信息系統(tǒng)攻擊與防御第十章

信息系統(tǒng)攻擊與防御第十章第1頁，共41頁，2023年，2月20日，星期日內(nèi)容簡介本章主要介紹了與安全相關(guān)的一些專題，包括：計算機病毒；訪問控制；身份和信任管理；計算機信息安全標(biāo)準(zhǔn)簡介；防火墻；蜜罐；IDS等。第2頁，共41頁，2023年，2月20日，星期日10.1.計算機病毒

什么是計算機病毒:下將生物醫(yī)學(xué)病毒與感染IBM-PC機的DOS環(huán)境下的病毒的特征進(jìn)行對比。第3頁，共41頁，2023年，2月20日，星期日10.1.計算機病毒(續(xù))什么是計算機病毒從廣義上講，病毒可以歸為2類：引導(dǎo)區(qū)病毒和文件型病毒。1.引導(dǎo)區(qū)病毒引導(dǎo)區(qū)病毒隱藏在硬盤或軟盤的引導(dǎo)區(qū)(Boot區(qū))，當(dāng)計算機從感染了引導(dǎo)區(qū)病毒的硬盤或軟盤啟動，或是當(dāng)計算機從受感染的軟盤里讀取數(shù)據(jù)時，引導(dǎo)區(qū)病毒就開始發(fā)作。一旦它們把自己復(fù)制到計算機的內(nèi)存里，就會感染其他磁盤的引導(dǎo)區(qū)或是通過網(wǎng)絡(luò)傳播到其他計算機上。2.文件型病毒文件型病毒寄生在其他文件中，常常通過對它們的編碼加密或是使用其他技術(shù)來隱藏。文件型病毒把用來啟動主程序的可執(zhí)行命令劫奪過去，當(dāng)作它自己的運行命令。該病毒還常常會把控制還給主程序，為的是讓計算機系統(tǒng)顯得正常。第4頁，共41頁，2023年，2月20日，星期日10.1.計算機病毒(續(xù))什么是計算機病毒3．宏病毒和腳本病毒宏病毒是一種特殊的文件型病毒。宏病毒是在一些軟件開發(fā)商開始在他們的產(chǎn)品中引入宏語言，并允許這些產(chǎn)品生成載有宏的數(shù)據(jù)文件之后出現(xiàn)的。例如，微軟的Office產(chǎn)品系列包括很多的微軟VisualBasic程序語言，這些語言使MicrosoftWord和MicrosoftExcel可以自動操作模板和文件的生成。第一個宏病毒Concept是在微軟剛剛在Word中引入宏之后立刻出現(xiàn)的。4．多重分裂病毒近幾年來，引導(dǎo)區(qū)病毒和文件型病毒之間的界限變得相當(dāng)?shù)哪：ＴS多病毒既能感染文件，也可以感染磁盤引導(dǎo)區(qū)。多重分裂病毒就是這樣的病毒，它可以通過被感染的文件傳播，也可以在硬盤或軟盤運行的時候感染它們的引導(dǎo)區(qū)?，F(xiàn)代病毒很少只使用一種方法，大多都使用以上兩種，有的還使用了其他的方法。5．網(wǎng)絡(luò)蠕蟲程序網(wǎng)絡(luò)蠕蟲程序是一種通過間接方式而不是直接復(fù)制自己來傳播的惡意軟件。有些網(wǎng)絡(luò)蠕蟲攔截E-mail系統(tǒng)并向世界各地發(fā)送自己的復(fù)制品，有些則出現(xiàn)在高速下載站點中，當(dāng)然還有些同時使用這兩種方法與其他技術(shù)一起傳播。蠕蟲程序與病毒一樣具有破壞性，傳播速度比病毒還要快。蠕蟲的制作者經(jīng)常利用用戶的心理因素，誘使用戶下載并運行蠕蟲。臭名昭著的“美麗莎”病毒，就是一種使用E-mail系統(tǒng)以驚人速度傳播的蠕蟲程序。它的傳播速度之快史無前例，成千上萬的病毒感染造成許多郵件服務(wù)器先后崩潰，人們?yōu)榍宄馁M了大量的精力。第5頁，共41頁，2023年，2月20日，星期日10.1.計算機病毒(續(xù))什么是計算機病毒6．病毒的特征代碼大部分的防毒軟件都使用各自的特征代碼來查找某些固定的病毒。特征代碼是區(qū)分病毒代碼與其他文件或數(shù)據(jù)的一段特殊的字節(jié)。這段代碼有時是病毒內(nèi)的一種數(shù)據(jù)類型，有時是加密法或者解密法，或者是其他的識別特征。有些病毒使用一種明顯的信號在被它們感染的文件上掛上類似“請勿打擾”的標(biāo)志，否則病毒就會重復(fù)感染文件并使文件長度無限變大，這樣很容易被發(fā)覺。

