A. 密码学基础
密码学是研究如何保护信息安全性的一门科学，涉及数学、物理、计算机、信息论、编码学、通讯技术等学科，已经在生活中得到广泛应用。
密码学组成分支分为编码学和密码分析学。密码编码学主要研究对信息进行编码，实现信息的隐蔽。密码分析学主要研究加密消息的破译或消息的伪造。二者相互独立，又相互依存，在矛盾与斗争中发展，对立统一。
密码学的发展历史大致可划分为三个阶段：
机密性
仅有发送方和指定的接收方能够理解传输的报文内容。窃听者可以截取到加密了的报文，但不能还原出原来的信息，即不能得到报文内容。
鉴别
发送方和接收方都应该能证实通信过程所涉及的另一方， 通信的另一方确实具有他们所声称的身份。即第三者不能冒充跟你通信的对方，能对对方的身份进行鉴别。
报文完整性
即使发送方和接收方可以互相鉴别对方，但他们还需要确保其通信的内容在传输过程中未被改变。
不可否认性
如果人们收到通信对方的报文后，还要证实报文确实来自所宣称的发送方，发送方也不能在发送报文以后否认自己发送过报文。
密码体制是一个使通信双方能进行秘密通信的协议。密码体制由五要素组成，P（Plaintext明文集合），C（Ciphertext密文集合），K（Key密钥集合），E（Encryption加密算法），D（Decryption解密算法），且满足如下特性：
<script type="math/tex; mode=display" id="MathJax-Element-1"> p ∈ P </script>
<script type="math/tex; mode=display" id="MathJax-Element-2"> c ∈ C </script>
<script type="math/tex; mode=display" id="MathJax-Element-3"> k1 ∈ K， k2 ∈ K </script>
<script type="math/tex; mode=display" id="MathJax-Element-6"> E_{k1}(p) = c，D_{k2}(c) = p </script>
无论是用手工或机械完成的古典密码体制，还是采用计算机软件方式或电子电路的硬件方式完成的现代密码体制，其加解密基本原理都是一致的。都是基于对明文信息的替代或置换，或者是通过两者的结合运用完成的。
替代（substitution cipher）：有系统地将一组字母换成其他字母或符号;
例如‘help me’变成‘ifmq nf’（每个字母用下一个字母取代）。
置换（Transposition cipher）：不改变字母，将字母顺序重新排列；
例如‘help me’变成‘ehpl em’（两两调换位置）。
密码分析者通常利用以下几种方法对密码体制进行攻击：
已知明文分析法：
知道一部分明文和其对应的密文，分析发现秘钥。
选定明文分析法：
设法让对手加密自己选定的一段明文，并获得对应的密文，在此基础上分析发现密钥。
差别比较分析法:
设法让对方加密一组差别细微的明文，通过比较他们加密后的结果来分析秘钥。
无条件安全：
无论破译者的计算能力有多强，无论截获多少密文，都无法破译明文。
计算上安全：
破译的代价超出信息本身的价值，破译所需的时间超出信息的有效期。
任何密码系统的应用都需要在安全性和运行效率之间做出平衡，密码算法只要达到计算安全要求就具备了实用条件，并不需要实现理论上的绝对安全。1945年美国数学家克劳德·E·香农在其发布的《密码学的数学原理》中，严谨地证明了一次性密码本或者称为“弗纳姆密码”（Vernam）具有无条件安全性。但这种绝对安全的加密方式在实际操作中需要消耗大量资源，不具备大规模使用的可行性。事实上，当前得到广泛应用的密码系统都只具有计算安全性。
一个好的密码体制应该满足以下两个条件：
在已知明文和密钥的情况下，根据加密算法计算密文是容易的；在已知密文和解密密钥的情况下，计算明文是容易的。
在不知道解密密钥的情况下，无法从密文计算出明文，或者从密文计算出明文的代价超出了信息本身的价值。
常见的密码算法包括:
对称密码体制也称单钥或私钥密码体制，其加密密钥和解密密钥相同，或实质上等同， 即从一个易于推出另一个。
优点：保密性高，加密速度快，适合加密大量数据，易于通过硬件实现；
缺点：秘钥必须通过安全可靠的途径传输，秘钥的分发是保证安全的关键因素；
常见对称密码算法：DES (密钥长度=56位)、3DES( 三个不同的密钥，每个长度56位)、AES(密钥长度128/192/256可选)、IDEA(密钥长度128位)、RC5(密钥长度可变)。
根据加密方式的不同，对称密码又可以分为分组密码和序列密码。
将明文分为固定长度的组，用同一秘钥和算法对每一块加密，输出也是固定长度的密文，解密过程也一样。
又称为流密码，每次加密一位或一字节的明文，通过伪随机数发生器产生性能优良的伪随机序列（密钥流），用该序列加密明文消息序列，得到密文序列，解密过程也一样。
非对称密码体制又称双钥或公钥密码体制，其加密密钥和解密密钥不同，从一个很难推出另一个。其中的加密密钥可以公开，称为公开密钥，简称公钥；解密密钥必须保密，称为私有密钥，简称私钥。
优点：密钥交换可通过公开信道进行，无需保密。既可用于加密也可用于签名。
缺点：加密速度不如对称密码，不适合大量数据加密，加密操作难以通过硬件实现。
非对称密码体制不但赋予了通信的保密性，还提供了消息的认证性，无需实现交换秘钥就可通过不安全信道安全地传递信息，简化了密钥管理的工作量，适应了通信网的需要，为保密学技术应用于商业领域开辟了广阔的前景。
常见的非对称密码算法：RSA(基于大整数质因子分解难题)、ECC(基于椭圆曲线离散对数难题)。
对非对称密码的误解
非对称密码比对称密码更安全？
任何一种算法的安全都依赖于秘钥的长度、破译密码的工作量，从抗分析的角度看，没有哪一方更优越；
非对称密码使对称密码成为过时技术？
公钥算法很慢，一般用于密钥管理和数字签名，对称密码将长期存在，实际工程中采用对称密码与非对称密码相结合。
