信息安全原理与实践(第3版)

本书是一本系统指南，在前版基础上进行了近期新修订，将帮助你从容应对当今的信息安全挑战。 《信息安全原理与实践》是学生、教师和信息安全专业人员的推荐用书。作者Mark Stamp以清晰、易懂和严谨的教学方式讲解了有关信息安全的4个关键组成部分：加密、访问控制、网络安全和软件。另外，本书列举丰富的示例，这些示例阐明了复杂的主题，突出了重要的安全问题，演示了保护数据机密性和完整性的有效方法和策略。

《信息安全原理与实践》是一本系统指南，是学生、教师和信息安全专业人员的推荐用书。作者Mark Stamp以清晰、易懂和严谨的教学方式讲解了有关信息安全的4个关键组成部分：加密、访问控制、网络安全和软件。另外，本书列举了丰富的示例，这些示例阐明了复杂的主题，突出了重要的安全问题，演示了保护数据机密性和完整性的有效方法和策略。
《信息安全原理与实践》(第3版)在前版基础上进行了全面修订和更新，将帮助你从容应对当今的信息安全挑战。本书新增了关于网络安全基础知识的章节，并扩展介绍了跨站脚本(XSS)攻击、Stuxnet和其他恶意软件、SSH协议、安全软件开发和安全协议。书中的新示例说明了RSA密码体系、椭圆曲线加密、SHA-3，以及包括比特币和区块链在内的散列函数的应用。更新后的习题、表和图有助于读者学习经典密码体系、现代对称加密、公钥加密、密码分析、简单认证协议、入侵和恶意软件检测系统、量子计算等实用知识。这本颇受欢迎的教科书涉及的信息安全方法非常实用：
涵盖快速发展的信息安全领域的近期新内容。
解释会话密钥、接近正向保密、时间戳、SSH、SSL、IPSec、Kerberos、WEP、GSM和其他认证协议。
解决访问控制技术，包括认证和授权、ACL，以及多级安全和隔离项。
讨论软件安全问题，从恶意软件检测到安全软件开发。
包括教师解决方案手册、PowerPoint幻灯片、讲座视频和其他教学资源。

Mark Stamp博士在信息安全领域拥有超过25年的经验。他曾在一家硅谷公司任职，在学术界担任计算机科学教授，在政府部门担任国家安全局的密码学科学家，发表了120多篇与信息安全相关的学术研究文章并撰写了3本书。

