信息安全課程中競賽驅(qū)動項目式教學(xué)

李景濤，趙衛(wèi)東

（1.復(fù)旦大學(xué) 軟件學(xué)院，上海 201203；2.上海市智能信息處理重點實驗室，上海 200433）

0 引 言

信息安全課程作為軟件工程及計算機(jī)類本科生的專業(yè)課，受到各國政府的高度重視，如美國國家標(biāo)準(zhǔn)與技術(shù)局的國家網(wǎng)絡(luò)安全教育計劃等[1]。ACM（Association for Computing Machinery）教育委員會在面向網(wǎng)際空間安全的教育研討會報告中對所有計算機(jī)類本科專業(yè)教育指出，學(xué)生動手實踐是掌握信息安全知識和技能的必要途徑[2]。因此，在信息安全課程中鍛煉學(xué)生動手實踐能力成為當(dāng)前研究的課題之一。

1 競賽驅(qū)動項目式教學(xué)

在軟件工程專業(yè)課程的教學(xué)中，項目式（Project-based）教學(xué)是一種能夠促進(jìn)學(xué)生動手實踐能力提高的有效方法，通過配合課堂講授內(nèi)容，讓學(xué)生自學(xué)和動手，將課堂中學(xué)到的知識運(yùn)用到實際的軟件開發(fā)中，進(jìn)而完成規(guī)定的項目主題和目標(biāo)。這種方法可以讓學(xué)生在有限的時間內(nèi)理解課堂介紹的內(nèi)容，并對這些內(nèi)容進(jìn)行有效地應(yīng)用，進(jìn)而深刻地思考課堂所學(xué)，從而真正掌握軟件工程專業(yè)技術(shù)，促進(jìn)軟件工程專業(yè)教學(xué)適應(yīng)行業(yè)對人才的要求。項目式教學(xué)在實施過程中仍面臨諸多問題：①如何激發(fā)學(xué)生參與項目式學(xué)習(xí)的動力，提高學(xué)習(xí)的興趣和熱情；②項目式教學(xué)有多種具體的實現(xiàn)方法，如何面向特定的專業(yè)課程進(jìn)行必要的定制與創(chuàng)新。

競賽驅(qū)動項目式教學(xué)引入競爭來激發(fā)學(xué)生的學(xué)習(xí)動力，用榮譽(yù)感驅(qū)動學(xué)生積極主動學(xué)習(xí)、探索和培養(yǎng)合作意識，能夠解決項目式教學(xué)中的動力問題[3-4]。筆者在面向軟件工程專業(yè)本科生的信息安全課程中實踐了競賽驅(qū)動項目式教學(xué)。

2 競賽驅(qū)動項目式教學(xué)的特點

競賽驅(qū)動項目式教學(xué)本質(zhì)是基于問題的教學(xué)：①學(xué)習(xí)具有挑戰(zhàn)性、開放式，需要由不明確的以及結(jié)構(gòu)模糊的問題來引導(dǎo)。②學(xué)生往往是以合作小組形式進(jìn)行學(xué)習(xí)。合作小組面對的是實際應(yīng)用問題或模擬的網(wǎng)絡(luò)實戰(zhàn)環(huán)境，既要求簡單的決策和執(zhí)行，又要根據(jù)團(tuán)隊確定的優(yōu)先級進(jìn)行復(fù)雜的協(xié)作決策。學(xué)生可以在比賽中互動，通過整合團(tuán)隊成員的課堂學(xué)習(xí)、參賽經(jīng)驗確定他們的行動計劃。③學(xué)生是以“學(xué)習(xí)者”的角色學(xué)習(xí)，教師是以“引導(dǎo)者”的角色組織學(xué)習(xí)。競賽驅(qū)動項目式教學(xué)可看作基于問題的教學(xué)方式演化以及在信息安全教學(xué)領(lǐng)域的應(yīng)用。

競賽驅(qū)動項目式教學(xué)在培養(yǎng)學(xué)生各種能力方面尤為突出，特別是對提高學(xué)生的自主學(xué)習(xí)能力、主動應(yīng)用知識的能力和綜合能力有較大的促進(jìn)作用，對學(xué)生將來職業(yè)的發(fā)展具有重要的提升作用。

（1）調(diào)動學(xué)生學(xué)習(xí)的主動性。信息安全課程具有很強(qiáng)的實踐性，學(xué)生只有親自動手，參與到實際的應(yīng)用，才能夠真正掌握必要的知識和技能。項目競賽中的求勝心理驅(qū)使學(xué)生主動學(xué)習(xí)，學(xué)習(xí)的主動性越高，能夠獲得的知識也就越多，形成一種良性循環(huán)。

