１ 网络安全及相关技术
自２０世纪９０年代以来，计算机网络技术得到了飞速发展，信息的处理和传递突破了时间和地域的限制，网络化与全球化成为不可抗拒的世界潮流，Ｉｎｔｅｒｎｅｔ已进入社会生活的各个领域和环节，并愈来愈成为人们关注的焦点。据统计，目前Ｉｎｔｅｒｎｅｔ用户数达５ ０００万户，到２０００年底用户数将发展到２亿户。
信息技术的使用给人们生活、工作的方方面面带来了数不尽的便捷和好处。然而，计算机信息技术也和其他科学技术一样是一把双刃剑。当大部分人使用信息技术提高工作效率，为社会创造更多财富的同时，另外一些人利用信息技术却做着相反的事情。他们非法侵入他人的计算机系统窃取机密信息、篡改和破坏数据，给社会造成难以估量的巨大损失。随着网络规模的扩大和网络服务的增加，网络安全需求也越来越大，需求的面也越来越广。从技术上来讲，解决安全问题有以下一些常见和用户认可的手段。
１．１ 加密和解密
加解密技术是最基本的安全技术，其主要功能是提供机密性服务，但在实现其他安全服务时也会使用加密技术。目前密码学中主要有两种不同的密码体制：对称密钥体制和非对称密钥体制，又被称为私钥密码体制和公钥密码体制。到目前为止，公钥密码体制中，占主导地位的还是ＲＳＡ公钥密码体制。模数为５１２ｂｉｔ的ＲＳＡ已经被认为是不安全的，ＲＳＡ公司推荐的最小模数为７６８ｂｉｔ，目前大部分ＲＳＡ公钥体制的实际解决方案中采用了１ ０２４ｂｉｔ或者２ ０４８ｂｉｔ的ＲＳＡ公钥体制。其它公钥体制，如ＤＨ和数字签名算法（ＤＳＡ）由于其独特的安全优势在在线密钥交换和数字签名领域得到了广泛的应用实用的椭圆曲线密码系统也日臻完善，１７０ｂｉｔ的椭圆曲线密码系统被认为和１ ０２４ｂｉｔ的ＲＳＡ安全强度相当，而且由于其空间需求和时间需求均大大小于ＲＳＡ、ＤＳＡ和ＤＨ，因此近年来也受到了普遍重视。
随着１９７７年美国国家标准局公布了由ＩＢＭ公司研制的数字加密标准（ＤＥＳ）加密算法，私钥密码体制也得到了很大的发展。２０年来，ＤＥＳ一直扮演着商用保密通信和计算机通信中最常用加密算法的角色。虽然ＤＥＳ的安全性已经受到威胁，但是ＤＥＳ的思想推动了其他私钥体制的出现。ＲＳＡ公司已将新一代分组加密算法ＲＣ６提交给美国国家标准与技术研究所（ＮＩＳＴ）作为新的加密标准ＡＥＳ目前ＡＥＳ的候选加密算法（包括ＲＣ６）共有１５个，ＡＥＳ的算法可能在２０００年左右最后确定。因此对新的安全系统来说，ＤＥＳ已经不被认为是好的选择，在ＡＥＳ正式出台和确定以前，可以使用其他的加密算法作为过渡，如三重ＤＥＳ（３ＤＥＳ）、国家数据加密算法（ＩＤＥＡ）和ＲＣ５等分组加密算法。
１．２ 电子数字签名
日常生活中时常会有报文与签名同时发送以作为日后查证的保证。在因特网环境中，这可以用电子数字签名作为模拟。电子数字签名保持了常规手写签名的本质特点，但在形式上可以完全不同。
电子数字签名也称为数字签名。数字签名首先利用一种单向函数对消息产生摘要，然后再对摘要使用只有发送者自己知道的私钥进行加密。这里使用的单向函数必须具备两个重要特点：（１）计算单向函数的值很容易，但是作逆运算却很难；（２）若给定一个函数值，要找到某个变量使得其函数值与其相等十分困难。
１．３ 电子数字证书
数字证书是建立网络信任关系的关键。数字证书将用户基本信息（用户名、Ｅ－ｍａｉｌ地址）与用户公钥有机地绑定在一起，绑定功能通过发布证书的权威机构的数字签名来完成。用户之间通过交换数字证书建立信任关系。各种网络安全服务（如ＨＴＴＰ、安全电子邮件）均应建立在数字证书架构或平台之上。
