信息安全技術培訓2013.8信息安全技術培訓2013.81內容摘要概念信息安全趨勢信息安全體系信息安全管理信息安全技術信息安全審計內容摘要概念2概念什么是信息？有意義的內容敏感信息：對企業正常發展具有影響作用，不論是否屬于有用信息。信息資產對企業具有價值的信息，稱為信息資產包括商業秘密、文檔、文件、圖紙、數據專利、標準、管理制度等。信息是有等級的概念什么是信息？3概念信息安全信息是一種資產，就如同其他的商業資產一樣，對一個組織而言是具有價值的，因而需要妥善保護信息安全包括：應用安全和物理安全應用安全：操作系統安全、數據庫安全、網絡安全、病毒防護、訪問控制、加密與鑒別物理安全：環境安全、設備安全、媒體安全概念信息安全4概念信息安全的3要素：CIAConfidentiality,Integrity,Availability保密性、完整性、可用性概念信息安全的3要素：CIA5概念保證信息只能夠由得到授權的人訪問。舉例：公司產品代碼不被惡意泄漏；商務合同、報價、客戶信息不被披露保證信息的正確性及不被非授權篡改和刪除。舉例：計費紀錄被惡意修改；交易信息被刪除；公司主頁被篡改；日志文件被刪除保證經授權的用戶當需要訪問信息的時候就能夠訪問到。舉例：如果公司的業務被拒絕服務造成網絡中斷，用戶無法使用我們的業務。完整性保密性可用性信息安全概念保證信息只能夠由得到授權的人訪問。保證信息的正確性及不被6信息安全趨勢世界各國紛紛加強網絡戰備，網絡空間劍拔駑張關鍵信息基礎設施安全狀況堪憂，國家安全面臨挑戰新興技術應用范圍日益拓展，安全威脅將持續加大移動互聯網、下一代互聯網、物聯網和大數據網絡犯罪技術方式不斷革新，安全防范面臨嚴峻挑戰基于云服務器的自動化攻擊、彩虹表、入侵Android、WIFI的MS-CHAPv2身份驗證協議的攻擊網絡安全損失日趨嚴重，影響程度將進一步加劇信息安全趨勢世界各國紛紛加強網絡戰備，網絡空間劍拔駑張72013年十大信息安全趨勢預測1國家級網絡信息安全戰略有望出臺2中國網絡安全產業與國外差距縮小3運營商安全防護走向集中化4云計算安全防護方案逐步落地5云安全SaaS市場將爆發式增長6移動智能終端惡意程序逐漸增加7企業級移動安全市場進入“井噴期”8大數據與安全技術走向融合9社會工程攻擊威脅增多10增值業務安全成新難點2013年十大信息安全趨勢預測1國家級網絡信息安全戰略有望出8信息安全體系信息安全體系9信息安全體系信息安全體系10信息安全管理三分技術、七分管理信息安全管理三分技術、七分管理11信息安全管理對人的管控是最難也是最容易忽視的信息安全管理對人的管控是最難也是最容易忽視的12信息安全管理－全民皆兵以企業為目標的攻擊威脅數字上升；

攻擊工具的普及使網路罪行較以往變得更輕易；基于網站的攻擊有增無減；針對個人身份資訊的安全威脅持續增長。垃圾郵件持續泛濫；信息安全就在我們身邊！信息安全需要我們每個人的參與！信息安全管理－全民皆兵以企業為目標的攻擊威脅數字上升；13信息安全技術培訓14物理安全計算機使用的安全網絡訪問的安全社會工程學病毒和惡意代碼賬號安全電子郵件安全重要信息的保密應急響應文件分類分級使用過的重要文件及時銷毀，不要扔在廢紙簍里，也不要重復利用不在電話中說工作敏感信息，電話回叫要確認身份不隨意下載安裝軟件，防止惡意程序、病毒及后門等黑客程序前來拜訪的外來人員應做身份驗證（登記），見到未佩戴身份識別卡的人應主動詢問加強對移動計算機的安全保護，防止丟失；重要文件做好備份如何實現信息安全？物理安全文件分類分級如何實現信息安全？15信息安全管理制度和法律法規原則上外來設備不允許接入公司內部網絡，如有業務需要，需申請審批通過后方可使用。外來設備包括外部人員帶到公司的筆記本電腦、演示機、測試機等。