计算机网络的访问控制策略浅议

访问控制是网络安全防范和保护的主要策略,其主要任务是保证网络资源不被非法使用和非常访问。 1.入网访问控制 入网访问控制为网络访问提供了第一层控制。它控制哪些用户能够登录到服务器并获取网络资源,控制用户入网的时间和在哪台工作站入网。 用户的入网访问控制可分为3个步骤:用户名的识别与验证、用户口令的识别与验证、用户帐号     

电子银行系统访问控制模型浅析

企业不断发展壮大,所产生的信息也急剧增长,信息的安全关系到企业的成败。信息的存储要安全,信息的访问也要安全。要让合法的用户及时、准确地得到正确的信息,同时要避免非法的用户得到不该得到的信息,这是对信息进行访问控制要解决的问题。银行的信息化历程经历了单纯的信息收集阶段、有针对性的数据整理阶段,以及为决策提供帮助的知识提升阶段。不论在哪个阶段,对各类信息(如客户信息、竞争性商业信息、行业发展动态等)都需要加以保护,这是银行竞争与发展的宝贵财富。因此,选择一种适当的信息访问控制机制运用于银行内部的各个业务系统之…     

防治非法用户访问策略初探

文件保护是计算机系统安全的一个重要内容.在我们使用电脑的过程中,总会遇到有别人使用我们的计算机,甚至出现别有用心的人非法访问我们的机密资料的情况.怎样有效防范防止非法用户访问计算机信息,提高计算机信息的保密水平便成为困扰广大用户的一个问题,笔者认为应采取以下措施提高安全保密水平.     

防止非法用户访问策略初探

文件保护是计算机系统安全的一个重要内容.在我们使用电脑的过程中，总会遇到有别人使用我们的计算机，甚至出现别有用心的人非法访问我们的机密资料的情况。怎样有效防范防止非法用户访问计算机信息，提高计算机信息的保密水平便成为困扰广大用户的一个问题，笔者认为应采取以下措施提高安全保密水平。     

全性问题探讨

一、安全性技术银行信息系统的安全性技术应该从以下四个方面来考虑:1.访问控制:有效控制不同用户对不同信息的访问,并使不同用户之间形成相互制约的关系。主要包括设备使用控制、操作系统用户控制、数据库用户访问控制、应用系统的密码控制、操作跟踪控制等。     

等级划分与等级保护

自主访问控制。计算机信息系统可信计算基定义和控制系统中命名用户对命名客体的访问。实施机制允许命名用户以用户和(或)用户组的身份规定并控制客体的共享；阻止非授权用户读取敏感信息。     

生成式人工智能对个人信息权益的侵害风险及其法律规制

生成式人工智能的开发与应用可分为“海量数据的收集”“海量数据的训练”“模型的重复迭代”以及“模型的应用”四个阶段。生成式人工智能的开发模式可分为“独立开发模式”“用户参与模式”以及“开源提供模式”三种。生成式人工智能对个人信息权益的侵害风险主要包括：个人信息的非法收集与处理、已公开个人信息的不合理使用、用户生成信息的非法再处理以及个人信息泄露或非法保留。相应的规制路径可基于以下两个方面展开：在宏观上,应坚持包容审慎监管理念以及敏捷治理理念;在微观上,具体的规制方案应着眼于生成式人工智能的不同开发模式,明确不同主体的个人信息合规处理要求以及应承担的个人信息保护义务。     

互联网与信息化安全(六)

4.行为授权与访问控制 (1)、客体标签 访问控制是针对越权使用资源的防御措施.访问控制是一个主体集合(Subject)到另一个客体集合(Object)的映射:Fun(Subject,Object,Behavior),其目的是保证只有经过授权且被认证身份的使用者方可进行信息的存取,确保信息的访问是基于"Need to Know"和"Least Privilege"的原则,从而保护组织的资源.     

