关于计算机安全问题的论述

计算机的安全是一个越来越引起世界各国关注的重要问题, 也是一个十分复杂的课题.随着计算机在人类生活各领域中的广 泛应用,计算机病毒也在不断产生和传播,计算机网络被不断非 法入侵,重要情势资料被窃密,甚至由此造成网络系统的瘫痪等, 已给各个国家以及众多公司造成巨大的经济损失,甚至危害到国 家和地区的安全.因此计算机系统的安全问题是一个关系到人类 生活与生存的大事情,必须给予充分的重视并设法解决. 以贝尔实验室为例,它的工作大量地涉及到计算机和软件, 大约50%的雇员在从事软件或软件支持工作.他们拥有1800多台 主机和比其技术人员人数还多的各种计算机终端.在贝尔系统在, 有运行3500多万条有效编码的通讯线路,因此,贝乐实验室是世界 上最大的软件企业之一. 贝尔实验室的计算机环境包括有:分布在不同地区的集中化 的计算中心,它们一般装备的是大型主机和(或)高档微机,分布在 各部门的通常是小型机,直接由技术人员使用的是大量的专业工作 站,一般是微型机.所有这些计算机均以各种方式联结成网,包括 高速通讯专线联络到直接使用全国电讯网络的拨号通讯线等,这 就使雇员们甚至可以通过在家中的终端直接存取贝尔实验室的各 种计算机资源. 一个严重的问题是,国外代理人,竞争者或其他任何人要想从 联于电讯网络的计算机系统中获取信息都是可能的,这就提出了 一个必须重视的计算机安全和保密问题.一般来说,威胁到计算机 安全的有"单纯性电子干扰",各种物理的干扰,通讯线的开放,专 业情报人员的长期探取以入拥有特权的系统管理人员的不负责 等.其中"单纯性电子干扰"是今天最普遍地威胁到计算机安全的 因素;而最令人担忧的是系统管理人员的失职,因为由于这个问题, 可使所有采用的安全技术全成为无效的. 对于贝尔实验室所有的工作人员都必须学会怎样有效地生产 大型软件系统,并在保证软件产品的质量时,也建立有效的软件 管理办法.这些方法中包括安全方面的设计,如存取控制,防止及 检测未授权的存取企图的检查能力等. 这些可用的方法已应用到贝尔实验室的所有部门,同时还有一 个关于软件问题的全公司委员会(CSI)来协调和规范化全体人员的 认识和方法. 计算机安全包括物理安全和逻辑安全.对于前者只要加强计算 机机房的管理如门卫,出入者身份检查,下班锁门以入各种硬件安 全手段等预防措施;而对于后者需要用口令字,文件许可,查帐等 方法来实现. 贝尔实验室关于计算机安全的目标是:在安全和通讯方便之间 建立平衡.毫无疑问,要求计算机系统越安全,则对通讯的限制和使 用的难度就越大.而现代信息技术的发展又使通讯线成为不可缺少 的,它包括跨组织,跨学科,跨地区的以及全球的通讯.在这里计算 机安全的重要性显然是毫无疑问的.但是计算机的安全程度应与所 涉及的信息的价值相.即应当有一个从低,中到高级的多层次的安 全系统,分别对不同重要性的信息资料给予必要的不同级的保护. 例如,在贝尔实验室,高度机密的个人信息(如付税数据)是完全的 与其它各种数据相隔离;对所有高度机密的数据的存取都被严格 地控制着. 善于计算机安全的另一个重要问题是:我们试图保护的信息-- 电子信息--本身的特殊性质,当有人窃走我们所的信息时,他并不 需要将信息从计算机文件中移走.这一特点使得难于确认信息事实 上已被窃走了,这也使道义上,道德和法律上的问题复杂化了. 最后一点要强调的是,必须责成各级机构的高层管理人员要 经常关注和强化计算机安全技术和保密措施,否则,将会有几乎无 可挽救的危险和损失.例如,在贝尔实验室的全公司软件管理委员 会组织了一个计算机安全任务组来评定贝尔实验室整个系统的安 全性,向高层管理组报告他们发现的问题,在需要时提出一些提高 安全性的建议,并根据管理组的授权招待各种监督措施.还有一个 常设机构--安全委员会,为计算机中心建立各种安全法规,并且在 资产保护组织中配备有计算机安全专家等.即使这样,贝尔实验室 的比较安全的计算机系统还是未能完全免除各种电子干扰.他们 配有追踪电子入侵者的有经验的资产保护专家,必要时还从本地 区和联邦政府和法律执行代理人处获得帮助,以迅速的解决有关 入侵者的问题. 当前不管对贝尔实验室或大型高技术公司来说,电子干扰问题 还未完全解决,各种好的管理方法和安全技术只是使问题缩小了, 但还不能完全消除问题. 贝尔实验室关于计算机安全的考虑也是十分基本的:保护有 价值的信息在存贮于计算机文件中或在通讯,数据线上传输时, 不会被窃取,删改和破坏;防止计算机机时和资源被未授权者使用; 保持的计算机用户和系统管理员的高度安全意识.总而言之,是要 维护一套对整个计算机环境的一致性的有关的管理控制,包括计算 机硬件,软件和有关的人员. 对于计算机安全,最重要最显然的起点是从涉及计算机的人员 开始,即用户,系统管理员以入超级管理员.安全的最软弱处是人们 的粗心大意.