第6頁，共41頁，2023年，2月20日，星期日10.1.計算機病毒(續(xù))病毒傳播途徑與危害計算機病毒的傳播途徑主要有：1.通過文件系統(tǒng)傳播；2.通過電子郵件傳播；3.通過局域網(wǎng)傳播；4.通過互聯(lián)網(wǎng)上即時通訊軟件和點對點軟件等常用工具傳播；5.利用系統(tǒng)、應(yīng)用軟件的漏洞進(jìn)行傳播；6.利用系統(tǒng)配置缺陷傳播，如弱口令、完全共享等；7.利用欺騙等社會工程的方法傳播。第7頁，共41頁，2023年，2月20日，星期日10.1.計算機病毒(續(xù))計算機病毒原理計算機病毒是一段執(zhí)行程序。所謂執(zhí)行程序是計算機要處理的一種數(shù)據(jù)，一般存放在內(nèi)存中，可由計算機的中央處理器（CPU）逐條加以執(zhí)行。

計算機病毒一定是寄生在某個有用的執(zhí)行程序之上，這個有用的執(zhí)行程序稱之為計算機病毒的宿主。將自身復(fù)制到其它執(zhí)行程序之上是判定一個執(zhí)行程序是否是計算機病毒的重要因素。第8頁，共41頁，2023年，2月20日，星期日10.1.計算機病毒(續(xù))計算機病毒的特征1.非授權(quán)可執(zhí)行性2.隱蔽性3.傳染性4.潛伏性5.表現(xiàn)性或破壞性6.可觸發(fā)性第9頁，共41頁，2023年，2月20日，星期日10.1.計算機病毒(續(xù))用戶計算機中毒的24種癥狀：1.是計算機系統(tǒng)運行速度減慢；2.是計算機系統(tǒng)經(jīng)常無幫故發(fā)生死機；3.是計算機系統(tǒng)中的文件長度發(fā)生變化；4.是計算機存儲的容量異常減少；5.是系統(tǒng)引導(dǎo)速度減慢；6.是丟失文件或文件損壞；7.是計算機屏幕上出現(xiàn)異常顯示；8.是計算機系統(tǒng)的蜂鳴器出現(xiàn)異常聲響；9.是磁盤卷標(biāo)發(fā)生變化；10.是系統(tǒng)不識別硬盤；11.是對存儲系統(tǒng)異常訪問；12.是鍵盤輸入異常；第10頁，共41頁，2023年，2月20日，星期日10.1.計算機病毒(續(xù))用戶計算機中毒的24種癥狀：13.是文件的日期、時間、屬性等發(fā)生變化；14.是文件無法正確讀取、復(fù)制或打開；15.是命令執(zhí)行出現(xiàn)錯誤；16.是虛假報警；17.是換當(dāng)前盤。有些病毒會將當(dāng)前盤切換到C盤；18.是時鐘倒轉(zhuǎn)。有些病毒會命名系統(tǒng)時間倒轉(zhuǎn)，逆向計時；19.是WINDOWS操作系統(tǒng)無故頻繁出現(xiàn)錯誤；20.是系統(tǒng)異常重新啟動；21.是一些外部設(shè)備工作異常；22.是異常要求用戶輸入密碼。13.是WORD或EXCEL提示執(zhí)行“宏”；24.是不應(yīng)駐留內(nèi)存的程序駐留內(nèi)存。第11頁，共41頁，2023年，2月20日，星期日10.1.計算機病毒(續(xù))網(wǎng)絡(luò)蠕蟲和特洛伊木馬程序：網(wǎng)絡(luò)蠕蟲（worm）主要是利用操作系統(tǒng)和應(yīng)用程序漏洞傳播，通過網(wǎng)絡(luò)的通信功能將自身從一個結(jié)點發(fā)送到另一個結(jié)點并啟動運行的程序，可以造成網(wǎng)絡(luò)服務(wù)遭到拒絕并發(fā)生死鎖?！叭湎x”由兩部分組成：一個主程序和一個引導(dǎo)程序。主程序一旦在機器上建立就會去收集與當(dāng)前機器聯(lián)網(wǎng)的其它機器的信息。它能通過讀取公共配置文件并運行顯示當(dāng)前網(wǎng)上聯(lián)機狀態(tài)信息的系統(tǒng)實用程序而做到這一點。隨后，它嘗試?yán)们懊嫠枋龅哪切┤毕萑ピ谶@些遠(yuǎn)程機器上建立其引導(dǎo)程序。特洛伊木馬程序（Trojanhorse）是一個隱藏在合法程序中的非法的程序。該非法程序被用戶在不知情的情況下被執(zhí)行。其名稱源于古希臘的特洛伊木馬神話。對于木馬的防范可以采取以下措施：1.不要執(zhí)行任何來歷不明的軟件或程序：2.不要輕易打開陌生郵件，或許當(dāng)你打開的同時就已經(jīng)中了別人設(shè)置的木馬；3.不要因為對方是你的好朋友就輕易執(zhí)行他發(fā)過來的軟件或程序，因為你不確信他是否也像你一樣裝上了病毒防火墻，也許你的朋友已經(jīng)中了黑客程序自己卻不知道！同時，你也不能擔(dān)保是否有別人冒他的名給你發(fā)mail；4.千萬不要隨便留下你的個人資料，因為你永遠(yuǎn)不會知道是否有人會處心積慮收集起來。