一、引言一核心概念定义信息安全架构是系统架构设计师考试的核心模块占比约 15%其中加解密算法、PKI 密钥管理、访问控制模型是选择题和案例分析题的高频考点。信息安全的核心目标包括机密性、完整性、可用性、不可否认性、可控性其中机密性依赖加解密技术实现可控性依赖访问控制技术实现而密钥管理体系是两者的信任基础。二技术发展脉络加解密技术经历了三个发展阶段1949 年之前的古典加密阶段如凯撒密码以手工加密为主1949-1976 年的现代对称加密阶段1977 年 DES 算法正式成为美国联邦标准标志着对称加密进入工业化应用1976 年 Diffie-Hellman 密钥交换协议提出开启非对称加密时代1978 年 RSA 算法发布2001 年 AES 取代 DES 成为新一代对称加密标准同时 PKI 体系逐步成为全球通用的公钥管理标准。三考试考点说明本文覆盖软考高级系统架构设计师考试大纲中 信息安全技术 模块的全部核心考点包括对称与非对称加密算法对比、RSA 算法原理、PKI 角色职责、访问控制模型等高频考点知识点直接对应历年真题命题方向。信息安全核心技术体系架构图二、加解密算法核心原理与对比一对称加密算法原理核心定义对称加密又称共享密钥加密加密和解密使用同一密钥其核心原理是通过置换、混淆等密码学操作将明文转换为密文运算过程可逆密钥是唯一的解密凭证。典型算法技术细节DES数据加密标准1977 年发布采用 56 位有效密钥附加 8 位奇偶校验位分组长度 64 位通过 16 轮 Feistel 网络实现加密由于密钥长度过短暴力破解成本低于 10 万美元2005 年正式被废弃仅在遗留系统中存在。3DES三重 DES 算法为解决 DES 安全性问题提出采用两个 56 位密钥执行 K1 加密 - K2 解密 - K1 加密 的三次运算有效密钥长度 112 位安全性显著提升但运算速度仅为 DES 的 1/3目前多用于金融行业遗留系统的兼容性改造。AES高级加密标准2001 年发布支持 128/192/256 位密钥分组长度 128 位采用 SP 网络结构10-14 轮轮运算运算速度是 3DES 的 10 倍以上抗差分攻击、线性攻击能力强是目前工业界的主流对称加密算法广泛应用于文件加密、HTTPS 通信、数据存储加密等场景。优势与局限性对称加密的优势是运算速度快AES-256 加密速度可达 1Gbps 以上、硬件支持成熟、密文膨胀率低局限性是密钥分发困难N 个用户通信需要 N*(N-1)/2 个密钥无法实现不可否认性适合加密大量数据如文件内容、流媒体数据。对称与非对称加密算法原理对比示意图二非对称加密算法原理核心定义非对称加密又称公开密钥加密使用一对数学上相关的密钥公钥和私钥公钥可公开分发私钥由持有者严格保密公钥加密的内容只能由对应的私钥解密私钥签名的内容只能由对应的公钥验证。典型算法技术细节RSA1978 年发布基于大整数质因数分解难题密钥长度通常为 1024/2048/4096 位既可以用于加密公钥加密、私钥解密也可以用于数字签名私钥签名、公钥验证是目前应用最广泛的非对称加密算法HTTPS 证书、数字签名、密钥交换等场景均有应用。ECC椭圆曲线加密算法基于椭圆曲线离散对数难题相同安全强度下密钥长度远小于 RSA256 位 ECC 密钥安全性等价于 3072 位 RSA 密钥运算速度快、存储需求小广泛应用于移动设备、物联网等资源受限场景。Diffie-Hellman密钥交换协议允许通信双方在不安全信道上协商生成共享对称密钥无需预先交换密钥信息是 HTTPS TLS 握手阶段的核心技术之一。加密与签名逻辑加密场景发送方使用接收方的公钥加密明文接收方使用自己的私钥解密密文保证只有指定接收方可以获取明文实现机密性。签名场景发送方使用自己的私钥对消息摘要进行签名接收方使用发送方的公钥验证签名确认消息发送方身份且未被篡改实现不可否认性和完整性。