第六章_安全套接層協(xié)議ssl-資料下載頁(yè)
2025-01-22 01:48本頁(yè)面
【正文】 b 的下層軟件結(jié)構(gòu)復(fù)雜，存在大量的安 全漏洞 ? 當(dāng) Web服務(wù)器遭到破壞時(shí)，本地站點(diǎn)上的數(shù)據(jù)和系統(tǒng)也將面臨威脅。（威脅的蔓延） ? 瀏覽器 :如 IE和 Netscape等 ? Web服務(wù)器 : ? IIS、 ? Domino Go WebServer ? Netscape Enterprise Server ? Appache ? 在瀏覽器端安裝支持 SSL的客戶(hù)端證書(shū)（可選），然后把 URL中的“ Web服務(wù)器端安全性 服務(wù)器發(fā)布信息，提供服務(wù) 靜態(tài)信息，各種 HTML頁(yè)面 動(dòng)態(tài)信息，利用腳本或者各種擴(kuò)展引擎響應(yīng)客戶(hù)的請(qǐng)求 安全性 目錄安全性 只有指定范圍的文件才可以被訪(fǎng)問(wèn) 例如，禁止 URL中出現(xiàn) “ ..” Cgi文件的安全性，此目錄禁止通過(guò) Web讀寫(xiě) 檢查每一個(gè) cgi文件，不要保留有漏洞的 cgi文件，特別是系統(tǒng)預(yù)裝的一些 cgi示例文件，這些文件往往為了說(shuō)明功能，而忽略了安全性的考慮 要求鑒別：由于協(xié)商的原因，要注意安全性最低的鑒別協(xié)議 授權(quán)機(jī)制：保護(hù)好口令的安全存儲(chǔ)，以及客戶(hù)信息的保存 日志：打開(kāi)系統(tǒng)中對(duì)于 Web服務(wù)的日志功能，以及Web服務(wù)的日志記錄 服務(wù)器端的安全防護(hù) 有些應(yīng)用使用 SSL/TLS，為 Web Service申請(qǐng)一個(gè)證書(shū) Web Server往往是網(wǎng)絡(luò)攻擊的入口點(diǎn) 為了提供 Web Service，必須要開(kāi)放端口和一些目錄，還要接受各種正常的連接請(qǐng)求 防火墻對(duì) Web Server的保護(hù)是有限的 為了安全，請(qǐng) : 及時(shí)打上 Web Server軟件廠(chǎng)商提供的補(bǔ)丁程序 特別是一些主流的服務(wù)軟件，比如 MS的 IIS 控制目錄和文件的權(quán)限 Web應(yīng)用開(kāi)發(fā)人員注意 ? 在服務(wù)端的運(yùn)行代碼中，對(duì)于來(lái)自客戶(hù)端的輸入一定要進(jìn)行驗(yàn)證 ? 防止緩沖區(qū)溢出 安全 Web服務(wù)器 安全 Web服務(wù)器在提供常規(guī)的 Web服務(wù)的同時(shí)，還具有以下特點(diǎn)： ? WEB頁(yè)面加密存儲(chǔ)方法，確保存儲(chǔ)在 WEB服務(wù)器上的頁(yè)面文件的安全性； ? WEB頁(yè)面的原始性鑒別技術(shù)； ? 分密級(jí)訪(fǎng)問(wèn)控制，確保不被非法訪(fǎng)問(wèn)； ?嚴(yán)格的傳輸加密技術(shù)，確保信息不被監(jiān)聽(tīng)； ? 數(shù)字水印日志，確保日志文件不可更改，為計(jì)算機(jī)取證提供支持； Web客戶(hù)端的安全性 客戶(hù)端安全性涉及到 Cookie的設(shè)置，保護(hù)用戶(hù)的隱私 PKI設(shè)置，確定哪些是可信任的 CA 對(duì)可執(zhí)行代碼的限制，包括 JavaApplet，ActiveXcontrol 如果你的機(jī)器是多個(gè)人合用的，則 ? Web頁(yè)面的緩存區(qū)域，將會(huì)留下用戶(hù)最近訪(fǎng)問(wèn)過(guò)的頁(yè)面 ? 歷史記錄 ? 