第 9 章主机系统安全技术

第9章主机系统安全技术 可信计算技术数据库安全技术 9.2 9.3 9.1 操作系统安全技术 9

9.1 操作系统安全技术 1. 操作系统安全的概念操作系统安全具有如下两层含义：一是指操作系统在设计时，提供的权限访问控制、信息加密性保护、完整性鉴定等安全机制所实现的安全；其次，是指操作系统在使用过程中，通过系统配置，以确保操作系统尽量避免由于实现时的缺陷和具体应用环境因素而产生的不安全因素。只有通过这两个方面的同时努力，才能最大可能地保证系统的安全。操作系统安全包括了对系统重要资源（存储器、文件系统等）的保护和控制，只有经过授权的用户和代表该用户运行的进程才能对计算机系统的信息进行访问。一般意义上讲，操作系统安全是指该系统能够通过特定的安全功能控制外部对系统信息的访问。

9.1 操作系统安全技术 操作系统作为用户与计算机系统的交互界面和环境，是计算机及其网络系统的第一道安全屏障，也是入侵者的首选目标；同时，操作系统也是计算机及其网络系统运行的基础，它的安全性成为计算机系统、网络系统和建立在此基础上的各种应用系统安全性的基础。如果一个操作系统安全性较差，很难想象保证建立在这样的操作系统基础之上的各种应用系统的安全性。操作系统既是计算机软件的基础 ,也是整个计算机系统安全的基础 ,如果在底层硬件上的安全性是可信的 ,那么 ,没有操作系统提供的多种安全机制 ,数据库、网络和其他应用软件的安全问题将不可能从根本上解决 ,信息安全只是 “沙地上的城堡 ” 。

9.1 操作系统安全技术 2. 隔离控制操作系统隔离控制主要有物理隔离、时间隔离、逻辑隔离和密码隔离。物理隔离是指在物理设备或部件一级进行隔离，使不同的用户程序使用不同的物理对象。如不同安全级别的用户分配不同的打印机特殊用户的高密级运算甚至可以在CPU一级进行隔离，使用专门的CPU运算。时间隔离是指在不同时间段中执行不同的进程。逻辑隔离是指多个用户进程可以同时运行，但用户感到自己的程序执行并未受到其他进程的影响。密码上隔离是指进程以一种其他进程不可见的的方式隐藏自己的数据及计算。对用户的口令信息或文件数据以密码形式存储 ,使其他用户无法访问。这几种隔离实现的复杂性按序号逐步递，而其安全性则是逐步递减，前两种方法降低硬件资源的利用率而后两种方法主要依赖操作系统的功能实现。

9.1 操作系统安全技术 3. 系统登录和用户管理系统的登录过程是整个操作系统安全的第一步，这一步的操作主要是要求系统有比较安全的登录控制机制、严格的口令管理机制和良好的用户管理机制。 1）登录控制要严格首先应当避免用户绕过登录控制机制直接进人到系统中，如linux操作系统中的单用户登录模式。为了提高系统登录的安全性 ,常用的措施有：限制用户只能在某段时间内才能登录到系统中；减少系统登录时的提示信息；限制登录次数 ,比如有人连续几次（如3次）登录失败,终端与系统的连接应自动断开等安全措施。

9.1 操作系统安全技术 2）系统的口令管理历史上的系统入侵事件有80%写都与口令破解攻击行为有关，也就是说很多时候不是系统的安全性不高，是系统的口令控制和管理给系入侵者留下了可以利用的空档。为了提高口令的安全性，还应当养成比较好的口令管理和使用习惯。首先必须保证系统中的口令应当具有比较高的安全性，即口令的长度应当6个字符以上、口令应当是数字和字母及其它字符的随机组合、口令应当避免取字典中的单词、口令应当与用户信息无关等；其次口令应当定期更换，而且在不同的场合应当使用不同的口令；最后注意保存密码，通称密码应用用大脑记忆，不要将口令记录在书、本、纸张中。

9.1 操作系统安全技术 3）良好的用户管理用户管理和控制的安全与否是整个操作系统能否安全的另外一个十分重要的方面。首先应当注意系统中的Guest用户和默认的网络匿名登录用户，这些用户是操作系统被如侵者选择攻击的一个重要的跳板；其次，要管理好系统中的工作组，避免一般的用户与管理员用户在一个组中；最后，还要控制好用户的系统操作权限，禁止普通用户随意在系统中安装软件，尤其是盗版软件。作为系统的管理员，应当定期查看系统的用户日志和审计信息，以尽快发现和堵住系统的安全隐患。

