【正文】 /2023安全機(jī)制 ? 計(jì)算機(jī)帳戶(hù) ? 每個(gè)加入域的 Windows NT/2023 計(jì)算機(jī)都具有計(jì)算機(jī)帳戶(hù)，否則無(wú)法進(jìn)行域連接，實(shí)現(xiàn)域資源的訪問(wèn)。與用戶(hù)帳戶(hù)類(lèi)似，計(jì)算機(jī)帳戶(hù)也提供驗(yàn)證和審核計(jì)算機(jī)登錄到網(wǎng)絡(luò)以及訪問(wèn)域資源的方法。一個(gè)計(jì)算機(jī)系統(tǒng)要加入到域中，只能使用一個(gè)計(jì)算機(jī)帳戶(hù)，而一個(gè)用戶(hù)可擁有多個(gè)用戶(hù)帳戶(hù)，且可在不同的計(jì)算機(jī)（指已經(jīng)連接到域中的計(jì)算機(jī)）上使用自己的用戶(hù)帳戶(hù)進(jìn)行網(wǎng)絡(luò)登錄。 2023/4/1 130 Windows NT/2023安全機(jī)制 ? 活動(dòng)目錄用戶(hù)帳戶(hù) ? 用戶(hù)帳戶(hù)用來(lái)記錄用戶(hù)的用戶(hù)名、口令、隸屬的組、可以訪問(wèn)的網(wǎng)絡(luò)資源，以及用戶(hù)的個(gè)人文件和設(shè)置。每個(gè)用戶(hù)都應(yīng)在域控制器中有一個(gè)用戶(hù)帳戶(hù)，才能訪問(wèn)服務(wù)器，使用網(wǎng)絡(luò)上的資源。用戶(hù)帳戶(hù)由一個(gè)用戶(hù)名和一個(gè)口令來(lái)標(biāo)識(shí)，二者都需要用戶(hù)在登錄時(shí)鍵入?；顒?dòng)目錄用戶(hù)帳戶(hù)使用已經(jīng)驗(yàn)證和授權(quán)訪問(wèn)域資源的身份登錄到計(jì)算機(jī)和域。用戶(hù)帳戶(hù)也可作為某些應(yīng)用程序的服務(wù)帳戶(hù)。 2023/4/1 131 Windows NT/2023安全機(jī)制 ? 文件系統(tǒng)安全 NTFS ? NTFS文件系統(tǒng)只能由 Windows NT/2023使用。它使用關(guān)系型數(shù)據(jù)庫(kù)、事務(wù)處理以及對(duì)象技術(shù)，以提供數(shù)據(jù)安全以及文件可靠性的特性。它還支持文件系統(tǒng)恢復(fù)、大型存儲(chǔ)介質(zhì)、 POSIX子系統(tǒng)以及面向?qū)ο蟮膽?yīng)用程序。 NTFS的新特性包括對(duì)分層存儲(chǔ)管理的支持，這是通過(guò)使用重新解析點(diǎn)、磁盤(pán)配額、加密、稀疏文件、分布式鏈接跟蹤、分布式文件系統(tǒng)、 NTFS目錄連接、卷裝配點(diǎn)、索引服務(wù)以及更改日志來(lái)實(shí)現(xiàn)的。 2023/4/1 132 Windows NT/2023安全機(jī)制 ? Kerberos 5認(rèn)證 ? Kerberos系統(tǒng)是美國(guó)麻省理工學(xué)院為 Athena工程而設(shè)計(jì)的，為分布式計(jì)算環(huán)境提供一種對(duì)用戶(hù)雙方進(jìn)行驗(yàn)證的認(rèn)證方法。 Kerberos是一種被證明為非常安全的雙向身份認(rèn)證技術(shù)，其身份認(rèn)證強(qiáng)調(diào)了客戶(hù)機(jī)對(duì)服務(wù)器的認(rèn)證，而別的身份認(rèn)證技術(shù)往往只解決了服務(wù)器對(duì)客戶(hù)機(jī)的認(rèn)證。 Kerberos有效地防止了來(lái)自服務(wù)器端身份假冒的欺騙。 2023/4/1 133 Windows NT/2023安全機(jī)制 ? NTLM認(rèn)證 ? Windows 2023中仍然保留 NTLanMan(NTLM)認(rèn)證，以便向后兼容。它與 Windows NT 全相同。