第12頁，共41頁，2023年，2月20日，星期日10.1.計算機病毒(續(xù))計算機病毒防治策略：計算機病毒的防治要從防毒、查毒、解毒三方面來進(jìn)行；系統(tǒng)對于計算機病毒的實際防治能力和效果也要從防毒能力、查毒能力和解毒能力三方面來評判。1.防毒。是指根據(jù)系統(tǒng)特性，采取相應(yīng)的系統(tǒng)安全措施預(yù)防病毒侵入計算機。防毒能力是指通過采取防毒措施，可以準(zhǔn)確、實時監(jiān)測預(yù)警經(jīng)由光盤、軟盤、硬盤不同目錄之間、局域網(wǎng)、互聯(lián)網(wǎng)（包括FTP方式、E-MAIL、HTTP方式）或其它形式的文件下載等多種方式的病毒感染；能夠在病毒侵入系統(tǒng)時發(fā)出警報，記錄攜帶病毒的文件，即時清除其中的病毒；對網(wǎng)絡(luò)而言，能夠向網(wǎng)絡(luò)管理員發(fā)送關(guān)于病毒入侵的信息，記錄病毒入侵的工作站，必要時還要能夠注銷工作站，隔離病毒源。2.查毒。是指對于確定的環(huán)境，能夠準(zhǔn)確地報出病毒名稱，該環(huán)境包括，內(nèi)存、文件、引導(dǎo)區(qū)（含主導(dǎo)區(qū)）、網(wǎng)絡(luò)等。查毒能力是指發(fā)現(xiàn)和追蹤病毒來源的能力，通過查毒能準(zhǔn)確地發(fā)現(xiàn)信息網(wǎng)絡(luò)是否感染有病毒，準(zhǔn)確查找出病毒的來源，給出統(tǒng)計報告；查解病毒的能力應(yīng)由查毒率和誤報率來評判。3.解毒。是指根據(jù)不同類型病毒對感染對象的修改，并按照病毒的感染特性所進(jìn)行的恢復(fù)。該恢復(fù)過程不能破壞未被病毒修改的內(nèi)容。感染對象包括：內(nèi)存、引導(dǎo)區(qū)（含主引導(dǎo)區(qū)）、可執(zhí)行文件、文檔文件、網(wǎng)絡(luò)等。解毒能力是指從感染對象中清除病毒，恢復(fù)被病毒感染前的原始信息的能力。第13頁，共41頁，2023年，2月20日，星期日10.1.計算機病毒(續(xù))計算機病毒診斷方法：通常計算機病毒的檢測方法有兩種：1.手工檢測。是指通過一些軟件工具（如DEBUG.COM、PCTOOLS.EXE、NU.COM、SYSINFO.EXE等）提供的功能進(jìn)行病毒的檢測。這種方法比較復(fù)雜，需要檢測者熟悉機器指令和操作系統(tǒng)，因而無法普及。它的基本過程是利用一些工具軟件，對易遭病毒攻擊和修改的內(nèi)存及磁盤的有關(guān)部分進(jìn)行檢查，通過和正常情況下的狀態(tài)進(jìn)行對比分析，來判斷是否被病毒感染。這種方法檢測病毒，費時費力，但可以剖析新病毒，檢測識別未知病毒，可以檢測一些自動檢測工具不認(rèn)識的新病毒。2.自動檢測。是指通過一些診斷軟件來判讀一個系統(tǒng)或一個軟盤是否有毒的方法。自動檢測則比較簡單，一般用戶都可以進(jìn)行，但需要較好的診斷軟件。這種方法可方便地檢測大量的病毒，但是，自動檢測工具只能識別已知病毒，而且自動檢測工具的發(fā)展總是滯后于病毒的發(fā)展，所以檢測工具對未知病毒很難識別。第14頁，共41頁，2023年，2月20日，星期日10.1.計算機病毒(續(xù))網(wǎng)絡(luò)病毒的清理和防治：網(wǎng)絡(luò)病毒的清理防治方法主要有：1.全面地與互聯(lián)網(wǎng)結(jié)合，對網(wǎng)絡(luò)層、郵件客戶端進(jìn)行實時監(jiān)控，防止病毒入侵；2.快速反應(yīng)的病毒檢測網(wǎng)，在病毒爆發(fā)的第一時間即能提供解決方案；3.病毒防治產(chǎn)品完善的在線升級，隨時擁有最新的防病毒能力；4.對病毒經(jīng)常攻擊的應(yīng)用程序提供重點保護(hù)（如Office、Outlook、IE、ICQ/QQ等）；5.獲取完整、即時的反病毒咨詢，盡快了解新病毒的特點和解決方案。。第15頁，共41頁，2023年，2月20日，星期日10.2.訪問控制訪問控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要核心策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和訪問。訪問控制規(guī)定了主體對客體訪問的限制，并在身份識別的基礎(chǔ)上，根據(jù)身份對提出資源訪問的請求加以控制。它是對信息系統(tǒng)資源進(jìn)行保護(hù)的重要措施，也是計算機系統(tǒng)最重要和最基礎(chǔ)的安全機制。第16頁，共41頁，2023年，2月20日，星期日10.2.訪問控制

