资源简介

(共63张PPT)
信息系统安全与防护
破解密码
uhsijixnixiaow
0+0=01
woaixinxijishu
1+1=10
为什么要用乱码表示信息？
2011年12月21日，黑客在网上公开了知名程序员网站CSDN的用户数据库，高达600多万个明文的注册邮箱账号和密码遭到曝光和外泄，成为中国互联网历史上一次具有深远意义的网络安全事故。
CSDN信息泄露
这份名为“CSDN-中文IT社区-600万.rar”的文件已经在网上传播，文件大小107366K，经过下载验证，里面的确记录了大量CSDN的邮箱和密码，并且都是明文的
CSDN信息泄露
整个事件最不可思议的地方在于，像CSDN这样的以程序员和开发为核心的大型网站，居然采用明文存储密码，导致海量用户的账号信息包括密码直接被泄露，这是最令人难以置信的地方，稍微懂一点编程的程序员都知道，为了用户的安全，应该在数据库里保存用户密码的加密信息。
CSDN信息泄露
数据加密与安全
当今社会，大量信息以数据形式存放在信息系统，并通过公共信道传输，数据面临着被非授权读取、截获、篡改、伪造等一系列安全问题。
确保数据的保密性、完整性、不可否认性，这是密码学要实现的主要目标。
保密性
不可否认性
完整性
加密措施
数字签名
容灾备份和恢复
口令与密码
日常生活中登录信息系统输入的密码，其实应该称作口令。
它用于认证用户身份，并不是真正意义上的加密代码。
天王盖地虎？
奇变偶不变？
口令与密码
2019年某天，一位境外人士自称“中国北方人”在微博上扮演“理性”声音，并表示对于如今年轻人的做法并不赞同。
口令与密码
据悉，当时这位“中国北方人”发表完言论后，有网友问到：宫廷玉液酒？不知这位“北方人”是否被问懵了，最后回答道：不懂你说的啥，我岁数比较大。
就这样，如此机智的网友瞬间揭穿了他“中国北方人”的身份。
口令与密码
口令与密码
密码是指按特定编码规则，对通信双方的数据信息进行从明文到密文变换的一种技术方法。密码是一种“混淆”技术，就是把公开的、标准的信息编码表示的信息，通过一种变换手段将其变为除通信双方外的其他人所不能读懂的信息编码，这种独特的信息编码算法就是密码。
解密算法
加密算法
密码“dlrow olleh”
明码“hello world”
口令与密码
密码最早起源于古希腊，古希腊人使用一根叫作Scytale的棍子来进行保密，使用时先将纸带绕棍子一圈，然后写上需要传输的信息，接着打开纸带给送信人。
如果不知道棍子的直径，很难解密纸带上的信息。
密钥的概念
仅仅是通过人为的事先约定来保守算法的秘密，这种算法叫做受限算法。
一个大规模或时常变更的团体或组织不能使用它们，因为一旦有一个用户离开或其中有人无意暴露，这一密码算法就作废了。
如果算法的保密性是基于保持算法的秘密，这种算法称为受限算法
受限算法不利于进行标准化控制，而通过“密钥”很容易解决这个问题。
密钥（Key，简称K）指在密码算法中引进的控制参数，对一个算法采用不同的参数值，其解密结果就不同。加密算法中的控制参数称为加密密钥，解密算法中的控制参数称为解密密钥。
密钥的概念
原有的信息称为明文(Plaintext，简称P)
明文经过加密变换后的形式称为密文(Ciphertext，简称C)
由明文变为密文的过程称为加密(Enciphering，简称E)
由密文还原为明文的过程称为解密（Deciphering，简称D）
密码系统包括明文、密文、加密、解密
简单加密算法
①替代加密法
将明文中每个位置的字符用其它字符代替。经典例子：凯撒密码。
明文中每个字母在字母表中右移三位得到密文，就可以表示为Ci=Ek1(Pi)=(Pi+3)mod 26，这里的密钥为3。
hello world
khoor zruog
Python实现：chr((ord(x)-ord("a")+3)%26 +ord("a"))
