2017-2018-2 20179215 密码与安全新技术期末总结

2017-2018-2 20179215 密码与安全新技术期末总结

课程：《密码与安全新技术》

班级： 1792班

姓名： 袁琳

学号：20179215

上课教师：谢四江

必修/选修： 必修

日期：2018年6月30号

首先备注一点

上次论文总结由于考试忙于复习错过了提交日期，请老师见谅

这次在这里补上作业链接

我们组的论文总结:

https://www.cnblogs.com/yl-930/p/9247157.html

一、对于其他组的报告总结体会

第一组:李栋 郭永健

论文题目:Simple Proofs of Sequential Work------简单的连续工作证明

论文内容：试图通过「空间证明」（Proof of Space）来保证比特币及其他加密货币的安全。「空间证明」是Bram Cohen之前提出的一种取代PoW的工作证明方式。

我的体会：对于区块链的研究是现在的热门话题，相对于我导师组的研究方向身份认证，现在也常常使用到区块链技术，最近看了信息工程大学的两篇基于区块链技术的身份认证研究论文，对区块链技术的应用有了了解。

第二组:李鹏举 任逸飞

论文题目:基于PrT网络与RBAC模型测试

论文内容：给出了RBAC模型要素，NIST RBAC模型，层次RBAC等的基本概念，之后提出了一种RABC的测试模型，最后给出了对各种测试对象的测试结果

我的体会：身份认证技术与访问控制常常是一个系统的“门卫”，分别决定着访问者以及访问者权限，通常论文都是给出基本的RABC模型，之后分析不足提出改进方法，而这篇论文角度新颖，提出了一种测试方法，来检测访问控制缺陷。我觉得这对于我们看论文有很大帮助，思路要打开，要看各个方向的论文而不是局限于自己导师给自己定的方向上，有时候看得多了，在想自己的课题的时候会豁然开朗。

第四组:王孟亚 刘霄

论文题目:CAAC - 智能基础设施中紧急情况的自适应和主动访问控制方法

论文内容：论文提出了一个新的模型---CAAC模型。CAAC通过向系统中特定选择的对象提供访问特权，以执行响应动作，而不需要人为的请求，从而促进了响应行为。动作生成模型（AGM）

我的体会：与第二组同学方向相同，都是讲访问控制技术的，但是这篇是在具体应用上提出的一种新的访问控制模型。我觉得在以后写论文或者讲述一个较难理解的问题时可以从身边的实例讲起，这样更容易让我们接受一个新知识。

二、教师课程内容总结

第一次课

主要讲的是关于量子密码的相关知识

内容:

• 1、量子概念
• 2、量子计算与量子计算机
• 3、量子通信
• 4、量子密钥分发
• 5、量子密码与经典密码的区别
• 6、量子密码中的两个基本问题.
• 7、量子通信的另外一种方式 “量子隐形传态”
• 8、抗量子计算密码
• 9、抗量子计算密码的发展现状

总结：

量子密码术与传统的密码系统不同，它依赖于物理学作为安全模式的关键方面而不是数学。实质上，量子密码术是基于单个光子的应用和它们固有的量子属性开发的不可破解的密码系统，因为在不干扰系统的情况下无法测定该系统的量子状态。理论上其他微粒也可以用，只是光子具有所有需要的品质，它们的行为相对较好理解，同时又是最有前途的高带宽通讯介质光纤电缆的信息载体。

实践中，量子密码术在IBM的实验室中得到了证明，但仅适合应用于相对较短的距离。在较长的距离上，具有极纯光特性的光纤电缆成功的传输光子距离达60公里。只是与Heisenberg不确定性原理和光纤中的微杂质紧密相连的BERs(出错率)使系统不能稳定工作。虽然有研究已经能成功地通过空气进行传输，但在理想的天气条件下传输距离仍然很短。量子密码术的应用需要进一步开发新技术来提高传输距离。

链接地址：

https://www.cnblogs.com/yl-930/p/8666090.html

第二次课

主要讲的是关于区块链的相关知识

内容:

• 1、区块链是什么
• 2、区块链系统核心优势
• 3、区块链工作原理
• 4、挖矿，又称工作量证明（POW）
• 5、共识机制
• 6、区块链分叉
• 7、区块链衍生概念
• 8、公链和私链的特点
• 9、比特币的区块链系统有哪些内在缺陷？
• 10、区块链技术2.0的发展
• 11、区块链发展及应用

