1.4 网络信息安全工程技术面临的新挑战
1.4.1 网络信息安全工程技术存在的问题
网络信息安全主要涉及网络信息的安全和网络系统本身的安全。在信息网络中存在着各种资源设施，随时存储和传输大量数据；这些设施可能遭到攻击和破坏，数据在存储和传输过程中可能被盗用、暴露或篡改。另外，信息网络本身可能存在某些不完善之处，网络软件也有可能遭受恶意程序的攻击而使整个网络陷于瘫痪。同时，网络实体还要经受诸如水灾、火灾、地震、电磁辐射等方面的考验。
1．影响计算机信息网络安全的因素
一是信息网络硬件设备和线路的安全问题。例如，Internet的脆弱性；电磁泄漏；搭线窃听；非法终端；非法入侵；注入非法信息；线路干扰；意外原因；病毒入侵；黑客攻击等。二是信息网络系统和软件的安全问题。例如，网络软件的漏洞及缺陷；网络软件安全功能不健全或被安装了“特洛伊木马”；应加安全措施的软件未给予标识和保护；未对用户进行等级分类和标识；错误地进行路由选择；拒绝服务；信息重播；软件缺陷；没有正确的安全策略和安全机制；缺乏先进的安全工具和手段；程序版本错误等。三是信息网络管理人员的安全意识问题。例如，保密观念不强或不懂保密规则；操作失误；规章制度不健全；明知故犯或有意破坏网络系统和设备；身份证被窃取；否认或冒充；系统操作的人员以超越权限的非法行为来获取或篡改信息等。四是环境的安全因素。环境因素威胁着网络的安全，如地震、火灾、水灾、风灾等自然灾害或掉电、停电等事故。
2．Internet存在的安全缺陷
Internet不论在网络范围规模，还是在方便快捷开放方面，都是其他任何网络无法比拟的，但是，存在的信息网络安全缺陷也是十分严重的。因为，互联网是分散管理的，是靠行业协会标准和网民自律维系的一个庞大体系。Internet原是一个不设防的网络空间，从学校进入社会及企业和政府以后，国家安全、企业利益和个人隐私的保护就日显突出。
Internet上行为的法律约束脆弱，原有的法律不完全适用，适应网络环境的新法律还远远不配套，因此对网络犯罪、知识产权的侵犯和网上逃税等问题缺少法律的威慑和惩治能力。对网上的有害信息、非法联络违规行为都很难实施有效的监测和控制。Internet的跨国协调十分复杂，对过境信息流的控制及跨国黑客犯罪的打击、数字产品关税收缴等问题协调困难。Internet上国际化与民族化的冲突日益突出，各国之间的文化传统、价值观念、语言文字的差异造成了网络行为的碰撞。
3．Internet存在的主要安全问题
一是TCP/IP网络协议的设计缺陷。TCP/IP是国际上最流行的网络协议，该协议在实现上因力求实效，而没有考虑安全因素，因此TCP/IP本身在设计上就是不安全的。很多基于TCP/IP的应用服务都在不同程度上存在着不安全的因素；缺乏安全策略；配置复杂。访问控制的配置一般十分复杂，所以很容易被错误配置，从而给黑客以可乘之机。二是薄弱的认证环节。例如，Internet使用薄弱的、静态的口令，可以通过许多方法破译。其中最常用的两种方法是把加密的口令解密和通过监视信道窃取口令；一些TCP或UDP服务只能对主机地址进行认证，而不能对指定的用户进行认证。三是系统的易被监视性。例如，当用户使用Telnet或FTP连接在远程主机上的账户时，在Internet上传输的口令是没有加密的，那么侵入系统的一个方法就是通过监视携带用户名和口令的IP包获取；X Windows系统允许在一台工作站上打开多重窗口来显示图形或多媒体应用。闯入者有时可以在另外的系统上打开窗口来读取可能含有口令或其他敏感信息的击键序列。四是网络系统易被欺骗性。主机的IP地址被假定为是可用的，TCP和UDP服务相信这个地址。如果使用了“IP source routing”，那么攻击者的主机就可以冒充一个被信任的主机或客户。五是有缺陷的局域网服务和相互信任的主机。可以被有经验的闯入者利用以获得访问权；允许主机们互相“信任”。如果一个系统被侵入或欺骗，那么对于闯入者来说，获取那些信任它的访问权就很简单了。六是复杂的设备和控制。对主机系统的访问控制配置通常很复杂而且难于验证其正确性，因此，偶然的配置错误会使闯入者获取访问权。一些主要的UNIX经销商仍然配置成具有最大访问权的系统，如果保留这种配置，就会导致未经许可的访问。