浅议Oracle数据库安全性策略

数据库安全一直是数据库管理员关注的焦点问题,数据库数据的丢失以及数据库被非法用户的侵入使得数据库管理员身心疲惫不堪。为此,本文将围绕数据库的安全性问题进行探讨,并给出相应的解决办法,以期对数据库管理员有所帮助。数据库安全性问题应包括两个部分:一、数据库数据的安全:它应能确保当数据库系统出现故障时,当数据库数据存储媒体被破坏时,以及当数据库用户误操作时,数据库信息不至于丢失;二、数据库系统不被非法用户侵入:它应尽可能地堵住潜在的各种漏洞,防止非法用户利用它们侵入数据库系统。对于数据库数据的安全问题,数据库管理…     

层层设防滴水不漏--思科一体化安全解决方案为金融网络保驾护航

FCC网络安全威胁与日俱增信息化进程的快速推进以及网络的逐步完善,使得网络所面临的病毒、黑客威胁也与日俱增,完善的网络安全解决方案就成了保障各行各业网络尤其是金融网络健康发展的迫切需要。据调查,目前大部分网络都遭受过来自内部和外部的双重攻击,包括对网络中数据信息的危害和对网络设备的危害。具体来说,网络安全面临的主要威胁有:非授权访问,即对网络设备及信息资源进行非正常使用或越权使用等;冒充合法用户,即利用各种假冒或欺骗手段非法获得合法用户的使用权限,以达到占用合法用户资源的目的;破坏数据的完整性,即使用非法手…     

又一重大网络隐患被发现

最近欧洲独立安全专家发现了又一个潜在的安全问题,可能被利用来攻击电子邮件用户。这个问题的起因是由于电子邮件程序不能处理附件文件名过长的问题,过长的文件名可以产生非法代码,毁坏电子邮件程序代码,然后使计算机执行非法命令。不像传统的被病毒感染的电子附件,此种安全隐患可以在用户仅仅是下载或是游览电子邮件信息时就对用户造成影响;而传统的病毒感染,只有在接收者真正打开被感染附件时,才可造成危害。     

安全性--电子商务的"生命"

当进行电子商务交易,特别是网络支付的时候,在公共的Internet网上需要传输消费者和商家的一些机密信息,如用户信用卡号、商家用户信息和订购信息等,而这些信息一直是网络非法入侵者或黑客的攻击目标.     

虚拟专用网（VPN）技术分析

安全的 VPN 系统集软硬件为一体,通过访问控制、传输加密以及网络化集中管理等技术,可在公共信息网络中为用户构建安全的内部互联网络系统,从而保证了网络通信中信息的安全传输。     

网上银行用户信息权益保护的必要性与制度设计

用户信息权益是一项独立的新型人格权益。网上银行特殊的交易方式和环境导致用户的许多个人信息都存在被不当收集、利用和扩散的危险,加之网上银行用户在信息权益保护上的弱势地位,因此有必要建立专门的网上银行用户信息权益保护制度。我国应在确立个人信息权益保护基本制度的基础上,制定专门法规明确网上银行用户信息权益的范围与内容、网上银行在用户信息权益保护中的义务以及银行业监管机构对用户信息权益保护的监管责任。     

如何编写基于代理的JAVA应用

一、前言 如何保护自己的企业内部网络安全,防范黑客及入侵者?常见的方法之一是完全隔断与因特网的连接。如果入侵者不能连接到企业内部网的任何一台机器,他们就不能非法进入您的系统。这种方法产生的副作用是,     

银行业数据库系统的安全机制

银行业数据库系统主要是为用户提供完善方便的金融信息和数据服务,实现金融数据信息的共享,设计银行业数据库安全系统的目的,是要合理有效地解决银行业数据库中的数据信息的共享问题。在安全的银行业数据库系统中,既要保证授权的合法用户对数据的有效存取,又能严格拒绝非法用户的攻击企图。具体地说,银行业数据库安全     

