第4章計算機系統(tǒng)安全與訪問控制

1、2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 計算機作為一種信息社會中不可缺少的資源和財產(chǎn) 以予保護，以防止由于竊賊、侵入者和其它的各種原因 造成的損失一直是一個真正的需求。如何保護好計算機 系統(tǒng)、設(shè)備以及數(shù)據(jù)的安全是一種頗為刺激的挑戰(zhàn)。 由于計算機和信息產(chǎn)業(yè)的快速成長以及對網(wǎng)絡(luò)和全 球通信的日益重視，計算機安全正變得更為重要。然而、 計算機的安全一般來說是較為脆弱的，不管是一個詭計 多端的“黑客”還是一群聰明的學(xué)生，或者是一個不滿 的雇員所造成的對計算機安全的損害帶來的損失往往是 巨大的，影響是嚴(yán)重的。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 本章主要內(nèi)容： 1計算機安

2、全的主要目標(biāo) 2安全級別 3系統(tǒng)訪問控制 4選擇性訪問控制 5強制性訪問控制 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 4.1什么是計算機安全什么是計算機安全 主要目標(biāo)是保護計算機資源免受毀壞、替換、盜竊 和丟失。這些計算機資源包括計算機設(shè)備、存儲介質(zhì)、 軟件和計算機輸出材料和數(shù)據(jù)。 計算機部件中經(jīng)常發(fā)生的一些電子和機械故障有： （1）磁盤故障； （2）io控制器故障； （3）電源故障； （4）存儲器故障； （5）介質(zhì)、設(shè)備和其它備份故障； （6）芯片和主板故障等。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 1計算機系統(tǒng)的安全需求 （l）保密性 （2）安全性 （3）完整

3、性 （4）服務(wù)可用性 （5）有效性和合法性 （6）信息流保護 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 2計算機系統(tǒng)安全技術(shù) （1）實體硬件安全 （2）軟件系統(tǒng)安全 （3）數(shù)據(jù)信息安全 （4）網(wǎng)絡(luò)站點安全 （5）運行服務(wù)安全 （6）病毒防治技術(shù) （7）防火墻技術(shù) （8）計算機應(yīng)用系統(tǒng)的安全評價 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 3計算機系統(tǒng)安全技術(shù)標(biāo)準(zhǔn) 加密機制（enciphrement mechanisms） 數(shù)字簽名機制（digital signature mechanisms） 訪問控制機制（access control mechanisms） 數(shù)據(jù)完整性

4、機制（data integrity mechanisms） 鑒別交換機制（authentication mechanisms） 通信業(yè)務(wù)填充機制（traffic padding mechanisms） 路由控制機制（routing control mechanisms） 公證機制（notarization mechanisms） 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) (1)d級 d級是最低的安全級別，擁有這個級別的操作系統(tǒng)就像 一個門戶大開的房子，任何人可以自由進出，是完全不 可信的。 (2)c1級 c級有兩個安全子級別：c1和c2。c1級，又稱選擇性 安全保護（discret

5、ionary security protection）系統(tǒng)，它描 述了一種典型的用在unix系統(tǒng)上的安全級別。這種級別 的系統(tǒng)對硬件有某種程度的保護：用戶擁有注冊賬號和 口令，系統(tǒng)通過賬號和口令來識別用戶是否合法，并決 定用戶對程序和信息擁有什么樣的訪問權(quán)，但硬件受到 損害的可能性仍然存在。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) (3)c2級 除了c1級包含的特性外，c2級別應(yīng)具有訪問控制環(huán)境 （controlled-access environment）權(quán)力。該環(huán)境具有進 一步限制用戶執(zhí)行某些命令或訪問某些文件的權(quán)限，而 且還加入了身份認(rèn)證級別。 (4)b1級 b級中有三個級

6、別，b1級即標(biāo)志安全保護（labeled security protection），是支持多級安全（例如秘密和絕 密）的第一個級別，這個級別說明處于強制性訪問控制 之下的對象，系統(tǒng)不允許文件的擁有者改變其許可權(quán)限。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) (5)b2級 b2級，又叫做結(jié)構(gòu)保護（structured protection），它要 求計算機系統(tǒng)中所有的對象都要加上標(biāo)簽，而且給設(shè)備 （磁盤、磁帶和終端）分配單個或多個安全級別。它是 提供較高安全級別的對象與較低安全級別的對象相通信 的第一個級別。 (6)b3級 b3級或又稱安全域級別（security domain），使

