《北京信息安全服務(wù)人員資質(zhì)培訓(xùn)材料》之七：安全技術(shù)（連一峰）

信息平安國(guó)家重點(diǎn)實(shí)驗(yàn)室連一峰2025/1/311內(nèi)容2025/1/312密碼學(xué)歷史2025/1/313密碼學(xué)2025/1/3142025/1/315密碼體制EDMMC2025/1/316密碼體制加密過(guò)程：E〔M〕=C解密過(guò)程：D〔C〕=M先加密后再解密消息，原始的明文將恢復(fù)出來(lái)，下面的等式必須成立：D(E(M))=M2025/1/317對(duì)稱密碼算法對(duì)稱算法有時(shí)又叫傳統(tǒng)密碼算法，就是加密密鑰能夠從解密密鑰中推算出來(lái)，反過(guò)來(lái)也成立。在大多數(shù)對(duì)稱算法中，加/解密密鑰是相同的。這些算法也叫秘密密鑰算法或單密鑰算法，它要求發(fā)送者和接收者在平安通信之前，商定一個(gè)密鑰。對(duì)稱算法的平安性依賴于密鑰，泄漏密鑰就意味著任何人都能對(duì)消息進(jìn)行加/解密。只要通信需要保密，密鑰就必須保密。2025/1/318對(duì)稱密碼的優(yōu)缺點(diǎn)對(duì)稱密碼的好處就是快速并且強(qiáng)健，這種特點(diǎn)允許加密大量的信息而只需要幾秒鐘；對(duì)稱密碼的缺點(diǎn)是有關(guān)密鑰的傳播，所有的發(fā)送者和接收者都必須持有相同的密鑰，因此所有的用戶必須尋求一種平安的方法來(lái)共享密鑰。2025/1/319對(duì)稱加密的一般性范式每種現(xiàn)代對(duì)稱加密算法都在兩種根本運(yùn)算中尋找工作方式：擴(kuò)散〔diffusion〕和替換〔substitution〕。也就是說(shuō)，密文的內(nèi)容用不同的位和字節(jié)代替了明文中的位和字節(jié)〔替換〕，并在密文中將這些替換的位和字節(jié)移動(dòng)到不同的地方〔擴(kuò)散〕。2025/1/3110對(duì)稱算法種類對(duì)稱算法可分為兩類：一次只對(duì)明文中的單個(gè)比特〔有時(shí)對(duì)字節(jié)〕運(yùn)算的算法稱為序列算法或序列密碼另一類算法是對(duì)明文的一組比特進(jìn)行運(yùn)算，這些比特組稱為分組，相應(yīng)的算法稱為分組算法或分組密碼。2025/1/3111異或運(yùn)算加密算法中最廣泛使用也是最有用的運(yùn)算之一是異或〔XOR〕 XOR(1,1)0XOR(0,0)0 XOR(1,0)1XOR(0,1)1異或算法的優(yōu)勢(shì)是轉(zhuǎn)換的不可預(yù)測(cè)性和無(wú)損性，關(guān)鍵在于加密位的保密性異或算法無(wú)法防范頻率分析2025/1/3112子算法輪回許多現(xiàn)代對(duì)稱加密算法都是由多個(gè)相似的子算法“輪回〞組成的。有時(shí)它們?cè)谶^(guò)程的開始或結(jié)束局部有專門的運(yùn)算，但是大多數(shù)工作或多或少地由相同的更簡(jiǎn)單的子算法的重復(fù)迭代組成。每次輪回完全單獨(dú)執(zhí)行一點(diǎn)加密，但加密的程度通過(guò)對(duì)子算法的反復(fù)應(yīng)用，通常變得更加擴(kuò)散。在某些情況下，由于使用了不同的密鑰派生值或類似的值進(jìn)行索引，各輪回略有不同，但子算法的要點(diǎn)通常是相同的。2025/1/3113S-box對(duì)稱加密算法中子算法經(jīng)常使用S-box〔“S〞代表“替換〞〕。S-box實(shí)際上是一種函數(shù)，處理N位輸入并產(chǎn)生N位輸出，不是只在單個(gè)位上進(jìn)行運(yùn)算。S-box的優(yōu)點(diǎn)是可以手工進(jìn)行調(diào)整，使加密過(guò)程最大程度地非線性化，因?yàn)檩斎牒洼敵龅木€性關(guān)系可能會(huì)使密碼分析工作變得更加容易。2025/1/3114雪崩效果我們希望密文輸出中的每個(gè)位不僅依賴于密鑰，而且依賴于明文輸入中的每個(gè)位。即使使用相同的密鑰加密，只有1位不同的兩份明文仍將產(chǎn)生沒(méi)有可預(yù)料相似性的密文。加密算法必需在算法內(nèi)將輸入位當(dāng)作類似于密鑰的角色使用。每個(gè)輸入位以在整個(gè)密文內(nèi)擴(kuò)散的方式來(lái)?yè)?dān)當(dāng)這個(gè)類似于密鑰的角色。2025/1/3115數(shù)據(jù)加密標(biāo)準(zhǔn)〔DES〕2025/1/3116DESDES算法使用長(zhǎng)度為56比特的密鑰加密長(zhǎng)度為64比特的明文，得到長(zhǎng)度為64比特的密文。DES算法的16輪運(yùn)算過(guò)程是相同的，但每一輪都使用不同的、從初始密鑰K導(dǎo)出的48比特密鑰Ki，K是一個(gè)長(zhǎng)度為64的比特串，但實(shí)際上只有56比特密鑰，其余8個(gè)比特用于校驗(yàn)。2025/1/3117DES算法DES的優(yōu)點(diǎn)是快速并易于實(shí)施。DES已經(jīng)提出并使用了超過(guò)25年，很多硬件和軟件都使用DES算法DES的平安性主要依賴于S-box，S-box是其唯一的非線性局部由于DES是對(duì)稱加密算法，因此密鑰的傳播和管理是關(guān)鍵問(wèn)題2025/1/3118DES算法的缺陷2025/1/3119Triple-DESDES的密鑰長(zhǎng)度可通過(guò)使用多重加密算法來(lái)增加。三重DES的工作過(guò)程如下：先使用密鑰a對(duì)64比特的組加密，然后使用密鑰b對(duì)其加密結(jié)果解密，最后再使用密鑰c加密〔有時(shí)也取a=c〕，這樣算法的密鑰長(zhǎng)度最長(zhǎng)可以到達(dá)168bit。2025/1/3120DES算法的攻擊方法除了窮盡搜索之外，攻擊DES主要有兩種方法：差分密碼分析方法，計(jì)算量比窮盡搜索法要少得多，但需要247個(gè)選擇明密文對(duì)。因此并沒(méi)有真正對(duì)16輪DES構(gòu)成威脅；用線性密碼分析方法破譯DES比差分密碼分析方法更有效，需要243個(gè)明密文對(duì)。還有一些典型的分析方法，比方相關(guān)密鑰分析方法、推廣的差分密碼和線性密碼分析方法、與智能卡實(shí)現(xiàn)有關(guān)的能量攻擊和定時(shí)攻擊方法等。2025/1/3121RC2、RC5算法RC2是分組密碼，可以使用不同長(zhǎng)度的密鑰，它的密鑰長(zhǎng)度可以從零到無(wú)限大，并且加密的速度依賴于密鑰的長(zhǎng)度RC5類似于RC2，采用不同的分組大小和密鑰長(zhǎng)度。一般建議使用128位密鑰的RC5算法并有12到16輪。2025/1/3122高級(jí)加密標(biāo)準(zhǔn)〔AES〕2025/1/3123Rijndael算法Rijndael算法在設(shè)計(jì)時(shí)考慮了3個(gè)原那么抵抗的密碼攻擊方法；兼顧速度和代碼大小以適應(yīng)各種平臺(tái)的需求；設(shè)計(jì)思想簡(jiǎn)單。