拜托，先生或女士，你不看看我的書嗎？我花了很多年才寫出來的，你不看一下嗎？
Lennon 和McCartney
我討厭黑盒。我撰寫本書的主要目的在于闡明如今信息安全書籍中流行的一些黑盒。另一方面，我不想用瑣碎的細(xì)節(jié)煩擾你如果這是你想要的，可以去讀RFC。因此，本書經(jīng)常會(huì)忽略那些我認(rèn)為與所要表達(dá)的觀點(diǎn)無關(guān)的細(xì)節(jié)。你可以判斷我是否在這兩個(gè)相互競爭的目標(biāo)之間取得了適當(dāng)?shù)钠胶狻?br />我一直在努力持續(xù)跟進(jìn)，以便涵蓋廣泛的主題。本書的目標(biāo)是深入討論每一項(xiàng)內(nèi)容，以便你能夠理解安全問題，同時(shí)不會(huì)在細(xì)節(jié)上陷入太多的困境。我還試圖定期強(qiáng)調(diào)和重申要點(diǎn)，這樣就不會(huì)錯(cuò)過關(guān)鍵信息。
撰寫本書的另一個(gè)目標(biāo)是以生動(dòng)有趣的方式呈現(xiàn)主題。如果有任何計(jì)算主題令人興奮和富有趣味，那就是信息安全。
我也試圖在本書中插入一點(diǎn)幽默。人們說幽默源于痛苦，從笑話的質(zhì)量來看，可以說我的生活絕對(duì)是有魔力的。無論如何，大多數(shù)糟糕的笑話都會(huì)在腳注中出現(xiàn)，所以它們不會(huì)太分散你的注意力。
一些安全教科書提供了大量枯燥的理論。閱讀它們就像閱讀微積分教科書一樣令人興奮。其他書籍提供了一些看似隨機(jī)的、不相關(guān)的事實(shí)，給人的印象是安全根本不是一個(gè)真正連貫的主題。還有一些書籍把這個(gè)主題描述成一堆高級(jí)的管理性陳詞濫調(diào)。最后，一些書側(cè)重于安全中人的因素。雖然所有這些方法都有它們的作用，但我的看法是，首先，安全工程師必須完全理解底層技術(shù)的固有優(yōu)勢和弱點(diǎn)。
信息安全是一個(gè)巨大的主題，與其他更成熟的領(lǐng)域不同，這類書應(yīng)該包括什么內(nèi)容，或者如何以最佳方式組織它，作者并不完全清楚。我選擇圍繞以下四個(gè)主題來組織本書：
?? 加密技術(shù)
?? 訪問控制
?? 網(wǎng)絡(luò)安全
?? 軟件
在上述結(jié)構(gòu)中，這些主題富有彈性。例如，在訪問控制主題下，包含了傳統(tǒng)的認(rèn)證和授權(quán)主題，以及CAPTCHA 之類的非傳統(tǒng)主題。軟件主題非常靈活，包括軟件開發(fā)、惡意軟件和逆向工程等各種話題。
雖然本書關(guān)注的是實(shí)際問題，但已盡力涵蓋了足夠多的基本原則，這樣就可以為從事該領(lǐng)域的進(jìn)一步研究做好準(zhǔn)備。此外，我已盡可能地將背景要求降到最低。特別是，數(shù)學(xué)形式主義被保持在最低限度(附錄包含幾個(gè)基本數(shù)學(xué)主題的回顧)。盡管存在這種自我強(qiáng)加的限制，但我相信這本書比大多數(shù)安全書籍包含了更多實(shí)質(zhì)性的加密技術(shù)。學(xué)習(xí)本書，所需的計(jì)算機(jī)科學(xué)背景也很少一門介紹性的計(jì)算機(jī)組織課程(或類似的經(jīng)驗(yàn))就足夠了。假設(shè)你有一些編程經(jīng)驗(yàn)，那么匯編語言的基本知識(shí)在幾個(gè)章節(jié)中會(huì)有幫助，但不是強(qiáng)制性的。本書涵蓋了網(wǎng)絡(luò)基礎(chǔ)知識(shí)，因此不需要具備之前在該領(lǐng)域的知識(shí)或經(jīng)驗(yàn)。
如果你是一名信息技術(shù)專業(yè)人員，正在努力學(xué)習(xí)更多關(guān)于安全的知識(shí)，我建議你閱讀整本書。本書中大多數(shù)話題都是相互關(guān)聯(lián)的，跳過少數(shù)不相關(guān)的話題也不會(huì)節(jié)省太多時(shí)間。即使你是某個(gè)領(lǐng)域的專家，至少瀏覽一下我的介紹也是值得的，因?yàn)樵谶@個(gè)領(lǐng)域使用術(shù)語時(shí)經(jīng)常會(huì)出現(xiàn)不一致的情況，本書可能會(huì)提供一個(gè)不同于你在其他書中看到的視角。
如果你在教授一門安全課程，本書包含的內(nèi)容可能會(huì)比一學(xué)期的課程所能涵蓋的知識(shí)稍微多一點(diǎn)。我在本科安全課程上通常遵循的時(shí)間表如表1 所示。