优势与局限性非对称加密的优势是密钥分发简单N 个用户通信仅需要 N 对密钥可实现身份认证和不可否认性局限性是运算速度慢RSA 加密速度仅为 AES 的 1/1000 左右密文膨胀率高仅适合加密小数据量内容如对称密钥、消息摘要或数字签名场景。RSA 加密与签名流程对比图三、PKI 公钥基础设施架构与角色职责一PKI 体系核心定义PKI公钥基础设施是管理公钥的标准化体系通过数字证书将公钥与实体身份绑定解决公钥分发的信任问题是互联网身份认证、HTTPS 通信、电子签章等场景的信任基础符合 ITU-T X.509 国际标准。二核心组件与角色职责数字证书符合 X.509 标准的结构化数据相当于实体的 网络身份证包含持有者身份信息、公钥、证书有效期、证书用途、CA 数字签名等内容用户通过验证 CA 签名确认证书的真实性。CA认证中心PKI 体系的核心权威机构负责证书的签发、更新、吊销、发布 CRL证书吊销列表是 PKI 信任链的根节点全球顶级根 CA 仅有 10 余家如 DigiCert、GlobalSign 等。RA注册审批机构CA 的前置服务机构负责验证证书申请者的身份真实性、审核证书申请材料审核通过后将请求提交给 CA 签发证书RA 本身不具备证书签发权限这是历年考试的高频考点。证书库存储已签发的数字证书和 CRL对外提供公开查询服务通常采用 LDAP 协议实现。三PKI 工作流程证书申请者生成密钥对将公钥和身份信息提交给 RARA 验证申请者身份真实性审核通过后将申请信息提交给 CACA 使用自己的私钥对申请者的公钥和身份信息进行签名生成数字证书返回给申请者同时发布到证书库其他用户获取证书后使用 CA 的公钥验证证书签名的有效性确认证书持有者身份和公钥的真实性。PKI 体系架构与证书签发流程图四典型应用案例国内某大型银行的电子签章系统基于 PKI 体系构建由自建 CA 中心统一签发用户证书RA 系统负责审核企业用户资质用户签署电子合同前需通过 UKey 验证私钥身份签署过程使用私钥对合同摘要进行签名验证方通过 CA 公钥验证签名有效性实现电子合同的不可否认性符合《电子签名法》要求累计签署合同超 10 亿份伪造签名风险为 0。四、访问控制模型核心原理与实现一访问控制核心概念访问控制的目标是防止非法用户访问系统资源同时防止合法用户越权访问是实现信息安全可控性目标的核心技术符合 GB/T 25069-2010《信息安全技术 术语》国家标准。二访问控制三要素主体S主动访问资源的实体包括用户、进程、服务等是访问操作的发起者。客体O被访问的被动实体包括文件、数据库表、API 接口、硬件资源等是访问操作的对象。控制策略KS规定主体对客体的访问权限规则如读取、写入、执行、删除等是访问控制的核心依据。三核心实现技术访问控制矩阵ACM理论模型以主体为行、客体为列单元格内容为主体对客体的访问权限逻辑清晰但存储开销大仅适用于小规模系统。访问控制列表ACL访问控制矩阵按列分解的实现方式以客体为中心每个客体附加一个主体权限列表如 Linux 系统的文件权限配置、AWS S3 存储桶的权限配置均采用 ACL 实现适合客体数量少于主体数量的场景便于管理员针对单个资源配置权限。能力表Capability List访问控制矩阵按行分解的实现方式以主体为中心每个主体拥有一个可访问的客体权限列表如微服务架构中的 JWT 令牌、Kerberos 票据均属于能力表的实现形式适合主体数量少于客体数量的场景便于用户跨资源访问。访问控制矩阵、ACL、能力表对比示意图四主流访问控制模型自主访问控制DAC资源所有者有权分配资源的访问权限灵活性高但安全性弱适合个人办公系统等安全要求较低的场景。强制访问控制MAC系统为所有主体和客体分配安全标签只有主体安全标签满足客体访问要求时才可访问安全性高但灵活性差符合 GB 17859-1999《计算机信息系统安全保护等级划分准则》中三级以上系统要求适用于政府、军工等涉密场景。