(續(xù))訪問控制的基本概念：1．主體（Subject）主體是指主動的實體，是訪問的發(fā)起者，它造成了信息的流動和系統(tǒng)狀態(tài)的改變，主體通常包括人、進(jìn)程和設(shè)備。2．客體（Object）客體是指包含或接受信息的被動實體，客體在信息流動中的地位是被動的，是處于主體的作用之下，對客體的訪問意味著對其中所包含信息的訪問?？腕w通常包括文件、設(shè)備、信號量和網(wǎng)絡(luò)節(jié)點等。3．訪問（Access）訪問（Access）是使信息在主體（Subject）和客體（Object）之間流動的一種交互方式。4．訪問許可（AccessPermissions）訪問控制決定了誰能夠訪問系統(tǒng)，能訪問系統(tǒng)的何種資源以及如何使用這些資源。適當(dāng)?shù)脑L問控制能夠阻止未經(jīng)允許的用戶有意或無意地獲取數(shù)據(jù)。訪問控制的手段包括用戶識別代碼、口令、登錄控制、資源授權(quán)（例如用戶配置文件、資源配置文件和控制列表）、授權(quán)核查、日志和審計等等。第17頁，共41頁，2023年，2月20日，星期日10.2.訪問控制

(續(xù))訪問控制的基本概念：1．主體（Subject）主體是指主動的實體，是訪問的發(fā)起者，它造成了信息的流動和系統(tǒng)狀態(tài)的改變，主體通常包括人、進(jìn)程和設(shè)備。2．客體（Object）客體是指包含或接受信息的被動實體，客體在信息流動中的地位是被動的，是處于主體的作用之下，對客體的訪問意味著對其中所包含信息的訪問?？腕w通常包括文件、設(shè)備、信號量和網(wǎng)絡(luò)節(jié)點等。3．訪問（Access）訪問（Access）是使信息在主體（Subject）和客體（Object）之間流動的一種交互方式。4．訪問許可（AccessPermissions）訪問控制決定了誰能夠訪問系統(tǒng)，能訪問系統(tǒng)的何種資源以及如何使用這些資源。適當(dāng)?shù)脑L問控制能夠阻止未經(jīng)允許的用戶有意或無意地獲取數(shù)據(jù)。訪問控制的手段包括用戶識別代碼、口令、登錄控制、資源授權(quán)（例如用戶配置文件、資源配置文件和控制列表）、授權(quán)核查、日志和審計等等。第18頁，共41頁，2023年，2月20日，星期日10.2.訪問控制

(續(xù))訪問控制策略：訪問控制涉及的領(lǐng)域很廣，方法也很多，通常訪問控制策略可以劃分為三種：自主訪問控制強制訪問控制基于角色的訪問控制第19頁，共41頁，2023年，2月20日，星期日10.2.訪問控制

(續(xù))自主訪問控制（DiscretionaryAccessControl）是一種允許主體對訪問控制施加特定限制的訪問控制類型。它允許主體針對訪問資源的用戶設(shè)置訪問控制權(quán)限，用戶對資源的每次訪問都會檢查用戶對資源的訪問權(quán)限，只有通過驗證的用戶才能訪問資源。自主訪問控制是基于用戶的，故此具有很高的靈活性，這使得這種策略適合各類操作系統(tǒng)和應(yīng)用程序，特別是在商業(yè)和工業(yè)領(lǐng)域。例如，在很多應(yīng)用環(huán)境中，用戶需要在沒有系統(tǒng)管理員介入的情況下，擁有設(shè)定其他用戶訪問其所控制信息資源的能力，因此控制就具有很大的任意性。在這種環(huán)境下，用戶對信息的訪問控制是動態(tài)的，這時采用自主訪問控制就比較合適。自主訪問控制包括身份型（Identity-based）訪問控制和用戶指定型（User-directed）訪問控制，通常包括目錄式訪問控制，訪問控制表，訪問控制矩陣和面向過程的訪問控制等方式。第20頁，共41頁，2023年，2月20日，星期日10.2.訪問控制

(續(xù))強制訪問控制（MandatoryAccessControl）是一種不允許主體干涉的訪問控制類型。它是基于安全標(biāo)識和信息分級等信息敏感性的訪問控制，通過比較資源的敏感性與主體的級別來確定是否允許訪問。系統(tǒng)將所有主體和客體分成不同的安全等級，給予客體的安全等級能反映出客體本身的敏感程度；主體的安全等級，標(biāo)志著用戶不會將信息透露給未經(jīng)授權(quán)的用戶。通常安全等級可分為四個級別：最高秘密級（TopSecret）、秘密級（Secret）、機密級（Confidential）以及無級別級（Unclassified），其級別順序為TS>S>C>U。這些安全級別可以支配同一級別或低一級別的對象。當(dāng)一個主體訪問一個客體時必須符合各自的安全級別需求，特別是如下兩個原則必須遵守：●ReadDown：主體安全級別必須高于被讀取對象的級別；●Writeup：主體安全級別必須低于被寫入對象的級別。這些規(guī)則可以防止高級別對象的信息傳播到低級別的對象中，這樣系統(tǒng)中的信息只能在同一層次傳送或流向更高一級。第21頁，共41頁，2023年，2月20日，星期日10.2.訪問控制

