【摘要】：信息安全學(xué)科可分為狹義安全與廣義安全兩個(gè)層次，狹義的安全是建立在以密碼論為基礎(chǔ)的計(jì)算機(jī)安全領(lǐng)域，早期國(guó)內(nèi)信息安全專業(yè)通常以此為基準(zhǔn)，輔以計(jì)算機(jī)技術(shù)、通信網(wǎng)絡(luò)技術(shù)與編程等方面的內(nèi)容。文章發(fā)表在《開(kāi)發(fā)研究》上，是國(guó)家級(jí)社科發(fā)表范文，供同行參考。

　　【關(guān)鍵詞】：信息化,進(jìn)銷存,優(yōu)化管理

　　信息安全本身包括的范圍很大，其中包括如何防范商業(yè)企業(yè)機(jī)密泄露、防范青少年對(duì)不良信息的瀏覽、個(gè)人信息的泄露等。網(wǎng)絡(luò)環(huán)境下的信息安全體系是保證信息安全的關(guān)鍵，包括計(jì)算機(jī)安全操作系統(tǒng)、各種安全協(xié)議、安全機(jī)制(數(shù)字簽名、消息認(rèn)證、數(shù)據(jù)加密等)。

　　直至安全系統(tǒng)，其中任何一個(gè)安全漏洞便可以威脅全局安全。信息安全服務(wù)至少應(yīng)該包括支持信息網(wǎng)絡(luò)安全服務(wù)的基本理論，以及基于新一代信息網(wǎng)絡(luò)體系結(jié)構(gòu)的網(wǎng)絡(luò)安全服務(wù)體系結(jié)構(gòu)。

　　網(wǎng)絡(luò)安全，這是個(gè)百說(shuō)不厭的話題。因?yàn)樵诨ヂ?lián)網(wǎng)上，每臺(tái)計(jì)算機(jī)都存在或多或少的安全間題。安全問(wèn)題不被重視，必然會(huì)導(dǎo)致嚴(yán)重后果。諸如系統(tǒng)被破壞、數(shù)據(jù)丟失、機(jī)密被盜和直接、間接的經(jīng)濟(jì)損失等。這都是不容忽視的問(wèn)題。既然說(shuō)到網(wǎng)絡(luò)安全，我們經(jīng)常提到要使用防火墻、殺毒軟件等等。這些的確很重要，但是人們往往忽視了最重要的，那就是思想意識(shí)。

　　一、密碼

　　看到這里也許會(huì)有讀者以為我大放網(wǎng)詞，那就先以我自己的一個(gè)例子來(lái)說(shuō)起吧。本人也很懶，但是也比較注意安全性，所以能設(shè)置密碼的地方都設(shè)置了密碼，但是密碼全是一樣的。從E-mail信箱到用戶Administrator，統(tǒng)一都使用了一個(gè)8位密碼。我當(dāng)初想:8位密碼，怎么可能說(shuō)破就破，固若金湯。

　　所以從來(lái)不改。用了幾年，沒(méi)有任何問(wèn)題，洋洋自得，自以為安全性一流。恰恰在你最得意的時(shí)候，該抽你嘴巴的人就出現(xiàn)了。我的一個(gè)同事竟然用最低級(jí)也是最有效的窮舉法吧我的8位密碼給破了。還好都比較熟，否則公司數(shù)據(jù)丟失，我就要卷著被子回家了。事后我問(wèn)他，怎么破解的我的密碼，答曰:只因?yàn)槊看慰次仪妹艽a時(shí)手的動(dòng)作完全相同，于是便知道我的密碼都是一樣的，而且從不改變。這件事情被我引以為戒，以后密碼分開(kāi)設(shè)置，采用10位密碼，并且半年一更換。現(xiàn)在還心存余悸呢。

　　密碼設(shè)的越難以窮舉，并不是帶來(lái)更加良好的安全性。相反帶來(lái)的是更加難以記憶，甚至在最初更改的幾天因?yàn)檩斎司徛粍e人記住，或者自己忘記。這都是非常糟糕的，但是密碼難于窮舉是保證安全性的前提。矛盾著的雙方時(shí)可以互相轉(zhuǎn)化的，所以如何使系統(tǒng)密碼既難以窮舉又容易記憶呢，這就是門科學(xué)了。目前這方面的書籍幾乎沒(méi)有，所以我只能憑借自我經(jīng)驗(yàn)來(lái)向大家介紹了。