（2）推動學(xué)生主動應(yīng)用知識。根據(jù)Edgar Dale的“學(xué)習(xí)金字塔（cone of learning）”理論，對于一個知識點，主動動手學(xué)習(xí)的學(xué)生在兩周之后能夠掌握90%的知識，而只是上課聽講的學(xué)生僅能夠記住20%的知識。顯然，與課堂知識相配套的項目會“逼迫”學(xué)生親自動手學(xué)習(xí)，并取得好的學(xué)習(xí)效果。如果學(xué)生參加奪旗實戰(zhàn)或課外項目，就更有可能主動應(yīng)用這些知識，解決技術(shù)難題或?qū)嶋H問題。

（3）提升學(xué)生綜合能力。學(xué)生在課程項目的整個過程中，會遇到許多問題，包括所學(xué)知識的選擇和應(yīng)用、新的知識獲取、合作交流方式、知識的創(chuàng)新應(yīng)用等。在經(jīng)歷完整的項目后，學(xué)生的各種能力，包括自學(xué)能力、合作能力、應(yīng)用能力以及創(chuàng)新能力等綜合能力，都會有比較大的提升。

研究表明，通過對“基于競賽的項目學(xué)習(xí)”和傳統(tǒng)教學(xué)在講解信息安全類課程時產(chǎn)生的效果進(jìn)行比較，“基于項目學(xué)習(xí)”的教學(xué)方法會比傳統(tǒng)教學(xué)方法更有效激發(fā)學(xué)生的學(xué)習(xí)熱情與創(chuàng)新能力[4]。

3 競賽驅(qū)動項目式教學(xué)的實施

3.1 實施模式

作為軟件工程專業(yè)信息安全類課程的基礎(chǔ)課，信息安全課程涵蓋密碼學(xué)、Web應(yīng)用安全、網(wǎng)絡(luò)攻防安全、代碼安全等廣泛的領(lǐng)域課題，其目標(biāo)是通過學(xué)習(xí)要掌握信息安全領(lǐng)域的基本概念和原理，能夠分析常見的軟件和信息系統(tǒng)的安全性問題，并運(yùn)用軟件技術(shù)設(shè)計實現(xiàn)合理的解決方案。面向信息安全課程的競賽驅(qū)動項目式教學(xué)方案的總體架構(gòu)如圖1所示。

圖1 項目式教學(xué)方案總體架構(gòu)

針對理論性強(qiáng)、具有一定應(yīng)用性的密碼學(xué)與Web應(yīng)用安全部分，除了強(qiáng)化課堂授課，在項目教學(xué)環(huán)節(jié)采取團(tuán)隊間競爭、團(tuán)隊內(nèi)合作的應(yīng)用型項目式教學(xué)。要求學(xué)生組成項目團(tuán)隊，綜合課堂所學(xué)的知識，必要時自學(xué)新知識、新的工具和開發(fā)技能，合作完成滿足一定應(yīng)用需求的軟件作品或安全協(xié)議。應(yīng)用型項目的設(shè)計與實現(xiàn)過程中，學(xué)生加深了對基本概念和理論的理解，提高了靈活應(yīng)用能力。例如，為確保移動聊天應(yīng)用的保密性與完整性，并實現(xiàn)雙向身份認(rèn)證，學(xué)生會加深對加密和解密的不同方法（對稱和非對稱）、MAC（報文鑒別碼）和簽名驗證等概念和技術(shù)的理解，并能運(yùn)用這些技術(shù)解決實際問題。

針對理論性與實戰(zhàn)性兼?zhèn)涞拿艽a分析部分，采取奪旗（capture the flag，CTF）競賽中的解題模式（jeopardy）。將多組密文素材提供給學(xué)生項目團(tuán)隊，學(xué)生運(yùn)用學(xué)習(xí)過的密碼攻擊方法展開密碼破譯競爭，按解題的分值和時間進(jìn)行成績排名。通過設(shè)置密碼破譯懸案，激發(fā)學(xué)生的好奇心與求勝心理，使得學(xué)生對密碼分析方法的學(xué)習(xí)興趣盎然。這種模式作為一種新型的競賽驅(qū)動項目式教學(xué)手段，豐富了傳統(tǒng)的項目式教學(xué)方法。

