东方企鹅关于C/S，权限，和安全等方面的见解
| 东方企鹅( ) 13:20:21
你说的安全审计是指那一块？ |
| ||||||||||
| 栗子球Z.T( ) 13:20:29
不过老鹅。。。你现在是午休时间么。。。 |
| ||||||||||
| 东方企鹅( ) 13:20:35
你需要了解是什么样子的？ |
| ||||||||||
| 栗子球Z.T( ) 13:20:37
应用的安全审计 |
| ||||||||||
| 东方企鹅( ) 13:20:42
我很快要出去的 |
| ||||||||||
| 栗子球Z.T( ) 13:20:46
那先聊 |
| ||||||||||
| 东方企鹅( ) 13:21:31
应用的安全要从客户端讲到服务端 |
| ||||||||||
| 栗子球Z.T( ) 13:21:36
应用的安全审计主要有哪些？我上网搜索了一下 |
| ||||||||||
| 东方企鹅( ) 13:21:54
你是指编程解决吗？ |
| ||||||||||
| 栗子球Z.T( ) 13:22:22
嗯。目前先是做 应用和平台两部分的审计 |
| ||||||||||
| 栗子球Z.T( ) 13:22:30
通过程序看能解决多少问题 |
| ||||||||||
| 东方企鹅( ) 13:22:40
是不是指做一个解决方案，能通过安全检查？ |
| ||||||||||
| 栗子球Z.T( ) 13:23:25
因为涉及到客户公司的一些内部政治问题 |
| ||||||||||
| 东方企鹅( ) 13:23:50
是这样的，我们先慢慢聊，因为不清楚你的具体需求 |
| ||||||||||
| 栗子球Z.T( ) 13:23:57
我们只提供一个 辅助，证明我们有这样的审计功能， |
| ||||||||||
| 东方企鹅( ) 13:24:15
首先是客户端的问题，然后是链路，然后是服务端 |
| ||||||||||
| 栗子球Z.T( ) 13:24:19
那简单点说 就是 安全审计 和平台审计 |
| ||||||||||
| 东方企鹅( ) 13:24:20
然后是平台 |
| ||||||||||
| 东方企鹅( ) 13:24:30
首先是访问控制 |
| ||||||||||
| 栗子球Z.T( ) 13:24:35
我对这部分是新手。。 |
| ||||||||||
| 东方企鹅( ) 13:24:50
换句话就是身份认证 |
| ||||||||||
| 栗子球Z.T( ) 13:25:06
你说的是 C/S 模式吧？ 我这里是B/S模式 |
| ||||||||||
| 东方企鹅( ) 13:25:15
必须是能够在一定程度上防止冒名顶替 |
| ||||||||||
| 东方企鹅( ) 13:25:22
这个和cs bs无关 |
| ||||||||||
| 东方企鹅( ) 13:25:30
是一种理论 |
| ||||||||||
| 栗子球Z.T( ) 13:25:38
嗯嗯 |
| ||||||||||
| 栗子球Z.T( ) 13:25:55
那。。你这个例子。。如何能够做到呢 。。 |
| ||||||||||
| 反方向( ) 13:26:29
企鹅说的跟 缴税系统差不多 |
| ||||||||||
| 东方企鹅( ) 13:26:42
举个例子，一边的网页，如果仅仅采用用户名密码的方式，那么他的反伪造是很简单的 |
| ||||||||||
| 东方企鹅( ) 13:27:15
一旦用户名密码泄露用户的身份就可以被冒充了 |
| ||||||||||
| 东方企鹅( ) 13:27:47
如果使用比如UKey之类的硬件，则更难冒充 |
| ||||||||||
| 大约在冬季< > 13:27:51
原来是安全验证啊 |
| ||||||||||
| 反方向( ) 13:28:25
网上银行的U盾 |
| ||||||||||
| 东方企鹅( ) 13:28:28
如果再加上生理指标来实现，就更加安全 |
| ||||||||||
| 反方向( ) 13:28:34
。。 |
| ||||||||||
| 反方向( ) 13:28:40
指纹 |
| ||||||||||
| 反方向( ) 13:28:45
眼角膜？ |
| ||||||||||
| 东方企鹅( ) 13:28:48
比如现在有的视网膜，指纹，皮下静脉网 |
| ||||||||||
| 栗子球Z.T( ) 13:28:53
那 你说指的这个应用审计的例子。。。是去检查加密方式？ |
| ||||||||||
| 东方企鹅( ) 13:29:01
不是 |
| ||||||||||
| 东方企鹅( ) 13:29:17
首先是要看能不能伪造身份啊 |
| ||||||||||
| 大约在冬季< > 13:29:21
我感觉东方和zt说的不是一回事。 |
| ||||||||||
| 栗子球Z.T( ) 13:29:23
T_T那如何审计。审计神马东西 |
| ||||||||||
| 东方企鹅( ) 13:29:32
这个才刚刚开始啊 |
| ||||||||||
| 东方企鹅( ) 13:29:35
冬季 |
| ||||||||||
| 反方向( ) 13:29:45
审计这个词儿不是 会计上的么 |
| ||||||||||
| 东方企鹅( ) 13:29:46
如果让我讲要讲几个小时的 |
| ||||||||||
| 栗子球Z.T( ) 13:29:48
我感觉老鹅应该懂我这方面的问题。 |
| ||||||||||
| 东方企鹅( ) 13:29:49
我马上出去 |
| ||||||||||
| 东方企鹅( ) 13:29:53
回头聊 |
| ||||||||||
| 栗子球Z.T( ) 13:29:56
老鹅 简明扼要的说啊 |
| ||||||||||
| 大约在冬季< > 13:30:14
所谓审计，估计要精确到算法吧？ |
| ||||||||||
| 栗子球Z.T( ) 13:30:16
举一个实际程序能做到的审计例子。。 |
| ||||||||||
| 栗子球Z.T( ) 13:30:26
应该不需要精确到算法。。我个人觉得 |
| ||||||||||
| 大约在冬季< > 13:30:27
要了解软件运行的来龙去脉 |
| ||||||||||
| 栗子球Z.T( ) 13:30:49
冬季 。。虽然我也是刚接触，但是我觉得。不是你想的那样子哦 |
| ||||||||||
| 大约在冬季< > 13:31:07
安全性、可靠性、稳定性的一个测验报告吧？ |
| ||||||||||
| 栗子球Z.T( ) 13:31:16
嗯 这句话就靠谱了。 |
| ||||||||||
| 大约在冬季< > 13:31:31
审计不就是这种东东么。像财务审计，就要了解每一笔账的来龙去脉啊。 |
| ||||||||||
| 大约在冬季< > 13:31:37
否则怎么能找出问题。 |
| ||||||||||
| 栗子球Z.T( ) 13:31:41
机密性、完整性、可控性、可用性等等 |
| ||||||||||
| 栗子球Z.T( ) 13:32:08
有专门的安全审计系统。。 |
| ||||||||||
| 栗子球Z.T( ) 13:32:28
如果安全审计系统需要了解你的来龙去脉。那怎么能够做成一个独立的系统？ |
| ||||||||||
| 栗子球Z.T( ) 13:32:52
稍后再聊。。午休一下 困死了。 |
| ||||||||||
|
| |||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
| 老行( ) 15:29:18
我想问你们 你们现在做用户表的时候 密码 还是用md5么 |
| ||||||||||
| 老行( ) 15:29:23
我不加md5可以么 |
| ||||||||||
| 日期:2011-9-6 |
| ||||||||||
| 低调的神( ) 15:29:33
hash |
| ||||||||||
| 低调的神( ) 15:29:35
