今天小编为大家精心挑选了关于《安全机制下电子商务信息论文(精选3篇)》，欢迎阅读，希望大家能够喜欢。[摘要]根据电力企业面临的安全风险和问题，提出信息安全工作开展的一般原则，从信息安全技术上和安全管理上提出解决安全问题的思路和方法，最后阐述信息安全问题随技术和应用的发展而发展，应在发展中求安全的观点。
安全机制下电子商务信息论文 篇1：
对一种高强度移动通信安全机制的分析与改进
【摘 要】本文分析了一种端到端的高强度移动通信安全机制，针对其存在的问题进行了改进，并基于椭圆曲线公钥加密算法提出了新的移动通信安全机制。
【关键词】移动通信系统；安全机制；认证与密钥协商
0.引言
第三代移动通信系统已在全球通信领域中得到了充分的应用和发展，以WCDMA等技术为代表的3G业务带来了最高可达14Mbps的带宽。另外，随着手机的CPU主频达到1G左右的水平，使得移动通信系统可以承载种类更多、流量更大的数据业务，然而目前3G通信系统的安全性仍主要由2G的安全机制所决定，因而其安全性要求也显得愈发地重要和迫切。
GSM的安全机制[1]基于手机与服务网络之间的论证与密钥协商过程。用户每次登记、呼叫建立尝试、位置更新以及在补充业务的激活、去活、登记或删除之前均需要鉴权。在连接后，无线信道的两侧MS和BTS均利用A5算法，以 和TDMA的帧号为参数，产生一对密钥流S1和S2，S2用于加密将要进入无线信道的信息数据流，S1用于解密从无线信道上传来的加密信息数据流。在基站子系统BSS端同样根据和帧号产生Sl和S2，与移动台相反，Sl用于解密，S2用于加密。
UMTS的安全机制[2,3]中，f8算法类似于GSM 中的A5算法，以CK等为参数，生成密钥流用于对进入无线信道的信息数据流进行加解密。同GSM有所不同的是，UMTS还提供了完整性保护，以IK等为参数输入 算法，可以得到信息完整性认证码MAC-I。在无线信道的两端，发送方计算出MAC-I附加在信息
流上送出，接收方计算一个预期的信息完整性认证码XMAC-I和收到的MAC-I进行比较，从而确定完整性是否得到了保护。
然而，GSM和UMTS系统均不同程度的存在着一些安全缺陷， UMTS虽然较GSM在安全体制上有了显著的提高，但是仍然无法提供高度安全的服务，况且在由2G向3G演进过程中通信系统的安全性仍由2G的安全机制决定的。对于类似于电子商务或者其他有特殊安全要求的业务，现有的安全机制无法保证通信的安全，所以我们必须提供强有力的端到端的安全机制。
2005年冒海霞等人提出了一种基于端到端的高强度移动通信安全机制MSMA[4]，可基于多种移动通信系统，如GSM，GPRS，UMTS等。一个鲁棒、安全的通信机制，必须提供鉴权认证、保密、完整性控制。MSMA的安全机制正是基于这三点来设计的，它包括了鉴权认证和密钥协商机制、数据加密以及完整性控制。
本文针对这种移动通信安全机制进行了分析，指出其协议中存在的漏洞以及不足，并在其基础上提出了新的移动通信安全机制协议，同时根据目前密码算法的发展和实际的加密需求，改进了架构的安全机制中所需的加密算法。新的协议可以提供强有力的端到端的安全机制，对于类似网上银行、网上证券等电子商务提供可靠的安全通信环境，也能够满足一些特殊部门和领域对于安全性的高要求。
1.对MSMA安全机制的分析
MSMA为会话的IMEi相互认证提供了一个基于公开密钥加密算法的鉴权认证和密钥协商机制AKA[5]。会话双方能够利用公钥加密算法互相认证的一个重要的前提是互相知道对方的公开密钥，但终端IMEi不可能同时拥有其他所有IMEs的公开密钥。当IMEi需要另一终端的公开密钥时，它首先检查另一终端的公开密钥是否在本地存储单元上，如果不存在，IMEi需向归属安全环境CA&SC请求。因此MSMA还需要提供用户(IMEs)访问归属安全环境(CA&SC)的AKA，这个AKA基于对称加密算法来实现。
1.1鉴权流程
