參見教材P77）。
這個過程混合使用了多種安全技術。網站服務器會提前到管理機構申請公鑰證書。實際運行時，服務器把證書和公鑰發給用戶；用戶接收后，利用證書驗證公鑰是否合法，如果合法就隨機生成一個對稱密鑰，并用服務器的公鑰加密后傳回服務器；服務器用私鑰解密，獲得對稱密鑰。此后，雙方就可以利用隨機生成的密鑰實現加密通信了（圖 3.1.24）（參見教材P77）。
使用HTTP 協議訪問時，會顯示無法訪問，而使用HTTPS 協議時就可以訪問（圖 3.1.25）（參見教材P79）。進一步查看會發現，這是因為所使用的證書沒有經過專業機構的認證，因此瀏覽器認為證書存在造假的可能，不安全。但也可以看出，采用 SSL，無論對于服務器端還是客戶端來說，改動都不大，能夠比較輕松地納入已有的信息系統。
另一種方法則關注于在 IP 層架構一個新的安全體系，如 IPsec（internet protocol security，互聯網絡層安全協議）。
IPsec 提供了認證和加密兩種安全機制。認證機制使 IP 通信的數據接收方能夠確認數據發送方的真實身份以及數據在傳輸過程中是否遭篡改；加密機制可以用來保證數據的機密性，防止數據在傳輸過程中被竊聽。IPv6 協議已經增加了對 IPsec 的支持。IPsec 的實現方式可見圖 3.1.26（參見教材P79）。
常用的加密工具
PGP（pretty good privacy，頗好保密性）是目前廣泛使用的加密技術體系，它混合使用了對稱加密、非對稱加密、數字摘要、數字簽名等多種安全技術。
開源運動的軟件工程師們根據 PGP 的相關標準，開發出了開源的 GPG（GNU privacy guard）軟件，隨后又有人在GPG 的基礎上，開發出了帶有操作界面的 Gpg4win 軟件。
個人日常應用中，對每一個文件都人為加密比較煩瑣，為此，人們開發出了很多可以自動加密硬盤的軟件，如Windows 系統自帶的 BitLocker。
身份認證
日常生活中經常要輸入各種密碼，如即時通信軟件的登錄密碼、使用手機時的手勢密碼、使用云服務的密碼等（圖 3.1.35）（參見教材P83）。
事實上，這時候輸入的密碼主要用于身份驗證。也就是說，服務器接收到密碼（通常是密碼的數字摘要）后，并不是用于加密或解密，而是與數據庫中已有的信息進行比對，信息符合的才允許進入系統，使用相應的信息資源。
基于密碼的認證，是使用最普遍的認證方式。有一些信息系統進行用戶認證時，用戶光有賬號和密碼還不行，還得提供特殊的認證文件，或者磁卡、U 盾等物理設備。此外，還有一些基于生物特征的認證方式，如指紋認證、聲音認證、虹膜認證等（圖 3.1.36）（參見教材P83）。
防火墻
防火墻這個概念來自古代。當時人們為防止火災的發生和蔓延，會將堅固的石塊堆砌在木制房屋周圍，這種防護性的墻被稱為防火墻。現在，很多機構或單位會在內部網絡和互聯網之間建立一道維護安全的屏障，這個屏障的作用是阻斷來自外部網絡的威脅和入侵（圖 3.1.37）（參見教材P84）。
防火墻可以由軟件構成，也可以由硬件構成。安裝了防火墻，可以使系統具備網絡訪問控制功能，從而抵御外來的攻擊，過濾禁止訪問的站點，提高系統的安全性。家庭和個人使用的防火墻一般都是軟件防火墻，常用的有《費爾個人防火墻》《瑞星個人防火墻》等（圖 3.1.38）（參見教材P84）。
安裝了防火墻軟件后，可以規定哪些程序能夠訪問網絡，哪些程序不能，這些規定也叫“網絡訪問規則”。使用不在網絡訪問規則中的軟件進行網絡通信時，計算機會彈出一個詢問窗口，讓操作者決定是否允許它訪問網絡。
這樣，通過防火墻軟件，可以阻止那些不經用戶同意就悄悄進行網絡通信的程序，如“木馬”程序。但防火墻軟件有時也會因誤判而阻止正常的網絡訪問，這時需要適當調整防火墻軟件中的網絡訪問規則。
事實上，前面組網時使用的路由器，也能起到防火墻的作用。路由器通常運行在內網和外網之間，當路由器接收到內網計算機訪問某個站點的請求后，就會檢查這個請求是否符合規定，如果符合，就會去相應站點取回所需信息再轉發給相應的計算機。
也就是說，路由器會像一堵墻一樣擋在內網和外網之間，一般情況下，從外部只能看到路由器而無法獲知內網的資源。
課后作業
1.密碼的作用是什么？為什么網站通常要求密碼具有一定的長度和復雜度？
2.某人說，他的資料都已經加密好了，密鑰就是手機中拍攝的一張關于名畫《星空》的照片。根據這個人的描述，回答以下問題。
·手機拍攝的照片能用來作為密鑰嗎？為什么？
·用自己的手機重新去拍一下《星空》，或者下載相關的圖像，能用來解密嗎？
·這個人采用的加密手段，有可能面臨什么風險？哪些人有可能解密他的資料？
板書設計
第 3 章 網絡安全與網絡資源
3.1 加密技術與安全
1.網絡通信面臨的威脅
2.數字摘要及網絡應用
3.加密技術及網絡應用
4.身份認證
5.防火墻
普通高中教科書
信息技術　選擇性必修 2　網絡基礎
編著
人民教育出版襯課程教材研究所信息技術課程教材研究開發中心
中國地圖出版社教材出版分社
總 主 編 ：祝智庭 樊 磊
副總主編 ：高淑印 郭 芳 李 鋒
本冊主編：慈黎利 熊雪亭
編寫人員：梁南燕 武 迪 王集偉 佟松齡 王學紅

展開更多......

收起↑