在未來(lái)的一段時(shí)間內(nèi)，運(yùn)行 DOS、Windows 、 Windows 9 Windows 9Windows NT Windows NT 需要 LM和 NTLM支持。 LanManager所使用的哈希算法有漏洞， l0pht組織已經(jīng)發(fā)布用于破解NT系統(tǒng)中 SAM文件的工具 l0phtcrack?，F(xiàn)在，Windows 2023已支持新的更安全的認(rèn)證協(xié)議NTLM 2。 2023/4/1 134 Windows NT/2023安全機(jī)制 ? 活動(dòng)目錄 ? 除了查看磁盤(pán)的文件夾和文件的傳統(tǒng)目錄樹(shù)外，管理員還可以瀏覽活動(dòng)目錄，對(duì)域用戶(hù)、用戶(hù)組和網(wǎng)絡(luò)資源進(jìn)行管理?；顒?dòng)目錄能夠把域劃分為不同的組織單元。域的樹(shù)顯示多個(gè)對(duì)象進(jìn)行劃分后的結(jié)果，每一部分都有自己的安全性、委托關(guān)系和用戶(hù)許可證等特性。 ? 系統(tǒng)管理員還可以通過(guò)活動(dòng)目錄指定局部管理員，每人以自己的安全性及許可權(quán)限進(jìn)行管理分類(lèi)。局部管理員有能力建立自己的組織單元并把對(duì)用戶(hù)的分配權(quán)力直接拖放到目錄的域中，這時(shí)所指定的帳號(hào)信息及許可權(quán)將得到自動(dòng)復(fù)制。 2023/4/1 135 Linux內(nèi)核 ? 進(jìn)程調(diào)度 ? 內(nèi)存管理 ? 虛擬文件系統(tǒng) ? 網(wǎng)絡(luò)接口 ? 進(jìn)程間通信 2023/4/1 136 Linux系統(tǒng)的問(wèn)題 ? 超級(jí)用戶(hù)可能濫用權(quán)限 ：超級(jí)用戶(hù)可以做任何事情，包括刪除不該刪除的系統(tǒng)文檔、殺死系統(tǒng)進(jìn)程以及改變權(quán)限等等 ? 系統(tǒng)文檔可以被任意地修改： 在 Linux系統(tǒng)中有許多的重要文件（比如 /bin/login），如果入侵者修改該文件，就可以輕易地再次登錄 ? 系統(tǒng)內(nèi)核可以輕易插入模塊： 系統(tǒng)內(nèi)核允許插入模塊，使用戶(hù)擴(kuò)展 Linux操作系統(tǒng)的功能，這種做法從安全性的角度來(lái)看是非常危險(xiǎn)的。模塊插入內(nèi)核后就成為內(nèi)核的一部分，可以做內(nèi)核所能做的任何事情 ? 進(jìn)程不受保護(hù) ? 如何解決？ 2023/4/1 137 Linux啟動(dòng)和登錄安全性 ? BIOS安全 ? 用戶(hù)口令 ? 帳號(hào)安全 ? 口令文件 ? 禁止 Ctrl+Alt+Delete重新啟動(dòng)機(jī)器命令 ? 限制 su命令，防止任何人都可以用 su命令成為root用戶(hù) ? 刪減登錄信息 2023/4/1 138 Linux系統(tǒng)配置 ? “ /etc/exports” ? “/etc/”文件 ? “/etc/aliases”文件 ? “/etc/”文件 ? “/etc/services”文件 ? “/etc/securetty”文件 ? “/etc/”文件 ? GRUB多重啟動(dòng)管理器 ? “/etc/”文件 ? syslog 系統(tǒng)日志工具 ? /etc/sysconfig/workscripts/ ? /etc/sysconfig/work 2023/4/1 139 現(xiàn)有的數(shù)據(jù)庫(kù)安全策略 ? 依靠操作系統(tǒng)的訪問(wèn)控制功能： ? 現(xiàn)代的主流操作系統(tǒng)都有完善的用戶(hù)認(rèn)證機(jī)制，每個(gè)登錄系統(tǒng)的用戶(hù)通過(guò)自己的權(quán)限（即訪問(wèn)控制表 ACL）來(lái)訪問(wèn)系統(tǒng)資源。