IMEi向SC发起数据请求时，IMEi都需要获得CA颁发的证书，实现用户与归属安全环境的相互认证，为用户和其归属安全环境之间建立起会话密钥。其中，Kprvi代表IMEi和SC共享的密钥，Kt表示临时密钥，Kca代表CA的密钥，Ksc代表SC的密钥。Ki代表IMEi和SC会话的密钥，T，T+1代表时间戳。K(a,b)表示将内容a和内容b用密钥K经过对称加密算法加密后的密文。Noi表示IMEi的代号，能够标志IMEi的身份。其整个鉴权流程为：
第一，IMEi向CA发出Noi，请求与归属安全环境会话。
第二，CA收到Noi，根据Noi找到IMEi和CA共享的密钥Kprvi后，向IMEi发出Kprvi(Ki、Kca(Noi,Kca))。IMEi用Kprvi解密CA发来的密文，可得到Kt和Kca(Noi,Kca)。Kt是短期内使用的临时密钥，Kca(Noi,Kca)是访问CA的证书。IMEi若能通过解密获得Kca(Noi,Kca)并将其发回CA，CA就认定其为合法用户IMEi。
第三，IMEi发回Kt(Kca(Noi,Kca),T)，IMEi通过返回证书Kca(Noi,Kca)向CA表明自己的确是IMEi，并伴随着时间戳T，使得窃听者无法利用重发密文攻击。CA用Kt解密Kt(Kca(Noi,Kca),T)，得到了Kca(Noi,Kca)和T，CA看到了本方先前发出的证书Kca(Noi,Kca)，则认定IMEi为合法用户。
第四，CA发出Kt(Ki,Ksc(IMEi,Ki))给IMEi。IMEi收到后用Kt解密，获得Ki和Ksc(IMEi,Ki)。Ksc(IMEi,Ki)是CA颁发给IMEi的另一张证书，这张证书用于访问SC。
第五，IMEi发出Ki(Ksc(IMEi,Ki),T)给SC。SC用Ki解密后获得Ksc(IMEi,Ki)和时间戳T。证书Ksc(IMEi,Ki)使得SC相信对方就是IMEi，因为只有IMEi才能从CA处获取Ksc(IMEi,Ki)。SC用Ksc解密Ksc(IMEi,Ki)获得Ki，这是SC和IMEi会话的共享密钥。
第六，SC发送Ki(T+1)给IMEi，证明自己是真正的SC。非法入侵者既无法知道T也无法知道Ki，所以无法假造Ki(T+1)来回复IMEi。从而，不但CA&SC认证了IMEi，IMEi也认证了CA&SC。
1.2加密算法
在加密算法的选用方面，MSMA选用3DES作为其所需的对称加密算法，3DES是DES改进的加密算法，它使用三把密钥对报文进行三次DES加密，效果相当于将DES密钥的长度加倍。另外，MSMA选用RSA算法作为其所需的公开密钥加密算法[6]。
1.3该安全机制中存在的缺陷
上述方案在对称加密算法的用户访问归属安全环境AKA的鉴权流程中存在一个较为严重的漏洞。在原文的论述中，当认证中心CA与用户IMEi进行完交互论证过程后，CA发出Kt(Ki,Ksc(IMEi,Ki))给IMEi。IMEi用Kt解密获得Ki和Ksc(IMEi,Ki)后，用Ki加密Ksc(IMEi,Ki)和时戳T发给了安全中心SC。而SC用Ki解密后获得Ksc(IMEi,Ki)和时间戳T后，又用Ksc解密Ksc(IMEi,Ki)获得Ki，这里就存在矛盾：如果SC已经拥有Ki就不必再通过解密第二次得到Ki，相反如果SC没有Ki，那之前要解密得到Ksc(IMEi,Ki)和时间戳T就变得不可能实现。其次，在对用户IMEi的回复中，SC也用Ki加密时戳T＋1并发给IMEi，在这里可能出现合谋攻击。如CA与IMEi合谋伪造一个与SC的会话密钥Ki，而SC无法从验证其真实性，从而相信IMEi是可信用户。
另外，原方案中所采用的加密算法：3DES和RSA算法，在目前的信息安全背景下已跟不上需求。这两种加密算法都已有了更好的替代算法，能确保其加密过程更为安全和高效。
2.改进方案
针对上述机制中存在的鉴权流程方面的漏洞以及选用加密算法在现有条件下的不足之处，本文的改进方案如下：
