计算机安全和可信计算.docx
- 文档编号:1273213
- 上传时间:2023-04-30
- 格式:DOCX
- 页数:15
- 大小:279.86KB
计算机安全和可信计算.docx
《计算机安全和可信计算.docx》由会员分享,可在线阅读,更多相关《计算机安全和可信计算.docx(15页珍藏版)》请在冰点文库上搜索。
计算机安全和可信计算
计算机安全与可信计算
学号:
20084440124姓名:
刘光亮专业:
计算机科学与技术08级01班
怎样才能让计算机安全起来?
1.在网络方面。
随着网络时代的到来,社会信息传递的方式和速度有了极大的发展,社会沟通进一步加强。
随着互联网规模的不断扩大,网络在给人们带来丰富的信息资源的同时,也存在安全隐患,计算机网络安全成为亟待解决的问题。
一、计算机网络安全概述
1.计算机网络安全的含义。
计算机安全的定义为:
为数据处理系统建立和采取的技术和管理的安全保护,保护计算机硬件、软件、数据不因偶然和恶意的原因而遭到破坏、更改和泄露。
由此衍生出计算机网络安全的含义,即:
计算机网络的硬件、软件、数据的保密性、完整性、可用性得到保护,使之不受到偶然或恶意的破坏。
其具体含义也会随着使用者的立场不同而改变。
从普通用户立场来说,他们所认
为的计算机网络安全就是保证自己的个人隐私或机密信息在网络传输中得到保护,以免受到他人的窃取或篡改;就网络提供商而言,他们不仅要保证用户信息的安全和本地信息正常传输,还要考虑如何应对如自然灾害、战争等突发事件给网络运行带来的破坏。
二、在计算机网络方面。
(一)深入研究系统缺陷,完善计算机网络系统设计
全面分析网络系统设计是建立安全可靠的计算机网络工程的首要任务。
应针对现在计算机网络系统中存在的弱点进行认真研究,完善网络系统设计。
这里主要强调一点:
建立入网访问控制功能模块。
入网访问控制为网络提供了第一层保护。
它规定可登录到网络服务器并获取网络资源的用户条件,并控制用户入网的时间以及他们在哪台工作站入网。
用户入网访问控制可分为3个过程:
用户名的识别与验证;用户口令的识别与验证;用户账号的检查。
3个过程中任意一个不能通过,系统就将其视为非法用户,不能访问该网络。
各类操作系统要经过不断检测,及时更新,保证其完整性和安全性。
系统软件应具备以下安全措施:
操作系统应有较完善的存取控制功能,以防止用户越权存取信息;操作系统应有良好的存储保护功能,以防止用户作业在指定范围以外的存储区域进行读写;还应有较完善的管理能力,以记录系统的运行情况,监测对数据文件的存取。
(二)完善网络安全保护,抵制外部威胁
1.构建计算机网络运行的优良环。
境硬件运行环境的改善。
服务器机房建设要按照国家统一颁布的标准进行建设、施工,经公安、消防等部门检查验收合格后投入使用。
计算机系统重要配备部门要进行严格管理,并配备防水、防盗、防震、防火、防雷、防磁等设备。
做好维护设备的工作。
建立对各种计算机及网络设备定期检修、维护制度,并作好检修、维护记录。
对突发性的安全事故处理要有应急预案,对主要服务器和网络设备,要指定专人负责,发生故障保证及时修复,从而确保所有设备处于最佳运行状态。
2.建立完整可靠的安全防线。
(1)防火墙控制。
防火墙技术是一种建立在网络之间的互联设备,主要防止外部网络用户以非法手段进入内部网络访问或获取内部资源,即过滤危险因素的网络屏障。
防火墙可以强化网络安全性,它对两个或多个网络间传输的数据包按照一定的安全策略实施检查,决定传输是否被允许,这样就减小了非法传输的可能性。
另外,防火墙可以对网络中的实际操作进行监控和记录。
经过防火墙的访问都会被记录,同时也能提供网络使用情况的详细数据。
当非法行径出现时,防火墙能及时作出预警,并提供非法操作的详细信息。