公司內計算機嚴格限制使用包括移動硬盤、U盤、MP3、帶存儲卡的設備等的移動存儲設備，除工作必須要長期使用移動存儲的可申請開通外，公司內的計算機禁止使用移動存儲設備。公司內嚴禁使用盜版軟件和破解工具，如有工作需要，應通過公司采購正版軟件或使用免費軟件不經批準，嚴禁在公司內部架設FTP，DHCP，DNS等服務器研發用機未經批準，嚴禁轉移到公司辦公網絡、或將辦公電腦轉移到研發內網使用?！堆邪l規定》任何部門和個人不得私自將包括HUB、交換機、路由器等的網絡設備接入公司網絡中。原則上不得使用網絡共享，如因工作原因需要使用的，必須遵循最小化授權原則，刪除給所有人(everyone)的共享權限，只共享給需要訪問的人員，并且在使用后立即關閉。信息安全管理制度和法律法規原則上外來設備不允許接入公司內部網16信息安全管理制度和法律法規發現中毒后要斷開網絡，并及時報告IT服務熱線，等待IT工程師來處理嚴禁使用掃描工具對網絡進行掃描和在網絡使用黑客工具不得以任何方式將公司信息（包括網絡拓撲、IP地址、安全策略、帳號，口令等）告知不相關的人員內部計算機的操作系統、IIS,數據庫、FTP以及所有企業應用（如電子郵件系統、即時通訊工具等）中，必須設置用戶口令，嚴禁使用空口令、弱口令或缺省口令。一經發現將被行政處罰。口令長度應在8個字符以上，還應包括大小寫字母，特殊符號和數字。口令應該在三個月內更換,重要的和使用頻繁的口令視情況縮短更改周期。不允許使用前3次用過的口令。嚴禁卸載或關閉安全防護軟件和防病毒軟件，如有系統補丁必須及時安裝。離開電腦要鎖屏。信息安全管理制度和法律法規發現中毒后要斷開網絡，并及時報告I17信息安全管理制度和法律法規系統保護中華人民共和國計算機信息系統安全保護條例計算機信息網絡國際聯網安全保護管理辦法安全產品商用密碼管理條例國家秘密中華人民共和國保守國家秘密法計算機信息系統國際聯網保密管理規定知識產權中華人民共和國著作權法最高人民法院關于審理涉及計算機網絡著作權糾紛案件適用法律若干問題的解釋計算機軟件保護條例中華人民共和國專利法計算機犯罪中華人民共和國刑法（摘錄）網絡犯罪的法律問題研究電子證據中華人民共和國電子簽名法電子認證服務管理辦法信息安全管理制度和法律法規系統保護18信息安全技術信息保密技術數字簽名技術密鑰管理技術信息隱藏技術消息認證技術計算機病毒物理安全操作系統安全網絡安全協議應用層安全技術網絡攻擊技術網絡防御技術信息安全技術信息保密技術物理安全19信息安全技術密碼學的發展簡史密碼學中的基本術語古典密碼對稱密碼體制序列密碼分組密碼數據加密標準——DES非對稱密碼體制RSA密碼算法Diffie-Hellman密鑰交換算法ElGamal加密算法信息安全技術密碼學的發展簡史20信息安全技術密碼算法可分為對稱密碼算法(SymmetricCryptographicAlgorithms)和非對稱密碼算法(Public-KeyCryptographicAlgorithms)對稱密碼算法的特點是加密和解密必須是同一密鑰，如DES和IDEA等非對稱密碼算法將加密密鑰與解密密鑰區分開來，且由加密密鑰事實上求不出解密密鑰。這樣一個實體只需公開其加密密鑰(稱公鑰，解密密鑰稱私鑰)即可，實體之間就可以進行秘密通信，而不象對稱密碼算法似的在通信之前先得秘密傳遞密鑰。信息安全技術密碼算法可分為對稱密碼算法(Symmetric21信息安全技術對稱密碼技術具有加密速度快、運行時占用資源少等特點。但需要在一個受限組內共享密鑰并同時維護其保密性非對稱密碼技術加密速度慢、占用資源多。一般來說，并不直接使用非對稱加密算法加密明文，而僅用它保護實際加密明文的對稱密鑰，即所謂的數字信封（DigitalEnvelope）技術。