IMEi向SC发起数据请求时，IMEi都需要获得CA颁发的证书，实现用户与归属安全环境的相互认证，为用户和其归属安全环境之间建立起会话密钥。其中，Kprvi代表IMEi和SC共享的密钥，Kt表示临时密钥，Kca代表CA的密钥，Ksc代表SC的密钥。Ki代表IMEi和SC会话的密钥，将CA发给用户IMEi的Kt(Ki,Ksc(IMEi,Ki))中的前一个Ki改为SC的公钥K'，T、T+1代表时间戳。K(a,b)表示将内容a和内容b用密钥K经过对称加密算法加密后的密文。Noi表示IMEi的代号，能够标志IMEi的身份。其整个鉴权流程为：
第一，IMEi向CA发出Noi，请求与归属安全环境会话。
第二，CA收到Noi，根据Noi找到IMEi和CA共享的密钥Kprvi后，向IMEi发出Kprvi(Kt、Kca(Noi,Kca))。IMEi用Kprvi解密CA发来的密文，可得到Kt和Kca(Noi,Kca)。Kt是短期内使用的临时密钥，Kca(Noi,Kca)是访问CA的证书。IMEi若能通过解密获得Kca(Noi,Kca)并将其发回CA，CA就认定其为合法用户IMEi。
第三，IMEi发回Kt(Kca(Noi,Kca),T)，IMEi通过返回证书Kca(Noi,Kca)向CA表明自己的确是IMEi，并伴随着时间戳T，使得窃听者无法利用重发密文攻击。CA用Kt解密Kt(Kca(Noi,Kca),T)，得到了Kca(Noi,Kca)和T，CA看到了本方先前发出的证书Kca(Noi,Kca)，则认定IMEi为合法用户。
第四，CA发出Kt(K',Ksc(IMEi,Ki))给IMEi。IMEi收到后用Kt解密，获得K'和Ksc(IMEi,Ki)。Ksc(IMEi,Ki)是CA颁发给IMEi的另一张证书，这张证书用于访问SC。
第五，IMEi发出K'(Ksc(IMEi,Ki),T)给SC。SC用自己的私钥D'解密后获得Ksc(IMEi,Ki)和时间戳T。证书Ksc(IMEi,Ki)使得SC相信对方就是IMEi，因为只有IMEi才能从CA处获取Ksc(IMEi,Ki)。SC用Ksc解密Ksc(IMEi,Ki)获得Ki，这是SC和IMEi会话的共享密钥。
第六，SC发送Ki(T+1)给IMEi，证明自己是真正的SC。非法入侵者既无法知道T也无法知道Ki，所以无法假造Ki(T+1)来回复IMEi。从而，不但CA&SC认证了IMEi，IMEi也认证了CA&SC。
接下来，IME1希望能够与IME2会话，需使用公开密钥加密算法的端到端的AKA，并经过两个步骤：①证实对方是自己所希望的会话对象，即认证；②进行密钥协商。其机制采用常用的公钥加密论证协商机制。通过这两个认证和密钥协商机制，IMEs之间就可以进行鉴权和安全会话。
RSA公钥加密算法通常用于对短数据的加密或密钥协商过程。但在移动通讯传输的过程中，限制于移动通讯的计算能力有限，因此RSA算法在效果上较差。在椭圆曲线公钥密码体制提出之后，由于其与基于有限域上的离散对数问题的密码体制相比，在同等安全条件下有更短的密钥，更加适合计算能力受限的移动通讯传输需求，因此我们将原文选取的公钥加密算法改用相同密钥长度的椭圆曲线公钥密码算法，以满足更高的安全要求。
3.结束语
本文对一种已有的高强度移动通信安全机制进行了分析，指出其协议中存在的漏洞以及不足，并在其基础上提出了新的移动通信安全机制协议，在鉴权流程中引入公钥，消除了原方案中可能存在的隐患，同时根据目前密码算法的发展和实际的加密需求改进了架构的安全机制中所需的加密算法。 [科]
【参考文献】
［１］3GPP Organizational Partners.3GPP IS 03.20 v9.0.0, Security Related Network Functions[EB/OL].http:// www.3gpp.org/ftp/Specs/archive/03-series/03.20/0320-900.zip,2001-01.