(2)病毒防杀技术。
网络病毒对于整个计算机网络系统的破坏作用是巨大的,因此病毒防杀是网络完全技术中的重要一环。
在实际生活中,人们始终存在着一个认识的误区,即对待病毒关键是“杀”。
其实病毒应当以“防”为主。
计算机被病毒感染后再进行分析、杀毒,这无异于“饭后买单”,事后的弥补性措施是不可能彻底计算机安全问题的。
因此对
待计算机病毒我们应采取主动防御的态度,计算机一定要安装正版的杀毒软件,并对杀毒软件实时监控,定时升级,同时要定期地对电脑进行扫描,以便发现并清除隐藏的病毒。
尽可能采用行之有效的新技术、新手段,建立“防杀结合,以防为主,以杀为辅,软硬互补,标本兼治”的最佳网络病毒安全模式。
(3)访问权限设置。
访问权限设置的主要任务是尽量将非法访问排除在网络之外,权限设置是网络安全防范系统中的重要环节。
系统通过设定权限条件,赋予用户一定的访问的权利与限制,用户在权限范围内访问可访问目录、子目录、文件和其他资源;指定用户对这些内容能够进行哪些具体操作。
(4)文件加密技术。
加密的目的是把明文变成密文,使未被授权的人看不懂它,从而保护网络中数据传输的安全性。
网络加密常用的方法有链路加密、端点加密和节点加密3种。
链路加密的目的是保护网络节点之间的链路信息安全;端点加密的目的是对源端用户到目的端用户的数据提供保护;节点加密的目的是对源节点到目的节点之间的传输链路提供保护。
(三)加强计算机用户及管理人员的安全意识培养
计算机个人用户要加强网络安全意识的培养,根据自己的职责权限,选择不同的口令,对应用程序数据进行合法操作,防止其他用户越权访问数据和使用网络资源。
同时,在使用时要注意对病毒的设防,重视杀毒软件的更新,在网络前端进行杀毒。
加强网络管理人员安全意识、职业道德、责任心的培养,建立、健全安全管理体制,不断地加强计算机信息网络的安全规范化管理力度,大力加强安全建设,给计算机网络安全提供可靠保证。
(四)建设专业精英团队,加强网络评估和监控
网络安全的维护一方面要依靠先进的软件防御,另一方面要依靠专业的网络评估和监控人员。
这类精英团队存在于黑客的对立面,主要对网络运行的过程进行监控,观察研究是否有不法攻击的存在,进而进行评估,并提出改进意见,以完善网络运行机制。
总之,计算机网络安全涉及方方面面,是一个复杂的系统。
它的维护需要多主体的共同参与,而且要从事前预防、事中监控、事后弥补3个方面入手,不断加强安全意识,完善安全技术,制定安全策略,从而提高计算机网络的安全性。
2.个人计算机安全配置及防范
2.1系统的安装
(1)使用正版可靠安装盘,来防止病毒的侵入。
(2)将系统安装在NTFS分区上,进行文件系统安全设置。
(3)系统和数据要分开存放在不同的磁盘上,最少建立两个分区,一个系统分区,一个应用程序分区。
(4)安装其它的服务和应用程序补丁
(5)在安装其它程序之后,重新应用安全补丁
2.2系统用户管理和登录
2.2.1系统用户帐号
用户帐号一方面为每个用户设置相应的密码、隶属的组、保存个人文件夹及系统设置;另一方面将每个用户的程序、数据等互相隔离,在不关闭计算机的情况下,不同用户可以互相访问资源。
对于一个刚安装完的系统,如果没有设置我们都是以administration这个超级管理员用户登录的,此用户对计算机有完全的操作权限,因此如果我们以此用户登录个人计算机如果中了木马病毒等,对计算机和个人信息安全会造成严重的损害,因此我们要设置一个常用用户账号并对其加密,超级管理员也要加密,并且密码设置的尽量复杂。
2.2.2加强密码安全及设置密码规则
(1)选择较长的口令,大多数系统都接受长字符串的口令。
口令越长,
要猜出或试出它所有的可能组合就越难。
(2)口令最好选用字母和数字等字符的多种组合方式,避免口令字符单一化。
