常畏大网罗，忧祸一旦并。
古人万万不会想到，自己随意的一句诗，千年之后竟变成了现实。网络，给人们带来极大的方便与乐趣，但同时也引起人们的种种忧虑。真真是网事如烟如梦，网事不堪回首，人类网上寻宝觅贝，反落得个自投罗网、网紧人自哀。然而，人毕竟是万物之灵，既然发明了网络，就应该有办法保护网络健康地成长。虽然上帝有否造出一块他自己搬不动的石头仍是一个疑问，但人类依旧会一网情深。
一、网络的忧患：无边落木萧萧下
网上的世界并非是如歌的行板，再平静的海面也有恶浪的时候，再优良的航船如泰坦尼克号也有撞上冰山的危险……网络帝国的忧患亦重重。目前，网络系统的安全主要有几个方面：
网络的物理安全物理安全包括主机硬件和物理线路的安全问题，主要包括如下几方面：
①火灾及自然灾害、辐射等造成的安全问题。
②硬件故障。
③偷窃。偷窃是一个与法律有关的概念。偷窃者所做的就是：如果他们想要什么他们负担不起的东西，他们就把它偷来，例如他们需要钱，他们就会偷点什么东西并把它卖掉，他们想要的在保险箱里，他们偷保险箱。网络安全意义的偷窃包含两方面的含义：如果他们想到偷的信息在计算机里，他们就一方面可以将整台计算机偷走，另一方面通过监视器读取计算机中的信息。
由于偷窃而引起的网络安全涉及保护硬件、软件和存取文件免受偶然的破坏、蓄意的偷窃。
网络安全中的偷窃包括偷窃设备、偷窃信息和偷窃服务等内容。
④废物搜寻。就是在废物（如一些打印出来的材料或废弃的软盘）中搜寻所需要的信息。在微机上，废物搜寻可能包括从未抹掉有用东西的软盘或硬盘上获得未抹掉的存取资料。在主机上，暂存的磁带通常不是直接由用户或系统操作员来抹掉的，他们可能成为攻击者感兴趣的信息。
⑤间谍行为。是一种为了省钱或获取有价值的机密、什么不道德的行为都会采用的商业过程。
⑥身份识别错误。非法建立文件或记录，企图把它们作为有效的、正式生产的文件或记录，如对具有身份鉴别特征的物品如护照、执照、出生证明或加密的安全卡进行伪造，属于身份识别发生错误的范畴。这种行为对网络数据构成了巨大的威胁。
要设置好物理安全，必须控制对系统和它所联接网络的接近，检查一下系统所处的位置，注意阻止未授权用户做如下事情：
进入设备或无关人员接近重要数据源；阅读操作手册、登录指令、配置信息或系统信息；拷贝或拿走磁带、可移动硬盘、光盘或软盘等存储介质；攻击处理品（要将处理品妥善处理）；将笔记本电脑接入内部网络上；坐在工作站前面，访问系统控制台；阅读或拿走打印稿；观看或改变电话等设备，即攻击网络和电话线；在铜缆、光缆、红外线或网络介质上接入网络传输系统。
网络的软件安全软件安全是指网络层面的安全。把计算机联到网络上就会又多出一个新的安全威胁，即网络计算机能被网上的任一台主机攻击或插入物理网络攻击，且网络软件也引入新的威胁，大部分Internet软件协议没有进行安全性的设计，且网络服务器程序经常被超级用户特权来执行，这便造成诸多安全问题。如：信息在网络中传输时的安全问题、网络上的服务器对外提供的服务及其端口设置的安全问题等。主要包含以下几项：
①非授权访问。通过巧妙的避开系统访问控制机制，攻击者或合法用户对网络设备及资源进行非正常使用，擅自扩大权限，访问无权访问的信息，如：非法使用无权使用的网管软件，查看或修改重要的网络数据等。
②假冒主机或用户。网上黑客们非法增加节点，使用假冒主机以欺骗合法用户及主机，使用假冒的网络控制程序（如：特洛伊木马）套取或修改使用权限、密钥、口令等信息，然后利用这些信息冒充合法使用者甚至超级用户进行远程登录，使系统逐渐失去防卫能力。也有的攻击者在发现某个合法用户与某个远程主机或网络建立联接后，通过非法端口或网络协议上的漏洞，接管该合法用户，从而达到欺骗系统、占用合法用户资源的目的。
③对信息完整性的攻击。改变信息流的次序或流向，删除、修改或重发某些重要信息，使对方作出对攻击者有益的响应，或恶意增添大量无用的信息（如：广告、淫秽内容、图片等），干扰系统的正常使用。
④对服务的干扰。不断地对网上的服务实体进行干扰，使其忙碌、执行非服务性操作，系统无法正常使用甚至瘫痪。
网络的系统安全系统安全是指主机操作系统层面的安全，如：系统目录设置、账号口令设置、安全管理设置的安全问题等。主要包含以下几项：