信息安全技術對稱密碼技術具有加密速度快、運行時占用資源少等特22信息安全技術非對稱密碼技術，即公開密鑰密碼體制中，加密密鑰（即公開密鑰）PK是公開信息，而解密密鑰（即秘密密鑰）SK是需要保密的。加密算法E和解密算法D也都是公開的。雖然秘密密鑰SK是由公開密鑰PK決定的，但卻不能根據PK計算出SK。正是基于這種理論，1978年出現了著名的RSA算法，它通常是先生成一對RSA密鑰，其中之一是保密密鑰，由用戶保存；另一個為公開密鑰，可對外公開。為提高保密強度，RSA密鑰至少為500位長，一般推薦使用1024位。這就使加密的計算量很大。為減少計算量，在傳送信息時，常采用傳統加密方法與公開密鑰加密方法相結合的方式，即信息采用改進的DES或IDEA對話密鑰加密，然后使用RSA密鑰加密對話密鑰和信息摘要。對方收到信息后，用不同的密鑰解密并可核對信息摘要。信息安全技術非對稱密碼技術，即公開密鑰密碼體制中，加密密鑰（23信息安全技術數據加解密（PKI傳遞密鑰防竊聽）信息安全技術數據加解密（PKI傳遞密鑰防竊聽）24信息安全技術數字簽名（PKI傳遞簽名防篡改偽造）信息安全技術數字簽名（PKI傳遞簽名防篡改偽造）25信息安全技術PKI體系信息安全技術PKI體系26信息安全技術PMI體系授權管理基礎設施PMI(PrivilegeManagementInfrastructure)是國家信息安全基礎設施(NationalInformationSecurityInfrastructure，NISI)的一個重要組成部分，目標是向用戶和應用程序提供授權管理服務，提供用戶身份到應用授權的映射功能，提供與實際應用處理模式相對應的、與具體應用系統開發和管理無關的授權和訪問控制機制，簡化具體應用系統的開發與維護。授權管理基礎設施PMI是一個屬性證書、屬性權威、屬性證書庫等部件構成的綜合系統，用來實現權限和證書的產生、管理、存儲、分發和撤銷等功能。PMI使用屬性證書表示和容納權限信息，通過管理證書的生命周期實現對權限生命周期的管理。屬性證書的申請，簽發，注銷，驗證流程對應著權限的申請，發放，撤消，使用和驗證的過程。而且，使用屬性證書進行權限管理方式使得權限的管理不必依賴某個具體的應用，而且利于權限的安全分布式應用。

PMI以資源管理為核心，對資源的訪問控制權統一交由授權機構統一處理，即由資源的所有者來進行訪問控制。同公鑰基礎設施PKI相比，兩者主要區別在于：PKI證明用戶是誰，而PMI證明這個用戶有什么權限，能干什么，而且授權管理基礎設施PMI需要公鑰基礎設施PKI為其提供身份認證。PMI與PKI在結構上是非常相似的。信任的基礎都是有關權威機構，由他們決定建立身份認證系統和屬性特權機構。在PKI中，由有關部門建立并管理根CA，下設各級CA、RA和其它機構；在PMI中，由有關部門建立授權源SOA，下設分布式的AA和其它機構。信息安全技術PMI體系27信息安全技術信息隱藏的發展歷史信息隱藏的基本原理信息隱藏的算法數字水印隱通道技術匿名通信技術匿名通信的概念匿名通信技術的分類重路由匿名通信系統廣播式和組播式路由匿名通信信息安全技術信息隱藏的發展歷史28信息安全技術消息認證技術Hash函數完整性檢驗的一般方法消息認證碼MD5算法SHA-1算法Hash函數的攻擊分析信息安全技術消息認證技術29信息安全技術物理安全環境安全機房安全設計機房環境安全措施設備安全訪問控制技術防復制技術硬件防輻射技術通信線路安全技術媒體安全數據備份數據備份的常用方法磁盤陣列(RAID)技術簡介信息安全技術物理安全30信息安全技術操作系統安全系統漏洞Windows系統安全模型Windows注冊表安全windows帳號與密碼Windows2000安全策略Windows系統的其他安全措施信息安全技術操作系統安全31信息安全技術網絡安全協議TCP/IP協議簇網絡安全協議應用層的安全協議傳輸層的安全協議網絡層的安全協議網絡接口層的安全協議SSL協議IPSec協議信息安全技術網絡安全協議32信息安全技術應用層安全技術Web安全技術電子郵件安全技術身份認證技術PKI技術PKI技術概述PKI的組成數字證書信息安全技術應用層安全技術33信息安全技術網絡攻擊技術信息收集技術網絡踩點網絡掃描網絡監聽攻擊實施技術社會工程學攻擊口令攻擊漏洞攻擊欺騙攻擊拒絕服務攻擊隱身鞏固技術網絡隱藏技術設置代理跳板清除日志留后門信息安全技術網絡攻擊技術34信息安全技術網絡防御技術防火墻技術FW入侵檢測技術IDS(IntrusionDetectionSystems)計算機取證技術蜜罐技術入侵防御技術IPS(IntrusionPreventionSystem)防病毒網關AV(AntiVirus)統一威脅管理(UnifiedThreatManagement)UTM安全網關信息安全技術網絡防御技術35信息安全技術計算機病毒計算機病毒概述計算機病毒的發展歷史計算機病毒的特征計算機病毒的基本結構計算機病毒的基本原理引導型病毒文件型病毒宏病毒腳本病毒蠕蟲病毒反病毒技術典型病毒的特征及清除方法信息安全技術計算機病毒36信息安全技術網絡隔離技術與網閘應用網絡隔離的技術原理網絡隔離的技術分類網絡隔離的安全要點隔離網閘信息安全技術網絡隔離技術與網閘應用37信息安全技術漏洞檢測技術和微軟系統漏洞檢測工具MBSA入侵攻擊可利用的系統漏洞類型漏洞檢測技術分類漏洞檢測的基本要點微軟系統漏洞檢測工具MBSA信息安全技術漏洞檢測技術和微軟系統漏洞檢測工具MBSA38信息安全技術訪問控制技術訪問控制的功能訪問控制實現的策略訪問控制的類型基于對象的訪問控制模型基于任務的訪問控制模型基于角色的訪問控制模型信息安全技術訪問控制技術39信息安全技術準入控制技術NAC網絡準入控制技術通常包括：802.1x準入控制DHCP準入控制網關型準入控制ARP型準入控制portal型準入信息安全技術準入控制技術NAC40信息安全技術上網行為管理網頁訪問過濾網絡應用控制帶寬流量管理信息收發審計用戶行為分析信息安全技術上網行為管理41信息安全技術身份認證技術認證方法靜態密碼智能卡短信密碼動態口令數字簽名生物識別信息安全技術身份認證技術42信息安全技術VPN技術安全機制，如隧道技術（Tunneling）、加解密技術（Encryption）、密鑰管理技術、身份認證技術（Authentication）GREPPTPL2TPIPSecAH、ESPIKE信息安全技術VPN技術43信息安全審計意義☆揭示信息安全風險的最佳手段☆改進信息安全現狀的有效途徑☆滿足信息安全合規要求的有力武器審計內容信息安全組織機構 信息安全需求管理 信息安全制度建設信息科技風險管理 信息安全意識教育和培訓 信息資產管理 信息安全事件管理 應急和業務連續性管理 IT外包安全管理 業務機密保護 存儲介質管理 人員安全管理 物理安全 系統安全 網絡安全 數據庫安全 源代碼安全 應用安全信息安全審計意義44謝謝！謝謝！45信息安全技術培訓2013.8信息安全技術培訓2013.846內容摘要概念信息安全趨勢信息安全體系信息安全管理信息安全技術信息安全審計內容摘要概念47概念什么是信息？有意義的內容敏感信息：對企業正常發展具有影響作用，不論是否屬于有用信息。信息資產對企業具有價值的信息，稱為信息資產包括商業秘密、文檔、文件、圖紙、數據專利、標準、管理制度等。信息是有等級的概念什么是信息？