(3)最好不要单纯使用自己的名字、生日、电话号码和简单英语单词,
因为这些都是容易被别人猜到的信息。
(4)经常更换口令,如一个月换一次,避免一个口令在长期使用的过程
中被人破译获取。
3系统的安全配置
3.1Windows系统安全设置
(1)用户管理
删除所有不需要的账号,禁用所有暂时不用的账号。
一定要禁用“guest”用户。
重命名系统默认的管理员“Administrator”,然后再创建一个名为“Administrator”的用户,并分配给这个新用户一个复杂无比的口令,最后不让它属于任何组。
(2)使用NTFS文件系统
FAT32无法提供用户所需的针对于本地的单个文件与目录的权限设置。
NTFS格式是服务器必须的,使用FAT32文件系统没有安全性可言。
(3)不让系统显示上次登录的用户名
通过修改“管理工具”中的“本地安全策略”的相应选项或修改系统注册表来实现。
3.2账户安全策略设置
增强操作系统的安全,除了启用强壮的密码外,操作系统本身有账户的安全策略。
账户策略包含密码策略和账户锁定策略。
在密码策略中,设置增加密码复杂度,提高暴力破解的难度,曾强安全性。
图3-1本地安全配置
配置步骤:
依次选择“运行”→“本地安全策略”→“账户策略”→“密码策略”。
如图3-1所示。
(1)强制密码历史。
WindowsServer2003SP1中“强制密码历史”设置的默认值最多为24个密码。
要增强此策略设置的有效性,也可以配置“密码最短使用期限”设置以便密码无法被立即更改。
(2)密码最短使用期限“密码最短使用期限”设置的值范围介于0~999天;0允许更改密码。
此策略设置的默认值为1天。
(3)密码最长使用期限。
此策略设置的值范围为1~999天。
设置配置为0,意味着密码永不过期。
此设置的默认值为42天。
定期的更改密码有助于防止密码遭破坏。
如图3-2所示
图3-2密码期限
(4)密码必须符合复杂性要求。
如果启用该策略,如图4-3所示。
则密码必须符合一下最低要求。
不得明显包含用户账户名或用户全名的一部分。
长度至少为6个字符。
包含来自以下4个类别中的3个字符:
英文大、小写字母,10个基本数字(0~9)。
非字母字符(例如,!
、¥、#、%......)。
图3-3密码复杂性策略
3.3安全审核
1、审核介绍
审核跟踪计算机上用户和操作系统的活动。
审核项包括执行的操作‘执行改操作的用户、事件的成功或失败。
审核策略定义了Windows2003会记录的安全事件的类型。
设置审核策略来跟踪事件成功还是失败,将非授权使用资源的风险消除或降到最低,维持记录用户或管理员的活动。
2、打开安全审核
为了审核与安全性有关的事件,Windows的安全审计功能在默认安装时是关闭的。
激活此功能有利于管理员很好的掌握机器的状态,有利于系统的入侵检测。
你可以从日志中了解到机器是否在被人蛮力攻击、非法的文件访问等。
如果系统管理员将审核策略更改为不再审核失败的登录尝试,那么将显示这一事件。
设置“本地安全策略”中“本地策略”的“审核策略”,建议如图3-4所示配置:
图3-4审核策略
3、设置审核策略
使用组策略下的本地策略,为个人计算机配置安全设置,创建一个组策略对象为个人计算机配置安全设置。
如图3-5所示:
图3-5组策略安全设置
3.4Windows注册表分析与维护
利用Windows注册表不仅可以帮组用户、网络管理人员提高工作效率,同时也大大加强Windows操作系统的安全性。
它包含五个方面的信息:
PC全班硬件设置、软件设置、当前配置、动态状态和用户特定设置等内容。
1、注册表的概述
注册表是Windows系统存储关于计算机配置信息的数据库,包括了系统运行时需要调用运行方式的设置。