［２］3GPP Organizational Partners．3GPP IS 33．102 v6.3.0,Security Architecture[EB/OL].http://www. 3gpp.org/ftp/Specs/archive/33-serie/33.102/33102-2630.zip,2004-12.
［３］3GPP Organizational Partners．3GPP IS 33．105 v6．0．0，Cryptographic Algorithm Requirements[EB/OL]. http://www.3gpp.org/ftp/Specs/archive/33-serie＆/33.105/33105-600.zip,2004-06.
［４］冒海霞，陈天洲，戴鸿君．高强度移动通信安全中间件架构[J]．计算机应用研究，2006,23(8):91-94.
［５］张方舟,叶润国,冯彦君等.3G接入技术中认证鉴权的安全性研究[J].微电子学与计算机，2004，21(9): 33-37.
［６］刘苏东,韦宝典,王新梅.改进的3G认证与密钥分配协议[J].通信学报,2002,23(5):119-122.
作者：张恩宾
安全机制下电子商务信息论文 篇2：
电力企业信息安全问题研究
[摘要]根据电力企业面临的安全风险和问题，提出信息安全工作开展的一般原则，从信息安全技术上和安全管理上提出解决安全问题的思路和方法，最后阐述信息安全问题随技术和应用的发展而发展，应在发展中求安全的观点。
[关键词]信息安全 管理 对策
信息安全随着信息技术的发展而产生，并且其重要性日益凸现出来，信息安全的内涵也随着计算机技术的发展而不断变化，进入二十一世纪以来，信息安全的重点放在了保护信息，确保信息在存储，处理，传输过程中及信息系统不被破坏，确保对合法用户的服务和限制非授权用户的服务，以及必要的防御攻击的措施。即强调信息的保密性、完整性、可用性、可控性。
一、电力企业信息安全风险分析
信息安全风险和信息化应用情况密切相关，和采用的信息技术也密切相关，电力公司信息系统面临的主要风险存在于如下几个方面：（1）计算机病毒的威胁最为广泛：计算机病毒自产生以来，一直就是计算机系统的头号敌人，在电力企业信息安全问题中，计算机病毒发生的频度大，影响的面宽，并且造成的破坏和损失也列在所有安全威胁之首。病毒感染造成网络通信阻塞，系统数据和文件系统破坏，系统无法提供服务甚至破坏后无法恢复，特别是系统中多年积累的重要数据的丢失，损失是灾难性的；（2）网络安全问题日益突出：企业网络的联通为信息传递提供了方便的途径。企业有许多应用系统如:办公自动化系统，用电营销系统，远程教育培训系统等，通过广域网传递数据。企业开通了互联网专线宽带上网，企业内部职工可以通过互联网方便地收集获取信息，发送电子邮件等；（3）信息传递的安全不容忽视：随着办公自动化，财务管理系统，用电营销系统等生产，经营方面的重要系统投入在线运行，越来越多的重要数据和机密信息都通过企业的内部广域网来传输。同时电力公司和外部的政府，研究院所，以及国外有关公司都有着许多的工作联系，日常许多信息，数据都需要通过互联网来传输。网络中传输的这些信息面临着各种安全风险，例如被非法用户截取从而泄露企业机密；被非法篡改，造成数据混乱，信息错误从而造成工作失误。非法用户还有可能假冒合法身份，发送虚假信息，给正常的生产经营秩序带来混乱，造成破坏和损失。因此，信息传递的安全性日益成为企业信息安全中重要的一环；（4）用户身份认证和信息系统的访问控制急需加强：企业中的信息系统一般为特定范围的用户使用，信息系统中包含的信息和数据，也只对一定范围的用户开放，没有得到授权的用户不能访问。