[科普中國]-加密設(shè)施

簡介

加密設(shè)施是指運(yùn)用加密的有關(guān)概念與技術(shù)來實(shí)施并提供安全服務(wù)的具有普遍性與適用性的網(wǎng)絡(luò)安全設(shè)施。加密設(shè)施一般對(duì)性能有以下要求：透明性和易用性、可擴(kuò)展性、互操作性、多用性和支持多平臺(tái)1。加密設(shè)施在很多領(lǐng)域都有應(yīng)用，例如軍事、銀行和電子商務(wù)等。加密設(shè)施一般是軟件加密和硬件加密相結(jié)合方式實(shí)現(xiàn)的。

性能要求易用性易用性是一種以使用者為中心的設(shè)計(jì)概念，易用性設(shè)計(jì)的重點(diǎn)在于讓產(chǎn)品的設(shè)計(jì)能夠符合使用者的習(xí)慣與需求。以互聯(lián)網(wǎng)網(wǎng)站的設(shè)計(jì)為例，希望讓使用者在瀏覽的過程中不會(huì)產(chǎn)生壓力或感到挫折，并能讓使用者在使用網(wǎng)站功能時(shí)，能用最少的努力發(fā)揮最大的效能。易用性專家Jakob Nielsen與計(jì)算機(jī)科學(xué)教授Ben Shneiderman曾經(jīng)分別討論系統(tǒng)可接受度（acceptability）的框架，其中指出易用性是“有用”（usefulness）的一部分，而且包含下列元素：可學(xué)習(xí)性 (Learnability) 、效率 (Efficiency) 、可記憶性（Memorability）、很少出現(xiàn)嚴(yán)重錯(cuò)誤 (Errors) 、滿意度 (Satisfaction)。

可擴(kuò)展性也稱作可擴(kuò)充性，隨著 VLSI 技術(shù)和計(jì)算機(jī)技術(shù)的迅速發(fā)展，計(jì)算機(jī)硬件和體系結(jié)構(gòu)也隨之得到迅速發(fā)展，相應(yīng)地，它們也對(duì) OS 提出了更高的功能和性能要求。此外，多處理機(jī)系統(tǒng)、計(jì)算機(jī)網(wǎng)絡(luò)，特別是 Internet 的發(fā)展，又對(duì) OS 提出了一系列更新的要求。因此，OS 必須具有很好的可擴(kuò)充性，方能適應(yīng)計(jì)算機(jī)硬件、體系結(jié)構(gòu)以及應(yīng)用發(fā)展的要求。這就是說，現(xiàn)代 OS 應(yīng)采用新的 OS 結(jié)構(gòu)，如微內(nèi)核結(jié)構(gòu)和客戶服務(wù)器模式，以便于方便地增加新的功能和模塊，并能修改老的功能和模塊。

互操作性互操作性（英文：Interoperability）作為一種特性，它指的是不同的系統(tǒng)和組織機(jī)構(gòu)之間相互合作，協(xié)同工作（即互操作）的能力。技術(shù)系統(tǒng)工程設(shè)計(jì)（technical systems engineering）方面常常會(huì)用到這條術(shù)語；另外，廣義地說，還會(huì)考慮到那些影響系統(tǒng)間性能（system to system performance）的社會(huì)、政治和組織機(jī)構(gòu)因素。另外，Interop還是幾個(gè)年度網(wǎng)絡(luò)產(chǎn)品貿(mào)易展覽會(huì)的名稱（英文：annual networking product trade shows）。又可分為語法互操作性和語義互操作性。語法互操作性：對(duì)于深入推進(jìn)互操作性的任何工作而言，語法互操作性都不可或缺。如果一個(gè)系統(tǒng)能夠進(jìn)行通訊和交換數(shù)據(jù)，那么，它就具備語法協(xié)同工作能力。就數(shù)據(jù)的通訊而言，基本的要素包括規(guī)定的數(shù)據(jù)格式、通訊協(xié)議以及接口描述等等。一般而言，XML或SQL標(biāo)準(zhǔn)提供的就是語法互操作性。語義互操作性：數(shù)據(jù)交換至少要涉及到兩個(gè)計(jì)算機(jī)系統(tǒng)參與方：即發(fā)送方計(jì)算機(jī)系統(tǒng)和接受方計(jì)算機(jī)系統(tǒng)。數(shù)據(jù)交換旨在為所有的參與方計(jì)算機(jī)系統(tǒng)，或者交換雙方或其中之一帶來有用的結(jié)果。不過，這些參與方計(jì)算機(jī)系統(tǒng)的所有用戶事先已經(jīng)就有關(guān)何謂有用結(jié)果的規(guī)定達(dá)成了一致意見。只有當(dāng)參與方計(jì)算機(jī)系統(tǒng)之間所交換的數(shù)據(jù)能夠得到對(duì)方正確處理和使用的情況下，才能稱為實(shí)現(xiàn)了語義協(xié)同工作能力。

加密加密是將將數(shù)據(jù)的原始格式轉(zhuǎn)換成另一種偽裝格式的方法。為了安全和保密起見，對(duì)可讀文本信息進(jìn)行編碼與屏蔽，以防止非法竊聽或泄密，它是保護(hù)和保密計(jì)算機(jī)文件的一種有效方法。密碼和暗號(hào)技術(shù)是加密技術(shù)的基礎(chǔ)。接收設(shè)備與傳輸設(shè)備均采用相同的算法，并由接收設(shè)備對(duì)收到的信息進(jìn)行譯碼。數(shù)據(jù)加密方法常見的有3種，即：替換密碼法、易位法和組合法。加密技術(shù)除了應(yīng)用于通信領(lǐng)域外，在廣播電視、計(jì)算機(jī)及音像出版發(fā)行中的應(yīng)用也越來越廣泛。