口令自動(dòng)保存和提示 ? …… Plugin的安全性 ? Plugin在運(yùn)行時(shí)完全作為瀏覽器的一部分 ? 不要盲目執(zhí)行任何從 Inter上下載的程序 ActiveX的安全性 ? ActiveX技術(shù)是 Microsoft提出的一組使用 COM使得軟件部件在網(wǎng)絡(luò)環(huán)境中進(jìn)行交互的技術(shù)集。 ? ActiveX的安全模型 ? 用戶(hù)可以禁用 ActiveX cookie的安全性 ?cookie是對(duì) HTTP協(xié)議的一種補(bǔ)充，用來(lái)改善 HTTP協(xié)議的無(wú)狀態(tài)性 ?用戶(hù)要注意防止 cookie文件被盜 ?用戶(hù)可以完全刪除 cookie文件 Java的特點(diǎn) Java是一種簡(jiǎn)單的、面向?qū)ο蟮?、分布式的、解釋型的、健壯的、安全的、體系中立的、可移植的、高性能的、多線(xiàn)程的、動(dòng)態(tài)的語(yǔ)言。 特點(diǎn) ? 簡(jiǎn)單性 – 去掉了 C和 C++中的一些無(wú)用特性 – 接管了容易出錯(cuò)的任務(wù) – 自動(dòng)垃圾收集 – 系統(tǒng)精簡(jiǎn) Java的特點(diǎn) ? 面向?qū)ο? ? 分布式 – 支持基于網(wǎng)絡(luò)的應(yīng)用程序 ? 解釋性 – Java是一門(mén)解釋性的語(yǔ)言 – Java程序在 JVM（ Java虛擬機(jī)）上運(yùn)行 ? 健壯性 – 強(qiáng)類(lèi)型語(yǔ)言 – 內(nèi)存模式改進(jìn) – 例外處理 Java的特點(diǎn) ? 安全性 ? 體系中立性 – Java程序可以在任何系統(tǒng)上運(yùn)行，只要該系統(tǒng)能構(gòu)成 Java虛擬機(jī)即可。 ? 可移植性 – Java可以運(yùn)行于安裝了解釋器的任何機(jī)器上 ? 高性能 ? 多線(xiàn)程 ? 動(dòng)態(tài)性 Java的安全性 ? Java的安全模型不同于傳統(tǒng)的安全方法，主要通過(guò)訪(fǎng)問(wèn)控制來(lái)實(shí)現(xiàn)。 ? Java applet：一種小的 Java應(yīng)用程序，主要用于網(wǎng)頁(yè)中。 Java的安全性 Applet受到以下一些限制： ? applet不能讀、寫(xiě)、重命名或者刪除文件 ? 除了下載 applet的那臺(tái)計(jì)算機(jī)之外， applet本身不能連接到或者接受來(lái)自于其他任何一臺(tái)計(jì)算機(jī)的連接請(qǐng)求 ? applet不能執(zhí)行系統(tǒng)級(jí)的函數(shù) ? applet不能訪(fǎng)問(wèn)一些圖形和 GUI相關(guān)的程序 ? applet不能讀取某些系統(tǒng)屬性 ? applet不能注冊(cè)一個(gè)新的 SecurityManager對(duì)象避免這些安全上的限制 Java也不是完全安全的，用戶(hù)需要及時(shí)打上補(bǔ)丁和更新 Javascript的安全性 ? JavaScript是 Netscape公司設(shè)計(jì)的一系列 HTML語(yǔ)言擴(kuò)展，它增強(qiáng)了 HTML語(yǔ)言的動(dòng)態(tài)交互能力，并且可以把部分處理移到客戶(hù)機(jī)，減輕服務(wù)器的負(fù)載。 ? JavaScript的漏洞不像 Java的漏洞那樣能損壞用戶(hù)的機(jī)器，而是只涉及侵犯用戶(hù)的隱私 ? 可以完全關(guān)掉 Javascript
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1