48概念信息安全信息是一種資產，就如同其他的商業資產一樣，對一個組織而言是具有價值的，因而需要妥善保護信息安全包括：應用安全和物理安全應用安全：操作系統安全、數據庫安全、網絡安全、病毒防護、訪問控制、加密與鑒別物理安全：環境安全、設備安全、媒體安全概念信息安全49概念信息安全的3要素：CIAConfidentiality,Integrity,Availability保密性、完整性、可用性概念信息安全的3要素：CIA50概念保證信息只能夠由得到授權的人訪問。舉例：公司產品代碼不被惡意泄漏；商務合同、報價、客戶信息不被披露保證信息的正確性及不被非授權篡改和刪除。舉例：計費紀錄被惡意修改；交易信息被刪除；公司主頁被篡改；日志文件被刪除保證經授權的用戶當需要訪問信息的時候就能夠訪問到。舉例：如果公司的業務被拒絕服務造成網絡中斷，用戶無法使用我們的業務。完整性保密性可用性信息安全概念保證信息只能夠由得到授權的人訪問。保證信息的正確性及不被51信息安全趨勢世界各國紛紛加強網絡戰備，網絡空間劍拔駑張關鍵信息基礎設施安全狀況堪憂，國家安全面臨挑戰新興技術應用范圍日益拓展，安全威脅將持續加大移動互聯網、下一代互聯網、物聯網和大數據網絡犯罪技術方式不斷革新，安全防范面臨嚴峻挑戰基于云服務器的自動化攻擊、彩虹表、入侵Android、WIFI的MS-CHAPv2身份驗證協議的攻擊網絡安全損失日趨嚴重，影響程度將進一步加劇信息安全趨勢世界各國紛紛加強網絡戰備，網絡空間劍拔駑張522013年十大信息安全趨勢預測1國家級網絡信息安全戰略有望出臺2中國網絡安全產業與國外差距縮小3運營商安全防護走向集中化4云計算安全防護方案逐步落地5云安全SaaS市場將爆發式增長6移動智能終端惡意程序逐漸增加7企業級移動安全市場進入“井噴期”8大數據與安全技術走向融合9社會工程攻擊威脅增多10增值業務安全成新難點2013年十大信息安全趨勢預測1國家級網絡信息安全戰略有望出53信息安全體系信息安全體系54信息安全體系信息安全體系55信息安全管理三分技術、七分管理信息安全管理三分技術、七分管理56信息安全管理對人的管控是最難也是最容易忽視的信息安全管理對人的管控是最難也是最容易忽視的57信息安全管理－全民皆兵以企業為目標的攻擊威脅數字上升；

攻擊工具的普及使網路罪行較以往變得更輕易；基于網站的攻擊有增無減；針對個人身份資訊的安全威脅持續增長。垃圾郵件持續泛濫；信息安全就在我們身邊！信息安全需要我們每個人的參與！信息安全管理－全民皆兵以企業為目標的攻擊威脅數字上升；58信息安全技術培訓59物理安全計算機使用的安全網絡訪問的安全社會工程學病毒和惡意代碼賬號安全電子郵件安全重要信息的保密應急響應文件分類分級使用過的重要文件及時銷毀，不要扔在廢紙簍里，也不要重復利用不在電話中說工作敏感信息，電話回叫要確認身份不隨意下載安裝軟件，防止惡意程序、病毒及后門等黑客程序前來拜訪的外來人員應做身份驗證（登記），見到未佩戴身份識別卡的人應主動詢問加強對移動計算機的安全保護，防止丟失；重要文件做好備份如何實現信息安全？物理安全文件分類分級如何實現信息安全？60信息安全管理制度和法律法規原則上外來設備不允許接入公司內部網絡，如有業務需要，需申請審批通過后方可使用。外來設備包括外部人員帶到公司的筆記本電腦、演示機、測試機等。公司內計算機嚴格限制使用包括移動硬盤、U盤、MP3、帶存儲卡的設備等的移動存儲設備，除工作必須要長期使用移動存儲的可申請開通外，公司內的計算機禁止使用移動存儲設備。公司內嚴禁使用盜版軟件和破解工具，如有工作需要，應通過公司采購正版軟件或使用免費軟件不經批準，嚴禁在公司內部架設FTP，DHCP，DNS等服務器研發用機未經批準，嚴禁轉移到公司辦公網絡、或將辦公電腦轉移到研發內網使用?！