基于角色的访问控制RBAC将权限分配给角色用户通过关联角色获取权限简化权限管理是目前企业级系统的主流访问控制模型支持最小权限原则、职责分离原则适合中大型业务系统。基于属性的访问控制ABAC根据主体属性、客体属性、环境属性动态判断访问权限如 仅允许部门 A 的员工在工作时间访问内部文档灵活性最高适合云原生、零信任等动态权限场景。五、考试考点总结与实践建议一软考高频考点提示选择题高频考点DES 与 AES 的参数对比密钥长度、分组长度、非对称加密的加密与签名逻辑、RSA 与 ECC 的适用场景、PKI 中 CA 与 RA 的职责区别、访问控制三要素、ACL 与能力表的对比、RBAC 模型的核心特征。案例分析高频考点给定业务场景选择合适的加密算法大数据量加密选对称加密密钥分发选非对称加密、PKI 体系的角色配置错误排查、访问控制模型的选型依据。易错点提醒RA 不具备证书签发权限、公钥加密必须使用接收方公钥、数字签名必须使用发送方私钥、ACL 以客体为中心、能力表以主体为中心。二实践最佳实践加密方案选型数据存储加密采用 AES-256 算法密钥传输采用 RSA-2048 或 ECC-256 算法数字签名采用 SHA-256RSA 组合避免使用 DES、3DES 等不安全算法。PKI 部署面向互联网的系统采用第三方权威 CA 签发的证书内部系统可采用自建 CARA 架构定期更新证书及时吊销离职人员、过期服务的证书。访问控制选型中小企业内部系统采用 RBAC 模型资源数量少的场景采用 ACL跨系统动态权限场景采用 ABAC 模型涉密系统采用 MAC 模型。三备考建议牢记各类加密算法的核心参数和适用场景对比记忆对称与非对称加密的优缺点。明确 PKI 各角色的职责边界重点区分 CA 与 RA 的功能差异。掌握访问控制三要素和各模型的适用场景结合历年真题梳理命题规律该模块知识点固定得分率可达 90% 以上。信息安全核心考点思维导图
系统架构设计师-信息安全核心技术加解密、PKI、访问控制
一、引言一核心概念定义信息安全架构是系统架构设计师考试的核心模块占比约 15%其中加解密算法、PKI 密钥管理、访问控制模型是选择题和案例分析题的高频考点。信息安全的核心目标包括机密性、完整性、可用性、不可否认性、可控性其中机密性依赖加解密技术实现可控性依赖访问控制技术实现而密钥管理体系是两者的信任基础。二技术发展脉络加解密技术经历了三个发展阶段1949 年之前的古典加密阶段如凯撒密码以手工加密为主1949-1976 年的现代对称加密阶段1977 年 DES 算法正式成为美国联邦标准标志着对称加密进入工业化应用1976 年 Diffie-Hellman 密钥交换协议提出开启非对称加密时代1978 年 RSA 算法发布2001 年 AES 取代 DES 成为新一代对称加密标准同时 PKI 体系逐步成为全球通用的公钥管理标准。三考试考点说明本文覆盖软考高级系统架构设计师考试大纲中 信息安全技术 模块的全部核心考点包括对称与非对称加密算法对比、RSA 算法原理、PKI 角色职责、访问控制模型等高频考点知识点直接对应历年真题命题方向。信息安全核心技术体系架构图二、加解密算法核心原理与对比一对称加密算法原理核心定义对称加密又称共享密钥加密加密和解密使用同一密钥其核心原理是通过置换、混淆等密码学操作将明文转换为密文运算过程可逆密钥是唯一的解密凭证。典型算法技术细节DES数据加密标准1977 年发布采用 56 位有效密钥附加 8 位奇偶校验位分组长度 64 位通过 16 轮 Feistel 网络实现加密由于密钥长度过短暴力破解成本低于 10 万美元2005 年正式被废弃仅在遗留系统中存在。3DES三重 DES 算法为解决 DES 安全性问题提出采用两个 56 位密钥执行 K1 加密 - K2 解密 - K1 加密 的三次运算有效密钥长度 112 位安全性显著提升但运算速度仅为 DES 的 1/3目前多用于金融行业遗留系统的兼容性改造。