操作系統(tǒng)安全性概述(編輯修改稿)
2025-02-09 02:10 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 安全認(rèn)證產(chǎn)生一個(gè)訪問(wèn)令牌，包括用戶(hù)賬號(hào) SID和用戶(hù)工作組 SID。訪問(wèn)令牌也將得到用戶(hù)的特權(quán)（LUID），然后該訪問(wèn)令牌傳回 WinLogon進(jìn)程。 ⑤ WinLogon進(jìn)程傳送訪問(wèn)令牌到 Win32模塊，同時(shí)發(fā)出一個(gè)請(qǐng)求，以便為用戶(hù)建立登錄進(jìn)程。 ⑥ 登錄進(jìn)程建立用戶(hù)環(huán)境，包括啟動(dòng) Desktop Explorer和顯示背景等。 （ 2）網(wǎng)絡(luò)登錄過(guò)程（如圖 ） 圖 網(wǎng)絡(luò)登錄 Windows NT/2023服務(wù)器的過(guò)程 ① 用戶(hù)將用戶(hù)名和口令輸入到網(wǎng)絡(luò)客戶(hù)機(jī)軟件的登錄窗口。 ② 該客戶(hù)機(jī)軟件打開(kāi) NetBIOS，連接到服務(wù)器的NetLogon服務(wù)上，該客戶(hù)機(jī)軟件對(duì)口令加密，發(fā)送登錄證書(shū)到服務(wù)器的 WinLogon進(jìn)程。 ③ 服務(wù)器的 WinLogon進(jìn)程發(fā)送賬號(hào)名和加密口令到本地安全認(rèn)證。 ④ 如果用戶(hù)具有有效的用戶(hù)名和口令 ， 則本地安全認(rèn)證產(chǎn)生一個(gè)訪問(wèn)令牌 ， 包括用戶(hù)賬號(hào) SID和用戶(hù)工作組 SID。 ⑤ WinLogon進(jìn)程將訪問(wèn)令牌傳送到 Windows NT/2023的 Server服務(wù)，它將訪問(wèn)令牌與被客戶(hù)機(jī)打開(kāi)的 NetBIOS連接聯(lián)系起來(lái)。 2．安全標(biāo)識(shí)符（ SID） 安全標(biāo)識(shí)符是標(biāo)識(shí)一個(gè)注冊(cè)用戶(hù)的惟一名字，它可用來(lái)標(biāo)識(shí)一個(gè)用戶(hù)或一組用戶(hù)。安全標(biāo)識(shí)符是用于系統(tǒng)內(nèi)部的，在存取令牌和訪問(wèn)控制表（ ALC）內(nèi)使用，它用一長(zhǎng)串?dāng)?shù)字來(lái)表示。 Windows NT/2023的訪問(wèn)控制 1． Windows NT/2023訪問(wèn)控制 Windows NT/2023的安全性達(dá)到了橘皮書(shū) C2級(jí) ， 實(shí)現(xiàn)了用戶(hù)級(jí)自主訪問(wèn)控制 ， 它的訪問(wèn)機(jī)制如圖 。 為了實(shí)現(xiàn)進(jìn)程間的安全訪問(wèn)， Windows NT/2023中的對(duì)象采用了安全性描述符（Security Description）。安全性描述符主要由用戶(hù) SID(Owner)、工作組 SID(Group)、訪問(wèn)控制列表（ DACL）和系統(tǒng)訪問(wèn)控制列表（ SACL）組成，安全性描述符的構(gòu)成如圖 。 圖 安全性描述符的構(gòu)成 圖 Windows NT的客體訪問(wèn)示意圖 2． NTFS文件系統(tǒng) NTFS主要采用兩種措施對(duì)文件系統(tǒng)進(jìn)行安全性保護(hù)：一是對(duì)文件和目錄的權(quán)限設(shè)置 ， 二是對(duì)文件和目錄進(jìn)行加密 。 （ 1） 文件和目錄的權(quán)限 NTFS文件系統(tǒng)上的每個(gè)文件和目錄在創(chuàng)建時(shí)創(chuàng)建人就被指定為擁有者 。 擁有者控制著文件或目錄權(quán)限設(shè)置 ， 并能賦予其他用戶(hù)的訪問(wèn)權(quán)限 。 NTFS為了保證文件和目錄的安全性和可靠性，制定了以下的權(quán)限設(shè)置規(guī)則。 ① 只有用戶(hù)在被賦予權(quán)限或是屬于擁有這種權(quán)限的組，才能對(duì)文件或目錄進(jìn)行訪問(wèn)。 ② “拒絕訪問(wèn)”權(quán)限優(yōu)先級(jí)高于其他所有權(quán)限。 ③ 權(quán)限是積累的。 ④ 文件權(quán)限始終優(yōu)先于目錄權(quán)限。 ⑤ 當(dāng)用戶(hù)在相應(yīng)權(quán)限的目錄中創(chuàng)建新的文件和子目錄時(shí)，創(chuàng)建的文件和子目錄 繼承 該目錄的權(quán)限。 ⑥ 創(chuàng)建文件和目錄的擁有者，總是可以隨時(shí)更改對(duì)文件或目錄的權(quán)限設(shè)置來(lái)控制其他用戶(hù)對(duì)該文件或目錄的訪問(wèn)。 （ 2）文件內(nèi)容的加密 Windows 2023增強(qiáng)了文件系統(tǒng)的安全性，采用了加密文件系統(tǒng)（ Encrypted File System， EFS）技術(shù)。加密文件系統(tǒng)提供的文件加密技術(shù)可以將加密的 NTFS文件存儲(chǔ)到磁盤(pán)上。 Windows NT/2023的安全管理 1．用戶(hù)和用戶(hù)組 在 Windows NT/2023中，每個(gè)用戶(hù)必須有一個(gè)賬號(hào)。 用戶(hù)賬號(hào)是系統(tǒng)安全的核心 ，系統(tǒng)網(wǎng)絡(luò)中發(fā)生的一切活動(dòng)都可以以此賬號(hào)追溯到特定的授權(quán)用戶(hù)。 Windows NT/2023還支持用戶(hù)組，通過(guò)用戶(hù)組為一組相關(guān)的用戶(hù)同時(shí)設(shè)定權(quán)利和權(quán)限。 2．域和委托 在 Windows NT中，有兩種類(lèi)型的網(wǎng)絡(luò)配置：工作組和域。工作組是單獨(dú)的系統(tǒng)，在工作組中系統(tǒng)各自獨(dú)立管理自己的用戶(hù)賬號(hào)和組賬號(hào)以及它們的安全賬號(hào)管理數(shù)據(jù)庫(kù)，不與別的系統(tǒng)共享這些信息。工作組適用于小型網(wǎng)絡(luò)環(huán)境。域模型是 Windows NT網(wǎng)絡(luò)系統(tǒng)的核心，所有 Windows NT的相關(guān)內(nèi)容都是圍繞著域來(lái)組織，而且大部分 Windows NT的網(wǎng)絡(luò)都基于域模型。 域是一些服務(wù)器的集合，這些服務(wù)器被歸為一組并共享同一個(gè)安全策略和用戶(hù)賬號(hào)數(shù)據(jù)庫(kù)。域的集中化用戶(hù)賬號(hào)數(shù)據(jù)庫(kù)和安全策略使得系統(tǒng)管理員可以用一個(gè)簡(jiǎn)單而有效的方法維護(hù)整個(gè)網(wǎng)絡(luò)的安全。域由主域服務(wù)器、備份域服務(wù)器、服務(wù)器和工作站組成。 域是由主域控制器或備份域控制器來(lái)控制的。每一個(gè)域中只能有一個(gè)主域控制器，而備份域控制器可以有一個(gè)或數(shù)個(gè)。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1