第1章引言1
1.1人物角色1
1.2Alice的网上银行2
1.2.1机密性、完整性和可用性2
1.2.2CIA并不是全部3
1.3关于本书4
1.3.1加密技术5
1.3.2访问控制5
1.3.3网络安全6
1.3.4软件6
1.4人的问题7
1.5原理和实践7
1.6习题8
第Ⅰ部分加密
第2章经典加密14
2.1引言14
2.2何谓“加密”15
2.3经典密码17
2.3.1简单代换密码17
2.3.2简单代换密码分析19
2.3.3“安全”的定义20
2.3.4双换位密码21
2.3.5一次性密码22
2.3.6密码本密码25
2.4历史上的经典加密27
2.4.1“1876年大选”的密码27
2.4.2齐默尔曼电报29
2.4.3VENONA计划30
2.5现代密码史31
2.6加密技术分类34
2.7密码分析技术分类35
2.8小结36
2.9习题37
第3章对称密码42
3.1引言42
3.2流密码43
3.2.1A5/144
3.2.2RC446
3.3分组密码48
3.3.1Feistel密码48
3.3.2DES49
3.3.33DES54
3.3.4AES56
3.3.5TEA58
3.3.6分组密码模式60
3.4完整性64
3.5量子计算机和对称加密65
3.6小结67
3.7习题68
第4章公钥加密73
4.1引言73
4.2背包加密方案75
4.3RSA79
4.3.1教科书RSA示例80
4.3.2反复平方81
4.3.3加速RSA83
4.4Diffie-Hellman84
4.5椭圆曲线加密85
4.5.1椭圆曲线数学86
4.5.2ECCDiffie–Hellman88
4.5.3实际的椭圆曲线示例89
4.6公钥符号89
4.7公钥加密的作用90
4.7.1现实世界中的机密性90
4.7.2签名和不可否认性91
4.7.3机密性和不可否认性92
4.8证书和PKI94
4.9量子计算机和公钥96
4.10小结97
4.11习题98
第5章加密散列函数106
5.1引言107
5.2什么是加密散列函数107
5.3生日问题109
5.4生日攻击110
5.5非加密散列111
5.6SHA-3112
5.7HMAC115
5.8加密散列应用程序117
5.8.1在线竞价117
5.8.2区块链118
5.9各种加密相关主题125
5.9.1秘密共享125
5.9.2随机数129
5.9.3信息隐藏131
5.10小结134
5.11习题135
第Ⅱ部分访问控制
第6章认证146
6.1引言146
6.2认证方法147
6.3密码148
6.3.1密钥与密码149
6.3.2选择密码149
6.3.3通过密码攻击系统151
6.3.4密码验证152
6.3.5密码破解的数学原理153
6.3.6其他密码问题157
6.4生物识别158
6.4.1错误类型160
6.4.2生物识别技术示例160
6.4.3生物识别错误率165
6.4.4生物识别结论166
6.5你拥有的东西166
6.6双因子认证167
6.7单点登录和Webcookie167
6.8小结168
6.9习题169
第7章授权177
7.1引言177
7.2授权简史178
7.2.1橙皮书179
7.2.2通用标准181
7.3访问控制矩阵182
7.3.1ACL和能力183
7.3.2混淆代理184
7.4多级安全模型185
7.4.1Bell-LaPadula187
7.4.2Biba模型188
7.4.3隔离项189
7.5隐秘信道191
7.6推理控制193
7.7CAPTCHA194
7.8小结196
7.9习题197
第Ⅲ部分网络安全主题
第8章网络安全基础202
8.1引言202
8.2网络基础203
8.2.1协议栈204
8.2.2应用层205
8.2.3传输层207
8.2.4网络层210
8.2.5链路层211
8.3跨站脚本攻击213
8.4防火墙215
8.4.1包过滤防火墙216
8.4.2基于状态检测的包过滤防火墙218
8.4.3应用代理218
8.4.4纵深防御219
8.5入侵检测系统220
8.5.1基于特征的入侵检测系统222
8.5.2基于异常的入侵检测系统223
8.6小结227
8.7习题227
第9章简单认证协议233
9.1引言233
9.2简单安全协议235
9.3认证协议237
9.3.1利用对称密钥进行认证240
9.3.2利用公钥进行认证243
9.3.3会话密钥244
9.3.4接近正向保密246
9.3.5双向认证、会话密钥以及PFS248
9.3.6时间戳248
9.4“认证”与TCP协议250
9.5零知识证明253
9.6协议分析技巧257
9.7小结258
9.8习题259
第10章现实世界的安全协议267
10.1引言267
10.2SSH268
10.3SSL270
10.3.1SSL和中间人272
10.3.2SSL连接273
10.3.3SSL与IPsec274
10.4IPsec275
10.4.1IKE阶段1276
10.4.2IKE阶段2283
10.4.3IPsec和IP数据报284
10.4.4传输和隧道模式285
10.4.5ESP和AH286
10.5Kerberos288
10.5.1Kerberized登录289
10.5.2Kerberos票据290
10.5.3Kerberos的安全291
10.6WEP292
10.6.1WEP认证293
10.6.2WEP加密293
10.6.3WEP协议的不完整性294
10.6.4WEP的其他问题295
10.6.5WEP：底线295
10.7GSM295
10.7.1GSM架构296
10.7.2GSM安全架构298
10.7.3GSM认证协议300
10.7.4GSM安全缺陷300
10.7.5GSM结论303
10.7.63GPP303
10.8小结304
10.9习题304
第Ⅳ部分软件
第11章软件缺陷与恶意软件314
11.1引言314
11.2软件缺陷315
11.2.1缓冲区溢出318
11.2.2不接近验证328
11.2.3竞争条件329
11.3恶意软件330
11.3.1恶意软件示例331
11.3.2恶意软件检测337
11.3.3恶意软件的未来339
11.3.4恶意软件检测的未来340
11.4基于软件的各式攻击340
11.4.1腊肠攻击341
11.4.2线性攻击341
11.4.3定时炸弹343
11.4.4信任软件344
11.5小结344
11.6习题345
第12章软件中的不安全因素353
12.1引言353
12.2软件逆向工程354
12.2.1Java字节码逆向工程356
12.2.2SRE示例358
12.2.3防反汇编技术362
12.2.4反调试技术363
12.2.5软件防篡改364
12.3软件开发366
12.3.1缺陷和测试367
12.3.2安全软件的开发369
12.4小结369
12.5习题370
附录376