7、用安裝 硬件的方式來加強域的安全，例如，內(nèi)存管理硬件用于 保護安全域免遭無授權(quán)訪問或其它安全域?qū)ο蟮男薷摹?2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) (7)a級 a級或又稱驗證設(shè)計（verity design）是當(dāng)前橙皮書的最 高級別，它包括了一個嚴(yán)格的設(shè)計、控制和驗證過程。 與前面所提到的各級別一樣，該級別包含了較低級別的 所有特性。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 實現(xiàn)訪問控制的方法，除了使用用戶標(biāo) 識與口令之外，還可以采用較為復(fù)雜的物理識 別設(shè)備，如訪問卡、鑰匙或令牌。生物統(tǒng)計學(xué) 系統(tǒng)是一種頗為復(fù)雜而又昂貴的訪問控制方法， 它基于某種特殊的物理特征對人進

8、行唯一性識 別，如指紋等。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 4.3.1 系統(tǒng)登陸 1 unix系統(tǒng)登陸 unix系統(tǒng)是一個可供多個用戶同時使用的多用戶、多任 務(wù)、分時的操作系統(tǒng)，任何一個想使用unix系統(tǒng)的用戶， 必須先向該系統(tǒng)的管理員申請一個賬號，然后才能使用 該系統(tǒng)，因此賬號就成為用戶進入系統(tǒng)的合法“身份 證”。 2 unix賬號文件 unix賬號文件/etc/passwd是登錄驗證的關(guān)鍵，該文件包 含所有用戶的信息，如用戶的登錄名、口令和用戶標(biāo)識 號等等信息。該文件的擁有者是超級用戶，只有超級用 戶才有寫的權(quán)力，而一般用戶只有讀取的權(quán)力。 2021年6月13日13時

9、19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 文件/etc/passwd中具有的內(nèi)容： #cat /etc/passwd root:!:0:0:/:/bin/ksh daemon:!:1:1:/etc: bin:!:2:2:/bin: sys:!:3:3:/usr/sys: adm:!:4:4:/var/adm: uucp:!:5:5:/usr/lib/uucp: guest:!:100:100:/home/guest: nobody:!:429496724294967294:4294967294:/: lpd:!:9:4294967294:/: nuucp:*:6:5:uucp login user:/var

10、/spool/uucppublic:/usr/sbin/uucp/uucico netinst:*:200:1:/home/netinst:/usr/bin/ksh zhang:!:208:1:/home/zhang:/usr/bin/ksh wang:!:213:1:/home/wang:/usr/bin/ksh 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 3. windows nt系統(tǒng)登錄 windows nt要求每一個用戶提供唯一的用戶名和口令 來登錄到計算機上，這種強制性登錄過程不能關(guān)閉。 成功的登錄過程有4個步驟： （1）win 32的winlogon過程給出一個對話框，要

11、求要有 一個用戶名和口令，這個信息被傳遞給安全性賬戶管理 程序。 （2）安全性賬戶管理程序查詢安全性賬戶數(shù)據(jù)庫，以確 定指定的用戶名和口令是否屬于授權(quán)的系統(tǒng)用戶。 （3）如果訪問是授權(quán)的，安全性系統(tǒng)構(gòu)造一個存取令牌， 并將它傳回到win 32的 winlogin過程。 （4）winlogin調(diào)用win 32子系統(tǒng)，為用戶創(chuàng)建一個新的 進程，傳遞存取令牌給子系統(tǒng)，win 32對新創(chuàng)建的過程 連接此令牌。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 4. 賬戶鎖定 為了防止有人企圖強行闖入系統(tǒng)中，用戶可以設(shè)定最大 登錄次數(shù)，如果用戶在規(guī)定次數(shù)內(nèi)未成功登錄，則系統(tǒng) 會自動被鎖定，不可能再用

12、于登錄。 5. windows nt安全性標(biāo)識符（sid） 在安全系統(tǒng)上標(biāo)識一個注冊用戶的唯一名字，它可以用 來標(biāo)識一個用戶或一組用戶。 例如： s-1-5-21-76965814-1898335404-322544488-1001 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 4.3.2 身份認(rèn)證 身份認(rèn)證（identification and authentication）可以定義 為，為了使某些授予許可權(quán)限的權(quán)威機構(gòu)滿意，而提供 所要求的用戶身份驗證的過程。 1用生物識別技術(shù)進行鑒別 指紋指紋是一種已被接受的用于唯一地識別一個人的方法。 手印手印是又一種被用于讀取整個手而不是僅僅