为此各个信息系统中都设计了用户管理功能，在系统中建立用户，设置权限，管理和控制用户对信息系统的访问。这些措施在一定能够程度上加强系统的安全性。但在实际应用中仍然存在一些问题。一是部分应用系统的用户权限管理功能过于简单，不能灵活实现更细的权限控制，甚至简单到要么都能看，要么都不能看。二是各应用系统没有一个统一的用户管理，企业的一个员工要使用到好几个系统时，在每个应用系统中都要建立用户账号，口令和设置权限，用户自己都记不住众多的账号和口令，使用起来非常不方便，更不用说账号的有效管理和安全了；（5）实时控制系统和数据网络的安全至关重要：电网的调度指挥，自动控制，微机保护等领域的计算机应用在电力企业中起步早，应用水平高，不但实现了对电网运行状况的实时监视，还实现了对电网一次设备的遥控，遥调以及保护设备的远方管理。随着数据网的建设和应用，这些电网监视和控制方面的系统逐步从采用专线通道传输数据转移到通过数据网络来传送数据和下发控制指控令。由于这些计算机系统可以直接管理和操作控制电网一次设备，系统的安全可靠，数据网的安全可靠，信息指令传输的实时性等直接关系着电网的安全，其安全等级要求高于一般的广域网系统。随着电子商务在电力企业中的应用逐步推广和深入，如何保障电子交易的安全，可靠，即电子商务安全问题也会越来越突出。
二、解决信息安全问题的基本原则
（一）采用信息安全新技术，建立信息安全防护体系。企业信息安全面临的问题很多，我们可以根据安全需求的轻重缓急，解决相关安全问题的信息安全技术的成熟度综合考虑，分步实施。技术成熟的，能快速见效的安全系统先实施
（二）计算机防病毒系统。计算机防病毒系统是发展时间最长的信息安全技术，从硬件防病毒卡，单机版防病毒软件到网络版防病毒软件，到企业版防病毒软件，技术成熟且应用效果非常明显。防病毒软件系统的应用基本上可以防治绝大多数计算机病毒，保障信息系统的安全。在目前的网络环境下，能够提供集中管理，服务器自动升级，客户端病毒定义码自动更新，支持多种操作系统平台，多种应用平台杀毒的企业版杀毒软件，是电网公司这样的大型企业的首选。个人版本的杀毒软件适合家庭，小规模用户。
（三）网络安全防护系统。信息资源访问的安全是信息安全的一个重要内容，在信息系统建设的设计阶段，就必须仔细分析，设计出合理的，灵活的用户管理和权限控制机制，明确信息资源的访问范围，制定信息资源访问策略。 对于已经投入使用的信息系统，可以通过采用增加安全访问网关的方法，来增强原有系统的用户管理和对信息资源访问的控制，以及实现单点登陆访问任意系统等功能。这种方式基本上不需要改动原来的系统，实施的技术难度相对小一些。对于新建系统，则最好采用统一身份认证平台技术，来实现不同系统通过同一个用户管理平台实现用户管理和访问控制。
三、解决信息安全问题的对策
（一）依据国家法律，法规，建立企业信息安全管理制度。国家在信息安全方面发布了一系列的法律法规和技术标准，对信息网络安全进行了明确的规定，并有专门的部门负责信息安全的管理和执法。企业首先必须遵守国家发布的这些法律法规和技术标准，企业也必须依据这些法律法规，来建立自己的管理标准，技术体系，指导信息安全工作。学习信息安全管理国际标准，提升企业信息安全管理水平。信息安全是企业信息化工作中一项重要而且长期的工作，为此必须各单位建立一个信息安全工作的组织体系和常设机构，明确领导，设立专责人长期负责信息安全的管理工作和技术工作，长能保证信息安全工作长期的，有效的开展，才能取得好的成绩。
