设为首页收藏本站
切换到窄版

用户名  找回密码
 立即注册
帖子
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [16145] 2020-11-28_等保2.0系列安全计算环境之数据完整 ...
返回列表 发新帖
查看: 22|回复: 0

[16145] 2020-11-28_等保2.0系列安全计算环境之数据完整性、保密性测评

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-54

积分

管理员

积分
-54
发表于 2025-1-18 17:59:39 | 显示全部楼层 |阅读模式
2020-11-28_等保2.0系列安全计算环境之数据完整性、保密性测评 等 保 2 . 0 系 列 安 全 计 算 环 境 之 数 据 完 整 性 、 保 密 性 测 评 一 只 小 小 小 的 瓶 子   F r e e B u f   2 0 2 0 - 1 1 - 2 8 一 、 前 言 一 、 前 言 等 级 测 评 中 ， 相 信 很 多 测 评 师 在 内 的 人 都 不 是 很 了 解 数 据 的 完 整 性 和 数 据 的 保 密 性 ， 因 此 本 文 将 结 合 商 密 测 评 角 度 浅 淡 数 据 的 完 整 性 和 保 密 性 的 理 解 和 测 评 。 如 有 错 误 ， 欢 迎 指 正 。 二 、 定 义 二 、 定 义 2 . 1 完 整 性 完 整 性 通 俗 的 来 说 就 是 数 据 不 被 篡 改 和 非 授 权 访 问 。 目 前 完 整 性 主 要 是 通 过 哈 希 算 法 来 实 现 。 国 密 算 法 中 ， 能 够 提 供 数 据 完 整 性 的 算 法 主 要 是 ： S M 3 。 国 际 算 法 中 ， 能 够 提 供 数 据 完 整 性 的 算 法 主 要 是 ： M D 5 、 S H A 2 5 6 、 S H A 5 1 2 。 2 . 2 保 密 性 保 密 性 通 俗 的 来 说 就 是 数 据 不 能 是 明 文 ， 目 前 保 密 性 主 要 是 通 过 加 密 算 法 来 实 现 。 国 密 算 法 中 ， 能 够 提 供 数 据 保 密 性 的 算 法 主 要 是 ： S M 1 和 S M 2 ， 少 数 使 用 祖 冲 之 ， 无 线 局 域 网 中 使 用 S M 4 。 国 际 算 法 中 ， 能 够 提 供 数 据 保 密 性 的 算 法 主 要 是 ： D E S 、 3 D E S 、 R S A 、 A E S 、 E C C 等 。 三 、 数 据 的 完 整 性 测 评 三 、 数 据 的 完 整 性 测 评 a ) 应 采 用 校 验 技 术 或 密 码 技 术 保 证 重 要 数 据 在 传 输 过 程 中 的 完 整 性 ， 包 括 但 不 限 于 鉴 别 数 据 、 重 要 业 务 数 据 、 重 要 审 计 数 据 、 重 要 配 置 数 据 、 重 要 视 频 数 据 和 重 要 个 人 信 息 等 ； 测 评 理 解 ： 重 点 有 3 个 , 1 校 验 技 术 或 密 码 技 术 ； 2 传 输 过 程 中 的 完 整 性 ； 3 包 括 不 仅 限 于 鉴 别 数 据 、 重 要 业 务 数 据 、 重 要 审 计 数 据 、 重 要 配 置 数 据 、 重 要 视 频 数 据 和 重 要 个 人 信 息 等 。 