(續(xù))基于角色的訪問控制（RoleBasedAccessControl）是指在應(yīng)用環(huán)境中，通過對合法的訪問者進(jìn)行角色認(rèn)證來確定訪問者在系統(tǒng)中對哪類信息有什么樣的訪問權(quán)限。系統(tǒng)只問用戶是什么角色，而不管用戶是誰。角色可以理解成為其工作涉及相同行為和責(zé)任范圍內(nèi)的一組人，一個訪問者可以扮演多個角色，一個角色也可以包含多個訪問者。角色訪問控制具有以下優(yōu)點：便于授權(quán)管理、便于賦予最小特權(quán)、便于根據(jù)工作需要分級、責(zé)任獨立、便于文件分級管理、便于大規(guī)模實現(xiàn)。角色訪問是一種有效而靈活的安全措施，系統(tǒng)管理模式明確，節(jié)約管理開銷，當(dāng)前流行的數(shù)據(jù)管理系統(tǒng)都采用了角色策略來管理權(quán)限。第22頁，共41頁，2023年，2月20日，星期日10.2.訪問控制

(續(xù))訪問控制技術(shù)：根據(jù)控制手段和具體目的的不同，通常將訪問控制技術(shù)劃分為如下幾個方面：入網(wǎng)訪問控制網(wǎng)絡(luò)權(quán)限控制目錄級安全控制屬性安全控制網(wǎng)絡(luò)服務(wù)器的安全控制第23頁，共41頁，2023年，2月20日，星期日10.2.訪問控制

(續(xù))入網(wǎng)訪問控制為網(wǎng)絡(luò)訪問提供了第一層訪問控制。它控制哪些用戶能夠登錄到服務(wù)器并獲取網(wǎng)絡(luò)資源，控制準(zhǔn)許用戶入網(wǎng)的時間和準(zhǔn)許入網(wǎng)的工作站等。網(wǎng)絡(luò)權(quán)限控制是針對網(wǎng)絡(luò)非法操作所提出的一種安全保護(hù)措施。能夠訪問網(wǎng)絡(luò)的合法用戶被劃分為不同的用戶組，用戶和用戶組被賦予一定的權(quán)限。目錄級安全控制是針對用戶設(shè)置的訪問控制，控制用戶對目錄、文件、設(shè)備的訪問。用戶在目錄一級指定的權(quán)限對所有文件和子目錄有效，用戶還可以進(jìn)一步指定對目錄下的子目錄和文件的權(quán)限。對目錄和文件的訪問權(quán)限一般有八種：系統(tǒng)管理員權(quán)限、讀權(quán)限、寫權(quán)限、創(chuàng)建權(quán)限、刪除權(quán)限、修改權(quán)限、文件查找權(quán)限和訪問控制權(quán)限。屬性安全控制在權(quán)限安全控制的基礎(chǔ)上提供更進(jìn)一步的安全性。當(dāng)用戶訪問文件、目錄和網(wǎng)絡(luò)設(shè)備時，網(wǎng)絡(luò)系統(tǒng)管理員應(yīng)該給出文件、目錄的訪問屬性，網(wǎng)絡(luò)上的資源都應(yīng)預(yù)先標(biāo)出安全屬性，用戶對網(wǎng)絡(luò)資源的訪問權(quán)限對應(yīng)一張訪問控制表，用以表明用戶對網(wǎng)絡(luò)資源的訪問能力。為網(wǎng)絡(luò)允許在用戶在服務(wù)器控制臺上執(zhí)行一系列操作，所以用戶使用控制臺就可以裝載和卸載模塊，可以安裝和刪除軟件等操作，這就需要網(wǎng)絡(luò)服務(wù)器的安全控制。網(wǎng)絡(luò)服務(wù)器的安全控制包括可以設(shè)置口令鎖定服務(wù)器控制臺，從而防止非法用戶修改、刪除重要信息或破壞數(shù)據(jù)。具體包括設(shè)定服務(wù)器登錄時間限制、非法訪問者檢測和關(guān)閉的時間間隔等。第24頁，共41頁，2023年，2月20日，星期日10.3.身份和信任管理

(續(xù))開放式系統(tǒng)的認(rèn)證有以下幾種需求：●安全性：認(rèn)證機制必須足夠安全，不致成為攻擊的薄弱環(huán)節(jié)。●可靠性：認(rèn)證服務(wù)是其他服務(wù)的基礎(chǔ)，它的可靠性決定整個系統(tǒng)的可靠性?！裢该餍裕河脩魬?yīng)該感受不到認(rèn)證服務(wù)的存在?！窨蓴U展性：當(dāng)和不支持認(rèn)證機制的系統(tǒng)通信時，應(yīng)該保持一切不受影響。一般而言，認(rèn)證的機制分為兩類：簡單認(rèn)證機制強認(rèn)證機制第25頁，共41頁，2023年，2月20日，星期日10.3.身份和信任管理

