计算机及网络系统安全策略.pptx

Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,*,单击此处编辑母版标题样式,单击此处编辑母版副标题样式,单击此处编辑母版标题样式,单击此处编辑母版副标题样式,第4章,计算机及网络系统安全性,4.1计算机系统安全保护机制,4.2计算机系统安全等级,4.3计算机开机口令验证机制,4.4Windows 95/98/ME安全保护机制,4.5利用注册表提升Windows 95/98/ME安全性,4.6Windows 98系统安全策略编辑器,4.7Windows 95/98/ME缺点和防范办法,4.8计算机文档保密问题,4.9本章小结,练习题,计算机及网络系统安全策略,第1页,计算机和网络工作站是当前应用最广泛设备，计算机网络安全在很大程度上依赖于网络终端和客户工作站安全。当前计算机系统安全级别尤其低，几乎没有进行尤其有力防范办法。在未联网单机时代，安全问题造成损失较少，并未引发人们注意。处于网络时代今天，未加保护计算机系统联入网络，因为非法用户入侵、计算机数据破坏和泄密，将会给人们造成无法估量损失。所以，了解和掌握计算机及网络系统安全保护机制，加强安全防范办法，使计算机系统变得愈加安全，已变得非常必要。,本章主要讨论相关计算机系统安全方面内容，包含：,计算机及网络系统安全策略,第2页,计算机系统安全保护机制；,评定计算机系统安全等级；,计算机BIOS程序安全设置和保护机制；,计算机BIOS程序密码破解和防范措施；,Windows 95/98/ME有关安全保护机制；,非法用户入侵Windows 95/98/ME方法和防范措施；,Windows 95/98/ME对等网络中权限和安全机制；,计算机Word文档保密问题。,计算机及网络系统安全策略,第3页,4.1 计算机系统安全保护机制,伴随计算机技术发展，计算机系统安全越来越被人们所关注。非授权用户经常对计算机系统进行非法访问，这种非法访问使系统中存放信息完整性受到威胁，造成信息被修改或破坏而不能继续使用，更为严重是系统中有价值信息泄密和被非法篡改、伪造、窃取或删除而不留任何痕迹。要保护计算机系统，必须从技术上了解计算机系统安全访问控制保护机制。,为了预防非法用户使用计算机系统或者正当用户对系统资源非法访问，需要对计算机实体进行访问控制。比如，银行信息系统自动提款机为正当用户提供现款，但它必须对提款用户身份进行识别和验证，对提款行为进行监督控制，以预防非法用户欺诈行为。,计算机及网络系统安全策略,第4页,存取控制主要包含授权、确定存取权限和实施权限3个内容。一个计算机系统存取控制仅指本系统内主体对客体存取控制，不包含外界对系统存取(其中主体指使用网络系统用户和用户组，客体指网络系统中系统资源，如文件、打印机等资源)。所以，实施存取控制是维护系统运行安全、保护系统资源主要技术伎俩。,存取控制是对处理状态下信息进行保护，是确保对全部直接存取活动进行授权主要伎俩；同时，存取控制要对程序执行期间访问资源正当性进行检验。它控制着对数据和程序读、写、修改、删除、执行等操作，预防因事故和有意破坏对信息威胁。存取控制必须对访问者身份和行为实施一定限制，这是确保系统安全所必须。,计算机及网络系统安全策略,第5页,要处理上述问题，需要采取两种办法：,识别与验证访问系统用户；,决定用户对某一系统资源可进行何种访问(读、写、修改、运行等)。,4.1.1 用户识别和验证,要求用户在使用计算机以前，首先向计算机输入自己用户名和身份判别数据(如口令、标识卡、指纹等)，方便进行用户识别与验证，预防冒名顶替和非法入侵。,所谓“识别”，就是要明确访问者是谁，即识别访问者身份。必须对系统中每个正当用户都有识别,计算机及网络系统安全策略,第6页,能力，要确保识别有效性，必须确保任意两个不一样用户都不能含有相同标识符。经过惟一标识符(1D)，系统能够识别出访问系统每一个用户。,所谓“验证”，是指在访问者申明自己身份(向系统输入它标识符)后，系统必须对它所申明身份进行验证，以防假冒，实际上就是证实用户身份。验证过程总是需要用户出具能够证实他身份特殊信息，这个信息是秘密，任何其它用户都不能拥有它。识别与验证是包括到系统和用户一个全过程。只有识别与验证过程都正确后，系统才能允许用户访问系统资源。,利用物理锁能够对一些主要资源实施控制。