其他安全性考量
除了某些人會嘗試破解您的加密外，還有其他安全性風險存在。網路面臨的風險來自外部和內部的駭客，他們使用各種方法嘗試存取您的伺服器以及伺服器上的資訊。除了在伺服器上啟用加密外，還應採取額外的安全防護措施。例如，將伺服器電腦放在安全的房間內，不允許任何不可信任的使用者將程式上傳至您的伺服器。本小節說明幾項能讓伺服器更安全無虞的重要措施。
本小節包含以下主題：
限制實體存取
這種簡單的安全方法經常會被遺忘。將伺服器電腦放在上鎖的房間中，只有經過授權的人才能進入。此一策略可以防止任何人攻擊伺服器電腦本身。而且要保護好電腦的管理 (root) 密碼 (如果有)。
限制管理存取權
如果使用遠端配置，請確定設定了存取控制，以便只對少數使用者和電腦進行管理。如果您要讓 Administration Server 提供一般使用者對 LDAP 伺服器或本機目錄資訊的存取權限，請考慮維護兩部 Administration Server，並使用叢集管理。這樣，啟用 SSL 的 Administration Server 就能當做主伺服器，而另一部 Administration Server 則可提供一般使用者存取。如需有關叢集的更多資訊，請參閱第 6 章管理伺服器叢集。
您還應為 Administration Server 開啟加密功能。如果未將 SSL 連線用於管理，則透過不安全的網路執行遠端伺服器管理時應該格外小心。因為任何人都可以截取您的管理密碼並重新配置您的伺服器。
選擇增強式密碼
您可以在伺服器中使用多個密碼：管理密碼、私密金鑰密碼、資料庫密碼等等。管理密碼是最重要的密碼，因為任何具有該密碼的使用者都可配置電腦上的任何 (和所有) 伺服器。私密金鑰密碼則是次重要的密碼。任何取得私密金鑰和私密金鑰密碼的人，都能建立假伺服器 (偽裝成您的伺服器)，或者截取和變更進出伺服器的通訊資訊。
密碼最好是便於自己記住，他人又無法猜到。例如，您可以將 MCi12!mo 記為「My Child is 12 months old!」小孩的名字或生日則是不良密碼的範例。
建立難以破解的密碼
使用這些準則來建立較強的密碼。不必對一個密碼套用以下所有規則，但使用的規則越多，您的密碼就越難以被破解。提供下列幾個提示：
-
密碼的長度應該介於 6-14 個字元
-
請勿使用非法字元：*、“ 或空格
-
請勿使用辭典單詞 (任何語言)
-
請勿以常見的方式替換字母，例如以 3 替代 E，或以 1 替代 L
-
盡可能多地包含以下字元：
-
大寫字母
-
小寫字母
-
數字
-
符號
-
變更密碼或 PIN
定期變更您的信任資料庫/金鑰對檔案密碼或 PIN。如果在 Administration Server 中啟用 SSL，則啟動伺服器時需要此密碼。定期變更密碼可以增加對伺服器的額外保護。
您只能在本機電腦上變更此密碼。如需變更密碼時應考量的準則清單，請參閱建立難以破解的密碼。
變更信任資料庫/金鑰對檔案密碼
-
存取 Administration Server 或 Server Manager，然後按一下 [Security] 標籤。
-
按一下 [Change Key Pair File Password] 連結。
-
從 [Cryptographic Module] 下拉式清單中，選取您要變更密碼的安全性代表字元。
依預設，內部金鑰資料庫的記號為 [Internal]。若已安裝 PKCS #11模組，則將列出所有安全性代表字元。
-
鍵入您目前的密碼。
-
鍵入您的新密碼。
-
再次鍵入新密碼並按一下 [OK]。
請確定您的金鑰對檔案已受到保護。Administration Server 將金鑰對檔案儲存在 server-root/alias 目錄中。
瞭解檔案是否儲存在備份磁帶上，或是否能被其他人截取。如果儲存了該檔案，則必須像保護伺服器一樣盡力保護您的備份。
限制伺服器上的其他應用程式
仔細檢查與伺服器在同一部電腦上執行的所有應用程式。有人可能利用伺服器上執行的其他程式漏洞，避開伺服器的安全性功能。請停用所有不必要的程式和服務。例如，UNIX sendmail 常駐程式很難有安全的配置，因此可將其設定為在伺服器電腦上執行其他可能有害的程式。
UNIX 和 Linux
仔細選擇從 inittab 和 rc 程序檔啟動的程序。請勿從伺服器電腦執行 telnet 或 rlogin。您亦不應在伺服器電腦上執行 rdist。這除了可用來分布檔案之外，也能用來更新伺服器電腦上的檔案。
Windows
仔細考慮哪些磁碟機和目錄要與其他電腦共用。而且，要考量哪些使用者具有帳號或 Guest 權限。請特別留意在伺服器上安裝的程式，允許其他人在伺服器上安裝程式時也要特別小心。其他人員的程式可能會有安全漏洞。更糟的是有人可能會上傳惡意程式，目的就是破壞您的安全性。在您的伺服器上安裝程式之前一定要仔細檢查這些程式。
防止用戶端快取 SSL 檔案
透過在 HTML 檔案的 <HEAD> 區段中增加以下行，可以防止用戶端快取加密前的檔案：
<meta http-equiv="pragma" content="no-cache">
限制連接埠
停用電腦上未使用的所有連接埠。使用路由器或防火牆配置以防止與絕對最小連接埠集以外的任何連接埠進行進來的連線。這種保護方法意味著要取得電腦上的 Shell，就只能實際操作已經位於管制區域中的伺服器電腦。
瞭解伺服器的限制
伺服器提供了伺服器和用戶端之間的安全連線。用戶端取得資訊之後，伺服器既無法控制資訊的安全性，也無法控制誰能實際操作伺服器電腦本身及存取其目錄和檔案。
瞭解這些限制有助於您理解要避免哪些情形。例如，您可以透過 SSL 連線取得信用卡號，但這些號碼是否儲存在伺服器電腦上的安全檔案中呢？SSL 連線終止後，這些號碼會怎樣呢？請務必對用戶端透過 SSL 傳送給您的任何資訊實施安全保護。
- © 2010, Oracle Corporation and/or its affiliates