哈希函数将任意长的消息映射为一个固定长度的散列值，也称消息摘要。消息摘要可以作为认证符，完成消息认证。
哈希是单向函数，从消息摘要来推理原消息是极为困难的。哈希函数的安全性是由发生碰撞的概率决定的。如果攻击者能轻易构造出两个不同的消息具有相同的消息摘要，那么这样的哈希函数是不可靠的。
常见的哈希函数有：MD5，SHA1，HMAC。
数字签名是公钥密码的典型应用，可以提供和现实中亲笔签名相似的效果，在技术上和法律上都有保证。是网络环境中提供消息完整性，确认身份，保证消息来源（抗抵赖性）的重要技术。
数字签名与验证过程：
发送方用哈希函数从报文文本中生成一个128位的散列值（或报文摘要），发送方用自己的私钥对这个散列值进行加密来形成自己的数字签名。然后，这个数字签名将作为报文的附件和报文一起发送给接收方。接收方收到报文后，用同样的哈希函数从原始报文中计算出散列值（或报文摘要），接着再用发送方的公钥来对报文附加的数字签名进行解密得出另一个散列值，如果两个散列值相同，那么接收方就能确认该数字签名是发送方的。通过数字签名能够实现消息的完整性和不可抵赖性。
在网络安全中，密钥的地位举足轻重
。如何安全可靠、迅速高效地分配密钥、管理密钥一直是密码学领域中的重要问题。
密钥生成可以通过在线或离线的交互协商方式实现，如密码协议等 。密钥长度应该足够长。一般来说，密钥长度越大，对应的密钥空间就越大，攻击者使用穷举猜测密码的难度就越大。选择密钥时，应该避免选择弱密钥，大部分密钥生成算法采用随机过程或伪随机过程生成密钥。
采用对称加密算法进行保密通信，需要共享同一密钥。通常是系统中的一个成员先选择一个秘密密钥，然后将它传送另一个成员或别的成员。X9.17标准描述了两种密钥：密钥加密密钥和数据密钥。密钥加密密钥加密其它需要分发的密钥；而数据密钥只对信息流进行加密。密钥加密密钥一般通过手工分发。为增强保密性，也可以将密钥分成许多不同的部分然后用不同的信道发送出去。
密钥附着一些检错和纠错位来传输，当密钥在传输中发生错误时，能很容易地被检查出来，并且如果需要，密钥可被重传。接收端也可以验证接收的密钥是否正确。发送方用密钥加密一个常量，然后把密文的前2-4字节与密钥一起发送。在接收端，做同样的工作，如果接收端解密后的常数能与发端常数匹配，则传输无错。
当密钥需要频繁的改变时，频繁进行新的密钥分发的确是困难的事，一种更容易的解决办法是从旧的密钥中产生新的密钥，有时称为密钥更新。可以使用单向函数进行更新密钥。如果双方共享同一密钥，并用同一个单向函数进行操作，就会得到相同的结果。
密钥可以存储在脑子、磁条卡、智能卡中。也可以把密钥平分成两部分，一半存入终端一半存入ROM密钥。还可采用类似于密钥加密密钥的方法对难以记忆的密钥进行加密保存。
密钥的备份可以采用密钥托管、秘密分割、秘密共享等方式。
密钥托管：
密钥托管要求所有用户将自己的密钥交给密钥托管中心，由密钥托管中心备份保管密钥（如锁在某个地方的保险柜里或用主密钥对它们进行加密保存），一旦用户的密钥丢失（如用户遗忘了密钥或用户意外死亡），按照一定的规章制度，可从密钥托管中心索取该用户的密钥。另一个备份方案是用智能卡作为临时密钥托管。如Alice把密钥存入智能卡，当Alice不在时就把它交给Bob，Bob可以利用该卡进行Alice的工作，当Alice回来后，Bob交还该卡，由于密钥存放在卡中，所以Bob不知道密钥是什么。
秘密分割：
秘密分割把秘密分割成许多碎片，每一片本身并不代表什么，但把这些碎片放到一块，秘密就会重现出来。
秘密共享：
将密钥K分成n块，每部分叫做它的“影子”，知道任意m个或更多的块就能够计算出密钥K，知道任意m-1个或更少的块都不能够计算出密钥K。秘密共享解决了两个问题：一是若密钥偶然或有意地被暴露，整个系统就易受攻击；二是若密钥丢失或损坏，系统中的所有信息就不能用了。
加密密钥不能无限期使用，有以下有几个原因：密钥使用时间越长，它泄露的机会就越大；如果密钥已泄露，那么密钥使用越久，损失就越大；密钥使用越久，人们花费精力破译它的诱惑力就越大——甚至采用穷举攻击法。
不同密钥应有不同有效期。数据密钥的有效期主要依赖数据的价值和给定时间里加密数据的数量。价值与数据传送率越大所用的密钥更换越频繁。如密钥加密密钥无需频繁更换，因为它们只是偶尔地用作密钥交换，密钥加密密钥要么被记忆下来，要么保存在一个安全地点，丢失该密钥意味着丢失所有的文件加密密钥。
公开密钥密码应用中的私钥的有效期是根据应用的不同而变化的。用作数字签名和身份识别的私钥必须持续数年（甚至终身），用作抛掷硬币协议的私钥在协议完成之后就应该立即销毁。即使期望密钥的安全性持续终身，两年更换一次密钥也是要考虑的。旧密钥仍需保密，以防用户需要验证从前的签名。但是新密钥将用作新文件签名，以减少密码分析者所能攻击的签名文件数目。
如果密钥必须替换，旧钥就必须销毁，密钥必须物理地销毁。
PKI是一个利用公钥加密技术为密钥和证书的管理，所设计的组件、功能子系统、操作规程等的集合，它的主要任务是管理密钥和证书，为网络用户建立安全通信信任机制。
数字证书是一个包含用户身份信息、公钥信息、证书认证中心(CA)数字签名的文件。
作用：数字证书是各类终端实体和最终用户在网上进行信息交流及商业活动的身份证明，在电子交易的各个缓解，交易的各方都需要验证对方数字证书的有效性，从而解决相互间的信任问题。
CA全称Certificate Authentication，是具备权威性的数字证书申请及签发机构。
CA作为PKI的核心部分，主要由注册服务器组、证书申请受理和审核机构、认证中心服务器三者组成。
注册服务器：通过 Web Server 建立的站点，可为客户提供24×7 不间断的服务。客户在网上提出证书申请和填写相应的证书申请表。
证书申请受理和审核机构：负责证书的申请和审核。
认证中心服务器：是数字证书生成、发放的运行实体，同时提供发放证书的管理、证书废止列表（CRL）的生成和处理等服务。
通过CA可以实现以下功能：