Rijndael算法的原形是Square算法，它的設(shè)計(jì)策略是寬軌跡策略(WideTrailStrategy)，這種策略是針對(duì)差分分析和線性分析提出的。Rijndael是一個(gè)迭代分組密碼。為滿足AES的要求，限定明文分組長(zhǎng)度為128比特,密鑰長(zhǎng)度為128/192/256比特,相應(yīng)的輪數(shù)為10/12/14。2025/1/3124分組密碼的工作模式電碼本〔ECB〕模式：密碼分組鏈〔CBC〕模式：密碼反響〔CFB〕模式：輸出反響〔OFB〕模式：直接使用根本的分組密碼的模式。缺點(diǎn)是在給定密鑰的情況下，相同的明文總是產(chǎn)生相同的密文在加密當(dāng)前的一個(gè)分組之前，先將上一次加密的結(jié)果與當(dāng)前的明文組進(jìn)行異或，然后再加密，這樣就形成了一個(gè)密文鏈。先將明文流分成假設(shè)干個(gè)k比特的字符，1≤k≤n,其中n表示所用的分組密碼的分組長(zhǎng)度。每個(gè)字符所對(duì)應(yīng)的密文可通過(guò)該字符和一個(gè)密鑰字符相異或獲得，該密鑰字符是通過(guò)加密密文的前n比特來(lái)獲得的。2025/1/3125非對(duì)稱密碼2025/1/3126A加密B解密B的公鑰B的私鑰明文密文明文〔a〕加密模型A解密B加密A的私鑰A的公鑰明文明文密文〔b〕認(rèn)證模型公鑰密碼體制模型2025/1/3127公鑰密碼體制的數(shù)學(xué)根底公鑰密碼體制的平安性基于復(fù)雜的數(shù)學(xué)難題。對(duì)某種數(shù)學(xué)難題，如果利用通用的算法計(jì)算出私鑰的時(shí)間越長(zhǎng)，那么基于這一數(shù)學(xué)難題的公鑰加密系統(tǒng)就被認(rèn)為越平安。根據(jù)所基于的數(shù)學(xué)難題來(lái)分類，有以下三類系統(tǒng)目前被國(guó)際公認(rèn)為是平安和有效的。整數(shù)因子分解系統(tǒng)(代表性的有RSA)；離散對(duì)數(shù)系統(tǒng)(代表性的有DSA)；橢園曲線離散對(duì)數(shù)系統(tǒng)(ECC)。2025/1/3128RSA體制迄今為止最流行的公鑰算法是RSA，由RonaldL.Rivest、AdiShamir和LeonardM.Adleman創(chuàng)立。RSA算法基于大整數(shù)因子分解的數(shù)學(xué)難題，這至今仍是一條數(shù)學(xué)家相信存在但缺乏正式證明的未證定理。實(shí)踐告訴我們，尋找大素?cái)?shù)是相對(duì)容易的，而分解兩個(gè)大素?cái)?shù)的積是計(jì)算上不可行的。2025/1/3129RSA體制RSA體制的加密強(qiáng)度依賴于完成大素?cái)?shù)分解的設(shè)備的價(jià)格和所需的時(shí)間。隨著設(shè)備的價(jià)格的降低和計(jì)算能力的提高，RSA體制的模n必將隨之增大。目前可分解155位十進(jìn)制的大整數(shù)。人們建議使用模長(zhǎng)為1024比特以上的模。RSA體制的缺點(diǎn)是與對(duì)稱密碼體制相比，其加解密的速度太慢。應(yīng)用范圍是對(duì)速度要求不高的加密環(huán)境、數(shù)字簽名、密鑰管理和認(rèn)證等領(lǐng)域

2025/1/3130橢圓曲線密碼1985年N.Koblitz和V.Miller分別獨(dú)立提出了橢圓曲線密碼體制(ECC)，其依據(jù)就是定義在橢圓曲線點(diǎn)群上的離散對(duì)數(shù)問(wèn)題的難解性。橢圓曲線上的離散對(duì)數(shù)的計(jì)算要比有限域上的離散對(duì)數(shù)的計(jì)算更困難，能設(shè)計(jì)出密鑰更短的公鑰密碼體制。近年來(lái)，橢圓曲線作為公開密碼體制的根底，已引起了通信保密領(lǐng)域內(nèi)的廣泛關(guān)注，成為國(guó)內(nèi)外研究和應(yīng)用的熱點(diǎn)。2025/1/3131完整性校驗(yàn)2025/1/3132Hash函數(shù)Hash函數(shù)可以把不同長(zhǎng)度的信息轉(zhuǎn)化成雜亂的固定長(zhǎng)度的編碼使用Hash函數(shù)產(chǎn)生校驗(yàn)碼時(shí)，需要給消息前綴或后綴一個(gè)密鑰，然后對(duì)合成的消息進(jìn)行Hash運(yùn)算Hash運(yùn)算可以在不告知其它信息的前提下，比較兩個(gè)實(shí)體的值是否一樣Hash函數(shù)可以用于數(shù)字簽名。2025/1/3133MD2/MD4/MD5算法MD2,MD4和MD5是一組基于單向HASH函數(shù)的算法。這些操作采用一定長(zhǎng)度的字節(jié)流并產(chǎn)生信息摘要。這種過(guò)程是單向的，因?yàn)闊o(wú)法通過(guò)返同的摘要中產(chǎn)生原始信息，而且兩條不同的信息擁有相同HASH值的概率非常小?？梢允褂眯畔⒄惴▽?duì)e-mail信息、證書和其它一些想保證內(nèi)容完整性的消息產(chǎn)生唯一的單向消息摘要。通常消息摘要的長(zhǎng)度是128比特。2025/1/3134SHA算法平安HASH算法〔SHA〕是另一種HASH函數(shù)的應(yīng)用。它可以根據(jù)任意長(zhǎng)度的字串生成160位的HASH值。SHA在結(jié)構(gòu)上類似于MD4和MD5。盡管它比MD5的速度要慢25％，但它更加平安。它產(chǎn)生的信息摘要比MD5要長(zhǎng)25％，因此對(duì)于攻擊來(lái)說(shuō)更為平安。2025/1/3135數(shù)字簽名數(shù)字簽名是一段附加數(shù)據(jù)或者是數(shù)據(jù)單元的密碼變換結(jié)果，主要用于證實(shí)消息的真實(shí)來(lái)源可以使用基于對(duì)稱密碼體制的方法來(lái)實(shí)現(xiàn)數(shù)字簽名，但必須引入可信的第三方公鑰密碼體制可提供功能更強(qiáng)大的數(shù)字簽名方案，無(wú)需接收者秘密保存驗(yàn)證密鑰。2025/1/3136根本的數(shù)字簽名方案任何消息的接收者均可檢查其簽名，因?yàn)榻饷苊荑€即發(fā)送者的公鑰可以公開，而不會(huì)危及方案的平安性。消息消息附件解密消息附件加密所期望的消息如果二者一樣，那么簽名通過(guò)驗(yàn)證發(fā)送者接收者公鑰私鑰傳輸?shù)南?025/1/3137使用Hash函數(shù)的數(shù)字簽名方案