总结：

区块链是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。从数据的角度来看，区块链是一种实际不可能被更改的分布式数据库。传统的分布式数据库仅由一个中心服务器节点对数据进行维护，其它节点存储的只是数据的备份。而区块链的“分布式”不仅体现为数据备份存储的分布式，也体现在数据记录的分布式，即由所有节点共同参与数据维护。单一节点的数据被篡改或被破坏不会对区块链所存储的数据产生影响，以此实现对数据的安全存储。

有两个关键技术点：

1.时间戳

区块链数据库让全网的记录者在每一个区块中都盖上一个时间戳来记账，表示这个信息是这个时间写入的，形成了一个不可篡改、不可伪造的数据库。

2．共识机制

构建一整套协议机制，让全网每一个节点在参与记录的同时也来验证其他节点记录结果的正确性。只有当全网大部分节点（或甚至所有节点）都同时认为这个记录正确时，或者所有参与记录的节点都比对结果一致通过后，记录的真实性才能得到全网认可，记录数据才允许被写入区块中。并且构建一个分布式结构的网络系统，让数据库中的所有数据都实时更新并存放于所有参与记录的网络节点中。这样即使部分节点损坏或被黑客攻击，也不会影响整个数据库的数据记录与信息更新。

链接地址：

[https://www.cnblogs.com/yl-930/p/8666090.html
](https://www.cnblogs.com/yl-930/p/8799008.html)

第三次课

主要讲的是关于跨媒体安全的相关知识

内容:

• 1、网络空间安全前沿技术介绍----跨媒体安全

• 2、跨媒体大数据分析与计算

• 3、研究热点

• 4、安全问题

• 5、研究背景与意义

• 6、973面向公共安全的跨媒体计算理论与方法

• 6.1.关键科学问题之一：跨媒体数据统一表示和建模方法

• 6.2.关键科学问题之二：跨媒体数据关联推理和深度挖掘

• 6.3.关键科学问题之三：跨媒体数据综合搜索和内容合成

• 6.4.跨媒体数据统一表示和建模机制

• 6.5.跨媒体属性感知模型与行为计算

• 6.6.跨媒体语义学习与内容理解

• 7、海量跨媒体数据挖掘与公共安全态势分析

• 8、跨媒体搜索与内容整合

• 9、面向公共安全的跨媒体呈现与验证和示范平台

总结：

跨媒体是一个比较广义的概念，主要包括以下几个研究范畴：

1）跨媒体检索
用户向计算机提交一种类型的多媒体对象作为查询例子，系统可以自动找到其他不同类型、在语义上相似的多媒体对象。虽然不同类型的多媒体对象之间没有直接的可比性，如一幅山水画和一段描述小河流水声的音频在底层内容特征上彼此异构，但却可以用机器学习、统计分析等方法学习二者在统计意义上潜在的相关性，并以此为依据进行跨媒体检索。

2）跨媒体推理

推理是指从一个命题合理演绎到另一个命题，跨媒体推理就是从一种类型的多媒体数据，经过问题求解，转向另一种类型的多媒体数据。例如，OCR（Optical Character Recognition）技术是从图像到文本的推理、基于内容的图像检索是从图像到图像的推理、视频动画技术是从视频数据到动画序列的演绎等。跨媒体推理囊括了对这些不同类型的多媒体数据之间的转换的研究。

3）跨媒体存储

现有处理海量数据的检索技术主要针对的是文本信息，如谷歌和百度等搜索引擎，针对多媒体检索的研究工作的出发点并不是针对跨媒体海量数据；跨媒体存储研究高效压缩、索引和分片等方法，以及对用户行为的个性化索引等技术，用于提高海量环境下的跨媒体检索效率，以更好地支持上层应用。
上述三点，从底层数据存储到上层应用技术的不同方面，描述了跨媒体思想对多媒体研究领域的技术涵盖和突破性要求，是一个整体性的研究框架设计。要实现上述研究思路，需要在海量数据库、多媒体索引、并行计算、机器学习和统计分析、计算机视觉，以及信息检索等诸多领域取得突破性进展。
现有处理海量数据的检索技术主要针对的是文本信息，如谷歌和百度等搜索引
应用场景： 网络内容监管、舆情分析、信息检索、智慧医疗、自动驾驶、智能穿戴设备等等。

