| |
北京郵電大學(xué)的PC防火墻
PC防火墻(Secure PC)是北京郵電大學(xué)信息安全中心研制開(kāi)發(fā)的具有完全自主知識(shí)產(chǎn)權(quán)的桌面防火墻系統(tǒng)。已經(jīng)通過(guò)專家鑒定，獲得了公安部頒發(fā)的合格檢測(cè)證書。Secure PC基本與國(guó)外最新推出的同類產(chǎn)品持平，有此功能甚至更勝一籌。
從而向用戶的角度來(lái)說(shuō)，這種防火墻頗具特色，更適合于中國(guó)人的思維習(xí)慣和生活習(xí)慣。傳統(tǒng)意義下的防火墻是從保護(hù)局域網(wǎng)的攻擊。隨著PC機(jī)的迅速普及，PC機(jī)的安全問(wèn)題和原有局域網(wǎng)一起都成為了防火墻的保護(hù)對(duì)象。由于PC機(jī)環(huán)境和用戶的特殊性，不管從技術(shù)上還是從用戶需求來(lái)說(shuō)都有許多的不同。傳統(tǒng)防火墻考慮得更多的是進(jìn)入局域網(wǎng)內(nèi)部的主機(jī)系統(tǒng)的安全，而PC機(jī)的防火墻則必須全面考慮主機(jī)系統(tǒng)的網(wǎng)絡(luò)信息，甚至系統(tǒng)所采用的應(yīng)用軟件，對(duì)于某種條件下，還得考慮PC機(jī)的多用戶問(wèn)題。
該系統(tǒng)的主要功能是實(shí)現(xiàn)對(duì)進(jìn)出主機(jī)的IP包的IP地址和協(xié)議端口的過(guò)濾�？紤]到桌面防火墻功能的特殊性，該產(chǎn)品主要由以下幾個(gè)模塊組成：
(1)過(guò)濾規(guī)則管理。對(duì)用戶提供方便實(shí)用的過(guò)濾規(guī)則管理界面，使用戶可以對(duì)當(dāng)前的防火墻過(guò)濾規(guī)則表中的記錄進(jìn)行增加、刪除和修改等各種操作，過(guò)濾規(guī)則表則以密文形式存放，對(duì)過(guò)濾規(guī)則表的訪問(wèn)系統(tǒng)提供用戶身份認(rèn)證的機(jī)制。
(2)過(guò)濾規(guī)則加密處理。以加密形式存放當(dāng)前防火墻的過(guò)濾規(guī)則，并利用雜湊函數(shù)實(shí)現(xiàn)對(duì)文件完整性的校驗(yàn)，從而防止未經(jīng)授權(quán)的用戶篡改和查看當(dāng)前防火墻的過(guò)濾規(guī)則。如果無(wú)過(guò)濾規(guī)則文件，系統(tǒng)將拒絕對(duì)任何外部IP的訪問(wèn)。
(3)啟用當(dāng)前過(guò)濾規(guī)則(Ring 3部分)。用戶通過(guò)該模塊應(yīng)用當(dāng)前最新的過(guò)濾規(guī)則。該模塊首先讀取過(guò)濾規(guī)則存放文件，將讀出的過(guò)濾規(guī)則解密后存放在常規(guī)內(nèi)存中的緩沖區(qū)中。再通過(guò)WIN32接口的DeviceIOControl調(diào)用Ring 0的過(guò)濾規(guī)則服務(wù)模塊，并將緩沖區(qū)指針作為調(diào)用參數(shù)傳遞。
(4)啟用當(dāng)前過(guò)濾規(guī)則(Ring 0部分)。該模塊接收WIN32應(yīng)用程序傳送來(lái)的存放當(dāng)前過(guò)濾規(guī)則的緩沖的指針，并使用NdisMoveMemory函數(shù)將存放在常規(guī)內(nèi)存緩沖區(qū)中的數(shù)據(jù)存入供VxD設(shè)備驅(qū)動(dòng)程序使用的系統(tǒng)堆中，從而使得這些過(guò)濾規(guī)則數(shù)據(jù)可以長(zhǎng)期存在，其生命周期和VxD一樣。
(5)面向上層網(wǎng)絡(luò)應(yīng)用程序的接口服務(wù)函數(shù)。這些接口函數(shù)均是Windows網(wǎng)絡(luò)應(yīng)用程序最終需要調(diào)用的網(wǎng)絡(luò)服務(wù)。通過(guò)這些服務(wù)，可以在上層與VxD可訪問(wèn)的系統(tǒng)內(nèi)存中的包過(guò)濾規(guī)則，然后應(yīng)用這些過(guò)濾規(guī)則對(duì)當(dāng)前IP包進(jìn)行處理，將處理后的IP包交于原來(lái)的Windows網(wǎng)絡(luò)協(xié)議 進(jìn)行處理，。這樣除了不被允許的IP包已經(jīng)被過(guò)濾掉了以外，其他一切防火墻未啟動(dòng)時(shí)一樣，從而實(shí)現(xiàn)了對(duì)IP包的成功過(guò)濾。
該防火墻系統(tǒng)能夠?qū)χ鳈C(jī)發(fā)送和接受的每一個(gè)IP包進(jìn)行檢查，獲取IP源地址、目標(biāo)地址和協(xié)議端口，并根據(jù)事先設(shè)定的規(guī)則拒絕或允許這個(gè)IP包通過(guò)。該防火墻能夠?qū)崿F(xiàn)對(duì)上層網(wǎng)絡(luò)應(yīng)用軟件的全透明控制。也就是說(shuō)，不管用戶是選用網(wǎng)景公司的NetScape瀏覽器還是微軟公司Explorer瀏覽器、不管是選用的是哪家的ftp軟件等，系統(tǒng)都將提供同樣的網(wǎng)絡(luò)安全服務(wù)。該系統(tǒng)的運(yùn)行有Windows95或Windows98平臺(tái)上。本新聞共 5頁(yè),當(dāng)前在第 5頁(yè) 1 2 3 4 5 |
|
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