１．４ 安全通信协议和有关标准
在网络安全技术应用领域，安全通信协议提供了一种标准，基于这些标准，企业可以很方便地建立自己的安全应用系统。目前主要的安全通信协议有ＳＳＬ（ＴＬＳ）、ＩＰＳｅｃ和Ｓ／ＭＩＭＥ。ＳＳＬ提供基于客户／服务器模式的安全标准，ＳＳＬ（ＴＬＳ）在传输层和应用层之间嵌入一个子层，主要用于实现两个应用程序之间安全通讯机制，提供面向连接的保护；ＩＰ安全协议（ＩＰＳｅｃ）提供网关到网关的安全通信标准，在网络层实现，ＩＰＳｅｃ能够保护整个网络；Ｓ／ＭＩＭＥ在应用层提供对信息的安全保护，主要用于信息的安全存储、信息认证、传输和信息转发。三种安全通信协议虽然均提供了类似的安全服务，但是他们的具体应用范围是不同的，在实际应用中，应根据具体情况选择相应的安全通信协议。
ＲＳＡ公布的公开密钥密码编码标准（ＰＫＣＳ）系列标准已经成为建立网络安全系统公认的国际标准，许多知名公司如ＶｅｒｉＳｉｇｎ、ＧＴＥ和Ｅｎｔｒｕｓｔ的安全产品均采用了ＰＫＣＳ作为基础。在目录服务方面，由于Ｘ．５００的实现复杂性，ＬＤＡＰ已经成为占据主流的目录访问协议。互联网工程任务组织（ＩＥＴＦ）的ＲＦＣ文档也提供了大量的信息安全的国际标准。
但是标准化是一个漫长的过程，因为一个标准的形成需要许多著名公司的支持。ＰＫＩＸ系列文档中目前还有许多未实现标准化，如证书管理协议，另外许多相关文档还未发布，证书和ＣＲＬ的在线查询文档还不完善等。有了标准，才可能实现互操作。#p#
１．５ 网络防火墙技术
防火墙技术是指这样一种技术，通过一组设备（可能包含有软件和硬件）介入被保护对象和可能的攻击者之间，对被保护者和可能的攻击者之间的网络通信进行主动的限制，达到对被保护者的保护作用。这里可能的攻击者一方面包含现实的或潜在的蓄意攻击者，另一方面也包含被保护者的合作者。
构成防火墙的可能有软件、也可能有硬件或两者都有，但是应该说防火墙最基本的构件是构造防火墙的思想。最初的防火墙不是一种产品，是构造者脑海中的一种想法，即谁和什么能被允许访问本网络，这也是传统意义防火墙的概念的出发点。相比之下，防火墙是目前所有保护网络的方法中最能普遍接受的方法，而且防火墙技术还属于新兴的技术，９５％的入侵者无法突破防火墙。
网络安全问题涉及的内容十分广泛，既有技术方面的问题，也有管理方面的问题，两方面相互补充，缺一不可。技术方面主要侧重于防范外部非法用户的攻击，管理方面则侧重于内部人为因素的管理。如何更有效地保护重要的信息数据、提高计算机网络系统的安全性已经成为所有计算机网络应用必须考虑和必须解决的一个重要问题。
２ ＰＣ的安全问题
从ＰＣ的现实的用途和工作环境来分析，安全问题主要有以下几个方面：
２．１ 网络安全
个人电脑可以通过局域网或拨号等方式连接到Ｉｎｔｅｒｎｅｔ。人们通过主机相互间可以进行各种形式的信息交互。常见的有：ＨＴＴＰ、ＦＴＰ、Ｔｅｌｎｅｔ和Ｅ－ｍａｉｌ等。在日常生活中用电话进行通信的过程中，若有恶意的电话呼叫，可以使用跟踪电话号码、阻塞特定呼叫等手段进行有效的防范。相比之下，通过主机在Ｉｎｔｅｒｎｅｔ上通信则大不相同。首先，ＴＣＰ／ＩＰ协议是完全开放的，其设计之初没有考虑安全问题。其次，在Ｉｎｔｅｒｎｅｔ上传送的数据的最小单位是ＩＰ包，恶意攻击者可以很容易地窃取、更换、假冒数据包；安全协议也或多或少地存在着安全漏洞。