只要,计算机及网络系统安全策略,第7页,把需要保护系统资源用锁锁上，而钥匙由自己掌握，那么没有钥匙人是不能访问受到保护资源。在这里，ID相当于钥匙，系统依据不一样ID可对其分配对应不一样可使用资源。但拥有钥匙用户不一定是正当拥有者，所以需采取验证技术证实用户正当身份，这种技术能够有效地预防因为ID非法泄露所产生安全问题。口令机制是一个简便验证伎俩，但比较脆弱。生物技术，如利用指纹、视网膜技术等，是一个比较有前途方法。,当前计算机系统最惯用验证伎俩仍是口令机制，它经过下述各种方法来加强其可靠性。,口令需加密后存放在系统数据库中，普通采取单向加密算法对口令进行加密。,计算机及网络系统安全策略,第8页,要使输入口令次数尽可能降低，以防意外泄露。,当用户离开系统所属组织时，要及时更换他口令。,不要将口令存放在文件或程序中，以防其它用户读取该文件或程序时发觉口令。,用户要经常更换口令，使自己口令不易被猜测出来。,4.1.2 决定用户访问权限,对于一个已被系统识别与验证了用户，还要对其访问操作实施一定限制。能够把用户分为含有以下几个属性用户类。,计算机及网络系统安全策略,第9页,特殊用户：这种用户是系统管理员，含有最高级别特权，能够对系统任何资源进行访问，并含有全部类型访问、操作能力。,普通用户：即系统普通用户，他们访问操作要受到一定限制，通常需要由系统管理员对这类用户分配不一样访问操作权力。,审计用户：这类用户负责整个系统范围安全控制与资源使用情况审计。,作废用户：这是一类被拒绝访问系统用户，也可能是非法用户。,计算机及网络系统安全策略,第10页,4.2 计算机系统安全等级,为了对一个计算机系统进行安全评定，美国国防部按处理信息等级和应采取对应办法，将计算机安全分为：A、B、C、D 4等8个级别，共27条评定准则。从最低等级D等开始，到A等。伴随安全等级提升，系统可信度随之增加，风险逐步降低。,下面，对每个安全等级内容和要求作简明说明。,4.2.1 非保护级,D等是最低保护等级，即非保护级。它是为那些经过评定，但不满足较高评定等级要求系统设计，只含有一个级别。该等是指不符合要求那些系统。所以，这种系统不能在多用户环境下处理敏感信息。D级并非没有安全保护功效，只是保护功效太弱。,计算机及网络系统安全策略,第11页,4.2.2 自主保护级,C等为自主保护级，含有一定保护功效，采取办法是自主访问控制和审计跟踪。它普通只适合用于含有一定等级多用户环境，并含有对主体责任和对他们初始动作审计能力。它各级提供无条件安全保护，并经过审计追踪，对主体及其产生动作负责。这一等级分为Cl和C2两个级别。,1.自主安全保护级(C1级),其存取控制基础是以指名道姓方式，提供了各用户与数据隔离，以符合自主安全要求。它包含了若干可信控制方式，能在个体基础上实施存取限制，即允许用户保护他自己项目和隐私信息，预防他数据被别用户无意读取或破坏。,计算机及网络系统安全策略,第12页,Cl级经过提供用户与数据隔离，就能够满足市场可信计算机(TCB，trusted computing base)自动安全要求。所谓可信计算机是一个安全计算机系统参考校验机制。它包含全部负责实施安全策略，以及对保护系统所依赖客体实施隔离操作系统单元，简单地说，即全部与系统安全相关功效均包含在TCB中。,在这一级，TCB应在命名用户和命名客体之间定义和进行访问控制。它用机理(如个人组公共控制、访问控制表)应允许客体拥有者指定和控制客体是由自己使用，还是由用户组或公共使用。该级需要在进行任何活动之前，TCB去确认用户身份(如采取口令)，并保护确认数据，以免未经授权,计算机及网络系统安全策略,第13页,对确认数据访问和修改。经过用户拥有者自主定义和控制，能够预防自己数据被别用户有意或无意地读出、篡改、干涉和破坏。同时提供软件和硬件特征，并定时检验其运行正确性。系统完整性要求硬件和软件能提供确保TCB连续有效操作特征。,当前生产大多数计算机系统都能到达这一等级，但这级系统不一定要经过严格评价。评价为Cl级多是依据系统一些特点。,2.可控安全保护级(C2级),在C2级，计算机系统比C1级有更详细自主访问控制。经过注册过程，同与安全相关事件和资源隔离，使得用户操作有可查性。在安全方面，除,计算机及网络系统安全策略,第14页,具备Cl级全部功效外，还提供授权服务。而且可提供控制，以预防存取权力扩散。应确定用户动作或默认客体提供保护，防止非授权存取。它可指定哪些用户能够访问哪些客体，未经授权用户不得访问已指定访问权客体。