| |
由于FTP服務(wù)器常被用來(lái)做文件上傳與下載的工具，所以，其安全的重要性就不同一般。因?yàn)槿羝浔徊环ü粽吖テ频脑�，不但FTP服務(wù)器上的文件可能被破壞或者竊取;更重要的是，若它們?cè)谶@些文件上下病毒、木馬，則會(huì)給全部的FTP用戶帶來(lái)潛在的威脅。所以，保護(hù)FTP服務(wù)器的安全已經(jīng)迫在眉睫。
而要保護(hù)FTP服務(wù)器，就要從保護(hù)其口令的安全做起。筆者在這里就談?wù)劤Ｒ姷腇TP服務(wù)器具有的一些口令安全策略，幫助大家一起來(lái)提高FTP服務(wù)器的安全性。
策略一：口令的期限
有時(shí)候，F(xiàn)TP服務(wù)器不僅會(huì)給員工用，而且還會(huì)臨時(shí)給一個(gè)賬號(hào)給外部的合作伙伴使用。如筆者在FTP服務(wù)器管理的時(shí)候，銷售部門經(jīng)常會(huì)因?yàn)橐恍┪募容^大，無(wú)法通過(guò)電子郵件發(fā)送,需要通過(guò)FTP 服務(wù)器把文件傳遞給客戶。所以，在客戶或者供應(yīng)商需要一些大文件的時(shí)候，筆者就得給他們一個(gè)FTP服務(wù)器的臨時(shí)帳號(hào)與密碼。
筆者現(xiàn)在的做法就是，在FTP服務(wù)器設(shè)置一個(gè)賬號(hào)，但是，其口令則是當(dāng)天有效,第二天就自動(dòng)失效。如此的話，當(dāng)客戶或者供應(yīng)商需要使用FTP服務(wù)器的話，我只需要更改一些密碼即可。而不需要每次使用的時(shí)候，去創(chuàng)建一個(gè)用戶;用完后再把它刪除。同時(shí)，也可以避免因?yàn)闆]有及時(shí)注銷臨時(shí)帳戶而給服務(wù)器帶來(lái)安全上的隱患,因?yàn)榭诹顣?huì)自動(dòng)失效。
大多數(shù)FTP服務(wù)器，如微軟操作系統(tǒng)自帶的FTP服務(wù)器軟件，都具有口令期限管理的功能。一般來(lái)說(shuō)，對(duì)于臨時(shí)的帳戶，就可以跟帳戶與口令的期限管理一起，來(lái)提高臨時(shí)帳戶的安全性。而對(duì)于內(nèi)部用戶來(lái)說(shuō)，也可以通過(guò)期限管理，來(lái)督促員工提高密碼更改的頻率。
策略二：口令必須符合復(fù)雜性規(guī)則
現(xiàn)在由不少銀行，為了用戶帳戶的安全，進(jìn)行了一些密碼的復(fù)雜性認(rèn)證。如諸如888888等形式的密碼，已經(jīng)不在被接受。從密碼學(xué)上來(lái)說(shuō)，這種形式的密碼是非常危險(xiǎn)的。因?yàn)樗麄兛梢酝ㄟ^(guò)一些密碼破解工具，如密碼電子字典等等，非常輕松的進(jìn)行破解。
故為了提高口令本身的安全性，最簡(jiǎn)單的就是提高密碼的復(fù)雜程度。在FTP服務(wù)器中，可以通過(guò)口令復(fù)雜性規(guī)則，強(qiáng)制用戶采用一些安全級(jí)別比較高的口令。具體的來(lái)說(shuō)，可以進(jìn)行如下的復(fù)雜性規(guī)則設(shè)定。
1、不能以純數(shù)字或者純字符作為密碼
若黑客想破解一個(gè)FTP服務(wù)器的帳號(hào)，其所用的時(shí)間直接跟密碼的組成相關(guān)。如現(xiàn)在由一個(gè)八位數(shù)字的密碼，一個(gè)是純數(shù)字組成的，另外一個(gè)是數(shù)字與字符的結(jié)合。如分別為82372182與32dwl98s。這兩個(gè)密碼看起來(lái)差不多，可是對(duì)與密碼破解工具來(lái)說(shuō)，就相差很大。前面這個(gè)純數(shù)字的密碼，通過(guò)一些先進(jìn)的密碼破解工具，可能只需要24個(gè)小時(shí)就可以破解；可是，對(duì)于后面這個(gè)字母與數(shù)字結(jié)合的密碼，則其破解就需要2400個(gè)小時(shí)，甚至更多。其破解難度比原先那個(gè)起碼增加了100倍。
可見，字符與數(shù)字結(jié)合的口令，其安全程度是相當(dāng)高的。為此，我們可以在FTP服務(wù)器上進(jìn)行設(shè)置，讓其不接受純數(shù)字或者純字符的口令設(shè)置。
2、口令不能與用戶名相同
其實(shí)，我們都知道，很多時(shí)候服務(wù)器被攻破都是因?yàn)楣芾聿划?dāng)所造成的。而用戶名與口令相同，則是FTP服務(wù)器最不安全的因素之一。
很多用戶，包括網(wǎng)絡(luò)管理員，為了容易記憶與管理，他們喜歡把密碼跟用戶名設(shè)置為一樣。這雖然方便了使用，但是，很明顯這是一個(gè)非常不安全的操作。根據(jù)密碼攻擊字典的設(shè)計(jì)思路，其首先會(huì)檢查FTP服務(wù)器其帳戶的密碼是否為空；若不為空，則其會(huì)嘗試?yán)糜脩裘嗤目诹顏?lái)進(jìn)行破解。若以上兩個(gè)再不行的話，則其再嘗試其他可能的密碼構(gòu)成。
所以，在黑客眼中，若口令跟用戶名相同，則相當(dāng)于沒有設(shè)置口令。為此，在FTP服務(wù)器的口令安全策略中，也要把禁止口令與密碼一致這個(gè)原則強(qiáng)制的進(jìn)行實(shí)現(xiàn)。
3、密碼長(zhǎng)度的要求
雖然說(shuō)口令的安全跟密碼的長(zhǎng)度不成正比，但是，一般來(lái)說(shuō)，口令長(zhǎng)總比短好。如對(duì)于隨機(jī)密碼來(lái)說(shuō)，破解7位的口令要比破解5位的口令難度增加幾十倍，雖然說(shuō)，其口令長(zhǎng)度只是增加了兩位。所以，筆者在FTP服務(wù)器的口令策略中，強(qiáng)制用戶的口令必須達(dá)到六位。若用戶設(shè)置的口令低于六位的話，則服務(wù)器會(huì)拒絕用戶密碼更改的申請(qǐng)。 本新聞共 2頁(yè),當(dāng)前在第 1頁(yè) 1 2 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