例如,登录和使用计算机后,不退出系统就离开终端不 管了;与他人共用计算机存取口令;将机密重要的资料存入不适当 的计算机文件中等. 总结有关计算机安全方法的各主要方面,可从以下检验表供超 级管理员评定自己单位的计算机系统的安全程度如何? *你知道谁有你的计算机的存取权吗?不要与他人(即使是你的 助理工作人员)共用口令.如果你的同组人员需要存取其他人员的 文件,他们也应当有自己的口令. *你的计算机拒绝未授权的远程计算机的请求吗?如果不拒绝, 则应重新修改你的计算机的许可设置以改变这一情况. *你有系统管理员吗?管理和修改安全设计与设置是他(她)的 工作职责吗?最安全的系统是那些配有责任心和能力都很强的系统 管理员的计算机系统. *你将一些私人信息如公司计划或个人审查资料存入计算机文 件吗?假若出现糟糕的情况(如一个偶然浏览文件的人能读到你所 写入计算机的信息),那么必须尽快将重要资料保存到其他地方. *你的同组用户严肃对待计算机的安全问题吗?必须确保你的 同组用户懂得计算机安全的必要性以及他们应当怎样做才能保证 计算机的安全. 除上述几项检查以外,还需进一步来检查以下各点:例如口令, 除"一人一口令"外还可使用更复杂的口令来增加计算机的安全. 许多计算机用户常常使用自己的姓,甚至配偶的姓或宠爱物的名字, 或者生日作为口令.不幸的是,这种口令很不安全,因为任何一个计 算机都能迅速地运行搜索完一个姓氏列表(即英语中2万个最普通 的单词),以及所有可能的生日.更复杂的口令选择应是长于6个字 符并同时含有数字和字母的口令,这样的口令将难于解密.口令也 不应是"永久性的",而应当以一定的时间间隔进行改变.如何修改 将由所希望的系统安全的级别来决定. 这里值得强调的另一点是责任者的重要性.责任者是指所有涉 入计算机系统的人,现用户,管理员和超级管理员.例如:计算机的 任何使用都需要有超级用户给予的许可,以便能控制谁使用机器和 机器被用于体积目的.因而,每一台机器应有一个授权用户表,此外, 具有拨号存取方式的计算机上的公司目录表,它是一种更广泛的对 计算机的使用,目录表内容包括与具体计算机有关的机构标志,电 话,系统管理员以及监督管理等. 在计算机安全检查表中,最后要强调的一点是,通过使用特殊的 软件包来限制对各个用户文件的普通存取,以提高安全程度.我们 可以使用软件来保护存于计算机文件中的信息,该软件限制了其他 人存取非自己所有的文件,直到该文件的所有者明确准许其他人可 以存取该文件时为止.限制存取的另一种方式是通过硬件完成,在 接收到取要求后,先询问并校核口令,然后访问列于目录中的授权 用户标志号. 此外,有一些安全软件包也可跟踪可疑的未授权的存取企图, 例如,多次试登录或请求别人的文件.显然,我们可以限制试登录的 次数;或对试探操作加上时间限制,在此之后,系统就自动地退出. 现有的各种技术提供了高水平的计算机安全,特别是计算机上 的军事安全保密.想要破大多数含有保密信息的计算机的安全控制, 其代价是非常昂贵的.当然维护这样高级的安全的代价通常是将各 计算机隔离以及使进入计算机的手续操作麻烦.但随着安全技术的 进一步提高,将会大大有助于减低这种代价--即使整个安全控制对 合法用户更透明一些.因为随着新一代计算机的研制也发展了的 "用户友好"界面,故在发展和加强计算机的安全系统时,也充分注意 到了用户的相同需要. 防止和检测计算机通讯线被渗透的技术,就像识别拨号系统一 样简单.这种能力允许根据授权电话号码表来进行安全检查,也可 提供追踪未授权存取企图的记录.这种识别已存在于今天的一些 计算机化的业务通讯系统中,但只限于在那些由这种系统服务的 公司的通讯线中. 此外 ,还可使用"信用卡终端",它可提供便宜而又防窜改的方 式,对于识别用户比通用的口令具有更高程度的可靠性.采用识别也 是有助于提高识别用户能力的.这种简单的硬件可产生软件不能伪 造的信号,这将能提高网络地址的安全程度. 然而,计算机安全的最基本方法也许还是人的因素第一,正如前 面多次指出的,我们需要尽更大的努力去提高人们对于计算机安全 的认识,特别要提高对那些破坏安全在道德,道义上所隐含的企图的 认识和识别.各级教育部门和单位应在这方面做大量的教育工作.我 们也需要经常考核计算机人员,他们是首先要提高安全意识的人,他 们更接近于电子偷阅者,非法进入系统者,窃贼,这比一些给机会让 上述非法者进入系统的普通用户更接近非法者.同时有必要澄清涉 入计算机安全的复杂的问题,避免有人声称不知道如何防备危害计算 机安全的错误行为与作法而推卸责任. 我们也不要忘记计算机用户及管理者们可能造成的危害.必须 不断提高那些拥有电话信息的人的计算机安全意识.对于发生物理 的破坏和失窃,则那些忘记"锁门"的人应分担信息被破坏或被窃取 的责任. 计算机安全与保密问题是现代信息社会一个十分重要并具有 普遍意义的问题,必须认真演习,掌握和发展有关的技术和方法.