同时还提供了客体再用功效，即对于一个未使用存放客体，TCB应该能够确保该客体不包含未授权主体数据。,在这首先，除含有Cl级全部功效外，还提供惟一识别自动数据处理系统中各个用户能力；提供将这种身份与该客体用户发生全部审计动作相联络能力。C2级系统能与该识别符合，可审计全部主体进行各种活动；能对可信计算机(TCB)进行建立和维护，对客体存取审计进行跟踪，并保护审计信息，预防被修改、毁坏或未经授权访问。,计算机及网络系统安全策略,第15页,TCB还能统计以下类型事件：确认和识别安全机理使用，将客体引入一用户地址空间，客体删除，操作人员、系统管理人员和安全管理人员进行各种与安全相关活动。,对每个审计事件，审计统计应包含：用户名、事件发生时间、事件类型、事件成功或失败等。,对于确认事件，请求源(如终端ID)也应包含在审计统计中。,对于客体进行访问事件，审计统计应包含客体名。,自动数据处理系统管理人员应能经过识别符，有选择地审计任一用户或多个用户活动。,除Cl级要求外，TCB还必须保留一特定区域，以防外部人员篡改。因为TCB控制资源是以主体,计算机及网络系统安全策略,第16页,和客体定义子集，TCB应与被保护资源隔离，以使存取控制更轻易，从而到达审计目标。DEC企业VAXVMS操作系统、Novell企业NetWare系统和Microsoft企业Windows NT/都被确认为C2级。,4.2.3 强制安全保护级,B等为强制保护级，这一等级比C等级安全功效有很大增强。它要求对客体实施强制访问控制，并要求客体必须带有敏感标志，可信计算机利用它去施加强制访问控制。这一部分可分为Bl、B2、B3共3级。,计算机及网络系统安全策略,第17页,1.标识安全保护级(B1),从本级开始，不但有自主存取控制，还增加了强制存取控制，组织统一干预每个用户存取权限。本级含有C2级全部安全特征，并增加了数据标识，以标识决定已命名主体对该客体存取控制。本级还要求在测试过程中发觉缺点应该已全部排除。,2.结构化保护级(B2),从本级开始，按最小特权标准取消权力无限大“特权用户”。任何一个人都不能享受操纵和管理计算机全部权力。本级将系统管理员与系统操作员职能隔离，系统管理员对系统配置和可信设施进行强有力管理，系统操作员操纵计算机正常运行。本级将强制存取控制扩展到计算机全部主体,计算机及网络系统安全策略,第18页,和全部客体，而且要发觉和消除能造成信息泄漏隐蔽存放信道。为此，本级计算机安全级结构，将被自行划分为与安全保护相关关键部分和非关键部分。,3.安全域级(B3),本级在计算机安全方面已到达当前能到达最完备等级。按照最小特权标准，本级增加了安全管理员，将系统管理员、系统操作员和安全管理员职能隔离，使其各司其职，将人为原因对计算机安全威胁减至最小。本级要求在计算机安全级结构中，没有为实现安全策略所无须要代码。它全部部分都是与保护相关关键部件，而且它是用系统工程方法实现，其结构复杂性最小，易于分,计算机及网络系统安全策略,第19页,析和测试。本级审计功效有很大增加，不但能统计违反安全事件，而且能发出报警信号。本级还要求含有使系统恢复运行程序。,4.2.4 验证安全保护级,A等是验证保护级。它显著特征是从形式设计规范说明和验证技术导出分析，并高度地确保正确地实现TCB。其特点是使用形式化验证方法，以确保系统自主访问和强制访问，控制机理能有效地使该系统存放和处理秘密信息或其它敏感信息。该等级分为A1和超A1两个级别。,1.验证设计级(A1级),本级安全功效与B3级基本相同，但最显著不,计算机及网络系统安全策略,第20页,同是本级必须对相同设计，利用数学形式化证实方法加以验证，以证实安全功效正确性。本级还要求了将安全计算机系统运输到现场安装所必须程序。,2.超A1级,因为超Al级超出当前技术发展，有些详细要求极难提出，仅提供了一些构想。它为今后研究提供指导。,总而言之，对可信计算机而言，D级是不具备最低程度安全等级；C1和C2级是具备最低安全程度等级；B1和B2级是含有中等安全保护能力等级，与C级相比是较高安全等级，对于普通主要应用基本上能够满足安全要求；B3级和A1级是最,计算机及网络系统安全策略,第21页,高安全等级，其成本高，只有极主要应用才需使用这种安全等级设备。,4.3 计算机开机口令验证机制,当前PC机是世界上使用最多计算机，PC机上运行操作系统多为MSDOS或Windows 95/98/ME等，而Windows 95/98/ME等系统简单易学，且含有友好界面、丰富应用软件成为个人用户首选。