　　1、采用10位以上密碼。

　　對(duì)于一般情況下，8位密碼是足夠了，如一般的網(wǎng)絡(luò)社區(qū)的密碼、E-mail的密碼。但是對(duì)于系統(tǒng)管理的密碼，尤其是超級(jí)用戶的密碼最好要在10位以上，12位最佳。首先，8位密碼居多，一般窮舉工作的起始字典都使用6位字典或8位字典，10位或12位的字典不予考慮。其次，一個(gè)全碼8位字典需要占去4G左右空間，10位或12位的全碼字典更是天文數(shù)字，要是用一般臺(tái)式機(jī)破解可能要到下個(gè)千年了，運(yùn)用中型機(jī)破解還有有點(diǎn)希望的。再次，哪怕是一個(gè)12個(gè)字母的英文單詞，也足以讓黑客望而卻步。

　　2、使用不規(guī)則密碼。

　　對(duì)于有規(guī)律的密碼，如:alb2c3d4e5f6，盡管是12位的，但是也是非常好破解的。因?yàn)楝F(xiàn)在這種密碼很流行，字典更是多的滿天飛，使用這種密碼等于自殺。

　　3、使用鍵盤外圍的按健作為密碼的組成部分。

　　現(xiàn)在的許多破解軟件都支持Incremental(漸進(jìn))方式的密碼組合進(jìn)行窮舉，其核心內(nèi)容就是引人頻率統(tǒng)計(jì)信息，即”高頻先試”的原則。所以，對(duì)于鍵盤外圍的按鍵都屬于”低頻使用”的按鍵。運(yùn)用這些按鍵組成密碼可以防止支持漸進(jìn)式組合窮舉的破解軟件。

　　4、使用左右上下按鍵結(jié)合輸人的密碼。把鍵盤從"T,G,B”三個(gè)鍵和’'Y,H、N'，三個(gè)鍵中間劃分成左右部分，從，-p”和’'A”這兩行中間劃分為上下部分，這樣鍵盤就被圍成了4部分。選取組成密碼的按鍵最好從這4部分中分別選取交叉組合，這樣做的目的是防止別人輕易看出并且記住你密碼。最好是熟練使用”CapsLock”鍵，可以達(dá)到密碼安全的最高境界。

　　5,不要選取顯而易見(jiàn)的信息作為口令。

　　單詞、生日、紀(jì)念日、名字都不要作為密碼的內(nèi)容。以上就是密碼設(shè)置的基本注意事項(xiàng)。密碼設(shè)置好了，并不代表萬(wàn)事大吉，密碼的正確使用和保存才是關(guān)鍵。1、要熟練輸入密碼，保證密碼輸人的速度要快。輸人的很慢等于給別人看，還是熟練點(diǎn)好。2、不要將密碼寫下來(lái)。密碼應(yīng)當(dāng)記在腦子里，千萬(wàn)別寫出來(lái)。3、不要將密碼存人計(jì)算機(jī)的文件中。4、不要讓別人知道。5、不要在不同系統(tǒng)上使用同一密碼。

　　二、漏洞

　　網(wǎng)絡(luò)安全性之所以這么低的一個(gè)主要原因就是系統(tǒng)漏洞。譬如管理漏洞、軟件漏洞、結(jié)構(gòu)漏洞、信任漏洞。如果管理員解決不好結(jié)構(gòu)漏洞和信任漏洞，我想這位管理員應(yīng)該可以卷著被子回家了。在此主要談?wù)撘幌鹿芾砺┒春蛙浖┒础＿@兩種漏洞產(chǎn)生的原因也是人為的。

　　1、微軟系統(tǒng)