AES高级加密标准2001 年发布支持 128/192/256 位密钥分组长度 128 位采用 SP 网络结构10-14 轮轮运算运算速度是 3DES 的 10 倍以上抗差分攻击、线性攻击能力强是目前工业界的主流对称加密算法广泛应用于文件加密、HTTPS 通信、数据存储加密等场景。优势与局限性对称加密的优势是运算速度快AES-256 加密速度可达 1Gbps 以上、硬件支持成熟、密文膨胀率低局限性是密钥分发困难N 个用户通信需要 N*(N-1)/2 个密钥无法实现不可否认性适合加密大量数据如文件内容、流媒体数据。对称与非对称加密算法原理对比示意图二非对称加密算法原理核心定义非对称加密又称公开密钥加密使用一对数学上相关的密钥公钥和私钥公钥可公开分发私钥由持有者严格保密公钥加密的内容只能由对应的私钥解密私钥签名的内容只能由对应的公钥验证。典型算法技术细节RSA1978 年发布基于大整数质因数分解难题密钥长度通常为 1024/2048/4096 位既可以用于加密公钥加密、私钥解密也可以用于数字签名私钥签名、公钥验证是目前应用最广泛的非对称加密算法HTTPS 证书、数字签名、密钥交换等场景均有应用。ECC椭圆曲线加密算法基于椭圆曲线离散对数难题相同安全强度下密钥长度远小于 RSA256 位 ECC 密钥安全性等价于 3072 位 RSA 密钥运算速度快、存储需求小广泛应用于移动设备、物联网等资源受限场景。Diffie-Hellman密钥交换协议允许通信双方在不安全信道上协商生成共享对称密钥无需预先交换密钥信息是 HTTPS TLS 握手阶段的核心技术之一。加密与签名逻辑加密场景发送方使用接收方的公钥加密明文接收方使用自己的私钥解密密文保证只有指定接收方可以获取明文实现机密性。签名场景发送方使用自己的私钥对消息摘要进行签名接收方使用发送方的公钥验证签名确认消息发送方身份且未被篡改实现不可否认性和完整性。优势与局限性非对称加密的优势是密钥分发简单N 个用户通信仅需要 N 对密钥可实现身份认证和不可否认性局限性是运算速度慢RSA 加密速度仅为 AES 的 1/1000 左右密文膨胀率高仅适合加密小数据量内容如对称密钥、消息摘要或数字签名场景。RSA 加密与签名流程对比图三、PKI 公钥基础设施架构与角色职责一PKI 体系核心定义PKI公钥基础设施是管理公钥的标准化体系通过数字证书将公钥与实体身份绑定解决公钥分发的信任问题是互联网身份认证、HTTPS 通信、电子签章等场景的信任基础符合 ITU-T X.509 国际标准。二核心组件与角色职责数字证书符合 X.509 标准的结构化数据相当于实体的 网络身份证包含持有者身份信息、公钥、证书有效期、证书用途、CA 数字签名等内容用户通过验证 CA 签名确认证书的真实性。CA认证中心PKI 体系的核心权威机构负责证书的签发、更新、吊销、发布 CRL证书吊销列表是 PKI 信任链的根节点全球顶级根 CA 仅有 10 余家如 DigiCert、GlobalSign 等。RA注册审批机构CA 的前置服务机构负责验证证书申请者的身份真实性、审核证书申请材料审核通过后将请求提交给 CA 签发证书RA 本身不具备证书签发权限这是历年考试的高频考点。证书库存储已签发的数字证书和 CRL对外提供公开查询服务通常采用 LDAP 协议实现。三PKI 工作流程证书申请者生成密钥对将公钥和身份信息提交给 RARA 验证申请者身份真实性审核通过后将申请信息提交给 CACA 使用自己的私钥对申请者的公钥和身份信息进行签名生成数字证书返回给申请者同时发布到证书库其他用户获取证书后使用 CA 的公钥验证证书签名的有效性确认证书持有者身份和公钥的真实性。