认识达内从这里开始

随着互联网的不断发展，越来越多的企业都在关注互联网网络安全问题，而本文我们就通过案例分析来简单了解一下，网络安全原则都有哪些类型。

1)安全原则

CIA三元组原则，是安全领域内基础也重要的原则。

(1)机密性(Confidentiality)用一句话来说就是，确保数据只被授权的主体访问，不被任何未授权的主体访问。简单用一个词总结就是“不可见”。

(2)完整性(Integrity)就是确保数据只被授权的主体进行授权的修改，简单来说，就是“不可改”。

(3)可用性(Availability)就是确保数据能够被授权的主体访问到，简单来说，就是“可读”。

2)黄金法则

黄金法则主要包含三部分：认证(Authentication)、授权(Authorization)、审计(Audit)。这三部分其实是一种串联的关系，它描述的其实是用户在使用应用过程中的生命周期：先进行登录、再进行操作、后留下记录。

(1)认证其实包括两个部分：身份识别和认证。身份识别强调的是主体如何声明自己的身份，而身份认证强调的是，主体如何证明自己所声明的身份是合法的。比如说，当你在使用用户名和密码登录的过程中，用户名起到身份识别的作用，而密码起到身份认证的作用。

(2)除了对“你能做什么”进行限制，授权机制还会对“你能做多少”进行限制。比如，手机流量授权了你能够使用多少的移动网络数据。原始和安全的授权机制，一定是你的每一次操作，都经过了管理人员的审批和确认。

(3)当你在授权下完成操作后，安全需要检查一下“你做了什么”，这个检查的过程就是审计。当发现你做了某些异常操作时，安全还会提供你做了这些操作的“证据”，让你无法抵赖，这个过程就是问责。

大部分情况下，事前防御属于认证，事中防御属于授权，事后防御属于审计。

3)密码学

(1)对称加密，代表加密和解密使用的是同一个密钥。的对称加密算法有DES、IDEA、AES、国密SM1和SM4。

(2)非对称加密代表加密和解密使用不同的密钥。具体的加解密过程就是，发送方使用公钥对信息进行加密，接收方收到密文后，使用私钥进行解密。的非对称加密算法包括：RSA、ECC和国密SM2。

(3)散列算法应该是常见到的密码学算法了。大量的应用都在使用MD5或者SHA算法计算一个的id。

4)身份认证

身份认证可以分为两个部分：对外认证和对内认证。对外认证，其实就是应用的登录注册模块，它面向用户进行认证。

除了应用本身需要有登录注册的模块，应用的各种内部系统同样需要涉及登录认证的功能，比如：服务器的登录、数据库的登录、Git的登录、各种内部管理后台的登录等等。这也就是我所说的对内认证。

对外认证是单一场景下的认证，对内认证是多场景下的认证。

当账号体系变得越来越复杂时，如何对这些账号进行统一的管理，是解决身份认证问题的关键。而单点登录(SingleSignOn，SSO)就是一个非常有效的解决方案。

单点登录的概念很简单：用户只需要进行一次认证，就可以访问所有的网页、应用和其他产品了。CAS是一个开源的单点登录框架，它不属于某一种单点登录的实现方式，而是提供了一整套完整的落地方案。

【免责声明】：本内容转载于网络，转载目的在于传递信息。文章内容为作者个人意见，本平台对文中陈述、观点保持中立，不对所包含内容的准确性、可靠性与完整性提供形式地保证。请读者仅作参考。更多内容请加抖音太原达内IT培训学习了解。