9.1 操作系统安全技术 3. 访问控制访问控制的基本任务是保证对客体如文件、程序或存储器等的所有直接访问都是被认可的。它通过对程序与数据的读、写、更改和删除的控制，保证系统的安全性和有效性，以免受偶然的和蓄意的侵犯。 4. 安全审计安全审计指对系统中有关安全的活动进行记录、检查及审核。其主要目的是检测和阻止非法用户对计算机系统的入侵，并对合法用户的误操作进行显示。审计作为一种事后追查手段保证系统的安全性。

9.1 操作系统安全技术 5. 内核机制操作系统内核是指大多数操作系统的核心部分。它由操作系统中用于管理存储器、文件、外设和系统资源的那些部分组成。操作系统内核通常运行进程，并提供进程间的通信。在通用操作系统中，内核操作包含了进程调度、同步、通信、消息传递及中断处理。安全内核则是负责实现整个操作系统安全机制的部分，提供硬件、操作系统及系统其他部分间的安全接口。安全内核通常包含在系统内核中，而又与系统内核逻辑分离。

9.2 数据库安全技术 1. 概述计算机数据库安全技术是伴随着计算机安全技术和数据库技术的发展而不断发展和提升的。从某种意义也可以说，数据库的安全是数据库系统的生命。数据库的安全决定储存在数据库里的信息的安全性。数据库技术应用和数据库系统建立的领域越广泛涉及到的重要的商业利益和要害信息就会越多，这就使得对数据库安全要求更为突出。数据库安全已经成为计算机安全技术的重要组成部分。数据库安全是指保护以防止非法用户的越权使用、窃取、更改或破坏数据。

9.2 数据库安全技术 2. 数据库系统的安全需求 1）数据库的完整性数据库系统的完整性主要包括物理完整性和逻辑完整性。物理完整性是指保证数据库的数据不受物理故障（如硬件故障、掉电等）的影响，并有可能在灾难性毁坏时重建和恢复数据库。逻辑完整性是指对数据库逻辑结构的保护，包括数据的语义完整性与操作完整性。前者主要指数据存取在逻辑上满足完整性约束，后者主要指在并发事务中保证数据的逻辑一致性。

9.2 数据库安全技术 2）数据库的保密性数据库的保密性是指不允许未经授权的用户存取数据。一般要求对用户的身份进行标识与鉴别，并采取相应的存取控制策略以保证用户仅能访问授权数据，同一组数据的不同用户可以被赋予不同的存取权限。同时，还应该能够对用户的访问操作进行跟踪和审计。此外，还应该控制用户通过推理的方式从经过授权的已知数据获取未经授权的数据，造成信息泄露。 3）数据库的可用性数据库的可用性是指不应该拒绝授权用户对数据库的正常操作，同时保证系统的运行效率并提供用户友好的人机交互。

9.2 数据库安全技术 3. 安全模型安全模型也称策略表达模型，是一种抽象的、独立于软件实现的概念模型。数据库系统的安全模型是用于精确描述数据库系统的安全需求和安全策略的有效方式。在多级安全模型中，客体（各种逻辑数据对象）被赋予了不同的安全标记属性（密级）；主体（用户或用户进程）根据访问权限也被分配不同的许可级。主体根据一定的安全规则访问客体，以保证系统的安全性和完整性。一般多级安全模型还能对系统内的信息流动进行控制。传统模式中关系定义需要修改以支持多级关系。同时，传统关系模型中关系的完整性约束及关系上的操作也需要改进以保证安全性。因此，数据库系统的多级安全模型是以多级关系数据模型为基础的。

9.2 数据库安全技术 4. 备份与恢复数据备份与恢复是实现数据库系统安全运行的重要技术。数据库系统总免不了发生系统故障，一旦系统发生故障，重要数据总免不了遭到损坏。为防止重要数据的丢失或损坏，数据库管理员应及早做好数据库备份，这样当系统发生故障时，管理员就能利用已有的数据备份，把数据库恢复到原来的状态，以便保持数据的完整性和一致性。一般来说，数据库备份常用的备份方法有：静态备份（关闭数据库时将其备份）、动态备份（数据库运行时将其备份）和逻辑备份（利用软件技术实现原始数据库内容的镜像）等；而数据库恢复则可以通过磁盘镜像、数据库备份文件和数据库在线日志三种方式来完成。