1.4.2 信息化新阶段的网络信息安全
信息化新阶段导致网络信息安全内涵不断扩展，网络信息安全不断面临新的挑战，应当提高创新能力，健全网络信息安全法制，保障网络信息安全。
1．信息化新阶段导致网络安全内涵不断扩展
当今世界，信息科技革命日新月异，互联网已经融入经济社会发展的方方面面。2014年是我国接入国际互联网20周年。据统计，到2014年中，我国互联网普及率已达46.9%，同比增长6.9%，手机网民5.27亿，同比增长13.5%。中国互联网发展进入新的十年，宽带化、移动性、泛在性成为互联网应用的显著特征。毫无疑问，拥有6亿多网民的中国已经是网络大国，同时也是信息窃取、网络攻击的主要受害者，面临着巨大的网络安全压力。
宽带化是互联网发展的必然要求。2013年8月，我国发布宽带中国战略及实施方案，要求到2015年固定宽带家庭普及率和3G/4G用户普及率分别达到50%和32.5%，2020年分别达到70%和85%；城市和农村家庭宽带接入能力基本达到20Mbps和4Mbps，2020年分别达到50Mbps和12Mbps。随着宽带中国战略的实施，2014年第三季度，中国网民平均可用下载速率超过4Mbps，相对2013年同期的3Mbps提升33%。
“大智移云”（大数据、智能化、移动互联网和云计算）是互联网发展的又一重要特征，或者说信息化发展进入到“大智移云”新阶段。这里的智能化包括物联网的感知和大数据的挖掘所支撑的用户体验。
2．网络安全问题日益突出，网络安全内涵不断延伸
通常，人们把网络基础设施的安全称为网络安全，把数据与内容的安全称为信息安全。但从2011年以来，美国、英国、法国、德国、俄罗斯、澳大利亚、加拿大、韩国、新西兰等国家纷纷制定网络空间信息安全国家战略，以争取和保持在信息化新阶段的国家安全的战略优势地位。网络空间包含网络基础设施、数据与内容以及控制域，即覆盖传输层、认知层和决策层，其范围还将从目前的互联网拓展到各类网络、各类数据链和所能链接及管控的各类设备。网络空间信息安全的含义不仅是传统的网络基础设施安全，还包括信息层面即数据或内容的安全以及执行决策层面的安全，即与信息化有关的非传统安全的综合。
3．信息化新阶段网络安全面临挑战
网络安全挑战越加严峻。《中国互联网发展报告（2014）》报道，我国面临大量境外地址攻击威胁，国家互联网应急中心监测发现在2013年我国境内1090万余台计算机主机被境外服务器控制，其中源自美国的占30.2%。我国境内6.1万个网站被境外控制，较2012年增长62.1%。2013年针对我国银行等境内网站的钓鱼页面数量和涉及的IP地址数量分别较2012年增长35.4%和64.6%。
移动互联网的安全问题甚至比桌面互联网更严重。截至2014年6月，我国移动智能终端用户数占全球的30%，移动互联网用户数5.27亿，占网民总数的83.4%，占移动用户数的41.8%，移动互联网接入流量同比增长44.7%，户均移动互联网接入流量达到每月175MB，其中手机上网流量占比提升至84.1%。大量移动互联网用户的增加导致了移动终端的设备越来越多样，这也意味着管理起来将更加困难。移动终端因功耗等限制，无法像PC（个人计算机）那样内置功能强大的防火墙。移动终端相比PC涉及的用户身份信息多，具有定位能力但可被跟踪，移动支付还涉及银行账号，移动终端的安全问题比PC严重得多。据统计，2014年上半年标记骚扰电话号码8330万，拦截垃圾短信385.6亿，拦截伪基站短信12.38亿。安卓移动操作系统尽管已经使用了针对应用软件的签名系统，但黑客仍然能使用匿名的数字证书来签署他们的病毒并发放。据报道，受美国标准委员会NIST批准，美国家安全局（NSA）和加密公司RSA达成了价值超过1千万美元的协议，在移动终端所用的加密技术中放置后门，使NSA通过随机数生成算法Bsafe的后门程序破解各种加密数据。可见，移动互联网的安全问题是当前网络安全面临的一个重要挑战。