Windows注册表包括的项目有:
每个用户的配置文件、计算机上安装的程序和每个程序可以创建的文档类型、文件夹和程序图标的属性设置、系统中的硬件、正在使用的端口等。
注册表按层次结构来组织,由项、子项、配置单元和值项组成。
单击“开始”菜单中的“运行”命令,在打开的对话框中输入“regedit”,回车后即可打开注册表编辑器,如图3-6所示;在注册表编辑器中可以修改、新建或删除注册表项,也可以导入和导出注册表项。
图3-6注册表编辑器
2、注册表的内部结构
注册表是Windows的一个内部数据库,是一个巨大的树状分层的数据库。
它记录了用户安装在机器上的软件和每个程序的相互关联关系;它包含了计算机的硬件配置,包括自动配置的即插即用的设备和已有的各种设备。
注册表的外部形式是Windows目录下的两个二进制文件System.dat和User.dat,内部组织结构是一个类似于目录管理的树状分层的结构包括:
根键、子建、键值名称及键值数据。
3、注册表的日常维护
注册表被破坏后系统会有出现无法启动,无法关机;无法运行合法的应用程序。
破坏注册表的原因:
(1)向系统中添加应用程序和驱动程序。
(2)硬件被更换或被损坏。
(3)用户手工修改注册表。
4、注册表的备份与恢复
(1)使用regedit备份/恢复注册表
注册表的备份
运行“regedit”,打开“注册表编辑器”窗口。
打开“注册表”→“导出注册表文件”菜单命令,弹出“导出注册表文件”对话框。
如图3-7所示,选择注册表备份文件的保存路径、名称以及保存全部还是只保存注册表的某个分支。
根据需要设置好后,单击“保存”按钮完成注册表的备份。
图3-7导出注册表文件
注册表的恢复
打开“注册表编辑器”后,运行“注册表”→“导出注册表文件”,弹出的“引入注册表文件”对话框。
找到已经导出的注册表备份文件,单击“打开”按钮即完成注册表的恢复,恢复完成后单击“确定”按钮并重启计算机。
(2)利用注册表编辑器恢复
用引导盘启动计算机,进入Windows目录,在该目录下键入“regedit/C*.reg”,其中*reg为备份的注册表文件名,然后重新启动计算机使新的注册表生效。
3.5关闭不必要的端口
以下是一些可能被攻击的端口,一般情况下,应该要把这些端口屏蔽掉。
(1)23端口。
若这个端口开着非常的危险,这个端口主要用做TELNET登录。
Telnet服务给我们的最直接的感受就是它可以使得我们忘掉电脑与电脑之间的距离。
利用23端口的Telnet我们可以象访问本机那样访问远程的计算机。
Telnet协议的初衷是用来帮助我们对于计算机实现远程管理与维护,以提高我们的工作效率。
但在一定情况下反而成为了一个黑客攻击最常利用的一个端口。
若不怀好意的人利用Telnet服务登陆到23端口,就可以任意在对方电脑上上传与下载数据,包括上传木马与病毒等等。
(2)21端口。
这个端口主要用来运行FTP服务。
糟糕的是,这个端口,若管理不善的话,是可以用户进行匿名登陆的。
并能够利用这个端口远程登陆并运行远程命令,这也就是说,可以在远程上传木马等工具并在远程控制其运行。
同时,还可以利用FTP服务了解到攻击所需要的基本信息,如用的是什么操作系统等等;甚至能够获知可用的帐号,等等。
一般情况下,没有必要开启21号端口。
(3)135端口。
通过135端口入侵实际上就是在利用操作系统的RPC漏洞。
一般情况下,135端口主要用来实现远程过程调用。
通过RPC可以保证在一台计算机上运行的程序可以顺利地执行远程计算机上的代码。
利用这个漏洞,可以通过这个端口得到电脑上的“主机”文件。
得到这个文件后,再利用一定的工具便可以知道该电脑上可用的计算机用户名与密码,甚至是管理员的用户名与密码。