消息Hash函數(shù)摘要附件加密消息附件解密消息Hash函數(shù)實(shí)際要的摘要所期望的摘要如果二者一樣，那么通過(guò)簽名驗(yàn)證傳輸?shù)南l(fā)送者接受者私鑰為了提高數(shù)字簽名方案的有效性，一般在簽名前使用Hash函數(shù)先對(duì)要簽的消息進(jìn)行摘要。在消息的接收端，接收者需要計(jì)算消息摘要。2025/1/3138密碼分析2025/1/3139密碼分析方法2025/1/3140內(nèi)容2025/1/3141TLS協(xié)議TLS協(xié)議概述TLS記錄協(xié)議TLS握手協(xié)議密碼特性2025/1/3142TLS協(xié)議概述1994年，Netscape公司為了保護(hù)Web通信協(xié)議HTTP或S-HTTP，開發(fā)了SSL〔SecureSocketLayer〕協(xié)議。SSL2.0版協(xié)議的出現(xiàn)根本上解決了Web通信協(xié)議的平安問(wèn)題。Microsoft公司對(duì)該協(xié)議進(jìn)行了一些修改，發(fā)布了PCT〔PrivateCommunicationTechnology〕協(xié)議。1996年，Netscape公司發(fā)布了SSL3.0，該版本增加了對(duì)除了RSA算法之外的其它算法的支持和一些新的平安特性，并且修改了前一個(gè)版本中存在的一些平安缺陷。1997年，IETF基于SSL3.0協(xié)議發(fā)布了TLS1.0〔-SSL3.1〕(TransportLayerSecurity)傳輸層平安協(xié)議草案。1999年，正式發(fā)布了RFC2246。2025/1/3143TLS——根本設(shè)計(jì)目標(biāo)和協(xié)議組件2025/1/3144TLS協(xié)議的結(jié)構(gòu)和層次2025/1/3145TLS握手協(xié)議概述2025/1/3146握手過(guò)程消息流程2025/1/3147會(huì)話重用的握手過(guò)程消息流程2025/1/3148TLS密碼特性2025/1/3149內(nèi)容2025/1/3150阻止非授權(quán)用戶訪問(wèn)目標(biāo)訪問(wèn)請(qǐng)求過(guò)濾器：當(dāng)一個(gè)發(fā)起者試圖訪問(wèn)一個(gè)目標(biāo)時(shí)，需要檢查發(fā)起者是否被準(zhǔn)予以請(qǐng)求的方式訪問(wèn)目標(biāo)；別離：防止非授權(quán)用戶有時(shí)機(jī)去訪問(wèn)敏感的目標(biāo)。2025/1/3151訪問(wèn)控制策略訪問(wèn)控制策略在系統(tǒng)平安策略級(jí)上表示授權(quán)。任何訪問(wèn)控制策略最終均可被模型化為訪問(wèn)矩陣形式：行對(duì)應(yīng)于用戶，列對(duì)應(yīng)于目標(biāo)，每個(gè)矩陣元素規(guī)定了相應(yīng)的用戶對(duì)應(yīng)于相應(yīng)的目標(biāo)被準(zhǔn)予的訪問(wèn)許可、實(shí)施行為。2025/1/3152訪問(wèn)控制策略的分類自主式策略強(qiáng)制式策略2025/1/3153具體策略基于身份的策略基于規(guī)那么的策略基于角色的策略附加的控制目標(biāo)的粒度和策略的交互作用2025/1/3154基于身份的策略基于個(gè)人的策略根據(jù)哪些用戶可對(duì)一個(gè)目標(biāo)實(shí)施哪一種行為的列表來(lái)表示，等價(jià)于用一個(gè)目標(biāo)的訪問(wèn)矩陣列來(lái)描述。缺省策略、最小特權(quán)原那么基于組的策略一些用戶被允許對(duì)一個(gè)目標(biāo)具有同樣的訪問(wèn)許可。多重用戶被組織在一起并賦予一個(gè)共同的識(shí)別標(biāo)識(shí)符。訪問(wèn)矩陣的多個(gè)行壓縮為一個(gè)行。表示和實(shí)現(xiàn)方面更容易和更有效。2025/1/3155基于規(guī)那么的策略多級(jí)策略自動(dòng)控制執(zhí)行，用來(lái)防非法泄露，也支持完整性要求。分配給每個(gè)目標(biāo)一個(gè)密級(jí)，給用戶從相同的密級(jí)層次中分配一個(gè)許可級(jí)〔clearance〕。傳統(tǒng)規(guī)那么：TCSEC；根底數(shù)學(xué)模型：Bell-LaPadula模型；只讀訪問(wèn)規(guī)那么〔簡(jiǎn)單平安條件〕：只能讀相同或更低密級(jí)的數(shù)據(jù)；只寫訪問(wèn)規(guī)那么〔*-特性〕：只能向相同或更高密級(jí)的目標(biāo)寫數(shù)據(jù)。制定這個(gè)規(guī)那么是為了防止非授權(quán)用戶無(wú)需授權(quán)就刪除有密級(jí)的數(shù)據(jù)和防止特洛伊木馬攻擊。有關(guān)完整性的相應(yīng)策略模型由Biba提出。基于間隔的策略通過(guò)平安間隔來(lái)別離目標(biāo)。2025/1/3156基于角色的策略既具有基于身份的策略的特征，又具有基于規(guī)那么的策略的特征。角色是主、客體及其授權(quán)子集。2025/1/3157附加的控制依賴于值的控制目標(biāo)數(shù)據(jù)項(xiàng)無(wú)論數(shù)據(jù)值存儲(chǔ)在哪兒，都有確定的訪問(wèn)控制許可。目標(biāo)的敏感性會(huì)根據(jù)當(dāng)前存儲(chǔ)的數(shù)據(jù)值而改變。多用戶控制當(dāng)多于一個(gè)用戶共同提出一個(gè)請(qǐng)求時(shí)，在訪問(wèn)目標(biāo)之前的訪問(wèn)控制策略。基于上下文的控制允許訪問(wèn)控制策略在確定訪問(wèn)一個(gè)目標(biāo)時(shí)依靠外部因素〔時(shí)間、位置、通信路徑、認(rèn)證強(qiáng)度〕?？蓴U(kuò)大基于身份的或基于規(guī)那么的策略。目的在于保護(hù)訪問(wèn)控制機(jī)制，認(rèn)證機(jī)制或物理平安措施等防護(hù)措施的弱點(diǎn)。2025/1/3158目標(biāo)的粒度和策略的交互作用

——多重策略實(shí)例主體許可集公司外部的人空集審計(jì)員讀D.Feng讀、修改、管理組員讀其他人空集2025/1/3159

訪問(wèn)控制機(jī)制訪問(wèn)控制列表能力平安標(biāo)簽一般的信息模型基于口令的機(jī)制2025/1/3160訪問(wèn)控制列表訪問(wèn)控制列表是目標(biāo)對(duì)象的屬性表。它給定每個(gè)用戶對(duì)給定目標(biāo)的訪問(wèn)權(quán)限。訪問(wèn)控制列表反映了一個(gè)目標(biāo)對(duì)應(yīng)于訪問(wèn)矩陣列中的內(nèi)容。訪問(wèn)控制列表實(shí)例：身份類型認(rèn)可的允許拒絕的允許時(shí)間限制位置限制D.Feng個(gè)人讀、修改、管理組員組讀審計(jì)員角色讀修改、管理ContractorXYZInc.組讀、修改管理8:00-18:00Mon~Fri只有本地終端2025/1/3161訪問(wèn)控制列表機(jī)制的優(yōu)點(diǎn)最適合于有相對(duì)少的需要被區(qū)分的用戶，并且這些用戶中的絕大多數(shù)是穩(wěn)定的情況。如果訪問(wèn)控制列表太大或經(jīng)常改變，維護(hù)訪問(wèn)控制列表會(huì)成為最主要的問(wèn)題。