這樣數(shù)據(jù)庫(kù)擁有者或管理者可以通過(guò)設(shè)置用戶(hù)權(quán)限來(lái)控制他人對(duì)數(shù)據(jù)庫(kù)文件的讀取、寫(xiě)入、復(fù)制及刪除。 ? 采用用戶(hù)身份認(rèn)證實(shí)現(xiàn)： ? 在用戶(hù)試圖打開(kāi)數(shù)據(jù)庫(kù)時(shí)要求用戶(hù)輸入用戶(hù)名和口令。 ? 通過(guò)對(duì)數(shù)據(jù)庫(kù)加密來(lái)實(shí)現(xiàn)： ? 采用用戶(hù)的密碼對(duì)數(shù)據(jù)庫(kù)文件中的二進(jìn)制數(shù)據(jù)流進(jìn)行移位變換等處理來(lái)實(shí)現(xiàn)安全。 2023/4/1 140 現(xiàn)有策略的缺陷 ? 數(shù)據(jù)庫(kù)文件的安全完全依賴(lài)于操作系統(tǒng)，當(dāng)系統(tǒng)配置不當(dāng)時(shí)，安全根本得不到保證； ? 數(shù)據(jù)庫(kù)文件的安全完全依賴(lài)于基于密碼校驗(yàn)的身份認(rèn)證。如果用戶(hù)以正常方式打開(kāi)數(shù)據(jù)庫(kù)文件，身份認(rèn)證無(wú)疑是個(gè)不錯(cuò)的安全措施，但如果用戶(hù)以二進(jìn)制文件方式打開(kāi)文件時(shí)，身份認(rèn)證過(guò)程會(huì)被輕易跳過(guò)； ? 對(duì)大型數(shù)據(jù)庫(kù)進(jìn)行加解密會(huì)影響訪問(wèn)系統(tǒng)的訪問(wèn)性能和效率。 2023/4/1 141 數(shù)據(jù)庫(kù)安全新策略 ? 安全性不受操作系統(tǒng)平臺(tái)影響 ? 加密內(nèi)容的適量 ? 采用先進(jìn)的加密技術(shù) ? 加密和數(shù)據(jù)壓縮結(jié)合 ? 身份認(rèn)證陷阱 ? 數(shù)據(jù)庫(kù)文件反復(fù)制 2023/4/1 142 異構(gòu)數(shù)據(jù)庫(kù)的安全性 ? 客戶(hù)機(jī) /服務(wù)器通過(guò)開(kāi)放的網(wǎng)絡(luò)環(huán)境，跨不同硬件和軟件平臺(tái)進(jìn)行通信，數(shù)據(jù)庫(kù)的安全問(wèn)題在異構(gòu)環(huán)境下變得更加復(fù)雜。 ? 異構(gòu)環(huán)境的系統(tǒng)具有可擴(kuò)展性，每個(gè)節(jié)點(diǎn)服務(wù)器還能自治實(shí)行集中式安全管理和訪問(wèn)控制，對(duì)自己創(chuàng)建的用戶(hù)、規(guī)則、客體進(jìn)行安全管理。如由 DBA或安全管理員執(zhí)行本部門(mén)、本地區(qū)、或整體的安全策略，授權(quán)特定的管理員管理各組應(yīng)用程序、用戶(hù)、規(guī)則和數(shù)據(jù)庫(kù)。因此訪問(wèn)控制和安全管理尤為重要。 2023/4/1 143 異構(gòu)環(huán)境的數(shù)據(jù)庫(kù)安全策略 ? 全局范圍的身份驗(yàn)證 。 ? 全局的訪問(wèn)控制，以支持各類(lèi)局部訪問(wèn)控制（自主和強(qiáng)制訪問(wèn)控制） ? 全局完整性控制 ? 網(wǎng)絡(luò)安全管理，包括網(wǎng)絡(luò)信息加密、網(wǎng)絡(luò)入侵防護(hù)和檢測(cè)等 ? 審計(jì)技術(shù) ? 數(shù)據(jù)庫(kù)及應(yīng)用系統(tǒng)安全，如自動(dòng)的應(yīng)用系統(tǒng)集成、對(duì)象管理等。開(kāi)發(fā)者能定義各個(gè)對(duì)象的安全性。根據(jù)定義的數(shù)據(jù)庫(kù)安全性， DBA能迅速準(zhǔn)確地通過(guò)應(yīng)用系統(tǒng)給所有數(shù)據(jù)庫(kù)對(duì)象授權(quán)和回收權(quán)限。 