9.3 可信计算技术 1. 概述为了解决计算机和网络结构上的不安全，从根本上提高其安全性，必须从芯片、硬件结构和操作系统等方面综合采取措施，由此产生出可信计算的基本思想，其目的是在计算和通信系统中广泛使用基于硬件安全模块支持下的可信计算平台，以提高整体的安全性。可信是指“一个实体在实现给定目标时其行为总是如同预期一样的结果”。强调行为的结果可预测和可控制。可信计算（Trusted Computing）是指一个可信的组件，操作或过程的行为在任意操作条件下是可预测的，并能很好地抵抗不良代码和一定的物理干扰造成的破坏。

9.3 可信计算技术 2. 可信计算的功能 — 确保用户唯一身份、权限、工作空间的完整性/可用性。 — 确保存储、处理、传输的机密性/完整性。 — 确保硬件环境配置、操作系统内核、服务及应用程序的完整性。 — 确保密钥操作和存储的安全。 — 确保系统具有免疫能力，从根本上阻止病毒和黑客等软件的攻击。

9.3 可信计算技术 2. 可信计算平台特性 — 定义了可信平台模块TPM TPM：Trusted Platform Module — 定义了访问者与TPM交互机制通过协议和消息机制来使用TPM的功能。 — 限定了TPM与计算平台之间的关系必须绑定在固定计算平台上，不能移走。 — TPM应包含密码算法引擎和受保护的存储区域

9.3 可信计算技术 3. 可信计算平台特性 — 定义了可信平台模块TPM TPM：Trusted Platform Module — 定义了访问者与TPM交互机制通过协议和消息机制来使用TPM的功能。 — 限定了TPM与计算平台之间的关系必须绑定在固定计算平台上，不能移走。 — TPM应包含密码算法引擎和受保护的存储区域

案例 —在1991年海湾战争爆发前，美军计算机专家利用伊拉克从法国进口计算机打印机用于其防空系统的机会，在伊拉克的打印机内换装了有计算机病毒的一套芯片。海湾战争爆发后，美军将其激活，使伊拉克防空系统瘫痪，从而保证了空袭的成功。 —2008年，俄罗斯攻入格鲁吉亚前夕，利用网络战破坏其计算机网络，导致其政府网站、银行系统全部瘫痪。 —1988年，德国汉诺威大学计算机系24岁的学生马蒂亚斯·斯佩尔将自己的计算机同美国军方和军工承包商的30台计算机连接，在两年时间内收集了美国国防部的大量机密信息。

案例 —其中有关于“星球大战”计划、北美战略防空司令部核武器和通信卫星等方面的资料，震惊了美国国防部和联邦调查局。 —1994年12月，美国海军学院的计算机系统被不知名的黑客所袭击。袭击者从英国、芬兰、加拿大和美国的堪萨斯大学和亚拉巴马大学发动进攻。他们攻击了24个服务器，在其中的8个植入了“嗅探程序”（这是一种植入计算机系统后可截取其数据，如密码等程序）。1个主要路由器被破坏，1个系统的名字和地址被改变，使得合法用户无法进入该系统。除此之外，1个系统的备份文件和来自其他4个系统的文件被删除，其它6个系统被破坏，2个加密密码文件被破坏，12000多个密码被窜改，海军无法估计损失究竟有多大，也没能抓住作案者。

案例 —2005年5月，美国四家大银行的约50万客户的电子账户记录被不法分子窃取，并被转手卖给了债务公司。这4家大银行分别是总部设在北卡罗莱纳州的美国银行公司和瓦霍维亚银行公司，新泽西州的切尔希里商业银行和匹兹堡国民商业银行公司。 —2005年6月，美国万事达国际公司宣布，由于该公司的安全疏漏，全美4000多万名用户的银行资料面临泄密风险，可能导致客户的直接利益受损。发生泄密的原因是，有黑客侵入了“信用卡第三方付款处理器”的网络系统，据称，这可能是目前为止美国最大的金融数据泄密事件。 —2006年12月份，美国花旗银行遭难，丢失390万客户信用卡敏感信息。

手机在待机状态下也能泄密？ 在待机状态下，手机也要与通信网络保持不间断的信号交接，产生电磁频谱，所以很容易被识别、监视和跟踪。还有一些手机本身就具有隐蔽通话功能，可以在不响铃，也没有任何显示的情况下由待机状态转变为通话状态，泄露天机。即使我们把手机关闭，也未必绝对安全，持有特殊仪器的技术人员仍可遥控打开我们的手机话筒。还有些“居心叵测”的手机早在制造过程中就在芯片中植入特殊功能，只要有电池，手机就会悄悄地把我们说的话接收下来，自动通过卫星发送给“感兴趣的人”。只要将手机放在身边，我们就毫无秘密可言。

谢谢大家！

第 9 章 主机系统安全技术