①防止未授权存取。这是计算机安全环节中最重要的问题。未被允许使用系统的人进入系统将造成不良后果。良好的用户意识、良好的口令管理（由系统管理员和用户双方配合）、登录活动的记录和报告及用户和网络活动的周期检查等都是防止未授权存取的关键。
②防止越权使用。据权威机构统计，互联网中发生的攻击事件有70%来自内部攻击，而在系统安全中，一个重要问题是防止有效账号的越权使用，如普通用户越权获取root权限、越过组权限的限制获取其他非法权限进而破坏系统等。
③防止泄密。这也是计算机安全的一个重要问题。防止已授权或未授权的用户相互存取重要信息是计算机安全环节中的一个重要问题。文件系统查账、su记录和报告、用户意识及加密等都是防止泄密的关键。
④防止用户拒绝系统的管理。这一方面的安全应由操作系统来完成。一个好的系统不应被一个有意试图使用过多资源的用户损害。然而不幸的是，UNIX不能很好地限制用户对资源的使用，若不加限制，一个用户甚至能够使用文件系统的整个磁盘空间。系统管理员要经常使用PS命令、记账程序、df和du等命令周期地检查系统，查出过多占用CPU的进程和大量占用磁盘空间的文件。
⑤防止丢失系统统管理员要定期地备份文件系统；系统崩溃后运行fsck检查、修复文件系统；当有新用户时，检测该用户是否具有可能使系统崩溃的软件，同时，保持一个可靠的操作系统，即用户不能经常性地使系统崩溃。
网络的应用安全应用安全主要是指应用软件的安全问题，包括WWW服务的安全、FTP服务的安全等某些具体服务项的安全问题。WWW安全对于电子商务而言可以说是必须特别提出的一个问题，本节主要对电子商务中应用最多的WWW服务器的安全问题作一分析说明。
WWW是Internet上一个最广泛的应用工具。正是由于其应用十分普遍，所以其面临的安全问题首当其冲，这些安全问题依据其严重性的大小可分成以下几种情况：
①黑客利用WWW服务器软件和CGI程序中的bug获得对系统中其他程序的非授权甚至控制整个计算机系统。
②WWW服务器上的保密信息被散发到未经授权的用户手中。
③WWW服务器与WWW浏览器之间传输的保密信息被截取。
④WWW浏览器软件中的bug使得客户机上的保密信息被远程的WWW服务器获取。
⑤由于标准技术和专利技术的原因，许多组织需要购买商业版WWW软件，这些商业软件又具有各自的安全漏洞。
这五种类型各有其特点。目前，对这些问题的解决方案经常互相矛盾。比如，为了减少WWW信息被窃听的可能，许多组织购买了安全WWW服务器软件，该软件使用了许多加密协议。要使这些服务器程序正常运行，需有经数字签名的注册证书，而且这些注册证书必须每年续签，使得依赖于这些安全WWW服务器软件的组织有可能遭受到拒绝服务攻击。
二、挽救网络：丢掉幻想沉着应战
魔高一尺，道高一丈。这个世界上，有魔鬼作祟，就有天使护法。面对如此众多的威胁，护法天使能否如期而至，对网络至关重要。而以下的安全技术，恰恰能满足这一要求。HT给数据加密网络初期，没有太大的安全威胁，人们也不关注安全问题。但随着威胁的增多，人们不得不做出反应，加密则是人们的第一选择。
加密技术指通过使用代码或密码来保障网络中信息数据的安全性，它是其他技术的基础。从网络的角度来看，主要有两种加密技术：链路加密及端到端加密。链路加密指数据的加密独立于脆弱的通信链路，这种链路对于简单的网络可能是端到端的，而对于分布范围较广的网络来说可能是分组交换到分组交换。其优点在于整个数据包包括数据包头信息都加密，在信道中传输的都为密文；缺点在于对于中间节点其数据为明文，节点的安全仍存在问题。端到端加密发生在数据包的源地址和目的地址处，它考虑到了中间节点处数据的脆弱性，然而数据包头采用的却是明文。
加密处理过程比较简单，它依据加密公式（即加密算法），把明文转化成不可读的密文，然后再把密文翻译回明文。加密的核心是一个称为密钥的数值，它是加密算法的一个组成部分，引导整个加密过程。
数据加密的方法很多，常用的加密方法有常规的密钥密码方法和公开密钥方法两大类。前者以数据加密标准DES算法为典型标准，后者通常以RSA算法为代表。常规密钥方法的密钥具有针对性，即加密和解密的密钥相同；而公开密钥密码方法的加秘密钥和解秘密钥则不同，加秘密钥可以公开而解秘密钥需要保密。
为了保护你的数据在传递过程中不被别人窃听或修改，你必须对数据进行加密（加密后的数据称为密文），这样，即使别人窃取了你的数据（密文），由于没有密钥而无法将之还原成明文（未经加密数据），从而保证了数据的安全性，接收方因有正确的密钥，因此可以将密文还原成正确的明文。