1. 接收验证最终用户数字证书的申请；
2. 确定是否接受最终用户数字证书的申请和审批；
3. 向申请者颁发、拒绝颁发数字证书；
4. 接收、处理最终用户数字证书的更新；
5. 接受最终用户数字证书的查询、撤销；
6. 产生和发布CRL（证书废止列表）；
7. 数字证书的归档；
8. 密钥归档；
9. 历史数据归档；
五、量子密码
5.1 量子计算
由于量子计算技术取得了出人意料的快速发展，大量仅能抵御经典计算机暴力破解的密码算法面临被提前淘汰的困境 。
非对称密码系统有效解决了对称密码面临的安全密钥交换问题，因而广泛应用于公钥基础设施、数字签名、联合授权、公共信道密钥交换、安全电子邮件、虚拟专用网以及安全套接层等大量网络通信活动之中。不幸的是，随着量子计算的发展，包括RSA密码、ECC密码以及DH密钥交换技术等非对称密码算法已经从理论上被证明彻底丧失了安全性。相对于对称密码系统还可以采取升级措施应对量子威胁，非对称密码系统必须采取全新方法进行重建 。
5.2 量子密码
量子密码是以量子力学和密码学为基础，利用量子物理学中的原理实现密码体制的一种新型密码体制，与当前大多使用的经典密码体制不一样的是，量子密码利用信息载体的物理属性实现。目前量子密码用于承载信息的载体包括光子、压缩态光信号、相干态光信号等。
由于量子密码体制的理论基础是量子物理定理，而物理定理是物理学家经过多年的研究与论证得出的结论，有可靠的理论依据，且不论在何时都是不会改变的，因此，理论上，依赖于这些物理定理的量子密码也是不可攻破的，量子密码体制是一种无条件安全的密码体制。
B. 如何学习网络安全知识
首先，必须（时刻）意识到你是在学习一门可以说是最难的课程，是网络专业领域的顶尖课程，不是什么人、随随便便就能学好的。不然，大家都是黑客，也就没有黑客和网络安全的概念了。
很多朋友抱着学一门课程、读好一本书就可以掌握网络安全的知识和技能。不幸的是，网络安全技术决不是几本书、几个月就可以速成的。你需要参考大量的参考书。
另一方面，在学校接受的传统教育观念使我们习惯由老师来指定教材、参考书。遗憾的是走向了社会，走到工作岗位，没有人给你指定解决这个安全问题需要什么参考书，你得自己研究，自己解决问题。
网络安全涉及的知识面广、术语多、理论知识多。正给学习这门课程带来很多困难。也需要我们投入比其它课程多的时间和精力来学习它。
概括来说，网络安全课程的主要内容包括：
l 安全基本知识
l 应用加密学
l 协议层安全
l Windows安全（攻击与防御）
l Unix/Linux安全（攻击与防御）
l 防火墙技术
l 入侵监测系统
l 审计和日志分析
下面分别对每部分知识介绍相应的具体内容和一些参考书（正像前面提到的那样，有时间、有条件的话，这些书都应该看至少一遍）。
一、安全基本知识
这部分的学习过程相对容易些，可以花相对较少的时间来完成。这部分的内容包括：安全的概念和定义、常见的安全标准等。
大部分关于网络安全基础的书籍都会有这部分内容的介绍。
下面推荐一些和这部分有关的参考书：
l 《CIW：安全专家全息教程》 魏巍 等译，电子工业出版社
l 《计算机系统安全》 曹天杰，高等教育出版社
l 《计算机网络安全导论》 龚俭，东南大学出版社
二、应用加密学
加密学是现代计算机（网络）安全的基础，没有加密技术，任何网络安全都是一纸空谈。
加密技术的应用决不简单地停留在对数据的加密、解密上。密码学除了可以实现数据保密性外、它还可以完成数据完整性校验、用户身份认证、数字签名等功能。
以加密学为基础的PKI（公钥基础设施）是信息安全基础设施的一个重要组成部分，是一种普遍适用的网络安全基础设施。授权管理基础设施、可信时间戳服务系统、安全保密管理系统、统一的安全电子政务平台等的构筑都离不开它的支持。
可以说，加密学的应用贯穿了整个网络安全的学习过程中。因为之前大多数人没有接触过在这方面的内容，这是个弱项、软肋，所以需要花费比其它部分更多的时间和精力来学习。也需要参考更多的参考书。
下面推荐一些和这部分有关的参考书：
l 《密码学》 宋震，万水出版社
l 《密码工程实践指南》 冯登国 等译，清华大学出版社
l 《秘密学导引》 吴世忠 等译，机械工业（这本书内容较深，不必完全阅读，可作为参考）
三、协议层安全
系统学习TCP/IP方面的知识有很多原因。要适当地实施防火墙过滤，安全管理员必须对于TCP/IP的IP层和TCP/UDP层有很深的理解、黑客经常使用TCP/IP堆栈中一部分区或来破坏网络安全等。所以你也必须清楚地了解这些内容。
协议层安全主要涉及和TCP/IP分层模型有关的内容，包括常见协议的工作原理和特点、缺陷、保护或替代措施等等。
下面推荐一些和这部分有关的参考书（经典书籍、不可不看）：
l 《TCP/IP详解 卷1：协议》 范建华 等译，机械工业出版社
l 《用TCP/IP进行网际互联 第一卷原理、协议与结构》 林瑶 等译，电子工业出版社
四、Windows安全（攻击与防御）
因为微软的Windows NT操作系统已被广泛应用，所以它们更容易成为被攻击的目标。
对于Windows安全的学习，其实就是对Windows系统攻击与防御技术的学习。而Windows系统安全的学习内容将包括：用户和组、文件系统、策略、系统默认值、审计以及操作系统本身的漏洞的研究。
这部分的参考书较多，实际上任何一本和Windows攻防有关系的书均可。下面推荐一些和这部分有关的参考书：
l 《黑客攻防实战入门》 邓吉，电子工业出版社
l 《黑客大曝光》 杨继张 等译，清华大学出版社
l 《狙击黑客》 宋震 等译，电子工业出版社
五、Unix/Linux安全（攻击与防御）
随着Linux的市占率越来越高，Linux系统、服务器也被部署得越来越广泛。Unix/Linux系统的安全问题也越来越凸现出来。作为一个网络安全工作者，Linux安全绝对占有网络安全一半的重要性。但是相对Windows系统，普通用户接触到Linux系统的机会不多。Unix/Linux系统本身的学习也是他们必须饿补的一课！