然而，因为Windows 95/98/ME本身就不是为网络应用设计，所以它存在许多安全性方面问题，是十分轻易被攻击。,依据美国计算机安全中心(NCSC)公布可信计算机系统评价准则(TCSEC，trusted computer,计算机及网络系统安全策略,第22页,system evaluation criteria)，Windows 95/98/ME只能达到D级，基本上相当于未加安全措施个人计算机系统。,而在其次，因为Windows 95/98/ME流行，许多黑客工具在设计时就考虑了Windows 95/98/ME兼容性，许多黑客也利用它来攻击网络系统。所以，对于个人计算机系统，用启动开机口令开机验证机制防止非法用户使用计算机，是非常必要。开机口令开机验证机制是由计算机BIOS(Base Input/Output System)程序来管理，下面将介绍这方面内容。,计算机及网络系统安全策略,第23页,4.3.1 BIOS口令机制,BIOS口令机制俗称CMOS口令设置，CMOS口令是确保计算机信息安全第一道屏障。CMOS(本意是指互补金属氧化物半导体存放器，应用于集成电路芯片制造)是电脑主板上一块可读写RAM芯片，主要用来保留当前系统硬件配置，CMOS RAM芯片由系统经过一块后备电池供电，所以不论是开或关机状态中，CMOS信息都不会丢失。CMOS口令分为CMOS开机口令和BIOS设置口令。如设置了CMOS开机口令，则计算机在开机完成硬件自检后将要求操作者输入密码，如密码不正确，将不能进入CMOS参数设置，亦无法继续开启操作系统，更无从谈起运行其它软件了。,计算机及网络系统安全策略,第24页,如计算机仅设置了BIOS设置口令，则即使在开启操作系统和运行各种软件时不受限制，但如要进入BIOS设置程序必须输入预设口令，不然无法改变CMOS参数。所以，依据实际需要，合理地设置CMOS口令，是做好计算机信息安全工作主要路径。,计算机有很各种不一样BIOS程序，最有名是AWARD BIOS和AMI BIOS程序。下面以AWARD BIOS为例讨论BIOS中CMOS开机密码设置，设置方法以下。,(1)开启计算机，在计算机正在开启时不停地按DEL键(注意，是不停地按动，而不是按住不放)，直到出现如图4.1所表示CMOS SETUP设置界面时,计算机及网络系统安全策略,第25页,为止(有计算机进入CMOS快捷键不是DEL，比如康柏计算机CMOS设置是按F2键，需要看详细情况而定)，其中加框选项与开机CMOS密码相关。,(2)用键盘上光标键选择SUPERVISOR PASSWORD项，然后回车，出现ENTER PASSWORD后，输入密码再回车，这时又出现CONFIRM PASSWORD，在其后再次输入同一密码(注：该项原意是对刚才输入密码进行校验，假如两次输入密码不一致，则会要求重新输入)。SUPERVISOR PASSWORD选项是用来设置计算机管理员密码，拥有该密码，就能够设置计算机CMOS参数和使用计算机。,计算机及网络系统安全策略,第26页,(3)用光标键选择USER PASSWORD项后回车，同上面一样，密码需输入两次才能生效。以上设置两个密码分别为设置密码和修改CMOS SETUP密码，提议两个均取同一密码，方便记忆。USER PASSWORD选项是用来设置使用计算机用户密码，拥有该密码，就能够使用计算机。,(4)选择BIOS FEATURES SETUP项回车，出现BIOS FEATURES SETUP设置界面，用光标键选择SECURITY OPION选项后，用键盘上PAGE UP/PAGE DOWN键把选项改为SYSTEM(设定为SYSTEM目标是让计算机在任何时候都要检测密码，包含开启机器，SECURITY OPION选项还有一个参数SETUP，设定为该参数表示计算机在设置CMOS参数时要检测密码)，然后按ESC键退出。,计算机及网络系统安全策略,第27页,(5)选择SAVE&EXIT SETUP项回车，出现提醒后按Y键再回车，以上设置密码即可生效。,计算机及网络系统安全策略,第28页,图4.1,计算机及网络系统安全策略,第29页,经过以上步骤设置以后，在计算机开启和设置CMOS参数时都要检测密码。,4.3.2 BIOS口令破解与防范办法1.