信息安全工程（第2版）（国外计算机科学经典教材）

内容简介

《国外计算机科学经典教材：信息安全工程（第2版）》第1版于2001年问世后，受到了广大读者的热烈欢迎。今天的安全领域已经发生了巨大变化：垃圾邮件发送者、病毒编写者、网络钓鱼者、洗钱者以及间谍们的作案水平不断提升，搜索引擎、社交网络乃至电子投票机等新领域都成为这些犯罪者们新的攻击目标，恐怖事件也对世界产生了深远影响。本书针对这些新情况全面更新了第1版的内容，指导您构建能够轻松抵御恶意攻击的可靠系统。《国外计算机科学经典教材：信息安全工程（第2版）》表述准确、讲解清晰，是安全工程领域的鸿篇巨著，涵盖的内容包括工程技术基础、攻击类型、专用保护机制、安全经济学和安全心理学等，适合所有对安全工程感兴趣的读者使用。

目录

第Ⅰ部分
第1章 安全工程的含义
1.1 简介
1.2 框架
1.3 实例1——银行
1.4 实例2——军事基地
1.5 实例3——医院
1.6 实例4——家庭
1.7 定义
1.8 小结
第2章 可用性与心理学
2.1 简介
2.2 基于心理学的攻击
2.2.1 假托
2.2.2 钓鱼
2.3 心理学研究的视点
2.3.1 人脑在哪些方面逊于计算机
2.3.2 认知偏差与行为经济学
2.3.3 思维处理的不同方面
2.3.4 人的差别
2.3.5 社会心理学
2.3.6 人脑在哪些方面胜于计算机
2.4 密码
2.4.1 可靠密码输入的困难
2.4.2 记住密码的困难
2.4.3 幼稚的密码选取
2.4.4 用户能力与培训
2.4.5 社会工程攻击
2.4.6 可信路径
2.4.7 对钓鱼攻击的应对措施
2.4.8 钓鱼攻击的未来
2.5 系统问题
2.5.1 是否可以拒绝服务
2.5.2 保护自己还是保护他人
2.5.3 对密码输入的攻击
2.5.4 密码存储攻击
2.5.5 限制
2.6 CAPTCHA
2.7 小结
2.8 研究问题
2.9 补充书目
第3章 协议
3.1 引言
3.2 密码窃听的风险
3.3 简单身份验证
3.3.1 质询与应答
3.3.2 MIG中间人攻击
3.3.3 反射攻击
3.4 操纵消息
3.5 环境变化
3.6 选择协议攻击
3.7 加密密钥管理
3.7.1 基本密钥管理
3.7.2 Needham——Schroeder协议
3.7.3 Kerberos
3.7.4 可行的密钥管理
3.8 迈向形式化
3.8.1 一个典型的智能卡银行协议
3.8.2 BAN逻辑
3.8.3 支付协议认证
3.8.4 形式化认证的局限性
3.9 小结
3.10 研究问题
3.11 补充书目
第4章 访问控制
4.1 引言
4.2 操作系统访问控制
4.2.1 组与角色
4.2.2 访问控制列表
4.2.3 Unix操作系统安全
4.2.4 AppleOS/X
4.2.5 Windows——基本体系结构
4.2.6 能力
4.2.7 Windows——新增的特性
4.2.8 中间件
4.2.9 沙盒与携带证明的代码
4.2.10 虚拟化
4.2.11 可信计算
4.3 硬件保护
4.3.1 Intel处理器与可信计算
4.3.2 ARM处理器
4.3.3 安全处理器
4.4 存在的问题
4.4.1 破坏堆栈
4.4.2 其他攻击技术
4.4.3 用户接口失败
4.4.4 为何错误百出
4.4.5 补救措施
4.4.6 环境变化
4.5 小结
4.6 研究问题
4.7 补充书目
第5章 密码学
5.1 引言
5.2 历史背景
5.2.1 早期流密码：vigenere
5.2.2 一次一密法
5.2.3 早期的分组密码——Playfair
5.2.4 单向函数
5.2.5 非对称原语
5.3 随机预言模型
5.3.1 随机函数：哈希函数
5.3.2 随机序列生成器：流密码
5.3.3 随机置换：分组密码
5.3.4 公钥加密和陷门单向置换
5.3.5 数字签名
5.4 对称加密原语
5.4.1 SP网络
5.4.2 加密标准
5.4.3 Feistel密码
5.5 操作模式
5.5.1 电子密码本
5.5.2 密码分组链
5.5.3 输出反馈
5.5.4 计数器加密
5.5.5 密码反馈
5.5.6 消息身份验证码
5.5.7 操作模式的组合
5.6 哈希函数
5.6.1 基础加密的额外要求
5.6.2 常用哈希函数及应用
5.7 非对称加密原语
5.7.1 基于因数分解的加密
5.7.2 基于离散对数的加密
5.7.3 特殊用途的原语
5.7.4 椭圆曲线加密
5.7.5 证书
5.7.6 非对称加密原语的强度
5.8 小结
5.9 研究问题
5.10 补充书目
第6章 分布式系统
6.1 引言
……
第Ⅱ部分
第Ⅲ部分
参考文献

摘要与插图

银行运行着大范围的安全关键（security-critical）的计算机系统。
　　（1）银行业务的核心通常是一个分行簿记系统，其中保存了客户账目主文件，并且记录了日常交易的大量分类账。对这一系统的主要威胁是银行的内部员工，每年都有l%的银行员工被解雇，其中大部分都是因为小规模的欺诈（平均额度只有几千美元）。对这种威胁的主要防御措施是已经演化了几百年的簿记流程，比如，对某个账号的每个借方都必须有针对其他账号的一个等额的贷方与之匹配，因此钱只是在银行内部流动，从来不会被创造或销毁。此外，大额转账需要2、3个人共同批准才能进行。还有各种报警系统，用来监控异常交易额度或交易模式，并且员工需要定期休假，休假期间不能进入银行或者访问银行系统。
　　（2）自动取款机（automatic teller machine，ATM）是银行的公开窗口，ATM根据客户的银行卡与个人身份号码进行交易身份验证——通过这种身份验证方式同时防御外部与内部的攻击者——要比看起来难得多。本地的坏人（或者银行员工）发现了银行系统中可利用的漏洞，导致在很多国家和地区都流行“错误提款（phantom withdrawal）”。ATM之所以有趣，还因为它们是密码学在商业上的次大规模应用，并且帮助确立了很多加密标准。
　　……