（二）开展全员信息安全教育和培训活动。安全意识和相关技能的教育是企业安全管理中重要的内容，信息安全不仅仅是信息部门的事，它牵涉到企业所有的员工，为了保证安全的成功和有效，应当对企业各级管理人员，用户，技术人员进行安全培训，减少人为差错，失误造成的安全风险。开展安全教育和培训还应该注意安全知识的层次性，主管信息安全工作的负责人或各级管理人员，重点是了解，掌握企业信息安全的整体策略及目标，信息安全体系的构成，安全管理部门的建立和管理制度的制定等；负责信息安全运行管理及维护的技术人员，重点是充分理解信息安全管理策略，掌握安全评估的基本方法，对安全操作和维护技术的合理运用等；用户，重点是学习各种安全操作流程，了解和掌握与其相关的安全策略，包括自身应该承担的安全职责等。
（三）充分利用企业网络条件，提供全面，及时和快捷的信息安全服务。我省电力公司广域网联通了系统内的各个二级单位，各单位的局域网全部建成，在这种良好的网络条件下，作为省公司一级的信息安全技术管理部门应建立计算机网络应急处理的信息发布与技术支持平台，发布安全公告，安全法规和技术标准，提供安全软件下载，搜集安全问题，解答用户疑问，提供在线的信息安全教育培训，并为用户提供一个相互交流经验的场所。网络方式的信息服务突破了时间，空间和地域的限制，是信息安全管理和服务的重要方式。
作者：陈桂芬
安全机制下电子商务信息论文 篇3：
本科信息安全专业课程体系研究
摘要：结合武汉大学信息安全专业的办学特色，探讨在《信息安全专业指导性专业规范》指导下，制定信息安全专业主干课程内容及课程体系的方法。
关键词：信息安全 课程体系 行业标准
基金项目：教育部高等学校信息安全类专业教学指导委员会信息安全类专业建设和人才培养项目“信息安全专业规范的实施方案研究”(JZW201014)；湖北省高等学校省级教学研究项目“信息安全专业课程体系改革试点基地”(20102017)；武汉大学教学研究项目“信息安全专业课程体系改革试点基地”(KG2010006)。
伴随着信息科学的繁荣，信息安全越来越受到人们的关注。自2001年武汉大学创办我国第一个信息安全本科专业以来，据教育部高教司统计，截至2010年，教育部共批准了78所高校设置了信息安全本科专业，17所高校设置了信息对抗技术专业。经过10年的专业建设，我国已经形成了信息安全人才培养的完整体系，20多所高校具有信息安全本科、硕士点、博士点和博士后站[1]。
在人才培养过程中，培养计划是指挥棒，而培养计划又是由课程体系和能力体系来具体体现的，因此一个科学合理的课程体系和能力体系对人才培养非常重要。
经过10年的办学和发展，信息安全学科日渐成熟，已经形成了自己的学科内容[2]。教育部信息安全专业教学指导委员会于2010年制定出了《信息安全专业指导性专业规范》(以下简称《规范》)。研究制定符合《规范》的课程体系是非常必要的。
1 信息安全专业知识体系结构
《规范》对专业的学科基础、专业的知识体系、专业的能力体系[3-4]等做了详细的规定和说明。
信息科学基础知识领域主要根据信息安全专业所依托的学科和办学特色自己来确定。武汉大学主要是以计算机科学与技术学科的部分主干专业基础课和专业课为依托。
信息安全基础主要介绍信息安全的基本概念、信息安全面临的威胁和确保信息安全的措施等基本知识；信息安全数学是信息安全学的理论基础之一；信息安全法律基础介绍信息安全领域中的一些基本法律知识；信息安全管理基础介绍信息安全领域中的一些基本管理知识。信息安全法律和信息安全管理知识则是对整个信息安全系统的设计、实现与应用都有指导性作用的[2]。