13、手指的特征 和特性。聲音圖像聲音圖像對每一個人來說也是各不相的同。筆筆 跡或簽名跡或簽名不僅包括字母和符號的組合方式，也包括了簽 名時某些部分用力的大小，或筆接觸紙的時間的長短和 筆移動中的停頓等細微的差別。視網(wǎng)膜掃描視網(wǎng)膜掃描是用紅外線 檢查人眼各不相同的血管圖像。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 2用所知道的事進行鑒別 口令可以說是其中的一種，但口令容易被偷竊，于是人 們發(fā)明了一種一次性口令機制 3使用用戶擁有的物品進行鑒別 智能卡（smart card）就是一種根據(jù)用戶擁有的物品進 行鑒別的手段。 一些認(rèn)證系統(tǒng)組合以上這些機制，加智能卡要求用戶輸 入個人身份證號碼（

14、pin），這種方法就結(jié)合了擁有物 品（智能卡）和知曉內(nèi)容（pin）兩種機制。 例如大學(xué)開放實驗室的認(rèn)證系統(tǒng)、自動取款機atm。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 4.3.3 怎樣保護系統(tǒng)的口令 口令是訪問控制的簡單而有效的方法，只要口令保持機 密，非授權(quán)用戶就無法使用該賬 1怎樣選擇一個安全的口令 最有效的口令是用戶很容易記住但“黑客”很難猜測或 破解的。建立口令時最好遵循如下的規(guī)則： （1）選擇長的口令，口令越長，黑客猜中的概率就越 （2）最好的口令包括英文字母和數(shù)字的組合。 （3）不要使用英語單詞。 （4）不要使用相同的口令訪問多個系統(tǒng)。 2021年6月13日13時19

15、分 計算機網(wǎng)絡(luò)安全基礎(chǔ) （5）不要使用名字，自己名字、家人的名字和寵物的名 字等。 （6）別選擇記不住的口令，這樣會給自己帶來麻煩。 （7）使用unix安全程序，如 passwd+和npasswd程序來測 試口令的安全性 。 2口令的生命期和控制 用戶應(yīng)該定期改變自己的口令，例如一個月?lián)Q一次。 如果口令被偷就會引起安全問題，經(jīng)常更換口令可以幫 助減少損失。比如兩個星期更換一次口令總比一直保留 原有口令損失要小。 管理員可以為口令設(shè)定生命期，這樣當(dāng)口令生命期到 后，系統(tǒng)就會強制用戶更改系統(tǒng)密碼。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 口令生命期控制信息保存在/etc/passwd

16、或/etc/shadow文 件當(dāng)中，它位于口令的后面，通常用逗號分開并表示下 述信息： （1）口令有效的最大周數(shù)； （2）用戶可以再次改變其口令必須經(jīng)過的最小周數(shù)； （3）口令最近的改變時間。 例如： 2alnss48ejgy， a2：210：105 口令已被設(shè)置了生命期，“a”值定義了口令到期前的 最大周數(shù)，“2”值定義了用戶能夠再次更改口令前必 須經(jīng)過的最小周數(shù)。通過查表，就可以知道“a”代表 12周，而“2”代表4周。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 3windows nt的賬戶口令管理 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 4.3.4 關(guān)于口令維護

17、的問題 口令維護時應(yīng)注意如下問題。 （1）不要將口令告訴別人，也不要幾個人共享一個口令， 不要把它記在本子上或計算機周圍。 （2）不要用系統(tǒng)指定的口令，如 root、demo和test等，第 一次進入系統(tǒng)就修改口令，不要沿用系統(tǒng)給用戶的缺省 口令，關(guān)閉掉unix供貨商隨操作系統(tǒng)配備的所有缺省賬 號，這個操作也要在每次系統(tǒng)升級或系統(tǒng)安裝之后來進 行。 （3）最好不要用電子郵件傳送口令，如果一定需要這樣 做，則最好對電子郵件進行加密處理。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) （4）如果賬戶長期不用，管理員應(yīng)將其暫停。如果雇員離 開公司，則管理員應(yīng)及時把他的賬戶消除，不要保留一 些

18、不用的賬號，這是很危險的。 （5）管理員也可以限制用戶的登錄時間，比如說只有在工 作時間，用戶才能登錄到計算機上。 （6）限制登錄次數(shù)。為了防止對賬戶多次嘗試口令以闖入 系統(tǒng)，系統(tǒng)可以限制登記企圖的次數(shù)，這樣可以防止有 人不斷地嘗試使用不同的口令和登錄名。 （7）最后一次登錄，該方法報告最后一次系統(tǒng)登錄的時間、 日期，以及在最后一次登錄后發(fā)生過多少次未成功的登 錄企圖。這樣可以提供線索了解是否有人非法訪問。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) （8）通過使用tftp（trivial file transfer protocol）獲取 口令文件。為了檢驗系統(tǒng)的安全性，通過tft

