云计算下的信息安全(含事例分析)

文章描述:-2022年2月19日发(作者:职业性格类型) 云计算下的信息安全(含事例分析) 从信息安全大事件分析云计算下信息安全 影响 本文从Stuxnet 蠕虫病毒、CSD 网站用户数据泄露心脏滴血三个事件分析当今信息安全面临的一些问题。因笔者才疏学浅,仅从云计算一个角度,管中窥豹地分析了网络安全对世界的影响。b5E2RGbCAP 一. 事件之Stuxnet 蠕虫病毒 Stux

-

云计算下的信息安全(含事例分析) 2022年2月19日发(作者:职业性格类型)




云计算下的信息安全(含事例分析)

从信息安全大事件分析云计算下信息安全
影响
本文从Stuxnet 蠕虫病毒、CSD 网站用户数据泄露心脏滴血三个事件分析
当今信息安全面临的一些问题。因笔者才疏学浅,仅从云计算一个角度,管中窥豹地
分析了网络安全对世界的影响。
b5E2RGbCAP
一. 事件之Stuxnet 蠕虫病毒
Stuxnet 及其变种是一种利用最新的Windows Shell 漏洞传播恶意文件的蠕虫,
被多国安全专家形容为全球首个“超级工厂病毒”,又名“震网”,主要针对微软件
系统以及西门子工业系统。造成这个漏洞的原因是Windows 错误地分析快捷方式,当
用户单击特制快捷方式的显示图标时可能执行恶意代码(文件带有.LK 扩展名)。伊
朗第一座核电厂“不什尔电厂”已成为其攻击目标。
p1EanqFDPw
Stuxnet 蠕虫病毒最大的特点是打破恶意程序只攻击用户电脑的“惯例”,将攻
击目标偏向于用户的生活与生存环境上来。一旦用户的电脑不幸遭受Stuxnet 蠕虫病
毒入侵,不但会使用户电脑变成任由其摆布的“肉鸡”,而且还会引发“多米诺骨牌
效应”,导致与受害用户联网的人遭受同样攻击,显然大数据和云计算的策略加剧
了它的效果。
DXDiTa9E3d
该病毒可通过伪装RealTek 与JMicron 两大公司的数字签名,从而顺利绕过安全
产品的检测。从编写手法上看,该病毒将来很可能出现
RTCrpUDGiT
同样原理的复杂病毒。Stuxnet 病毒还会不断的变种,其隐蔽性、攻击力度和破
坏程度会越来越强,易于修改以产生新的变种,从而逃避反病毒软件的搜索。另外,
1 10


新病毒利用Java 、ActiveX 、VB Script等技术,可以潜伏在HTML 页面里,在上网
浏览时触发。与黑客技术相结合,潜在的威胁和损失更大。
5PCzVD7HxA
将此事件联系到我国的核电站建设中,可分析得以下几点存在安全隐患:物理隔
离存在风险,工业控制系统固有缺陷,专业性攻击的日益简单化,核电站工业控制系
统的标准。考虑到云计算和大数据的来临,更对于Stuxnet 病毒的传播带来了更大的
方便,也对每一个网络节点的抗毒带来了巨大的压力。
jLBHrnAILg
二. 事件之CSD 网站用户数据泄露
2011年,CSD 网站用户数据库被黑客在网上公开,大约600 余万注册邮箱账号
和与之对应明文密码泄露。黑客很有可能是通过 CSD 的某项应用服务器为通道实施
的入侵。但 CSD 网站的相关人员可以肯定的是,CSD 云平台确实存在不能够及时发
现的安全漏洞以至于才让黑客利用这个漏洞到了入侵的机会。和中国已列出的云计
算安全七宗罪来看,其中“共享技术漏洞”和“不安全的应用程序接口”最有可能是
出现此次 CSD 泄密事件的罪魁祸首之一。
xHAQX74J0X
从密码安全的角度去分析这个问题,我们可以看到:CSD 被泄露的数据库中包含
了 642 万多个用户的帐号、密码等信息,严重威胁了相关用户的信息安全。此次事件
之后,人人网、猫扑、嘟嘟牛、178
LDAYtRyKfE
游戏网等多家网站的部分用户数据库也纷纷被传到网上并提供下载,甚至有媒体
曝光国内十几家大型门户级网站的数据库也已经被黑客“拖库”,因此将 2011 年末
的密码危机推向了高潮。 “拖库”一词本来是数据库领域的专业术语,通常泛指从数
据库中导出数据。黑客如果通过某种非正常途径入侵网站后,就可以窃取其中的数据
库,下载所有信息。 从目前网站系统来看,在密码保存上,使用最多的算法就是国际
通用的标准算法———MD5 HASH 算法。但实际上,HASH 算法本身设计的初衷并不是
2 10


用来加密,而是用来消息验证的。网站开发人员一般都是因为 HASH 算法具有不可逆
的特性所以用其来保存密码的。可是, HASH 算法的不可逆是有一个前提假设的,那
就是明文集合是无限大的。但平时设置的口令并不一样,口令的长度一般都比较短,
同时可使用的字符也非常有限,这样 HASH 算法的单向性已经失去了它原有的意义,
黑客已经可以通过一个完整的明文和密文的对照表(彩虹表)中到口令明文的还原。
因此,应想一些策略来应对,如采用“一粒盐”的做法。就是在 MD5 生成的 HASH 值
后增加一个扰动,使得 HASH 值与标准的 HASH 结果不同,这样就可以抵抗通过查
彩虹表来查明文了。
Zzz6ZB2Ltk
三. 事件之OpenSSL 心脏滴血
2014 年 4 月 7 日 OpenSSL 发布了安全公告,在 OpenSSL1.0.1 版本中存在严
重漏洞(CVE-2014-0160)。 OpenSSLHeartbleed 模块存在
dvzfvkwMI1
一个 BUG ,问题存在于 ssldl_ 文件中的心跳部分,当攻击者构造一个
特殊的数据包,满足用户心跳包中无法提供足够多的数据会导致 memcpy 函数把
SSLv3 记录之后的数据直接输出,该漏洞导致攻击者可以远程读取存在漏洞版本的
OpenSSL 服务器内存中多达64K 的数据,这段内存数据可能包含证书私钥、用户名与
密码、聊天信息、、重要的商业文档、通信等数据。
rqyn14ZXI
SSL 协议是指安全套接字层(SecureSocketLayer)协议[1],etscape 公司于 1996
年推出的安全协议, 它由3个阶段组成, 即初始握手阶段、应用之间对话阶段和结束
握手阶段。在初始握手阶段, 安全通信建立, 在第二阶段对数据进行加密,SSL 通过这
一过程为通信应用进程提供了安全通道。
EmxvxOtOco
分层化结构式SSL 协议的主要特征, 层次结构主要划分为两个部分: 握手协议
(HandshakeProtocol):该协议是经过认证的密钥交换协议, 主要用于加密算法和参数
3 10

-

云计算下的信息安全(含事例分析)

发布时间:2022-02-19 01:38:23
文章版权声明:除非注明,否则均为IT技术网-学习WEB前端开发等IT技术的网络平台原创文章,转载或复制请以超链接形式并注明出处。

发表评论

评论列表 (有 12 条评论,69人围观)