安全、隐私与数据完整性

这些听起来相似,但意思不同:

• 安全(security)——保护数据免于未授权(unauthorised)的访问、更改或破坏。
• 隐私(privacy)——个人控制谁看到他们个人数据的权利,带有同意和一个明确的目的。
• 完整性(integrity)——数据是准确且完整的——没有被损坏或意外更改。

一个文件可以是安全的(只有正确的人能打开它)但缺乏完整性(一个拼写错误把它损坏了);或者准确但不私密(任何人都能读它)。三者都需要。

要保护两样东西:数据本身(保持它机密、完整和可用)和计算机系统(一个被攻破的系统可以攻击其他人、窃取凭据,或被勒索赎金)。

威胁分成三组。

1. 恶意软件(malware,malicious software)——有害的程序:

• 病毒(virus)——附着到其他程序、在它们运行时传播的自我复制代码。
• 蠕虫(worm)——在网络(networks)上无需用户操作就传播的自我复制代码。
• 木马(Trojan horse)——看起来有用但隐藏恶意代码。
• 间谍软件(spyware)——秘密收集信息(击键、密码)。
• 勒索软件(ransomware)——加密你的文件并要求付款。
• 广告软件(adware)——推送不需要的广告。

2. 欺骗人(社会攻击):

• 网络钓鱼(phishing)——欺骗用户交出凭据的假邮件/网站。
• 域名欺骗(pharming)——即使用户输入正确的地址,也把他们重定向到一个假网站。
• 社会工程(social engineering)——欺骗人交出信息。

3. 对网络的攻击:

• 黑客(hackers)的黑客入侵(hacking)——未授权访问,常通过弱密码或软件缺陷。
• 拒绝服务(denial of service,DoS/DDoS)——淹没一台服务器,使真实用户不能到达它。
• 窃听(eavesdropping)——捕获传输中的数据(在开放 Wi-Fi 上的一个风险)。
• 中间人攻击(man-in-the-middle)——一个攻击者秘密地在双方之间转发或更改消息。

措施既保护数据的安全(免于丢失、被盗或损坏)又保护计算机系统的安全(它的硬件、软件和网络)。

一台独立 PC

• 一个强密码;保持最新的杀毒软件;及时的软件更新;向单独介质的备份(backup);全盘加密(encryption);一个锁定的屏幕。

一台联网 PC

以上全部,加上一个防火墙(firewall)、每用户的权限(admin 权限只给 admin)、用户账户(user accounts)的集中管理,以及审计日志(audit logs,谁登录、他们碰了什么)。

跨越互联网

• VPN(虚拟专用网)——加密用户和企业网关之间的流量。
• HTTPS / TLS——加密网络流量。
• 数字签名(digital signatures)——证明谁发送了一个消息,以及它在传输中没有被更改。
• 入侵检测——观察流量以寻找已知的攻击模式。

• 传输中被拦截 → 加密数据(HTTPS、VPN)。被拦截的密文没有密钥就没用。
• 未授权访问 → 强身份验证(authentication,长密码;带手机码或密钥的双因素认证(two-factor authentication));用户授权(authorisation);登录失败后锁定。
• 恶意软件 → 带实时扫描的杀毒软件和反间谍软件(anti-spyware);打补丁;避免不受信任的下载。
• 网络钓鱼 → 用户培训;邮件过滤;在输入凭据前检查 URL。
• 内部威胁 → 最小权限(least-privilege)原则(只给每个用户他们需要的);审计。
• DDoS → 速率限制和流量过滤。

• 加密——用一个密钥把明文(plaintext)变成密文(ciphertext)。对称加密(symmetric encryption,AES)用一个共享密钥;非对称加密(asymmetric encryption,RSA)用一个公钥(public key)和一个私钥(private key)。保护静止和传输中的数据。
• 访问控制(access control)——文件权限(读/写/执行)和访问权限(access rights),由操作系统强制执行。
• 身份验证——身份验证技术核实用户:你知道的东西(密码)、你有的东西(令牌、手机),或你是的东西(生物识别(biometrics)——指纹、面部、虹膜);组合起来最强。
• 备份——保留副本(一些异地),使丢失或损坏可恢复。
• 物理安全——上锁的服务器机房、电缆锁。

数据在它准确且完整时有完整性。两种技术:数据验证(在存储前抓住坏数据)和数据核对(确认数据被正确地输入或传输)。

验证——数据说得通吗?

验证(validation)自动地对照合理的规则检查数据:

• 范围检查——在限度内(一个月是 1–12)。
• 界限检查——在一个单一界限的正确一侧(例如年龄 ≥ 18)。
• 存在检查——被引用的项存在(例如一个产品代码在表中)。
• 长度检查——正确数目的字符。
• 类型 / 字符检查——正确种类的数据(一个电话字段只允许数字)。
• 格式检查——匹配一个模式(一个电子邮件必须含有 @)。
• 存在性检查——必填字段不为空。
• 校验位(check digit)——从其他位算出的一个额外数位(ISBN、卡号),它发现誊写错误。
• 查找检查和一致性检查(例如交货日期 ≥ 订购日期)。

验证抓住格式错误的数据,但抓不住格式正确却事实上错误的数据("Bob" 写成 "Bib")。

核对——数据被正确地输入或传输了吗?

核对(verification)检查数据在从一个地方移到另一个地方时没有被改变。

在输入时:双重输入(输入两次并比较,如同一个新密码)或目视检查。

在传输时(位可能翻转):

• 奇偶校验(parity check)——一个额外的位使 1 的数目为偶(偶校验)或奇。接收方重新计数。抓住单位错误。
• 校验和(checksum)——发送方发送数据的一个摘要值;接收方重新计算它并比较。
• 循环冗余校验(cyclic redundancy check,CRC)——一个用多项式除法的更强的校验和,抓住多得多的错误类型。

一个奇偶块校验(parity block check)更进一步,还能定位错误。把字节排成一个网格:给每个字节一个行奇偶位,然后计算一个额外的奇偶字节,它的各位是上方字节的列奇偶。一个翻转的单一位现在会使一行和一列都不通过——它们的交叉点精确指出哪一位改变了,所以它甚至能被纠正。

核对只证明到达的与发送的相符——不证明数据是正确的,也不能抵御蓄意篡改。验证问"这说得通吗?";核对问"这被正确地复制了吗?"——两者都用。

例题。 一位用户把出生日期输成 31/02/2009,并把电子邮箱地址输入了两遍。哪种检查能抓到哪个错误?两者的区别是什么?验证(合法性检查)问的是"这个数据合理吗?" - 计算机按某条规则去检验它,格式检查或范围检查会拒绝 31/02/2009,因为二月从来没有 31 号。核验问的是"这个数据输入正确吗?" - 把邮箱输两遍就是双重输入,比较两份副本就能抓到打字失误。正是它们的局限使这成为常考题:验证永远无法告诉你数据是正确的,只能说明它是可能的 - 即使用户其实生于另一天,01/02/2009 也能通过所有验证规则。要说清每种检查能抓什么、不能抓什么。

• 把这三个概念分开:安全(保持数据安全)、隐私(谁可以看它)、完整性(保持它正确)。
• 把每种威胁(恶意软件、黑客入侵、网络钓鱼、拦截)与一种措施(防火墙、加密、身份验证、访问权限)匹配。
• 加密保护机密性,而不是完整性——用一个校验和、奇偶校验或校验位来保护完整性。
• 区分一个病毒、蠕虫和木马以及每个如何传播。