不同于其它的機(jī)制，對(duì)于大范圍的目標(biāo)粒度訪問(wèn)控制列表均適用，包括非常好的粒度。一個(gè)目標(biāo)的擁有者或管理者可以很容易地廢除以前授予的許可。2025/1/3162能力能力是發(fā)起者擁有的一個(gè)有效標(biāo)簽，它授權(quán)持有者能以特定的方式訪問(wèn)特定的目標(biāo)。能力可從一個(gè)用戶傳遞給另一個(gè)用戶，但任何人不能擺脫責(zé)任機(jī)構(gòu)而進(jìn)行修改和偽造。從發(fā)起者的環(huán)境中根據(jù)一個(gè)關(guān)于用戶的訪問(wèn)許可存儲(chǔ)表產(chǎn)生能力。即運(yùn)用訪問(wèn)矩陣中用戶包含的每行信息產(chǎn)生能力。能力機(jī)制適合于目標(biāo)聯(lián)系相對(duì)少，對(duì)發(fā)起者訪問(wèn)控制決策容易實(shí)現(xiàn)的情況。能力機(jī)制的實(shí)施主要依賴于在系統(tǒng)間平安傳遞能力的方法。能力的缺點(diǎn)是目標(biāo)的擁有者和管理者不容易廢除以前授予的許可。2025/1/3163平安標(biāo)簽平安標(biāo)簽是限制在目標(biāo)上的一組平安屬性信息項(xiàng)。在訪問(wèn)控制中，一個(gè)平安標(biāo)簽隸屬于一個(gè)用戶、一個(gè)目標(biāo)、一個(gè)訪問(wèn)請(qǐng)求或傳輸中的一個(gè)訪問(wèn)控制信息。最通常的用途是支持多級(jí)訪問(wèn)控制策略。在處理一個(gè)訪問(wèn)請(qǐng)求時(shí)，目標(biāo)環(huán)境比較請(qǐng)求上的標(biāo)簽和目標(biāo)上的標(biāo)簽，應(yīng)用策略規(guī)那么〔如BellLapadula規(guī)那么〕決定是允許還是拒絕訪問(wèn)。2025/1/3164一般的信息模型訪問(wèn)控制機(jī)制的范圍2025/1/3165基于口令的機(jī)制2025/1/3166網(wǎng)絡(luò)訪問(wèn)控制組件的分布開放系統(tǒng)訪問(wèn)控制框架〔ISO/IEC10181-3〕介紹了一個(gè)處理組件分布問(wèn)題的體系結(jié)構(gòu)根底。根本的訪問(wèn)控制功能組件2025/1/3167訪問(wèn)控制決策組件采用的資源信息訪問(wèn)請(qǐng)求〔包含隸屬于發(fā)起者或隸屬于目標(biāo)的信息〕；從以前的訪問(wèn)請(qǐng)求中保存下來(lái)的信息；可應(yīng)用的策略規(guī)那么；上下文信息。2025/1/3168輸入、輸出、插入訪問(wèn)控制通常的做法是在同一系統(tǒng)中為目標(biāo)或發(fā)起者固定一個(gè)實(shí)施組件。對(duì)目標(biāo)實(shí)施輸入訪問(wèn)控制。對(duì)發(fā)起者實(shí)施輸出訪問(wèn)控制。在訪問(wèn)請(qǐng)求穿越平安區(qū)域邊界時(shí)和區(qū)域授權(quán)機(jī)構(gòu)要過(guò)濾訪問(wèn)請(qǐng)求時(shí)，一般采用在中介點(diǎn)設(shè)置實(shí)施組件的方法，即插入訪問(wèn)控制。2025/1/3169輸入、輸出訪問(wèn)控制配置實(shí)例2025/1/3170插入訪問(wèn)控制的實(shí)例配置2025/1/3171訪問(wèn)控制轉(zhuǎn)發(fā)在分布式系統(tǒng)環(huán)境中，一個(gè)用戶或系統(tǒng)為了自己的利益經(jīng)常需要請(qǐng)求另一個(gè)系統(tǒng)執(zhí)行某些命令。發(fā)起者A為了自己的利益想要系統(tǒng)B去訪問(wèn)一個(gè)在系統(tǒng)X上的目標(biāo)。為了到達(dá)這一目的，A需要轉(zhuǎn)發(fā)他的訪問(wèn)權(quán)利給B。由于不同的策略，有許多種排列。這樣的排列需要仔細(xì)研究，因?yàn)樗赡茉试S一個(gè)未被直接許可的訪問(wèn)來(lái)訪問(wèn)。訪問(wèn)控制傳遞可以采用代理令牌的概念。2025/1/3172訪問(wèn)控制轉(zhuǎn)發(fā)的一個(gè)簡(jiǎn)單情況2025/1/3173內(nèi)容2025/1/31742025/1/31752025/1/31762025/1/3177優(yōu)勢(shì)：價(jià)格相對(duì)廉價(jià)；適合于在平安要求低、小型、不復(fù)雜的場(chǎng)所使用。缺陷：配置復(fù)雜，易出錯(cuò)；路由協(xié)議不能有效過(guò)濾使用FTP協(xié)議從20號(hào)以上端口對(duì)內(nèi)部網(wǎng)的探查；攻擊者可使用假冒地址進(jìn)行欺騙；靜態(tài)的過(guò)濾規(guī)那么難以適應(yīng)動(dòng)態(tài)的平安要求；沒(méi)有審計(jì)跟蹤功能。2025/1/3178基于軟件的用戶化應(yīng)用網(wǎng)關(guān)工具套件，采用應(yīng)用協(xié)議代理效勞的工作方式實(shí)施平安策略。功能特點(diǎn)：功能范圍覆蓋到應(yīng)用層，實(shí)施了代理效勞；過(guò)濾功能從路由器獨(dú)立出來(lái)；可以針對(duì)用戶需要提供模塊化軟件包。2025/1/31792025/1/31802025/1/31812025/1/31822025/1/31832025/1/31842025/1/31852025/1/31862025/1/3187無(wú)法防范內(nèi)部攻擊無(wú)法防范針對(duì)開放端口的攻擊無(wú)法防范端口反彈木馬的攻擊無(wú)法防范非法通道的漏洞內(nèi)容過(guò)濾與系統(tǒng)效率的矛盾2025/1/3188P2DR平安模型保護(hù)(Protection)檢測(cè)(Detection)響應(yīng)(Response)備份(Recovery)策略(Policy)時(shí)間Time2025/1/3189入侵檢測(cè)： “對(duì)計(jì)算機(jī)或網(wǎng)絡(luò)系統(tǒng)中發(fā)生的事件進(jìn)行監(jiān)視和分析，檢查其中是否包含入侵的跡象。〞 ——NISTSpecialPublicationonIDS2025/1/3190入侵檢測(cè)的優(yōu)勢(shì)2025/1/3191入侵檢測(cè)的優(yōu)勢(shì)幫助發(fā)現(xiàn)和處理攻擊的企圖網(wǎng)絡(luò)或系統(tǒng)探查〔Probe〕主機(jī)探測(cè)、信息收集端口掃描漏洞掃描提供已發(fā)生入侵過(guò)程的詳細(xì)信息幫助確定系統(tǒng)存在的問(wèn)題為系統(tǒng)恢復(fù)和修正提供參考2025/1/3192入侵檢測(cè)的優(yōu)勢(shì)提供攻擊行為的證據(jù)追查入侵的來(lái)源產(chǎn)生心理威懾力你有權(quán)保持沉默，如果你放棄這個(gè)權(quán)利，你所做的一切都將成為呈堂證供?。?！2025/1/3193入侵檢測(cè)的問(wèn)題影響網(wǎng)絡(luò)或主機(jī)系統(tǒng)的效率交換環(huán)境下的網(wǎng)絡(luò)型IDS主機(jī)型 IDS檢測(cè)能力與檢測(cè)效率的矛盾虛警〔FalsePositive〕漏警〔FalseNegative〕2025/1/3194入侵檢測(cè)的問(wèn)題2025/1/3195入侵檢測(cè)根本原理2025/1/3196功能模塊信息源

