西安邮电大学：《信息安全概论》课程教学资源（教材书籍，共九章，人民邮电出版社，主编：张雪峰）.pdf_大学文库

前言随着信息技术的发展和普及，信息技术与人们的日常工作、学习和生活联系日益紧密，根据中国互联网络信息中心(CNNC)2013年7月发布的《中国互联网络发展状况统计报告(2013年7月)》，截至2013年6月底，我国网民规模达5.91亿，互联网普及率为44.1%，表明中国网民的规模已经非常庞大。而该中心发布的《2012年中国网民信息安全状况研究报告》表明，总体来看，目前中国网民只是简单地被灌输了要“重视信息安全”，但其实对其形成的原因认识并不清晰，形象地说，中国网民的信息安全意识处于“知其然，不知其所以然”的阶段，很多网民知道要重视信息安全，但并不知道为什么要重视，当然就更不知道如何解决自身面临的信息安全问题。因此，人们在享受着信息技术给自身工作、学习和生活带来便捷的同时，对信息的安全问题也日益关注。如何保障信息的安全存储、传输、使用，如何实现信息的保密性、完整性、可用性、不可否认性和可控性，成为困扰信息技术进一步发展的关键问题之一。当前，信息的安全问题不仅涉及人们的个人隐私安全，而且与国家的金融安全、政治安全、国防安全息息相关，大多数国家已经将信息安全上升到国家战略的高度进行规划和建设，这为信息安全技术的发展和信息安全类专业人才的培养提供了广阔的前景，也提出了迫切的发展需求，对信息安全从业者来说，这是前所未有的机遇，也面临着前所未有的挑战。为了能为在校本科生学习信息安全提供内容较新、论述较系统的教材，也能为相关领域的科研人员提供一本内容充实，具有一定实用性的参考书，我们编写了《信息安全概论》这本教材。本书是作者在长期从事信息安全领域科研和教学的基础上编写的，概括介绍了信息安全的基本概念、基本原理和主要技术，在此基础上，进一步介绍了信息安全管理和信息安全标准。内容以当前被广泛应用的信息安全技术为主，既突出了广泛性，又注重对主要知识内容的深入讨论。本书对当前被广泛应用的信息安全技术进行了系统介绍，对其性能进行了相应的分析。本书主要面向信息安全、网络工程、计算机科学与技术、通信工程等本科专业的学生使用。计划课时为32一48学时。学习该课程的学生需要具备计算机和高等数学方面的基础知识，同时应该掌握基本的网络基本知识。通过对本课程的学习，学生可以掌握基本的信息安全理论、方法和技术，对信息安全技术具备一定的实际应用能力。当然，解决信息系统面临的安全问题是一项复杂的系统性工程，相应的信息安全解决方案应该是一种综合解决方案，实践证明，任何试图将信息安全问题解决方案单一化的想法都是不切实际的，信息安全解决方案应该是一项系统工程，它不是多种安全技术的简单叠加使用，而应该从系统的角度去综合考虑。从这个角度来看，本书涉及的信息安全技术相互之间既有联系，又有区别，因此，读者在学习的过程中，应该从系统的角度去学习和理解不同技术相关内容之间的关联。衷心感谢本书的主审专家提出了许多宝贵的意见和建议，使我们受益匪浅。衷心感谢人民邮电出版社的编辑老师，是他们的辛勤劳动，使本书得以顺利出版。为了使本书既包含信息安全的基础知识，又能反映这些基础知识涉及到的最新研究成果，本书在编写过程中参考了国内外许多同行的论文、著作，引用了其中的观点、数据与结论，在此一并表示谢忱。蒋君莉、高坤等研究生参加了本书的校稿工作，在此一并表示感谢！由于编者水平有限，书中难免存在错误和不妥之处，恳切希望广大读者批评指正。编者 2013年8月