　　這個(gè)涉及面就比較廣了，但主要是Windows9x系統(tǒng)、WindowsNT系統(tǒng)、SQLServer.不可否認(rèn)，盡管這些系統(tǒng)的內(nèi)核和組成有所不同，但通病還是有的，比如容易受到DoS(Denial O#Service，分布式拒絕服務(wù))和OOB(OutOfBand)方式的攻擊。這是比較致命的漏洞，但是通過(guò)修改注冊(cè)表、打補(bǔ)丁的方法都可以避免。但是有一點(diǎn)漏洞是不能避免的，就是在Windows系統(tǒng)下運(yùn)行IIS(Intern et InformationServer,In-tenr et信息服務(wù))，這樣約等子自殺。

　　首先，Windows下的密碼文件存儲(chǔ)時(shí)都不能經(jīng)過(guò)shadow，所以只要拿到了這個(gè)文件用相應(yīng)的軟件打開(kāi)，所有的用戶名和密碼都暴露無(wú)遺。其次，現(xiàn)在許多用戶喜歡用Windows2000，原因是不易崩潰。但是很多人都在Windows200(〕下安裝了IIS，但是他們卻不會(huì)配置IIS.最可悲的是只要你登陸到Intenr et,IIS就自動(dòng)運(yùn)行，而且端口都是固定的:默認(rèn)FPPPort21，默認(rèn)WebPort 80，默認(rèn)SMTPPort25.等于給人家大開(kāi)后門。

　　對(duì)于用SQLServer或Windows2000+IIS架站的服務(wù)器，安全系數(shù)并不如用Unix系統(tǒng)。因?yàn)閃indows固有的易崩潰的特性依然保留，對(duì)DoS的抵抗力還是太低，直到Beta2版的WindowsXP依然保留了這個(gè)特性。而且通過(guò)Ftp登陸，首先告訴你機(jī)器的IIS是什么版本，這就為攻擊服務(wù)器提供了方便，而且如果權(quán)限設(shè)置不好，anony-mous都可以使用debug，安全性實(shí)在不好。

　　2,Unix系統(tǒng)

　　我這里說(shuō)的Unix系統(tǒng)指的是和Unix有類似的系統(tǒng)，比如:SCOUnix、以前的SUN OS和現(xiàn)在的Solaris,FreeBSD,xBSD,HP和IBM的Unix.這些Unix的結(jié)構(gòu)基本相同，長(zhǎng)的差不多，區(qū)別不大，但是都有各自的漏洞。比如SUNOS的snoop命令，可以監(jiān)聽(tīng)到同一共享網(wǎng)段內(nèi)的其他用戶口令，包括超級(jí)用戶。這一點(diǎn)也被Solaris繼承了。而且這些Unix系統(tǒng)有個(gè)通病，就是在能訪問(wèn)對(duì)方機(jī)器的情況下，把，hel命令用ksh運(yùn)行，在自己能用的目錄里放上叫"，Is”之類的程序，希望超級(jí)用戶可以不小心的運(yùn)行他們，一旦運(yùn)行，就可以獲得其權(quán)限。

　　對(duì)于這一點(diǎn)，超級(jí)用戶的Path中不應(yīng)當(dāng)有”。”(既當(dāng)前目錄)。所以這就要求管理員的素質(zhì)相對(duì)的要高，可以把軟件漏洞都補(bǔ)上，同時(shí)不出現(xiàn)管理漏洞。還得防止被竊聽(tīng)。現(xiàn)在最多的漏洞出現(xiàn)在CGI上。使用這些服務(wù)最容易受到DoS方式的攻擊。CGI是Web的安全漏洞的主要來(lái)源。

　　三、總結(jié)

　　由于思想渙散造成的漏洞要遠(yuǎn)高于系統(tǒng)自身的漏洞，而系統(tǒng)自身的漏洞也是由于管理員的大意造成的。所以，加強(qiáng)思想意識(shí)上的安全教育，勢(shì)在必行。

　　學(xué)術(shù)論文國(guó)家級(jí)投稿：《開(kāi)發(fā)研究》是1985年創(chuàng)辦的我國(guó)最早研究和探討西部開(kāi)發(fā)理論的綜合經(jīng)濟(jì)類刊物，甘肅省社會(huì)科學(xué)院主辦，國(guó)內(nèi)外公開(kāi)發(fā)行。1985年創(chuàng)刊，郵發(fā)代號(hào)： 54-48。本刊堅(jiān)持學(xué)術(shù)性、時(shí)代性、創(chuàng)新性、實(shí)效性特點(diǎn)。