光电工程师社区

标题: 个人用户网络安全 [打印本页]

作者: suncon 时间: 2004-2-5 10:26
标题: 个人用户网络安全
个人用户网络安全

现今越来越多的电脑爱好者上网，网络安全也就为越来越多人所关心。许多网虫说网络是“自由的世界”，可正是这个“自由的世界”没有法规守则，就有一些人利用网络的漏洞去蓄意攻击一般的网友。所以当你尽情地在网上冲浪时，小心别触礁哦！
密码安全
　　上网后大家首先就会接触到密码，我们会在许多地方用到它，你的密码尤其是上网帐户密码一旦被人窃取，后果是非常严重的！下面我就给大家讲讲怎样保护密码的安全：
　　◎. 对一些重要的密码尽量采用数字与字符相混杂的口令，多用特殊字符，诸如%、、#、和$,而且最好不要用有意义的单词、生日和电话号码等。你必须保证你的密码不易被人猜中。
　　◎.在上网拨号程序中除非出于必要请尽量不要保存口令。因为Windows会将口令保存到以PWL为后缀的文件中，别人（尤其是有机会接近或读取你机器的人）一旦获取该文件，就可以用Pwlview这样的黑客工具获得你的帐户口令，盗用你的帐号上网！
　　◎.上网后就会知道，要求设置密码的情况有很多。提醒你一句，每个密码最好不同！（什么？你记不住？笨，拿个本记下来）因为攻击者一般在破获一个密码后，会用这个密码去尝试用户每一个需要口令的地方！想想看，别人用一个口令慢慢地盗用你的帐号上网；再去偷看与冒发你的E-mail；也许还会用你的身份去聊天室损害你的形象；去泡你常泡的MM（我真不敢想象）。
　　◎. 许多网上的商业站点要求你设置个人密码，千万不要使用与你的ISP帐户相同的密码。某些站点为了方便会把这个密码存在你的浏览器的缓存文件或者cookie中，这也就意味着任何站点都能看到你设置的密码(只要它想看），于是你的帐户密码就泄露出去了。
　　◎. 你必须经常更改口令，重要的密码在一个月内至少更改一次。因为这样即便黑客当时破译了你的密码，你也会在密码被人滥用之前将其改变。
　　◎. 最后一点关键：不要向任何人透露你的密码，特别是别人问起时。一些攻击者常常冒充你的ISP，编一些类如：由于系统更新，需要你的密码之类的谎话。千万不要上当！要知道你的ISP是不会向你问口令密码的。

后门程序
　　前一段时间,上网的朋友许多都被一个叫Back Orifice的软件吓唬住了!因为听说黑客可以随意地删加你计算机中的文件、可以随意开关你的计算机。于是弄得大家网也不敢上,饭也不敢吃。（是吗？）唉……有这么严重吗？其实它就是一个基于WINDOWS的远端控制软件。类似的软件还有：Netspy（网络间谍）、Provmon等等。但是他们的工作原理都是一样的。首先把服务（Server）端程序给欲攻击方，并且执行它。攻击者自己就运行客户器（Client）端程序来控制欲攻击方。这类软件又叫“特洛伊木马程序”。原理说白了就是攻击者在知道你的IP地址后再来攻击你，所以就不是那么可怕了。防治的方法也有许多：
　　1．你一旦接受到一个不明的程序，就有可能是一个后门程序。攻击者常把后门程序换一个名字用MAIL发给你，并骗说一些：“这是个好东东，你一定要试试”，“帮我测试一下程序”之类的话。你一定要注意了！下面我把常见的后门程序的大小告诉大家：Boserver（122K）、Netspy（127K）、Xspy（118K）。
　　2．上网觉得不对劲时（仿佛感觉有人在遥远的地方关心你），你就按Ctrl+Alt+Del看看系统是否运行了什么其他的程序，你马上停止它。然而有些程序如Back Orifice并不显示在Ctrl+Alt+Del的进程列表中，所以如果你安装的是Win98，最好运行“附件”/“系统工具”/“系统信息”，然后双击“软件环境”，选择“正在运行任务”，赫然看见“ .EXE”，此乃BoServer(Back Orifice的服务器程序）！
找到程序后立即终止它！再看看程序从何而来。一般你可以看看WINDOWS注册表中HKEY_LOCAL_MACHING\SOFTWARE\Microsoft\Windows\CurrentVersion\下的RunService和RUN主键里查找这些程序，然后删掉它。
　　3．你应该注意你常去的地方是不是把你的IP显示了出来（特别是一些聊天室），你一定要小心了！可能攻击你的人就是这样才能控制你的。因为我们拨号上网的用户IP是动态的，你每次上网的IP是服务器随机分配给你的，所以自己的IP如果不让人知道，是不会遭到袭击的。
　　4．我在不久前的《电脑报》上看见一个倒霉蛋，她的计算机一直被人控制着，害得她只有偷偷上网。唉……其实她只要重装操作系统就行了。这是最简单的治疗后门程序的办法（也是最笨的）。
知道了后门程序的原理，大家可以松一口气了。大家接着往下看……