軟件加密和硬件加密軟件加密就是用戶在發(fā)送信息前，先調(diào)用信息安全模塊對(duì)信息進(jìn)行加密，然后發(fā)送，到達(dá)接收方后，由用戶使用相應(yīng)的解密軟件進(jìn)行解密并還原。采用軟件加密方式有以下優(yōu)點(diǎn)：已經(jīng)存在標(biāo)準(zhǔn)的安全API(Application Programming Interface，應(yīng)用程序編程接口)產(chǎn)品、實(shí)現(xiàn)方便、兼容性好。

硬件加密定義：使用待加密的電子產(chǎn)品之外的硬件電路與待加密的電子產(chǎn)品進(jìn)行通訊，讓產(chǎn)品內(nèi)部程序通過通訊數(shù)據(jù)來判斷自己是否應(yīng)該繼續(xù)執(zhí)行程序。硬件加密是通過專用加密芯片或獨(dú)立的處理芯片等實(shí)現(xiàn)密碼運(yùn)算。將加密芯片、專有電子鑰匙、硬盤一一對(duì)應(yīng)到一起時(shí)，加密芯片將把加密芯片信息、專有鑰匙信息、硬盤信息進(jìn)行對(duì)應(yīng)并做加密運(yùn)算，同時(shí)寫入硬盤的主分區(qū)表。這時(shí)加密芯片、專有電子鑰匙、硬盤就綁定在一起，缺少任何一個(gè)都將無法使用。經(jīng)過加密后硬盤如果脫離相應(yīng)的加密芯片和電子鑰匙，在計(jì)算機(jī)上就無法識(shí)別分區(qū)，更無法得到任何數(shù)據(jù)。硬件加密可以采用標(biāo)準(zhǔn)的網(wǎng)絡(luò)管理協(xié)議，比如SNMP、CMIP等來進(jìn)行管理，也可以采用統(tǒng)一的網(wǎng)絡(luò)管理協(xié)議進(jìn)行管理2。

公鑰基礎(chǔ)設(shè)施公鑰基礎(chǔ)設(shè)施是一個(gè)包括硬件、軟件、人員、策略和規(guī)程的集合，用來實(shí)現(xiàn)基于公鑰密碼體制的密鑰和證書的產(chǎn)生、管理、存儲(chǔ)、分發(fā)和撤銷等功能。PKI體系是計(jì)算機(jī)軟硬件、權(quán)威機(jī)構(gòu)及應(yīng)用系統(tǒng)的結(jié)合。它為實(shí)施電子商務(wù)、電子政務(wù)、辦公自動(dòng)化等提供了基本的安全服務(wù)，從而使那些彼此不認(rèn)識(shí)或距離很遠(yuǎn)的用戶能通過信任鏈安全地交流。一個(gè)典型的PKI系統(tǒng)包括PKI策略、軟硬件系統(tǒng)、證書機(jī)構(gòu)CA、注冊機(jī)構(gòu)RA、證書發(fā)布系統(tǒng)和PKI應(yīng)用等。

PKI安全策略建立和定義了一個(gè)組織信息安全方面的指導(dǎo)方針，同時(shí)也定義了密碼系統(tǒng)使用的處理方法和原則。它包括一個(gè)組織怎樣處理密鑰和有價(jià)值的信息，根據(jù)風(fēng)險(xiǎn)的級(jí)別定義安全控制的級(jí)別。

證書機(jī)構(gòu)CA證書機(jī)構(gòu)CA是PKI的信任基礎(chǔ)，它管理公鑰的整個(gè)生命周期，其作用包括：發(fā)放證書、規(guī)定證書的有效期和通過發(fā)布證書廢除列表(CRL)確保必要時(shí)可以廢除證書。

注冊機(jī)構(gòu)RA注冊機(jī)構(gòu)RA提供用戶和CA之間的一個(gè)接口，它獲取并認(rèn)證用戶的身份，向CA提出證書請(qǐng)求。它主要完成收集用戶信息和確認(rèn)用戶身份的功能。這里指的用戶，是指將要向認(rèn)證中心(即CA)申請(qǐng)數(shù)字證書的客戶，可以是個(gè)人，也可以是集團(tuán)或團(tuán)體、某政府機(jī)構(gòu)等。注冊管理一般由一個(gè)獨(dú)立的注冊機(jī)構(gòu)(即RA)來承擔(dān)。它接受用戶的注冊申請(qǐng)，審查用戶的申請(qǐng)資格，并決定是否同意CA給其簽發(fā)數(shù)字證書。注冊機(jī)構(gòu)并不給用戶簽發(fā)證書，而只是對(duì)用戶進(jìn)行資格審查。因此，RA可以設(shè)置在直接面對(duì)客戶的業(yè)務(wù)部門，如銀行的營業(yè)部、機(jī)構(gòu)認(rèn)識(shí)部門等。當(dāng)然，對(duì)于一個(gè)規(guī)模較小的PKI應(yīng)用系統(tǒng)來說，可把注冊管理的職能由認(rèn)證中心CA來完成，而不設(shè)立獨(dú)立運(yùn)行的RA。但這并不是取消了PKI的注冊功能，而只是將其作為CA的一項(xiàng)功能而已。PKI國際標(biāo)準(zhǔn)推薦由一個(gè)獨(dú)立的RA來完成注冊管理的任務(wù)，可以增強(qiáng)應(yīng)用系統(tǒng)的安全3。

證書發(fā)布系統(tǒng)證書發(fā)布系統(tǒng)負(fù)責(zé)證書的發(fā)放，如可以通過用戶自己，或是通過目錄服務(wù)器發(fā)放。目錄服務(wù)器可以是一個(gè)組織中現(xiàn)存的，也可以是PKI方案中提供的。