简单加密算法
①替代加密法
将明文中每个位置的字符用其它字符代替。经典例子：凯撒密码。
解密时密文中每个字母在字母表中左移三位得到明文，就可以表示为Pi=Dk2(Ci)=(Ci-3)mod 26，这里的密钥为3。
hello world
khoor zruog
Python实现：chr((ord(x)-ord("a")-3)%26 +ord("a"))
简单加密算法
②换位密码法
将明文中的字符位置通过一定的规则重新排列。
最简单的是逆序法，即将明文中的字符倒过来输出
逆序法Python实现：s[::-1]
明文：How are you
密文： uoy era woH
简单加密算法
③简单异或法
异或运算，是一种逻辑运算，其数学符号为“ ”。
运算时要求把参与运算的数转换为二进制数再进行按位运算。
如果两个值不相同，那么异或结果为1。
如果两个值相同，那么异或结果为0。
异或运算具有如下特点：
0 0=0，0 1=1，1 0=1，1 1=0
加密解密时用同一个密钥
加密：明文 密钥 解密:密文 密钥
简单加密算法
③简单异或法: 0 0=0，0 1=1，1 0=1，1 1=0
任意字符都可以用二进制编码来表示，字符的异或是对每位进行异或运算
对“Hello”进行异或法加密，密钥用10110001
Hello： 01001000 01100101 01101100 01101100 01101111 （P）
10110001 10110001 10110001 10110001 10110001 （K）
= 11111001 11010100 11011101 11011101 11011110 （C）
简单加密算法
用一种或多种简单加密算法，设计一个你的密文，请同学猜一猜
对称与非对称密码体制
密码体制是指明文、密文、密钥以及实现加密解密算法的软件和硬件机制。
根据加密密钥（Ke）和解密密钥（Kd）的关系，密码体制可以分为对称密码体制和非对称密码体制。
对称与非对称密码体制
如果Ke= Kd，称为对称密码体制或单钥密码体制。著名的有DES分组算法。
如果Ke≠Kd，称为非对称密码体制或双钥密码体制。著名的有RSA算法。
如何用Python实现换位加密算法？ 字符串code，密钥key，左移
简单加密算法程序实现
如何用Python实现数字字符串的异或加密算法？ 字符串code，密钥key
简单加密算法程序实现
简单加密算法程序实现
凯撒密码：替代加密法
字符转换change（）：把单个字符转换成小写字母并在字母表中右移key位
加密encrypt（）：循环遍历字符串，每个字符调用change（）
解密decrypt（）：循环遍历字符串，每个字符解密
简单加密算法
凯撒密码：替代加密法
main（）：主函数，通过1、2来选择加密还是解密
if __name__==’__main__’确保只有直接执行这个脚本时才会运行
简单加密算法
一个python的文件有两种使用的方法，第一是直接作为脚本执行，第二是import到其他的python脚本中被调用执行。
因此if __name__ == 'main': 的作用就是控制这两种情况执行代码的过程，在if __name__ == 'main': 下的代码只有在第一种情况下（即文件作为脚本直接执行）才会被执行，而import到其他脚本中是不会被执行的。
新建一个程序，只导入模块：
word文档安全保护
7月3日晚上，张某登录浙江省高校招生志愿填报系统，发现之前填报的志愿却变成了自己没填报的大学。首轮高考志愿填报在6月27日下午就已经结束，此时要想修改根本不可能。张某随即把自己的遭遇告诉了同学鲍某、汤某，却发现他们的志愿也被篡改了。次日，他们向派出所报案。