密码技术是信息安全领域的关键技术，已经广泛应用于通信保密、信息系统安全和网络安全等许多信息安全的重要领域中。密码学的知识单元主要包括：密码学概念、分组密码、流密码、Hash函数、公钥密码、数字签名、认证和密钥管理等[2]。
通过学习网络安全，学生将可以了解网络安全的威胁，掌握入侵检测技术、安全防护技术以及应急响应机制等基本安全技术，可以为信息系统的设计和实现提供网络安全防御机制，从系统的整个生命周期考虑网络安全问题。网络安全的知识单元包括：网络安全概念、防火墙、入侵检测系统(IDS)、虚拟专用网(VPN)、网络协议安全、网络安全漏洞检测与防护、Web安全和通信网安全等[2]。
通过信息系统安全类课程的学习，使学生掌握信息系统安全的基本概念、基本理论与基本技术，结合实践锻炼使学生掌握分析和解决信息系统安全实际问题的基本能力。信息系统安全的知识单元包括：信息系统安全的概念、信息系统设备物理安全、信息系统可靠性技术、访问控制、操作系统安全、数据库安全、软件安全、电子商务安全、电子政务安全、数字取证技术、嵌入式系统安全和信息对抗等[2]。
通过学习信息内容安全，学生将可以了解信息内容安全的威胁，掌握信息内容安全的基本概念，熟悉或掌握信息内容的获取、识别和管控以及多媒体信息隐藏的基本知识和基本技术。信息内容安全的知识单元包括：信息内容安全的概念，网络数据的获取，信息内容的分析语识别，信息内容的管控，多媒体信息隐藏等[2]。
2 信息安全专业课程体系
2.1 课程体系设置原则
《规范》明确指出，在制定课程体系时，必须符合以下原则[2]：
1) 知识体系用课程体系来覆盖，每一个必修知识点都必须被覆盖，不准遗漏；
2) 重要的知识点允许有一定的重复，重复度可为3左右；
3) 课程体系对知识体系的覆盖可以有多种方法，可以有不同的课程设置方案；
4) 依据知识点的关联原则，在组成课程体系时，尽量将密切相关的知识点放在一门课中；
5) 在组成课程体系时，要注意知识点之间的前驱后继关系。要根据知识点之间的前驱后继关系安排课程的前后顺序。
依据《规范》，信息安全专业的研究内容划分为4个领域：密码学、网络安全、信息系统安全和信息内容安全[2]。但《规范》只规定各领域知识单元(学习内容)的最小集合，各个学校完全可以根据自己学校的特色添加学习内容。另外，在学习最小集合的内容的深浅程度上，《规范》也是取最低标准。因此，在一个领域内到底应该设置几门课程，不但要符合课程体系的设置原则，还要依据本校的办学特色。若学校偏重于网络安全方向，那么还应该开设网络安全、网络协议分析、VPN，无线网络安全等课程。依照此原则，结合武汉大学的特色，笔者给出武汉大学信息安全专业的专业主干课程如下：
密码领域：密码学。
网络安全领域：网络安全、信息安全工程和网络管理。
信息系统安全领域：软件安全、操作系统及安全、数据库安全、信息系统安全、电子商务和电子政务安全和智能卡技术。
内容安全领域：信息隐藏和信息内容安全。
2.2 课程的主要内容
下面是武汉大学信息安全专业若干专业主干课程[5]所包含的内容。
“密码学”课程的主要教学内容：密码学的概念、分组密码、流密码、Hash函数、公钥密码、数字签名、认证、密钥管理、密码应用。
“网络安全”课程的主要教学内容：网络安全概论、网络攻击行径分析、网络侦察技术、拒绝服务攻击、缓冲区溢出攻击、程序攻击、欺骗攻击、利用处理程序错误的攻击、访问控制技术、防火墙技术、入侵检测技术、VPN技术、网络病毒防治、无线网络安全防护、安全恢复技术。
“信息安全工程”课程的主要教学内容：信息安全工程基础、系统安全工程能力成熟度模型、信息安全工程实施、信息安全风险评估、信息安全策略、信息安全工程与等级保护、数据备份与灾难恢复、信息安全工程案例、信息安全组织。