分析引擎

響應(yīng)模塊2025/1/3197入侵檢測(cè)信息源網(wǎng)絡(luò)數(shù)據(jù)包、連接記錄、訪問(wèn)記錄主機(jī)系統(tǒng)日志、審計(jì)記錄應(yīng)用程序的日志其它相關(guān)信息2025/1/3198入侵檢測(cè)分析引擎規(guī)那么匹配、模式匹配系統(tǒng)狀態(tài)分析行為統(tǒng)計(jì)、事件統(tǒng)計(jì)神經(jīng)網(wǎng)絡(luò)、人工智能……2025/1/3199入侵檢測(cè)響應(yīng)模塊報(bào)警、通知管理員阻止進(jìn)一步的入侵行為追查入侵來(lái)源恢復(fù)受損系統(tǒng)網(wǎng)絡(luò)還擊2025/1/31100信息源的角度

Network-Based,Host-Based分析引擎的角度

MisuseDetection,AnomalyDetection響應(yīng)方式的角度

ActiveResponse,PassiveResponseIDS分類2025/1/31101VPN2025/1/31102VPN的功能VPN可以幫助遠(yuǎn)程和移動(dòng)用戶、公司分支機(jī)構(gòu)、商業(yè)合作伙伴及供給商與公司的內(nèi)部網(wǎng)建立可信的平安連接，并保證數(shù)據(jù)的平安傳輸。VPN應(yīng)該提供如下功能：加密數(shù)據(jù)信息完整性保護(hù)和身份認(rèn)證訪問(wèn)控制機(jī)制針對(duì)用戶的帶寬控制機(jī)制2025/1/31103VPN在協(xié)議層次模型中的位置

2025/1/311042025/1/31105VPN隧道協(xié)議介紹第二層隧道協(xié)議PPTPL2FL2TP第三層隧道協(xié)議IPSEC2025/1/31106隧道協(xié)議2025/1/31107有一類隧道協(xié)議，包括PPTP，L2F和L2TP，它們以PPP的幀為封裝對(duì)象，即定義了利用公共網(wǎng)絡(luò)設(shè)施〔如IP網(wǎng)絡(luò)、ATM和幀中繼網(wǎng)絡(luò)〕封裝傳輸鏈路層PPP幀的方法，由于PPP協(xié)議在網(wǎng)絡(luò)協(xié)議層次模型中位于第二層數(shù)據(jù)鏈路層，所以這類隧道協(xié)議被稱為第二層隧道協(xié)議，即LAYER2TUNNELING。優(yōu)點(diǎn)多協(xié)議支持多通道支持缺點(diǎn)缺乏強(qiáng)加密和認(rèn)證手段2025/1/31108PPTP〔point-to-pointtunnelingprotocol〕PPTP是microsoft公司提出的windows平臺(tái)上的第二層隧道協(xié)議，使用IP包封裝PPP幀，PPTP使用CHAP等協(xié)議提供認(rèn)證機(jī)制，使用MPPE協(xié)議提供數(shù)據(jù)加密，算法采用RSARC4，分別支持128bits和40bits。優(yōu)點(diǎn)協(xié)議本身被集成到windows系統(tǒng)，操作非常簡(jiǎn)便支持多種上層協(xié)議有流量控制機(jī)制缺點(diǎn)只支持windows平臺(tái)只對(duì)載荷數(shù)據(jù)進(jìn)行加密2025/1/31109L2F〔layer2forwarding)L2F是由CISCO公司提出的第二層隧道協(xié)議，它和PPTP的最顯著的區(qū)別是，PPTP只能依靠IP包來(lái)封裝PPP幀，而L2F那么可以利用一些第二層的協(xié)議數(shù)據(jù)包，例如FRAME-RELAY和ATM，來(lái)進(jìn)行封裝。優(yōu)點(diǎn)支持多種上層協(xié)議有流量控制機(jī)制缺點(diǎn)只是一個(gè)隧道協(xié)議，不涉及加密需要NSP的網(wǎng)絡(luò)設(shè)備支持2025/1/31110L2TP〔LayerTwoTunnelingProtocol〕L2TP是L2F和PPTP兩個(gè)協(xié)議進(jìn)行綜合后的產(chǎn)物，繼承了兩個(gè)協(xié)議的優(yōu)點(diǎn)，目前作為第二層隧道協(xié)議的標(biāo)準(zhǔn)化工作正在進(jìn)行。優(yōu)點(diǎn)L2TP繼承了L2F和PPTP的優(yōu)點(diǎn)，將成為第二層隧道協(xié)議的標(biāo)準(zhǔn)缺點(diǎn)仍然沒(méi)有對(duì)數(shù)據(jù)加密的規(guī)定，所以目前一個(gè)解決方式是和IPSEC一起應(yīng)用，由IPSEC負(fù)責(zé)數(shù)據(jù)的加密2025/1/31111第三層隧道協(xié)議〔layer3tunneling)另一類隧道協(xié)議以IP數(shù)據(jù)包為隧道封裝對(duì)象，由于隧道中處理的數(shù)據(jù)在網(wǎng)絡(luò)層次模型中屬于第三層網(wǎng)絡(luò)層，所以這類隧道協(xié)議被稱為第三層隧道協(xié)議，其中的代表就是IPSEC協(xié)議。2025/1/31112IPSEC〔InternetProtocolSecurity〕IPSEC是由IETF提出的一個(gè)在IP層提供平安控制的協(xié)議族，包括校驗(yàn)頭AH，封裝平安負(fù)載ESP，以及密鑰管理協(xié)議ISAKMP，IPSEC對(duì)密鑰交換，身份認(rèn)證和數(shù)據(jù)加密都作了明確的規(guī)定。優(yōu)點(diǎn)定義了一套用于認(rèn)證，保護(hù)私有性和完整性的標(biāo)準(zhǔn)協(xié)議適用于固定網(wǎng)關(guān)之間的VPN連接缺點(diǎn)不支持多協(xié)議，只支持TCP/IP不支持客戶端是動(dòng)態(tài)IP地址的情況2025/1/31113內(nèi)容2025/1/31114系統(tǒng)平安2025/1/31115操作系統(tǒng)平安機(jī)制操作系統(tǒng)作為計(jì)算機(jī)系統(tǒng)的根底軟件是用來(lái)管理計(jì)算機(jī)資源的，它直接利用計(jì)算機(jī)硬件并為用戶提供使用和編程接口。在網(wǎng)絡(luò)環(huán)境中，網(wǎng)絡(luò)系統(tǒng)的平安性依賴于網(wǎng)絡(luò)中各主機(jī)系統(tǒng)的平安性，而主機(jī)系統(tǒng)的平安性正是由其操作系統(tǒng)的平安性所決定的。