先 一 个 个 来 看 ， 1 校 验 技 术 其 实 很 好 理 解 ， 就 是 类 似 T C P 协 议 的 C R C 校 验 码 或 者 海 明 校 验 码 等 ， 这 是 协 议 层 面 的 ， 如 果 按 照 这 要 求 利 街 ， 那 么 这 条 指 标 基 本 全 部 符 合 ， 所 以 目 前 测 评 难 点 不 是 在 这 里 ， 而 是 在 密 码 技 术 如 何 实 现 完 整 性 ， 这 里 是 一 个 容 易 弄 混 的 的 知 识 点 ， 可 能 大 部 分 人 有 疑 惑 ， 密 码 技 术 不 是 i 用 来 加 密 的 吗 ， 怎 么 能 用 来 保 证 完 整 性 呢 ? 其 实 在 商 用 密 码 中 ， 密 码 算 法 分 为 加 密 算 法 和 哈 希 算 法 两 大 类 ， 其 中 哈 希 算 法 常 见 是 M D 5 和 S H A 系 列 ， 哈 希 算 法 也 属 于 密 码 算 法 ， 所 以 通 过 密 码 技 术 完 全 可 以 实 现 完 整 性 校 验 ， 2 传 输 过 程 中 的 完 整 性 ， 传 输 过 程 中 的 完 整 性 主 要 通 过 协 议 来 实 现 ， 比 如 T L S 、 S S H 协 议 ， 通 过 M A C （ 消 息 校 验 码 ） 来 实 现 整 个 数 据 报 文 的 完 整 性 和 加 密 性 ， 无 论 报 文 本 身 内 容 是 否 进 行 加 密 和 哈 希 校 验 ， 这 个 应 该 比 较 好 理 解 把 ， 因 此 ， 测 评 中 ， 如 果 采 用 T L S 协 议 、 S S H 协 议 ， 默 认 其 实 应 该 是 符 合 传 输 过 程 中 的 完 整 性 要 求 的 。 3 重 要 数 据 的 理 解 ， 主 要 数 据 包 括 鉴 别 数 据 、 审 计 数 据 、 业 务 数 据 等 。 b ) 应 采 用 校 验 技 术 或 密 码 技 术 保 证 重 要 数 据 在 存 储 过 程 中 的 完 整 性 ， 包 括 但 不 限 于 鉴 别 数 据 、 重 要 业 务 数 据 、 重 要 审 计 数 据 、 重 要 配 置 数 据 、 重 要 视 频 数 据 和 重 要 个 人 信 息 等 。 操 作 系 统 的 存 储 过 程 完 整 性 。 操 作 系 统 鉴 别 数 据 主 要 就 是 用 户 名 、 口 令 、 组 I D 等 。 其 中 W i n d o w s N T 中 默 认 采 用 S A M
文 件 保 存 鉴 别 信 息 ， 其 中 口 令 字 段 采 用 S H A 哈 希 算 法 进 行 加 密 。 而 在 L i n u x 中 ， 口 令 保 存 s h a d o w 文 件 中 ， 口 令 也 是 采 用 S H A 哈 希 算 法 进 行 加 密 ， 主 要 有 三 类 ： $ 1 表 示 M D 5   ;   $ 6   表 示 S H A - 5 1 2   ;   $ 5   S H A - 2 5 6 。 可 能 在 这 里 大 家 有 疑 惑 ， 为 什 么 不 采 用 加 密 算 法 对 口 令 加 密 ， 而 采 用 哈 希 算 法 进 行 加 密 ？ 个 人 觉 得 原 因 主 要 有 2 个 ： 1 是 加 密 算 法 分 为 对 称 加 密 算 法 和 非 对 称 加 密 算 法 ， 无 论 哪 种 ， 都 需 要 安 全 的 保 存 密 钥 ， 这 就 导 致 鸡 生 蛋 和 蛋 生 鸡 的 问 题 ， 2 加 密 算 法 时 间 长 ， 哈 希 算 法 时 间 较 短 。 因 此 ， 操 作 系 统 的 数 据 传 输 过 程 的 完 整 性 要 求 中 默 认 是 符 合 的 。 至 于 业 务 数 据 、 审 计 数 据 存 储 过 程 中 的 完 整 性 ， 主 要 是 核 查 数 据 库 表 （ 业 务 数 据 、 审 计 数 据 ） 是 否 存 在 哈 希 字 段 ， 在 业 务 数 据 或 审 计 数 据 中 ， 数 据 在 前 端 一 般 通 过 j s o n 或 x m l 格 式 进 行 传 输 ， 那 么 数 据 的 完 整 性 应 该 是 核 查 相 关 数 据 库 表 字 段 中 是 否 包 含 完 整 性 校 验 字 段 。 