2023/4/1 144 漏洞掃描 ? 入侵者首先總是通過(guò)尋找安全漏洞來(lái)尋找入侵點(diǎn)，有必要進(jìn)行網(wǎng)絡(luò)系統(tǒng)自身的脆弱性檢查，先于入侵者發(fā)現(xiàn)漏洞并及時(shí)彌補(bǔ)； ? 漏洞檢測(cè)的原理主要是通過(guò)查找安全漏洞庫(kù)及采用一些模擬攻擊的方法來(lái)發(fā)現(xiàn)漏洞。因?yàn)榫W(wǎng)絡(luò)是動(dòng)態(tài)變化的，所以對(duì)于脆弱性檢查應(yīng)該定期執(zhí)行，而在結(jié)構(gòu)發(fā)生變化或安裝了新的軟硬件后也應(yīng)該執(zhí)行脆弱性檢查 ? 系統(tǒng)級(jí)掃描工具主要有：主機(jī)系統(tǒng)掃描器和數(shù)據(jù)庫(kù)掃描器 2023/4/1 145 內(nèi)容 ? 密碼技術(shù)及應(yīng)用 ? 安全協(xié)議 ? 訪問(wèn)控制 ? 網(wǎng)絡(luò)安全 ? 系統(tǒng)安全 ? 應(yīng)用安全 2023/4/1 146 應(yīng)用安全 ? 身份認(rèn)證技術(shù)： 公開(kāi)密鑰基礎(chǔ)設(shè)施（ PKI）是一種遵循標(biāo)準(zhǔn)的密鑰管理平臺(tái)，能夠?yàn)樗芯W(wǎng)絡(luò)應(yīng)用透明地提供采用加密和數(shù)字簽名等密碼服務(wù)所必需的密鑰和證書(shū)管理。 ? 應(yīng)用服務(wù)安全性： Web服務(wù)器、郵件服務(wù)器等的安全增強(qiáng)，使用 SHTTP、 SSH、 PGP等技術(shù)提高 Web數(shù)據(jù)、遠(yuǎn)程登錄、電子郵件的安全性。 ? 網(wǎng)絡(luò)防病毒技術(shù)： 病毒是系統(tǒng)中最常見(jiàn)的威脅來(lái)源。建立全方位的病毒防范系統(tǒng)是計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)建設(shè)的重要任務(wù)。 2023/4/1 147 身份認(rèn)證分類(lèi) ? 單因素認(rèn)證 ? 雙因素認(rèn)證 ? 挑戰(zhàn) /應(yīng)答機(jī)制認(rèn)證 ? 時(shí)間同步機(jī)制認(rèn)證 2023/4/1 148 認(rèn)證手段 ? 知道某事或某物 ? 擁有某事或某物 ? 擁有某些不變特性 ? 在某一特定場(chǎng)所（或特定時(shí)間）提供證據(jù) ? 通過(guò)可信的第三方進(jìn)行認(rèn)證 2023/4/1 149 非密碼認(rèn)證機(jī)制 ? 口令機(jī)制 ? 一次性口令機(jī)制 ? 挑戰(zhàn) /應(yīng)答機(jī)制 ? 基于地址的機(jī)制 ? 基于個(gè)人特征的機(jī)制 ? 個(gè)人認(rèn)證令牌 2023/4/1 150 基于密碼的認(rèn)證機(jī)制 ? 基本原理是使驗(yàn)證者信服聲稱(chēng)者所聲稱(chēng)的，因?yàn)槁暦Q(chēng)者知道某一秘密密鑰。 ? 基于對(duì)稱(chēng)密碼技術(shù) ? 基于公鑰密碼技術(shù) 2023/4/1 151 零知識(shí)認(rèn)證 ?零知識(shí)認(rèn)證技術(shù)可使信息的擁有者無(wú)需泄露任何信息就能夠向驗(yàn)證者或任何第三方證明它擁有該信息。在網(wǎng)絡(luò)認(rèn)證中，已經(jīng)提出了零知識(shí)技術(shù)的一些變形，例如， FFS方案， FS方案和 GQ方案。一般情況下，驗(yàn)證者頒布大量的詢(xún)問(wèn)給聲稱(chēng)者，聲稱(chēng)者對(duì)每個(gè)詢(xún)問(wèn)計(jì)算一個(gè)回答，而在計(jì)算中使用了秘密信息。 