也可以 |
| ||||||||||
| 老行( ) 15:29:48
如果我不加可以不 |
| ||||||||||
| 老行( ) 15:30:00
我就保存原始密码 可以不 |
| ||||||||||
| 魔幻彩虹< > 15:30:06
md5??? |
| ||||||||||
| 魔幻彩虹< > 15:30:21
你是不是还用了sha-1了 |
| ||||||||||
| 老行( ) 15:30:41
没有啊 |
| ||||||||||
| 老行( ) 15:30:43
我刚开始族谱 |
| ||||||||||
| 老行( ) 15:30:44
做 |
| ||||||||||
| 老行( ) 15:30:50
所以我不想寸MD5 |
| ||||||||||
| 魔幻彩虹< > 15:30:59
用des3吧 |
| ||||||||||
| 魔幻彩虹< > 15:31:06
或者用Matrix |
| ||||||||||
| 低调的神( ) 15:32:31
。。。 |
| ||||||||||
| 贝易达-辛( ) 15:33:16
加了不是安全么 |
| ||||||||||
| 老行( ) 15:33:30
好吧 |
| ||||||||||
| 老行( ) 15:33:33
那就加把 |
| ||||||||||
| 慢节奏( ) 15:51:51
。。。 |
| ||||||||||
| 老行( ) 15:52:14
你们分页控件 |
| ||||||||||
| 老行( ) 15:52:17
是哪个？？？ |
| ||||||||||
| 小魔鬼( ) 15:54:42
现在直接写 |
| ||||||||||
| 小魔鬼( ) 15:54:50
自己写一个控件 |
| ||||||||||
| 大约在冬季< > 15:55:04
aspnetparger |
| ||||||||||
| 大约在冬季< > 15:55:10
pager |
| ||||||||||
| 老行( ) 15:55:32
直接写？？？ |
| ||||||||||
| 老行( ) 15:55:35
你这牛逼 |
| ||||||||||
| 老行( ) 15:56:09
有没有通过参数查询的分页啊 |
| ||||||||||
| 老行( ) 15:56:14
不要POST的 |
| ||||||||||
| 小魔鬼( ) 15:58:57
老行，，，直接写个用户自定义控件不就行了 |
| ||||||||||
| 大约在冬季< > 15:59:39
我觉得要写个好控件很难。 |
| ||||||||||
| 老行( ) 15:59:50
我晕 |
| ||||||||||
| 大约在冬季< > 15:59:49
aspnetpager现在很成熟 |
| ||||||||||
| 大约在冬季< > 15:59:53
现成的干嘛不用 |
| ||||||||||
| 老行( ) 15:59:57
我要用参数查询的 |
| ||||||||||
| 老行( ) 16:00:03
就是通过?这样传递的 |
| ||||||||||
| 老行( ) 16:00:06
我不要post的 |
| ||||||||||
| 老行( ) 16:00:10
你们谁有post de |
| ||||||||||
| 老行( ) 16:00:14
我晕 |
| ||||||||||
| 老行( ) 16:00:18
你们谁有参数查询的 |
| ||||||||||
| 大约在冬季< > 16:00:20
asp.net支持get传递 |
| ||||||||||
| 老行( ) 16:00:20
急 |
| ||||||||||
| 大约在冬季< > 16:00:30
aspnetpager |
| ||||||||||
| 大约在冬季< > 16:00:38
支持post和get两种方式 |
| ||||||||||
| 老行( ) 16:00:50
哦... |
| ||||||||||
| 大约在冬季< > 16:01:01
人家还支持url重写 |
| ||||||||||
| 老行( ) 16:02:03
这个控件是从网上下呢 还是 VS2010里就有的 |
| ||||||||||
| 大约在冬季< > 16:02:19
鄙视你 |
| ||||||||||
| 老行( ) 16:02:28
没用过 |
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
| 东方企鹅( ) 16:07:55
zt在不？ |
| ||||||||||
| 东方企鹅( ) 16:08:10
我回来了 |
| ||||||||||
| 东方企鹅( ) 16:08:20
继续讨论吗？ |
| ||||||||||
|
| |||||||||||
|
| 栗子球Z.T( ) 16:12:51
老鹅 请发表高见 | ||||||||||
|
| 东方企鹅( ) 16:13:24
刚才好像说到客户端的安全 | ||||||||||
|
| 东方企鹅( ) 16:14:20
然后就是链路安全，要防窃听防劫持 | ||||||||||
|
| 东方企鹅( ) 16:14:27
防伪造 | ||||||||||
|
| 老行( ) 16:14:44
蘑菇 | ||||||||||
|
| 老行( ) 16:14:48
存储过程给我发个 | ||||||||||
|
| 东方企鹅( ) 16:14:51
通常可以采用https这样的加密传输方式 | ||||||||||
|
| 小魔鬼( ) 16:17:24
我现在不用存储过程了 | ||||||||||
|
| 小魔鬼( ) 16:17:29
我用linq | ||||||||||
|
| 低调的神( ) 16:17:30
这个https | ||||||||||
|
| 低调的神( ) 16:17:35
深入说说 | ||||||||||
|
| 东方企鹅( ) 16:17:37
类似 | ||||||||||
|
| 低调的神( ) 16:17:44
我很有兴趣啊 https原理是什么 | ||||||||||
|
| 低调的神( ) 16:17:47
加密原理 | ||||||||||
|
| 东方企鹅( ) 16:17:59
https是一种廉价的解决方案 | ||||||||||
|
| 东方企鹅( ) 16:18:19
这个涉及到不对称加密和对称加密 | ||||||||||
|
| 东方企鹅( ) 16:19:07
所谓不对称加密，就是密钥成对出现，由加密密钥和解密密钥组成 | ||||||||||
|
| 低调的神( ) 16:19:13
明白 | ||||||||||
|
| 低调的神( ) 16:19:19
数据包传送都是这样的吧 | ||||||||||
|
| 低调的神( ) 16:19:22
通讯时 | ||||||||||
|
| 东方企鹅( ) 16:19:56
先客户端和服务器端握手 | ||||||||||
|
| 低调的神( ) 16:20:06
三次握手？ | ||||||||||
|
| 东方企鹅( ) 16:21:14
然后客户端生成一对比如RSA密钥，然后自己持有一份解密密钥，把加密密钥发送给服务器 | ||||||||||
|
| 东方企鹅( ) 16:22:06
服务器接受到了加密密钥，随机生成一个DES加密密钥，用RSA加密密钥加密后发送回客户端 | ||||||||||
|
| 小蛀牙< > 16:23:27
每次握手生成唯一的key 相互交互 | ||||||||||
|
| 小蛀牙< > 16:23:37
如果异步 就不行了 | ||||||||||
|
| 东方企鹅( ) 16:23:50
客户端接受到之后，用RSA解密密钥解开，得到DES加密密钥 | ||||||||||
|
| 小蛀牙< > 16:23:51
所以 现在的网游 都还可以做外挂 | ||||||||||
|
| 低调的神( ) 16:24:04
啊？ | ||||||||||
|