黑客对网络主机的攻击方式是多种多样的。一般来讲，攻击总是利用操作系统设计上的安全漏洞或者通过通信协议的安全漏洞来实现。例如，查看通信双方的数据包非法获取信息；假冒或更换ＩＰ包对通信双方进行欺骗；非法获取合法用户的帐号从而获得网络服务；大量产生ＩＰ数据包对网络主机进行轰炸攻击，达到阻断服务或造成主机崩溃的目的；更多的是利用各服务协议所固有的安全漏洞，进行着更隐蔽的破坏活动。另外在特定的环境下，网络不良信息问题也是网络安全问题的一个重要方面。
２．２ 网络病毒
对ＰＣ用户来说，病毒问题是最棘手和最现实的安全问题。网络普及的同时，又为病毒蔓延提供了新的途径，网络病毒迅速成为ＰＣ安全的重要方面。
２．３ Ｅ－ｍａｉｌ安全问题
Ｅ－ｍａｉｌ服务是因特网上最为广泛的应用服务之一，据美国的最新统计显示，Ｅ－ｍａｉｌ的用户数已逼近电话的用户数。因此，对ＰＣ用户而言，Ｅ－ｍａｉｌ的安全问题尤为突出。#p#
３ ＰＣ防火墙——网络安全新概念
传统意义上的防火墙是基于网关的，主要是解决企业内部网（被认为是可信任的）与Ｉｎｔｅｒｎｅｔ（不可信的）互联时的ＩＰ地址和端口的过滤、ＩＰ地址翻译、应用服务代理和ＩＰ包的加解密问题。当然这些产品的功能是强大的，但是，他们只“防外不防内”，因此也就无法真正实现对局域网内每一台主机的保护，更不用说家庭以拨号形式上网的主机安全问题。
基于内部网的主机或其它形式上网的主机的防火墙（我们称之为ＰＣ防火墙）正是在这种意义上提出的。由于ＰＣ防火墙的对象是网络上的最终主机，所以ＰＣ防火墙的操作系统平台没有传统意义上的防火墙灵活，几乎没有选择的余地，完全由用户选择，这就决定了ＰＣ防火墙的核心技术事实上比传统防火墙难度更大。另外，相比于局域网、网关用户来说，ＰＣ用户对网络安全还会有一些特别的需求，例如对主机文件访问权限的限制等。
具体地说，ＰＣ防火墙系统有如下的功能需求：
（１）ＩＰ包过滤机制
ＰＣ防火墙系统的最终目标是保护ＰＣ机的桌面系统，所以系统必须能对进出本机的所有数据进行控制。例如对进出主机的所有ＩＰ包的ＩＰ地址和协议端口的过滤，系统应当能够对主机发送和接受的每一个ＩＰ包进行检查，获取ＩＰ源地址、目标地址和协议端口，根据事先设定的规则拒绝或允许这个ＩＰ包通过，必要的情况下，能及时反馈有关信息到上层应用程序以动态处理。在某种特定的情况下，还需要对数据的内容进行扫描，对数据包进行改装重发，以达到及时、准确处理各种信息的目的，从而实现对网络上进出本机所有数据的全面控制。
（２）网络病毒的检测机制
ＰＣ防火墙系统应当具有病毒检测功能。因用户访问的网络资源可能携带病毒源，从而对用户造成损害。
（３）用户通信的保密机制
当两个用户进行通信时，系统应当能够提供一种保密机制，实现用户之间通信的机密性。如果考虑到可能的多用户ＰＣ（比如在学校和家庭），系统还必须提供对文件基本操作进行限制和保密存储的功能。企业的内部网也存在类似的问题。
（４）透明安全Ｅ－ｍａｉｌ的机制
Ｅ－ｍａｉｌ的安全问题主要有两类：一是保密传输的要求?鸦一是垃圾信件的处理问题。保密传输需要对所有ＩＰ层数据进行监视，确定与Ｅ－ｍａｉｌ相关的信息，把信件主体内容进行加密传输，因为Ｅ－ｍａｉｌ的收发过程在底层看起来是不对称的，所以加密算法考虑使用序列密码算法；垃圾信件处理一方面需要判断Ｅ－ｍａｉｌ的有关头信息或内容信息，另一方面还需要主动利用上层应用程序登录到服务器进行信件删除操作。上述实现方案即是对上层应用的透明，对上层透明的好处是兼容性好。
