windows操作系統(tǒng)安全技術(shù)-文庫吧
2024-12-25 19:55 本頁面
【正文】 數(shù)據(jù)庫是安全性數(shù)據(jù)庫，所以不能將全局組用戶或者本地一般用戶組加入到復(fù)制組中； ? （ 5） Domain Guests組和 Guests組與普通用戶組一樣，其中的成員決定其運(yùn)作方式，與 Guests帳號(hào)具有獨(dú)特的性質(zhì)不一樣。 計(jì)算機(jī)科學(xué)與工程系 Windows身份驗(yàn)證 Windows身份驗(yàn)證 要使用戶和系統(tǒng)之間建立聯(lián)系，本地用戶必須請(qǐng)求本地登錄進(jìn)行身份驗(yàn)證，遠(yuǎn)程用戶必須請(qǐng)求遠(yuǎn)程登錄進(jìn)行身份驗(yàn)證。 Windows遠(yuǎn)程登錄身份驗(yàn)證經(jīng)過如下階段 ? SMB驗(yàn)證協(xié)議 ? LM驗(yàn)證機(jī)制 ? NTLM驗(yàn)證機(jī)制 ? Kerberos驗(yàn)證體系 計(jì)算機(jī)科學(xué)與工程系 用戶請(qǐng)求訪問 ? 登錄前，客戶端計(jì)算機(jī)緩存密碼的哈希值并放棄密碼?？蛻舳讼蚍?wù)器發(fā)送一個(gè)請(qǐng)求，該請(qǐng)求包括用戶名以及純文本格式的請(qǐng)求。 服務(wù)器發(fā)送質(zhì)詢消息 ? 服務(wù)器生成一個(gè)稱為質(zhì)詢的 16 字節(jié)隨機(jī)數(shù)（即 NONCE），并將它發(fā)送到客戶端。 客戶端發(fā)送應(yīng)答消息 ? 客戶端使用由用戶的密碼生成的一個(gè)密碼哈希值來加密服務(wù)器發(fā)送的質(zhì)詢。它以應(yīng)答的形式將這個(gè)加密的質(zhì)詢發(fā)回到服務(wù)器。 服務(wù)器將質(zhì)詢和應(yīng)答發(fā)送到域控制器 ? 服務(wù)器將用戶名、原始質(zhì)詢以及應(yīng)答從客戶端計(jì)算機(jī)發(fā)送到域控制器。 域控制器比較質(zhì)詢和應(yīng)答以對(duì)用戶進(jìn)行身份驗(yàn)證 ? 域控制器獲取該用戶的密碼哈希值，然后使用該哈希值對(duì)原始質(zhì)詢進(jìn)行加密。接下來，域控制器將加密的質(zhì)詢與客戶端計(jì)算機(jī)的應(yīng)答進(jìn)行比較。如果匹配，域控制器則發(fā)送該用戶已經(jīng)過身份驗(yàn)證的服務(wù)器確認(rèn)。 服務(wù)器向客戶端發(fā)送應(yīng)答 ? 假定憑據(jù)有效，服務(wù)器授予對(duì)所請(qǐng)求的服務(wù)或資源的客戶端訪問權(quán)。 NTLM身份驗(yàn)證過程 計(jì)算機(jī)科學(xué)與工程系 計(jì)算機(jī)科學(xué)與工程系 訪問的安全控制 Windows訪問控制由與每個(gè)進(jìn)程相關(guān)的訪問令牌和每個(gè)對(duì)象相關(guān)的安全描述符兩個(gè)實(shí)體管理。 基本概念 1 安全標(biāo)識(shí)符 (Security Identifiers） ? SID也就是安全標(biāo)識(shí)符，是標(biāo)識(shí)用戶、組和計(jì)算機(jī)賬戶的唯一的號(hào)碼。 其實(shí) Windows系統(tǒng)是按 SID來區(qū)別用戶的，不是按用戶的用戶賬戶名稱，所以建立一個(gè)賬戶 A，然后刪除后馬上再重建一個(gè)用戶 A其實(shí)是兩個(gè)賬戶。 計(jì)算機(jī)科學(xué)與工程系 計(jì)算機(jī)科學(xué)與工程系 基本概念 2 安全描述符 (Security Descriptors) ? 