1 前言随着信息技术的发展和普及，信息技术与人们的日常工作、学习和生活联系日益紧密，根据中国互联网络信息中心（CNNIC）2013 年 7 月发布的《中国互联网络发展状况统计报告（2013 年 7 月）》，截至 2013 年 6 月底，我国网民规模达 5.91 亿，互联网普及率为 44.1%，表明中国网民的规模已经非常庞大。而该中心发布的《2012 年中国网民信息安全状况研究报告》表明，总体来看，目前中国网民只是简单地被灌输了要“重视信息安全”，但其实对其形成的原因认识并不清晰，形象地说，中国网民的信息安全意识处于“知其然，不知其所以然”的阶段，很多网民知道要重视信息安全，但并不知道为什么要重视，当然就更不知道如何解决自身面临的信息安全问题。因此，人们在享受着信息技术给自身工作、学习和生活带来便捷的同时，对信息的安全问题也日益关注。如何保障信息的安全存储、传输、使用，如何实现信息的保密性、完整性、可用性、不可否认性和可控性，成为困扰信息技术进一步发展的关键问题之一。当前，信息的安全问题不仅涉及人们的个人隐私安全，而且与国家的金融安全、政治安全、国防安全息息相关，大多数国家已经将信息安全上升到国家战略的高度进行规划和建设，这为信息安全技术的发展和信息安全类专业人才的培养提供了广阔的前景，也提出了迫切的发展需求，对信息安全从业者来说，这是前所未有的机遇，也面临着前所未有的挑战。为了能为在校本科生学习信息安全提供内容较新、论述较系统的教材，也能为相关领域的科研人员提供一本内容充实，具有一定实用性的参考书，我们编写了《信息安全概论》这本教材。本书是作者在长期从事信息安全领域科研和教学的基础上编写的，概括介绍了信息安全的基本概念、基本原理和主要技术，在此基础上，进一步介绍了信息安全管理和信息安全标准。内容以当前被广泛应用的信息安全技术为主，既突出了广泛性，又注重对主要知识内容的深入讨论。本书对当前被广泛应用的信息安全技术进行了系统介绍，对其性能进行了相应的分析。本书主要面向信息安全、网络工程、计算机科学与技术、通信工程等本科专业的学生使用。计划课时为 32－48 学时。学习该课程的学生需要具备计算机和高等数学方面的基础知识，同时应该掌握基本的网络基本知识。通过对本课程的学习，学生可以掌握基本的信息安全理论、方法和技术，对信息安全技术具备一定的实际应用能力。当然，解决信息系统面临的安全问题是一项复杂的系统性工程，相应的信息安全解决方案应该是一种综合解决方案，实践证明，任何试图将信息安全问题解决方案单一化的想法都是不切实际的，信息安全解决方案应该是一项系统工程，它不是多种安全技术的简单叠加使用，而应该从系统的角度去综合考虑。从这个角度来看，本书涉及的信息安全技术相互之间既有联系，又有区别，因此，读者在学习的过程中，应该从系统的角度去学习和理解不同技术相关内容之间的关联。衷心感谢本书的主审专家提出了许多宝贵的意见和建议，使我们受益匪浅。衷心感谢人民邮电出版社的编辑老师，是他们的辛勤劳动，使本书得以顺利出版。为了使本书既包含信息安全的基础知识，又能反映这些基础知识涉及到的最新研究成果，本书在编写过程中参考了国内外许多同行的论文、著作，引用了其中的观点、数据与结论，在此一并表示谢忱。蒋君莉、高坤等研究生参加了本书的校稿工作，在此一并表示感谢！由于编者水平有限，书中难免存在错误和不妥之处，恳切希望广大读者批评指正。编者 2013 年 8 月

第1章绪论本章概要介绍信息安全涉及的基本概念，包括信息的基本概念、特征、性质、功能和分类，信息技术的产生和内涵，信息安全涉及的基本概念、信息安全的目标和属性以及信息安全的基本原则，当前面临的主要安全威胁及实现信息安全的主要技术，同时重点介绍了信息安全管理的主要内容及基本原则。本章的知识要点、重点和难点包括：信息的定义和性质、信息安全的属性、实现信息安全的基本原则和主要的信息安全技术。 1.1概述随着全球信息化的飞速发展，特别是计算机技术与通信技术相结合而诞生的计算机互联网的发展和广泛应用，它打破了传统的时间和空间的限制，极大的改变了人们的工作方式和生活方式，促进了经济和社会的发展，提高了人们的工作水平和生活质量。