摘要：针对行业院校信息安全专业培养对行业支撑不足的困境，分析人才培养方式存在的不足，以应用密码学课程改革为对象，提出面向行业应用工程的教学模式，建立多样化的考核机制，介绍课程改革具体方案，说明实施的初步成效。
关键词：行业网络安全；应用密码学；教学方法；工程能力；课程改革
0引言
一直以来，国家及社会各界都非常重视信息安全专业人才培养工作。2015年6月，国务院与教育部联合发文，在“工学”门类下增设“网络空间安全”一级学科，学科代码为0839，授予“工学”学位，迈出了具有决定意义的一步。目前在我国开设信息安全类专业的高等院校已超过百所，笔者所在的中国民航大学也有幸荣列其中，同时中国民航大学也是民航行业唯一一所开展信息安全专业人才培养的机构。行业院校是由所处行业部门主管，为所在行业培养专业人才的一类院校，毕业生会以较大比例到所在行业就业[1]。随着各行各业对信息化的严重依赖，行业特色也越来越凸显，在网络安全上升到国家安全的时代背景下，行业院校责无旁贷地承担起行业信息安全人才培养的重任。应用密码学从实现角度而言，是信息安全的核心技术，是所有网络安全从业人员必须掌握的基础知识[2]，它也是高校网络安全专业的重要主干课程。传统的密码学教学往往存在“重理论，轻实践”“重模拟，轻工程”的倾向，学生在掌握了各种密码算法或密码协议的原理之后，并没有机会或能力将之用于工程实践，即便是在行业院校也仅仅将通过考试作为最终目标，导致学生对该课程缺乏学习积极性和创造性。
1专业培养现状分析
中国民航大学信息专业最早开始于2008年，迄今为止已有10年。由于近几年的基本情况差不太多，笔者仅以2016年本科信息安全专业学生毕业去向和本科信息安全专业学生毕业设计选题情况进行统计分析，以期通过分析发现课程存在的问题，进而把脉课程改革的方向。
1.1学生掌握及应用知识情况分析
1.1.1本科生毕业去向情况分析
2016年共有74名信息安全专业学生毕业，其中未确定工作6人，从事计算机相关工作42人、信息安全工作5人（考研1人，就业4人）、其他类21人，毕业生中从事安全相关的比率仅为7%。2017年统计显示，民航行业信息安全岗位人员缺口达6千多人，可见学校信息安全专业培养工作在为行业乃至国家输送信息安全人才方面，并未发挥出应有的作用。如何在现有教育体制下，激发学生学习密码学知识的热情，建立将密码学研究工作作为自己的人生追求的自信，也是一个极大的挑战。
1.1.2毕业设计选题情况分析
2016年共有74名信息安全专业学生参加毕业设计，在对选题情况进行分析发现，运用信息安全知识相关选题43个，应用软件系统类设计选题31个，其中密码算法、协议相关选题共15个，占总选题20%。另外，在毕业设计答辩中发现，学生采用的都是比较传统的密码算法，并且不涉及任何分析和创新型设计。可见学生通过学习只是掌握了密码算法和密码协议的基础知识，但由于教材内容限制，都是一些比较传统的、经典的算法，例如DES、3DES、AES等，对于目前新的密码技术并未采用。另外，在毕业设计中体现出对密码应用工程中的能力明显欠缺，完全不考虑密钥存储、交换等实际情况。如何能够充分理解基础知识，并能应用于实际工程，也是密码学教学中面临的一个挑战。
1.2问题分析
通过上述分析，不难发现应用密码学课程在实践和理论的知识讲解面临诸多挑战，因此，为了能够应对上述挑战，需要客观分析挑战背后的本质原因。（1）教学手段不够丰富。当前密码学教学以课堂为主，传达给学生知识的方式还主要是板书和PPT，这样就导致师生间互动性不强。但是，密码学的算法、协议等内容，需要结合实际学生才能真正理解进而掌握，这种强调面对面的，教授为主的教学方式，很难为学生提供将所学知识应用于实际的桥梁。（2）重理论，轻实践。为了应对考试，学生们更加重视理论学习，老师也并没有注重实践能力的培养，这与密码学课程是对已有密码算法、密码机制的设计原理的学习和分析，只有结合实践才能深化对相关理论知识理解的本质相矛盾。（3）考核方式单一。目前课程考核方式主要有“期末”和“平时+期末”，其中平时成绩主要包括日常考勤和课后作业，这样学生一般都会采用平时网上找答案、期末突击学习的方式来被动应付应用密码学课程考核。该类方式无法考查学生综合运用知识能力，并在某种程度上压制了学生学习的主动性和创新性。
2课程建设思路
通过采取面向工程教学，实现“知识考查”向“应用能力”的教学模式转变，这种改革将造成原有的教学方法和考核方式等不匹配，需要探讨面向工程教学模式下的教学方法和考核方式。