警方立即展开侦查，并很快锁定了嫌疑人陈某。据警方介绍，陈某和张某、鲍某、汤某三人是高中同学，关系一直较好。成绩揭晓后，全班同学于6月26日回校填报志愿。在办公室时，一位老师将陈某的成绩和张某、鲍某、汤某进行比较，称三人成绩相较平时提高不少，而陈某的成绩在班级里算是垫底了。
身份认证与安全
陈某担心自己成绩不好被人取笑，便利用知道上述三人身份证号码和志愿填报系统登录密码统一这一点，在6月27日下午高校志愿填报结束前，先后将张某、鲍某、汤某三人的高考志愿篡改。据陈某交代，他篡改完同学的高考志愿后一直惶恐不安。6月29日，他曾登录系统想把张某三人的志愿改回来，但因过了截止日期而无法修改。
身份认证与安全
人们利用信息系统对数据进行访问，也是引起数据不安全的一个重要环节。为了系统的安全，需要对访问者进行管制和约束。
身份认证是用户在进入系统或访问受限数据资源时，系统对用户身份的鉴别过程。能够有效防止数据资源被非授权使用，保障数据资源的安全。
身份认证用于检验访问者身份的合法性，控制哪些用户能够登录系统并获取系统资源。
身份认证与安全
（1）用户名+口令的认证技术
操作简单，不需要附加设施，成本低，速度快。
静态口令一次性产生，固定不变。
动态口令有动态短信口令和动态口令牌。
身份认证
（2）依靠生物特征识别的认证技术
指纹识别，语音识别，虹膜识别，人脸识别等。不同的人具有相同生物特征的可能性是极低的，防伪性好，随时随地可用。
事先采集用户生物特征，将采集到的数据保存在数据库中，身份识别进行比较，达到指定的相似度才允许通过。
身份认证
（3）USB Key认证技术
一种采用USB接口的硬件设备，软硬件相结合，一次一密，解决了安全性与易用性之间的矛盾。
内置单片机或智能卡芯片，可以存储密钥或数字证书，利用内置密码算法认证身份。
网上银行的U盾，支付宝的支付盾等…
身份认证
1.在陌生的计算机上登录QQ或支付宝等平台，往往需要手机认证方可登录，这样设计的目的是什么？
2.支付宝付款功能同时支持多种验证方式
如：数字口令、指纹识别、面部识别、声音锁等
在不同的使用场合下你会选择哪种验证方式？
身份认证
身份认证要解决的问题是用户是否有权限进入系统使用数据资源，
而访问控制要解决的是用户对数据操作的权限。访问控制是在保障授权用户能获取所需资源的同时拒绝非授权用户的安全机制。
非授权用户没访问权限，授权用户可访问，读取、写入、执行、删除、追加等权限有差别
访问控制
访问控制一般是指系统对用户身份及其所属的预先定义的策略组，用以限制其数据资源的手段。系统管理员利用该手段控制用户对服务器、目录、文件等网络资源的访问。
三个要素：
主体：访问资源的具体请求或发起者
客体：被访问的资源
控制策略：允许对资源执行的具体操作
访问控制
访问控制的基本功能：保证合法用户访问受保护的系统资源，防止非法用户访问受保护的系统资源，或防止合法用户访问非授权的系统资源
访问控制
访问控制
管理员通过设置用户账号的权限大小来管理数据安全，不同权限的用户可用数据范围不一样。
1.系统管理员根据实际需求对用户分别建立账户或策略组
2.系统管理员授予用户的身份唯一，禁止共享
3.任何用户登录都应进行识别，技术根据权限确定
4.保证用户口令有一定的强度和防攻击能力。经常核查特殊权限账号，及时收回不用的账号
访问控制
1.身份鉴别是安全服务中的重要一环，以下不属于身份鉴别的方式的是（ ）
A.用户名+口令 B.生物特征识别
C.控制策略 D.USB Key
C
2. 张先生在异地出差，有紧急事情需要电子转账，从身份认证风险的角度思考，以下途径中不建议选择（ ）
A.支付宝转账 B.使用网吧电脑登录网上银行
C. 手机银行 D.微信转账
B
3.小王是学校网络访问控制系统管理员，以下他对权限分配不合理的是（ ）
A. 学校停车管理处人员获得查看学生住宿寝室号的权限
B. 食堂管理员获得饭卡余额充值权限
C. 班主任获得查看到本班学生家庭住址、父母姓名等信息的权限