根据中国互联网络信息中心(CNNIC)2013年7月发布的《中国互联网络发展状况统计报告(2013年7月)》，截至2013年6月底，我国网民规模达5.91亿，较2012年底增加2656万人。互联网普及率为44.1%，较2012年底提升了2.0个百分点，其中手机网民规模达4.64亿，较2012 年底增加4379万人，网民中使用手机上网的人群占比提升至78.5%。手机上网成为互联网发展的新动力：一方面，手机上网的发展推动了中国互联网的普及，尤其为受网络、终端等限制而无法接入的人群和地区提供了使用互联网的可能性。另一方面，手机上网推动了互联网经济新的增长，基于移动互联网的创新热潮为传统互联网类业务提供了新的商业模式和发展空间，网络即时通信网民规模迅速增加，电子商务类应用使用率上升。以上数据充分说明，信息技术己经与人们的日常工作、学习和生活息息相关。在信息化日益普及的今天，伴随着信息技术的广泛应用，当前，信息资源不仅成为人们日常工作、学习、生活中的基础资源，而且日益成为国家和社会发展的重要战略资源。国际上围绕信息的获取、使用和控制的斗争愈演愈烈，信息安全成为维护国家安全和社会稳定的一个焦点，各国都给以极大的关注和投入。在我国，与信息技术被广泛应用形成鲜明对比的是信息安全问题日益突出，目前，我国己经成为信息安全事件的主要受害国之一。中国互联网络信息中心(CNNIC)2012年10月发布的《2012年中国网民信息安全状况研究报告》表明，虽然多年来我国不断加强信息安全的治理工作，但信息安全问题仍然十分严重，新型的信息安全事件不断出现，且迅速向更多网民蔓延，导致信息安全事件的情境日益多样复杂化，信息安全所引起的直接经济损失己达到很大规模，发起信息安全事件的因素己从此前的好奇心理升级为明显的逐利性，经济利益链条己然形成，信息安全事件中所涉及的信息类型、危害类型越来越多，且日益深入涉及网民的隐私，潜在的后果更严重。与此同时，我国的广大网民缺乏关于信息安全的知识，对信息安全的危害性并不清晰，采取的信息安全保护措施还未达到较好的水平，很多人并不具备处理信息安全事件的能力。根据以上分析，信息安全己成为亟待解决、影响国家大局和长远利益的重大关键问题，它不但是发挥信息革命带来的高效率、高效益的有力保证，而且是抵御信息侵略的重要屏障，信息安全保障能力是21世纪综合国力、经济竞争实力和生存能力的重要组成部分，是世纪之交世界各国都在奋力攀登的制高点。从大的方面来说，信息安全问题己威胁到国家的政治、经济和国防等领域。从小的方面来说，信息安全问题己威胁到个人的隐私能否得到保障。因此，信息安全己成为社会稳定安全的必要前提条件。信息安全问题全方位地影响我国的政治、军事、经济、文化、社会生活的各个方面，如果解决不好将使国家处于信息战和高度经济金融风险的威胁之中。信息安全不仅要保证信息的保密性、完整性，也就是关注信息自身的安全，防止偶然的 2

2 第 1 章绪论本章概要介绍信息安全涉及的基本概念，包括信息的基本概念、特征、性质、功能和分类，信息技术的产生和内涵，信息安全涉及的基本概念、信息安全的目标和属性以及信息安全的基本原则，当前面临的主要安全威胁及实现信息安全的主要技术，同时重点介绍了信息安全管理的主要内容及基本原则。本章的知识要点、重点和难点包括：信息的定义和性质、信息安全的属性、实现信息安全的基本原则和主要的信息安全技术。 1.1 概述随着全球信息化的飞速发展，特别是计算机技术与通信技术相结合而诞生的计算机互联网的发展和广泛应用，它打破了传统的时间和空间的限制，极大的改变了人们的工作方式和生活方式，促进了经济和社会的发展，提高了人们的工作水平和生活质量。根据中国互联网络信息中心（CNNIC）2013年7月发布的《中国互联网络发展状况统计报告（2013年7月）》，截至2013年6月底，我国网民规模达5.91亿，较2012年底增加2656万人。