下面是推荐的一套Linux系统管理的参考书。
l 《Red Hat Linux 9桌面应用》 梁如军，机械工业出版社（和网络安全关系不大，可作为参考）
l 《Red Hat Linux 9系统管理》 金洁珩，机械工业出版社
l 《Red Hat Linux 9网络服务》 梁如军，机械工业出版社
除了Unix/Linux系统管理相关的参考书外，这里还给出两本和安全相关的书籍。
l 《Red Hat Linux安全与优化》 邓少鹍，万水出版社
l 《Unix 黑客大曝光》 王一川 译，清华大学出版社
六、防火墙技术
防火墙技术是网络安全中的重要元素，是外网与内网进行通信时的一道屏障，一个哨岗。除了应该深刻理解防火墙技术的种类、工作原理之外，作为一个网络安全的管理人员还应该熟悉各种常见的防火墙的配置、维护。
至少应该了解以下防火墙的简单配置。
l 常见的各种个人防火墙软件的使用
l 基于ACL的包过滤防火墙配置（如基于Windows的IPSec配置、基于Cisco路由器的ACL配置等）
l 基于Linux操作系统的防火墙配置（Ipchains/Iptables）
l ISA配置
l Cisco PIX配置
l Check Point防火墙配置
l 基于Windows、Unix、Cisco路由器的VPN配置
下面推荐一些和这部分有关的参考书：
l 《
网络安全与防火墙技术
》 楚狂，人民邮电出版社
l 《Linux防火墙》
余青霓
译，人民邮电出版社
l 《高级防火墙ISA Server 2000》 李静安，中国铁道出版社
l 《Cisco访问表配置指南》 前导工作室 译，机械工业出版社
l 《Check Point NG安全管理》
王东霞
译，机械工业出版社
l 《虚拟专用网（VPN）精解》 王达，清华大学出版社
七、入侵监测系统（IDS）
防火墙不能对所有应用层的数据包进行分析，会成为网络数据通讯的瓶颈。既便是代理型防火墙也不能检查所有应用层的数据包。
入侵检测是防火墙的合理补充，它通过收集、分析计算机系统、计算机网络介质上的各种有用信息帮助系统管理员发现攻击并进行响应。可以说入侵检测是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。
C. 密码学在计算机网络安全中的作用和地位是什么
密码学是实现信息安全的数学理论，属于最底层的东西。主要研究安全算法。
D. 网络安全哪儿可以学
首先，必须（时刻）意识到你是在学习一门可以说是最难的课程，是网络专业领域的顶尖课程，不是什么人、随随便便就能学好的。不然，大家都是黑客，也就没有黑客和网络安全的概念了。
很多朋友抱着学一门课程、读好一本书就可以掌握网络安全的知识和技能。不幸的是，网络安全技术决不是几本书、几个月就可以速成的。你需要参考大量的参考书。
另一方面，在学校接受的传统教育观念使我们习惯由老师来指定教材、参考书。遗憾的是走向了社会，走到工作岗位，没有人给你指定解决这个安全问题需要什么参考书，你得自己研究，自己解决问题。
网络安全涉及的知识面广、术语多、理论知识多。正给学习这门课程带来很多困难。也需要我们投入比其它课程多的时间和精力来学习它。
概括来说，网络安全课程的主要内容包括：
l 安全基本知识
l 应用加密学
l 协议层安全
l Windows安全（攻击与防御）
l Unix/Linux安全（攻击与防御）
l 防火墙技术
l 入侵监测系统
l 审计和日志分析
下面分别对每部分知识介绍相应的具体内容和一些参考书（正像前面提到的那样，有时间、有条件的话，这些书都应该看至少一遍）。
一、安全基本知识
这部分的学习过程相对容易些，可以花相对较少的时间来完成。这部分的内容包括：安全的概念和定义、常见的安全标准等。
大部分关于网络安全基础的书籍都会有这部分内容的介绍。
下面推荐一些和这部分有关的参考书：
l 《CIW：安全专家全息教程》 魏巍 等译，电子工业出版社
l 《计算机系统安全》 曹天杰，高等教育出版社
l 《计算机网络安全导论》 龚俭，东南大学出版社
二、应用加密学
加密学是现代计算机（网络）安全的基础，没有加密技术，任何网络安全都是一纸空谈。
加密技术的应用决不简单地停留在对数据的加密、解密上。密码学除了可以实现数据保密性外、它还可以完成数据完整性校验、用户身份认证、数字签名等功能。
以加密学为基础的PKI（公钥基础设施）是信息安全基础设施的一个重要组成部分，是一种普遍适用的网络安全基础设施。授权管理基础设施、可信时间戳服务系统、安全保密管理系统、统一的安全电子政务平台等的构筑都离不开它的支持。
可以说，加密学的应用贯穿了整个网络安全的学习过程中。因为之前大多数人没有接触过在这方面的内容，这是个弱项、软肋，所以需要花费比其它部分更多的时间和精力来学习。也需要参考更多的参考书。
下面推荐一些
E. 密码学的基础是什么
密码学是信息安全的技术核心。信息安全就业不错，企事业单位、研究单位、高校皆可。密码学最好读博，密码学博士毕业一般去研究单位、高校。
密码学入门书籍：
http://..com/question/95390233.html
http://..com/question/97342818.html
F. 在信息安全中密码学实现的安全目标有哪些
你的问题应该是问密码学能在信息安全起到哪些作用吧，给你点小介绍
信息安全围绕的目标主要是在：机密性、完整性、不可抵赖、签名认证。
密码学是信息安全的基础，专业基础课程，只要涉及安全，都会有密码和协议等相关的。
密码学的应用领域很广：
1. 系统的密码保护，这个不单单是计算机系统，还有很多嵌入式系统等，这个很常见，像我们的银行密码；
2.信息的加密，如有线或者无线的网络的数据传输，一般都会用到加密，这个在国防部尤其重要；
3.安全协议，安全协议是密码学的一部分，如签名认证等，这个像我们用到的支付宝等，就应用到了这些知识；
4.病毒等信息的隐藏，有些高级黑客，会把病毒加密；
主要完成的目的就是围绕：机密性、完整性、不可抵赖、签名认证
