信息安全与身份认证

龙源期刊网

做信息安全身份认证专家

作者：

来源：《中国计算机报》2014年第40期

如今，信息安全已经成为国家建设“网络强国”的重中之重。

国际上，网络与信息技术不断演进，以云计算、大数据、移动互联网为主导的新技术在推动产业发展的同时，也带来了更多新的挑战，信息安全更成为各国相互搏弈的重要阵地。

成长于信息安全身份认证领域的众人科技，在国内外大环境的激发下，正努力打造成为中国信息安全领域的标杆企业。

回顾历史，众人科技走过一段风雨兼程的路。

2007年9月，众人科技成立。主要从事拥有完全自主知识产权的iKEY身份认证系统及系列产品的研发、生产和销售。

众人科技创业之初，创始人谈剑峰就满怀激情与希望，励志在中国信息安全行业打下一片江山：研发有完全自主知识产权的身份认证技术和产品，与当时充斥中国市场的国外信息安全身份认证产品抗衡，保护国家信息安全。确定了产品方向，众人科技在这个当时国内尚处于空白的细分领域开始了艰难的探索。

众人科技从成立伊始就确立了自主研发、设计、生产的国产化道路，以完全的自主可控作为追求，目的就是为国家和大众的信息安全把好核心的那一道“门”，由此而带来的是漫长且枯燥的技术攻关和资格认证过程。

整整4年时间，众人科技团队全身心投入技术研发、打磨产品，并通过了国家相关机构、专家对动态密码技术的论证、检测、认定，在2009年初，众人科技率先拿到了国家密码主管部门颁发的动态口令类产品资质企业许可证，其研发的iKEY身份认证产品被中国科学院科技查新中心评定为“填补国内空白，国际先进水平”。

经过不断拼搏、奋斗，众人科技越过了一道一道的坎——资金、人员、资质、技术。终于，众人科技拥有了从密码专用安全芯片、终端产品到后台系统的全产业链自主知识产权，并自主设计了国内领先的具有世界领先水平的密码令牌全自动柔性生产线；还作为组长单位参与制定了国家密码行业标准GM/T 0021-2012《动态口令密码应用技术规范》，作为国家密码主管部门密码检测标准制密项目组组长单位，组织编写“动态口令密码检测”的相关规范；同时参与制定动态口令产品行业标准、身份认证技术相关标准。

安全服务：认证；访问控制；数据保密性；数据完整性；不可否认性；可用性服务

DES加密：首先，64位的明文经过初始置换重新排列，然后进行16轮相同函数的作用，每轮都有置换和代换，最后一轮迭代输出64位，它是输入明文和密钥的函数。其左半部分和右半部分互换产生预输出，最后预输出再被与初始置换互逆的置换作用产生64位的密文。

64位明文 64位密钥

↓（初始置换） ↓（置换选择1）

第一轮 ←置换选择2 ←循环左移

↓ ↓

。。。。。。 ←。。。。。。。 ←。。。。。。。

↓ ↓

第十六轮 ←置换选择2 ←循环左移

↓

32位互换——>逆初始置换——>64位密文

DES密钥产生：算法输入了64比特的密钥，密钥各比特分别标记为1到64。即有8行，每行8位，最后一位被忽略。首先用标记为置换选择1的表作用，所得56位密钥分为两个28位数据C0和D0。每轮迭代中，Ci-1和Di-1分别循环左移（或旋转）一位或两位。移位后的值作为下一轮的输入。它们同时也作为置换选择2的输入，将产生一个48位的输出作为函数F(Ri-1,Ki)的输入。

查分分析和线性分析是两种重要的密码分析方法。DES对这两种攻击具有很强的免疫性。

雪崩效应：明文或密钥的微小改变将对密文产生很大的影响。特别的，明文或密钥的某一位发生变化会导致密文的很多位发生变化。如果相应的变化很小，可能会给分析者提供缩小搜索密钥或明文空间的渠道。