得到这个用户名之后,如可以上传木马工具,随意的查看重要的文件,并对进行破坏和窃取。
以关闭135端口的方法来举例说明端口的关闭:
1、单击“开始”——“运行”,输入“dcomcnfg”,单击“确定”,打开组件服务。
2、在弹出的“组件服务”对话框中,选择“计算机”选项。
3、在“计算机”选项右边,右键单击“我的电脑”,选择“属性”
4、在出现的“我的电脑属性”对话框“默认属性”选项卡中,去掉“在此计算机上启用分布式COM”前的勾。
5、选择“默认协议”选项卡,选中“面向连接的TCP/IP”,单击“删除”按钮。
可信计算(TrustedComputing)是在计算和通信系统中广泛使用基于硬件安全模块支持下的可信计算平台,以提高系统整体的安全性。
可信计算包括5个关键技术概念,他们是完整可信系统所必须的,这个系统将遵从TCG(TrustedComputingGroup)规范
1.Endorsementkey签注密钥
签注密钥是一个2048位的RSA公共和私有密钥对,它在芯片出厂时随机生成并且不能改变。
这个私有密钥永远在芯片里,而公共密钥用来认证及加密发送到该芯片的敏感数据
2.Secureinputandoutput安全输入输出
安全输入输出是指电脑用户和他们认为与之交互的软件间受保护的路径。
当前,电脑系统上恶意软件有许多方式来拦截用户和软件进程间传送的数据。
例如键盘监听和截屏。
3.Memorycurtaining储存器屏蔽
储存器屏蔽拓展了一般的储存保护技术,提供了完全独立的储存区域。
例如,包含密钥的位置。
即使操作系统自身也没有被屏蔽储存的完全访问权限,所以入侵者即便控制了操作系统信息也是安全的。
4.Sealedstorage密封储存
密封存储通过把私有信息和使用的软硬件平台配置信息捆绑在一起来保护私有信息。
意味着该数据只能在相同的软硬件组合环境下读取。
例如,某个用户在他们的电脑上保存一首歌曲,而他们的电脑没有播放这首歌的许可证,他们就不能播放这首歌。
5.Remoteattestation远程认证
远程认证准许用户电脑上的改变被授权方感知。
例如,软件公司可以避免用户干扰他们的软件以规避技术保护措施。
它通过让硬件生成当前软件的证明书。
随后电脑将这个证明书传送给远程被授权方来显示该软件公司的软件尚未被干扰(尝试破解)。
在可信计算科研方面,可信计算技术的主要研究机构有Stanford大学、MIT、CMU、Cambridge大学、Dartmouth大学、IBMWaston研究中心和HP实验室等,当前的主要研究方向涵盖了可信计算安全体系结构、安全启动、远程证明、安全增强、可信计算应用与测评等。
而在应用领域,可信计算最初定位在PC终端,IT厂商逐步退出了TPM芯片、安全PC、可信应用软件等产品。
随着技术进步和应用的发展,逐步转向了移动设备的应用,存储方面也在大规模发展,包括移动存储和大型的网络存储。
目前,国际TCG组织正在做下一代的可信芯片(TPM.next)标准,目标是做统一的平台模块标准,兼容包括中国、俄罗斯在内的全球各国家算法,最终目标是把可信计算芯片和体系做成统一的技术体系。
国外可信计算的研究和发展状况
从国际上来看,可信计算技术的研究及其相关产业正在成为一个热门的研究领域。
目前国际上占据可信计算技术领导地位的仍然是国际计算机软硬件领域的rI’行业巨头。
2003年9月17.日,Intel正式推出了支持Palladium的LaGrande技术,用于保护敏感信息的硬件架构,简称LT技术。
LT技术与TCG推出的PC规范有所不同,它扩展了TCG定义的可信计算的范围和功能。
其核心机制是在原来硬件的基础上增加一层可信机制,用来保护计算机可能遭受的基于软硬件的攻击。
LT是一组强化的硬件部件,包括微处理器、芯片组、I/O设备及相应软件等。
