test

Sun Java System Web Proxy Server 4.0.8 管理指南

其他安全性注意事项

除了有人会尝试破坏加密之外，还存在其他安全性风险。网络面临的风险来自外部和内部的黑客，他们使用各种方法试图访问您的服务器以及服务器上的信息。除了在服务器上启用加密功能外，还应采取额外的安全性预防措施。例如，将服务器计算机放在一个安全的房间内，以及不允许任何不信任的个人将程序上载到您的服务器中。本节介绍使服务器更安全的一些重要内容。

本节包含以下主题：

限制物理访问

这种简单的安全方法常常会被忘记。将服务器计算机放在一个上锁的房间中，只有授权的用户才能进入该房间。此策略可防止任何人攻击服务器计算机本身。而且，要保护好计算机的管理（根）密码（如果有）。

限制管理访问

如果使用远程配置，请确保设置了访问控制，只允许少数用户和计算机进行管理。如果想要 Administration Server 为最终用户提供对 LDAP 服务器或本地目录信息的访问，请考虑维护两个 Administration Server 并使用群集管理。这样，启用了 SSL 的 Administration Server 将充当主服务器，另一个 Administration Server 供最终用户访问。有关群集的更多信息，请参见第 6 章。

您还应为 Administration Server 打开加密功能。如果未将 SSL 连接用于管理，那么通过不安全的网络执行远程服务器管理时应该格外小心，因为任何人都可以截取您的管理密码并重新配置您的服务器。

选择强密码

您可以在服务器中使用多个密码：管理密码、私钥密码、数据库密码等等。管理密码是最重要的密码，因为持有该密码的用户可以在您的计算机上配置任何服务器。私钥密码是第二重要的密码。拥有您的私钥和私钥密码的任何用户都可以创建虚设服务器（伪装成您的服务器），或截取和更改服务器的通信信息。

密码最好便于您自己记忆，别人又无法猜到。例如，可以将 MCi12!mo 记成 "My Child is 12 months old!"。不要使用孩子的姓名或生日作为密码。

创建难以破解的密码

遵循以下指导可创建更强大的密码。不必将以下所有规则都用于一个密码，但使用的规则越多，密码就越难以猜到。一些提示：

更改密码或 PIN

请定期更改信任数据库/密钥对文件密码或 PIN。如果 Administration Server 中启用了 SSL，启动服务器时将需要此密码。定期更改密码可以增加对服务器的额外保护。

只能在本地计算机上更改此密码。有关更改密码时应考虑的准则列表，请参见创建难以破解的密码。

Procedure更改信任数据库/密钥对文件密码

  1. 访问 Administration Server 或 Server Manager，并单击 "Security" 选项卡。

  2. 单击 "Change Key Pair File Password" 链接。

  3. 从 "Cryptographic Module" 下拉式列表中，选择要更改密码的安全令牌。

    默认情况下，内部密钥数据库的安全令牌为内部。如果安装了 PKCS #11 模块，将会列出了所有安全令牌。

  4. 键入当前密码。

  5. 键入新密码。

  6. 再次键入新密码，然后单击 "OK"。

    确保密钥对文件受到保护。Administration Server 将密钥对文件存储在 server-root/alias 目录中。

    确定备份磁带中是否存储了该文件，以及是否可能会被某些人截取。如果存储了该文件，必须像保护服务器一样尽力保护您的备份。

限制服务器上的其他应用程序

所有应用程序都在作为服务器的同一台计算机上运行时需要格外小心。某些人可能会利用服务器上运行的其他程序中的漏洞来避开服务器的安全保护。请禁用所有不必要的程序和服务。例如，UNIX sendmail 守护程序的安全难以配置，因此也就可以对其进行编程，以在服务器计算机上运行其他可能有危害的程序。

UNIX 和 Linux

小心选择从 inittab 和 rc 脚本启动的进程。请不要从服务器计算机中运行 telnet 或 rlogin。另外，服务器计算机上也不应包含 rdist。这可以分布文件，但也用于更新服务器计算机上的文件。

Windows

与其他计算机共享驱动器和目录时要格外小心。而且，要考虑哪些用户具有帐户或 guest 权限。在服务器上安装程序或者允许其他用户安装程序时要格外小心。其他用户的程序可能会存在安全漏洞。更糟糕的是，有人可能会上载怀有恶意的程序，目的就是破坏您的安全性。允许在您的服务器上安装程序之前一定要仔细检查这些程序。

禁止客户机高速缓存 SSL 文件

通过在 HTML 文件的 <HEAD> 部分中添加以下行，可以防止客户机高速缓存加密前的文件：

<meta http-equiv="pragma" content="no-cache">

限制端口

禁用计算机上未使用的所有端口。使用路由器或防火墙配置可以防止到绝对最小端口集以外的任何端口的传入连接。此保护意味着，获取计算机中 shell 的唯一方法是实际使用服务器，该服务器应已放置在受限制的区域中。

了解服务器的限制

服务器提供了服务器和客户机之间的安全连接。客户机获得信息之后，服务器既无法控制信息的安全性，也无法控制对服务器计算机本身及其目录和文件的访问。

了解这些限制有助于您理解要避免的情况。例如，您可以通过 SSL 连接获取信用卡号，但这些号码是否存储在服务器计算机上的安全文件中呢？SSL 连接终止后这些号码会怎样呢？请务必确保客户机通过 SSL 发送给您的所有信息的安全性。