OperatingSystemPrinciples作业系统原理CHAPTER18系统.

• 18.5.3 編碼密碼
– 一個有開所有這些方法的共同間題是很難對密碼保密。系統如何安 全地儲存密碼，並且在使用者呈現出她的密碼時允許做認證的使 用?UNIX系統使用編碼 (encryption)密碼以避免保持它的密碼機密 的必要。每個使用者有一個密碼。系統包含有一個非常困難 (希望 不可能)逆轉的函數，但卻易於計算。也就是說，給一個旁值，則 很容易去算出人F(x)值。然而給一函數值F(x)，則不可能算出x。這 函數用來對所有的密碼做編碼。
18.1 安全性問題
1. 機密的缺口(breach of confidentiality)。違反未授權資料的讀取類型 (或 資料的 竊取)。通常，機密的缺口是入侵者的目標。截取系統或資料串 流機密的資料， (像是信用卡資料或身份竊盜者所需的身份資料)，能 對入侵者直接地產生財富。 2. 完整的缺口(breach of integrity)。牽涉違反未授權資料的修正。舉例來 說，這樣的攻擊傾向純真第三者的通過或重要商業應用程式原始碼的 修正。 3. 可用的缺口(breach of availability)。牽涉違反末授權資料的破壞。有些 破壞者大肆破壞並且獲得狀態或跨耀權利，超過財務上的獲得。網站 外表傷毀是保密 裂口這類型的常見例子。 4. 服務的竊盜 (theft of service)。牽涉違反未授權資源的使用。舉例來說， 一個侵入者 (或侵入程式)可能在檔案伺服器的系統上安裝一個daemon。 5. 拒絕服務 (denial of service)。牽涉違反避免系統合法的使用。拒絕服務 (或DOS)，有時是意外的攻擊。當一個臭蟲失敗延遲它迅速傳佈的時 候，最初的網際網路蠕蟲變成DOS攻擊。
18.4.1.1 對稱編碼 (Symmetric encryption algorithm)
18.4.1.2 非對稱編碼 (Asymmetric encryption algorithm)
18.4.1.3 認證 (authentication)
• 我們已看到編碼提供限制訊息可能接收者集合的方法，限制訊息可能 傳送者的集合就稱為認證。因此認證與編碼是互補的。
• 18.5.1 密 碼
– 最通常的方法去認證使用者身份是使用者的密碼 (passwords)。當 使用者證明自己，他必須給一密碼。如果使用者提供的密碼與存在 系統內的密碼相符，則假設他是個合法的使用者。
• 18.5.2 密碼的弱點
– 使用密碼因易於瞭解與使用，故極為普遍。很不幸地，密碼會由於 被猜出、意外的暴露或非法地從一個授權者轉移給一個非授權者而 被破壞。
18.4.1.4
鑰匙分配
18.4.2 • 18.4.3 範例: SSL
密碼學的製作
– SSL3．0是一種讓兩台電腦安全地通信的密碼協定，換言之，彼此 可以限定訊息的傳送者和接收者。也許這是今日最常使用的密碼協 定，因為它是網頁瀏覽器和網頁伺服器問安全通信的標準協定。
18.5 使用者認證(User authentication)
Operating System Principles 作業系統原理
CHAPTER 18 系統安全性
CHAPTER 18 系統安全性
18.1 18.2 18.3 18.4 18.5 18.6 18.7 18.8 18.9 安全性問題 程式威脅 系統和網路威脅 以密碼學為安全性工具 使用者認證 安全性防禦的製作 保護系統和網路的防火牆 電腦保密等級 例子:Windows XP
• 18.2.4 堆疊和緩衝區的溢位(Stack/Buffer overflow)
– 堆疊或緩衝區的攻擊是系統外面、網路上，或是按接連線攻擊者 獲得目標系統非授權存取的最常見方法。系統的授權使用者也可以 使用這種方法增加權限 (privilege escalation)獲得超出該使用者的特 權。基本上，這種攻擊使用到程式的錯誤。
18.4
以密碼學為安全性工具
• 由方法學到技術學全面性執行時，有許多防禦電腦攻堅的方法。系統 設計師和使用者最常使用的工具就是密碼學(cryptography)。
• 18.4.1 編碼
– 編碼技術時常被用於許多現代電腦的外觀。編碼是限制訊息可能接 收者的一種方法。編碼演算法讓訊息傳送者達成，只有擁有某一種 鑰匙的電腦才能讀取訊息。當然，訊息的密碼技術是一個遠古的練 習，始於在羅馬將軍之前，已經有許多編碼演算法。
• 18.6.2 弱點評估
– 我們如何決定安全性策略是否已經正確地製作呢?最好的力法是執 行弱點評估。這樣的弱點評估討論很廣闊，由社交工程到危險評估 (risk assessment)到埠掃描。
• 18.6.3 侵入偵測
– 安全的系統和設備緊密地連結到侵入偵測。侵入偵測 (intrusion detection)就如其名所示，它試圖偵測出任何意圖或成功侵入電腦系 統者，並且對侵入行為發出適當的反應。
• 18.2.5 病毒(virus)