（1）常规密钥密码体制所谓常规密钥密码体制，即加密密钥与解密密钥是相同的。在早期的常规密钥密码体制中，典型的有代替密码，其原理可以用一个例子来说明。
例如：将字母a,b,c,d,…，w,x,y,z的自然顺序保持不变，但使之与D,E,F,G,…，Z,A,B,C分别对应（即相差3个字符）。若明文为student,则对应的密文为VWXGHQW（此时密钥为3）。由于英文字母中各字母出现的频度早已有人进行过统计，所以根据字母频度表可以很容易对这种代替密码进行破译。
DES算法原是IBM公司为保护产品的机密于1971年至1972年研制成功的，后被美国国家标准局和国家安全局选为数据加密标准，并于1977年颁布使用。ISO也已将DES作为数据加密标准。
DES对64位二进制数据加密，产生64位密文数据。使用的密钥为64位，实际密钥长度为56位（有8位用于奇偶校验）。解密过程和加密相似，但密钥的顺序正好相反。DES的保密性仅取决于对密钥的保密，而算法是公开的。DES内部的复杂结构是至今没有找到捷径破译方法的根本原因。现在DES可由软件和硬件实现。美国AT&T首先用LSI芯片实现了DES的全部工作模式，该产品称为数据加密处理机DEP.
（2）公开密钥密码体制公开密钥（PublicKey）密码体制出现于1976年。它最主要的特点褪羌用芎徒密使用不同的密钥，每个用户保存着一对密钥--公开密钥PK和秘密密钥SK,因此，这种体制又称为双钥或非对称密钥密码体制。
在这种体制中，PK是公开信息，用作加密密钥，而SK需要由用户自己保密，用作解密密钥。
加密算法E和解密算法D也都是公开的。虽然SK与PK成对出现，但却不能根据PK计算出SK.
在公开密钥密码体制中，最有名的一种是RSA体制。它已被ISO/TC97的数据加密技术分委员会SC20推荐为公开密钥数据加密标准。
在DES之类的对称（保密）密钥算法中，加密和解密过程使用相同的密钥。与非对称密钥算法相比，对称密钥的处理和计算工作量要少得多。但是，在保密密钥加密中，每对交换信息的用户都需要一个独立的密钥，这就给密钥管理增加了显著的负担。此外，如何安全地建立和发布密钥，这也是保密密钥加密需要解决的问题。在Internet这样的开放环境中，该问题更是难以解决。
1977年，R·Rivest,A·Shamir和L·Adleman提出了公开密钥密码系统，简称RSA,它取自这三位发明者姓氏的第一个字母。这是一种非对称的密码系统，由两个大素数的积经过运算生成两个数对，这两个数对拥有非常可贵的性质，它们相互之间无法在有效的时间内导出对方，以其中的一个数对为密钥对信息进行加密后，只能以另一个数对为密钥对其解密。这样，可以把其中的一个在网上公开，称为公钥；另一个由自己保留，称为私钥。每个人都有自己的公钥和私钥。在发送保密信息时，使用接收者的公钥进行加密，接收者使用自己的私钥即能解密，别人不知道接收者的私钥则无法窃取信息。在对发送者进行确认时，由发送者用自己的私钥对约定的可公开信息进行加密，接收者用发送者的公钥进行解密；由于别人不知道发送者的私钥，无法发出能用其公钥解得开的信息，因此发送者无法抵赖。
例如：如果你想发送一段文本给X,那么X先把他的公钥告诉你，你得到X的公钥后，就可以使用该公钥对文本加密，然后把密文发送给X.X收到密文后，利用X的私钥对密文解密。由于只有X一个人知道该私钥，所以其他人无法对密文解密。
可以看出，在RSA中需要管理的密钥比较少，这是它的优点。但是，RSA的处理和计算量比较大，所以会导致性能降低。因此，在当前的加密应用中，经常使用对称密钥来对文本加密和解密，用非对称RSA加密体系对该保密密钥进行加密和解密。发送方把密文和加密后的私钥一起发送给接收方。
使用这种联合加密法，不仅可以确保数据的保密性，而且还可证机制。发送者私钥加密的数据可以提供对发送者身份的认证，接收者私钥加密的数据可以提供对接收者身份的认证。
但是，加密也仅仅是网络安全的基础，远不能解决所有问题。只有与其他技术相配合，才能有网络帝国的安宁。
构筑网络防火墙提到网络安全，人们必然会想到防火墙。防火墙虽不是网络安全的万灵药，但是，几乎在所有的网络安全方案中，它都占有重要的地位。