几个常见密码破解方法,在日常工作中，常碰到一些用户因为遗忘了CMOS口令或无意中设置了CMOS口令，致使计算机无法开启操作系统或无法进行CMOS参数设置情况，很多用户对此束手无策，只能送计算机企业修理，耽搁了很多时间。,其实，依据CMOS口令设置情况，能够有很多方法来破解，其标准是：假如设置了CMOS开机口令，,计算机及网络系统安全策略,第30页,必须采取硬件或CMOS万能密码法破解；假如仅设置了BIOS设置口令，破解这种口令简直易如反掌！下面给出破解CMOS口令各种方法。注意：这些方法当然也有可能会被黑客们利用，所以亦应针对这些破解方法，做好自己计算机CMOS口令保护。,2.硬件法破解CMOS口令,忘记了电脑BIOS密码是一件不幸事，假如将BIOS设置中SEURITY OPTION(密码属性)设为ALWAYS/SETUP或SYSTEM则更是不幸中不幸，因为此时既无法进入CMOS设置程序更改口令，也无法开启操作系统用其它方法破解，只能采取在硬件上进行CMOS掉电处理和使用万能密码这两类方法处理。,计算机及网络系统安全策略,第31页,下面介绍CMOS掉电处理方法。这里首先需要提及是，硬件破解各种方法均需在计算机关机状态下进行(最好将电源线拔掉，对于ATX电源尤应如此)，先去除人身上静电，再打开计算机机箱进行，不然可能造成计算机硬件损坏。,(1)跳线/开关放电破解法,计算机主板上普通都有CMOS CLEAR(CMOS去除)跳线位置，可参考主板说明书或主板上印制跳线说明，用一跳线在该位置上跳接一下，CMOS口令就被去除了，然后将跳线恢复原状，开机后即能进入CMOS设置。,(2)导线划芯片放电破解法,硬件破解CMOS口令本质是让CMOS RAM芯片,计算机及网络系统安全策略,第32页,掉电，使其中保留设置信息丢失，从而到达去除CMOS口令目标(上面跳线法实质也是这么)，抓住了这一点，在处理这类问题时，可先将CMOS电池卸下，然后用一根导线，将其一端接到CMOS电池插座地线端，用另一端往 CMOS RAM片两排脚上轻轻地一扫而过(如不能确认哪块是CMOS芯片，则可多扫几块芯片，扫时注意别损伤了芯片引脚)，CMOS密码便会被去除。此方法适合用于计算机主板上没有设计CMOS CLEAR跳线情况。,(3)卸电池等候法,这是一个麻烦和消极方法。我们知道，CMOS是靠主板上一块电池及对应从属电路来提供电源,计算机及网络系统安全策略,第33页,以保持设置信息，所以，假如将CMOS电池取下，再将电池接口正负极(注意不是电池正负极)短路，然后等候一段时间后，CMOS供电电路中残余电能将会消耗完，CMOS口令就会被去除了。,假如CMOS电池是焊接在主板上，则需先焊下来再试用上述第(2)、(3)方法。所以只有在确认主板上确实没有设计CMOS CLEAR跳线情况下，才可采取后两种方法3.用CMOS万能密码破解开机口令,假如计算机机箱加锁(比如众多进口原装计算机)或因为其它原因无法打开机箱，自然也就无法进行上述硬件破解法，那么是否还有方法能破解,计算机及网络系统安全策略,第34页,CMOS开机口令呢？答案是必定，下面向读者介绍一个不用拆机箱软方法万能密码。,原理：在BIOS密码中也有像WPS那样万能密码，但不一样BIOS厂家有不一样密码。,(1)用CMOSPWD获取CMOS万能密码,计算机BIOS版本太多，不一样版本万能密码也不一样，想用上述几个密码“通行”于全部版本BIOS显然是不可能。那么怎样取得更多万能密码呢？在Inernet网上有一个运行在DOS环境下CMOSPWD.EXE软件能够做到这一点。图4.2是CMOSPWD.EXE程序一个运行结果汇报。,由此运行结果能够看出，CMOSPWD工具能够获取各种BIOS类型CMOS万能密码。所以，当忘,计算机及网络系统安全策略,第35页,记了计算机CMOS密码时，可找一台相同计算机，给其设置上CMOS开机口令，然后运行CMOSPWD找到“万能钥匙”，再用到自己计算机上即可。,(2)用UNAWARD获取 AWARD BIOS 万能密码,UNAWARD.EXE能够帮你轻松地取得Award BIOS万能密码，而且还有三个：纯数字密码、小写字母密码和大写字母密码。假如你愿意，还能够用该软件DISABLE(禁用)这些万能密码，甚至删除这些密码。执行UNAWARD.EXE程序，显示如图4.3所表示。,计算机及网络系统安全策略,第36页,图4.2,计算机及网络系统安全策略,第37页,图4.3,计算机及网络系统安全策略,第38页,通常同型号主机AWARD BIOS万能密码是一致。