| 低调的神( ) 16:24:09
有点深奥啊 | ||||||||||
|
| 东方企鹅( ) 16:24:15
然后双方就一直采用哪个DES加密密钥进行加解密 | ||||||||||
|
| 低调的神( ) 16:24:15
又有点简单 | ||||||||||
|
| 东方企鹅( ) 16:24:21
实现保密通宵 | ||||||||||
|
| 东方企鹅( ) 16:24:24
通讯 | ||||||||||
|
| 小蛀牙< > 16:24:24
企鹅 异步呢 | ||||||||||
|
| 东方企鹅( ) 16:24:33
https了解了吗？ | ||||||||||
|
| 小蛀牙< > 16:24:38
连腾讯都做不到 | ||||||||||
|
| 小蛀牙< > 16:25:20
https不了解 | ||||||||||
|
| 小蛀牙< > 16:26:22
东方企鹅( ) 16:23:50 | ||||||||||
|
| 东方企鹅( ) 16:26:29
对 | ||||||||||
|
| 东方企鹅( ) 16:26:42
因为在有效的时间里，他是安全的 | ||||||||||
|
| 小蛀牙< > 16:26:44
拿到你的密钥 假装客户装 跟服务器交互 | ||||||||||
|
| 东方企鹅( ) 16:26:58
拿了没有用啊 | ||||||||||
|
| 小蛀牙< > 16:26:58
https 我就不了解了 | ||||||||||
|
| 东方企鹅( ) 16:27:10
你想想，刚才哪个地方你能窃取到密钥呢？ | ||||||||||
|
| 小蛀牙< > 16:27:42
https 拿不到？ | ||||||||||
|
| 魔幻彩虹< > 16:27:46
你能获取到RSA的解密密钥么 | ||||||||||
|
| 小蛀牙< > 16:27:45
http 是可以的啊 | ||||||||||
|
| 东方企鹅( ) 16:27:56
http是不加密的 | ||||||||||
|
| 东方企鹅( ) 16:28:00
https才是 | ||||||||||
|
| 小蛀牙< > 16:28:05
哦 | ||||||||||
|
| 小蛀牙< > 16:28:19
我截获 破解过 | ||||||||||
|
| 东方企鹅( ) 16:28:25
你在链路上只能嗅探到RSA的加密密钥 | ||||||||||
|
| 魔幻彩虹< > 16:28:29
获取不到,对吧,因为就没发 | ||||||||||
|
| 东方企鹅( ) 16:28:36
可是哪个东西对你来说没有任何作用 | ||||||||||
|
| 东方企鹅( ) 16:28:44
因为他是不能用了解密的 | ||||||||||
|
| 东方企鹅( ) 16:29:07
所以你就无法知道服务器端发送的DES加密密钥 | ||||||||||
|
| 魔幻彩虹< > 16:29:12
你解不了,就不能继续解了,对吧 | ||||||||||
|
| 栗子球Z.T( ) 16:29:18
我感觉老鹅说的方向 不是我想要的方向 | ||||||||||
|
| 东方企鹅( ) 16:29:29
是啊，因为通讯的保持时间很短啊 | ||||||||||
|
| 魔幻彩虹< > 16:29:33
所以https还是很安全的 | ||||||||||
|
| 东方企鹅( ) 16:29:48
等你好不容易破解了，通讯早就结束了 | ||||||||||
|
| 小蛀牙< > 16:30:01
我了个去 | ||||||||||
|
| 东方企鹅( ) 16:30:16
接下来是服务器和客户端的身份冒充的问题 | ||||||||||
|
| 东方企鹅( ) 16:30:31
要考虑冒充客户端欺骗服务器 | ||||||||||
|
| 东方企鹅( ) 16:30:44
也要考虑冒充服务器欺骗客户端 | ||||||||||
|
| 魔幻彩虹< > 16:30:53
就是代理 | ||||||||||
|
| 魔幻彩虹< > 16:31:02
或者叫中介 | ||||||||||
|
| 低调的神( ) 16:31:11
继续 | ||||||||||
|
| 东方企鹅( ) 16:31:15
哦，我说的先都是一些理论知识，具体的技术细节就不容易展开了 | ||||||||||
|
| 东方企鹅( ) 16:32:07
不知道zt要的是不网站安全认证方面的东西哦？ | ||||||||||
|
| 魔幻彩虹< > 16:32:11
难道RSA中发送的东西没有HASH么 | ||||||||||
|
| 东方企鹅( ) 16:32:19
不需要 | ||||||||||
|
| 东方企鹅( ) 16:32:27
rsa不对称加密 | ||||||||||
|
| 东方企鹅( ) 16:32:36
解密密钥是不发送的 | ||||||||||
|
| 东方企鹅( ) 16:32:50
也就是在你本机的内存中 | ||||||||||
|
| 东方企鹅( ) 16:33:03
这个无法通过网络嗅探得到 | ||||||||||
|
| 东方企鹅( ) 16:34:22
因为不对称加密和对称加密的效率问题，不对称加密的效率低，所以只用他来加密一个相对比较短小的des密钥，des加密的效率高 | ||||||||||
|
| 东方企鹅( ) 16:34:33
可以实现大文档加密 | ||||||||||
|
| 魔幻彩虹< > 16:34:35
恩 | ||||||||||
|
| 魔幻彩虹< > 16:34:45
然后呢 | ||||||||||
|
| 东方企鹅( ) 16:34:48
你说的hash是在数字签名的时候才用到 | ||||||||||
|
| 魔幻彩虹< > 16:35:14
每次密钥都不一样么 | ||||||||||
|
| 东方企鹅( ) 16:35:47
稍后，在数据安全和防止伪造数据的时候我在详细说说 | ||||||||||
|
| 魔幻彩虹< > 16:37:29
拿你破解了没 | ||||||||||
|
| 东方企鹅( ) 16:37:46
我靠，我不是在上破解课 | ||||||||||
|
| 魔幻彩虹< > 16:38:00
噢 | ||||||||||
|
| 东方企鹅( ) 16:38:51
我先说明一下，我说的是如何构建一个对安全需求非常高的应用 | ||||||||||
|
| 东方企鹅( ) 16:39:24
因为在一些特殊行业或部门，他们对数据安全有着非常高的要求 | ||||||||||
|
| 东方企鹅( ) 16:39:53
而且非常幸运的参加过一个保密部门的一个应用项目 | ||||||||||
|
| 魔幻彩虹< > 16:39:54
恩,然后呢 | ||||||||||
|
| 东方企鹅( ) 16:40:17
全程参与了整个过程，包括硬件选型和软件开发 | ||||||||||
|
| 小蛀牙< > 16:40:26
| ||||||||||
|
| 魔幻彩虹< > 16:40:40
还有没有 | ||||||||||
|
| 东方企鹅( ) 16:40:46
还有最后通过公安网监部门的安全等级认证 | ||||||||||
|
| 东方企鹅( ) 16:41:25
因为不知道zt的具体近况，不知道他需要知道哪些 | ||||||||||
|
| 东方企鹅( ) 16:41:48
所以就准备大概的谈谈整个项目的设计思路和流程 | ||||||||||
|
| 魔幻彩虹< > 16:41:56
他们怎么认证的 | ||||||||||
|
| 东方企鹅( ) 16:42:22
希望能给大家带来一点有参考价值的东西 | ||||||||||
|
| 东方企鹅( ) 16:42:45
他们的认证也比较复杂，具体的测试项目有几百条 | ||||||||||
|
| 低调的神( ) 16:43:04
老鹅研究挺多 | ||||||||||
|
| 东方企鹅( ) 16:43:06
不过他们也分很多项，比如，首先是物理安全 | ||||||||||