2.1以提高工程应用能力为目标的教学方法
针对密码学知识专业性、应用性强等特点，需采用“课内讲解+课外工程实现”的教学方法，具体而言，主要包括以下几个方面。（1）强化理解，培养独立编程实现核心密码算法的能力。密码学基本概念、基本理论的理解是学习密码学的根本出发点，是进行密码工程设计与开发的基础[3]。作为信息安全专业的本科生，应该有能力独立编程实现核心密码算法，如AES、SHA、国密SM1-9等。在实现这些核心算法的过程中，学生可以加深到密码学基本理论的理解，并掌握密码算法设计中的基本技巧。（2）遵循国际标准，提升密码工程实践能力。密码算法的优劣主要体现在安全和效率两个方面，除了依赖严密的数学理论外，严谨的工程实现也必不可少。多数密码学教材往往注重算法原理的阐述，而忽略了算法实现中必须考虑的重要细节。为此，在实践教学中，FIPS-140、IEEE1363等国际标准中成熟做法，应该要求学生进行掌握，特别是这些标准对密钥参数选择、长度填充、内存管理方面的规定。（3）以设计和实现密码学算法库为目标，培养学生的综合应用能力。在课程中后期的实验中，开始引入密码学算法库的概念。首先引导学生学习使用经典密码学算法库，例如Crypto++、OpenSSL、Miracl、Boten等；然后与学生一起阅读经典算法库的源代码，对算法库的基本架构和实现方法进行学习；最后要求学生将整个课程中学习到的算法封装成一个算法库，编译成LIB文件或JAR文件，以供其他程序调用。（4）以密码分析和破译为补充，提高学生的学习兴趣。密码学实验主要实现两个目的：理解基础理论和提高学习兴趣。因此，课程必须在试验方式上进行创新，以生动性、新鲜性，带动学生的积极性和成就感。密码分析由于难度大、基础知识要求高、不容易讲解，使得绝大部分的院校在密码学实验当中，没有将密码分析的相关实验纳入到讲解内容中。本课程的做法是：①要求学生从破译难度较低的古典密码入手，对某些特定的算法编写破译程序；②对于较为复杂的现代密码算法，如DES和RSA，可以使用现成的破译工具来演示破译实验；③人为简化一些密码算法，降低分析的难度，如单轮DES差分分析，通过这些方式来提高学生的学习兴趣。（5）增加行业实际应用案例讲解，增强密码应用的直观印象。行业应用密码主要体现在电子政务、电子支付、认证和数据安全4个方面，结合密码学应用特点，从民航行业实际出发，讲解密码学在行业中的应用案例，循序渐进，鼓励学生利用所学知识解决专业的具体问题，这样使得学生可以直观地感受到密码学的用途，并明确本专业未来在行业中的发展，激发学生毕业后投入本行业信息安全工作中的信心和热情。
2.2多样化的课程考核方式
在应用密码学课程考核中，学生得到的成绩是由多项指标构成，一般包括：①学生日常考勤和课后作业的情况；②期末理论考试得分；③实验平时和期末答辩得分。实验期末答辩采用现场抽题、限时编程的形式进行，以测试学生对密码学知识的掌握情况和综合运用能力。另外，为了鼓励学生在密码学知识领域进行创新和项目应用，引入成果考核机制，对于取得相应成果的学生，进行加分或免试。
3具体实施方案
3.1课程教学内容改革方案
应结合当前密码知识特点、课时安排，制订相对应的实施方案。（1）构建全面的和案例化的密码学教学内容。结合当前密码学的发展，增加量子密码、格密码、混沌密码等新知识的教学[2]；同时结合密码学在民航企事业单位应用情况，凝练一批具有民航特色的教学案例，并搭建相关的应用环境，让学生增强对密码算法或协议的理解。从内容的广度和民航实际应用案例相结合两个方面重构密码学教学内容。（2）建设工程化实验教学案例库。目前已建设完成Crypto++、OpenSSL、Miracl、Boten、libgcrypt、Tomcrypt、BouncyCaslte等算法案例，下一步将带领学生从阅读源码开始，逐步学会独立开发新的教学案例，给下一届学生学习带来便利的同时，也进一步提高密码学编程实现能力和加深对密码算法知识的理解，为工程应用和理论创新打下良好的基础。（3）设计创新性实验。根据实际的科研和当前应用需求，选择一些具有一定新颖性的题目，譬如移动数据加密、虚拟环境下的数据敏感标记等；采用学生自发建立项目小组，根据能力和时间选择合适的题目，指导老师参与，共同完成实验项目。通过创新实验，可以让学生把理论和实践结合起来，从而把基础比较好、兴趣比较浓厚的学生引入科研的大门[4]。（4）搭建密码技术在行业中的应用模拟场景。例如电子政务网中SSH安全协议、飞机与地面服务器相互证书认证，或电子签名消息认证的场景构建，可以让学生在学习密码知识的同时，了解其在行业中的具体应用及其应用特点，通过搭建环境和模拟交互，解决实际应用中存在的问题。