网上交流
　　
　　◎ WEB聊天
　　相信大家在网上交流的方式中最常用、最直接的就是在聊天室聊天了。与一些朋友轻松讨论问题，开开玩笑，真是舒坦！可是攻击者就利用网上的漏洞，从中作梗妨碍大家的交流。（真是可气……哇……）
现在的许多WEB聊天室支持使用HTML语句，当然这在一定程度上给了大家方便。但是攻击者完全可以利用这个让你“下课”！我列出这些聊天室的漏洞，大家一定听好了：
　　1. 攻击者常常发给你（或大家！）一个足以让你死机的HTML语句。如一个死循环：a herf=onmousever=while(ture){window.close(’/’)}。因为HTML语句是不会在聊天室显示出来的，所以你遭攻击可能还不知道！防治的办法是在你的浏览器中预先关闭你的JAVA脚本。方法是：打开WINDOWS的控制面板中的“INTERNET选项”，点击“安全”,然后选择“自定义”设置。可以看见里面有一个选项叫“脚本”/“活动脚本”,单击检查框打上勾使其“禁用”，还有一个“JAVA”选项你也把他禁用了，然后确定，OK！
　　2．另外有的聊天室会把你聊天用的密码写入你的缓存里面，想想如果你不幸中了后门程序，被一个黑客的阴影笼罩，他正好去读你的缓存，你的聊天密码又正好与上网密码相同，呜呼……提醒你如果遇上这样的聊天室最好每次清理你的缓存（WINDOWS目录下的Internet Temp文件夹），删掉一些文件名含有你密码的文件，才能保证你聊天的安全问题！

　　◎ ICQ
　　之所以提一下ICQ，是因为它太不保险了！虽然它的确方便了网友的联系，可是它会把你最重要的IP地址泄露出去。（哈哈，我仿佛听见你在笑我猪头了。）是的，ICQ是可以在系统里关掉显示IP（打开ICQ选择menu/security privacy，在“security”选项页选中“don’t allow others to see my IP adress”）。可是你知道不？网上有一种工具只要你在网上，输入你的ICQ号，就可以知道你的IP地址（哈哈，知道厉害了吧，让我来笑你吧）。解决办法只有你上网后，把ICQ状态设置为隐身（在任务栏的ICQ图标上点右键选status/privacy （invisible)）。这样攻击者才不知道你在网上！或者就干脆不要用ICQ了（哎哟，谁丢的西红柿？）……

E-mail
　　电子邮件大概是网上用得最广也是最令人放心不下的了。它太不安全、太不可靠也太脆弱了！我们最后才讲它是因为它同时又太重要了！好吧，这里就向你提供一个全面的邮件安全与邮箱保护方案。