19、p命令連 接到系統(tǒng)上，然后獲取/etc/passwd文件。如果用戶能夠 完成這種操作，那么網(wǎng)絡(luò)上的任何人都能獲取用戶的 passwd文件。因此，應(yīng)該去掉tftp服務(wù)。如果必須要 有tftp服務(wù)，要確保它是受限訪問的。 （9）定期地查看日志文件，以便檢查登錄成功和不成功 的su（l）命令的使用，一定要定期地查看登錄末成功 的消息日志文件，一定要定期地查看 login refused消 息日志文件。 （10）根據(jù)場所安全策略，確保除了root之外沒有任何公 共的用戶賬號。也就是說，一個賬號不能被兩個或兩個 以上的用戶知道。去掉guest賬號，或者更安全的方法 是，根本就不創(chuàng)建guest賬號。 20

20、21年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) （11）使用特殊的用戶組來限制哪些用戶可以使用su命令 來成為root，例如：在 sunos下的wheel用戶組。 （12）一定要關(guān)閉所有沒有口令卻可以運行命令的賬號， 例如：sync。刪除這些賬號擁有的文件或改變這些賬號 擁有的文件的擁有者。確保這些賬號沒有任何的cron或 at作業(yè)。最安全的方法是徹底刪除這些賬號。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 選擇性訪問控制（discretionary access control， dac）是基于主體或主體所在組的身份的，這種訪問 控制是可選擇性的，也就是說，如果一個主體具有某種

21、 訪問權(quán)，則它可以直接或間接地把這種控制權(quán)傳遞給別 的主體（除非這種授權(quán)是被強制型控制所禁止的）。 選擇性訪問控制被內(nèi)置于許多操作系統(tǒng)當(dāng)中，是任 何安全措施的重要成部分。文件擁有者可以授予一個用 戶或一組用戶訪問權(quán)。選擇性訪問控制在網(wǎng)絡(luò)中有著廣 泛的應(yīng)用，下面將著重介紹網(wǎng)絡(luò)上的選擇性訪問控制的 應(yīng)用。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) 在網(wǎng)絡(luò)上使用選擇性訪問控制應(yīng)考慮如下幾點： （1）某人可以訪問什么程序和服務(wù)？ （2）某人可以訪問什么文件？ （3）誰可以創(chuàng)建、讀或刪除某個特定的文件？ （4）誰是管理員或“超級用戶”？ （5）誰可以創(chuàng)建、刪除和管理用戶？ （6）某人屬于什么

22、組，以及相關(guān)的權(quán)利是什么？ （7）當(dāng)使用某個文件或目錄時，用戶有哪些權(quán)利？ 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) windows nt提供兩種選擇性訪問控制方法來幫助 控制某人在系統(tǒng)中可以做什么，一種是安全級別指定， 另一種是目錄文件安全。 下面是常見的安全級別內(nèi)容其中也包括了一些網(wǎng)絡(luò) 權(quán)力。 （1）管理員組享受廣泛的權(quán)力，包括生成、消除和管理 用戶賬戶、全局組和局部組，共享目錄和打印機，認(rèn)可 資源的許可和權(quán)利，安裝操作系統(tǒng)文件和程序。 （2）服務(wù)器操作員具有共享和停止共享資源、鎖住和解 鎖服務(wù)器、格式化服務(wù)器硬盤、登錄到服務(wù)器以及備份 和恢復(fù)服務(wù)器的權(quán)力。 2021年6月13日13時19分 計算機網(wǎng)絡(luò)安全基礎(chǔ) （3）打印操作員具有共享和停止共享打印機、管理打印 機、從控制臺登錄到服務(wù)器以及關(guān)掉服務(wù)器等權(quán)力。 （4）備份操作員具有備份和恢復(fù)服務(wù)器、從控制臺登錄 到服務(wù)器和關(guān)掉服務(wù)器等權(quán)力。 （5）賬戶操作員具有生成、取消和修改用戶、全局組和 局部組，不能修改管理員組或服務(wù)器操作員組的權(quán)力。 （6）復(fù)制者與目錄復(fù)制服務(wù)聯(lián)合使用。 （7）用戶組可執(zhí)行授予它們的權(quán)力，訪問授予它們訪問 權(quán)的資源。 （8）訪問者組僅可執(zhí)行一些非常有限的權(quán)力，所能訪問 的資源也很有限。 2021年6