|
| 低调的神( ) 16:43:06
学习了 | ||||||||||
|
| 魔幻彩虹< > 16:43:16
自从进了本群,我c#的技术可谓是一日千里,非常感谢本群的朋友 | ||||||||||
|
| 东方企鹅( ) 16:43:28
未经授权的人无法在物理上接触到核心设备 | ||||||||||
|
| 东方企鹅( ) 16:43:59
还有防火防水防雷防停电防盗的安全 | ||||||||||
|
| 东方企鹅( ) 16:44:13
然后是容灾备份 | ||||||||||
|
| 东方企鹅( ) 16:44:45
在安全等级要求非常高的时候要求异地实时容灾备份 | ||||||||||
|
| 东方企鹅( ) 16:45:04
我刚才说了我参加过一个保密项目啊 | ||||||||||
|
| 东方企鹅( ) 16:45:21
那个对数据安全什么的要求非常高的 | ||||||||||
|
| 东方企鹅( ) 16:45:52
然后是设备安全，比如要求冗余电源，冗余硬件什么的 | ||||||||||
|
| 东方企鹅( ) 16:46:07
还有就是入侵检测 | ||||||||||
|
| 东方企鹅( ) 16:46:15
温度检测 | ||||||||||
|
| 东方企鹅( ) 16:46:21
湿度检测什么 | ||||||||||
|
| 东方企鹅( ) 16:46:42
还有就是管理人员的资质 | ||||||||||
|
| 东方企鹅( ) 16:46:54
管理员的人数 | ||||||||||
|
| 东方企鹅( ) 16:46:57
等等 | ||||||||||
|
| 低调的神( ) 16:47:06
| ||||||||||
|
| 贝易达-辛( ) 16:48:02
这里在上什么课呢? | ||||||||||
|
| 东方企鹅( ) 16:48:16
哦，有多少人感兴趣呢？ | ||||||||||
|
| 低调的神( ) 16:48:23
我感兴趣 | ||||||||||
|
| |||||||||||
|
| 东方企鹅( ) 16:49:22
还有吗？ | ||||||||||
|
| 东方企鹅( ) 16:49:29
哦，有两个了 | ||||||||||
|
| 东方企鹅( ) 16:49:30
呵呵呵 | ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
| 东方企鹅( ) 16:50:26
好吧，我继续，那个网监的安全认证条款非常多，有兴趣自己去网监的网站下载那个安全等级申请文档 | ||||||||||
|
| |||||||||||
|
|
| ||||||||||
|
| 东方企鹅( ) 16:50:37
那个在网监的网站上就有 | ||||||||||
|
| 小蛀牙< > 16:50:37
我是需要什么 研究什么 | ||||||||||
|
|
| ||||||||||
|
| 渊缘沿(443408804) 16:50:59
| ||||||||||
|
| 东方企鹅( ) 16:51:34
好了，我们刚才说到从客户端到服务器的安全 | ||||||||||
|
| 东方企鹅( ) 16:52:20
如果我们做到了以上种种，说明数据已经可以安全的在服务器和客户端来回流动了 | ||||||||||
|
| 东方企鹅( ) 16:52:37
这些属于数据通讯的安全 | ||||||||||
|
| 东方企鹅( ) 16:53:27
顺便再总结一些客户端的身份验证 | ||||||||||
|
| 东方企鹅( ) 16:54:17
目前已经采用的身份验证技术，从最简单到复杂，大致就是首先是基于口令的认证方式 | ||||||||||
|
| 东方企鹅( ) 16:54:47
但是容易被猜测或截获，等等 | ||||||||||
|
| 东方企鹅( ) 16:55:58
还有，只能进行单向认证 | ||||||||||
|
| 东方企鹅( ) 16:56:16
所谓的单向认证就是系统可以认证用户，而用户无法对系统进行认证，攻击者可能伪装成系统骗取用户的口令 | ||||||||||
|
| 东方企鹅( ) 16:56:49
然后就有了基于一次性口令的认证方式 | ||||||||||
|
| 东方企鹅( ) 16:57:07
那些银行的U盾什么的就是这样的 | ||||||||||
|
| 东方企鹅( ) 16:57:27
还有短信认证码也是这样的 | ||||||||||
|
| 东方企鹅( ) 16:58:11
然后更近一步的就是基于物理证件的认证方式 | ||||||||||
|
| For365( ) 16:58:28
C#中 有没有泛型 中支持 键值对的 | ||||||||||
|
| 东方企鹅( ) 16:58:35
比如有些什么UKey什么的 | ||||||||||
|
| 东方企鹅( ) 16:59:19
然后是基于生物特征的，比如大家熟悉的指纹，视网膜 | ||||||||||
|
| 东方企鹅( ) 16:59:53
不过顺便提一下，目前最新的是皮下静脉血管网的验证 | ||||||||||
|
| 东方企鹅( ) 17:00:01
据说是目前最难伪造的 | ||||||||||
|
| 冰危节奏( ) 17:00:26
还有验证这个的 | ||||||||||
|
| 冰危节奏( ) 17:00:28
厉害 | ||||||||||
|
| 东方企鹅( ) 17:00:36
上次日本人跑到我们这里来推销过一次 | ||||||||||
|
| 东方企鹅( ) 17:00:54
因为指纹现在太容易伪造了 | ||||||||||
|
| 东方企鹅( ) 17:01:04
视网膜也容易 | ||||||||||
|
| 东方企鹅( ) 17:01:21
可是静脉血管网基本上无法伪造 | ||||||||||
|
| 东方企鹅( ) 17:01:39
首先，要保证血管网里面的血液是流动的 | ||||||||||
|
| 东方企鹅( ) 17:02:17
这样你就无法把人的手指剁下来 | ||||||||||
|
| 东方企鹅( ) 17:02:37
好了，闲话不说，最后，最安全的认证方式 | ||||||||||
|
| 东方企鹅( ) 17:02:45
大家知道是什么吗？ | ||||||||||
|
| 东方企鹅( ) 17:03:15
怎么没人搭理我啊？ | ||||||||||
|
| |||||||||||
|
| 东方企鹅( ) 17:03:37
CA中心认证啊 | ||||||||||
|
| 东方企鹅( ) 17:04:11
这个是天朝朝廷唯一认可的可以作为呈堂证供的认证方式 | ||||||||||
|
| 东方企鹅( ) 17:04:38
当然，是要交开户费和使用费的 | ||||||||||
|
| 小蛀牙< > 17:05:00
手指剁下来。。 | ||||||||||
|
| 东方企鹅( ) 17:05:26
手指剁下来可以欺骗指纹识别 | ||||||||||
|
| 东方企鹅( ) 17:05:51
那么，接下来，用户可以安全的进入系统了 | ||||||||||
|
| 小蛀牙< > 17:05:58
| ||||||||||
|
| 东方企鹅( ) 17:06:08
就涉及到用户权利指派了 | ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
| 小蛀牙< > 17:06:28
尼基塔 里面 那个黑盒 就是靠 血液检测 | ||||||||||
|
| |||||||||||
|
| 小蛀牙< > 17:06:38
必须是新鲜的血液 | ||||||||||
|
| 东方企鹅( ) 17:06:39
用户权利指派，也是基于欧美的三权分立的思想建立的 | ||||||||||
|
| 东方企鹅( ) 17:07:56
就是在一个应用系统中，不像windows那样有一个admin用户 | ||||||||||
|
| 东方企鹅( ) 17:08:08