4．信息安全防御的新重点转向大数据、云计算
伴随移动互联网等的发展，大数据近年受到越来越多的关注。据BBC公司统计，2013年全球互联网流量每天为2.7EB，全球新产生的数据年增40%，每两年就可以翻番。大数据的挖掘可应用到经济、政治、国防、文化等各领域。大数据是信息化新阶段的特征，也是网络安全防御的新重点。我国对大数据的存储、保护和利用重视不够，导致信息丢失或不完整，同时存在信息被损坏、篡改、泄露等问题，给国家的信息安全和公众的隐私保护带来了隐患。此外，宽带化以及信息化应用的深入推动了云计算发展。个人的云存储、企业的云制造，还有云政务等在近年迅速发展。云计算能力的分布化、虚拟化、服务化是云计算的技术基础，但云计算平台如果被攻击，出现故障，就会导致大规模的服务器瘫痪。
5．物联网的安全问题不容忽视
物联网结点数多，不易于管理，结点的数据可能被篡改或者假冒，这是物联网安全的重大隐患。比如，现在物联网已经应用到了医疗设备上，如果像心脏起搏器这样的设备被黑客攻击，将直接影响到人的生命安全。黑客还能够通过智能电视、冰箱以及无线扬声器等发起攻击。在全球首例物联网攻击事件中，十余万台互联网“智能”家电在黑客的操控下构成了一个恶意网络，并在两周时间内向那些毫无防备的受害者发送了约75万封网络钓鱼邮件。谷歌眼镜会对它拍下的所有照片进行扫描，如果拍下或看到的二维码含有恶意，这种二维码在谷歌眼镜被解析后可劫持谷歌眼镜，它所能监视的不仅仅是其使用者的生活——实际上是使用者在看什么它就能看到什么，使用者听什么它就能听到什么，甚至不经谷歌眼镜主人控制就发出去，这带来严重的隐私泄漏问题。
此外，工业控制系统的安全也需要加强，2012年4月黑客入侵了美国的智能电表系统并修改了电表数据。还有一些国家刻意准备网络战，目的是破坏对方的信息系统并进而摧毁能源、交通等基础设施，著名的案例是2010年9月伊朗的铀燃料浓缩设施被“震网”病毒攻击而瘫痪。这些都值得人们警惕。
6．提高创新能力，健全网络法制，保障网络安全
当前，我国所用的PC操作系统和手机操作系统技术几乎都源自国外，核心芯片依赖进口，这是很大的隐患。在网络安全方面，如果自己没有过硬的技术，就很难实现安全可控的管理。斯诺登事件爆出美国大规模入侵华为服务器就是一例。外国的核心技术是买不来的，也是市场换不来的，但我国的市场对培育自主创新的技术和产品是必不可少的。这就要求我们在培育网络核心技术方面也要发挥市场在资源配置中的决定性作用和更好地发挥政府的作用。
建设网络强国，需要我们有与网络大国相适应的国际互联网治理的话语权。当前，尤其要抓住向IPv6（互联网协议第6版）转换的机会极力争取根服务器落户中国，积极宣传我国发展互联网的政策，共同维护国际互联网秩序。
1.4.3 信息安全工程技术主要研究方向
政府试图延缓密码编制学的传播所采取的输出控制条例、密钥-契约计算等措施将被证明是无效的，并将被抛在一边。原因很简单：人们将上亿美元用于Internet的商业化，而且商业化的Internet需要密码编制学。没有哪个人会为要满足那些冷战专家和国家调查机关而试图危及平均10亿美元的共同体电子贸易。就此来看，一个旨在保全政府面子的折中处理方法是不可避免的。