3.2课程教学方式改革方案
本课程改革在传统的课堂教学和实验室教学之外，增加了研究性教学和“项目+竞赛”教学两种方式。（1）采用研究性教学法。计算机和网络技术日新月异，密码学领域涉及的内容和技术也发展迅速，授课教师除了要求学生掌握传统知识外，还应该引导学生及时关注密码学各部分内容在国内外的最新研究进展和成果，组织课题组和兴趣小组，让对密码学有兴趣有能力的学生参加进来，通过各种方式来支持他们的创新活动，例如科研项目立项、发表学术论文等。（2）采用“项目+竞赛”教学法。该教学法适用于学习各种实践性和操作性较强的知识和技能。伴随国家对网络空间安全的高度重视，全国以及各省都在举办不同形式的信息安全大赛，很多项目的设计开发都是立足于密码学的，例如每年一次的全国密码技术竞赛。基于这样的背景，可以以项目开发的形式引导学生参与到各种竞赛中。该教学法以学生为主体，通过建立项目让学生参与竞赛的形式，让学生作为项目的负责人，将学生成果提交到大赛中加以检验，既可以提高学生的主动性、参与性又能提高学生对密码学应用其全过程的理解和掌握。
3.3考核方式改革方案
考核的作用除了了解学生掌握的知识和综合素质之外，还应该成为学生学习的动力，培养学生将课堂上学到的基础知识和技能用于解决实际问题的能力。本改革将彻底改变“一考定成绩”的做法，防止考前突击的行为。（1）实行过程考核，其中期末（主要是理论）闭卷考试成绩占30%，平时成绩占70%。平时成绩包括考勤占10%、其余90%按照知识点及课程过程考核方式进行考核。（2）实行项目及科研成果考核。参加密码学相关竞赛，获部级别一、二等奖的，本课程免试；获部级别三等奖，其他级别竞赛一等奖的，平时成绩满分；发表高水平学术论文，SCI检索的，本课程免试；EI、中文核心检索的，平时成绩满分。
4初步成效分析
（1）课程教学和实验完成方面。在试验课程考核方面，进行分组实验内容考核，由于学生能力问题，仅以教师指定题目和教材中题目为主。值得注意的是，2017年毕业生中有2位同学考取了硕士研究生，继续密码学相关内容的深入学习，有4名同学在毕业设计选题是自己出密码学相关的题目，并较好完成。（2）项目创新和科学研究方面。课程组通过近几年的积极努力，分别于2015年指导学生完成部级大学生创新创业项目《基于CDF/FLASH的密码算法动态演示系统》，一篇。2014年指导学生完成校级大学生创新创业项目《基于多素数的RSA算法性能分析及标准库实现》，一篇。获2017年市级大学生创新创业计划项目3项，累计30多人次参与。（3）竞赛工作开展顺利、成果丰硕。近3年以来，计算机学院每年组织学生参加全国密码技术竞赛、京津冀高校首届研究生网络与信息安全技术大赛，取得了多个三等奖的好成绩。每年组织开展“中国民航大学‘西普杯’信息安全技术竞赛”，已连续开展4届，另外，还组织学生参加2016年在天津举办首届民航网络安全竞赛、校级信息安全技术竞赛，并获得较好的成绩。（4）对行业信息安全工作发展支撑明显。通过以上一系列的竞赛和项目实施，极大提升了学生学习密码学知识的热情，随着学生的技术能力提升，越来越多的学生受到民航企事业单位的青睐。本校培养的信息安全专业学生，在持续从事信息安全领域工作和进入民航行业工作的比例均超过30%。
5结语
在以互联网为主体的网络空间成为国际博弈的主战场的背景下，行业网络安全在一定程度上可以影响国家安全，笔者通过分析行业网络安全人才培养存在的问题，提出应用密码学课程改革思路和具体方案，实践检验发现效果良好，可以为同类型院校网络空间安全人才培养提供参考。
参考文献：
[1]董新伟,韩影.推进行业划转院校深入开展协同创新的思考[J].教育科学,2013,29(4):25-29.
[2]汤永利,闫玺玺,叶青.应用密码学[M].北京:电子工业出版社,2017:2.
[3]李梦东.《密码学》课程设置与教学方法探究[J].北京电子科技学院学报,2007,15(3):61-66.
[4]胡越梅,夏建川,刘效武.应用密码学的实践教学研究[J].现代计算机,2016(27):10-12.
作者:周景贤 钟安鸣 黄燕晓 单位:中国民航大学