【活動j結(jié)束 獲獎名單公布】從近期互聯(lián)網(wǎng)企業(yè)密碼泄露探討如何構(gòu)建一個安全的系統(tǒng)

yanyangtian4502

最近也是快到新年了，估計大伙都在忙著年終，新年等問題 呵呵 如果有些時間 還是希望大家多多參與活動！
畢竟2011年是不尋常的一年，發(fā)生了太多的網(wǎng)絡(luò)問題，值得我們關(guān)注

yanyangtian4502

對稱加密
對稱加密是兩種算法中速度比較快的算法。所謂的對稱加密，大家應(yīng)該不陌生了，我這里稍微的羅嗦一下：就是加密解密都是采用相同的key，我們可以認(rèn)為是key就是加密的因子。


現(xiàn)在很多的開發(fā)框架中，開始引入一個“區(qū)塊加密法”的概念。就是把將要加密的明文數(shù)據(jù)劃分為幾個長度固定的數(shù)據(jù)塊，然后分別對每一個數(shù)據(jù)塊進行加密。我們可以想想，如果只是簡單采用了這種區(qū)塊加密法的方法，那么，如果有兩個塊數(shù)據(jù)一樣，那么，加密的結(jié)果可能就一樣了，這就可能產(chǎn)生類似之前談到的“彩虹表”的問題。



為了規(guī)避這個問題，很多的開發(fā)框架或者開發(fā)語言中的加密組件 都是一種鏈?zhǔn)降募用芊绞剑?br /> 1.        選擇一個對稱加密算法
2.        創(chuàng)建一個key，這個key可以使任意的數(shù)據(jù)值
3.        創(chuàng)建一個IV。這個IV就是加密算法的初始因子，最好是一個隨機值。
4.        將明文的數(shù)據(jù)轉(zhuǎn)為字節(jié)數(shù)組
5.        用Key和IV加密明文字節(jié)數(shù)據(jù)
6.        保存好key和IV

yanyangtian4502

用一個圖描述整個加密的過程如下：

lhy0416

有個問題不太清楚，得到數(shù)據(jù)庫內(nèi)容的難度是不是比得到網(wǎng)站源代碼的難度低？

yanyangtian4502

沒有誰比誰低這一說。
很多時候都是通過多個方面來攻擊的，例如，如果你的程序有一些bug，最典型的就是程序拋出異常的時候，你沒有處理，而是讓它顯示出來，這樣，一些信息，例如數(shù)據(jù)庫的鏈接信息 等就暴露，然后黑客再根據(jù)這些信息，不斷的嘗試，最后獲取數(shù)據(jù)庫的查看，設(shè)置更多權(quán)限。從而暴庫


回復(fù) 54# lhy0416


   

rdcwayx

安全這塊，不能光談技術(shù)，其實人的問題更大。

yifangyou

   1，如何設(shè)計一個安全的系統(tǒng)，構(gòu)建一個安全的架構(gòu)
答： 1) 目前采用的OAuth系統(tǒng)統(tǒng)一認(rèn)證，這樣利于多站點擴展
       2)密碼最好用不可逆加密，并且最好加salt,這樣即使丟了數(shù)據(jù)庫，也不怕大量泄密
       3)服務(wù)器密碼盡量不傳播多人
       4）數(shù)據(jù)庫各個系統(tǒng)分離，即使一個數(shù)據(jù)庫被破也不影響其他系統(tǒng)
       5）統(tǒng)一出來輸入數(shù)據(jù)，防止不安全輸入，例如SQL注入,XSS攻擊
        
2，常見的安全問題剖析以及安全知識分享
答：1）SQL注入，在一個很大的網(wǎng)站，網(wǎng)頁成千上百個網(wǎng)頁，只要一個頁面有SQL注入，就會泄漏數(shù)據(jù)，
          要防止SQL注入，首先要對于輸入進行轉(zhuǎn)義特殊字符，例如在php.ini里有轉(zhuǎn)義輸入選項。
         不要使用數(shù)據(jù)庫root帳號。
      2）xss攻擊，一旦網(wǎng)站有可以提交Js代碼的地方，就會出現(xiàn)普通用戶或者管理員身份被盜用。
          要防止XSS攻擊，首先要在輸入處理上屏蔽一切js代碼，
         管理員關(guān)閉頁面時，必須先退出。
         可以加用戶上一次登錄時間，這樣可以防止XSS攻擊
     3）執(zhí)行系統(tǒng)命令，在web網(wǎng)站里最好禁止執(zhí)行系統(tǒng)命令，或者不要把用戶輸入傳到系統(tǒng)命令的參數(shù)中。

kns1024wh

yanyangtian4502 發(fā)表于 2012-01-04 09:18
為了鼓勵朋友們發(fā)言，我這里先挑起一個討論點：hash（SHA）等于數(shù)據(jù)加密嗎？

印象中mysql sqlserver 的字段都是支持多種類似的加密選擇的，任何一種加密算法至少都是有一定的安全等級的，對于目前出現(xiàn)的所謂的刷庫問題，簡直是對國內(nèi)從事互聯(lián)網(wǎng)行業(yè)的一個恥辱。
恥辱一、開發(fā)不注重安全性，這個是很多的開發(fā)團隊都存在的問題，架構(gòu)師不開率安全技術(shù)，那么整套開發(fā)就是一個為了完成項目而做的編碼游戲，很荒謬是不是，那CSDN來說，出現(xiàn)這個問題簡直是不可理喻的。做csdn的也就是那樣了
問題二、運維架構(gòu)或運維工程師不具備安全素質(zhì)，拿到CSDN的運維不會將數(shù)據(jù)庫放到內(nèi)網(wǎng)么？沒有銀子么？最簡單的就是多上個上檔次的交換機？木呀，為什么不做呢？？再說被刷庫的問題，如果用微軟的不及時更新補丁，N年前的系統(tǒng)還放在互聯(lián)網(wǎng)上而不在內(nèi)網(wǎng)。
問題三、沒有銀子做IDS IPS么？？這些都是有助于實現(xiàn)安全的基本措施


1，如何設(shè)計一個安全的系統(tǒng)，構(gòu)建一個安全的架構(gòu)
安全的系統(tǒng)和架構(gòu)，這個是一個很大的話題架構(gòu)、代碼、部署、運維、網(wǎng)絡(luò)等多方面的，從核心上來說安全就是從架構(gòu)的設(shè)計者就要考慮安全的實現(xiàn)策略，安全算法規(guī)則，編碼的安全級別不要編碼就有漏洞，不要使用有漏洞的開發(fā)環(huán)境進行開發(fā)；開發(fā)階段的安全測試，不要單純從代碼的功能實現(xiàn)上做測試用例，要考慮安全方面的case；運行環(huán)境的操作系統(tǒng)的安全級別選擇linux  bsd就不要用win了、linux上除了ssh其他的沒有必要的服務(wù)是沒有需要啟動的就不啟動；網(wǎng)絡(luò)系統(tǒng)的防護安全，關(guān)閉沒有必要的端口了，如有必要設(shè)置IDS IPS聯(lián)動了等等；日常的運維安全，不要root就是root，要多做點蜜罐……
2，常見的安全問題剖析以及安全知識分享
網(wǎng)站掛馬的發(fā)現(xiàn)和解決，操作日志的及時審核，文件的指紋設(shè)置，日常的安全檢查規(guī)則、密碼規(guī)則等。

yanyangtian4502

很多事情，最后談來談去，問題都在人的身上！

回復(fù) 56# rdcwayx


   

yanyangtian4502

分享的蠻不錯！多謝支持！我記下了！
回復(fù) 58# kns1024wh