表1 教學(xué)大綱建議
章節(jié) 時(shí)長 建議范圍
1. 引言 1 全部
2. 經(jīng)典加密 3 全部
3. 對(duì)稱密碼 4 全部
4. 公鑰加密 4 全部
5. 加密散列函數(shù) 4 省略5.7 節(jié)中的攻擊細(xì)節(jié)
6. 認(rèn)證 4 全部
7. 授權(quán) 2 全部
8. 網(wǎng)絡(luò)安全基礎(chǔ) 3 省略8.5 節(jié)
9. 簡單認(rèn)證協(xié)議 4 省略9.4 節(jié)
10. 現(xiàn)實(shí)世界的安全協(xié)議 4 省略WEP 或GSM
章節(jié) 時(shí)長 建議范圍
11. 軟件缺陷與惡意軟件 4 全部
12. 軟件中的不安全因素 3 全部
總計(jì) 40
安全不是一項(xiàng)觀賞性的運(yùn)動(dòng)解答大量的作業(yè)習(xí)題是學(xué)習(xí)本書內(nèi)容的一個(gè)重要方面。許多主題在習(xí)題中進(jìn)一步充實(shí)，有時(shí)會(huì)引入額外的主題。底線是你解決的問題越多，你學(xué)到的知識(shí)就越多。
基于本書的安全課程是個(gè)人或團(tuán)體項(xiàng)目的理想選擇。教科書網(wǎng)站(http://www.cs.sjsu.edu/~stamp/infosec/)包括關(guān)于密碼分析的部分，這是加密項(xiàng)目的一個(gè)可能來源。此外，許多作業(yè)習(xí)題很適合課堂討論或課堂作業(yè)，例如第10 章中的問題16或第11 章中的問題17。
在教科書網(wǎng)站上你可以找到PowerPoint 幻燈片、習(xí)題中提到的所有文件、勘誤表和許多其他有用的東西。如果第一次教授這門課，我會(huì)特別推薦PowerPoint幻燈片，這些幻燈片已經(jīng)過徹底的實(shí)戰(zhàn)檢驗(yàn)，并經(jīng)過多次改進(jìn)。
附錄中提到的數(shù)學(xué)知識(shí)在本書中是如何應(yīng)用的呢？初等模運(yùn)算出現(xiàn)在第3 章和第5 章的幾節(jié)中，而數(shù)論結(jié)果需要在第4 章和第9 章的9.5 節(jié)中使用。我發(fā)現(xiàn)大多數(shù)學(xué)生都需要溫習(xí)模運(yùn)算基礎(chǔ)知識(shí)。只需要20～30 分鐘的課堂時(shí)間就可以涵蓋模運(yùn)算的內(nèi)容，在深入研究公鑰加密技術(shù)之前，花費(fèi)這些時(shí)間是非常值得的。
附錄中簡要討論的置換在第3 章中最為突出，關(guān)于離散概率的材料需要在第6 章的密碼破解部分找到。
就像任何大型復(fù)雜的軟件項(xiàng)目都有缺陷一樣，可以形而上學(xué)地認(rèn)為本書也會(huì)有不足。我想知道你發(fā)現(xiàn)的任何問題或大或小。我將努力在教科書網(wǎng)站上維護(hù)一份最新的勘誤表。此外，不要猶豫，請(qǐng)為這本書的未來版本提供任何建議。
第3 版的新增內(nèi)容
本書的幾部分被重新組織和擴(kuò)展，而其他部分(和兩個(gè)完整的章節(jié))被刪除。
網(wǎng)絡(luò)安全的主要部分涵蓋了更廣泛的主題，包括網(wǎng)絡(luò)簡介，這使得基于本書的課程更獨(dú)立。根據(jù)本書的使用者反饋，在加密章節(jié)中新增了額外的例子，而協(xié)議章節(jié)已被修改和擴(kuò)展。第1 版和第2 版包含了一章關(guān)于現(xiàn)代密碼分析的內(nèi)容，這一章已從第3 版中刪除了，但仍然可以在教科書網(wǎng)站上找到，其他被刪除的主題也是如此。
所有的圖形都經(jīng)過了重新處理，變得更清晰、更好。當(dāng)然，第2 版中所有已知的錯(cuò)誤都被改正。作業(yè)習(xí)題也已進(jìn)行了更新。
信息安全是一個(gè)不斷發(fā)展的領(lǐng)域，自本書于2005 年首次出版以來，已發(fā)生了一些重大變化。然而，第1 版的基本結(jié)構(gòu)大體上保持不變。我相信這些年來本書主題的組織和列表一直保持得很好。因此，對(duì)于第3 版，本書的結(jié)構(gòu)變化更多的是進(jìn)化而不是革命。
在此要說明的是，本書的參考文獻(xiàn)和第12 章習(xí)題中提到的一些壓縮文件讀者可通過掃描封底的二維碼進(jìn)行下載。
Mark Stamp
Los Gatos, California
2021 年6 月