(續(xù))RADIUS認(rèn)證機制RADIUS（RemoteAuthenticationDialInUserService）協(xié)議最初是由Livingston公司提出的，原先的目的是為撥號用戶進(jìn)行認(rèn)證和計費。后來經(jīng)過多次改進(jìn)，形成了一項通用的認(rèn)證計費協(xié)議。RADIUS認(rèn)證要用到基于挑戰(zhàn)/應(yīng)答（Challenge/Response）的認(rèn)證方式。RADIUS是一種C/S結(jié)構(gòu)的協(xié)議，它的客戶端最初就是NAS（NetAccessServer）服務(wù)器，現(xiàn)在任何運行RADIUS客戶端軟件的計算機都可以成為RADIUS的客戶端。RADIUS協(xié)議認(rèn)證機制靈活，可以采用PAP、CHAP或者Unix登錄認(rèn)證等多種方式。RADIUS是一種可擴展的協(xié)議，它進(jìn)行的全部工作都是基于Attribute-Length-Value的向量進(jìn)行的。RADIUS的基本工作原理是用戶接入NAS，NAS向RADIUS服務(wù)器使用Access-Require數(shù)據(jù)包提交用戶信息，包括用戶名、密碼等相關(guān)信息，其中用戶密碼是經(jīng)過MD5加密的，雙方使用共享密鑰，這個密鑰不經(jīng)過網(wǎng)絡(luò)傳播；RADIUS服務(wù)器對用戶名和密碼的合法性進(jìn)行檢驗，必要時可以提出一個Challenge，要求進(jìn)一步對用戶認(rèn)證，也可以對NAS進(jìn)行類似的認(rèn)證；如果合法，給NAS返回Access-Accept數(shù)據(jù)包，允許用戶進(jìn)行下一步工作，否則返回Access-Reject數(shù)據(jù)包，拒絕用戶訪問；如果允許訪問，NAS向RADIUS服務(wù)器提出計費請求Account-Require，RADIUS服務(wù)器響應(yīng)Account-Accept，對用戶的計費開始，同時用戶可以進(jìn)行自己的相關(guān)操作。第26頁，共41頁，2023年，2月20日，星期日10.3.身份和信任管理

(續(xù))基于DCE/Kerberos的認(rèn)證機制DCE/Kerberos是一種被證明為非常安全的雙向身份認(rèn)證技術(shù)。DCE/Kerberos的身份認(rèn)證強調(diào)了客戶機對服務(wù)器的認(rèn)證；Kerberos一種為網(wǎng)絡(luò)通信提供可信第三方服務(wù)的面向開放系統(tǒng)的認(rèn)證機制。每當(dāng)用戶(Client)申請得到某服務(wù)程序(Server)的服務(wù)時，用戶和服務(wù)程序會首先向Kerberos要求認(rèn)證對方的身份，認(rèn)證建立在用戶(Client)和服務(wù)程序(Server)對Kerberos的信任的基礎(chǔ)上。在申請認(rèn)證時，Client和Server都可看成是Kerberos認(rèn)證服務(wù)的用戶，為了和其它服務(wù)的用戶區(qū)別，Kerberos用戶統(tǒng)稱為Principle，Principle既可以是用戶也可以是某項服務(wù)。認(rèn)證雙方與Kerberos的關(guān)系用圖表示：第27頁，共41頁，2023年，2月20日，星期日10.3.身份和信任管理

(續(xù))基于公共密鑰的認(rèn)證機制目前在Internet上也使用基于公共密鑰的安全策略進(jìn)行身份認(rèn)證，具體而言，使用符合X.509的身份證明。PKI是通過使用公開密鑰技術(shù)和數(shù)字證書來確保系統(tǒng)信息安全并負(fù)責(zé)驗證數(shù)字證書持有者身份的一種體系。（參見教材）第28頁，共41頁，2023年，2月20日，星期日10.3.身份和信任管理