就像古代有个君王 | ||||||||||
|
| T M D( ) 17:08:25
我刚在公交车上偷拍啦 | ||||||||||
|
| 东方企鹅( ) 17:08:49
而应该是有平行的管理员或平行的用户角色构成 | ||||||||||
|
| 东方企鹅( ) 17:09:06
而以上角色应该是互斥的 | ||||||||||
|
| T M D( ) 17:09:26
没人想看吗 | ||||||||||
|
| 小蛀牙< > 17:09:38
企鹅继续 | ||||||||||
|
| 小蛀牙< > 17:09:48
这个想听听 我设计的权限就是基于角色的 | ||||||||||
|
| 东方企鹅( ) 17:09:59
在一个安全的应用中，新建用户和用户审核通过是互斥的 | ||||||||||
|
| 东方企鹅( ) 17:10:24
就是必须有一个人去建立用户，另一个人去审核通过 | ||||||||||
|
| 小蛀牙< > 17:10:50
明白 | ||||||||||
|
| 东方企鹅( ) 17:11:01
然后新建的用户才能真正的进行应用操作 | ||||||||||
|
| 东方企鹅( ) 17:11:12
稍等， | ||||||||||
|
| 大约在冬季< > 17:13:41
我想看 | ||||||||||
|
| T M D( ) 17:14:02
只拍啦2张~人多不好意思拍 | ||||||||||
|
| T M D( ) 17:14:28
| ||||||||||
|
| 东方企鹅( ) 17:15:30
没有了吗？ | ||||||||||
|
| 大约在冬季< > 17:15:29
神马也没看到啊 | ||||||||||
|
| T M D( ) 17:16:30
她坐我前面~所以只能拍后面 | ||||||||||
|
| T M D( ) 17:16:35
身材好~皮肤好 | ||||||||||
|
| 东方企鹅( ) 17:16:42
好了，我继续 | ||||||||||
|
| T M D( ) 17:16:53
| ||||||||||
|
| 东方企鹅( ) 17:17:12
仅仅三权分立了还不够 | ||||||||||
|
| 东方企鹅( ) 17:17:35
还要限制角色的容量 | ||||||||||
|
| 东方企鹅( ) 17:18:28
当然还有其他的一些细节 | ||||||||||
|
| 东方企鹅( ) 17:18:51
比如用户权利修改后必须重新审核才可生效等等 | ||||||||||
|
| 城市里的鱼< > 17:19:50
角色 容量 咋限制 | ||||||||||
|
| 东方企鹅( ) 17:20:10
这些在实际开发过程中多用三权分立的标准套一下，看看在用户权利指派的过程中会不会产生一些突破三权分立原则的bug就好了 | ||||||||||
|
| 东方企鹅( ) 17:20:39
角色容量限制多简单的编程 | ||||||||||
|
| 东方企鹅( ) 17:20:59
只不过我提醒你要考虑而已，编程实现非常简单 | ||||||||||
|
| 东方企鹅( ) 17:21:23
比如，用户创建角色最大容量是1 | ||||||||||
|
| 东方企鹅( ) 17:21:49
那么，就只能有一个用户创建的管理员 | ||||||||||
|
| 东方企鹅( ) 17:23:24
权利的约束由时限约束，容量约束和互斥约束 | ||||||||||
|
| 东方企鹅( ) 17:23:59
刚才说的是用户角色的安全机制 | ||||||||||
|
| 城市里的鱼< > 17:24:47
你这些知识 那里来的 | ||||||||||
|
| 东方企鹅( ) 17:24:52
接下来是运行时的授权验证 | ||||||||||
|
| 城市里的鱼< > 17:24:51
| ||||||||||
|
| 东方企鹅( ) 17:25:16
我参加过一个这样的项目，后来还根据这个写了一篇论文 | ||||||||||
|
| 贝易达-辛( ) 17:25:20
讲课得来的 他不是老师吗 | ||||||||||
|
| 城市里的鱼< > 17:25:34
哦 黄老师 你接着讲 | ||||||||||
|
| 城市里的鱼< > 17:25:44
我还没参加国这么大的项目 | ||||||||||
|
| 城市里的鱼< > 17:25:59
把你的论文 原文 发到群里论坛里 | ||||||||||
|
| 城市里的鱼< > 17:26:02
有空学习一下 | ||||||||||
|
| 不觉流水年长( ) 17:27:11
系啊系啊 讲得大家很感性趣了啊 | ||||||||||
|
| 东方企鹅( ) 17:27:47
当时那个项目的专家请了财大的钟元生，交大的万仲宝，还有南大的白似雪 | ||||||||||
|
| 东方企鹅( ) 17:28:10
我伺候了他们大概有4个月吧 | ||||||||||
|
| 东方企鹅( ) 17:28:31
在他们身上，我学到了超过我原来4年的知识 | ||||||||||
|
| 不觉流水年长( ) 17:28:36
| ||||||||||
|
| 东方企鹅( ) 17:29:22
那个时候，我做一次方案被他们骂一次，做一次骂一次 | ||||||||||
|
| 东方企鹅( ) 17:30:37
接着讲 | ||||||||||
|
| 不觉流水年长( ) 17:30:46
哇靠 发论文 强烈要求 | ||||||||||
|
| 东方企鹅( ) 17:30:57
不好意思发 | ||||||||||
|
| 东方企鹅( ) 17:31:02
写的太烂了 | ||||||||||
|
| 东方企鹅( ) 17:31:11
真的 | ||||||||||
|
| 东方企鹅( ) 17:32:02
我就这样讲，都是原来论文的精华 | ||||||||||
|
| 东方企鹅( ) 17:32:11
论文为了凑字数 | ||||||||||
|
| 东方企鹅( ) 17:32:40
里面那些什么代码啊，图片啊乱七八糟的都有的 | ||||||||||
|
| 不觉流水年长( ) 17:33:21
| ||||||||||
|
| 东方企鹅( ) 17:33:27
我接着讲啊 | ||||||||||
|
| 贝易达-辛( ) 17:33:26
就是发论文 | ||||||||||
|
| 东方企鹅( ) 17:33:58
运行时的控制就是两个方面的，一个是防止合法用户进行非法操作 | ||||||||||
|
| 东方企鹅( ) 17:34:12
另外就是防止非法用户访问系统 | ||||||||||
|
| 东方企鹅( ) 17:34:26
这两方面大家都懂的 | ||||||||||
|
| 魔幻彩虹< > 17:34:39
有现成的文档么 | ||||||||||
|
| 贝易达-辛( ) 17:35:06
就是发文档吧 现在下班了 | ||||||||||
|
| 东方企鹅( ) 17:35:29
然后就是数据安全了 | ||||||||||
|
| 东方企鹅( ) 17:35:42
下班了，下次讲 | ||||||||||
|
| 老树呆猫( ) 17:35:43
盯企鹅，我不走，继续听企鹅讲 | ||||||||||
|
| 老树呆猫( ) 17:35:47
... | ||||||||||
|
| 东方企鹅( ) 17:36:07
谁啊？ | ||||||||||
|
| 东方企鹅( ) 17:36:13
让我感动 | ||||||||||
|
| 小蛀牙< > 17:36:16
三权分立的思想 用到权限控制中 | ||||||||||
|
| 小蛀牙< > 17:36:19
不错不错 | ||||||||||
|
| 东方企鹅( ) 17:36:23
是啊 | ||||||||||
|
| |||||||||||
|
| 魔幻彩虹< > 17:37:12
三权分立具体是什么 | ||||||||||
|
| 东方企鹅( ) 17:37:15