– 另一種程式威脅是病毒(virus)。病毒是自身複製並且設計成 "感染"其它程式。可能 在系統中造成大破壞，包含了修改或破壞檔案、造成系統損毀和程式不正常動作。 病毒是在合法程式中嵌入程式碼的片段。在大部份侵入攻堅中，病毒對電腦架構、 作業系統和應用程式是非常特殊的。病毒是個人電腦使用者的一項特別問題。通常 UNIX和其它多使用者電腦不容易受到病毒困擾，因為可執行程式受到作業系統保 護而無法寫入。即使病毒感染到一個程式，它的效能仍然受限，因為系統其它方面 受到保護。病毒通常經由電子郵件誕生，大部份以垃圾郵件當做帶菌者。當使用者 由網路共用檔案服務交換下載病毒的程式或交換感染磁碟以散播病毒。 病毒傳播的 其它常用型式使用Microsoft Office檔案，如Microsoft word文件。這些檔案包含巨集 (或Visual Basic程式)，巨集是一套 Office (Word, PowerPoint和 Excel)中會自動執行 的程式。因為這些程式在使用者自己的帳戶中執行，巨集可以大規模自動地執行 (例如，任意刪除使用者檔案)。通常，病毒也將電子郵件傳送自己給使用者其它連 絡人。這裏有一個程式碼範例顯示出寫visual Basic巨集的簡單性，當檔案含有的巨 集開啟，病毒使用Visual Basic巨集格式化Windows電腦的硬碟: SubAutoOpen() Dim oFS Set oFS=CreatObject(''Scripting.FileSystemObject'') vs=Shell(''C: /k format c:'', vbHide) End Sub
• 18.5.5 生物統計
– 密碼認證的另一種變化是生物統計的使用。掌上型或是手持型的讀 入機器對於安全之硬體存取十分普遍，例如對於資料中心的存取。 這些讀入機器將儲存的參數和從手持式讀入機讀入的資料做比對。 參數可能包括溫度圖，以及手指長度、手指寬度和線條形狀。目前 這些設備使用在一般電腦驗證上太大，而且太貴。
18.6 安全性防禦的製作
• 18.6.1 安全性策略
– 任何增進電腦外觀安全性的第一步是要有安全性策咯 (security policy)。策略變化範圍廣泛，但通常包含要保密什麼的敘述。沒有 策略存在，使用者和管理員不可能知道什麼是可允許的、什麼是需 要的以及什麼不被允許的。策略是一個安全性道路地圖，如果網站 嘗試由低安全移到較高安全，則需要地圖才知道如何到達那異。
• 18.6.4 病毒保護
– 就如我們所瞭解，病毒能而且在系統上進行大肆破壞。因此安全性 最關心的是免於病毒的保護，通常防毒程式提供這種保護。有些防 毒程式能有效對抗特定的已知病毒，防毒軟體在系統中藉由搜尋組 成已知病毒指令的特定式樣。當防毒軟體發現一個已知式樣，進行 程式消毒 (disinfecting)(移去指令)。防毒程式可能有防毒程式搜尋 的成千病毒目錄。
• 18.2.2
陷阱之門(Trap Door)
– 程式或系統設計者可能會在軟體內留下一個僅供自己使用之陷阱。 這種型態的保密漏洞或陷阱之門(trap door)在電影War Games中已上 演過。比方說，該程式碼可能檢查某一特定使用者或密碼以迴避正 常的安全檢查程序。曾經有程式人員藉著在他們的程式碼中加入錯 誤的四捨五入，註偶爾出現的半分錢進入到他們的帳號，以盜取銀 行的例子。這個帳號的金額可能累加到一筆很大的金額，這可以想 像一家銀行所執行的交易數目得知。 – 聰明的陷阱之門可以將它放在編譯器之內。該編譯器可產生標準的 目的碼和陷阱之門，而不論其原始程式為何。這是一項非常惡劣的 行為，因為就算檢查原始程式亦無法發現任何安全性問題。只有在 編譯器中才包含該ojan horse)
程式威脅
– 許多系統有允許使用者所寫程式被其它使用者使用的方法。如果這 些程式在提供正在執行的使用者存取權利的定義域中，它們可能誤 用這些權利。例如在一個內在的文字編緝程式中可能要去被編輯的 程式中尋找某關鍵字 (keyword)，如果有任何發現，則整個檔案可 能拷貝到一個可被文字編輯器的產生器存取的特別區域。一個程式 碼分段誤用它的環境稱為木馬 (Trojan horse)。 – 木馬的另一種變化是間諜軟體(spyware)間諜軟體有時伴隨在使用 者已選擇安裝的程式。最常見的是它以免費軟體或共享軟體程式在 一起，但是有時它和商業的軟體包含在一起。間諜軟體的目標是下 載廣告到使用者的系統上顯示以及拜訪特定網站的時候，自動產生 跳出瀏覽器器視窗 (Pop-up browser windows)或由使用者系統截取 訊息並且將訊息歸還中心網站。後者的模式是一般種類攻擊的一個 例子稱為隱密通道(covert channels)，隱密通道發生秘密的通信。
• 18.3.3 拒絕服務(denial of service)
– 大部份拒絕服務的攻擊都是攻堅者不曾侵入的系統。事實上，發動 阻止合法使用的攻串通常比入侵一台機器或設備容易。這些攻擊通 常是以網路為基礎。它們分成兩種類型。第一種情況的攻擊是使用 掉許多設備資源，造成實際上沒有任何工作可以執行。 – 第二種情況牽涉到混亂設備的網路。曾經有一些對主要網站造成無 法服務的成功攻擊。它們是因為對於一些TCP/IP 基本功能的濫用 所造成。例如，如果攻擊者送出 "我希望開啟一個TCP連結"的部份 協定，但是卻永遠沒有 "連結已完成"的標準跟隨在後，則因為有 一些部份開啟的TCP區段而用光系統的所有網路資源，因而無法有 任何有效的TCP連結。這種攻擊可能持績數小時或幾天，因而造成 目標設備使用的部份或完全失效。