堆邪l規定》任何部門和個人不得私自將包括HUB、交換機、路由器等的網絡設備接入公司網絡中。原則上不得使用網絡共享，如因工作原因需要使用的，必須遵循最小化授權原則，刪除給所有人(everyone)的共享權限，只共享給需要訪問的人員，并且在使用后立即關閉。信息安全管理制度和法律法規原則上外來設備不允許接入公司內部網61信息安全管理制度和法律法規發現中毒后要斷開網絡，并及時報告IT服務熱線，等待IT工程師來處理嚴禁使用掃描工具對網絡進行掃描和在網絡使用黑客工具不得以任何方式將公司信息（包括網絡拓撲、IP地址、安全策略、帳號，口令等）告知不相關的人員內部計算機的操作系統、IIS,數據庫、FTP以及所有企業應用（如電子郵件系統、即時通訊工具等）中，必須設置用戶口令，嚴禁使用空口令、弱口令或缺省口令。一經發現將被行政處罰?？诹铋L度應在8個字符以上，還應包括大小寫字母，特殊符號和數字?？诹顟撛谌齻€月內更換,重要的和使用頻繁的口令視情況縮短更改周期。不允許使用前3次用過的口令。嚴禁卸載或關閉安全防護軟件和防病毒軟件，如有系統補丁必須及時安裝。離開電腦要鎖屏。信息安全管理制度和法律法規發現中毒后要斷開網絡，并及時報告I62信息安全管理制度和法律法規系統保護中華人民共和國計算機信息系統安全保護條例計算機信息網絡國際聯網安全保護管理辦法安全產品商用密碼管理條例國家秘密中華人民共和國保守國家秘密法計算機信息系統國際聯網保密管理規定知識產權中華人民共和國著作權法最高人民法院關于審理涉及計算機網絡著作權糾紛案件適用法律若干問題的解釋計算機軟件保護條例中華人民共和國專利法計算機犯罪中華人民共和國刑法（摘錄）網絡犯罪的法律問題研究電子證據中華人民共和國電子簽名法電子認證服務管理辦法信息安全管理制度和法律法規系統保護63信息安全技術信息保密技術數字簽名技術密鑰管理技術信息隱藏技術消息認證技術計算機病毒物理安全操作系統安全網絡安全協議應用層安全技術網絡攻擊技術網絡防御技術信息安全技術信息保密技術物理安全64信息安全技術密碼學的發展簡史密碼學中的基本術語古典密碼對稱密碼體制序列密碼分組密碼數據加密標準——DES非對稱密碼體制RSA密碼算法Diffie-Hellman密鑰交換算法ElGamal加密算法信息安全技術密碼學的發展簡史65信息安全技術密碼算法可分為對稱密碼算法(SymmetricCryptographicAlgorithms)和非對稱密碼算法(Public-KeyCryptographicAlgorithms)對稱密碼算法的特點是加密和解密必須是同一密鑰，如DES和IDEA等非對稱密碼算法將加密密鑰與解密密鑰區分開來，且由加密密鑰事實上求不出解密密鑰。這樣一個實體只需公開其加密密鑰(稱公鑰，解密密鑰稱私鑰)即可，實體之間就可以進行秘密通信，而不象對稱密碼算法似的在通信之前先得秘密傳遞密鑰。信息安全技術密碼算法可分為對稱密碼算法(Symmetric66信息安全技術對稱密碼技術具有加密速度快、運行時占用資源少等特點。但需要在一個受限組內共享密鑰并同時維護其保密性非對稱密碼技術加密速度慢、占用資源多。一般來說，并不直接使用非對稱加密算法加密明文，而僅用它保護實際加密明文的對稱密鑰，即所謂的數字信封（DigitalEnvelope）技術。信息安全技術對稱密碼技術具有加密速度快、運行時占用資源少等特67信息安全技術非對稱密碼技術，即公開密鑰密碼體制中，加密密鑰（即公開密鑰）PK是公開信息，而解密密鑰（即秘密密鑰）SK是需要保密的。加密算法E和解密算法D也都是公開的。雖然秘密密鑰SK是由公開密鑰PK決定的，但卻不能根據PK計算出SK。正是基于這種理論，1978年出現了著名的RSA算法，它通常是先生成一對RSA密鑰，其中之一是保密密鑰，由用戶保存；另一個為公開密鑰，可對外公開。