網(wǎng)絡(luò)攻防安全與代碼安全部分有很強(qiáng)的實戰(zhàn)性，采用類似奪旗CTF競賽中的攻防模式，通過組織學(xué)生比賽的環(huán)節(jié)，引入競爭來激發(fā)學(xué)生的學(xué)習(xí)動力。網(wǎng)絡(luò)攻防競賽在教育環(huán)境中的應(yīng)用可以追溯到美國軍事學(xué)院的CDX（Cyber Defense eXercise），這是美國軍事學(xué)院信息保證教育項目中的頂級課程[5]。網(wǎng)絡(luò)攻防模式教學(xué)具有很強(qiáng)的競爭性與趣味性，學(xué)生團(tuán)隊通過挖掘網(wǎng)絡(luò)服務(wù)漏洞并攻擊對手服務(wù)漏洞得分，修補(bǔ)自身服務(wù)漏洞進(jìn)行防御避免丟分。攻防模式作為傳統(tǒng)項目式教學(xué)的重要補(bǔ)充，是一種可行的新的項目式教學(xué)方法。

競賽驅(qū)動項目式教學(xué)形式多樣，另一種可行的模式是軟件公司贊助的項目或競賽，更強(qiáng)調(diào)運(yùn)用所學(xué)解決現(xiàn)實的應(yīng)用問題。課外競賽作為一種有效的項目式教學(xué)輔助方法，為越來越多的人重視。未來對軟件人才的動手能力和應(yīng)用能力要求越來越高，國家主管部門、行業(yè)公司、高校針對計算機(jī)類專業(yè)的學(xué)生，不定期地舉辦軟件編程、開發(fā)等課外比賽，試圖激發(fā)學(xué)生的興趣，并從中發(fā)現(xiàn)人才。這些比賽不同于目前常用的項目，采用實際應(yīng)用中出現(xiàn)的關(guān)鍵技術(shù)問題，更加貼近現(xiàn)實應(yīng)用，更強(qiáng)調(diào)應(yīng)用的創(chuàng)新性。

3.2 實施步驟

實施競賽驅(qū)動的項目式教學(xué)，包括以下步驟。

（1）項目式教學(xué)的主題設(shè)計。項目主題的選擇非常重要，主題應(yīng)難易適中，且不宜太寬廣，還要考慮如何設(shè)計以激發(fā)學(xué)生的參與熱情等問題。此外，項目最好安排在與之相對應(yīng)內(nèi)容的課堂講解之后，學(xué)生可以在項目中運(yùn)用課堂所學(xué)知識，同時也可以在課堂上分享項目中的經(jīng)驗，這些都需要在教學(xué)實踐中摸索。如圖1所示，在密碼學(xué)基礎(chǔ)的課堂授課之后，安排密碼分析的解題模式項目，讓學(xué)生理解和掌握密碼分析的基本方法。在Web應(yīng)用安全授課之后，設(shè)計了兩個應(yīng)用型項目：一個是密碼學(xué)技術(shù)實現(xiàn)移動聊天應(yīng)用（Secure Chat），實現(xiàn)通信保密、數(shù)據(jù)完整性保護(hù)、密鑰交換、數(shù)字簽名等功能；另一個是簡化版的Kerberos協(xié)議實現(xiàn)。在網(wǎng)絡(luò)攻防與代碼安全授課之后，在虛擬的小型企業(yè)網(wǎng)絡(luò)環(huán)境中，安排攻防模式的實訓(xùn)項目教學(xué)。

（2）項目團(tuán)隊的組成以及執(zhí)行。項目式教學(xué)會遇到組隊問題，如何根據(jù)項目需求找到知識、能力全面，且善于合作的隊友非常重要。項目團(tuán)隊需要將學(xué)到的信息安全知識運(yùn)用到解答該項目中，例如課堂上所學(xué)的密碼學(xué)基礎(chǔ)理論、手機(jī)應(yīng)用開發(fā)技術(shù)等知識的應(yīng)用。

（3）項目式教學(xué)反哺理論教學(xué)。競賽驅(qū)動項目式教學(xué)對傳統(tǒng)的理論教學(xué)也有促進(jìn)作用。課程的相關(guān)教師會在項目組的交流過程中發(fā)現(xiàn)學(xué)生知識和技能的薄弱點，以此對教學(xué)中的問題進(jìn)行反思。比較好的項目成果也可以作為教學(xué)案例，用于將來的課堂教學(xué)。競賽驅(qū)動項目式教學(xué)不僅對促進(jìn)學(xué)生主動學(xué)習(xí)具有重要意義，對教師改進(jìn)教學(xué)也有一定的參考價值。