机密性：防止别人获取信息的内容，比如你发送银行账户和密码给别人，不希望第三者获取；
完整性：不希望信息被篡改，比如你发送email，信息被别人截获，然后打乱；
不可抵赖：比如你是一个机密人员，需要守住机密信息，如果发现有一天这个机密被泄露了，那么这个泄露的人就是你，这需要一些技巧；
签名认证：别人向你请求资料，你要确定这个人是不是可信的，需要身份的认真。
这几个是信息安全的核心，也是密码学的目标，可以根据应用适当的扩展。
G. 网络安全需要学什么
网络安全是一个很广的方向，现在市场上比较火的岗位有：安全运维、渗透测试、web安全、逆向、安全开发、代码审计、安服类岗位等。根据岗位不同工作上需要的技术也有部分差异。
如果编程能力较好，建议可以从事web安全、逆向、代码审计、安全开发等岗位。如果对编程没兴趣，可以从事安全运维、渗透测试、web安全、网络安全架构等工作。
如果要学习全栈的安全工程师，那么建议学习路线如下：
1. 学习网络安全：路由交换技术、安全设备、学会怎么架构和配置一个企业网络安全架构
2. 学习系统安全：windows系统和Linux系统、如服务器的配置部署、安全加固、策略、权限、日志、灾备等。客户端的安全加固等
3. 学习渗透攻防：信息收集技术、社会工程学、端口检测、漏洞挖掘、漏洞验证，恶意代码、逆向、二进制等。
4. 学习web安全：sql注入、XSS、CSRF、上传漏洞、解析漏洞、逻辑漏洞、包含漏洞等挖掘及修复
5. 学习安全服务类：风险评估、等级保护、安全咨询、安全法律法规解读等
6. 学习CTF技术：有过CTF经验一定会是企业最喜欢的一类人才
零基础也可以学习的
H. 计算机安全发展现状
随着网络技术的迅速发展和网络应用的广泛普及,网络安全问题日益突出。如何对网络
上的非法行为进行主动防御和有效抑制,是当今亟待解决的重要问题。本期专题就计算机网
络安全研究的现状、发展动态以及相关的理论进行了论述,并介绍了几种计算机安全模型及
开发方法。
1.开放式互联网络的安全问题研究 本文介绍了计算机安全研究的现状和发展动态,并对
公钥密码体制和OSI的安全体系结构进行了详细的分析。
2.计算机安全模型介绍 存取控制模型和信息流模型是计算机安全模型的两大主流,作者
在文章中对此分别做了介绍。
3.计算机安全策略模型的开发方法 本文涉及两类安全模型的开发方法,即函数型方法和
关系型方法,文中详细叙述了这两类开发方法中的状态机模型与边界流方法开发的具体步骤
。
4.Internet上防火墙的实现 目前,防火墙已成为实现网络安全策略最有效的工具之一。
防火墙的体系结构是什么?防火墙有几种类型?作者将在文章中做介绍。开放式互联网络的安
全问题研究
上海交通大学金桥网络工程中心 余巍 唐冶文 白英彩
一、开放系统对安全的需求
当前,我国正处在Internet的应用热潮中,随着国民经济信息化的推进,人们对现代信息
系统的应用投入了更多的关注。人们在享受网络所提供的各种好处的同时,还必须考虑如何
对待网上日益泛滥的信息垃圾和非法行为,必须研究如何解决Internet上的安全问题。
众所周知,利用广泛开放的物理网络环境进行全球通信已成为时代发展的趋势。但是,如
何在一个开放的物理环境中构造一个封闭的逻辑环境来满足集团或个人的实际需要,已成为
必须考虑的现实问题。开放性的系统常常由于节点分散、难于管理等特点而易受到攻击和蒙
受不法操作带来的损失,若没有安全保障,则系统的开放性会带来灾难性的后果。
开放和安全本身是一对矛盾,如何进行协调,已成为我们日益关心的问题。因此,必须对
开放系统的安全性进行深入和自主的研究,理清实现开放系统的安全性所涉及的关键技术环
节,并掌握设计和实现开放系统的安全性的方案和措施。
二、计算机安全概论
在现实社会中会遇到各种威胁,这些威胁来自各方面,有些是由于我们自身的失误而产生
的,有些是各种设施和设备失常而造成的,也有一些是由各种自然灾害引起的。这些危害的一
个共同特点是"被动的",或者说是带有偶然性的,它不属于本文所要研究的范畴。最危险的威
胁是"主动的"。所谓"主动威胁"是指人故意做出的,这些人出于各种各样的目的,他们的目标
就是要使对手蒙受损失,自己获得利益。 计算机安全包括:
·计算机实体的安全 如计算机机房的物理条件及设施的安全标准、计算机硬件的安装
及配置等。
·软件安全 如保护系统软件与应用软件不被非法复制、不受病毒的侵害等 。
·计算机的数据安全 如网络信息的数据安全、数据库系统的安全。
·计算机的运行安全 如运行时突发事件的安全处理等。包括计算机安全技术、计算机
安全管理和计算机安全评价等内容。
对于计算机网络的安全问题,一方面,计算机网络具有资源的共享性,提高了系统的可靠
性,通过分散负荷,提高了工作效率,并具有可扩充性;另一方面,正是由于这些特点,而增加了
网络的脆弱性和复杂性。资源的共享和分布增加了网络受攻击的可能性。现在的网络不仅有
局域网(LAN),还有跨地域采用网桥(Bridge)、网关(Gateway)设备、调制解调器、各种公用
或专用的交换机及各种通信设备,通过网络扩充和异网互联而形成的广域网(WAN)。由于大大
增加了网络的覆盖范围和密度,更难分清网络的界限和预料信息传输的路径,因而增加了网络
安全控制管理的难度。
计算机网络系统的安全性设计和实现包括以下五个因素:
·分析安全需求 分析本网络中可能存在的薄弱环节以及这些环节可能造成的危害和由
此产生的后果。
·确定安全方针 根据上述安全需求分析的结果,确定在网络中应控制哪些危害因素及
控制程度、应保护的资源和保护程度。
·选择安全功能 为了实现安全方针而应具备的功能和规定。
·选择安全措施 实现安全功能的具体技术和方法。
·完善安全管理 为有效地运用安全措施,体现安全功能,而采取的支持性和保证性的技
术措施,包括有关信息报告的传递等。
本文主要讨论网络资源的安全性,尤其是网络在处理、存储、传输信息过程中的安全性
,因此,衡量网络安全性的指标是可用性、完整性和保密性。
·可用性(Availability) 当用户需要时,就可以访问系统资源。