所以当忘记了AWARD BIOS密码时，不用着急，试着在身边找找或打电话问问朋友们主板型号、厂商是否与自己这台主机主板相同，假如有话，用UNAWARD.EXE将那台机子上密码获取后再传回来，一切就大功告成了。UNAWARD.EXE在Internet上能够下载。,注意：若需 BIOS万能密码，必须先在超级用户密码(SUPERVISOR PASSWORD)中设置密码，如没有超级用户密码选项，则必须在用户密码(USER PASSWORD)中设置密码，不然该软件不能用作BIOS万能密码。,计算机及网络系统安全策略,第39页,(3)使用通用CMOS密码,当前大部分主板使用AWARD企业BIOS程序，部分主板使用AMI企业BIOS程序，一些厂家在生产主板时为自己BIOS预留了通用CMOS密码，以解一时之需。其中AWARD BIOS只有4.51版以前才有通用密码。据当前所知，有以下通用密码(按成功概率排序)。,AWARD BIOS：wantgirl Syxz dirrid eBBB h996 wnatgirl Award,AMI BIOS：Sysg,以上通用密码在386、486或飞跃主板上破解CMOS几乎百发百中，但在P级以上主板存在通用密码可能性就较少了。,计算机及网络系统安全策略,第40页,4.用万能密码程序准确破解BIOS设置口令,假如在微机BIOS SETUP程序中设置了CMOS口令，但在PASSWORD OPTION(密码选项)中选择为SETUP时，无须打开机箱，只要简单地利用上面介绍万能密码程序在当前计算机上运行一下，即可轻松和准确地取得这台计算机CMOS万能密码，然后用此万能密码即可进入BIOS SETUP程序中更改各种 CMOS参数了。,(1)用DEBUG破解SETUP设置口令,在微机BIOS SETUP程序中设置了口令，但在 PASSWORD OPTION(密码选项)中选择为SETUP时，可简单地利用DOS中DEBUG程序去除CMOS口令。,计算机及网络系统安全策略,第41页,当计算机接通电源时，首先执行是BIOS加电自检程序，对整个系统进行全方面检测，其中也要对CMOS RAM中配置信息相关单元作累加和测试，并与原来存放结果进行比较，当二者相吻合时，则 CMOS RAM中配置有效，程序继续进行其它测试；当发觉累加和与原值不相等时，则要求重新配置，并能自动地按实际情况进行最小配置设定，此时原来CMOS口令也会被自动消除。,利用这一点，只要往CMOS RAM中 80口10H2DH(配置信息存放单元)中任一单元写入一个数，即可去除 CMOS SETUP口令。详细操作以下：,从A：或C：开启，然后运行DEBUG程序(从DOS目录中拷贝或运行)，输入：,计算机及网络系统安全策略,第42页,Cdebug(回车),O 70 10(回车),O 71 10(回车),q(回车),然后重新开启系统，密码即被去除，系统将要求重新配置CMOS参数，这么便能够重新进入BIOS SETUP接口去设计系统配置了。,(2)输入代码破解SETUP设置口令,使用本方法生成可执行文件能够去除CMOS密码。本方法最大特点是不需使用任何工具软件，而只需简单地使用DOS内部COPY命令，从键盘上输入所需代码，并生成所需破解程序。,计算机及网络系统安全策略,第43页,A：,copy con,179，55，136，216，230，112，176，32，230，113，254，195，128，251，64，117，241，195Z 回车,注意：输入上述数字时必须用键盘上Alt键加小键盘上数字键来输入，其中逗号表示输入到该处时松一下双手再继续输入，而非真输入逗号；Z代表按 Ctrl Z键(也可按F6键)结束文件输入，最终回车在当前目录下生成可执行文件。,运行生成可执行文件，再重新冷开启计算机，会发觉原来CMOS设置口令已经被去除了。一样需注意是，该方法在一些计算机上可能会不起作用。,计算机及网络系统安全策略,第44页,5.防范CMOS密码破解,经过对几个常见CMOS密码破解方法介绍，能够了解到要破解CMOS密码前提条件。采取硬件破解法必须能够打开机箱，所以预防硬件破解法主要办法是给主机机箱加上物理锁。,对于采取万能密码，当前没有好防范办法，假如非法用户持有万能密码，这开机密码安全保护办法已失去效用，只能靠其它安全办法，如经过操作系统安全机制。