2025/1/31116TCSEC操作系統(tǒng)的平安級(jí)別必須經(jīng)過(guò)國(guó)際專門機(jī)構(gòu)的嚴(yán)格評(píng)測(cè)和認(rèn)定。國(guó)外從20世紀(jì)70年代起就開展了建立平安保密準(zhǔn)那么的工作，美國(guó)國(guó)防部于1983年提出并于1985年批準(zhǔn)的“可信計(jì)算機(jī)系統(tǒng)平安評(píng)估準(zhǔn)那么〔TCSEC〕〞，為計(jì)算機(jī)平安產(chǎn)品的評(píng)測(cè)提供了測(cè)試準(zhǔn)那么和方法，指導(dǎo)信息平安產(chǎn)品的制造和應(yīng)用，并建立了關(guān)于網(wǎng)絡(luò)系統(tǒng)、數(shù)據(jù)庫(kù)等的平安解釋。2025/1/31117操作系統(tǒng)平安級(jí)別安全級(jí)別描述D最低的級(jí)別。如MS-DOS計(jì)算機(jī)，沒(méi)有安全性可言。C1靈活的安全保護(hù)。系統(tǒng)不需要區(qū)分用戶?？商峁┗镜脑L問(wèn)控制。C2較完善的自主訪問(wèn)控制。系統(tǒng)不僅要識(shí)別用戶還要考慮唯一性。系統(tǒng)級(jí)的保護(hù)主要存在于資源、數(shù)據(jù)、文件和操作上。Windows2000和Linux屬于C2級(jí)的系統(tǒng)B1提供強(qiáng)制訪問(wèn)控制和更多的保護(hù)措施。如AT＆T的SYSTEMV和UNIXwithMLS以及IBMMVS/ESAB2良好的結(jié)構(gòu)化設(shè)計(jì)和形式化安全模型，支持硬件保護(hù)。內(nèi)容區(qū)被虛擬分割并嚴(yán)格保護(hù)。如TrustedXENIXandHoneywellMULTICSB3全面的訪問(wèn)控制、可信恢復(fù)和安全域，提供數(shù)據(jù)隱藏和分層，阻止層之間的交互。如HoneywellXTS-200A形式化認(rèn)證，系統(tǒng)需要經(jīng)過(guò)嚴(yán)格的、準(zhǔn)確的證明，而且提供所有低級(jí)別的因素。如HoneywellSCOMP2025/1/31118C2級(jí)系統(tǒng)流行的WindowsNT/2000、Linux、Solaris系統(tǒng)均屬于C2級(jí)別平安系統(tǒng)。C2級(jí)分類的關(guān)鍵是一個(gè)系統(tǒng)需要具備這樣幾個(gè)主要方面：自主的訪問(wèn)控制屬主對(duì)對(duì)象訪問(wèn)的控制權(quán)對(duì)象重用標(biāo)識(shí)和認(rèn)證審計(jì)2025/1/31119平安要素Windows2000內(nèi)置有支持用戶驗(yàn)證、訪問(wèn)控制、管理和審計(jì)的功能。一個(gè)根本的平安定義就是：僅允許合法的用戶做他們想做的事。2025/1/31120WindowsNT/2000平安功能自主訪問(wèn)控制對(duì)象重用強(qiáng)制登錄審計(jì)控制對(duì)象的訪問(wèn)2025/1/31121面向?qū)ο蟮腤indowsNT/2000Windows2000把系統(tǒng)所有類型的資源處理成特殊的對(duì)象，這些對(duì)象包括資源本身、機(jī)制和需要訪問(wèn)的程序。微軟平安主要是基于以下對(duì)象規(guī)那么：所有的資源都以對(duì)象表示；只有Windows2000能夠直接訪問(wèn)那些對(duì)象；對(duì)象包括數(shù)據(jù)和功能；所有的對(duì)象在被訪問(wèn)之前都要經(jīng)過(guò)Windows2000的平安子系統(tǒng)驗(yàn)證；存在不同類型的對(duì)象，每種對(duì)象確定了這些對(duì)象能夠做些什么。Windows2000的對(duì)象類別包括：文件、目錄、輸入輸出設(shè)備、線程、進(jìn)程、內(nèi)存等2025/1/31122WindowsNT/2000平安組件平安標(biāo)識(shí)符訪問(wèn)令牌平安描述符訪問(wèn)控制列表訪問(wèn)控制條目2025/1/31123平安標(biāo)識(shí)符平安標(biāo)識(shí)符〔SID〕是統(tǒng)計(jì)上唯一的數(shù)，分配給所有的用戶、組和計(jì)算機(jī)。統(tǒng)計(jì)上的唯一指的是兩個(gè)數(shù)發(fā)生重復(fù)的可能性是極為罕見的。每次當(dāng)一個(gè)新用戶或組被建立的時(shí)候，它們都會(huì)接收到一個(gè)唯一的SID。每當(dāng)Windows2000安裝完畢并啟動(dòng)時(shí)，也會(huì)有一個(gè)新的SID分配給這臺(tái)計(jì)算機(jī)。SID標(biāo)識(shí)了用戶、組和計(jì)算機(jī)的唯一性，這種唯一性不僅僅是在某臺(tái)特定的電腦上，還包括和其它計(jì)算機(jī)交互的時(shí)候。2025/1/31124訪問(wèn)令牌登錄過(guò)程的目的之一是在用戶被驗(yàn)證之后分配訪問(wèn)令牌。訪問(wèn)令牌是由用戶的SID、用戶所屬組的SID、用戶名、用戶所在組的組名構(gòu)成的。訪問(wèn)令牌就好比用戶能夠訪問(wèn)計(jì)算機(jī)資源的電子鑰匙。無(wú)論何時(shí)用戶企圖進(jìn)行訪問(wèn)，都要向Windows系統(tǒng)出示訪問(wèn)令牌。訪問(wèn)令牌只有在登錄的過(guò)程中才會(huì)發(fā)布，所以一旦對(duì)用戶的訪問(wèn)權(quán)限作了改動(dòng)的話就要重新登錄后才能收到一個(gè)更新后的訪問(wèn)令牌。2025/1/31125平安描述符WindowsNT/2000內(nèi)的每個(gè)對(duì)象都有一個(gè)平安描述符作為它們屬性的一局部。平安描述符持有對(duì)象的平安設(shè)置。平安描述符是由對(duì)象屬主的SID、組SID、自主訪問(wèn)控制列表以及計(jì)算機(jī)訪問(wèn)控制列表組成的。2025/1/31126訪問(wèn)控制列表自主訪問(wèn)控制列表里記錄用戶和組以及它們的相關(guān)權(quán)限，要么允許，要么拒絕。自主訪問(wèn)控制列表列出每個(gè)用戶和組的特定權(quán)限。系統(tǒng)訪問(wèn)控制列表包含為對(duì)象審計(jì)的事件。當(dāng)沒(méi)有特殊指定訪問(wèn)控制列表的類型時(shí)，通常是自主訪問(wèn)控制列表。2025/1/31127訪問(wèn)控制條目每個(gè)訪問(wèn)控制條目〔ACE〕包含用戶或組的SID及對(duì)對(duì)象所持有的權(quán)限。對(duì)象分配的每個(gè)權(quán)限都有一個(gè)ACE。訪問(wèn)控制條目有兩種類型：允許訪問(wèn)或拒絕訪問(wèn)。在訪問(wèn)控制列表里拒絕訪問(wèn)ACE優(yōu)先于允許訪問(wèn)。