·完整性(Integrity) 决定系统资源怎样运转以及信息不能被未授权的来源替代和破坏
。
·机密性(Confidentiality) 定义哪些信息不能被窥探,哪些系统资源不能被未授权的
用户访问。
任何信息系统的安全性都可以用4A的保密性来衡量,即:
·用户身份验证(Authentication) 保证在用户访问系统之前确定该用户的标识,并得
到验证(如口令方式)。
·授权(Authorization) 指某个用户以什么方式访问系统。
·责任(Accountablity) 如检查跟踪得到的事件记录,这是业务控制的主要领域,因为
它提供证据(Proof)和迹象(Evidence)。
·保证(Assurance) 系统具有什么级别的可靠程度。
三、计算机安全研究的现状与发展动态
60年代以前,西方注意的重点是通信和电子信号的保密。60年代中期,美国官方正式提出
计算机安全问题。1981年美国成立了国防部安全中心(NCSC),1983年正式发布了《桔皮书》
,此书及以后发布的一系列丛书,建立了有关计算机安全的重要概念,影响了一代产品的研制
和生产,至今仍具有权威性。 ISO在提出OSI/RM以后,又提出了ISO/7498-2(安全体系结构)。
另外,从80年代中期开始,CEC(Commission of European Communications)以合作共享成果
的方式进行了一系列工作,探讨和研究了适用于开放式计算机系统的环境和可集成的安全系
统。 随着Internet网上商业应用的发展,发达国家开始了防火墙的研究和应用工作。
近年来,国内外在安全方面的研究主要集中在两个方面:一是以密码学理论为基础的各种
数据加密措施;另一是以计算机网络为背景的孤立的通信安全模型的研究。前者已更多地付
诸于实施,并在实际应用中取得了较好的效果;而后者尚在理论探索阶段,且不健全,特别是缺
乏有机的联系,仅局限于孤立地开展工作。ISO在1989年提出了一个安全体系结构,虽然包括
了开放式系统中应该考虑的安全机制、安全管理以及应提供的安全服务,但只是一个概念模
型,至今仍未能有真正适用于实际的形式化的安全模型。尽管如此,众多的学者和科研机构在
此基础上还是进行了许多有益的探索。
对于分布式安全工程的实施,MIT于1985年开始进行Athena工程,最终形成了一个着名的
安全系统Kerb-deros。这个系统是一个基于对称密码体制DES的安全客户服务系统,每个客户
和密钥中心公用一个密钥。它的特点是中心会记住客户请求的时间,并赋予一个生命周期,用
户可以判断收到的密钥是否过期。它的缺点在于,网上所有客户的时钟必须同步。另外,它忽
略了一个重要的问题———安全审计。在网络环境下,必须考虑多级安全的需要,如美国军用
DDN网的多级安全性研究。此外,还应考虑不同域之间的多级安全问题。由于各个域的安全策
略有可能不同,因此,必须考虑各个域之间的协调机制,如安全逻辑和一致性的访问控制等。
Internet的基础协议TCP/IP协议集中有一系列缺陷,如匿名服务及广播等,因此,可能会
导致路由攻击、地址欺骗和假冒身份所进行的攻击。为此,提出了大量的RFC文档,表明了TC
P/IP协议和Internet之间密不可分的关系。随着应用的深入,TCP/IP中的各种问题首先在In
ternet上发现,并在实际中得到了解决。有的学者考虑到Unix环境下的远程过程调用中,采用
UDP方式易受到非法监听,以及DES算法密钥传输的困难性,建议采用公钥体制。
有关Internet的安全应用,已有大量的文献报导。如采用一个能提供安全服务并适用于
开放式环境的企业集成网EINET,它根据Internet的服务是采用Client/Server结构的特点,向
用户提供一个"柔性"的安全框架,既能兼顾安全性又能兼顾开放性,使用户不会因为安全机制
的提供而影响对网上数据的正常访问。它以OSI的安全体系为基础,构造了一个三层的安全体
系结构,即安全系统、安全操作和安全管理。最后,将安全系统集成到Internet上的各种应用
中,如FTP、Telnet、WAIS和E-mail等。又如,对Internet上的各种浏览工具Gopher、WAIS和
WWW的安全性提出了建议,像末端用户认证机制、访问控制、数据安全及完整性,等等。考虑
到Client/Server结构的特点,可以运用对象管理组(Object Management Group)实施多级分
布式安全措施,并提出一个基于OSI考虑的通用的安全框架,将安全模块和原有的产品进行集
成。
在有的文献中讨论了公用交换电信网在开放环境下所面临的威胁,并在政策措施方面提
出公司应与政府合作,通过OSI途径,开发实用的工具,进行公用网的安全管理。同时指出了在
分布式多域的环境下,建立一个国际标准的分布式安全管理的重要性,并着重从分布式管理功
能服务的角度进行了阐述。由于网络的开放性和安全性是一对矛盾,所以,必须对在网络通信
中,由于安全保密可能引起的一系列问题进行探讨。现在,网络上采用的安全信关设备只能保
证同一级别上保密的有效性,对于不同级别的用户必须进行协议安全转换,因此而形成网络通
信的瓶颈。因此,采用保密信关设备进行互联只是权宜之计。要解决这个问题,就必须从网络
的安全体系上进行考虑。目前,高速网的安全问题已经逐渐被人们所重视,如ATM和ISDN网络
安全性研究等。主要的研究问题有:高性能快速加密算法的研究、信元丢失对密码系统的影
响等。
在一个安全系统中,除了加密措施外,访问控制也起很重要的作用。但是,一般的访问控
制技术,如基于源、目的地址的网关节点上的滤波技术,由于处于网络层,不能对应用层的地
址信息进行有意义的决策,因而不能对付冒名顶替的非法用户。另外,由于常见的访问控制矩
阵比较稀疏,增加用户项时效率不高,而且不能进行有效的删除操作。因此,应该研究一种有
效的动态访问控制方法。
四、公钥密码体制
计算机网络安全的发展是以密码学的研究为基础的。随着密码学研究的进展,出现了众
多的密码体制,极大地推动了计算机网络安全的研究进程。