目 前 测 评 项 目 中 极 为 少 见 ， 一 般 均 为 不 符 合 ， 印 象 中 好 像 只 有 个 一 个 系 统 实 现 存 储 过 程 中 的 完 整 性 校 验 。 但 是 如 果 通 过 T L S 、 S S H 等 协 议 ， 可 以 通 过 传 输 过 程 中 的 完 整 性 在 一 定 程 度 上 弥 补 存 储 过 程 中 的 完 整 性 。 其 实 在 开 发 过 程 中 ， 技 术 方 面 进 行 哈 希 校 验 并 不 难 ， 因 为 常 见 开 发 语 言 均 内 置 哈 希 函 数 ， 比 如 p h p 的 h a s h ( ) 、 j a v a 的 h a s h c o d e ( ) 等 ， 但 是 问 题 重 点 在 主 流 开 发 语 言 目 前 少 于 内 置 S M 3 等 国 密 哈 希 算 法 ， 随 着 商 密 应 用 的 测 评 ， 日 后 要 求 支 持 国 密 的 哈 希 算 法 估 计 会 成 为 测 评 要 求 判 定 之 一 ， 当 然 商 密 局 官 网 有 现 成 的 p h p 、 j a v a 、 c + + 源 代 码 库 下 载 ， 可 以 用 来 在 开 发 项 目 中 直 接 调 用 。 四 、 数 据 的 保 密 性 测 评 四 、 数 据 的 保 密 性 测 评 a ) 应 采 用 密 码 技 术 保 证 重 要 数 据 在 传 输 过 程 中 的 保 密 性 ， 包 括 但 不 限 于 鉴 别 数 据 、 重 要 业 务 数 据 和 重 要 个 人 信 息 等 ； 传 输 过 程 中 的 保 密 性 测 评 中 ， 这 个 比 较 简 单 ， 主 要 核 查 是 否 采 用 T L S 、 S S H 等 加 密 协 议 ， 其 中 常 见 的 问 题 主 要 集 中 在 以 下 两 个 地 方 ： 1 ） W i n d o w s 远 程 桌 面 R D P 是 否 符 合 传 输 过 程 中 的 保 密 性 ？ 笔 者 查 过 相 关 资 料 ， W i n d o w s 的 R D P 安 全 主 要 有 安 全 层 和 加 密 级 别 两 个 参 数 ， 其 中 安 全 层 有 R D P 安 全 层 、 协 商 和 T L S 1 . 0 共 3 个 值 ， 其 中 默 认 值 是 协 商 ， 安 全 层 安 全 层   值 值 描 述 描 述 协 商 强 制 使 用 客 户 端 支 持 的 最 安 全 的 方 法 。 如 果 支 持 传 输 层 安 全 ( T L S ) 版 本 1 . 0   , 则 它 将 用 于 验 证 R D 会 话 主 机 服 务 器 如 果 不 支 持 T L S   , 则 使 用 本 地 远 程 桌 面 协 议 ( R D P ) 加 密 来 保 证 通 信 安 全 , 但 不 验 证 R D 会 话 主 机 服 务 器 。 R D P 安 全 层 使 用 本 地 R D P 加 密 来 保 证 客 户 端 和 R D 会 话 主 机 服 务 器 之 间 的 通 信 安 全 。 如 果 选 择 此 设 置 . 则 不 验 证 R D 会 话 主 机 服 务 器 。 S S L ( T L S 1 . 0 ) S S L 方 法 要 求 使 用 T L S   1 . 0 验 证 R D 会 话 : 主 机 服 务 器 。 如 果 不 支 持 T L S   , 则 连 接 将 失 败 。 如 下 图 所 示 :

