（3）信息平面的安全技术

信息平面是智慧城市存储、处理信息的中心，需要对数据的安全性进行保护，防止数据被非法篡改、盗取和销毁。信息平台可以综合采用以下安全技术手段：

① 访问控制技术

访问控制主要有两种类型：网络访问控制和系统访问控制。网络访问控制限制外部对主机网络服务的访问和系统内部用户对外部的访问，通常由防火墙实现。系统访问控制为不同用户赋予不同的主机资源访问权限，操作系统提供一定的功能实现系统访问控制，如UNIX的文件系统。通常情况下这两种访问控制相互独立，因此无法将两者各自的特性结合起来进行控制。例如在利用防火墙实现网络访问控制时无法加入用户属性，在利用UNIX文件系统功能进行文件访问控制时无法加入网络属性。

在主机网络安全中，将网络访问控制和系统访问控制的特性结合起来，实现严格的、细粒度的访问控制。网络访问控制的属性有：源IP地址、源端口、目的IP地址、目的端口等。系统访问控制（以文件系统为例）的属性有：用户、组、资源（文件）、权限等。通过在主机的操作系统中添加防火墙模块，同时实现对于系统调用的监控以监视用户行为，这样可以将网络属性和操作系统属性结合起来，再加上时间属性（起始、终止时间），制定相应的安全规则，就能够实现强大的访问控制。

通常将安全规则分为两类：系统安全规则和用户安全规则。系统安全规则是全局规则，作用范围为整个系统，由系统管理员制定和维护。用户安全规则为局部规则，由每个用户自己制订并维护，它的作用是限制用户自己的行为和与自己有关的资源的使用，可针对不同操作系统的特点判断应用层的入侵事件，对系统属性、文件属性、敏感数据、攻击进程结果进行监控。引入用户安全规则的目在于在系统大安全环境下由用户定制自己的局部安全环境，减少入侵者冒用自己的账号、破坏系统资源的机会，也可在一定程度上防止自己的误操作。

系统安全规则具有高优先级。在两种规则发生冲突的时候，冲突部分的处理以系统安全规则为准。因此从系统全局的角度来看，用户自己制定的安全规则只会使系统的访问控制更严格。

② 信息加密技术

信息加密的目的是保护网内的数据、文件、口令和控制信息，保护网上传输的数据。数据加密技术主要分为数据传输加密和数据存储加密。数据传输加密技术主要是对传输中的数据流进行加密，常用的有链路加密、节点加密和端到端加密三种方式。链路加密的目的是保护网络节点之间的链路信息安全；节点加密的目的是对源节点到目的节点之间的传输链路提供保护；端到端加密的目的是对源端用户到目的端用户的数据提供保护。在保障信息安全各种功能特性的诸多技术中，密码技术是信息安全的核心和关键技术，通过数据加密技术，可以在一定程度上提高数据传输的安全性，保证传输数据的完整性。一个数据加密系统包括加密算法、明文、密文及密钥，密钥控制加密和解密过程，一个加密系统的全部安全性是基于密钥的，而不是基于算法的，所以加密系统的密钥管理是一个非常重要的问题。数据加密过程就是通过加密系统把原始的数字信息（明文），按照加密算法变换成与明文完全不同的数字信息（密文）的过程。

假设E为加密算法，D为解密算法，则数据的加密解密数学表达式为：P=D（KD，E（KE，P））。

数据加密算法有很多种，密码算法标准化是信息化社会发展的必然趋势，是世界各国保密通信领域的一个重要课题。按照发展进程来分，经历了古典密码、对称密钥密码和公开密钥密码阶段，古典密码算法有替代加密、置换加密；对称加密算法包括DES和AES；非对称加密算法包括RSA、背包密码、McEliece密码、Rabin、椭圆曲线、EIGamal算法等。目前在数据通信中使用最普遍的算法有DES算法、RSA算法和PGP算法。 

根据收发双方密钥是否相同来分类，可以将这些加密算法分为常规密码算法和公钥密码算法。在常规密码中，收信方和发信方使用相同的密钥，即加密密钥和解密密钥是相同或等价的。常规密码的优点是有很强的保密强度，且经受住时间的检验和攻击，但其密钥必须通过安全的途径传送。在公钥密码中，收信方和发信方使用的密钥互不相同，而且几乎不可能从加密密钥推导出解密密钥。最有影响的公钥密码算法是RSA，它能抵抗到目前为止已知的所有密码攻击。在实际应用中通常将常规密码和公钥密码结合在一起使用，利用DES或者IDEA来加密信息，而采用RSA来传递会话密钥。

③ 身份认证技术

认证（Authentication）是确定某人或某事是否名副其实或有效的过程。认证的基本思想是通过验证称谓者的一个或多个参数的真实性与有效性，以达到认证的目的。认证的主要目的为信源识别与信息完整性验证。安全可行的认证系统常建立在密码学的基础上。用户身份认证可以识别合法用户和非法用户，从而阻止非法用户访问系统。用户身份认证是保护主机系统的一道重要防线，它的失败可能导致整个系统的失败。

Kerberos是由MIT提出的基于可信赖的第三方（即Kerberos认证服务器）的认证系统，采用对称密钥体制（私钥制）对信息进行加密[3]。X.509是ITU提出的一个基于非对称密钥体制（公钥制）的认证框架，也是依赖于共同信赖的第三方——CA（Certificate Authority）来实现认证，实现上更加简单明了。