(續(xù))基于挑戰(zhàn)/應(yīng)答的認(rèn)證機制基于挑戰(zhàn)/應(yīng)答（Challenge/Response）方式的身份認(rèn)證機制就是每次認(rèn)證時認(rèn)證服務(wù)器端都給客戶端發(fā)送一個不同的“挑戰(zhàn)”字串，客戶端程序收到這個“挑戰(zhàn)”字串后，做出相應(yīng)的“應(yīng)答”。認(rèn)證過程為：向認(rèn)證服務(wù)器發(fā)出請求，要求進(jìn)行身份認(rèn)證；認(rèn)證服務(wù)器從用戶數(shù)據(jù)庫中查詢用戶是否是合法的用戶，若不是，則不做進(jìn)一步處理；認(rèn)證服務(wù)器內(nèi)部產(chǎn)生一個隨機數(shù)，作為“提問”，發(fā)送給客戶；客戶將用戶名字和隨機數(shù)合并，使用單向Hash函數(shù)（例如MD5算法）生成一個字節(jié)串作為應(yīng)答；認(rèn)證服務(wù)器將應(yīng)答串與自己的計算結(jié)果比較，若二者相同，則通過一次認(rèn)證；否則，認(rèn)證失?。徽J(rèn)證服務(wù)器通知客戶認(rèn)證成功或失敗。以后的認(rèn)證由客戶不定時地發(fā)起，過程中沒有了客戶認(rèn)證請求一步。兩次認(rèn)證的時間間隔不能太短，否則就給網(wǎng)絡(luò)、客戶和認(rèn)證服務(wù)器帶來太大的開銷；也不能太長，否則不能保證用戶不被他人盜用IP地址，一般定為1-2分鐘。第29頁，共41頁，2023年，2月20日，星期日10.4.計算機信息安全標(biāo)準(zhǔn)簡介1.國際標(biāo)準(zhǔn)化組織（ISO）ISO始建于1946年，是一個自發(fā)的非條約性組織，其成員是參加國的指定標(biāo)準(zhǔn)化機構(gòu)（美國的成員是美國國家標(biāo)準(zhǔn)研究所（ANSI））。該組織負(fù)責(zé)制定廣泛的技術(shù)標(biāo)準(zhǔn)，為世界各國的技術(shù)共享和包準(zhǔn)技術(shù)質(zhì)量起著導(dǎo)向和把關(guān)的作用。設(shè)立ISO的目的是促進(jìn)國際標(biāo)準(zhǔn)化和相關(guān)活動的開展，以便于商品和服務(wù)的國際交換，并以發(fā)展知識、科技和經(jīng)濟活動領(lǐng)域內(nèi)的合作為已任。ISO現(xiàn)已發(fā)布了覆蓋領(lǐng)域極為廣泛的5000多個國際標(biāo)準(zhǔn)。ISO為信息系統(tǒng)的安全體系結(jié)構(gòu)制定了開放系統(tǒng)互聯(lián)（OSI）基本參考模型（ISO7498）。模型提供了如下5種可以選擇的安全服務(wù)：對等實體認(rèn)證和數(shù)據(jù)源認(rèn)證、訪問控制（AccessControl，AC）、數(shù)據(jù)保密（DataConfidentiality，DC）、數(shù)據(jù)完整性（DataIntegrity，DI）和抗否認(rèn)（Non-Repudiation，N-R）。第30頁，共41頁，2023年，2月20日，星期日10.4.計算機信息安全標(biāo)準(zhǔn)簡介(續(xù))2.國際電報和電話咨詢委員會（CCITT）CCITT是一個聯(lián)合國條約組織，屬于國際電信聯(lián)盟，由主要成員國的郵政、電報和電話部門組成（美國在這一委員會的成員是美國國務(wù)院）。它主要從事涉及通訊領(lǐng)域的接口和通訊協(xié)議的制定，與ISO密切合作進(jìn)行國際通訊的標(biāo)準(zhǔn)化工作，對國際通訊使用的各種通訊設(shè)備以及規(guī)程的標(biāo)準(zhǔn)化提出了一系列的建議，在數(shù)據(jù)通訊范圍內(nèi)的工作體現(xiàn)于V系列和X系列建議書，在X.400和X.500中對信息安全問題有一系列的表述。第31頁，共41頁，2023年，2月20日，星期日10.4.計算機信息安全標(biāo)準(zhǔn)簡介(續(xù))3.國際信息處理聯(lián)合會第十一技術(shù)委員會（IFIPTC11）有關(guān)信息系統(tǒng)安全組織在國際上有重要的影響，公安部代表我國參加該組織的活動。該組織每年舉行一次計算機安全的國際研討會，該組織的機構(gòu)有：WG11.1安全管理工作組、WG11.2辦公自動化安全工作組、WG11.3數(shù)據(jù)庫安全工作組、WG11.4密碼工作組、WG11.5系統(tǒng)完整性與控制工作組、WG11.6擬構(gòu)成計算機事務(wù)處理工作組、WG11.7計算機安全法律工作組、WG11.8計算機安全教育工作組。第32頁，共41頁，2023年，2月20日，星期日10.4.計算機信息安全標(biāo)準(zhǔn)簡介(續(xù))4.電氣與電子工程師學(xué)會（IEFE）IEEE是一個由電氣和電子工程師組成的世界上最大的專業(yè)性學(xué)會，擁有275000多個成員，該組織分許多部門。1980年2月IEEE計算機學(xué)會建立了一個委員會負(fù)責(zé)制定有關(guān)網(wǎng)絡(luò)的協(xié)議標(biāo)準(zhǔn)，其中有802.1：高層接口、802.2：邏輯鏈路控制、802.3：CSMA/CD網(wǎng)、802.4：令牌總線網(wǎng)、802.5：令牌環(huán)網(wǎng)、802.6：城域網(wǎng)、802.7：寬帶技術(shù)咨詢組、802.8：光纖技術(shù)咨詢組、802.9：數(shù)據(jù)和話音綜合網(wǎng)絡(luò)。