一、網絡應用服務安全相關概念

　　雖然當前全社會關注網絡與信息安全，但對網絡與信息安全的相關概念、范圍卻缺乏共識。當前常用的概念與說法有網絡安全、信息安全、網絡與信息安全、信息與信息安全、信息系統安全、網絡應用服務、網絡業務等。不同的部門對上述概念基于各自的立場與利益做出了不同的解釋，導致當前概念與范圍相對混亂。本文采用如下定義。

　　信息安全：狹義信息安全是指信息的機密性、完整性和不可否認性，主要研究加密和認證等算法。狹義信息安全還可能包括意識形態相關的內容安全。廣義信息安全通常是指信息在采集、加工、傳遞、存儲和應用等過程中的完整性、機密性、可用性、可控性和不可否認性以及相關意識形態的內容安全。

　　網絡安全：狹義的網絡安全通常是指網絡自身的安全。如果網絡與業務捆綁，例如電話網，則還包括業務的安全。狹義的網絡安全通常不提供高層業務，只提供點到點傳送業務的網絡。廣義的網絡安全除包括狹義網絡安全內容外還包括網絡上的信息安全以及有害信息控制。廣義的網絡安全通常用在提供高層業務的網絡。

　　網絡與信息安全：對于基礎電信網，例如光纖網、傳輸網、支撐網、信令網以及同步網而言，網絡安全僅僅包括網絡自身安全以及網絡服務安全。網絡和信息安全主要強調除網絡自身安全以及服務提供安全外，還包括網絡上的信息機密性、完整性、可用性以及相關內容安全的有害信息控制。網絡與信息安全范圍等同與廣義的網絡安全。

　　網絡應用服務：在網絡上利用軟/硬件平臺滿足特定信息傳遞和處理需求的行為。信息在軟/硬件平臺上處理，通過網絡在平臺與信息接收者/發送者之間傳遞。一些商務模式完善的網絡應用服務已成為電信業務。

　　網絡應用服務安全：包括網絡與應用平臺的安全，由網絡應用平臺提供的服務能夠合法有效受控開展，還包括網絡應用的信息存儲、傳遞加工處理能完整、機密且可用，信息內容涉及內容安全時能及時有效采取相應措施。

　　二、網絡應用服務安全分層

　　網絡應用服務安全可以分為如下四層。

　　網絡與應用平臺安全：主要包括網絡的可靠性與生存行與信息系統的可靠性和可用性。網絡的可靠性與生存行依靠環境安全、物理安全、節點安全、鏈路安全、拓撲安全、系統安全等方面來保障。信息系統的可靠性和可用性可以參照計算機系統安全進行。

　　應用服務提供安全：主要包括應用服務的可用性與可控性。服務可控性依靠服務接入安全以及服務防否認、服務防攻擊、國家對應用服務的管制等方面來保障。服務可用性與承載業務網絡可靠性以及維護能力等相關。

　　信息加工和傳遞安全：主要包括信息在網絡傳輸和信息系統存儲時完整性、機密性和不可否認性。信息完整性可以依靠報文鑒別機制，例如哈希算法等來保障，信息機密性可以依靠加密機制以及密鑰分發等來保障，信息不可否認性可以依靠數字簽名等技術來保障。

　　信息內容安全：主要指通過網絡應用服務所傳遞的信息內容不涉及危害國家安全，泄露國家秘密或商業秘密，侵犯國家利益、公共利益或公民合法權益，從事違法犯罪活動。

　　網絡應用服務可以有多種分類方法。一些典型的分類方法如下文所述。

　　按照技術特征分類，點到點業務與點到多點業務；按照電信業務分類，基礎電信業務和增值電信業務；按照是否經營分類，經營性網絡應用服務與非經營性網絡應用服務；按照所傳遞加工的信息分類，自主保護、指導保護、監督保護、強制保護與專控保護五級；按照服務涉及的范圍分類，公眾類網絡應用服務與非公眾類網絡應用服務。

　　各個分類方式從不同角度將網絡應用服務進行了分類。本文采用公眾類網絡應用服務與非公眾類網絡應用服務的分類方法。

　　公眾信息類網絡應用是在公眾網絡范圍內信息發送者不指定信息接收者情況下的網絡應用。信息發送者將信息發送到應用平臺上，信息接收者主動決定是否通過網絡接收信息的網絡應用，信息發送者在一定范圍內以廣播或組播的方式不指定信息接收者強行推送信息。公眾信息類網絡應用通常涉及網絡媒體，主要包括有BBS、網絡聊天室、WWW服務、IPTV、具有聊天室功能的網絡游戲等應用。

　　非公眾信息類網絡應用是公眾網絡范圍內信息發送者指定信息接收者的網絡應用以及非公眾網絡范圍內的網絡應用。非公眾信息類網絡應用類型中，公眾網絡上一般是點到點的信息傳播的網絡應用，主要有普通QQ應用、普通MSN應用、普通Email、PC2PC的VoIP、電子商務等應用。