链接地址：

[[https://www.cnblogs.com/yl-930/p/8666090.html]](https://www.cnblogs.com/yl-930/p/8947427.html)

第四次课

主要讲的是关于侧信道分析的相关知识

内容:

• 1、侧信道分析简介
• 2、侧信道分析的半导体物理基础
• 3、侧信道分析分类
• 4、时序分析
• 5、功耗分析
• 6、电磁分析
• 7、激光错误注入
• 8、侧信道分析技术与其他密码分析技术结合
• 9、未来的一些研究热点

总结：

侧信道攻击有两种相互交叉的分类：

（1）侧信道攻击可以分为入侵型、半入侵型和非入侵型攻击。入侵型攻击通过特殊的工具对设备进行物理篡改，需要打开卡片直接访问芯片表面，如揭开智能卡的保护层，直接在数据总线上连线，观察数据传输。入侵型的攻击可以不干扰芯片的正常操作 ；半入侵型的攻击也需要打开卡片，访问芯片表面，但是不需要篡改钝化层，也就是对金属表面不需要电接触；非入侵型的攻击只利用暴露在外部的可用信息，如能量消耗、运行时间等等。

（2）侧信道攻击还可以分为主动攻击和被动攻击。主动攻击是指攻击者篡改芯片的正常操作功能，例如在芯片计算过程中引入错误，发起错误攻击；被动攻击只是观察芯片处理数据的行为，收集可以利用的侧信道信息，而不去干扰芯片的操作。被动攻击也可以是入侵型攻击，因为可能需要打开芯片，以便于更好的收集信息。

链接地址：

[https://www.cnblogs.com/yl-930/p/8666090.html
](https://www.cnblogs.com/yl-930/p/9010931.html)

第五次课

主要讲的是关于模糊测试漏洞挖掘的相关知识

内容:

• 1、常见漏洞挖掘技术
• 2、漏洞挖掘示例
• 3、Android常用破译工具
• 4、模糊测试阶段
• 5、模糊测试的局限性
• 6、黑盒测试与模糊测试
• 7、模糊测试技术的发展方向
  • 7.1 提高测试用例的通过率
  • 7.2 协议格式自动化分析
  • 7.3 引进并行和分布式技术
  • 7.4 基于知识库构造测试用例
  • 7.5 提高代码覆盖率
  • 7.6 更多平台的支持
  • 7.7 模糊测试的智能化

总结：

模糊测试定义成是一种通过提供非预期的输入并监视异常结果来发现软件故障的方法。模糊测试典型地是一个自动的或半自动的过程，这个过程包括反复操纵目标软件并为其提供处理数据。当然，这是一个相当泛化的定义，但是这个定义抓住了模糊测试的最基本概念。所有的模糊器都可分被分为两大类：基于变异的模糊器，这种模糊器对已有数据样本应用变异技术以创建测试用例；基于生成的模糊器，这种模糊器通过对目标协议或文件格式建模的方法从头开始产生测试用例。

