Windows家族的安全性

台风
Windows家族是最为著名的操作系统,从最早的Windows 3.1开始到Windows 95/98、Windows NT
3.51、Windows NT 4.0、Windows CE一直到即将推出的Windows 2000,几乎每个产品都引起了用户的
关注和赞誉,获得了良好的市场业绩。此文将就Windows家族的安全性进行阐述。 众所周知,信息安全对今天
的网络系统来说,是一个非常关键的问题,它涉及到从硬件到软件、从单机到网络的各个方面相配合的安全性机
制。而Windows操作系统的安全性是整个网络系统安全体系中的基础环节。
今天,企业越来越向Internet开放,企业网络和Internet网络之间的区分已经不再明显。企业需要采用基于
Internet的技术,与业务伙伴、供货商和顾客进行交互作用,Windows 安全性也成为在企业网络、Internet和
Intranet中控制资源访问权限的关键因素。
安全性的基本框架
安全性是一个非常辩证的话题,既不能对安全性掉以轻心,(你知道吗,80%的攻击来自于企业内部);也不能
因为对安全性的过分恐惧而拒绝采用先进的技术。根据安全专家的介绍,在信息技术中,安全性分为五个层次:网
络层的安全性、系统层的安全性、用户层的安全性、应用层的安全性和数据层的安全性。
网络层的安全性体现在网络通讯、防火墙、侦测非法侵入等方面;系统层的安全性体现在防病毒、风险控制、安全
性审计等方面;用户层的安全性体现在用户和用户组的管理、单次登录、身份验证等方面;应用层的安全性体现在
权限控制和授权等方面;数据层的安全性体现在加密技术上。
获得高安全性,只有技术的因素是远远不够的,往往管理的因素会占很大的比重。我们需要高素质的技术人才、良
好的管理流程和先进的安全技术相结合才能获得真正意义上的安全性。
Windows的安全性介绍
您知道吗:微软不推荐在企业中使用Windows 95或Windows 98,因为它们是为了家庭用户或个人用户所设计
的,没有加入强有力的安全机制。但是,请注意,这并不是说,使用Windows 95或98是不安全的,系统本身没
有任何的漏洞,只要付之以强有力的管理手段,它们仍然是足够安全的。
目前,微软推荐企业用户采用Windows NT Workstation 4.0作为企业用户的桌面系统。原因是Windows NT
是符合美国国家安全署的C2级安全标准的,即身份验证、权限控制、对象重用和审计等安全要求。简单来说,如
果企业采用了Windows NT Workstation 4.0作为桌面系统,管理员可以限制普通用户在桌面上的权限,保护
系统不受破坏,能够改变跟在用户后面扑火的被动局面,真正做到桌面管理高枕无忧。
这个过程是这样的:首先在计算机上安装Windows NT Workstation 4.0或者购买已经预装了Windows NT
Workstation 4.0的计算机,把它加入到域中,这样的话域管理员就可以管理这台电脑了。然后,把域用户组从
本地用户组中去掉,再把需要在这台计算机上工作的用户加入到这台计算机的本地用户组中,这个过程可以用
CUSRMGR命令行来完成。就这么简单,保证可以减少管理员50%以上的桌面管理工作,再辅之以微软的
Systems Management Server 2.0可以完成软件远程安装、远程控制等,确实是一个理想的解决方案。
作为Windows NT Server 4.0来说,首先也是符合美国国家安全署的C2级安全标准的,然后需要良好的技术知
识和管理手段,就可以保证系统的安全性。根据微软技术支持中心提供的资料显示,对Windows NT Server
4.0最常见的攻击无外乎以下三种情况:1)在服务器上通过GetAdmin黑客工具,获得管理员的权限,这个问题
已经在SP4之中有Hotfix;2)服务否认问题,指的是不停地向服务器发请求导致服务器资源耗尽而挂起的问题,
一旦发现,马上会发布Hotfix;3)猜口令的攻击,为了避免这种攻击就需要采用强的口令,比如8个字符以上、
包括大小写和阿拉伯数字和特殊符号、三个月要求换一次、以及不能重用口令等。
另外需要说明一下BackOriffice 2000,这个黑客程序需要在服务器上安装一个软件才能运行,而这是每个尽职的
管理员都不会允许的,所以它并不构成对安全性的严重威胁。最近关于"NSA Key"的传闻,也是不准确和没有根
据的,微软没有向任何第三方提高一个备份密钥,微软保存一个备份密钥的目的是防止在丢失主钥的时候需要为千
万个Windows用户重新签署软件的麻烦,不会对用户构成任何威胁。
如果用户对于安全性非常关注,微软建议用户去www.microsoft.com/security 站点去了解第一手的信息和订
阅免费的电子邮件,微软会以第一时间通知用户安全性的问题和修正措施。针对国内的具体情况,我们也和中国的
安全算法厂家合作,开放安全性接口,把国内的安全算法结合到Windows系统中,满足用户高安全性的需要。
Windows 2000的安全性设计
作为新一代的企业级网络系统,Windows 2000相比Windows 98和Windows NT 4.0在安全特性方面的设计
注重了三个方面:
对于基于Internet的新型企业的支持:帮助它们突破原有的企业网络和Internet的界限,满足移动办公、远程工
作,和随时随地接入全球数字神经系统(Internet)进行通信和电子商务的需要。新一代的Extranet应用由此应运
而生。
微软在Windows 2000中提供的是一个安全性框架,并不偏重于任何一种特定的安全特性;即微软不是提供给用
户一个锤子,让用户去找个钉子就拼命去敲。新的安全协议、加密服务提供者或者第三方的验证技术,可以方便地
结合到Windows 2000的"安全服务提供者接口"(SSPI,Security Service Provider Interface)中,供用户
选用。
Windows 2000意识到用户对于向下兼容的需要,完全无缝地对Windows NT 4.0的网络提供支持,提供对
Windows NT 4.0中采用的NTLM(NT LAN Manager)安全验证机制的支持。用户可以选择依照自己的步调迁移
到Windows 2000中对替代NTLM的Kerberos安全验证机制。
Windows 2000中的验证服务架构请见下图:

从上图中可以看到,通过安全服务提供者接口(Security Service Provider Interface,SSPI),Windows
2000实现了应用协议和底层安全验证协议的分离。不管是NTLM、Kerberos、Secure Channel (Schannel,
是web访问的常用验证方法),还是DPA(Distributed Password Authentification,社团/内容网站常用的验
证方法),它们对于应用层来说都是一致的。应用厂商还可以通过微软提供的Platform SDK产品包中的Security
API来开发自己的验证机制。
正因为采用上述的安全机制,Windows 2000实现了如下的特性:数据安全性、企业间通信的安全性、企业和
Internet网的单点安全登录、以及易用和良好扩展性的安全管理。
1. 数据安全性
Windows 2000所提供的保证数据保密性和完整性的特性,主要表现在以下三个方面:
用户登录时的安全性:从用户登录网络开始,对数据的保密性和完整性的保护就已经开始了。Windows 2000借
助Kerberos和PKI等验证协议提供了强有力的口令保护和单点登录。
网络数据的保护:包括在本地网络上的数据或者穿越网络的数据。在本地网络的数据是由验证协议来保证其安全性
的。如果需要更高的安全性,还可以在一个站点(Site,通常指一个局域网或子网)中,通过IP加密(IP Security,
简称IPsec)的方法,提供点到点的数据加密安全性。
存储数据的保护:可以采用数字签名来签署软件产品(防范运行恶意的软件),或者加密文件系统。加密文件系统
基于Windows 2000中的CryptoAPI架构,实施DES加密算法,对每个文件都采用一个随机产生的密钥来加
密。加密文件系统不但可以加密本地的NTFS文件/文件夹,还可以加密远程的文件,不影响文件的输入输出。其恢
复策略由Windows 2000的整体安全性策略决定,具有恢复权限的管理员才可以恢复数据,但是不能恢复用来加
密的密钥。
2. 企业间通信的安全性
Windows 2000为不同企业之间的通信,提供了多种安全协议和用户模式的内置的集成支持。它的实现可以从以
下三种方式中选择:1) 在目录服务中创建专门为外部企业开设的用户账号:通过Windows 2000的活动目录,
可以设定组织单元、授权或虚拟专用网等方式,并对它们进行管理。2) 建立域之间的信任关系:用户可以在
Kerberos或公用密钥体制得到验证之后,远程访问已经建立信任关系的域。3) 公用密钥体制:电子证书可以用
于提供用户身份确认和授权,企业可以把通过电子证书验证的外部用户映射为目录服务中的一个用户账号。
3. 企业和Internet网的单点安全登录
当用户成功地登录到网络之后,Windows 2000透明地管理一个用户的安全属性(Security Credentials),而
不管这种安全属性是通过用户帐号和用户组的权限规定(这是企业网的通常做法)来体现的,还是通过数字签名和电
子证书(这是Internet的通常做法)来体现的。先进的应用服务器都应该能从用户登录时所使用的安全服务提供者
接口(SSPI)获得用户的安全属性,从而使用户做到单点登录,从而访问所有的服务。
结束语
Windows家族的安全性已经足够满足企业的需要,而且将在公开密钥、电子证书和智能卡安全方案等方面继续进
步;重要的是,用户需要了解安全性的基本原理、针对自己的实际情况提高安全意识、加强安全防范,冷静、客观
地对待安全性问题,才是一个科学的态度。祝愿广大用户在享受信息技术所带来的方便、快捷的同时,也可以获得
安全性的保障。
微软(中国)有限公司产品经理 殷建松 1999年9月
※编辑: modico 于 2000-12-1 22:08:09 在 [202.117.82.2] 编辑本文

不是大地震得让我们站不稳
而是双腿抖得让自己迈不开
.
Welcome to openlab/web!
expel
这个是OL史上最久贴,还没人做沙发

inertia
ilovrene
额。。。。。。。。。。。。。。。。。。。。。。。。。。。。

-———————————————————————————————————————————————————-
流言止于智者


i'bidem
这个是OL史上最久贴,还没人做沙发


你这沙发搭到猿人的坟墓里了


萝卜gg
留影

人生是杯具
人生就像茶几,上面摆满了杯具。
为党说话....

大家快來看啊,i'bidem挖到一顆東非肯尼亞原始人類的頭顱化石。


为党说话
ilovrene
围观沙发

-———————————————————————————————————————————————————-
追风老人
确实够老、、、

WillWay
确实

······
vs01
收了

------------------------------------------------------------------------
spy_plus


i'bidem
这个是OL史上最久贴,还没人做沙发
十年挖一坟啊,sf奇才啊……


想回到过去。
阳光下的一砣冰

传说星期天出生的孩子,会得到祝福