1.对称密码体制
一个加密系统,如果加密密钥和解密密钥相同,或者虽不相同,但可以由其中一个推导出
另一个,则是对称密码体制。最常见的有着名的DES算法等。其优点是具有很高的保密强度,
但它的密钥必须按照安全途径进行传递,根据"一切秘密寓于密钥当中"的公理,密钥管理成为
影响系统安全的关键性因素,难于满足开放式计算机网络的需求。
DES是一种数据分组的加密算法,它将数据分成长度为64位的数据块,其中8位作为奇偶校
验,有效的密码长度为56位。首先,将明文数据进行初始置换,得到64位的混乱明文组,再将其
分成两段,每段32位;然后,进行乘积变换,在密钥的控制下,做16次迭代;最后,进行逆初始变
换而得到密文。
对称密码体制存在着以下问题:
·密钥使用一段时间后就要更换,加密方每次启动新密码时,都要经过某种秘密渠道把密
钥传给解密方,而密钥在传递过程中容易泄漏。
·网络通信时,如果网内的所有用户都使用同样的密钥,那就失去了保密的意义。但如果
网内任意两个用户通信时都使用互不相同的密钥,N个人就要使用N(N-1)/2个密钥。因此,密
钥量太大,难以进行管理。
·无法满足互不相识的人进行私人谈话时的保密性要求。
·难以解决数字签名验证的问题。
2.公钥密码体制
如果将一个加密系统的加密密钥和解密密钥分开,加密和解密分别由两个密钥来实现,并
且,由加密密钥推导出解密密钥(或由解密密钥推导出加密密钥)在计算上是不可行的,一般系
统是采用公钥密码体制。采用公钥密码体制的每一个用户都有一对选定的密钥,一个可以公
开,一个由用户秘密保存。公钥密码体制的出现是对现代密码学的一个重大突破,它给计算机
网络的安全带来了新的活力。
公钥密码体制具有以下优点:
·密钥分配简单。由于加密密钥与解密密钥不同,且不能由加密密钥推导出解密密钥,因
此,加密密钥表可以像电话号码本一样,分发给各用户,而解密密钥则由用户自己掌握。
·密钥的保存量少。网络中的每一密码通信成员只需秘密保存自己的解密密钥,N个通信
成员只需产生N对密钥,便于密钥管理。
·可以满足互不相识的人之间进行私人谈话时的保密性要求。
·可以完成数字签名和数字鉴别。发信人使用只有自己知道的密钥进行签名,收信人利
用公开密钥进行检查,即方便又安全。
由于具有以上优点,在短短的几十年中,相继出现了几十种公钥密码体制的实现方案。如
:W·Deffie和M·E·Hellmanbit提出了一种称为W·Deffie和M·E·Hellman协议的公钥交换
体制,它的保密性是基于求解离散对数问题的困难性;Rivest、Shamir和Adleman提出了基于
数论的RSA公钥体制,它的依据是大整数素因子的分解是十分困难的;我国学者陶仁骥、陈世
华提出的有限自动机密码体制,是目前唯一的以一种时序方式工作的公钥体制,它的安全性是
建立在构造非线性弱可逆有限自动机弱逆的困难性和矩阵多项式分解的困难性上的;Merkle
和Herman提出了一种将求解背包的困难性作为基础的公钥体制。此外,在上述基础上还形成
了众多的变形算法。
五、ISO/OSI安全体系结构
安全体系结构、安全框架、安全模型及安全技术这一系列术语被认为是相互关联的。安
全体系结构定义了最一般的关于安全体系结构的概念,如安全服务、安全机制等;安全框架定
义了提供安全服务的最一般方法,如数据源、操作方法以及它们之间的数据流向;安全模型是
表示安全服务和安全框架如何结合的,主要是为了开发人员开发安全协议时采用;而安全技术
被认为是一些最基本的模块,它们构成了安全服务的基础,同时可以相互任意组合,以提供更
强大的安全服务。
国际标准化组织于1989年对OSI开放互联环境的安全性进行了深入的研究,在此基础上提
出了OSI安全体系,定义了安全服务、安全机制、安全管理及有关安全方面的其它问题。此外
,它还定义了各种安全机制以及安全服务在OSI中的层位置。为对付现实中的种种情况,OSI定
义了11种威胁,如伪装、非法连接和非授权访问等。
1.安全服务
在对威胁进行分析的基础上,规定了五种标准的安全服务:
·对象认证安全服务 用于识别对象的身份和对身份的证实。OSI环境可提供对等实体认
证和信源认证等安全服务。对等实体认证是用来验证在某一关联的实体中,对等实体的声称
是一致的,它可以确认对等实体没有假冒身份;而数据源点鉴别是用于验证所收到的数据来源
与所声称的来源是否一致,它不提供防止数据中途修改的功能。
·访问控制安全服务 提供对越权使用资源的防御措施。访问控制可分为自主访问控制
和强制型访问控制两类。实现机制可以是基于访问控制属性的访问控制表、基于安全标签或
用户和资源分档的多级访问控制等。
·数据保密性安全服务 它是针对信息泄漏而采取的防御措施。可分为信息保密、选择
段保密和业务流保密。它的基础是数据加密机制的选择。
·数据完整性安全服务 防止非法篡改信息,如修改、复制、插入和删除等。它有五种形
式:可恢复连接完整性、无恢复连接完整性、选择字段连接完整性、无连接完整性和选择字
段无连接完整性。
·访抵赖性安全服务 是针对对方抵赖的防范措施,用来证实发生过的操作。可分为对发
送防抵赖、对递交防抵赖和进行公证。
2.安全机制
一个安全策略和安全服务可以单个使用,也可以组合起来使用,在上述提到的安全服务中
可以借助以下安全机制:
·加密机制 借助各种加密算法对存放的数据和流通中的信息进行加密。DES算法已通过
硬件实现,效率非常高。
·数字签名 采用公钥体制,使用私有密钥进行数字签名,使用公有密钥对签名信息进行
证实。
·访问控制机制 根据访问者的身份和有关信息,决定实体的访问权限。访问控制机制的
实现常常基于一种或几种措施,如访问控制信息库、认证信息(如口令)和安全标签等。
·数据完整性机制 判断信息在传输过程中是否被篡改过,与加密机制有关。
·认证交换机制 用来实现同级之间的认证。
·防业务流量分析机制 通过填充冗余的业务流量来防止攻击者对流量进行分析,填充过
的流量需通过加密进行保护。
·路由控制机制 防止不利的信息通过路由。目前典型的应用为IP层防火墙。