通过互联网查询个人信用报告问题解答

<正>一、如何防范信息泄露?为确保本人信用信息不被他人非法查询,避免因身份被盗用引发的信息泄露风险,借鉴国际经验做法,网上查询设置了严格的身份验证程序,即需要通过私密性问题验证或数字证书验证的方式确认个人身份的真实性。只有通过身份验证的个人才能注册成为查询用户。严格的身份验证程序可能会给个人带来不便,但确是有效保护个人信息的必要手段。查询网站设置了不同级别的查询操作安全防控措施。每次查询信用报告     

Tivoli率先推出企业保密性管理软件

为了迅速支持新的用户保密性法规,近日 Tivoli/IBM 公司率先推出了企业保密性管理软件,以帮助银行和其他机构适应金融服务现代化法案。在美国前15家银行机构中,已经有14家银行已经实现了企业系统管理解决方案向 Tivoli 标准的转变。金融服务现代化法案限制金融机构向第三方泄露用户非公开个人信息。此外,该法规要求金融机构向所有客户公开其保密性策略以及其与联营机构和非联营第三方之间的信息共享标准,并且必须为客户提供一种方法,使客户能够选择是否让第三方共享其信息。Tivoli SecureWay Privacy Manager 可帮助金融机构执行其保密性策略及实务。利用该软件,金融机构可以根据访问用户的角色限制其对个人保密信息和数据的访问。当应用系统访问个人数据时,Tivoli SecureWay Privacy Manager 中的访问控制引擎会查看用户是否已选择退出或执行该选择。这种新的访问控制级别可让金融机构使其实务与策略和客户的喜好相吻合,该软件还提供审计功能。     