政府将放弃规范网络内容的努力。Internet没有国家界限，这使得政府如果不在网络上截断Internet与本国的联系就不可能控制人们的所见所闻。但对于像AOL、Compuserve及Microsoft这样具备国际性系统的网络，即使完全切断联系也没有用。个人卫星通信系统如Iridium将最终结束国家的数据界限。这将使针对网络通信量或交易量收税的工作产生有趣的和不可预期的效应。国家数据政策发布的不确定性将反映在不断改变、混乱且无意义的条例中，就像近期未付诸实施的通信传播合法化运动一样。这些法律将被忽略、变更或成为过去，而网络则将安然无恙，继续存在。
现在如果发生一次主计算机系统安全崩溃事故，那么将至少会有几个或更多亿的金融系统遭到破坏。随着货币在形式上变得越来越电子化，其流动也就越来越快。这种流动使得货币在容易携带的同时也更容易被偷窃。由于大多数至关重要的财经信息涌上网络，来自于内部的对于系统安全性的威胁将会变得越来越大。不道德的雇员将会偷走电子商品，投资者和存款人不得不让政府保护，这种偷窃行为必将增加财经领域中的计算机现行安全制度的压力。这种制度或由政府或由金融界的审计员来制定。
随着网络在规模和重要性方面的不断增长，系统和网络管理技术的发展将继续深入。由于很多现行的网络管理工具缺乏最基本的安全性，使整个网络将可能被入侵者完全破坏，达到其法定所有者甚至无法再重新控制它们的程度。最终，我们将认识到网络管理和安全管理是同一事物的不同方面，两者密不可分、相互关联。对这样一种概念的认知将是一件好事。因为，因系统提供商的标准之争和公众对于其私人信息与交易安全性的担心而被推迟了很长一段时间的在线商业，最终将会逐步繁荣起来。
在大量的计算机安全诉讼案获得胜诉后，律师们将对有关计算机安全案件的胜诉前景产生足够的信心。案件追踪律师会大量介入Internet，并努力寻找用以对抗计算机窃贼的系统缺陷、为“黑客”提供宿主的站点和未对私人信息提供足够保护的其他网络站点。递增的与Internet相关的诉讼案将引起公司虚拟化并将总部设在国外不确定地区的风潮。
某种保护个人数据隐私的法律法规将会建立。但这也许太迟了，因为到那时，从事数据搜集的公司已将他们的业务转移到国外，并有服务机构专职出售信息，而其他服务机构则将过滤、修正甚至“放大”这些信息。
一些软件公司将由于产品质量或连带责任的诉讼而遭受巨大的经济损失。软件质量的现权法将逐渐形成。目前软件的这种处于模糊状态的售出情况，即使对于一个能支付得起大量金钱雇佣律师甚至收买法律制定者的软件公司来说，也会因诉讼的损失巨大而不能维持太久。如果一个轿车制造厂家应对制造出在交通事故中发生爆炸的轿车负责任的话，软件生产厂商也应对生产出由于安全方面存在漏洞而使其使用者蒙受财产损失的软件负责。随着当代没有技术知识的立法者和法官被新生的具有技术头脑的立法者和法官所取代，软件和网络安全现权法的时代也将到来了。
一些人利用其软件开发人员的工作，在某些流行的网络化软件中留下了特洛伊木马，这使他们日后有能力攻击成千上万的网络系统，构成系统安全的严重危害。这种现象已经发生了，只是人们还没有给予足够的重视而已。
智能卡和数字认证将变得盛行。随着越来越多的系统利用密码技术，最终用户需要将密钥和验证码存放在不易丢失的地方。所以他们要用智能卡来备份以防硬盘损坏，并将智能卡广泛内置于个人数字助手（PDA）中。
软件将主要以Java或Active X这样可供下载的可执行程序的方式运作。网络安全管理系统的建造者们需要找到如何控制和维护可下载式程序的方法。同时他们也要编制一些必要的工具以防止某些可下载式有害程序的蔓延。这样的程序主要是病毒、特洛伊木马以及其他到目前为止仍无法想象出的一些程序。
HTTP文件格式将被越来越多的信息服务机构作为传递消息的方式。Point cast现在就是按照HTTP格式的反馈要求来分渠道传送信息，可以预见，其他的信息机构也将相继效仿这种方法。防火墙对于将安全策略应用于数据流的作用将减低并会逐渐失去其效力。
虚拟网络将与安全性相融合，并与网络管理系统结合起来。软件和硬件将协同工作以便将带有不同类型的目的和特性的应用系统与网络彼此隔离，由此产生的隔离体仍将被称作“防火墙”。