模糊测试方法的选择依赖不同的因素，可能有很大的变化。没有一种绝对正确的模糊测试方法。模糊测试方法的选择完全取决于目标应用程序、研究者的技能，以及需要测试的数据所采用的格式。然而，无论要对什么进行测试，也不论确定选择了哪种方法，模糊测试总要经历几个基本的阶段。
1.识别目标。在没有考虑清楚目标应用程序的情况下，不可能对模糊测试工具或技术作出选择。如果是在安全审核的过程中对内部开发的应用程序进行模糊测试，目标应用程序的选择应该小心谨慎。相反，如果是对第三方应用程序进行安全漏洞的发掘研究，这种选择就有一定的灵活性。在识别目标应用程序的时候，需要考察开发商过去被发现的安全漏洞的相关历史。这可以通过浏览安全漏洞收集站点来完成，例如SecurityFocus17或Secunia18。一个开发商如果在过去的安全漏洞历史记录方面表现不佳，那么很可能有比较差的编码习惯，最终将会导致更多的安全漏洞被进一步发现。选择了目标应用程序之后，还必须选择应用程序中具体的目标文件或库。如果确要选择目标文件或库，应该选择那些被多个应用程序共享的库，因为这些库的用户群体较大，出现安全漏洞的风险也相应较高。
2.识别输入。几乎所有可被人利用的漏洞都是因为应用程序接受了用户的输入并且在处理输入数据时没有首先清除非法数据或执行确认例程。枚举输入向量对模糊测试的成功至关重要。未能定位可能的输入源或预期的输入值对模糊测试将产生严重的限制。在查找输入向量同时应该运用水平思考。尽管有一些输入向量是很明显的，但是其它一些则难以捉摸。最后要说的是，任何从客户端发往目标应用程序的输入都应该被认为是输入向量。这些输入包括消息头、文件名、环境变量、注册键值等等。所有这些都应该被认为是输入向量，因此都应该是可能的模糊测试变量。
3.生成模糊测试数据。一旦识别出输入向量，模糊测试就必须被生成。如何使用预先确定的值、如何变异已有的数据或动态生成数据，这些决策将取决于目标应用程序及其数据格式。不管选择了哪种方法，这个过程中都应该引入自动化。
4.执行模糊测试数据。这一步与前一步并行进行，在这一步，模糊测试成为一个动词。执行过程可能包括发送数据包给目标应用程序、打开一个文件或发起一个目标进程。同样，这个过程中的自动化也是至关重要的。没有自动化，我们便无法执行真正的模糊测试。
5.监视异常。在模糊测试过程中，一个至关紧要但却被经常忽视的步骤是对故障或异常的监视过程。举一个例子，如果我们没有办法准确指出是哪一个数据包引起崩溃的话，那么向目标Web服务器发送10000个模糊测试数据包并最终导致服务器崩溃便是一次无用的努力。监视可以采用多种形式并且应该不依赖目标应用程序和所选择的模糊测试类型。
6.确定可利用性。一旦故障被识别，因审核的目标不同，还可能需要确定所发现的bug是否可被进一步利用。这典型地是一个人工过程，需要具备安全领域的专业知识。因此执行这一步的人可能不是最初执行模糊测试的人。

链接地址：

[https://www.cnblogs.com/yl-930/p/8666090.html](https://www.cnblogs.com/yl-930/p/9077649.html)

第六次课

主要讲的是关于模式识别的相关知识

内容:

• 一、基础概念
• 二、模式识别的主要方法
• 三、模式识别系统的典型构成
• 四、模式识别关注的内容
• 五、线性分类器
• 六、非线性分类器
• 七、总结与思考
• 1、模式识别、机器学习的区别和联系
• 2、深度学习：一统江湖的架构
• 3、数据挖掘
• 4、大数据（Big-data）

总结：

模式识别作为一门交叉学科，其研究的重点不是人类进行模式识别的神经生理学或生物学原理，而是研究如何通过一系列数学方法让机器来实现类人的识别能力。这是我们的长期奋斗目标，也是有着极大研究意义的学科，希望它能够在各专家和学者的不懈努力下实现更大的突破。

解决模式识别的方法主要有：模板匹配法，ANN法，基于知识的方法和基于数据的方法；基于知识的方法就是专家系统，句法识别就属于基于知识的，但是句法识别不常用；基于数据的方法也就是基于统计的方法，即依据统计原理来构造分类器，来对未知样本进行预测，这种学习过程是机器学习中研究最多的一个方向，也是模式识别采用的最主要方法。ANN也就是大名鼎鼎的神经网络，哈哈。模式识别的研究范畴，存在两个极端，要么分类和特征之间的关系完全确定，要么完全随机。

链接地址：

[https://www.cnblogs.com/yl-930/p/8666090.html](https://www.cnblogs.com/yl-930/p/9144088.html)

三、课程总结与建议

每堂课老师给我们讲述的都是现在最新的前沿的技术，对于我来说开阔了眼界、增长了许多之前不知道的知识，总体上收获很大。给老师的建议就是可是增加点动手实践或者看些与这些技术相关的视频，不仅有趣吸引学生而且也丰富知识让课堂变得有趣。

四、感悟体会

从这门课程中了解了许多自己以前没有接触过，或只是大概听说过的技术，也碰到了自己挺感兴趣的技术比如跨媒体技术，总体上收获是很多的。研究生就是个不断丰富知识，提高涵养的学习过程，要有钻研精神，有好奇心，面对着这些前沿的新技术，我们要学会主动学习，能找到自己感兴趣并愿意为之钻研的领域就最好了。