第三章计算机操作系统安全.pptx

第三章计算机操作系统安全目录3.1 Windows安全3.2 UNIX安全3.3 口令安全3.1 Windows安全 Windows这个词代表一系列不同的操作系统产品，该系列产品是由美国微软公司研发的。微软公司自1985年推出Windows 1.0以来，截至2014年，推出12个版本Windows NT操作系统，见表3.1。 鉴于目前Windows系统的使用和普及程度以及Windows系统的安全风险，同时Windows 7在市场份额远远领先其他Windows版本，本节主要以Windows 7系统为例进行说明。3.1.1 Windows NT安全概述 本节简单介绍Windows系列版本的安全性。 默认的Windows Server 2003安装比默认的Windows NT或Windows 2000安装 安全许多，但是它还是存在着一些不足。 在Windows Server 2003中，微软关闭了大多数不是绝对必要的服务。即使如此，还是有一些有争议的服务默认运行。其中一个服务是分布式文件系统（DFS）服务。DFS服务起初被设计为简化用户的工作。DFS允许管理员创建一个逻辑的区域，包含多个服务器或分区的资源。对于用户，所有这些分布式的资源存在于一个单一的文件夹中。 Windows Server 2003操作系统相对其他系统来说，比较突出的一个地方就是，安全性能方面得到了进一步加强。例如，每次使用该系统默认的IE浏览器进行“网上冲浪”时，系统总是“不厌其烦”地弹出一个安全提示框，来对用户浏览的每个网页进行“阻截”提示，并要求配置确认当前网页是否安全等。图3.2 Windows 4.0安全体系结构图3.1 Windows NT安全模型图 如图3.1和图3.2所示为Windows NT安全模型图和体系结构图，其中最重要的3个组件就是本地安全授权、安全账号管理器和内核模式下的安全引用监视。 是安全子系统的一个核心组件。LSA负责使所有本地和远程的用户登录生效，生成安全访问令牌，管理本地安全策略。LSA还负责记录安全引用监视器的任何审核消息所产生的事件日志。本地安全授权（LSA） 负责用户账号数据库的控制与维护。用户账号数据库位于受到ACL保护的注册表的部分中，只允许系统程序和管理员进行访问，其中包含所有用户和组账户的信息，这些信息可以支持用户在登录期间的有效性。 SAM把登录期间所用口令的经过加密的散列值与保存在用户账号数据库中的口令的散列值进行比较，然后向LSA提供用户的SID，以及用户所在组的SID。这些SID被用来为用户的当前会话创建安全访问令牌。安全账号管理器（Security Account Manager，SAM） 负责所有的访问有效性和本地安全策略范围内的审核策略，防止大部分用户和进程对对象的直接访问，从而保证对系统内对象提供统一的保护。SRM与对象管理器（Object Manager）联合起来，可以保证访问对象的有效性，生成任何所需的审核信息。当需要访问对象时，SRM把用户访问令牌的内容与对象访问控制列表（Access Control List，ACL）的内容进行比较。如果有权访问对象，SRM就给进程分配一个句柄，并可用于所有其他类似访问。这样，以后就不需要进行访问检查。内核中运行的安全引用监视器（Security Reference Monitor，SRM） 每个Windows NT系统都有一个本地用户账号数据库，该数据库对确定域内数据库，每个工作站或服务器都有一个用于特定用户和工作组的用户账号数据库。每个域控制器都有一个用户账号数据库，该数据库对确定域内用户和工作组所有计算机有效。本地用户账号数据库用户账号数据库保存了每个用户口令的两个加密散列值① LAN Manager口令 这是为了向下兼容LAN Manager服务器。LAN Manager口令基于标准的原始设备制造商字符集，对大小写不敏感，最大长度不超过14个字符。这种口令采用数据加密标准（DES）算法加密。② Windows NT口令 Windows NT口令是基于统一字符编码标准（Unicode）双字节字符集的，并对大小写敏感，采用MD4算法进行加密。3.1.2 Windows NT中的术语1．Windows NT中的对象 在Windows NT操作系统中，大多数元素是以对象的形式来表现的。对象可以是文件、目录、存储器、驱动器、系统程序或Windows桌面等。 对象为Windows NT操作系统提供了较高的安全级。对外者来说，它们把数据隐藏起来并支持对象功能所定义的方式提供信息。这样就建立了一个保护层，它可以有效地防止外部程序直接访问网络数据。Windows NT正是通过阻止程序直接访问对象来获得高安全级的。所有对对象的操作都必须事先得到