摘 要：在通信网络中,安全保密是必要的。但是为网络提供安全保密服务又会给通信网络带来一些问题,如加密的效益问题、互通问题、通信效率问题,保密设备管理和密钥管理等问题。本文对其中的一些主要问题进行了讨论,对其根源、解决措施作了研究。
关键词：网络安全；密钥管理；通信
引 言:随着通信技术和电子技术的发展，通信网络的规模日益扩大，且向着数字化、宽带化、高速化、综合化、全球化、一体化的方向发展。这必然会对网络的安全保密系统提出更高的要求.这种高要求不仅体现在安全强度上、通信效率上、而且还体现在保密设备的管理和密钥管理上。如何做到涉密信息的安全保密是我们面临的新课题，就此，谈一点自己的看法。
1泄密的几个途径
1.1电磁波辐射泄密
一个完整的计算机网络在进行工作时，是存在电磁波辐射的，只要有专门的接收装置，就能接收到辐射信息从而造成泄密，它的辐射主要有四个环节：联接线路辐射；显示器辐射；主机辐射；输出设备辐射。有资料显示，在开阔地100米左右，用监听设备就能收到辐射信号。
1.2网络泄密
计算机局域网的建立及其三级网、二级网、一级网的逐步建成运行，是今后检察信息化工作发展的方向，这些网络的应用使分布在不同位置不同单位的计算机具有了信息传递的渠道，扩大了计算机的应用范围，大大的提高了工作效率和降低了行政成本。每个用户终端，都可利用各个计算机中存储的文件、数据，在信息共享的同时，主机与用户之间，用户与用户之间存在很多泄密的漏洞，甚至有那些未经授权的非法用户或窃密分子通过冒名顶替、长期试探或其它办法进入网络系统进行窃密，还有联网后，线路通道分支较多，输送信息的区域也较广，截取所送信息的条件就较便利，窃密者在网络的任何一条分支线路上或某一个节点、终端进行截取，就能获得整个网络的输送信息。
1.3操作人员泄密
计算机操作人员的泄密是目前泄密的重灾区，为此，我厂制订了切合我厂实际情况的计算机网络安全保密措施，为我厂的工作起到了极大的推动作用。如：安全授权，设立分级网络管理机构和相应的网络管理员。建立、健全岗位责任制。安全审查，在工作人员获准接触、保管机密信息前，必须对他们进行安全审查。安全警卫员应具有所保卫的重要机房最高密级的授权，应按此标准挑选、审查。对清洁工也要和工作人员一样进行审查。调离交接，一旦重要机房的工作人员辞职或调离，应立即取消他出入安全区、接触保密信息的授权。安全教育，必须定期对工作人员进行安全教育，包括听讲座，观看影片、录相资料，学习信息安全材料带。以此提高工作人员的信息安全防护意识。但操作人员仍有可能从以下几个方面造成泄密：①无知的泄密。如不知道计算机软盘上剩有可提取还原的信息，将曾经储存过秘密信息的软盘交流出去，造成泄密；②保密意识不强，违反规章制度泄密。如计算机故障后不按规定程序修理，或者在不能处理秘密信息的计算机上处理秘密信息；有的甚至交叉使用计算机等；③故意泄密。这是极少数人为了个人利益或者个人的其它目的的泄密。这属于应该受到纪律或法律追究的行为。
2如何做好安全保密工作
计算机网络的保密防范工作应该从技术和行政两个方面入手：
2.1技术层面的防范工作。
2.1.1硬件方面
使用低辐射计算机网络设备。这些设备在设计生产时，就对硬件、电路、连接线等采取了防辐射措施，能将信息辐射降到最低程度。屏蔽。在安装局域网时要使用屏敝线材和模块，并对计算机机房加以屏敝。是物理隔离。单位局域网采取内、外网物理隔离。上互联网的外网与办公自动化的内网互不相联接。为了达到更好的安全保密效果，我院准备建立专门的电子阅览室。
2.1.2软件方面
采取以下安全策略：①帐号锁定策略。设置帐号锁定阀值，5次无效登录后，即锁定帐号。②身份认证技术。身份认证是对网络中的主体进行验证的过程，用户必须提供他是谁的证明，他是某个雇员，某个组织的代理、某个软件过程，如股票交易系统或Web订货系统的软件过程。认证的标准方法就是弄清楚他是谁，他具有什么特征，他知道什么可用于识别他的东西。通常有下列三种方法验证身份：一是只有该主体了解的秘密，如口令、密钥；二是主体携带的物品，如智能卡；三是只有该主体具有的独一无二的特征或能力，如指纹、声音或签字等。