D. 教师上传所授班级学生成绩到学校档案数据库中的权限
A
2019年9月27日，一个叫“送给最好的TA”的病毒软件一夜之间在全国各大高校（包括清华北大）学生的手机上安家落户，并且强制把手机音量调到最大，并发出各种奇怪的声音，不仅无法减小音量，不能锁屏，也没法关机，此外还会持续截图盗取信息，一度造成大量学生社会性死亡。
病毒概述
有同学为了保全名誉，直接将手机扔出了窗外，屏幕都碎了声音还没停，只能当场掰断手机。
一位同学在非常重要的讲座上突然发生了这种事情，被学校记大过并遭到停学处分。同学当初发给他时只是为了恶作剧，却可能直接毁了他的未来。
病毒概述
（1）计算机病毒
计算机病毒是指人为编制的，具有破环计算机功能，或者毁坏数据、影响计算机系统使用，并能够自我复制的一组计算机指令或程序代码。
弗雷德·科恩最早提出“计算机病毒”一词，1983年出现第一例。
观看视频
思考计算机病毒有哪些特点与危害？
病毒概述
病毒概述
特点：传染性、寄生性、隐蔽性、潜伏性、破坏性、可触发性
计算机系统中毒后，可能会引发一些异常情况，常见的有：
系统运行速度减慢、系统经常无故发生死机、系统引导速度减慢
文件长度发生变化、计算机存储的容量异常减少、文件丢失或损坏
计算机屏幕上出现异常显示、计算机系统的蜂鸣器出现异常声响、磁盘卷标发生变化和系统不识别硬盘等
（2）手机病毒
手机病毒具有计算机病毒的特征，是一种手机程序，通过发送短信、微信、彩信及无线上网等方式进行传播。
2004年6月，出现真正意义上的手机病毒——Cabir蠕虫病毒。
病毒概述
相比计算机病毒，手机病毒有哪些特点与危害？
病毒概述
2018年，北京某网络公司负责人朱某找到金立子公司致璞科技，双方一拍即合展开了一场大阴谋：
由朱某开发木马病毒，金立负责在出厂前植入到手机中。这是一种叫“拉活木马”的病毒，手机一旦植入就会像傀儡一样被黑客远程操控。
变身“肉鸡”的手机会自动出卖机主手机号码、存储照片、聊天记录等隐私信息，还会根据机主的个人爱好生成各类报表，反馈给系统。
那么，在这起案件中，黑客控制别人手机的目的是什么？
两个字：拉活。拉动活跃用户，就是控制你的手机下载其他软件，并且不定时打开。
病毒概述
当手机变成“肉鸡”，每个月流量会蹭蹭蹭地乱飙，几天就能把你的包月用光，尤其是当它打开视频软件的时候。
在半年多时间里，金立往2651.89万台手机里植入了病毒，一共拉活28.84亿次。
粉饰繁荣后，少不了上游APP的打赏。
短短半年内，他们获利4000万，金立和朱某七三分成，金立分到2700多万。
病毒概述
绍兴人小朱给外婆买了一部手机，发现怎么也接收不到验证码，奇怪的是当他把电话卡装到自己手机里，验证码却能正常接收。
警察检测后发现，小朱外婆的手机已经被植入木马程序，验证码被木马拦截后发往了深圳一家公司。
警方随后抽检20多部同款手机，无一例外，它们全部被植入木马。
病毒概述
手机感染病毒后，通常会出现：
背景光不停闪烁、持续发出警告声、屏幕上显示乱码信息、按键操作失效
个人资料被删、隐私泄露、用户信息无缘无故被修改、资料丢失
自动拨打电话和发信息、自动向他人手机发送大量短信、以致被恶意扣费
损毁SIM卡、芯片等硬件、死机或自动关机、通信网络瘫痪等。
病毒防治
预防为主、查杀为辅
①安装并开启防火墙，防止黑客和病毒利用系统服务和漏洞入侵系统。
②安装应用系统补丁，防止病毒利用系统或程序的漏洞进行传染。
③安装防病毒软件，定时更新病毒资料库和扫描系统
④经常对系统和重要的数据进行备份，还可把重要的数据加密后存放到云盘上。
病毒防治
针对手机病毒：
①收到乱码信息后，及时删除
②不接受陌生请求。
③保证下载内容的安全性。
④不随意连接公共场合的Wi-Fi。
漏洞的概述