“软件安全”课程的主要教学内容：软件安全概述、软件缺陷与漏洞挖掘利用、恶意软件机理及其防护、软件破解与自我保护、软件安全产品与软件安全评测。
“信息系统安全”课程的主要教学内容：信息系统安全的概念、信息系统设备物理安全、信息系统可靠性技术、访问控制、数字取证技术、嵌入式系统安全。
“电子商务和电子政务安全”课程的主要教学内容：电子商务的概念和主要内容、电子商务及安全体系结构、电子支付安全协议、电子商务应用安全协议、电子商务应用案例、电子政务的基本内容、政务信息交换安全、电子商务及电子政务安全的法律制度、电子商务和电子政务的应用安全。
“数据库安全”课程的主要教学内容：数据库及其应用系统的安全语义、数据库的访问控制、数据库安全策略、多级安全数据库管理系统、多级安全数据库原型系统和产品、多级安全数据库的推理通道问题、数据挖掘及其安全问题、数据库隐私、安全数据库应用系统。
“信息隐藏”课程的主要教学内容：信息隐藏技术概论、隐秘技术与分析、数字图像水印原理与技术、基于混沌特性的小波数字水印算法C-SVD、一种基于混沌和细胞自动机的数字水印结构、数字指纹、数字水印的攻击方法和策略、数字水印的评价理论和测试基准、数字水印应用协议、软件水印、数字权益管理、音频水印、视频水印。
“信息内容安全”课程的主要教学内容：信息内容安全的概念、网络数据的获取、信息内容的分析与识别、信息内容的管控、多媒体信息隐藏。
“智能卡技术”课程的主要教学内容：智能卡的基本概念和分类体系、集成电路卡的基本概念和原理、存储卡和逻辑加密卡的控制和接口设备、CPU卡的结构和原理、芯片操作系统的原理与设计方法、智能卡的主要安全技术、JAVA卡原理与开发方法、非接触式智能卡原理、RFID的基本原理与概念、智能卡应用规范与开发技术。
3 结语
目前该课程体系已经纳入武汉大学信息安全2010培养计划。和以往的培养计划相比，在新的培养计划中，信息安全的专业课程更加系统化，课程设置更加科学合理。在下一步的工作中我们将结合本文工作，总结出《信息安全专业指导性专业规范》的实施方案。
参考文献：
[1] 张焕国,王丽娜,杜瑞颖,等. 信息安全学科体系结构研究[J]. 武汉大学学报:理学版,2010,56(5):614-620.
[2] 《信息安全专业指导性专业规范》项目组. 信息安全类专业的专业指导规范[EB/OL].[2011-04-12]. http://ishare.iask.sina. com.cn/f/17806091.html.
[3] 杜瑞颖,张焕国,彭国军,等. 武汉大学信息安全专业实践教学体系的探索与研究[J]. 计算机教育,2007(10):22-27.
[4] 彭国军,张焕国,杜瑞颖,等. 信息安全竞赛与本科生科研创新实践能力培养[J]. 计算机教育,2010(24):1-4.
[5] 武汉大学教务部. 武汉大学本科人才培养方案[Z].2010.
Research on Architecture of Major Courses of Information Security Undergraduate
DU Ruiying, ZHANG Huanguo, WANG Lina, CHEN Jing
(Computer School, Wuhan University, Wuhan 430072, China)
Key words: Information Security; courses architecture; professional standard.
(编辑：彭远红)
作者：杜瑞颖 张焕国 王丽娜 陈晶