當(dāng)使用管理工具列出一個(gè)對(duì)象的訪問(wèn)權(quán)限時(shí)，按照字母順序由用戶開始，然后是組。2025/1/31128WindowsNT/2000平安機(jī)制帳號(hào)平安在一個(gè)網(wǎng)絡(luò)中，用戶和計(jì)算機(jī)都是網(wǎng)絡(luò)的主體，兩者缺一不可。擁有計(jì)算機(jī)帳戶是計(jì)算機(jī)接入WindowsNT/2000網(wǎng)絡(luò)的根底，擁有用戶帳戶是用戶登錄到網(wǎng)絡(luò)并使用網(wǎng)絡(luò)資源的根底，因此用戶和計(jì)算機(jī)帳戶管理是WindowsNT/2000網(wǎng)絡(luò)管理中最必要且最經(jīng)常的工作。2025/1/31129WindowsNT/2000平安機(jī)制計(jì)算機(jī)帳戶每個(gè)參加域的WindowsNT/2000計(jì)算機(jī)都具有計(jì)算機(jī)帳戶，否那么無(wú)法進(jìn)行域連接，實(shí)現(xiàn)域資源的訪問(wèn)。與用戶帳戶類似，計(jì)算機(jī)帳戶也提供驗(yàn)證和審核計(jì)算機(jī)登錄到網(wǎng)絡(luò)以及訪問(wèn)域資源的方法。一個(gè)計(jì)算機(jī)系統(tǒng)要參加到域中，只能使用一個(gè)計(jì)算機(jī)帳戶，而一個(gè)用戶可擁有多個(gè)用戶帳戶，且可在不同的計(jì)算機(jī)〔指已經(jīng)連接到域中的計(jì)算機(jī)〕上使用自己的用戶帳戶進(jìn)行網(wǎng)絡(luò)登錄。2025/1/31130WindowsNT/2000平安機(jī)制活動(dòng)目錄用戶帳戶用戶帳戶用來(lái)記錄用戶的用戶名、口令、隸屬的組、可以訪問(wèn)的網(wǎng)絡(luò)資源，以及用戶的個(gè)人文件和設(shè)置。每個(gè)用戶都應(yīng)在域控制器中有一個(gè)用戶帳戶，才能訪問(wèn)效勞器，使用網(wǎng)絡(luò)上的資源。用戶帳戶由一個(gè)用戶名和一個(gè)口令來(lái)標(biāo)識(shí)，二者都需要用戶在登錄時(shí)鍵入?；顒?dòng)目錄用戶帳戶使用已經(jīng)驗(yàn)證和授權(quán)訪問(wèn)域資源的身份登錄到計(jì)算機(jī)和域。用戶帳戶也可作為某些應(yīng)用程序的效勞帳戶。2025/1/31131WindowsNT/2000平安機(jī)制2025/1/31132WindowsNT/2000平安機(jī)制2025/1/31133WindowsNT/2000平安機(jī)制NTLM認(rèn)證Windows2000中仍然保存NT-LanMan(NTLM)認(rèn)證，以便向后兼容。它與WindowsNT4.0完全相同。在未來(lái)的一段時(shí)間內(nèi)，運(yùn)行DOS、Windows3.x、Windows95、Windows98、WindowsNT3.5和WindowsNT4.0的客戶仍然需要LM和NTLM支持。LanManager所使用的哈希算法有漏洞，l0pht組織已經(jīng)發(fā)布用于破解NT系統(tǒng)中SAM文件的工具l0phtcrack?，F(xiàn)在，Windows2000已支持新的更平安的認(rèn)證協(xié)議NTLM2。2025/1/31134WindowsNT/2000平安機(jī)制活動(dòng)目錄除了查看磁盤的文件夾和文件的傳統(tǒng)目錄樹外，管理員還可以瀏覽活動(dòng)目錄，對(duì)域用戶、用戶組和網(wǎng)絡(luò)資源進(jìn)行管理?；顒?dòng)目錄能夠把域劃分為不同的組織單元。域的樹顯示多個(gè)對(duì)象進(jìn)行劃分后的結(jié)果，每一局部都有自己的平安性、委托關(guān)系和用戶許可證等特性。系統(tǒng)管理員還可以通過(guò)活動(dòng)目錄指定局部管理員，每人以自己的平安性及許可權(quán)限進(jìn)行管理分類。局部管理員有能力建立自己的組織單元并把對(duì)用戶的分配權(quán)力直接拖放到目錄的域中，這時(shí)所指定的帳號(hào)信息及許可權(quán)將得到自動(dòng)復(fù)制。2025/1/31135Linux內(nèi)核進(jìn)程調(diào)度內(nèi)存管理虛擬文件系統(tǒng)網(wǎng)絡(luò)接口進(jìn)程間通信2025/1/31136Linux系統(tǒng)的問(wèn)題超級(jí)用戶可能濫用權(quán)限：超級(jí)用戶可以做任何事情，包括刪除不該刪除的系統(tǒng)文檔、殺死系統(tǒng)進(jìn)程以及改變權(quán)限等等系統(tǒng)文檔可以被任意地修改：在Linux系統(tǒng)中有許多的重要文件〔比方/bin/login〕，如果入侵者修改該文件，就可以輕易地再次登錄系統(tǒng)內(nèi)核可以輕易插入模塊：系統(tǒng)內(nèi)核允許插入模塊，使用戶擴(kuò)展Linux操作系統(tǒng)的功能，這種做法從平安性的角度來(lái)看是非常危險(xiǎn)的。模塊插入內(nèi)核后就成為內(nèi)核的一局部，可以做內(nèi)核所能做的任何事情進(jìn)程不受保護(hù)如何解決？2025/1/31137Linux啟動(dòng)和登錄平安性BIOS平安用戶口令帳號(hào)平安口令文件禁止Ctrl+Alt+Delete重新啟動(dòng)機(jī)器命令限制su命令，防止任何人都可以用su命令成為root用戶刪減登錄信息2025/1/31138Linux系統(tǒng)配置“/etc/exports〞“/etc/inetd.conf〞文件“/etc/aliases〞文件“/etc/host.conf〞文件“/etc/services〞文件“/etc/securetty〞文件“/etc/lilo.conf〞文件GRUB多重啟動(dòng)管理器“/etc/sysctl.conf〞文件syslog系統(tǒng)日志工具/etc/sysconfig/network-scripts//etc/sysconfig/network2025/1/31139現(xiàn)有的數(shù)據(jù)庫(kù)平安策略依靠操作系統(tǒng)的訪問(wèn)控制功能：現(xiàn)代的主流操作系統(tǒng)都有完善的用戶認(rèn)證機(jī)制，每個(gè)登錄系統(tǒng)的用戶通過(guò)自己的權(quán)限〔即訪問(wèn)控制表ACL〕來(lái)訪問(wèn)系統(tǒng)資源。這樣數(shù)據(jù)庫(kù)擁有者或管理者可以通過(guò)設(shè)置用戶權(quán)限來(lái)控制他人對(duì)數(shù)據(jù)庫(kù)文件的讀取、寫入、復(fù)制及刪除。采用用戶身份認(rèn)證實(shí)現(xiàn)：在用戶試圖翻開數(shù)據(jù)庫(kù)時(shí)要求用戶輸入用戶名和口令。通過(guò)對(duì)數(shù)據(jù)庫(kù)加密來(lái)實(shí)現(xiàn)：采用用戶的密碼對(duì)數(shù)據(jù)庫(kù)文件中的二進(jìn)制數(shù)據(jù)流進(jìn)行移位變換等處理來(lái)實(shí)現(xiàn)平安。