為提高保密強度，RSA密鑰至少為500位長，一般推薦使用1024位。這就使加密的計算量很大。為減少計算量，在傳送信息時，常采用傳統加密方法與公開密鑰加密方法相結合的方式，即信息采用改進的DES或IDEA對話密鑰加密，然后使用RSA密鑰加密對話密鑰和信息摘要。對方收到信息后，用不同的密鑰解密并可核對信息摘要。信息安全技術非對稱密碼技術，即公開密鑰密碼體制中，加密密鑰（68信息安全技術數據加解密（PKI傳遞密鑰防竊聽）信息安全技術數據加解密（PKI傳遞密鑰防竊聽）69信息安全技術數字簽名（PKI傳遞簽名防篡改偽造）信息安全技術數字簽名（PKI傳遞簽名防篡改偽造）70信息安全技術PKI體系信息安全技術PKI體系71信息安全技術PMI體系授權管理基礎設施PMI(PrivilegeManagementInfrastructure)是國家信息安全基礎設施(NationalInformationSecurityInfrastructure，NISI)的一個重要組成部分，目標是向用戶和應用程序提供授權管理服務，提供用戶身份到應用授權的映射功能，提供與實際應用處理模式相對應的、與具體應用系統開發和管理無關的授權和訪問控制機制，簡化具體應用系統的開發與維護。授權管理基礎設施PMI是一個屬性證書、屬性權威、屬性證書庫等部件構成的綜合系統，用來實現權限和證書的產生、管理、存儲、分發和撤銷等功能。PMI使用屬性證書表示和容納權限信息，通過管理證書的生命周期實現對權限生命周期的管理。屬性證書的申請，簽發，注銷，驗證流程對應著權限的申請，發放，撤消，使用和驗證的過程。而且，使用屬性證書進行權限管理方式使得權限的管理不必依賴某個具體的應用，而且利于權限的安全分布式應用。

PMI以資源管理為核心，對資源的訪問控制權統一交由授權機構統一處理，即由資源的所有者來進行訪問控制。同公鑰基礎設施PKI相比，兩者主要區別在于：PKI證明用戶是誰，而PMI證明這個用戶有什么權限，能干什么，而且授權管理基礎設施PMI需要公鑰基礎設施PKI為其提供身份認證。PMI與PKI在結構上是非常相似的。信任的基礎都是有關權威機構，由他們決定建立身份認證系統和屬性特權機構。在PKI中，由有關部門建立并管理根CA，下設各級CA、RA和其它機構；在PMI中，由有關部門建立授權源SOA，下設分布式的AA和其它機構。信息安全技術PMI體系72信息安全技術信息隱藏的發展歷史信息隱藏的基本原理信息隱藏的算法數字水印隱通道技術匿名通信技術匿名通信的概念匿名通信技術的分類重路由匿名通信系統廣播式和組播式路由匿名通信信息安全技術信息隱藏的發展歷史73信息安全技術消息認證技術Hash函數完整性檢驗的一般方法消息認證碼MD5算法SHA-1算法Hash函數的攻擊分析信息安全技術消息認證技術74信息安全技術物理安全環境安全機房安全設計機房環境安全措施設備安全訪問控制技術防復制技術硬件防輻射技術通信線路安全技術媒體安全數據備份數據備份的常用方法磁盤陣列(RAID)技術簡介信息安全技術物理安全75信息安全技術操作系統安全系統漏洞Windows系統安全模型Windows注冊表安全windows帳號與密碼Windows2000安全策略Windows系統的其他安全措施信息安全技術操作系統安全76信息安全技術網絡安全協議TCP/IP協議簇網絡安全協議應用層的安全協議傳輸層的安全協議網絡層的安全協議網絡接口層的安全協議SSL協議IPSec協議信息安全技術網絡安全協議77信息安全技術應用層安全技術Web安全技術電子郵件安全技術身份認證技術PKI技術PKI技術概述PKI的組成數字證書信息安全技術應用層安全技術78