口令安全

用户的口令是对系统安全的最大安全威胁。为什么这样说呢?因为用户不像系统管理员对系统安全要求那样严格,他们对系统的要求是简单易用。而简单和安全是互相矛盾的两个因素,简单就不安全,安全就不简单。简单的密码是暴露自己隐私最危险的途径,是对自己邮件服务器上的他人利益的不负责任,是对系统安全最严重的威胁。 下面将分三部分介绍口令安全。 安全与不安全的口令 首先应当明确在目前的普通机器上投有绝对安全的口令,因为目前UNIX工作站或服务器口令密码都是用8位(有的新系统是用13位)DES算法进行加密的,即有效密码只有前8位,超过8位的密码就没用了(这是DES算法决定的),昕以一味靠密码的长度是不可以的。而且DES加密算法已经可以被人很快破译。 因为设置密码的是人而不是机器,所以就存在安全的口令和不安全的口令。安全的口令真的可以让机器算5000年,不安全的口令只需要一次就能猜出。 安全的口令有以下特点： (1)位数&gt;6位。 (2)大小写字母混合。如果用一个大写字母,既不要放在开头,也不要放在结尾。 (3)如果你记得住的话,可以把数字无序的加在字母中。 (4)系统用户一定用8位口令,而且有～！@#$％^&amp;*&lt;&gt;?：”{}等符号。 不安全的口令则有如下几种情况： (1)使用用户名(帐号)作为口令。尽管这种方法在便于记忆上有着相当的优势,可是在安全上几乎是不堪一击。几乎所有以破解口令为手段的黑客软件,都首先会将用户名作为口令的突破口,而破解这种口令几乎不需要时间。在一个用户数超过一千的电脑网络中,一般可以找到10至20个这样的用户。 (2)使用用户名(帐号)的变换形式作为口令。将用户名颠倒或者加前后缀作为口令,既容易记忆又可以防止许多黑客软件。不错,对于这种方法的确是有相当一部分黑客软件无用武之地,不过那只是一些初级的软件。比如说著名的黑客软件John,如果你的用户名是fool．那么它在尝试使用fool作为口令之后,还会试着使用诸如fool123、fool1、loof、loof123、lofo等作为口令,只要是你想得到的变换办法,John也会想得到,它破解这种口令,几乎也不需要时间。 (3)使用自己或者亲友的生日作为口令。 这种口令有着很大的欺骗性,因为这样往往可以得到一个6位或者8位的口令,但实际上可能的表达方式只有100&#215;12&#215;31=37200种,即使再考虑到年月日三者共有六种排列顺序,一共也只有37200&#215;6=223200种。 (4)使用常用的英文单词作为口令。这种方法比前几种方法要安全一些。如果你选用的单词是十分偏僻的,那么黑客软件就可能无能为力了。不过黑客多有一个很大的字典库,一般包含10万～20万的英文单词以及相应的组合,如果你不是研究英语的专家,那么你选择的英文单词恐怕十之八九可以在黑客的字典库中找到。如果是那样的话,以20万单词的字典库计算,再考虑到一些DES(数据加密算法)的加密运算,每秒1800个的搜索速度也不过只需要110秒。 (5)使用5位或5位以下的字符作为口令。从理论上来说,一个系统包括大小写、控制符等可以作为口令的一共有95个,5位就是7737809375种可能性,使用P200破解虽说要多花些时间,最多也只需53个小时,可见5位的口令是很不可靠的,而6位口令也不过将破解的时间延长到一周左右。 实际上UNIX的口令设计是十分完善的,一般用户是不可能把自己的密码改成用户名、小于4位或简单的英文单词。这是UNIX系统默认的安全模式,是除了系统管理员(超级用户)以外不可以改变的。因此只要改过口令,应该说口令一般是安全的。重要的是一定要改口令,这应该是用户上网的第一件事。 对于系统管理员的口令即使是8位带～!@#$％^&amp;*的也不代表是很安全的,安全的口令应当是每月更换的带～！@#％^...的口令。而且如果一个管理员管理多台机器,请不要将每台机器的密码设成一样的,防止黑客攻破一台机器后就可攻击所有机器。获得主机口令的方法 口令被盗也就是用户在这台机器上的一切信息将全部丧失,并且危及他人信息安全,计算机只认口令不认人。最常见的是电子邮件被非法截获,上网时被盗用。而且黑客可以利用一般用户用不到的功能给主机带来更大的破坏。例如利用主机和Internet连接高带宽的特点出国下载大型软件,然后在从国内主机下载;利用系统管理员给用户开的shell和UNIX系统的本身技术漏洞获得超级用户的权利;进入其他用户目录拷贝用户信息。 获得主机口令的途径有两个： 1．利用技术漏洞。如缓冲区溢出,Sendmail漏洞,Sun的ftpd漏洞,Ultrix的fingerd,AIX的rlogin等等。 2．利用管理漏洞。如root身份运行httpd,建立shadow的备份但是忘记更改其属性,用电子邮件寄送密码等等。 如何对付口令攻击 目前的情况下系统管理员还不能依靠用户自觉保证口令的安全,管理员应当经常运用口令破解工具对自己机器上的用户口令进行检查,发现如在不安全之列的口令应当立即通知用户修改口令。邮件服务器不应该给用户进shell的权利,新加用户时直接将其shell指向／bin／passwd。对能进shell的用户更要小心保护其口令,一个能进shell的用户等于半个超级用户。保护好／etc／passwd和／etc／shadow当然是首要的事情。 不应该将口令以明码的形式放在任何地方,系统管理员口令不应该很多人都知道。 另外,还应从技术上保密,最好不要让root远程登录,少用Telnet或安装SSL加密Telnet信息。另外保护用户名也是很重要的事情。登录一台机器需要知道两个部分——用户名和口令。如果要攻击的机器用户名都需要猜测,可以说攻破这台机器是不可能的。     

我国农村数字金融的法律问题探讨

<正>农村数字金融存在用户信息保护问题一、农村数字金融存在用户信息泄露问题在农村数字金融服务过程中,金融机构需要收集大量用户信息,以便提供个性化服务和产品。然而,由于部分金融机构在信息安全管理方面的不善,用户信息在传输、存储或处理过程中容易发生泄露。此外,网络攻击、恶意软件以及内部人员泄密等因素也可能导致信息泄露。一旦信息泄露,可能使用户面临诈骗、侵权等风险,损害用户的经济利益和声誉。因此,解决信息泄露问题对于保障农村金融消费者权益具有重要意义。