　　◎.安全邮件与数字签名
　　由于越来越多的人通过电子邮件进行重要的商务活动和发送机密信息，而且随着互联网的飞速发展，这类应用会更加频繁。因此保证邮件的真实性（即不被他人伪造）和不被其他人截取和偷阅也变得日趋重要。因为我们知道：用许多黑客软件如Email Bomber能够很容易地发送假地址邮件和匿名邮件，另外即使是正确地址发来的邮件在传递途中也很容易被别人截取并阅读。这些对于重要信件来说是难以容忍的。下面我们就以Outlook Express为例介绍发送安全邮件和加密邮件的具体方法。
　　在Outlook Express中可以通过数字签名来证明你的邮件的身份，即让对方确信该邮件是由你的机器（注意：是机器！）发送的。Outlook Express同时提供邮件加密功能使得你的邮件只有预定的接收者才能接收并阅读它们，但前提是你必须先获得对方的数字标识（不懂？下面慢慢解释给你听）。
　　要对邮件进行数字签名必须首先获得一个私人的数字标识（Digital ID,你的数字身份证）。所谓数字标识是指由独立的授权机构发放的证明你在Internet上身份的证件，是你在因特网上的身份证。这些发证的商业机构将发放给你这个身份证并不断效验其有效性。你首先向这些公司申请数字标识，然后就可以利用这个数字标识对你写的邮件进行数字签名。如果你获得了别人的数字标识那么你还可以跟他发送加密邮件。下面我们简单阐述一下数字标识的工作原理。
　　数字标识由“公用密钥”、“私人密钥”和“数字签名”三部分组成。你通过对发送的邮件进行数字签名可以把你的数字标识发送给他人，这时他们收到的实际上是公用密钥，以后他们就可以通过这个公用密钥对发给你的邮件进行加密，你再在Outlook Express中使用私人密钥对加密邮件进行解密和阅读。数字标识的数字签名部分是你的电子身份卡，数字签名可使收件人确信邮件是您发送的，并且未被伪造或篡改。
说了这么多，下面具体来介绍一下数字标识的申请和使用。
　　1、数字标识的申请
　　既然数字标识有这么大的作用（如果你是大老板的话），那么不掏点银子是不太现实的（每年才9.95美元），不过我们可以先申请一个免费的数字标识感受一下。
　　目前Internet上有较多的数字标识商业发证机构，其中VeriSign 公司是 Microsoft 的首选数字标识提供商。通过 VeriSign 的特别馈赠，Microsoft Internet Explorer 4.0 用户均可获得一个免费使用60天的数字标识。下面就以该公司为例介绍申请方法：最简单的方法就是在Outlook Express中选择“工具”/“选项”/“安全”，点击“获取数字标识”，这时将自动拨号并连接到Outlook Express申请数字标识的页面，点击“Verisign”即可。也可以直接进入VeriSign公司的申请页面http://www.verisign.com/client/index.html，选择右边黄底上的第一项“TRY IT”，在后一页面选择”Class 1 Digital ID”即可。
　　申请时将要求你添一张表，按提示填入您的个人信息及电子邮件地址，填表时有一项叫“Challenge Phrase”，它直译叫做“盘问短语”，是当你想取消数字标识时Verisign公司确认你是否是合法拥有者的询问口令。如果你不能正确答出这个短语你的数字标识将一直使用到期满为止，注意该口令不能包含标点。还有一项“Payment Information”是针对收费用户的，如果你在前面选的是“I’d like a free 60-day trial Digital ID”即先试用60天，则此项不填。
　　确认无误并提交后，过一会儿您就会收到一封Verisign公司发来的电子邮件，其中就包含您的数字标识PIN。一般情况下你只需简单地按最后那个“NEXT”按钮就可以继续了，不过有时可能会提示上一页面错误（笔者就曾遇到），建议您直接将回信末尾提供的PIN记下来然后到https://digitalid.verisign.com/ getidoutlook.htm去继续下一步。这时你只需在要求输入Digital ID PIN的框内输入你收到的PIN然后点击“Retrieve button”即可。如果一切顺利的话，这时将开始安装你的数字标识到本机的Outlook Express中，你的申请也大功告成了！

