安全性和保密性设计

一、章节概述

安全性设计是架构师的核心职责。本章系统讲解加密解密、数字签名与证书、安全协议(IPSec/SSL/PGP)、计算机病毒防治、身份认证与访问控制、OSI 安全体系与 VPN、防火墙与入侵检测等内容，构成完整的"加密—认证—防护—管理"安全知识链。

二、知识结构框架

三、核心概念

1. 对称 vs 非对称加密

2. 数字签名与数字信封

• 数字签名：发送方用自己的私钥对报文摘要加密，接收方用发送方公钥验证，保证真实性、完整性、不可否认性。
• 数字信封：发送方用对称密钥加密数据，再用接收方公钥加密该对称密钥，接收方用私钥解密得到对称密钥再解密数据，兼顾速度与安全。

3. 数字证书与 PKI

CA(证书授权机构)将公钥与持有者身份绑定，用 CA 私钥签名后形成 X.509 数字证书。PKI 包括 CA、RA、CRL、证书库等组件。KDC(Key Distribution Center)用于对称密钥分配，如 Kerberos。

4. 三大安全协议

• IPSec：网络层，含 AH(认证)和 ESP(加密)，支持传输/隧道模式。
• SSL/TLS：传输层，结合对称+非对称+摘要，HTTPS = HTTP over SSL。
• PGP：应用层邮件安全，混合加密体系。

5. 身份认证与访问控制

认证三要素：你知道什么(口令)、你拥有什么(令牌)、你是什么(生物特征)。访问控制模型：DAC 自主访问控制、MAC 强制访问控制、RBAC 基于角色访问控制。

6. 防火墙与 IDS

• 防火墙：包过滤(网络层)、应用级网关(应用层)、电路级网关(传输层)。
• IDS 入侵检测：基于特征(误用)检测、基于异常(行为)检测；HIDS 主机型、NIDS 网络型。

四、关键公式与关系

五、图示引用

图16-1 对称加密与非对称加密

图16-20 防火墙体系结构