2025/1/31140現(xiàn)有策略的缺陷數(shù)據(jù)庫(kù)文件的平安完全依賴于操作系統(tǒng)，當(dāng)系統(tǒng)配置不當(dāng)時(shí)，平安根本得不到保證；數(shù)據(jù)庫(kù)文件的平安完全依賴于基于密碼校驗(yàn)的身份認(rèn)證。如果用戶以正常方式翻開數(shù)據(jù)庫(kù)文件，身份認(rèn)證無(wú)疑是個(gè)不錯(cuò)的平安措施，但如果用戶以二進(jìn)制文件方式翻開文件時(shí)，身份認(rèn)證過(guò)程會(huì)被輕易跳過(guò)；對(duì)大型數(shù)據(jù)庫(kù)進(jìn)行加解密會(huì)影響訪問(wèn)系統(tǒng)的訪問(wèn)性能和效率。2025/1/31141數(shù)據(jù)庫(kù)平安新策略2025/1/31142異構(gòu)數(shù)據(jù)庫(kù)的平安性客戶機(jī)/效勞器通過(guò)開放的網(wǎng)絡(luò)環(huán)境，跨不同硬件和軟件平臺(tái)進(jìn)行通信，數(shù)據(jù)庫(kù)的平安問(wèn)題在異構(gòu)環(huán)境下變得更加復(fù)雜。異構(gòu)環(huán)境的系統(tǒng)具有可擴(kuò)展性，每個(gè)節(jié)點(diǎn)效勞器還能自治實(shí)行集中式平安管理和訪問(wèn)控制，對(duì)自己創(chuàng)立的用戶、規(guī)那么、客體進(jìn)行平安管理。如由DBA或平安管理員執(zhí)行本部門、本地區(qū)、或整體的平安策略，授權(quán)特定的管理員管理各組應(yīng)用程序、用戶、規(guī)那么和數(shù)據(jù)庫(kù)。因此訪問(wèn)控制和平安管理尤為重要。2025/1/31143異構(gòu)環(huán)境的數(shù)據(jù)庫(kù)平安策略2025/1/31144漏洞掃描入侵者首先總是通過(guò)尋找平安漏洞來(lái)尋找入侵點(diǎn)，有必要進(jìn)行網(wǎng)絡(luò)系統(tǒng)自身的脆弱性檢查，先于入侵者發(fā)現(xiàn)漏洞并及時(shí)彌補(bǔ)；漏洞檢測(cè)的原理主要是通過(guò)查找平安漏洞庫(kù)及采用一些模擬攻擊的方法來(lái)發(fā)現(xiàn)漏洞。因?yàn)榫W(wǎng)絡(luò)是動(dòng)態(tài)變化的，所以對(duì)于脆弱性檢查應(yīng)該定期執(zhí)行，而在結(jié)構(gòu)發(fā)生變化或安裝了新的軟硬件后也應(yīng)該執(zhí)行脆弱性檢查系統(tǒng)級(jí)掃描工具主要有：主機(jī)系統(tǒng)掃描器和數(shù)據(jù)庫(kù)掃描器2025/1/31145內(nèi)容2025/1/31146應(yīng)用平安2025/1/31147身份認(rèn)證分類單因素認(rèn)證雙因素認(rèn)證挑戰(zhàn)/應(yīng)答機(jī)制認(rèn)證時(shí)間同步機(jī)制認(rèn)證2025/1/31148認(rèn)證手段知道某事或某物擁有某事或某物擁有某些不變特性在某一特定場(chǎng)所〔或特定時(shí)間〕提供證據(jù)通過(guò)可信的第三方進(jìn)行認(rèn)證2025/1/31149非密碼認(rèn)證機(jī)制口令機(jī)制一次性口令機(jī)制挑戰(zhàn)/應(yīng)答機(jī)制基于地址的機(jī)制基于個(gè)人特征的機(jī)制個(gè)人認(rèn)證令牌2025/1/31150基于密碼的認(rèn)證機(jī)制2025/1/31151零知識(shí)認(rèn)證2025/1/31152典型的認(rèn)證協(xié)議2025/1/31153典型的認(rèn)證協(xié)議X.509認(rèn)證交換協(xié)議與Kerberos協(xié)議相比，X.509認(rèn)證交換協(xié)議有一個(gè)很大的優(yōu)點(diǎn)：不需要物理上平安的在線效勞器，因?yàn)橐粋€(gè)證書包含了一個(gè)認(rèn)證授權(quán)機(jī)構(gòu)的簽名。公鑰證書可通過(guò)使用一個(gè)不可信的目錄效勞被離線地分配。X.509雙向交換同樣依賴于時(shí)戳，而X.509三向交換那么克服了這一缺陷。但X.509認(rèn)證交換協(xié)議仍存在Kerberos的第3個(gè)缺陷。2025/1/31154典型的認(rèn)證協(xié)議認(rèn)證Diffie-Hellman交換協(xié)議Diffie,vanOorschot和Wiener于1992年將基于公鑰的互認(rèn)證和Diffie-Hellman密鑰交換相結(jié)合提出了一個(gè)三向認(rèn)證交換?？梢詫⒃摻粨Q協(xié)議視作X.509三向交換的一個(gè)變形，但交換的數(shù)據(jù)項(xiàng)不同。認(rèn)證Diffie-Hellman交換協(xié)議與Kerberos和X.509認(rèn)證交換協(xié)議相比有一個(gè)優(yōu)點(diǎn)：如果使用在認(rèn)證過(guò)程中的簽名密鑰受到威脅，那么不會(huì)危及到結(jié)合于認(rèn)證而推導(dǎo)出的主密鑰的秘密性。2025/1/31155公鑰根底設(shè)施〔PKI〕2025/1/31156PKI的組成2025/1/31157PKI典型構(gòu)成2025/1/31158典型的CA系統(tǒng)結(jié)構(gòu)2025/1/31159認(rèn)證中心的功能接收驗(yàn)證最終用戶數(shù)字證書的申請(qǐng)；確定是否接受最終用戶數(shù)字證書的申請(qǐng)-證書的審批；向申請(qǐng)者頒發(fā)、拒絕頒發(fā)數(shù)字證書-證書的發(fā)放；接收、處理最終用戶的數(shù)字證書更新請(qǐng)求-證書的更新；接收最終用戶數(shù)字證書的查詢、撤銷；產(chǎn)生和發(fā)布證書撤銷列表〔CRL〕；數(shù)字證書的歸檔；密鑰歸檔；歷史數(shù)據(jù)歸檔。2025/1/31160Web效勞器平安Web效勞是應(yīng)用最廣泛的Internet效勞，其流量占整個(gè)Internet流量的50%以上，如何有效解決其平安性問(wèn)題，是實(shí)施Internet和Intranet平安的重要環(huán)節(jié)。針對(duì)Web效勞器的攻擊主要是利用效勞器的漏洞，特別是在大量使用腳本的系統(tǒng)上，利用這些可執(zhí)行的腳本程序，入侵者可以很容易地獲得系統(tǒng)的控制權(quán)。2025/1/31161常見的Web效勞器漏洞Web效勞器存在的主要漏洞包括物理路徑泄露、CGI源代碼泄露、目錄遍歷、執(zhí)行任意命令、緩沖區(qū)溢出、拒絕效勞、條件競(jìng)爭(zhēng)和跨站腳本執(zhí)行漏洞。考慮Web效勞器的平安性，必須要考慮到與之相配合的操作系統(tǒng)。無(wú)論是Apache還是IIS