2.3 网络安全协议与标准

2.3.1 网络安全协议与标准的基本概念

前面已指出，网络体系结构是全部网络协议的集合，而协议是网络的同一层次实体之间，为了相互配合完成本层次功能而作出的约定。所以，协议是网络体系结构的最终体现形式。对于网络安全体系结构而言，它的基本构成成分和最终体现形式就是网络安全协议。显然，为了达到保证网络安全的目的，必须采用各种网络安全技术及一系列的网络安全管理措施，而这些技术和措施的实现，一般都离不开各有关实体之间严格的相互配合，因此也就离不开网络安全协议。既然网络安全协议必须由网络的所有用户共同遵循，所以它也就是一种标准。

2.3.2 网络安全协议与标准举例——美军JTA信息系统安全标准

美军由国防信息系统局牵头，集中各军兵种专家，在信息管理技术体系结构框架（TAFIM）指导下，开发了名为联合技术体系结构（JTA）的文件。该体系结构规定了一组全军共用的强制性信息技术标准和指南，作为美国国防部各种新建、升级的信息网络C4I系统的 “建设法规”。JTA作为一个庞大的标准集，包括5个方面强制执行的标准，其中之一便是信息系统安全标准。JTA的信息系统安全标准本身又包括4个方面的标准。

1.信息处理安全标准

（1）应用软件实体安全标准。例如，1985年颁布的“可信计算机系统评估准则”（TCSEC）（DOD 5200.28—STD），1991年颁布的“可信数据库管理系统说明”（NCSC—TG—021）等。TCSEC是一个广泛用于评估计算机系统安全性的标准，将在2.4.1节中进一步介绍。

（2）应用平台实体安全标准。包括关于数据管理服务的标准，以及关于操作系统服务安全的标准。后者又包括安全审计与报警标准及鉴别安全标准等。

2.信息传送安全标准

（1）终端系统安全标准。主要指主机安全标准，包括安全算法方面的标准，如美国国家标准与技术协会（NIST）1994年颁布的“联邦信息处理标准（FIPS）出版物186，数字签名标准”；安全协议方面的标准，如1989年颁布的“安全数据网络系统密钥管理协议”（SDN.903）；评估准则安全标准，如1987年颁布的“可信网络说明”（NCSC—TG—005）等。

（2）网络安全标准。主要指互联网安全标准，如1995年颁布的军用标准“通用安全标记”（MIL—STD—2045—48501）等。

此外还有传输媒体安全标准，但这方面的强制性标准目前尚未制定。

3.信息建模与信息安全标准

这方面的强制性标准目前也尚未制定。

4.人-计算机接口（HCI）安全标准

例如，1994年颁布的“国防部人-计算机界面格式指南”等。

除了以上所列的体系结构框架外，还有大量的强制性安全标准正在制定和形成之中。