另外市场上有些硬盘保护卡和防毒卡也有开机保护机制和密码机制，也能起到CMOS密码功效，且破解可能性要比CMOS密码机制更难些。,计算机及网络系统安全策略,第45页,要防范采取工具软件破解CMOS密码，最主要是不能让非法用户在被保护计算机上物理性地执行工具软件，可采取以下办法。,(1)屏蔽计算机软驱和光驱，使之不能从软驱和光驱引导操作系统。,(2)使用者不能在计算机处于交互状态(即可执行用户命令状态)时离开计算机；如若离开计算机，应该关机、锁定键盘或使计算机处于安全保护状态(比如Windows 98系统带密码屏幕保护状态)。,(3)有条件用户能够给计算机加安全保护卡(比如硬盘保护卡和防毒卡，也有开机保护机制和密码机制)。,(4)设置安全口令，定时更新密码。,计算机及网络系统安全策略,第46页,相关设置安全口令办法以下。,(1)好口令,好口令是那些极难猜测口令。难猜测原因是因为同时有大小写字符，不但有字符，还有数字、标点符号、控制字符和空格。另外，还要轻易记忆，最少有7到8个字符长，而且轻易输入。,(2)不安全口令,不安全口令往往是：任何名字(包含人名、软件名、计算机名甚至幻想中事物名字)，电话号码或者某种执照号码，社会保障号，任何人生日，其它很轻易得到关于自己信息，一些惯用音调，任何形式计算机中用户名，在英语字典或者外语字典中词，地点名称或者一些名词，键盘上一些词，任何形式上述词再加上一些数字。,计算机及网络系统安全策略,第47页,(3)保持口令安全要注意问题,不要将口令写下来。,不要将口令存于终端功效键或调制解调器字符串存放器中。,不要选取显而易见信息作口令。,不要让他人知道。,不要交替使用两个口令。,不要在不一样系统上使用同一口令。,不要让人看见自己在输入口令。,(4)一次性口令,减小口令危险最有效方法是根本不用常规口令。替换方法是在系统中安装新软件或硬件，使用,计算机及网络系统安全策略,第48页,一次性口令。一次性口令就是一个口令只使用一次。一个用户可能收到一个打印输出口令列表，每次登录使用完一个口令，就将它从列表中删除。用户也可能得到一个能够携带小卡，这个卡每次将显示一个不一样号。用户还能够携带一个小计算器，当登录时，计算机将会打印出一个不一样号码，用户将这个号码输入这个小小计算器中，然后输入自己标志号码，计算器将输出一个口令，用户将这个口令再输入计算机中。,一次性口令系统比传统方式能提供令人惊奇安全性能。不幸是，它们要求安装一些特定程序或者需要购置一些硬件，所以现在使用得并不普遍。,计算机及网络系统安全策略,第49页,在一个网络中，当用户穿过Internet或者其它网络来访问时，管理员就应该认真地考虑使用一次性口令。不然，攻击者能够窃听、截获用户口令，以后将攻击这些站点。,4.4 Windows 95/98/ME安全保护机制,如前所述，计算机开机密码保护机制是非常脆弱。所以，必须寻求其它保护办法。比如：操作系统安全办法。,总来说，Windows 95/98/ME只能到达D级，基本上相当于未加安全办法个人计算机系统。即使微软系统加密技术有点让人担忧，可用上总比不用好。本节将以Windows 98系统为例介绍这方面内容。,计算机及网络系统安全策略,第50页,Windows 98系统安全办法是由登录机制、屏幕保护密码、文件夹共享密码和远程管理密码等部分组成。这些安全保护办法，Windows 98系统都提供了安装和设置方法，大部分方法能够经过修改Windows 98系统注册表来实现。,4.4.1 Windows 98登录机制,Windows 98系统登录方式有三种：Microsoft 网络用户、Microsoft 友好登录和Windows 登录。其中Microsoft 网络用户和Microsoft 友好登录两种选项，只有在Windows 98系统安装网络适配器(如网卡或拨号适配器)时才能选择。,计算机及网络系统安全策略,第51页,1.Windows 98系统登录,严格讲，Windows登录选项对系统起不到安全保护作用。Microsoft企业设计Windows登录机制用意主要在于区分不一样用户使用Windows 98系统有一个个性化桌面和菜单项选择项，而不在于保护系统和预防非法用户使用计算机。所以，用户在Windows 98开启后出现“Windows登录”界面时，如图4.4所表示，如不输入密码，单击“取消”选项也可进入Windows 98桌面。