密码机制：口令是相互约定的代码，假设只有用户和系统知道。口令有时由用户选择，有时由系统分配。通常情况下，用户先输入某种标志信息，比如用户名和ID号，然后系统询问用户口令，若口令与用户文件中的相匹配，用户即可进人访问。口令有多种，如一次性口令，系统生成一次性口令的清单，第一次时必须使用X，第二次时必须使用Y，第三次时用Z，这样一直下去；还有基于时间的口令，即访问使用的正确口令随时间变化，变化基于时间和一个秘密的用户钥匙。这样口令每分钟都在改变，使其更加难以猜测。一是密码必须符合复杂性要求，即密码中必须包括字母、数字以及特殊字符，如：上档键上的+_（）*&^%$#@!?><”:{} 等特殊字符。二是服务器密码长度最少设置为8位字符以上。三是密码最长保留期。一般设置为1至3个月，即30－90天。四是密码最短存留期：3天。四是强制密码历史：0个记住的密码。五是“为域中所有用户使用可还原的加密来储存密码”，停用。
智能卡：访问不但需要口令，也需要使用物理智能卡。在允许其进人系统之前检查是否允许其接触系统。智能卡大小形如信用卡，一般由微处理器、存储器及输入、输出设施构成。微处理器可计算该卡的一个惟一数（ID）和其他数据的加密形式。ID保证卡的真实性，持卡人就可访问系统。为防止智能卡遗失或被窃，许多系统需要卡和身份识别码（PIN） 同时使用。若仅有卡而不知PIN码，则不能进人系统。智能卡比传统的口令方法进行认证更好，但其携带不方便，且开户费用较高。
主体特征认证：利用个人特征进行认证的方式具有很高的安全性。目前已有的设备包括：视网膜扫描仪、声音验证设备、手型识别器。这些识别系统能够检测如指印，签名，声音，零售图案这样的物理特征。但大多数这样的系统极具实验性，价格昂贵而且不是百分之百的可靠。任何一个送数据到远程系统去核实的系统有被搭线窃听的危险，非法入侵者只须记录下送去系统的校验信息，以后再重显示这些信息，就能窃密。当然这同样也是标记识别系统的一个问题。
③审核策略。默认安装时是关闭的。激活此功能有利于管理员很好的掌握机器的状态，有利于系统的入侵检测。可以从日志中了解到机器是否在被人蛮力攻击、非法的文件访问等等。开启安全审核是系统最基本的入侵检测方法。当攻击者尝试对用户的系统进行某些方式（如尝试用户口令,改变账号策略，未经许可的文件访问等等）入侵的时候，都会被安全审核记录下来。避免不能及时察觉系统遭受入侵以致系统遭到破坏。建议至少审核登录事件、帐户登录事件、帐户管理三个事件。④“用户权利指派”。在“用户权利指派”中，将“从远端系统强制关机”权限设置为禁止任何人有此权限，防止黑客从远程关闭系统。
加强对Administrator帐号和Guest帐号的管理监控，将Administrator帐号重新命名，创建一个陷阱账号，名为“Administrator”，口令为10位以上的复杂口令，其权限设置成最低，即：将其设为不隶属于任何一个组，并通过安全审核，借此发现攻击者的入侵企图。设置2个管理员用账号，一个具有一般权限，用来处理一些日常事物；另一个具有Administrators 权限，只在需要的时候使用。修改Guest用户口令为复杂口令，并禁用GUEST用户帐号。
2.1.3禁止使用共享
严格限制用户对共享目录和文件的访问，无特殊情况，严禁通过共享功能访问服务器。
2.1.4清除页面文件
修改注册表HKLM\SYSTEM\CurrentControlSet\Control\ Session Manager\Memory Management中“ClearPageFileAtShutdown”的值为“ 1”，可以禁止系统产生页面文件，防止信息泄露。
2.1.5清除Dump文件
打开控制面板→系统属性→高级→启动和故障恢复，将“写入调试信息”改成“无”，可以清除Dump文件，防止信息泄露。
2.2行政管理
2.2.1建立健全严格的、可操作性强的计算机网络管理制度，以制度管好网络。
2.2.2规定分级使用权限。对各种资料划分密级，采取不同的管理措施和手段。根据分工的不同低密级的人员不能访问高密级的计算机，密级高的资料不能在密级低的计算机中处理。
2.2.3加强对干警的管理。首先每个干警要树立牢固的保密观念，经常性的进行保密教育和学习，使每个干警充分的认识到保密的重要性，增强保密意识。对安全保密情况要定期或不定期的进行检查，发现问题及时纠正，对问题严重的要按规定进行处理，做到防微杜渐。对保密的新措施、新知识，要适时组织操作人员学习，使操作人员真正的掌握防止泄密的方法和手段。
总之，在加强计算机网络安全保密的工作中，要坚持技术层面的防范和行政管理并重的原则，完善保密制度，强化保密意识，采取有效的技术保密手段，确保工作秘密信息不从计算机网络中泄漏出去。
作者简介：肖旭慧，女，河南南阳油田，政工师，学士，保密办主任。
刘少锋，男，河南南阳油田，政工师。
白瑛华，女，河南省扶沟县，计算机应用技术学士学位，工程师。
白瑛华，手机13633990495,yh-917@163.com
(责任编辑：)