因为对一个系统来说，最大的假想敌是什么人呢？ | ||||||||||
|
| 东方企鹅( ) 17:37:22
就是系统开发人员 | ||||||||||
|
| 老树呆猫( ) 17:38:09
对啊，企鹅，权限管理的三权是指什么啊 | ||||||||||
|
| 东方企鹅( ) 17:38:23
我们设计的系统，安全要求就是系统在投入运行后，即使原开发人员来进行升级或其它的维护，也无法窃取、伪造、破坏数据 | ||||||||||
|
| 小蛀牙< > 17:38:28
三权是一个思想 | ||||||||||
|
| 东方企鹅( ) 17:39:10
就是建立用户和用户审核还有应用操作不能同时出现在一个人身上啊 | ||||||||||
|
| 魔幻彩虹< > 17:39:56
然后呢 | ||||||||||
|
| 东方企鹅( ) 17:40:06
这个就是三权分立啊 | ||||||||||
|
| 老树呆猫( ) 17:40:22
明白了，企鹅继续 | ||||||||||
|
| 魔幻彩虹< > 17:40:57
继续 | ||||||||||
|
| 东方企鹅( ) 17:41:01
举个例子，有个数据需要三级审核才能通过，而着三级审核的权限分配给了3个操作用户 | ||||||||||
|
| 东方企鹅( ) 17:41:23
注意，刚才的三个用户都是操作者角色 | ||||||||||
|
| 城市里的鱼< > 17:41:43
我想听你上面的 防止开发人员窃取数据 | ||||||||||
|
| 东方企鹅( ) 17:42:17
如果有人想私自通过一个数据，那么必须串谋以上三个人 | ||||||||||
|
| 魔幻彩虹< > 17:42:17
继续 | ||||||||||
|
| 东方企鹅( ) 17:42:35
要不就是自己建立一个特权用户，直接审核通过 | ||||||||||
|
| 东方企鹅( ) 17:43:20
可是，建立用户的人无法让那个用户生效，必须由审核用户的那个人审核通过 | ||||||||||
|
| 东方企鹅( ) 17:43:38
那样他就必须去和审核的人合谋 | ||||||||||
|
| 东方企鹅( ) 17:43:57
这样就增加了违法成本 | ||||||||||
|
| 东方企鹅( ) 17:44:19
大家对三权分立的思想没有问题了吧？ | ||||||||||
|
| 魔幻彩虹< > 17:45:16
有个问题,这样是不是增加使用成本阿 | ||||||||||
|
| 东方企鹅( ) 17:45:26
这个要说到刚才假想敌的问题，最大的假想敌就是设计开发人员，其次就是应用的管理人员了啊 | ||||||||||
|
| 东方企鹅( ) 17:46:06
刚才的三权分立就是防止应用的管理员作弊 | ||||||||||
|
| 东方企鹅( ) 17:46:29
好了，接着说如何防止开发人员作弊 | ||||||||||
|
| 东方企鹅( ) 17:46:50
首先，这个防止是指交付用户使用后的防止 | ||||||||||
|
| 东方企鹅( ) 17:47:12
那么首先要有脱离开发者的一部分 | ||||||||||
|
| 不觉流水年长( ) 17:47:24
你说的窃取数据是前台还是后台 | ||||||||||
|
| 东方企鹅( ) 17:47:39
随便 | ||||||||||
|
| 东方企鹅( ) 17:47:54
我不是上黑客课程 | ||||||||||
|
| 魔幻彩虹< > 17:47:54
有个问题 | ||||||||||
|
| 东方企鹅( ) 17:47:58
说 | ||||||||||
|
| 魔幻彩虹< > 17:48:20
首次使用系统地时候,该怎么办 | ||||||||||
|
| 东方企鹅( ) 17:48:39
刚才那位说的前台后台，说明根本没听懂我说的嘛 | ||||||||||
|
| 东方企鹅( ) 17:48:49
我连系统开发人员都可以防止 | ||||||||||
|
| 东方企鹅( ) 17:49:10
你说系统开发人员可以拿到什么权限？ | ||||||||||
|
| 东方企鹅( ) 17:49:34
首先，防止开发人员删除数据 | ||||||||||
|
| 东方企鹅( ) 17:49:49
这个是采用异地备份来解决 | ||||||||||
|
| 东方企鹅( ) 17:49:53
很简单 | ||||||||||
|
| 东方企鹅( ) 17:50:14
使用两台服务器，一台使用一台备份 | ||||||||||
|
| 不觉流水年长( ) 17:51:04
知道数据库密码 想要啥权限不难的吧 你仅是控制用户登陆客户端? | ||||||||||
|
| 东方企鹅( ) 17:51:11
如果系统开发人员在使用的服务器上删除，则可以由备份恢复，备份服务器的权限不对维护人员开放就可以了 | ||||||||||
|
| 东方企鹅( ) 17:51:19
我日 | ||||||||||
|
| 东方企鹅( ) 17:51:22
还是不懂 | ||||||||||
|
| 东方企鹅( ) 17:51:34
我都说了，防止开发人员 | ||||||||||
|
| 不觉流水年长( ) 17:51:37
| ||||||||||
|
| 老树呆猫( ) 17:51:39
企鹅不要理他，他的问题你要一一回答，这个事你就说不完了。 | ||||||||||
|
| 东方企鹅( ) 17:51:42
什么是开发人员？ | ||||||||||
|
| 老树呆猫( ) 17:51:57
流水这些问题稍后再问吧。 | ||||||||||
|
| 东方企鹅( ) 17:52:03
开发人员对一个系统来说就是上帝 | ||||||||||
|
| 东方企鹅( ) 17:52:15
我们就是要设计一个没有上帝的系统 | ||||||||||
|
| 东方企鹅( ) 17:52:26
所以一点点的来 | ||||||||||
|
| 东方企鹅( ) 17:52:37
首先，采用备份解决上帝删除数据 | ||||||||||
|
| 东方企鹅( ) 17:52:45
这个大家没有异议吧？ | ||||||||||
|
| 魔幻彩虹< > 17:53:22
继续 | ||||||||||
|
| 东方企鹅( ) 17:53:46
然后就涉及到数据的窥探和伪造了 | ||||||||||
|
| 东方企鹅( ) 17:54:02
数据的窥探，肯定要加密 | ||||||||||
|
| 老树呆猫( ) 17:54:35
恩，限制系统开发人员的权限的核心思想，应该是隔离开发人员和数据。开发人员只能改变逻辑，而无法改变数据，能这样理解么？ | ||||||||||
|
| 东方企鹅( ) 17:54:48
问题是，加密就有加密密钥，怎么让加密密钥脱离开设计者 | ||||||||||
|
| 东方企鹅( ) 17:55:02
呆猫的理解正确 | ||||||||||
|
| 老树呆猫( ) 17:55:34
企鹅请继续 | ||||||||||
|
| 东方企鹅( ) 17:55:55
因为加密算法是设计着设计的，他唯一不能知道的就是加密密钥 | ||||||||||
|
| 东方企鹅( ) 17:56:29
如果我们采用读取usb key的方式，而另外开发一个写usb key 的程序 | ||||||||||
|
| 东方企鹅( ) 17:56:51
就可以把密钥脱离设计者了 | ||||||||||
|
| T M D( ) 17:57:10
| ||||||||||
|
| 东方企鹅( ) 17:57:28
比如数据库的关键数据全部加密了，尽管设计者知道加密的算法是什么，可是也无法窥探 | ||||||||||
|
| 东方企鹅( ) 17:57:41
我日 TMD | ||||||||||
|
| T M D( ) 17:57:40
| ||||||||||
|
| 东方企鹅( ) 17:58:34
我靠 | ||||||||||
|
| 东方企鹅( ) 17:58:58