互联网普及率为44.1%，较2012年底提升了2.0个百分点，其中手机网民规模达4.64亿，较2012 年底增加4379万人，网民中使用手机上网的人群占比提升至78.5%。手机上网成为互联网发展的新动力：一方面，手机上网的发展推动了中国互联网的普及，尤其为受网络、终端等限制而无法接入的人群和地区提供了使用互联网的可能性。另一方面，手机上网推动了互联网经济新的增长，基于移动互联网的创新热潮为传统互联网类业务提供了新的商业模式和发展空间，网络即时通信网民规模迅速增加，电子商务类应用使用率上升。以上数据充分说明，信息技术已经与人们的日常工作、学习和生活息息相关。在信息化日益普及的今天，伴随着信息技术的广泛应用，当前，信息资源不仅成为人们日常工作、学习、生活中的基础资源，而且日益成为国家和社会发展的重要战略资源。国际上围绕信息的获取、使用和控制的斗争愈演愈烈，信息安全成为维护国家安全和社会稳定的一个焦点，各国都给以极大的关注和投入。在我国，与信息技术被广泛应用形成鲜明对比的是信息安全问题日益突出，目前，我国已经成为信息安全事件的主要受害国之一。中国互联网络信息中心（CNNIC）2012 年 10 月发布的《2012 年中国网民信息安全状况研究报告》表明，虽然多年来我国不断加强信息安全的治理工作，但信息安全问题仍然十分严重，新型的信息安全事件不断出现，且迅速向更多网民蔓延，导致信息安全事件的情境日益多样复杂化，信息安全所引起的直接经济损失已达到很大规模，发起信息安全事件的因素已从此前的好奇心理升级为明显的逐利性，经济利益链条已然形成，信息安全事件中所涉及的信息类型、危害类型越来越多，且日益深入涉及网民的隐私，潜在的后果更严重。与此同时，我国的广大网民缺乏关于信息安全的知识，对信息安全的危害性并不清晰，采取的信息安全保护措施还未达到较好的水平，很多人并不具备处理信息安全事件的能力。根据以上分析，信息安全已成为亟待解决、影响国家大局和长远利益的重大关键问题，它不但是发挥信息革命带来的高效率、高效益的有力保证，而且是抵御信息侵略的重要屏障，信息安全保障能力是 21 世纪综合国力、经济竞争实力和生存能力的重要组成部分，是世纪之交世界各国都在奋力攀登的制高点。从大的方面来说，信息安全问题已威胁到国家的政治、经济和国防等领域。从小的方面来说，信息安全问题已威胁到个人的隐私能否得到保障。因此，信息安全已成为社会稳定安全的必要前提条件。信息安全问题全方位地影响我国的政治、军事、经济、文化、社会生活的各个方面，如果解决不好将使国家处于信息战和高度经济金融风险的威胁之中。信息安全不仅要保证信息的保密性、完整性，也就是关注信息自身的安全，防止偶然的

或未授权者对信息的恶意泄露、修改和破坏，从而导致信息的泄密或被非法使用等问题，而且还要保证信息的可用性、可控性，保证人们对信息资源的有效使用和管理。 1.2信息与信息技术在人类社会的早期，人们对信息的认识比较肤浅而模糊，对信息的含义没有明确的定义。到了20世纪特别是中期以后，随着科学技术的发展，特别是信息科学技术的发展，对人类社会产生了深刻的影响，迫使人们开始探讨信息的准确含义。信息论是20世纪40年代后期从长期通讯实践中总结出来的一门学科，是专门研究信息的有效处理和可靠传输的一般规律的科学。信息是系统传输和处理的对象，它载荷于语言、文字、数据、图像、影视、信号等之中，要研究信息处理和传输的规律，首先要对信息进行定量的描述，即信息的度量，这是信息论研究的出发点。但要对通常含义下的信息（如知识、情报、消息等)给出一个统一的度量是困难的，因为它涉及客观和主观两个标准，而迄今为止最成功、应用最广泛的是建立在概率模型基础上的信息度量，进而建立在此种信息量基础上的信息论成功地解决了信息处理和可靠传输中的一系列理论问题。 1.2.1信息 1、信息的定义 1928年，L.V.R.Hartley在Bell System Technical Journal.