　　2、对邮件进行数字签名
　　获得数字标识以后，就可以通过Outlook Express很容易地对您所发送的电子邮件进行数字签名。如果你希望对所有待发的邮件都进行数字签名，请选择“工具”/“选项”，选择“安全”选项页，在“在所有待发邮件中添加数字签名”检查框前面打上钩选中即可。如果你只希望对某一封邮件进行数字签名的话，只需在撰写邮件时将“数字签名邮件”按钮（）按下即可。当你对邮件数字签名以后该邮件将出现签名图标（），你的数字签名可以使别人确认邮件确实是从你这儿发出去的，并且可以保证邮件在传送过程中不会被改变。但是假如预定的接收者的电子邮件收发软件不支持S/MIME协议，他仍然可以阅读数字签名的邮件，这时你的数字签名只是简单地作为一个附件附在邮件的后面。

　　3、对电子邮件加密
　　对电子邮件加密可以使之在传递途中不被别人截取并阅读，因为只有具有私人秘匙的用户才能正确地打开加密邮件，非法用户看到的只是编码以后的数字和字母，即使你也只能在Outlook Express中正确读出。你的私人秘匙在安装数字标识时装到了你的Outlook Express中的，因此你（也只有你）能正常阅读该邮件。Outlook Express会根据私人秘匙自动解秘邮件。需要说明的是：别人要给你发加密邮件必须先获得你的公用秘匙，因为Outlook Express需要利用你的公用秘匙来对发给你的邮件进行加密运算，最后你收到时会自动由你的私人秘匙对邮件解秘。由于你的签名邮件的数字标识里就包含了你的公用秘匙，所以别人获得你的公用秘匙的方法是简单地将数字标识保存到地址簿中。方法如下：(1) 打开签名邮件； (2) 从“文件”菜单中选择“属性”； (3) 单击“安全”一栏； (4) 单击“加入地址簿”按钮。OK！
　　现在你大概应该明白了吧？你如果想向对方发送加密邮件，对方必须申请有数字标识而且必须先由对方发封签名邮件给你，你再将他的数字标识保存到地址簿中，以后你就可以向他发加密邮件了。Outlook会自动检查地址簿中是否有收件人的数字标识，如果没有，是不允许你发送加密邮件的！
　　如果你希望对所有待发的邮件都进行加密，请选择“工具”/“选项”，选择“安全”，在“对所有待发邮件的内容和附件进行加密”检查框前面打上钩选中即可。如果你只希望对某一封邮件进行加密的话，只需在撰写邮件时将“加密邮件”按钮（）按下即可。邮件加密后将出现加密图标（）

　　◎. E-Mail炸弹与邮箱保护
　　E-MAIL炸弹并非空穴来风，越来越多的人受到这种或成功或失败的“信骚扰”。对于E-MAIL炸弹治疗，《新潮电子》第10期有重点介绍，大家自己去看吧。关于E-Mail炸弹的彻底预防现在还没有一个真正全面有效的方法，下面推荐一种比较可行的方法，就是利用转信服务。
　　目前比较流行的转信服务在一定程度上能够解决特大邮件攻击的问题。如果你去申请一个转信信箱（如www.126.net），利用转信站提供的过滤功能，可以将那些不愿看到的邮件统统过滤删除在邮件服务器中，或者将那些广告垃圾邮件转移到别处，最坏的情况无非是抛弃这个被人盯上的免费E-mail。具体方法（以126信箱为例）是在进入126转信信箱后选择“过滤邮件”在“新建过滤器框”内设置好你不愿看到的邮件的相关信息，然后在“则转到”里面填写你准备用来牺牲的免费信箱即可。如果你想拒绝接收特大邮件或某个特定地址的邮件，则在“拒收邮件”中设置。

　　◎. 邮件附件
　　大家都知道利用E-MAIL可以发送一些小型的程序软件。正是如此，一些人利用它给你发一个带有烈性病毒附件的MAIL让你的计算机翘辫子或者发一些后门程序给你，时时刻刻在看着你的网上动静。（真让人害怕呀……）所以你就要严密的把好关：看好每一个附件！看看发信人是否可靠。收到附件先不要急着去执行，要拿出你的杀毒软件从容的杀N遍。要方方面面都确定安全才可以用。

欢迎光临光电工程师社区 (http://bbs.oecr.com/)