第四章 身份验证与访问控制.pptVIP

怎样保护系统的口令 2．Windows NT的账户口令管理 口令时效 口令时效管理用户必须多长时间修改口令。下面是能够在大多数操作系统中找到的口令时效的子组件:最大口令时效、最小口令时效、口令历史、最小口令长度、口令复杂度、加密选项 口令锁定 口令锁定是被用来对付猜测口令的主要工具。在输入的非法口令达到给定的次数之后,它禁用这个账户。这种技术在阻止远程暴力攻击或基于字典穷举口令攻击的时候特别有用。锁定的次数最好定在3~5次非法登录尝试。 账户复位 账户复位选项允许经过一段给定的时间间隔之后,选择是否让账户自动复位。启用账户复位选项通常是必要的,因为合法用户可能忘记他们的口令,特别是当接近要求改变口令的时期。 回顾：关于账号和口令维护的问题 （1）不要将口令告诉别人，也不要几个人共享一个口令，不要把它记在本子上或计算机周围。 （2）不要用系统指定的口令，第一次进入系统就修改口令，不要沿用系统给用户的缺省口令，关闭掉Unix供货商随操作系统配备的所有缺省账号。 （3）最好不要用电子邮件传送口令，如果一定需要这样做，则最好对电子邮件进行加密处理。 （4）如果账户长期不用，管理员应将其暂停。如果雇员离开公司，则管理员应及时把他的账户消除，不要保留一些不用的账号。 （5）管理员也可以限制用户的登录时间，比如说只有在工作时间，用户才能登录到计算机上。 （6）限制登录次数。为了防止对账户多次尝试口令以闯入系统，系统可以限制登记企图的次数，这样可以防止有人不断地尝试使用不同的口令和登录名。 （7）最后一次登录，该方法报告最后一次系统登录的时间、日期，这样可以提供线索了解是否有人非法访问。 （8）定期地查看日志文件，以便检查成功登录和不成功登录，定期地查看 Login Refused消息日志文件。 （9）去掉guest账号，或者更安全的方法是，根本就不创建guest账号。 （10）一定要关闭所有没有口令却可以运行命令的账号。 Windows 2000 的访问控制 Windows 2000对象 为实现安全特性,Windows 2000将系统中任何类型的所有资源都当做特殊对象来处理。这些对象包含资源本身和访问它的必要机制与程序。 Microsoft的安全性以下列对象的原则为基础： 对象代表所有的资源 对象可以包括数据和函数 所有对对象的访问首先要被Windows2000的安全子系统进行验证核实 有几种类型的对象存在,每种对象类型决定对象可以做的事情 Windows 2000中的主要对象类型有:文件、文件夹、打印机、 I/O设备、窗口、线程、进程、内存 这种结构的主要目的是保证一致性。这种设计要求所有的访问必须以相同的方式被授权,减少了安全机制被绕过的可能性。 本地的Windows2000安全子系统包括下列关键组件:安全标识号、访问令牌、安全描述符、访问控制列表。这些组件的使用和相互作用控制用户的行为。 ＊安全标识号 安全标识号(security identifier， SID）是分配给所有用户、组和计算机的统计上的惟一号码。每次一个新的用户或组被建立时,它就收到一个惟一的SID。 ＊访问令牌 登录过程的部分主要目的是：在用户被验证之后,分配给所有用户访问令牌（access tokens）。访问令牌由用户的SID、用户所属组的SID和用户名组成。 ＊安全描述符 Windows 2000中的每个对象有一个安全描述符（security descriptor）,作为它属性的一部分。安全描述符由对象所有者的SID、组的SID、访问控制列表组成。 ＊访问控制列表 访问控制列表(access control lists,ACL）有两种类型：选择性的和系统的。选择ACL保存用户和组的列表,还有它们适当的权限,或者被准许,或者被拒绝。系统ACL包含为了此对象被审核事件的列表。 ◆Windows2000安全子系统 了解了Windows 2000中的通用安全组件之后,下面将讨论Windows 2000中的软件,用于让安全措施起作用。这个软件的集合被称为安全子系统（security subsystem）。 安全子系统包括几部分: ＊Winlogon ＊图形身份认证和验证动态链接库（GINA) ＊本地安全颁发机构 (LSA) ＊验证软件包 (AP) 本地安全颁发机构 ? LSA