网络安全复习.pptx

网络安全 WEB安全 HTTP的缺点： 通信使用明文，内容可能被窃听 不验证通信方身份，可能被伪造内容 无法证明报文完整性，所以可能遭篡改 通信使用明文，内容可能被窃听 Tcp/IP是可以窃听的网络 办法： 通信加密 内容加密 不验证通信方身份可能被伪造内容 任何人都能发起请求 无法确认请求发送至目标的WEB服务是否按真实意图返回响应的那台服务器（伪造的服务器） 无法阻止DOS攻击 办法：查明对手证书 无法证明报文完整性，所以可能遭篡改 接收的内容有误 办法：数字签字散列校验的方法 HTTP+加密+认证+完整性保护 HTTPS是身披SSL外壳的HTTP 交互密钥的公开密钥加密技术 可证明组织真实性的EV SSL证书 用于query客户端的客户端证书 缺点》比ＨＴＴＰ慢２－１００倍，消耗更多内存和ＣＰＵ资源 确认用户身份 密码 动态令牌 数字证书 生物认证 ＩＣ卡 支付的基础知识 支付手段 手机 信用卡 预付 支付宝 货到付款 银行转账，电子支付 众筹 信用卡支付的信息安全 服务信息泄露 信用卡信息泄露 必须保护的信息：卡号到期日期， WEB服务对策 停止运行不需要的软件 定期实施漏洞防范措施 对不需要对外公开的端口和服务进行服务限制 提高认证强度 防范伪造攻击对策 针对DNS服务器攻击 同网段不放置可能存在漏洞的服务器 强化DNS运维 针对ARP欺骗攻击 使用SSL、TLS 使用便于记忆的域名（钓鱼网站） 防范网络监听、篡改 SSL+证书 防范恶意软件 按时进行服务器漏洞处理 不装来历不明的软件 不在服务器上做无关操作 不在服务器上使用USB等外部设备 WEB server和公司内部网络分离 服务服务器的客户端安装防病毒软件并保持更新病毒库 客户端PC通过windowsupdate等安装最新安全补丁