端口碰撞技术让开启端口更安全.pdfVIP

维普资讯 端口碰撞技术让开启端口更安全 沈建苗 编译 这项技术既允许对安全外壳 (SStt)等服务进行有选择的 你可能会问自己，为什么我需要这项技术?事实上，你可 远程访问，又能确保服务器的安全性。 能不需要它。这项技术只是对当前的安全性起到了加强作用， 防火墙和路由器上的每个开放端 口都是一种安全风险，这 让将来的黑客无法检测到你的受保护服务。如果远程用户不知 也是为什么一种名为 “端 口碰撞”(portknocking)的技术很 道服务器在监听某个特定的端 口，那么你就可以大大减少企图 重要的缘故。端口碰撞这种方法允许访 问预先配置好进行 “碰 危及这个端 口的次数。此外 ，黑客也不可能知道某服务器是不 撞”的防火墙服务。碰撞 由尝试访 问系统上关闭端 口的序列组 是在使用端 口碰撞技术，所以企图运用蛮力猜中正确序列的可 成。这些尝试记录在 日志里面，属于端 口监控程序，预先配置 能性微乎其微。 后，就可以监视序列、打开相应的端LJ。 “端 口碰撞”技术提供了这样一个优点：能够确保某关闭 端 口碰撞的细节 端 口在需要时才被打开。如果把端 口关闭，黑客就很难在远处 危及该端 口的相关服务。譬如说，在公共服务器 E运行SSH可 端 口碰撞的配置方法有好多种。你町以基于静态端 口序列 能便于远程管理，但这也使得任何人都可以尝试访问该系统。 来授予访问权。譬如说，可以对服务器进行设置 ，以便它在按 你可以限定哪个范围内的IP地址可以访问端 口，但这会给安 顺序接到尝试通过端 口2033、3022、6712、4998以及41l3的 全和访问本身带来难题。端 口碰撞技术却可以让你集两者之所 连接后，就开启TCP端 口22。然后对服务器进行这种设置： 长：大多数时候，这个端 口是关闭的；但知道内情的人却可以 如果接到另一个序列，或者基于定时器，就关闭该端 口。监控 从任何地方开启这个端 口。 防火墙 日志的端 口监控程序截获这些被拒绝的尝试后，就能添 加一条新的防火墙规则 ，开启所需的端口，从而授予访 问权。 概 述 还可以对端 口进行配置，以便 自动开启。首先，你要明确 是哪些端u。在本文中，我们将使用端 口1040到端 口1049。你 从网络外部发起的大多数安全事件之所以会发生，往往归 只要提供起始序列，譬如 1042、1044和 1043，服务器就能准 咎于大家非常熟悉的服务存在的问题。FTP和SSH通常容易 备好接收通过所需端 口的下一个信息。然后按端 口1042、1044 遭到各种攻击，原因就在于它们使用众所周知的端 口。因为这 和 l043的顺序发送后，服务器就会知道你想让它开启端 口 些服务通常基本上由内部用户使用，所以它们是最适合使用端 443。这种设计既提高了灵活性 ，又不用静态配置就可以开启 口碰撞技术的对象。 所需的不同端 口。 显然，我们不建议把端 口碰撞技术用于你想公众可以访问 加密通信也有可能增加额外的安全级别。如果你担心有人 的那些服务，譬如HTTP和SMTP。这些服务需要允许人们可 探测你的数据包、窃取你的碰撞序列，这种办法就很有帮助。 以从任何