·公证机制 由公证人(第三方)参与数字签名,它基于通信双方对第三者都绝对相信。目
前,Internet上的许多Server服务都向用户提供此机制。
3.安全管理
为了更有效地运用安全服务,需要有其它措施来支持它们的操作,这些措施即为管控。安
全管理是对安全服务和安全机制进行管理,把管理信息分配到有关的安全服务和安全机制中
去,并收集与它们的操作有关的信息。
OSI概念化的安全体系结构是一个多层次的结构,它本身是面向对象的,给用户提供了各
种安全应用,安全应用由安全服务来实现,而安全服务又是由各种安全机制来实现的。如图所
示。
@@05085000.GIF;图1 OSI安全系统层次结构@@
OSI提出了每一类安全服务所需要的各种安全机制,而安全机制如何提供安全服务的细节
可以在安全框架内找到。
一种安全服务可以在OSI的层协议上进行配置。在具体的实现过程中,可以根据具体的安
全需求来确定。OSI规定了两类安全服务的配置情况:即无连接通信方式和有连接通信方式。
4.安全层协议扩展和应用标准
国际标准化组织提出了安全体系结构,并致力于进行安全层协议的扩展和各种应用标准
的工作。
为了把安全功能扩展到层协议上,目前,有两个小组负责这方面的工作。一是ISO/IEC分
委会中的JTC1/SC6,主要负责将安全功能扩展到传输层及网络层的服务和协议上;另一个是J
TC1/SC21,负责把安全功能扩展到表示层和应用层上。目前,在建立会话(相当于应用层连接
)的同时,可以进行经过登记的双向验证交换,这使任何OSI应用在进行会话时均可采用公钥密
码验证机制。此外,保密交换应用服务单元也是OSI/IEC和CCITT正在研究的问题。如果这一
问题解决,将能把保密信息交换(如公钥验证交换)综合到应用层协议中。
在应用方面,OSI大都包含了安全功能,如MHS(文电作业系统)和目录验证应用协议均对安
全性进行了综合的考虑,而且两者都应用了公钥密码体制。
(1)公钥密码技术的安全标准
ISO/IEC分委会下的JTC1/SC27小组负责制定整个信息安全技术领域的标准,其中也包括
OSI。该小组主要以公钥密码技术为基础制定安全标准,其中包括双方、三方、四方的公钥验
证技术。
(2)网络层公钥密码技术
网络层可以提供端到端加密和子网保密。这不仅可以使寻址信息和高层协议信息受到保
护,而且对网络管理人员控制以外的应用也可进行保护。网络安全协议(NLSP)标准由ISO/IE
C的JTC1/SC6小组负责。该协议采用了公钥和对称密码相混合的方式来实现安全任务,采用对
称式密码体制(如DES)来保证机密性,而用公钥系统(如RSA)进行验证。对于在大型网络系统
中建立保密呼叫来说,这一混合体制很有前途。
(3)目录验证框架
OSI目录标准(CCITT X.500)为计算机/通信系统的互联提供了逻辑上完整、物理上分散
的目录系统。目录涉及互联系统复杂的配置关系和数量上众多的用户,因此,在目录环境中的
机密性证书和签名证书的分发,有着极为重要的作用。
目录验证框架包括:
·验证机制的描述;
·目录中用户密钥的获取方法;
·RSA算法描述;
·解释材料。
(4)用于文电作业系统的公钥密码
CCITT 1984年版的MHS(X.400)中未提出安全要求,但1988年版增加了以下安全内容:验证
、完整性、机密性、访问控制和防复制性。这些服务可用混合方式由公钥密码加以保护。
六、存在的问题及解决方法
1.加密的效率及可靠性问题
在网络中引入安全服务和安全管理后,如同等实体鉴别及访问控制等机制,网络的安全性
加强了,但是,网络的通信效率下降,实时性变差。效率下降的主要原因是由于加密算法的复
杂性而引起计算量的增大。因此,应该研究简单、适用且效率高的加密算法。为了提高加密
的速度,还应该对加密算法的硬件实现进行研究。
2.安全保密和网络互通问题
安全保密的特性决定了网络加密会损害网络的互通性。目前,流行的做法是在网络中引
入保密网关设备,即在网关设备上设置安全功能,实现安全协议的转换。但是,这种做法存在
着许多问题,它会造成网络通信的瓶颈,引起通信效率的下降。因此,采用保密网关设备只是
权宜之计,还必须从整个网络的安全体系结构出发,采取措施。现有的OSI安全体系只是针对
网络通信的安全而言,而开放式系统的安全不仅与网络通信有关,还和参与通信的末端系统有
关。目前,这两者只是孤立地进行研究。要实现不同域内的系统中不同级别用户之间的安全
互通,我们应将两者结合起来。
3.网络规模和网络安全问题
由于网络规模扩大了,相应地,网络的薄弱环节和受到攻击的可能性也就增加了,密钥的
分配和安全管理问题也就比较突出。因此,必须对鉴别机制、访问控制机制和密钥的分发机
制进行研究。
4.不同安全域内的多级安全问题
由于不同安全域内的安全政策不同,且每一个安全域的用户不同,其相应的安全级别也不
同。因此,要实现不同域内不同级别的用户之间的安全互通,必须对中间的协调机制进行研究
。应对OSI安全体系结构进行研究,理清安全需求、安全服务和安全机制在OSI各层中的位置
与作用, 并通过对安全管理数据库(SMIB)和安全管理模块的分析, 研究SMIB分配和使用的安
全管理协议及各管理Agent之间的相互协作和通信问题, 从而进一步研究OSI安全设施的集成
。
（计算机世界报 1997年 第5期）
I. 为什么说密码和安全协议是网络安全的核心
密码一般由用户保管，密码是保护用户加密数据的核心，起到钥匙的作用，现实生活中钥匙也分安全等级。密码的加密方法和复杂度就相当于现实中对密码的分级。
安全协议是以密码学为基础的消息交换协议，其目的是在网络环境中提供各种安全服务。密码学是网络安全的基础，但网络安全不能单纯依靠安全的密码算法。安全协议是网络安全的一个重要组成部分，我们需要通过安全协议进行实体之间的认证、在实体之间安全地分配密钥或其它各种秘密、确认发送和接收的消息的非否认性等。要是协议都不安全通过这个协议传输的数据或消息就没有安全性可言，密码或用户重要数据被截获或者传输假消息套取密码就会成为轻而易举的事了。