安全描述符是 Windows 創(chuàng)建對(duì)象時(shí)所基于結(jié)構(gòu)的一個(gè)主要部分，它包含了安全對(duì)象相關(guān)的安全信息，這意味著 Windows可識(shí)別的每一個(gè)對(duì)象（可以是文件對(duì)象、注冊(cè)表鍵、網(wǎng)絡(luò)共享、互斥量、信號(hào)燈、進(jìn)程、線程、令牌、硬件、服務(wù)、驅(qū)動(dòng) ...）都可以保證其安全。 ? 一個(gè)安全描述符包含下面的安全信息： ? （ 1）擁有者或基本組對(duì)象的安全 ID（ SID） ? （ 2） DACL指定特殊用戶或組的允許或拒絕的訪問權(quán)限 ? （ 3） SACL指定對(duì)象通用評(píng)估記錄嘗試的訪問類型 ? （ 4）一個(gè)控制位集合，說明安全描述符的含義或它每個(gè)成員 計(jì)算機(jī)科學(xué)與工程系 計(jì)算機(jī)科學(xué)與工程系 基本概念 3 訪問令牌 (Access Tokens) ? 訪問令牌由用戶的 SID?用戶所屬組的 SID和用戶名組成。 ? 登錄時(shí)，系統(tǒng)通過比較密碼與安全數(shù)據(jù)庫中存儲(chǔ)的信息來驗(yàn)證密碼。如果密碼得到認(rèn)證，則系統(tǒng)產(chǎn)生訪問令牌。令牌是一個(gè)數(shù)據(jù)結(jié)構(gòu)，用于由所有該用戶激活的進(jìn)程和線程。 計(jì)算機(jī)科學(xué)與工程系 計(jì)算機(jī)科學(xué)與工程系 基本概念 4 訪問控制列表 (Access Control Lists) ? 一個(gè)系統(tǒng)通過訪問控制列表 (ACL)來判斷用戶對(duì)資源的何種程度的訪問。 ACL由零個(gè)或多個(gè) ACE（ Access Control Entries）組成，一個(gè) ACE包括一個(gè) SID和該 SID可訪問資源的描述， ? ACL分為自由訪問控制列表 (Discretionary ACL)系統(tǒng)訪問控制列表 (System ACL) ? DACL包括戶和組的列表，以及相應(yīng)的權(quán)限，允許或是拒絕，用來確定對(duì)資源的訪問權(quán)限。 ? SACL則用來確定安全資源的審核策略，包含了對(duì)象被訪問的時(shí)間。 5 訪問控制項(xiàng) (Access Control Entries) ? 訪問控制項(xiàng)由對(duì)象的權(quán)限以及用戶或者組的 SID組成。 ACE分為允許訪問和拒絕訪問。允許訪問的級(jí)別低于拒絕訪問。 計(jì)算機(jī)科學(xué)與工程系 Windows安全子系統(tǒng) Windows安全子系統(tǒng) W i n l o g o nL S A G I N AS S P IA u t h e n t i c a t i o n P a c k a g e sS e c u r i t y S u p p o r t P r o v i d e rN e t l o g o nS e c u r i t y A c c o u n t M a n a g e m e n t計(jì)算機(jī)科學(xué)與工程系 （ 1） Winlogon ? Windows登錄服務(wù)。是系統(tǒng)啟動(dòng)自動(dòng)啟動(dòng)的一個(gè)程序，是整個(gè)登錄過程的司令官，監(jiān)視整個(gè)登錄的過程，同時(shí)加載 GINA。 （ 2） Graphical Identification and Authentication
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1