4 實施效果與問題反思

教學(xué)實踐發(fā)現(xiàn)，競賽驅(qū)動模式對促進(jìn)項目式教學(xué)中的主動學(xué)習(xí)起到了積極的作用。首先，學(xué)生在學(xué)習(xí)上投入了大量時間，項目的工作時間主要安排在習(xí)題課和課余，學(xué)生對項目工作興趣盎然，甚至到廢寢忘食的地步，從項目資料服務(wù)器的日志經(jīng)常可以看到，很多學(xué)生是在深夜提交項目報告。其次，從期末獲得學(xué)生的反饋表明，大部分學(xué)生認(rèn)為參與課程動手項目較其他教學(xué)方法更加有意義，這種方法更能激發(fā)學(xué)生的主觀能動性，使其自主參與到學(xué)習(xí)中來。最后，競賽驅(qū)動項目式教學(xué)讓學(xué)生自主探索、解決實際問題，真正掌握和運(yùn)用所學(xué)知識，這表現(xiàn)在：一方面學(xué)生在項目解答中解決了富有挑戰(zhàn)性的問題，在期末取得了好的成績；另一方面，課程的修讀學(xué)生對信息安全競賽產(chǎn)生了濃厚的興趣，代表復(fù)旦大學(xué)CTF戰(zhàn)隊，入圍了DEFCON CTF總決賽，取得了優(yōu)異成績。

教學(xué)實踐的另一個有價值的發(fā)現(xiàn)是：面向綜合性信息安全課程的最佳教學(xué)安排是采用混合式教學(xué)方法。講義與課堂講解是原理性和基礎(chǔ)類的最佳教學(xué)方式：應(yīng)用型軟件項目將密碼學(xué)原理等基本方法應(yīng)用解決網(wǎng)際空間的實際安全問題；解題模式和攻防模式的項目適合密碼設(shè)計與破譯、網(wǎng)絡(luò)攻擊與防御內(nèi)容的教學(xué)，每種方式都旨在實現(xiàn)與其相對應(yīng)的教學(xué)目標(biāo)。

教學(xué)實踐中也有一些反思。項目式教學(xué)的一個關(guān)鍵點是確定項目的主題范圍，信息安全學(xué)界曾經(jīng)就此進(jìn)行過多次辯論：一方認(rèn)為，學(xué)習(xí)攻擊者如何思考和攻擊是學(xué)習(xí)如何防御的關(guān)鍵；另一方認(rèn)為信息安全教學(xué)應(yīng)服務(wù)于行業(yè)需要，學(xué)生畢業(yè)后從事的工作基本上不會包括攻擊性的任務(wù)，教學(xué)黑客的攻擊手段會帶來爭議。筆者認(rèn)為，信息安全課程性質(zhì)決定了攻擊與防御兩方面是教學(xué)相長的，技術(shù)和思維方式都是完整信息安全教學(xué)的重要組成部分，但教師需要對過度的進(jìn)攻性競賽項目進(jìn)行把控。雖然進(jìn)攻型游戲和奪旗賽對學(xué)生非常有吸引力，但是將它們作為課程的重點并不恰當(dāng)，絕大多數(shù)的畢業(yè)生將進(jìn)入軟件行業(yè)，他們將設(shè)計、開發(fā)、維護(hù)企業(yè)級業(yè)務(wù)系統(tǒng)與網(wǎng)絡(luò)，而不是奪旗游戲。因此，筆者下一步的工作之一是設(shè)計面向企業(yè)實際應(yīng)用場景的項目主題與測驗平臺。

5 結(jié) 語

競賽驅(qū)動項目式教學(xué)方法在復(fù)旦大學(xué)軟件學(xué)院的信息安全課程中得到了成功的應(yīng)用，對教學(xué)班級學(xué)生的調(diào)查結(jié)果以及學(xué)生修讀課程后的學(xué)業(yè)發(fā)展均顯示：這種方法能促進(jìn)學(xué)生的主動學(xué)習(xí)，大多數(shù)學(xué)生比較認(rèn)同該教學(xué)方法的教學(xué)理念, 認(rèn)為這種方法能加深對授課內(nèi)容的理解，提升分析設(shè)計能力、動手實踐能力和團(tuán)隊合作能力，適合在信息安全類課程中進(jìn)一步推廣。面向信息安全課程內(nèi)容特點，筆者設(shè)計的解題模式、應(yīng)用型項目、攻防模式3種教學(xué)實施方案，提供了教學(xué)實踐環(huán)節(jié)的實際操作方案，使得競賽型項目更具可行性。

下一步，筆者計劃結(jié)合相應(yīng)知識點，設(shè)計更多貼近企業(yè)級信息安全業(yè)務(wù)環(huán)境的競賽型項目，學(xué)生將在受控網(wǎng)絡(luò)空間實訓(xùn)信息網(wǎng)絡(luò)系統(tǒng)的營運(yùn)和管理，以期在最大化激發(fā)學(xué)生學(xué)習(xí)主動性的同時，培養(yǎng)適應(yīng)行業(yè)實際需要的人才。