４ ＰＣ防火墙系统的一种实现方案
本文提出的ＰＣ防火墙实现方案基于Ｗｉｎｄｏｗｓ９５ 和Ｗｉｎｄｏｗｓ９８。这里先讨论Ｗｉｎ-ｄｏｗｓ操作系统的网络功能的机制。本方案仅包括ＩＰ包过滤和保密通信，不含病毒的检测功能和安全Ｅ－ｍａｉｌ的详细实现机制。#p#
４．１ Ｗｉｎｄｏｗｓ的网络接口标准
ＰＣ防火墙系统的运行平台为Ｗｉｎｄｏｗｓ９５和Ｗｉｎｄｏｗｓ９８。因此，总体方案设计时的一个核心问题是如何在Ｗｉｎｄｏｗｓ的内核中截获所有ＩＰ包。在Ｗｉｎｄｏｗｓ操作系统中，网络设备接口和标准（ＮＤＩＳ）扮演着十分重要的角色，它担负着网络层协议与网络接口卡（ＮＩＣ）之间的桥梁作用，Ｗｉｎｄｏｗｓ的网络接口。
ＮＤＩＳ是网络设备接口规范。ＮＤＩＳ处于Ｍｉｎｉｐｏｒｔ驱动程序的上面，Ｍｉｎｉｐｏｒｔ相当于ＩＥＥＥ８０２标准的数据链路层的介质访问控制（ＭＡＣ）子层，而ＮＤＩＳ则相当于逻辑连接控制（ＬＬＣ）子层。
４．２ 接收数据包和发送数据包的过程
当数据到达网络适配器时，系统控制硬件去执行一个过滤操作。允许的数据包会通过适配器向上传递给Ｍｉｎｉｐｏｒｔ Ｄｒｉｖｅｒ。 Ｍｉｎｉｐｏｒｔ Ｄｒｉｖｅｒ再将数据向上传递给ＮＤＩＳ， ＮＤＩＳ负责合成数据，送给合适的协议栈。
通过ＮＤＩＳ包，可以到达网络层以及网络层以上各层运行的协议栈的接口。发送数据时，数据从应用层到网络层，最后到达ＮＤＩＳ，ＮＤＩＳ将数据向下传递给Ｍｉｎｉｐｏｒｔ Ｄｒｉｖｅｒ， Ｍｉｎｉｐｏｒｔ Ｄｒｉｖｅｒ 再将数据传递给网络适配器和物理网络。
４．３ 虚拟设备驱动（ＶｘＤ）技术
普通的ｗｉｎ３２程序开发平台不提供对网络层的直接访问，而通过ＮＤＩＳ的应用程序接口（ＡＰＩ）实现对网络层的访问（如Ｖｐａｃｋｅｔ），但是这并不能制约系统中其他绑定协议对低层数据包的访问。
ＶｘＤ是Ｗｉｎｄｏｗｓ操作系统对各种应用共享某种同一设备而采取的手段。在保护模式下，各种进程被赋予不同的特权级，共有４级，即０、１、２、３。０级为最高特权级，又称Ｒｉｎｇ ０。 实际上，ＶｘＤ相当于Ｒｉｎｇ ０上的动态链接库（ＤＬＬ）。 由于ＶｘＤ工作在最高特权级，因此没有它不能处理的事情。我们采用的方案是通过ＶｘＤ对ＮＤＩＳ的功能函数进行拦截，从而实现ＩＰ数据包过滤。更由于它运行于操作系统的底层?，所以它在实现对所有ＩＰ包过滤的同时对于所有上层应用程序均是透明的。
４．４ ＩＰＳｅｃ协议
ＩＰＳｅｃ协议是由一个在ＩＥＴＦ组织下的工作组所设计的一族协议。ＩＰＳｅｃ基于在ＩＰ层实现数据加密、信息认证和数字签名技术，从而达到保密通信的目的。
Ｉｎｔｅｒｎｅｔ网络中通信的基本单位是ＩＰ包。ＩＰＳｅｃ的思想就是对整个ＩＰ包加密，加密后的数据被封装在一个新的ＩＰ包里。ＩＰＳｅｃ主要包含两个子协议ＡＨ。ＥＳＰ的封装过程。
ＩＰＳｅｃ还另外提供一种模式，即“隧道”模式，这种模式将原始ＩＰ头也封装起来，新的ＩＰ头用网关的相关信息填充，主要用于隐藏原ＩＰ地址或因原ＩＰ地址非法使数据包无法路由的情形。
５ 结束语
目前，国外已出现了几个ＰＣ防火墙产品，但是无论从功能上还是从易操作性上来看，都还有待进一步完善和改进，而国内在此领域几乎还是一片空白。
网络安全问题非常复杂，牵涉的问题较多，本文提出的方案只是考虑了几种主要的安全问题。希望能起到一点抛砖引玉的作用。
【编辑推荐】