微软在2002年提出“Palladium”计划,提出了今后十年可信计算战略的目标、措施和策略,该计划是在计算机硬件中增加安全芯片,同时在Windows操作系统核心中增加新的安全模块,以构建相对安全的计算机。
2003年,微软将Palladium改NGSCB(NextGenerationSecureComputingBase),目的是构造基于硬件的新一代安全计算平台。
微软计划在下一代代号为“longhorn”的操作系统中采用该技术。
2005年,微软宣称WindowsVista操作系统支持基于TPM硬件安全功能。
2002年底,IBM发布了一款带有嵌入式安全ESS(EmbeddedSecuritySubsystem)的笔记本电脑。
ESS依靠安全子系统保存的密钥进行数据保护,只有通过身份认证,例如输入密码或通过认证设备的用户才可以解密文件。
中国可信计算研发现状
我国在可信计算的研究方面,起步较早,水平不低。
产品开发方面。
中国可信技术相关研究大概在2003到2004年起步,之后政府在各个重要科技和产业计划中都已将可信计算技术的研究与应用列入重点;学术界针对TPM/TCP、远程证明、可信计算测评、信任链构建技术、关键技术标准等方面都在积极开展研究工作;产业界也在积极研究各种基于TCM的安全解决方案;国家密码管理局和全国信息安全标准化技术委员会也在积极推进可信计算相关标准的研究与制定。
在自主可信计算发展过程中,中国可信计算工作组(ChinaTCMUnit,TCMU)发挥了重要作用。
该组织由国家密码管理局推动成立,运行过程中得到了科技部、发改委、工信部等
部委的大力支持。
TCMU在可信计算技术发展方面有一个很清晰的思路:
(1)以可信密码模块芯片TCM为核心;
(2)以可信计算平台、可信计算的基础设施、可信计算检测平台作为支撑;(3)以可信计算密码的应用、下一代安全互联网应用为发展目标,建立可信计算的应用体系。
在政府管理部门、科研界和产业界的不懈努力下,中国可信计算产业链的各个环节都有了比较强的支撑。
比如在可信密码模块、可信计算支撑平台、可信计算应用领域,自主的产业链已经适应了应用领域的需要,形成了数十亿元的细分市场,并且市场规模在急剧扩展。
当然,可信计算在国内的发展也遇到了一些问题和挑战。
首先,在互联网、金融等应用领域的推广过程中,发现互联网和金融应用里面用的主要是国际的通用算法,与中国可信计算的采用的自主算法体系存在匹配问题。
其次,TCG也在成立中国的工作组,Intel、微软也希望通过TCM渗透中国的市场,基于TCM的可信计算产品市场推广中,也遭受了国际TCG标准及产品的冲击。
最后,TCG的下一代标准也在寻求融合中国密码算法的机会。
2004年6月,武汉瑞达公司推出了国内首款自主研发的具有TPM功能的SQYl4嵌入密码型计算机,并于同年10月通过了国家密码管委会主持的技术鉴定。
该可信安全计算机是基于SSF02芯片,采用瑞达嵌入式安全模块ESM,运用硬件的系统底层设计,结合瑞达安全增强的Linux操作系统,它极大提升了PC机的安全性,主要安全功能包括平台身份识别、平台完整性校验和芯片级的安全。
2005年4月联想推出了“恒智”安全芯片,联想成为继ATLEM之后全球第二个符合TPM1.2标准安全芯片的厂商。
同年,兆日科技基于可信计算技术的PC安全芯片(TPM)安全产品也正式推出。
这些产品也通过了国
家密码管委会的鉴定。
此后不久,采用联想“恒智”安全芯片的联想开天M400S以及采用兆日TPM安全芯片(SSX35)的清华同方超翔$4800、长城世恒A和世恒s系列安全PC产品纷纷面世。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 计算机 安全 可信 计算