上发表了一篇题为Transmission of Information的论文，在这篇论文中，他把信息理解为选择通信符号的方式，且用选择的自由度来计量这种信息的大小。Hartley认为，任何通信系统的发信端总有一个字母表（或符号表)，发信者所发出的信息，就是他在通信符号表中选择符号的具体方式。假设这个符号表中一共有$个不同的符号，发送信息选定的符号序列包含N个符号，则从这个符号表中共有S种不同的选择方式，因而可以形成S个长度为N的序列。因此，就可以把发信者产生信息的过程看成是从S个不同的序列中选定一个特定序列的过程，或者说是排除其他序列的过程。 Hartley的这种理解在一定程度上解释了通信工程中的一些信息问题，但也存在一些严重的局限性。主要表现在：一方面，他所定义的信息不涉及内容和价值，只考虑选择的方式，也没有考虑到信息的统计性质：另一方面，将信息理解为选择的方式，就必须有一个选择的主题作为限制条件。这些缺点使它的适用范围受到很大的限制。 1948年，美国数学家C.E.Shannon在Bell System Technical Journal上发表了一篇题为A Mathematical Theory of Communication的论文，在对信息的认识方面取得了重大突破，堪称信息论的创始人。这篇论文以概率论为基础，深刻阐述了通信工程的一系列基本理论问题，给出了计算信源信息量和信道容量的方法和一般公式，得到了著名的编码三大定理，为现代通信技术的发展奠定了理论基础。 Shannon指出，通信系统所处理的信息在本质上都是随机的，可以用统计方法进行处理。 Shannon在进行信息的定量计算的时候，明确地把信息量定义为随机不定性程度的减少，这就表明了他对信息的理解是：信息是用来减少随机不定性的东西。虽然Shannon的信息概念比以往的认识有了巨大的进步，但仍存在局限性，这一概念同样没有包含信息的内容和价值，只考虑了随机型的不定性，没有从根本上回答“信息是什么” 的问题。 1948年，就在Shannon创立信息论的同时，N.Wiener出版了专著Cybernetics:Control and communication in the animal and the machine,创建了控制论，一门新的学科由此诞生。 Wiener从控制论的角度出发，认为“信息是人们在适应外部世界，并且这种适应反作用于外部世界的过程中，同外部世界进行互相交换的内容的名称”。Wiener关于信息的定义包含了信息的内容与价值，从动态的角度揭示了信息的功能与范围，但也有局限性。由于人们在与外部世界的相互作用过程中，同时也存在着物质与能量的交换，Wiener关于信息的定义没有将信息与物质、能量区别开来。 1975年，意大利学者G.Longo在Information theory:new trends and open problems一书的序言中认为“信息是反映事物的形式、关系和差别的东西。它包含在事物的差异之中，而不在事物本身”。当然，“有差异就是信息”的观点是正确的，但是反过来说“没有差异就没

3 或未授权者对信息的恶意泄露、修改和破坏，从而导致信息的泄密或被非法使用等问题，而且还要保证信息的可用性、可控性，保证人们对信息资源的有效使用和管理。 1.2 信息与信息技术在人类社会的早期，人们对信息的认识比较肤浅而模糊，对信息的含义没有明确的定义。到了 20 世纪特别是中期以后，随着科学技术的发展，特别是信息科学技术的发展，对人类社会产生了深刻的影响，迫使人们开始探讨信息的准确含义。信息论是 20 世纪 40 年代后期从长期通讯实践中总结出来的一门学科，是专门研究信息的有效处理和可靠传输的一般规律的科学。