【活動(dòng)j結(jié)束 獲獎(jiǎng)名單公布】從近期互聯(lián)網(wǎng)企業(yè)密碼泄露探討如何構(gòu)建一個(gè)安全的系統(tǒng)

yanyangtian4502

   
本次活動(dòng)獲獎(jiǎng)ID：chenyx    king_819    tomac_cu  broadway2008  yifangyou  kns1024wh
請(qǐng)以上網(wǎng)友將自己的地址站內(nèi)信至：風(fēng)鈴之音。我們會(huì)盡快幫您快遞圖書。
感謝大家的積極參與！

  相信大家都知道,最近很多互聯(lián)網(wǎng)公司出現(xiàn)了密碼泄露的問題。怨聲載道，也引發(fā)了很多的熱議。作為技術(shù)人員，在這件“悲劇”之后，我們要想想：我們可以做些什么？無疑，首先是加強(qiáng)安全意識(shí)，進(jìn)一步的，提高安全編程，安全設(shè)計(jì)的能力。     

    同時(shí)，某些互聯(lián)網(wǎng)公司不斷的發(fā)展，和很多的第三方集成，合作，造成了安全隱患。其實(shí)這種類似的情況，在軟件開發(fā)中很常見：往往由于設(shè)計(jì)者的能力或者經(jīng)驗(yàn)等原因，考慮的不夠周密，細(xì)致，造成了“捉肩見肘”的意想不到的情況。     

    那么，我們本期就來談?wù)勛鳛橐粋�(gè)設(shè)計(jì)者，我們?nèi)绾胃�好的來設(shè)計(jì)和構(gòu)建一個(gè)系統(tǒng)，使得這樣的悲劇盡可能少的發(fā)生。

本期討論話題：
    1，如何設(shè)計(jì)一個(gè)安全的系統(tǒng)，構(gòu)建一個(gè)安全的架構(gòu)
    2，常見的安全問題剖析以及安全知識(shí)分享

活動(dòng)要求：就以上問題分享個(gè)人的經(jīng)驗(yàn)、案例，或者分享一些與安全相關(guān)的知識(shí)。

邀請(qǐng)嘉賓：yuhongchun（撫琴煮酒）集群與高可用版塊版主，高級(jí)Linux/Unix系統(tǒng)管理員
              King_819                    某大型網(wǎng)游網(wǎng)站運(yùn)維總監(jiān)

活動(dòng)時(shí)間：2011-1-4——2012-1-20

活動(dòng)有獎(jiǎng)：本次活動(dòng)我們?yōu)榇蠹覝?zhǔn)備了汪洋最新的著作《.NET應(yīng)用架構(gòu)設(shè)計(jì)：原則、模式與實(shí)踐》8本，我們將從大家回復(fù)中評(píng)選出積極參與回復(fù)的網(wǎng)友八名。

圖書樣章：http://blog.chinaunix.net/space.php?uid=23458341&do=blog&frmd=149547&view=me

chenyx

沙發(fā)支持.

yanyangtian4502

呵呵，第一個(gè)報(bào)道了��！多謝回復(fù) 2# chenyx


   

yanyangtian4502

為了鼓勵(lì)朋友們發(fā)言，我這里先挑起一個(gè)討論點(diǎn)：hash（SHA）等于數(shù)據(jù)加密嗎？

無風(fēng)之谷

支持汪洋兄的活動(dòng)~大家積極參加。有好書相贈(zèng)哇

chenyx

1，如何設(shè)計(jì)一個(gè)安全的系統(tǒng)，構(gòu)建一個(gè)安全的架構(gòu)
沒有絕對(duì)安全的系統(tǒng),Linux網(wǎng)站被黑就是做好的例子.
我們能做的,就是盡可能的考慮可能的情況,然后針對(duì)我們考慮的情況,做好安全策略.
架構(gòu)安全,防火墻策略是必不可少的,端口開放越少越好,只對(duì)外開放必要的端口,另外,需要遠(yuǎn)程管理的話,連接使用ssh,禁用ssh的密碼登陸,只用key,改ssh端口等.
2，常見的安全問題剖析以及安全知識(shí)分享
網(wǎng)站常見的攻擊,以sql注入比較常見,另外,弱密碼攻擊也是主要的因素.
弱密碼的防范,一是加強(qiáng)用戶注冊(cè)的時(shí)候的弱密碼檢查,要求用戶密碼長(zhǎng)度要達(dá)到一定要求,二是,密碼存儲(chǔ)要加密,比如discuz的md5+salt,還有帝國(guó)cms的md5(md5)(兩次md5),可以防止遠(yuǎn)程暴庫攻擊
sql注入的防范,主要是對(duì)用戶的輸入進(jìn)行過濾,我的一個(gè)方法是,在要求int類型的用戶輸入的變量,在服務(wù)器端進(jìn)行一次a=a+0的變換,確保獲得的值是int類型的(我的環(huán)境是php,弱類型語言).

chenyx

hash的方法很多,常見的比如md5,由于黑客擁有大量的md5數(shù)據(jù)庫,基本上,如果能夠獲取到加密的密文,通過查表,弱密碼很容易就被查詢得知;
sha目前看比較安全.
不過,最好還是進(jìn)行+salt或者兩次變換的方式,這樣能加大黑客破解的難度

yanyangtian4502

chenyx 發(fā)表于 2012-01-04 09:27
1，如何設(shè)計(jì)一個(gè)安全的系統(tǒng)，構(gòu)建一個(gè)安全的架構(gòu)
沒有絕對(duì)安全的系統(tǒng),Linux網(wǎng)站被黑就是做好的例子.
我們 ...

哥們，確實(shí)很對(duì)！沒有絕對(duì)的安全，很多的安全只是盡可能的使得被黑得概率變小，或者使得被黑得難度加大，這是我們做程序的人的挑戰(zhàn)，也是對(duì)黑客的挑戰(zhàn)，呵呵呵！
很多時(shí)候，僅僅安全需要軟硬件的配合！

yanyangtian4502

SHA是散列的不錯(cuò)選擇,特別是在密碼保存方面，其實(shí)SHA的也是本身也在發(fā)展，例如之前是128位，現(xiàn)在一般建議是256，甚至512位。回復(fù) 7# chenyx


   

yanyangtian4502

另外，其實(shí)我認(rèn)為：hash（SHA）不等于數(shù)據(jù)加密。

Hash(SHA)，也就是我們通常說的散列，常用被用來驗(yàn)證數(shù)據(jù)的完整性。