,计算机及网络系统安全策略,第52页,图4.4,计算机及网络系统安全策略,第53页,2.Microsoft 网络用户和Microsoft 友好登录,这两种选项只有Windows 98在网络中存在才能够选择，当Windows 98系统作为网络中一个主机时，这个用户必须以“Microsoft 网络用户”身份登录。假如用户选择了“Microsoft 网络用户”选项，在Windows 98开启后出现“Microsoft 网络用户登录”界面，如图4.5所表示，如不输入密码，单击“取消”选项也可进入Windows 98桌面，用户将不能使用网络资源，但并不妨碍用户使用本机资源。至于“Microsoft 友好登录”选项，它与“Microsoft 网络用户”选项作用相同，如图4.6所表示，惟一区分是登录界面更漂亮一点。,计算机及网络系统安全策略,第54页,图4.5,计算机及网络系统安全策略,第55页,图4.6,计算机及网络系统安全策略,第56页,上述3种选项选择步骤是：,开启Windows 98系统进入系统桌面用鼠标右击Windows 98“网络邻居”图标“属性”，出现“网络”窗体“配置”，其中“主网络登录(L)”设置即为“Windows 98登录”设置选项，如图4.7所表示。,计算机及网络系统安全策略,第57页,图4.7,计算机及网络系统安全策略,第58页,4.4.2 Windows 98屏幕保护机制,Windows 98能够设置屏幕保护程序，其作用是：当用户要离开计算机一段时间，而又不能关闭计算机电源时(如计算机正在进行运算)，为了保护计算机，可设定计算机在一段时间后不进行操作，计算机将进入屏幕保护状态以保护计算机显示器和硬盘，使其进入节能状态。在设置屏幕保护程序时，可选择“密码保护”选项，这么当计算机进入“屏幕保护”状态后，如要使计算机恢复到正常状态，就需要密码，不然将不能操作计算机，从而到达保护计算机安全目标。,Windows 98系统屏幕保护程序设计步骤为：,开启Windows 98系统进入系统桌面，选择“开启”,计算机及网络系统安全策略,第59页,“设置”“控制面板”“显示”，出现“显示属性”窗体，选择“屏幕保护程序”选项，如图在“屏幕保护程序)”位置，可选择屏幕保护程序，同时，选定“密码保护”选项，可输入保护密码，如图4.8所表示，同时输入开启保护程序时间，按“确定”，就完成了屏幕保护程序设置工作。,4.4.3 Windows 98共享资源和远程管理机制,当Windows 98系统与其它计算机联成网络时，计算机资源能够相互共享，为了保护计算机系统安全，Windows 98有简单权限控制，其访问控制方式有两种：共享级访问控制方式和用户级访问控制方式。,计算机及网络系统安全策略,第60页,用户级访问控制方式要求在网络中必须有域服务器，经过域服务器(比如Windows NT/域服务器)来管理Windows 98资源，这种方法安全性较高，其设置方法同Windows NT/共享资源设置，将陆续在Windows NT/安全性中讲解。,在没有域服务器对等网络中，Windows 98共享资源管理只能采取共享级访问控制方式，选择共享级控制方式权限有3种：“只读”、“完全”和“依据密码访问”。选择“只读”时，其它计算机用户只能读取本机共享目录下文件和子目录，而不能修改和删除该目录下文件和子目录；选择“完全”共享类型，其它计算机用户可完全控制(即：能够读取也可修改或删除)共享目录下文件和子目录；选择“需要密码”时，需要输入“只读”和“完全”共享密码，其它计算机用户必须提供密码来决定它使用共享目录下文件和子目录。,计算机及网络系统安全策略,第61页,图4.8,计算机及网络系统安全策略,第62页,Windows 98系统共享资源访问控制方式设置步骤为：,(1)“Microsoft 网络上文件和打印机共享”设定,开启Windows 98系统进入系统桌面用鼠标右击Windows 98“网络邻居”图标“属性”，出现“网络”窗体“配置”“添加”，出现“请选择网络组件类型”窗体，在窗体中选择“服务”，单击“添加”按钮“选择网络服务”窗体，在“选择网络服务”窗体中，选择“Microsoft 网络上文件和打印机共享”，单击“确认”按钮，关闭“选择网络服务”窗体单击“取消”按钮，关闭“请选择网络组件类型”窗体，回到“网络”窗体在“网络”窗体中单击“文件及打印共享”“文件及打印共享”窗体，将全部“允许其它用户访问我文件”和“允许其它用户使用我打印机”