2023/4/1 152 典型的認(rèn)證協(xié)議 ? Kerberos系統(tǒng) ? Kerberos系統(tǒng)為工作站用戶(hù)（客戶(hù)）到服務(wù)器以及服務(wù)器到工作站用戶(hù)提供了認(rèn)證方法， Kerberos系統(tǒng)使用了對(duì)稱(chēng)密碼技術(shù)和在線認(rèn)證服務(wù)器。 ? 缺陷： ? 需要具有很高利用率的可信（物理上安全的）在線服務(wù)器； ? 重放檢測(cè)依賴(lài)于時(shí)戳，意味著需要同步和安全的時(shí)鐘； ? 如果認(rèn)證過(guò)程中的密鑰受到威脅，那么傳遞在使用該密鑰進(jìn)行認(rèn)證的任何會(huì)話(huà)過(guò)程中的所有被保護(hù)的數(shù)據(jù)將受到威脅。 2023/4/1 153 典型的認(rèn)證協(xié)議 ? ? 與 Kerberos協(xié)議相比， 個(gè)很大的優(yōu)點(diǎn)：不需要物理上安全的在線服務(wù)器，因?yàn)橐粋€(gè)證書(shū)包含了一個(gè)認(rèn)證授權(quán)機(jī)構(gòu)的簽名。公鑰證書(shū)可通過(guò)使用一個(gè)不可信的目錄服務(wù)被離線地分配。 ? ，而 交換則克服了這一缺陷。但 仍存在 Kerberos的第 3個(gè)缺陷。 2023/4/1 154 典型的認(rèn)證協(xié)議 ?認(rèn)證 DiffieHellman交換協(xié)議 ? Diffie,van Oorschot和 Wiener于 1992年將基于公鑰的互認(rèn)證和 DiffieHellman密鑰交換相結(jié)合提出了一個(gè)三向認(rèn)證交換?？梢詫⒃摻粨Q協(xié)議視作 ，但交換的數(shù)據(jù)項(xiàng)不同。 ? 認(rèn)證 DiffieHellman交換協(xié)議與 Kerberos和：如果使用在認(rèn)證過(guò)程中的簽名密鑰受到威脅，那么不會(huì)危及到結(jié)合于認(rèn)證而推導(dǎo)出的主密鑰的秘密性。 2023/4/1 155 公鑰基礎(chǔ)設(shè)施（ PKI） ? PKI技術(shù)采用證書(shū)管理公鑰，通過(guò)第三方的可信任機(jī)構(gòu)，即認(rèn)證中心 Certificate Authority （CA）把用戶(hù)的公鑰和其它標(biāo)識(shí)信息（如名稱(chēng)、 、身份證號(hào)等）捆綁在一起，在Inter網(wǎng)上驗(yàn)證用戶(hù)的身份。 ? 目前，通用的辦法是采用建立在 PKI基礎(chǔ)之上的數(shù)字證書(shū)，通過(guò)把要傳輸?shù)臄?shù)字信息進(jìn)行加密和簽名，保證信息傳輸?shù)臋C(jī)密性、真實(shí)性、完整性和不可否認(rèn)性，從而保證信息的安全傳輸。 2023/4/1 156 PKI的組成 ? PKI主要包括四個(gè)部分 ? （ V3）和證書(shū)撤銷(xiāo)列表 CRL（ V2） ? CA/RA操作協(xié)議 ? CA管理協(xié)議 ? CA政策制定 ? 典型 PKI系統(tǒng)： ? 認(rèn)證中心 CA、 、 Web安全通信平臺(tái)、完整的 PKI認(rèn)證政策的制定 2023/4/1 157 PKI典型構(gòu)成 P K I 策 略 軟 硬 件 系 統(tǒng)證 書(shū) 機(jī) 構(gòu) C A 注 冊(cè) 機(jī) 構(gòu) R A 證 書(shū) 發(fā) 布 系 統(tǒng)P K I 應(yīng) 用2023/4/1 158 典型的 CA系統(tǒng)結(jié)構(gòu) 數(shù) 據(jù) 庫(kù) 服 務(wù) 器 L D A P 服 務(wù) 器 數(shù) 據(jù) 庫(kù) 服 務(wù) 器 L D A P 服 務(wù) 器