一天动物园管理员发现袋鼠从笼子里跑出来了，于是开会讨论，一致认为是笼子的高度过低。所以他们决定将笼子的高度由原来的10米加高到20米。结果第二天他们发现袋鼠还是跑到外面来，所以他们又决定再将高度加高到30米。
没想到隔天居然又看到袋鼠全跑到外面，于是管理员们大为紧张，决定一不做二不休，将笼子高度加高到100米。
一天长颈鹿和几只袋鼠在闲聊，谈到了笼子的事情。
“你们看，这些人会不会再继续加高你们的笼子？”长颈鹿问。
“很难说，”袋鼠说，“如果他们再继续忘记关门的话！”
漏洞的概述
漏洞是指一个系统存在的弱点或缺陷。
它可能来自应用软件或操作系统，应用软件中的漏洞比操作系统中漏洞更多。
漏洞由设计时的缺陷或编码时的错误而产生，也可能来自逻辑流程上的不合理或程序员为了某种方便而留下的隐患。
这些隐患可能会被利用，对信息系统造成威胁。如系统攻击，信息泄露，数据被篡改等
后门
后门，是漏洞的一种。程序编写人员为了方便进行调试和测试而预留一些特权，他们可以不经过安全检查而获得访问权。
入侵者在完成入侵后，也会留下后门，保持对系统的访问特权。
黑客及其防护
管理员可以通过漏洞扫描技术进行安全审查，检测并修复漏洞，更新系统堵住漏洞。常用的漏洞扫描软件有：X-scan，Namp，X-way。
可以采用下列措施防护漏洞：
①用防火墙来防止外部网络对内部网络的未经授权访问
②经常使用安全监测与扫描工具来发现安全漏洞及薄弱环节
③使用有效的控制手段抓住入侵者，使用网络监控工具实时监控网络和系统运行情况，及时发现黑客或入侵者的不良企图，进行相关处理。
黑客，一般是指热衷于计算机技术或解决难题、突破限制的高手。他们对计算机尤其网络有着狂热的爱好，搜寻和发现系统和网络中的各种漏洞。
真正的黑客一般不会有意利用这些漏洞去侵犯他人系统，所做的往往是提出漏洞的补救方法。
但是有一些人收集黑客工具，利用网络进行捣乱和破坏，借此炫耀计算机“技术”，使黑客逐渐变为贬义词。
黑客及其防范
防火墙是在外部网络和内部网络之间，公共网络与专用网络之间构造的安全屏障，在两个网络之间实施存储控制策略。它可以确定哪些外部人员可以访问哪些内部服务，保护内部网络免受非法用户入侵。
黑客及其防范
防火墙，控制站点的
访问，保护内网安全
防火墙的端口，
防火墙的端口可
能不止一个
防火墙的放行规则，符合规则则放行，否则拒绝。每个端口都有放行的规则
我是否应该放他进去呢
让我先根据规则比较一下
防火墙由服务访问规则、验证工具、包过滤和应用网关组成，可以监视数据、挡住攻击。
防火墙是在外部网络和内部网络之间，公共网络与专用网络之间构造的安全屏障，在两个网络之间实施存储控制策略。它可以确定哪些外部人员可以访问哪些内部服务，保护内部网络免受非法用户入侵。
黑客及其防范
技术
地址转换
数据包过滤
代理
形态
硬件
软件
1.下列选项中不属于计算机病毒特征的是（ ）
A. 破坏性 B. 传染性
C. 免疫性 D. 潜伏性
2.计算机病毒是（ ）
A．一种有破坏性的程序 B．使用计算机时容易感染的一种疾病
C．一种计算机硬件系统故障 D．计算机软件系统故障
3. 下列关于计算机病毒的叙述中，正确的是（ ）
A．反病毒软件可以查杀任何种类的病毒
B．计算机病毒是一种被破坏了的程序
C．反病毒软件必须随着新病毒的出现而升级，提高查杀病毒的能力
D．感染过计算机病毒的计算机具有对该病毒的免疫性
A
C
C
4. 下列关于信息安全的说法，正确的是（ ）
A. 针对计算机病毒，应该坚持以查杀为主，预防为辅的原则
B. 安装系统补丁有助于防范计算机黑客的入侵
C. 防火墙只能是是软件，不能是硬件
D. 连接到公共场合的Wi-Fi，不会对安全性有影响
5. 下列说法错误的是（ ）
A. 防火墙可以有效阻挡来自外部的攻击
B. 后门也是漏洞的一种
C. 漏洞是计算机系统的弱点或缺陷
D. 计算机黑客的技术很高超，可以随意进入别人的系统，故应该向他们学习
B
D

展开更多......

收起↑