信息是系统传输和处理的对象，它载荷于语言、文字、数据、图像、影视、信号等之中，要研究信息处理和传输的规律，首先要对信息进行定量的描述，即信息的度量，这是信息论研究的出发点。但要对通常含义下的信息（如知识、情报、消息等）给出一个统一的度量是困难的，因为它涉及客观和主观两个标准，而迄今为止最成功、应用最广泛的是建立在概率模型基础上的信息度量，进而建立在此种信息量基础上的信息论成功地解决了信息处理和可靠传输中的一系列理论问题。 1.2.1 信息 1、信息的定义 1928 年， L.V. R. Hartley 在 Bell System Technical Journal 上发表了一篇题为 Transmission of Information 的论文，在这篇论文中，他把信息理解为选择通信符号的方式，且用选择的自由度来计量这种信息的大小。Hartley 认为，任何通信系统的发信端总有一个字母表（或符号表），发信者所发出的信息，就是他在通信符号表中选择符号的具体方式。假设这个符号表中一共有 S 个不同的符号，发送信息选定的符号序列包含 N 个符号，则从这个符号表中共有 N S 种不同的选择方式，因而可以形成 N S 个长度为 N 的序列。因此，就可以把发信者产生信息的过程看成是从 N S 个不同的序列中选定一个特定序列的过程，或者说是排除其他序列的过程。 Hartley 的这种理解在一定程度上解释了通信工程中的一些信息问题，但也存在一些严重的局限性。主要表现在：一方面，他所定义的信息不涉及内容和价值，只考虑选择的方式，也没有考虑到信息的统计性质；另一方面，将信息理解为选择的方式，就必须有一个选择的主题作为限制条件。这些缺点使它的适用范围受到很大的限制。 1948 年，美国数学家 C. E. Shannon 在 Bell System Technical Journal 上发表了一篇题为 A Mathematical Theory of Communication 的论文，在对信息的认识方面取得了重大突破，堪称信息论的创始人。这篇论文以概率论为基础，深刻阐述了通信工程的一系列基本理论问题，给出了计算信源信息量和信道容量的方法和一般公式，得到了著名的编码三大定理，为现代通信技术的发展奠定了理论基础。 Shannon 指出，通信系统所处理的信息在本质上都是随机的，可以用统计方法进行处理。 Shannon 在进行信息的定量计算的时候，明确地把信息量定义为随机不定性程度的减少，这就表明了他对信息的理解是：信息是用来减少随机不定性的东西。虽然 Shannon 的信息概念比以往的认识有了巨大的进步，但仍存在局限性，这一概念同样没有包含信息的内容和价值，只考虑了随机型的不定性，没有从根本上回答“信息是什么” 的问题。 1948 年，就在 Shannon 创立信息论的同时， N. Wiener 出版了专著 Cybernetics: Control and communication in the animal and the machine，创建了控制论，一门新的学科由此诞生。 Wiener 从控制论的角度出发，认为“信息是人们在适应外部世界，并且这种适应反作用于外部世界的过程中，同外部世界进行互相交换的内容的名称”。Wiener 关于信息的定义包含了信息的内容与价值，从动态的角度揭示了信息的功能与范围，但也有局限性。由于人们在与外部世界的相互作用过程中，同时也存在着物质与能量的交换，Wiener 关于信息的定义没有将信息与物质、能量区别开来。 1975 年，意大利学者 G. Longo 在 Information theory : new trends and open problems 一书的序言中认为“信息是反映事物的形式、关系和差别的东西。它包含在事物的差异之中，而不在事物本身”。当然，“有差异就是信息”的观点是正确的，但是反过来说“没有差异就没