　　四、實體劃分與典型應用服務分析

　　網絡應用服務安全分析中涉及到如下幾個實體：信息發送者，通過網絡發送信息的實體，可以是ICP或者發送信息的個人；平臺提供者，網絡應用的提供者，通信的雙方（多方）通過應用平臺交互信息；通道提供者，為信息發送者、信息接收著、平臺提供者提供接入網絡的手段以及網絡層面的互通；信息接收者，網絡接收信息的實體；設備制造商，為信息發送者、信息接收者、平臺提供者、通道提供者提供軟硬件設備；業務監管者，監管網絡應用的安全，主要包括業務安全以及內容安全。

　　幾個典型的網絡應用服務分析如下所述。

　　普通WWW瀏覽應用：WWW服務器構成的服務平臺。WWW頁面的擁有人為信息發送者，WWW頁面的請求者為信息接收者，ISP為通道提供者。公網上的WWW應用是一種典型的公眾信息類網絡應用服務，是信息發送者無法指定信息接收者的媒體類網絡應用。在WWW應用中網絡與平臺安全由通道提供者ISP與WWW服務器擁有人負責；WWW服務提供安全主要體現在主管部門對服務平臺的監管；信息傳遞安全由ISP或者信息發送者與信息接收者端到端負責，信息存儲處理安全由WWW服務器擁有人負責；信息內容安全由平臺提供者與信息發送者負責，主管部門監管，法定授權部門查處。

　　電話業務：電話網作為服務平臺以及通道提供者。主叫方作為信息發送者，被叫方作為信息接收者。電話業務的信息接收者（被叫方）由信息發布者（主叫方）通過電話號碼指定，這是一種典型的非公眾信息類網絡應用服務。在電話業務中，網絡與平臺安全由電話業務提供者負責；服務提供安全通過認證等方式提供，監管由主管部門負責，信息傳遞安全由電話業務提供者負責；信息內容安全由信息發送者負責，法定授權部門查處。

　　DNS服務：由DNS服務器以及客戶機構成的服務平臺，該服務平臺分層架構。DNS服務器的擁著者為平臺提供者，根域名服務器由ICANN擁有維護，各級域名服務器由相應組織擁有維護。DNS域名服務器信息發布者為DNS擁有人，DNS服務信息接收者為域名解析的請求者。公網上的DNS服務通常由通道提供者ISP提供。DNS信息接收者無法指定，因此也是一種古拙類網絡應用服務。DNS服務中網絡與服務平臺安全由ISP與DNS服務器擁有人負責；DNS服務不涉及業務提供安全；信息傳遞安全由ISP負責；信息存儲安全由ICANN負責；DNS服務不涉及信息內容安全。

　　BBS應用：由Telnet/WWW協議服務器端、BBS服務器端以及主機構成服務平臺。BBS服務器的擁有者為平臺提供者。BBS發帖人為信息發布者，訪問BBS閱讀的人為信息接收者。BBS服務的信息發送者一般無法指定信息接收者，因此BBS應用通常也有媒體功能，是一種公眾類網絡應用服務。在BBS應用中網絡與平臺安全由通道提供者ISP與BBS服務器擁有人負責；BBS服務提供安全主要體現在主管部門對服務平臺的監管；信息傳遞安全由ISP或者信息發送者與信息接收者端到端負責；信息存儲處理安全由WWW服務器擁有人負責；信息內容安全由平臺提供者與信息發送者負責，主管部門監管，法定授權部門查處。

　　Mail應用：由SMTP服務器端、POP3服務器端以及主機構成的服務平臺。Mail服務器的擁有者為設備提供者。郵件發送者為信息發布者，郵件接收者為信息接收者。郵件服務的信息接收者通過郵件地址指定，是一種典型的非公眾信息類網絡應用服務。在郵件服務中，平臺安全由郵件服務提供者負責；服務提供安全通過認證等方式提供，監管由主管部門負責；信息傳遞安全由ISP或者端到端保障；信息內容安全由信息發送者負責，法定授權部門查處。

　　MSN應用：由MSN服務器端以及主機（群）構成的服務平臺。MSN服務器的擁有者為平臺提供者。發信息的人為信息發送者。聊天看到信息的人是信息接收者。聊天雙方既是信息發布者也是信息接收者。ISP為通道提供者。MSN應用的信息接收者由信息發布者指定，是一種典型的非公眾信息類網絡應用服務。在MSN應用中，網絡與平臺安全由MSN業務提供者負責；服務提供安全通過認證等方式提供；信息內容安全由信息發送者負責，法定授權部門查處。

　　網絡本身只是一個提供互通的平臺，網絡應用通過網絡為用戶提供豐富多彩的服務。可以說網絡應用服務促進了網絡的飛速發展。網絡應用服務的安全是當前網絡與信息安全中的重要組成部分。網絡應用服務安全可以分網絡與應用平臺安全、應用服務提供安全、信息傳遞加工安全以及信息內容安全四層研究。網絡應用服務可以分成公眾類網絡應用服務與非公眾類網絡應用服務兩類。在這兩類應用服務中四個層面的安全問題可以分別落實到信息發送者、信息接收者、平臺提供者、通道提供者以及業務監管者這些實體上負責。不同類型網絡應用服務中各個實體的責權利有待進一步研究。