Windows NT2000服务器安全技术指南.doc

Windows NT/2000服务器安全技术指南 安全问题一直是最受到关注的问题。因为系统的运行经常涉及到非常敏感或非常有价值的数据，所以任何在安全问题上的漏洞都可能造成巨大的损失。 在计算机环境的安全性问题上，主要有三个需要解决的问题： (1) 用户身份的 首先需要保证正在使用系统的人就是你所授权可以使用系统的那个人，必须有方法防止有人冒名顶替或欺骗 (2) 数据存储的安全 要有完整的安全策略来保护敏感的数据，只有得到特定授权的人才可以对数据进行指定的操作 (3) 数据的安全 数据肯定需要在网络上传输，必须防止有人偷听和非法修改在网络上传递的数据，必须对数据进行加密同时，好的安全系统还要求为设置和维护安全性提供简单而有效的方法。在Windows 2000服务器家族中，提供了一系列的内置的安全特性和服务，来实现网络系统的安全性5.4.1 Windows 2000主要的安全功能 Active Directory为所有域安全策略和帐户信息提供了存储区。Active Directory 为多个域控制器提供了用户信息的副本和可用性，并可用于远程管理。 Active Directory支持用户、组和计算机帐户信息使用分层名称空间。帐户可按部门进行分组，而不像Windows NT早期版本那样只提供扁平的域帐户名称空间。 创建和管理用户或组帐户的管理员权限可以委派到部门一级。访问权限可以授予用户对象的个别属性，例如，这样可以让特定的个人或组有权重设密码，但无权修改其他帐户信息。 Active Directory 复制允许帐户在任何域控制器下进行更新，而不是只能在主域控制器 (PDC) 下进行更新。在其他域控制器（这种域控制器过去常被称作备份域控制器 (BDC) ）下进行的 Active Directory 多主控复制，会自动地进行更新并保持同步。 Windows 2000 采用了新的域模型，它使用 Active Directory 支持域的多层结构树。通过整个域树内的信任关系传递，简化了域间的信任关系管理。 公钥基础结构（PKI）是Windows 2000系统的分布式安全性的基础。公共密钥系统使用的是一对密钥，其中一个是用户的私有密钥，由用户保存在安全的地方；另一个是用户的公共密钥，公开给其他人。使用用户的公钥加密的数据，必须用用户的私钥才能解开。在Windows 2000环境中，公共密钥系统可以用于Web用户身份验证、Web服务器身份验证、安全电子邮件、IPSec、代码签名、加密文件系统等。 安全信道安全协议 (SSL 3.0/TLS) 将用户凭据以公钥证书的形式映射到原有Windows NT帐户，从而提供了强大的客户身份验证功能。一些公用管理工具，可以通过使用共享机密身份验证，或是使用公钥安全，来管理帐户信息和访问控制。 除使用密码外，Windows 2000 还支持选用智能卡用于交互式登录。智能卡支持对私钥和证书的加密及安全存储，使从桌上型电脑到域的强大身份验证成为可能。 Windows 2000为各单位提供了 Microsoft Certificate Server （ Microsoft 证书服务器），可用来将X.509版本3证书颁发给员工或商业伙伴。它引入了用于证书管理的CryptoAPI以及处理公钥证书的模块，其中包括可以管理由商业证书颁发机构 (CA)、第三方CA或Windows中的Microsoft Certificate Server 颁发的标准格式证书。系统管理员可以决定在他们的环境中哪些CA可信，从而决定客户身份验证和资源访问时哪些证书可以接受。 对于没有Windows 2000帐户的外部用户，可以使用公钥证书进行身份验证，然后映射到一个现有Windows帐户。为Windows帐户定义的访问权限决定了外部用户使用系统资源的权限。客户身份验证允许Windows 2000基于可信证书颁发机构颁发的证书，对外部用户进行身份验证。 Windows 2000提供了使用方便的工具和通用界面对话框，用户可用来管理访问Internet资源所使用的私/公钥对及证书。个人安全凭据的存储使用了安全的、基于磁盘的存储载体，可以通过推荐的行业标准协议（即 Personal Information Exchange （个人信息交换））方便地进行传输。操作系统还集成了对智能卡设备的支持。 加密技术已用多种方式加入到操作系统中，可以利用数字签名来提供经身份验证的数据流。除了签名ActiveX? 控制和用于Internet Explorer 的 Java 类之外，Windows 2000 还使用数字签名保证多种程序组件的图像完整性。内部开发人员也可以创建签名软件，以便于分发和病毒保护。 5.4.2 解决方案 1. 用户身份安全 Active