网络安全培训讲义(PPT 106页).ppt

* 防范方法—邮件服务器 对于邮件服务器提供方来说，采用的SMTP身份验证机制。 原来使用SMTP协议发送邮件的时候并不需要任何验证，身份欺骗极易实现。现在将POP协议收取邮件需要用户名/密码验证的思想移至到SMTP协议，发送邮件也需要类似的验证。绝大多数邮件服务提供商都是采用的这种做法，通常是使用与接收邮件相同的用户名和密码来发送邮件。 采用这种方法之后，虽然SMTP协议安全性的问题仍然无法从根本上得到解决，但是电子邮件欺骗已经变得不像过去那么容易了。 * 防范方法—PGP加密 还有一种可能的解决方法是使用公钥加密，其中应用最广泛的就是PGP邮件加密。 PGP (Pretty Good Privacy) 是一个可以让您的电子邮件拥有保密功能的程序。藉此你可以将你的邮件加密 ，一旦加密后，邮件看起来是一堆无意义的乱码 。PGP 提供了极强的保护功能，即使是最先进的解码分析技术也无法解读加密后的文字。 PGP 加密与解密不像其它传统加密的方式，而是以公钥密码学为基础的。 * 防范方法—PGP加密（2） 举例来说，当你要传送一封保密信或档案给某人时，必须先取得那人的公钥（Public Key），然后利用这个公钥将信件加密。当某人收到您加密的信件后，他必须利用相应的私钥(Secret Key) 来解密。因此，除非其它人拥有收信者的私钥，否则无法解开发信人所加密的信件。同时，收信人在使用私钥解密时，还必须输入通行码，如此又对加密后的邮件多了一层保护。 Email欺骗攻击 Email欺骗的防护 查看邮件原文，检查真正的发件服务器地址 通过邮件链接网页的时候，注意真正的网站地址 在不同的应用中，尽可能使用不相同的、无关的密码 第7章 第2节 * Web欺骗攻击 Web欺骗攻击原理 攻击者通过伪造某个WWW站点的影像拷贝，使该Web的入口进入到攻击者的Web影像服务器，并经过攻击者机器的过滤作用，从而达到攻击者监控受攻击者的任何活动以获取有用信息的目的 第7章 第3节 * Web欺骗攻击 Web欺骗方法 改写URL Web中的脚本 第7章 第3节 * * Web欺骗的概念 Web站点给用户提供了丰富多彩的信息，Web页面上的文字、图画与声音可以给人深刻的印象。在计算机世界中，我们往往都习惯各类图标、图形，代表各类不同的含义。 人们往往还会在事件的时间先后顺序中得到某种暗示。如果在单击银行的网页时username对话框同时出现了，用户自然会认为应该输入在该银行的账户与口令。如果你在单击了一个文档链接后，立即开始了下载，那么你很自然地会认为该文件正从该站点下载。然而，以上的想法不一定总是正确的。 Web欺骗的概念 Web欺骗是一种电子信息欺骗，攻击者创造了一个完整的令人信服的Web世界，但实际上它却是一个虚假的复制。 虚假的Web看起来十分逼真，它拥有相同的网页和链接。然而攻击者控制着这个虚假的Web站点，这样受害者的浏览器和Web之间的所有网络通信就完全被攻击者截获。 * * Web欺骗的概念 由于攻击者可以观察或者修改任何从受害者到Web服务器的信息，同样地，也控制着从Web服务器发至受害者的返回数据，这样攻击者就有发起攻击的可能性。 攻击者能够监视被攻击者的网络信息，记录他们访问的网页和内容。当被攻击者填完一个表单并发送后，这些数据将被传送到Web服务器，Web服务器将返回必要的信息，但不幸的是，攻击者完全可以截获并使用这些信息。 * Web欺骗的概念 在得到必要的数据后，攻击者可以通过修改受害者和Web服务器两方任何一方数据，来进行破坏活动。攻击者可以修改受害者的确认数据，攻击者还可以修改Web服务器返回的数据。 * Web欺骗的工作原理 Web欺骗能够成功的关键是在受害者和真实Web服务器之间插入攻击者的Web服务器，这种攻击常被称为“中间人攻击(man-in-the-middle)”。 * Web欺骗的工作原理 为了建立这样的Web服务器，攻击者要完成以下工作： 攻击者改写Web页中的所有URL地址，使它们指向攻击者的Web服务器不是真正的Web服务器。例如， 将变为/。 * Web欺骗的工作原理 当用户单击改写过的 /连接，将进入的是 /，再由/向 /发出请求并获得真正的文档，这样攻击者就可以改写文档中的所有链接，最后经过/返回给用户的浏览器。 * Web欺骗的工作原理 工作流程如下所示： 用户访问伪造过的/ /向 /请求文档； /向/返回文档； /改写文档中的所有URL； /向用户返回改写后的文档。 Web欺骗攻击 改写URL ① email with html links seems like Microsoft ① ② ② / ③ ③ ④ ④ html page with links