下班回家 | ||||||||||
|
| 老树呆猫( ) 17:59:04
T M D | ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
| |||||||||||
|
|
| ||||||||||
|
| |||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
| 无迹影( ) 9:23:35
借鸡生蛋，很多老板用得很好 | ||||||||||
|
| 东方企鹅( ) 9:24:01
同学们早上好 | ||||||||||
|
| 东方企鹅( ) 9:24:15
有要继续昨天内容的人吗？ | ||||||||||
|
| 低调的神( ) 9:24:19
早 | ||||||||||
|
| 海盗< > 9:24:24
morning | ||||||||||
|
| 东方企鹅( ) 9:24:26
有的话我们就继续 | ||||||||||
|
| 小魔鬼( ) 9:24:31
morning | ||||||||||
|
| 无迹影( ) 9:24:46
比如房子还没做好就要业主签约，学名叫期房，借了业主的钱建房子。 | ||||||||||
|
| 无迹影( ) 9:24:54
morning | ||||||||||
|
| 海盗< > 9:25:34
是啊， | ||||||||||
|
| 海盗< > 9:26:37
小无同学最近在研究经商？ | ||||||||||
|
| 无迹影( ) 9:27:11
做生意要是学会借，你就赚了，除了借鸡生蛋外，还有借花献佛，借尸还魂。。。。 | ||||||||||
|
| 海盗< > 9:27:49
| ||||||||||
|
| 无迹影( ) 9:28:07
客气了 | ||||||||||
|
| 反方向( ) 9:28:27
| ||||||||||
|
| 无迹影( ) 9:28:35
三国中的，草船借箭是个经典例子 | ||||||||||
|
| 反方向( ) 9:28:51
借腹生子 | ||||||||||
|
| 无迹影( ) 9:29:02
这个也是 | ||||||||||
|
| 无迹影( ) 9:29:29
不过，借不是最好的，他只让你成为商人，无法成为企业家 | ||||||||||
|
| |||||||||||
|
| 无迹影( ) 9:30:09
晕，公司要停电 | ||||||||||
|
| 低调的神( ) 9:31:57
思想深度 和修养的区别 | ||||||||||
|
| 低调的神( ) 9:32:11
企业家的眼光远高于商人 | ||||||||||
|
| 低调的神( ) 9:32:14
想的更远 | ||||||||||
|
| 海盗< > 9:33:19
企业家一定是商人，但商人不一定是企业家。 | ||||||||||
|
|
| ||||||||||
|
|
| ||||||||||
|
| 城市里的鱼< > 9:35:37
黄老师 想接着讲 昨天的 开始吧 | ||||||||||
|
| |||||||||||
|
| 东方企鹅( ) 9:36:46
鱼头 | ||||||||||
|
| 东方企鹅( ) 9:36:50
鸟人 | ||||||||||
|
| 城市里的鱼< > 9:37:26
干啥 快讲啊 | ||||||||||
|
| 东方企鹅( ) 9:37:41
昨天你听到那里了哦？ | ||||||||||
|
| 东方企鹅( ) 9:37:48
你说说看 | ||||||||||
|
| 东方企鹅( ) 9:37:58
我不记得昨天到那里了 | ||||||||||
|
| 冰危节奏( ) 9:38:26
对上帝作弊行为的阻止 | ||||||||||
|
| 冰危节奏( ) 9:38:48
两点，1.远程数据备份，2.加密 | ||||||||||
|
| 东方企鹅( ) 9:38:47
哦，首先是防止上帝删除数据 | ||||||||||
|
| 东方企鹅( ) 9:38:59
第二，防止上帝偷窥 | ||||||||||
|
| 东方企鹅( ) 9:39:35
第一条很简单，就是用另外一台服务器备份 | ||||||||||
|
| 东方企鹅( ) 9:39:50
第二条，对数据加密 | ||||||||||
|
| 海盗< > 9:40:04
go on | ||||||||||
|
| 东方企鹅( ) 9:40:07
在加密的时候，就有很多讲究了 | ||||||||||
|
| 东方企鹅( ) 9:41:19
对大文档，比如word什么的，我们采用des之类的算法加密算法 | ||||||||||
|
| 东方企鹅( ) 9:42:11
问题是，上帝很可能能拿到那个des加密的密钥 | ||||||||||
|
| 东方企鹅( ) 9:42:30
所以我们采用了一个usbkey的方式来解决这一问题 | ||||||||||
|
| 东方企鹅( ) 9:43:02
如果软件维护人员需要对系统进行直接操作，就换上调试用key | ||||||||||
|
| 东方企鹅( ) 9:44:41
然后，我们注意到，上帝可以采用复制数据的方法，可能很容易拿到管理员的权限 | ||||||||||
|
| 东方企鹅( ) 9:45:01
如果你的用户密码采用md5 | ||||||||||
|
| 英子①< > 9:45:18
师傅 上帝是客户吧？ | ||||||||||
|
| 东方企鹅( ) 9:45:32
上帝是程序开发人员 | ||||||||||
|
| 英子①< > 9:46:38
昨天也讲了课？ | ||||||||||
|
| 东方企鹅( ) 9:46:47
我重新说一下，我讲解的是如果开发一个程序开发人员也无法破坏、伪造、窃取、偷窥数据的相对安全的系统 | ||||||||||
|
| 海盗< > 9:47:00
上帝可以采用复制数据的方法？ | ||||||||||
|
| 英子①< > 9:47:04
回去翻记录去 | ||||||||||
|
| 城市里的鱼< > 9:47:42
调试用key 那里来的 有谁保管 | ||||||||||
|
| 东方企鹅( ) 9:47:57
这个由客户保管啊 | ||||||||||
|
| 东方企鹅( ) 9:50:51
在用户数据库中，还有些数据很容易偷窥 | ||||||||||
|
| 英子①< > 9:50:52
好像以前师傅提过 互相牵制 | ||||||||||
|
| 东方企鹅( ) 9:51:04
比如用户权限字符串 | ||||||||||
|
| 东方企鹅( ) 9:52:12
如果不加密，很容易伪造一个高权限的用户 | ||||||||||
|
| 城市里的鱼< > 9:53:52
go on | ||||||||||
|
| 东方企鹅( ) 9:54:06
当然，简单的加密也不行，如果用同一个密钥加密 | ||||||||||
|
| 城市里的鱼< > 9:54:55
那应该咋加密 | ||||||||||
|
| 城市里的鱼< > 9:55:06
多用几个不同密匙？ | ||||||||||
|
| 东方企鹅( ) 9:55:24
上帝一样可以在不知道密钥的情况下，直接把超级用户加密后的权限字符串复制给自己 | ||||||||||
|
| 城市里的鱼< > 9:56:31
how to avoid ？ | ||||||||||
|
| 东方企鹅( ) 9:56:35
所以整个系统应该是从那个usbkey开始，有一套完全封闭，而又与用户个人信息相关联的加解密系统 | ||||||||||
|
| 英子①< > 9:56:48
随机字符加密呢？ | ||||||||||
|
| 东方企鹅( ) 9:56:59
随机加密，你不打算解密了？ | ||||||||||
|
| 东方企鹅( ) 9:57:42
所以并不是什么随机加密 | ||||||||||
|
| 东方企鹅( ) 9:58:48
下面的内容就牵涉到用户的数字签名验证技术了 | ||||||||||