信息安全中的身份认证与授权

信息时代的到来，改变了人们使用和获取信息的方式，也给人们的生活带来更多便利。并且随着电子商务、移动支付等越来越多的应用出现，信息安全问题也愈发引起人们的关注。身份认证和授权成为了信息安全领域里至关重要的一步。本文将主要探讨身份认证和授权技术在信息安全中的作用和发展。

一、身份认证的概念

身份认证是指可以证明用户身份的一系列过程，它能够验证用户提交的身份信息是否合法，从而决定用户是否能够在系统中获得其主张的权限。身份认证通常包括密钥、凭证和生物特征等多种认证方式，其中密码认证是最常用的方式。

二、身份认证的方式

1、口令认证

口令认证是使用最广泛的身份认证方式。它是使用用户名和密码进行的，该方式的优势是易于实施并且使用起来非常简单，缺点是密码会被窃取或破解。

2、数字证书认证 数字证书认证是基于公开密钥加密技术实现的一种身份认证方式。数字证书是由认证机构颁发的，用户可以使用自己的数字证书来证明身份。

3、生物特征识别认证

生物特征识别认证是根据用户的个体生物特征来进行身份认证。这种方式的优势是不可复制，并且有多种生物特征供选，如指纹识别、视网膜识别等。

三、授权的概念

授权是指在用户通过身份认证之后，被授予特定权限的过程。授权的权限通常是由系统管理员设置的，并且会因应用场景的不同而不同。授权的目的是确保合法的用户能够访问系统的合法资源和数据。

四、授权的方式

1、基于角色的访问控制

基于角色的访问控制是指根据用户的职责和职位来给予其特定的操作权限。例如管理员可以查看和修改系统的配置，而普通用户仅能浏览部分文件。

2、基于属性的访问控制 基于属性的访问控制是指根据用户的身份或者其他特定属性来给予其特定的操作权限。例如只有部门经理可以访问本部门文件，而其他部门的员工则不能访问。

五、身份认证和授权技术的发展趋势

由于传统的身份认证和授权方式有被攻击的风险，因此需要不断研究和更新技术来保证信息安全。下面是身份认证和授权技术的发展趋势：

- 1 - 信息安全认证体系

信息安全认证体系是一种保障信息安全的技术机制，它能够识别，认证和控制访问信息资源的用户或设备，从而防止对信息资源的未经授权的访问和使用。

随着网络、信息技术的发展，信息安全认证体系已经成为防止可能发生的欺诈、侵入、数据泄露、攻击等威胁的必要手段。它可以满足账号认证、身份认证、设备授权认证、网络接入认证等需求，这些认证都是保障信息安全的重要支柱，提供了基本的信息安全保证。

信息安全认证体系的构成主要有信息认证、访问控制、安全存储、日志审计等组成部分，用户只有正确通过认证，才能获得信息系统的访问权限。

在认证授权中，认证是确定用户身份的程序，授权是在确定用户身份后，允许用户访问信息系统的资源活动的程序，这两个程序必须是一体的，绝不能分割。

设备认证是指信息安全认证体系通过验证用户访问信息系统的设备来确定用户身份的过程。设备认证的目的是确定用户使用的设备是否具有合法的身份，例如验证操作系统版本、用户口令等。设备认证必须根据实际情况进行调整，并制定可行的解决方案，使之能够对所有可能的设备进行有效的验证。

网络接入认证是指安全认证体系要求用户在接入网络时需要进行认证，以确定用户是否有权使用网络服务。网络接入认证的方法有很多，例如使用身份证，使用访问密码，使用客户端证书等。 - 2 - 除了上面提到的几种认证方式之外，还有一些其他的认证方式，比如指纹认证，声纹认证，人脸认证等，可以根据实际情况来选择，从而实现更加严格的安全认证。

现在，信息安全认证体系已经成为现代信息系统绝对必不可少的重要组成部分，它既可以保护用户信息，也可以防止未经授权的访问，对保障网络数据安全具有重要的意义。

因此，为了更好地保护网络安全，各种企业和组织应该尽快建立一套信息安全认证体系，确保各方的信息安全、数据安全，同时应加强安全意识的培训和宣传，让大家学会如何做好安全防范。