PKI 体系架构与证书签发流程图四典型应用案例国内某大型银行的电子签章系统基于 PKI 体系构建由自建 CA 中心统一签发用户证书RA 系统负责审核企业用户资质用户签署电子合同前需通过 UKey 验证私钥身份签署过程使用私钥对合同摘要进行签名验证方通过 CA 公钥验证签名有效性实现电子合同的不可否认性符合《电子签名法》要求累计签署合同超 10 亿份伪造签名风险为 0。四、访问控制模型核心原理与实现一访问控制核心概念访问控制的目标是防止非法用户访问系统资源同时防止合法用户越权访问是实现信息安全可控性目标的核心技术符合 GB/T 25069-2010《信息安全技术 术语》国家标准。二访问控制三要素主体S主动访问资源的实体包括用户、进程、服务等是访问操作的发起者。客体O被访问的被动实体包括文件、数据库表、API 接口、硬件资源等是访问操作的对象。控制策略KS规定主体对客体的访问权限规则如读取、写入、执行、删除等是访问控制的核心依据。三核心实现技术访问控制矩阵ACM理论模型以主体为行、客体为列单元格内容为主体对客体的访问权限逻辑清晰但存储开销大仅适用于小规模系统。访问控制列表ACL访问控制矩阵按列分解的实现方式以客体为中心每个客体附加一个主体权限列表如 Linux 系统的文件权限配置、AWS S3 存储桶的权限配置均采用 ACL 实现适合客体数量少于主体数量的场景便于管理员针对单个资源配置权限。能力表Capability List访问控制矩阵按行分解的实现方式以主体为中心每个主体拥有一个可访问的客体权限列表如微服务架构中的 JWT 令牌、Kerberos 票据均属于能力表的实现形式适合主体数量少于客体数量的场景便于用户跨资源访问。访问控制矩阵、ACL、能力表对比示意图四主流访问控制模型自主访问控制DAC资源所有者有权分配资源的访问权限灵活性高但安全性弱适合个人办公系统等安全要求较低的场景。强制访问控制MAC系统为所有主体和客体分配安全标签只有主体安全标签满足客体访问要求时才可访问安全性高但灵活性差符合 GB 17859-1999《计算机信息系统安全保护等级划分准则》中三级以上系统要求适用于政府、军工等涉密场景。基于角色的访问控制RBAC将权限分配给角色用户通过关联角色获取权限简化权限管理是目前企业级系统的主流访问控制模型支持最小权限原则、职责分离原则适合中大型业务系统。基于属性的访问控制ABAC根据主体属性、客体属性、环境属性动态判断访问权限如 仅允许部门 A 的员工在工作时间访问内部文档灵活性最高适合云原生、零信任等动态权限场景。五、考试考点总结与实践建议一软考高频考点提示选择题高频考点DES 与 AES 的参数对比密钥长度、分组长度、非对称加密的加密与签名逻辑、RSA 与 ECC 的适用场景、PKI 中 CA 与 RA 的职责区别、访问控制三要素、ACL 与能力表的对比、RBAC 模型的核心特征。案例分析高频考点给定业务场景选择合适的加密算法大数据量加密选对称加密密钥分发选非对称加密、PKI 体系的角色配置错误排查、访问控制模型的选型依据。易错点提醒RA 不具备证书签发权限、公钥加密必须使用接收方公钥、数字签名必须使用发送方私钥、ACL 以客体为中心、能力表以主体为中心。二实践最佳实践加密方案选型数据存储加密采用 AES-256 算法密钥传输采用 RSA-2048 或 ECC-256 算法数字签名采用 SHA-256RSA 组合避免使用 DES、3DES 等不安全算法。PKI 部署面向互联网的系统采用第三方权威 CA 签发的证书内部系统可采用自建 CARA 架构定期更新证书及时吊销离职人员、过期服务的证书。访问控制选型中小企业内部系统采用 RBAC 模型资源数量少的场景采用 ACL跨系统动态权限场景采用 ABAC 模型涉密系统采用 MAC 模型。三备考建议牢记各类加密算法的核心参数和适用场景对比记忆对称与非对称加密的优缺点。明确 PKI 各角色的职责边界重点区分 CA 与 RA 的功能差异。掌握访问控制三要素和各模型的适用场景结合历年真题梳理命题规律该模块知识点固定得分率可达 90% 以上。信息安全核心考点思维导图