|
| 东方企鹅( ) 9:59:06
首先我来给大家介绍一下数字签名的实现原理 | ||||||||||
|
| 春风笑(379811629) 9:59:33
SQL Server2008 加密技术支持在加密字段时关联相关字段 解密时需要验证相关字段 验证不通过解密不了 可以防止复制 | ||||||||||
|
| 东方企鹅( ) 10:00:35
数字签名涉及到hash | ||||||||||
|
| 东方企鹅( ) 10:01:07
不对称加密 | ||||||||||
|
| 东方企鹅( ) 10:01:10
对称加密 | ||||||||||
|
| 春风笑(379811629) 10:01:28
还有证书吧 | ||||||||||
|
| 东方企鹅( ) 10:03:02
hash大家应该知道基本原理的了 | ||||||||||
|
| 东方企鹅( ) 10:03:30
所谓的数字证书就是先用rsa生成一对密钥 | ||||||||||
|
| 东方企鹅( ) 10:04:29
然后把加密密钥给客户保管 | ||||||||||
|
| 东方企鹅( ) 10:04:46
解密密钥由安全认证服务器保管 | ||||||||||
|
| 东方企鹅( ) 10:06:07
客户如果给一个文档签名，就是先给文档做hash | ||||||||||
|
| 东方企鹅( ) 10:06:35
然后用客户的加密密钥加密，保存到数据库 | ||||||||||
|
| 东方企鹅( ) 10:07:33
那个加密后的hash就是数字签名了 | ||||||||||
|
| 东方企鹅( ) 10:11:00
日后核对的时候，就用安全认证服务器保管的那个解密密钥解开数字签名，和现在的文档做出的hash值对比 | ||||||||||
|
| 东方企鹅( ) 10:11:24
如果一致就可以说明是该用户签的 | ||||||||||
|
| 东方企鹅( ) 10:11:41
这个就是所谓数字签名及证书了 | ||||||||||
|
| 东方企鹅( ) 10:11:58
回到刚才的问题 | ||||||||||
|
| 东方企鹅( ) 10:12:26
最早我说到过在应用中的三权分立 | ||||||||||
|
| 东方企鹅( ) 10:12:45
接下来，在部署中也使用三权分立 | ||||||||||
|
| 东方企鹅( ) 10:13:43
就是应用逻辑和用户身份验证分离，和备份分离 | ||||||||||
|
| 低调的神( ) 10:14:31
rsa是？ | ||||||||||
|
| 低调的神( ) 10:14:52
什么加密算法 | ||||||||||
|
| 低调的神( ) 10:15:01
他能生成密钥对？ | ||||||||||
|
| 东方企鹅( ) 10:15:10
rsa就是非对称加密啊 | ||||||||||
|
| 东方企鹅( ) 10:16:19
所谓的不对称加密就是指密钥是成对出现的，由加密密钥和解密密钥组成，只能使用加密密钥加密，加密后，只能用相配对的那个解密密钥解开 | ||||||||||
|
| 低调的神( ) 10:16:35
对称加密呢 | ||||||||||
|
| 东方企鹅( ) 10:16:33
对称加密就是加密解密都是同一根密钥 | ||||||||||
|
| 低调的神( ) 10:16:41
明白 | ||||||||||
|
| 低调的神( ) 10:16:52
接着讲上面的 三权分立 | ||||||||||
|
| 低调的神( ) 10:17:40
老鱼能整理下嘛 | ||||||||||
|
| 低调的神( ) 10:17:46
企鹅的内容 | ||||||||||
|
| 城市里的鱼< > 10:17:59
我忙 你整理吧 | ||||||||||
|
| 城市里的鱼< > 10:18:12
你在国企 闲的蛋疼 我这几天忙晕了 | ||||||||||
|
| 英子①< > 10:18:31
我翻记录 下午整理 | ||||||||||
|
| 低调的神( ) 10:18:40
昨天记录都没了 | ||||||||||
|
| 低调的神( ) 10:18:55
老鹅 | ||||||||||
|
| 低调的神( ) 10:19:01
接着讲哇 | ||||||||||
|
| 英子①< > 10:19:21
我去群社区翻 | ||||||||||
|
| 英子①< > 10:19:52
没有的话进webqq翻 | ||||||||||
| 东方企鹅( ) 10:20:18
如果把用户身份验证和数字签名功能独立出去 | |||||||||||
| 东方企鹅( ) 10:20:31
作为一个单独的应用 | |||||||||||
| 东方企鹅( ) 10:20:57
那么上帝不就无法偷窥我们的数据了？ | |||||||||||
| 低调的神( ) 10:21:52
这个不一定吧 | |||||||||||
| 低调的神( ) 10:21:59
分离出去就弄不到了？ | |||||||||||
| 东方企鹅( ) 10:22:13
你说说可以这么弄到呢？ | |||||||||||
| 低调的神( ) 10:22:34
你说下怎么个独立法 | |||||||||||
| 低调的神( ) 10:22:42
这不太明白 | |||||||||||
| 低调的神( ) 10:23:08
另外 ，私钥信息是个文件吧 | |||||||||||
| 东方企鹅( ) 10:23:10
就是身份验证和数字签名是一个独立的应用啊 | |||||||||||
| 城市里的鱼< > 10:23:18
低调 他现在 只是将 大概的理论 哪有那么详细 | |||||||||||
| 城市里的鱼< > 10:23:34
要那样详细的讲 的 好多天 吧 应该 | |||||||||||
| 低调的神( ) 10:23:34
私钥信息是个文件吧 那保存在哪里啊 | |||||||||||
| 低调的神( ) 10:23:48
嗯 | |||||||||||
| 贝易达-辛( ) 10:26:09
就是理论明白了 实现怎么办呢 | |||||||||||
| 不觉流水年长( ) 10:26:40
企鹅咋不讲了嘞 | |||||||||||
| 英子①< > 10:27:34
人家或许走开了一下下 | |||||||||||
| 东方企鹅( ) 10:29:27
其他的应用只是使用那个验证中心的服务 | |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
| Qiang(27783435) 10:37:05
请继续授课，不要说话啦 | |||||||||||
| Qiang(27783435) 10:37:17
有问题，记录下来，等讲完发问.. | |||||||||||
| 英子①< > 10:37:50
师傅生气了 | |||||||||||
| 东方企鹅( ) 10:37:53
不是 | |||||||||||
| 东方企鹅( ) 10:38:26
有个美女需要安慰 | |||||||||||
| 东方企鹅( ) 10:38:33
好了好了 | |||||||||||
| T M D( ) 10:38:42
i speak englis | |||||||||||
| 城市里的鱼< > 10:39:40
企鹅 go on pls | |||||||||||
| Qiang(27783435) 10:41:03
企鹅 go on pls | |||||||||||
| 东方企鹅( ) 10:41:34
不好意思，刚才老板叫我立即修改一下东西 | |||||||||||
| 东方企鹅( ) 10:42:21
不好意思，下午继续吧 | |||||||||||
| 东方企鹅( ) 10:42:24
对不起大家 | |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
|
| |||||||||||
浙公网安备 33010602011771号