近年來IEEE還關(guān)注了公開密鑰密碼的標(biāo)準(zhǔn)化，著手制定了有關(guān)的標(biāo)準(zhǔn)P1363，它包括了RSA公開密鑰密碼、橢圓曲線公開密鑰密碼和密鑰交換等方面的內(nèi)容。第33頁，共41頁，2023年，2月20日，星期日10.4.計算機信息安全標(biāo)準(zhǔn)簡介(續(xù))5.歐洲計算機制造商協(xié)會（ECMA）ECMA是由歐洲和美國在歐洲供應(yīng)計算機的廠商組成的組織，致力于制定和頒布適用于計算機技術(shù)的各種標(biāo)準(zhǔn)，在ISO和CCITT中是一個沒有表決權(quán)的成員。6.Internet體系結(jié)構(gòu)委員會（IAB）IAB下設(shè)Internet工程特別工作組（InternetEngineeringTaskForce，IETF）和Internet研究特別工作組（InternetResearchTaskForce，IRTF）兩個主要部門，IAB根據(jù)Internet的發(fā)展制定技術(shù)規(guī)范。第34頁，共41頁，2023年，2月20日，星期日10.4.計算機信息安全標(biāo)準(zhǔn)簡介(續(xù))7.美國國家標(biāo)準(zhǔn)局與美國商業(yè)部國家技術(shù)標(biāo)準(zhǔn)研究所（NBS&NIST）NBS屬于美國商業(yè)部的一個機構(gòu)（現(xiàn)在的工作由NIST進(jìn)行），發(fā)布銷售給美國聯(lián)邦政府的設(shè)備信息處理標(biāo)準(zhǔn)，涉及的領(lǐng)域很寬，是ISO和CCITT的代表。但是，它的標(biāo)準(zhǔn)，美國國防部經(jīng)常不予采納，而是另搞一套。NIST在聯(lián)邦政府中承擔(dān)的責(zé)任是建立技術(shù)、物理以及行政管理的標(biāo)準(zhǔn)，制定保證聯(lián)邦計算機系統(tǒng)高效率、低耗費和保證敏感信息安全的規(guī)范。它與美國國家安全局（NSA）緊密合作，在NSA的指導(dǎo)和監(jiān)督下，制定計算機信息系統(tǒng)的技術(shù)安全標(biāo)準(zhǔn)。這個機構(gòu)的工作范圍很廣，是當(dāng)前信息安全技術(shù)標(biāo)準(zhǔn)領(lǐng)域中最具影響的標(biāo)準(zhǔn)化機構(gòu)。它制定的信息安全規(guī)范和標(biāo)準(zhǔn)很多，主要涉及到以下幾個方面：訪問控制和認(rèn)證技術(shù)、評價和保障、密碼、電子商務(wù)、一般計算機安全、網(wǎng)絡(luò)安全、風(fēng)險管理、電訊、聯(lián)邦信息處理標(biāo)準(zhǔn)等。它的工作成果一般以NIST出版物（FIPSPUBs）和NIST特別出版物（FIPSPUB）等形式發(fā)布。它的活動很公開，經(jīng)常以公告的方式向公眾發(fā)布有關(guān)事項的計劃和要求，引導(dǎo)學(xué)術(shù)界和產(chǎn)業(yè)界在聯(lián)邦政府倡導(dǎo)的問題上開展研究討論，對美國乃至世界的信息安全發(fā)展產(chǎn)生深遠(yuǎn)的影響。第35頁，共41頁，2023年，2月20日，星期日10.4.計算機信息安全標(biāo)準(zhǔn)簡介(續(xù))8.美國國家標(biāo)準(zhǔn)協(xié)會（ANSI）它是由制定標(biāo)準(zhǔn)和使用標(biāo)準(zhǔn)的組織聯(lián)合組成的、非贏利的、非政府部門的民辦機構(gòu)，由全美1000多家制造商、專業(yè)性協(xié)會、貿(mào)易協(xié)會、政府和管理團體、公司和用戶協(xié)會組成。是美國自發(fā)制定的與工業(yè)有關(guān)的各種標(biāo)準(zhǔn)的統(tǒng)籌交流組織。它出版國家標(biāo)準(zhǔn)，但是不制定標(biāo)準(zhǔn)，標(biāo)準(zhǔn)由其委托的其它團體來制定。9.美國電子工業(yè)協(xié)會（EIA）EIA是美國電子公司貿(mào)易協(xié)會，屬于ANIS的成員。它制定了涉及電氣和電子領(lǐng)域的400多個標(biāo)準(zhǔn)。主要工作是建立了數(shù)據(jù)終端設(shè)備和數(shù)據(jù)通信設(shè)備的接口標(biāo)準(zhǔn)（如RS232C等）10.美國國防部及國家計算機安全中心（DOD&NCSC）DOD早在80年代句針對國防部門的計算機安全保密開展了一系列有影響的工作，后來成立了國家計算機安全中心（NCSC）繼續(xù)進(jìn)行工作。1983年他們公布了可信計算機系統(tǒng)評價準(zhǔn)則（TrustedComputerSystemEvaluationCriteria，TCSEC），以后NCSC又出版了一系列有關(guān)可信計算機數(shù)據(jù)庫、可信計算機網(wǎng)絡(luò)的指南等（俗稱彩虹系列）第36頁，共41頁，2023年，2月20日，星期日10.4.計算機信息安全標(biāo)準(zhǔn)簡介(續(xù))11.其它有關(guān)密碼的協(xié)議（1）PKCS（PublicKeyCryp