加 密 级 别 也 主 要 有 4 个 值 可 选 ， 分 别 是 低 、 客 户 端 兼 容 、 高 和 符 合 F I P S 标 准 ， 区 别 主 要 是 加 密 算 法 ， 加 密 加 密 级 别 级 别 值 值 描 述 描 述 低 此 级 别 使 用   5 6   位 加 密 对 从 客 户 端 向 服 务 器 发 送 的 数 据 进 行 加 密 。 不 对 从 服 务 器 向 客 户 端 发 送 的 数 据 进 行 加 密 。 兼 容 这 是 默 认 设 置 ， 此 级 别 以 客 户 端 支 持 的 最 大 密 钥 强 度 对 在 客 户 端 与 服 务 器 之 间 发 送 的 数 据 进 行 加 密 。 终 端 服 务 器 在 包 含 混 合 客 户 端 或 旧 版 客 户 端 的 环 境 中 运 行 时 使 用 此 级 别 。 高 此 级 别 使 用   1 2 8   位 加 密 对 从 客 户 端 向 服 务 器 发 送 的 数 据 以 及 从 服 务 器 向 客 户 端 发 送 的 数 据 进 行 加 密 。 终 端 服 务 器 在 只 包 含   1 2 8   位 客 户 端 （ 例 如 远 程 桌 面 连 接 客 户 端 ） 的 环 境 中 运 行 时 使 用 此 级 别 。 不 支 持 此 加 密 级 别 的 客 户 端 无 法 连 接 。 符 合 F I P S 标 准 此 级 别 使 用 联 邦 信 息 处 理 标 准   ( F I P S )   1 4 0 - 1   经 过 验 证 的 加 密 方 法 ， 对 从 客 户 端 向 服 务 器 发 送 的 数 据 以 及 从 服 务 器 向 客 户 端 发 送 的 数 据 进 行 加 密 和 解 密 。 不 支 持 此 加 密 级 别 的 客 户 端 无 法 连 接 。
由 此 可 知 ， 其 实 在 W i n d o w s S e r v e r 2 0 0 8 及 以 上 系 统 ， 默 认 R D P 就 支 持 加 密 ， 差 别 就 是 加 密 长 度 和 加 密 算 法 不 同 ， 至 于 采 用 何 种 算 法 ， 网 上 也 没 有 统 一 的 答 案 ， 抓 包 也 没 有 发 现 ， 猜 测 可 能 是 R C - 4 ， 如 果 是 W i n d o w s 1 0 客 户 端 连 接 W i n d o w s S e r v e r 2 0 0 8 , 默 认 配 置 下 使 用 的 是 T L S V 1 . 0 协 议 进 行 加 密 ， 如 下 图 ： b ) 应 采 用 密 码 技 术 保 证 重 要 数 据 在 存 储 过 程 中 的 保 密 性 ， 包 括 但 不 限 于 鉴 别 数 据 、 重 要 业 务 数 据 和 重 要 个 人 信 息 等 。 存 储 过 程 中 的 保 密 性 这 个 就 比 较 简 单 了 ， 主 要 是 核 查 相 关 账 户 的 口 令 、 业 务 数 据 、 审 计 数 据 是 否 加 密 存 储 ， 无 论 使 用 是 何 种 加 密 算 法 ， 只 要 非 明 文 ， 这 条 就 符 合 ， 实 践 中 ， 操 作 系 统 鉴 别 数 据 全 部 符 合 ， 默 认 都 是 使 用 哈 希 算 法 ， 业 务 系 统 的 鉴 别 数 据 ， 这 个 一 般 核 查 下 数 据 库 表 ， 部 分 系 统 可 能 仍 然 是 明 文 存 储 ， 至 于 业 务 数 据 、 审 计 数 据 之 类 基 本 实 践 中 未 见 过 使 用 加 密 存 储 ， 一 来 没 有 必 要 ， 二 来 会 影 响 性 能 ， 所 以 一 般 不 符 合 。 d 但 是 如 果 使 用 数 据 库 加 密 功 能 ， 默 认 该 项 为 符 合 ， 数 据 库 加 密   主 要 分 库 内 加 密 和 库 外 加 密 ， 库 内 加 密 主 要 是 调 用 的 数 据 库 本 身 的 加 密 功 能 ， 比 如 M S S Q L S E R V E R 的 T D E 功 能 、 O r a c l e 的 D B M S _ C R Y P T O ， 有 兴 趣 的 可 以 自 己 百 度 ， 库 外 加 密 主 要 通 过 第 三 方 厂 家 的 数 据 库 加 密 功 能 ， 为 了 避 免 推 销 ， 这 里 就 不 举 例 了 。
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-3-12 10:26 , Processed in 0.511390 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表