computer 版 (精华区)

发信人: neverbw (汇编汇编我爱你！), 信区: network
标  题: 互联网安全问题：先天不足的TCP/IP
发信站: 听涛站 (2001年10月25日19:56:41 星期四), 站内信件

随着计算机技术的高速发展，原来认为非常神秘的互联网随着新世纪的到来已大步走进
千家万户，走进万千商家。上网已成为人们生活、工作中的一个重要组成部分及最重要
、最平凡通信手段。
　　但就象任何其它新生事物一样，互联网的发展也不是一帆风顺的，关心互联网发展
的人一定知道，最最让人们担心的就是互联网上的安全问题，也是互联网发展的最大阻
力,互联网上的安全性问题最突出的体现在网络信息的窃听和劫持。也许你还记忆犹新，
曾几何时，网络的安全问题给认为互联网已经或必将完全胜任商务活动的人们泼了一盆
冷水，也给把重宝全押在互联网上的商家留下一个个永远无法愈合的伤痕，就因这样互
联网曾一度几乎要被其安全性问题扼杀于摇篮之中。
　　其实早在1994年，在IAB（因特网体系结构理事会）的一次研讨会上，扩充与安全就
被当作关系互联网生死存亡的两个最重要的议题了，但互联网发展至今天在安全问题上
还没有得到一个完善的解决方案，甚至有越来越恐怖、越来越复杂的趋势。
　　下面我就互联网上安全性问题产生的原因方面谈谈我个人的一些看法。
　　我们知道TCP/IP协议是我们进行一切互联网上活动的基础，没有它就不可在不同操
作系统、在不同通信协议中来去自由。也许是因为当时网络软、硬件设备的局限性，当
初设计该协议时就在着重考虑了网络的速度，而对网络的安全性没作太多的考虑，甚至
根本没作考虑，也许是当时开发TCP/IP协议的人根本没有预料互联网会发展如此之迅速
，所以说TCP/IP本身在安全设计上就先天不足。
　　TCP/IP协议虽然经过了一次又一次的改版、升级，但终因先天和考虑到软件的可继
承性的原因，仍存在诸多安全缺陷不能就在原程序上修修改改全部解决，目前互联网的
安全性主要体现在：
1、网上信息易被窃取
　　大家都知道，大多数互联网上的信息是没有经过加密的（这也许是与人们通常交流
的习惯有关），如电子邮件、网页中输入口令或填写个人资料、文件传输等等这一切都
很容易被一些别有用心的人监听和劫持，其实这就是TCP/IP通信协议在安全性方面的一
个漏洞。
为什么互联网上极易被窃取呢？这就要从互联网连接的特点来说了。我们知道互联网是
一种网间网技术，也就是说其实它就是把无数的局域网相连起来形成的一个大网，这个
大网又与其它由无数局域网连接起来的大网相连来组成一个更大的网，就这样不断地互
连就形成了我们通常所说的互联网，它没有绝对的大小，但我们通常把世界上所有联在
一起的计算机所形成的网统称为互联网，你说大不大？但说到底它也是个类局域网。正
因为互联网的庞大，所以它的拓朴结构比一般局域网更复杂，互联网的拓扑是一种逐步
细化的树状结构，虽然互联网上的传输是点对点的，但一般互联网上的主机会往往是处
于某一个局域网中，局域网（如以太网、令牌网等）我们知道都是广播型网络，也就是
说一台主机发布消息，网上任何一台机器都可以收到这个消息，就象我们在局域网中用
NETSEND命令发布消息一样。
　　一般情况下，以太网卡在经过比较后发现是别人的消息时会自动丢弃消息，而不向
上层（即本机）传递消息。但以太网卡的接收模式可以设置成混合型，这样网卡就会捕
捉所有的数据包中，并把这些数据包向上传递，这就是为什么以太网可以被窃听，其实
FDDI、令牌网也存在这样问题。现在人们经常谈论的ATM网络技术是绝对的点对点通信的
，它不像以太网的广播式样容易被窃听。
　　互联网上的信息容易被窃听和劫获的另一个原因是，当某人用一台主机和另外一个
远程主机进行通信时，他们之间互相发送的数据包要经过很多机器重重转发。具体要经
过多少主机、多少路由器和多少网络，用户可以用一个网络调试工具得到，这个工具就
是Traceroute,在各种操作系统中都有，如Windows95、Windows NT 和UNIX，名字上可能
会有所差异。
　　互联网的这种工作原理不仅节约了资源，而且简化了传输过程，符合TCP/IP简单高
效宗旨，但这也带来了安全上的问题，这些用来转发消息包的机器完全可以把用户的信
息窃取下来，同样如果黑客使用一台处于某用户的数据包传输路径上的主机，那么他就
也可以窃听或劫持用户的数据包。这一切的开始听起来是多么的恐怖，但用户也不必过
于紧张，因为一般来说个人用户数据对于这些专业黑客是没有多大利用价值，当然也不
是说不用去考虑。
　　面对这一切我们不能改变目前所存在的一切安全性问题，但我们要意识到这种问题
，并以其他办法来提高安全性，如我们通常所讲的加密方法，时至今日实现对数据安全
加密的方法是多种多样的，最为突出的如WIN2K、OUTLOOK5.0等以上版本软件自带的加密
功能，第三方加密软件也很多，如PGP就是一款非常不错的邮件加密软件。
2、脆弱的TCP/IP服务
　　我们知道TCP/IP协议应用的主要目的是为了在INTERNET上的应用，也就是基于TCP/
IP协议上的服务，虽然TCP/IP协议已是事实上通信协议的标准，但仍不可避免的一个问
题就是它的安全性问题，不仅TCP/IP协议本身，现在很多基于TCP/IP的应用服务都在不
同程度上存在着严重的安全问题，一些新的处于测试阶级的服务有那就有更多的安全缺
陷。基于TCP/IP协议的服务很多，如WWW服务、FTP服务、电子邮件服务、TFTP服务、NF
S服务、Finger服务、NDS服务、DHCP服务和WINS服务等等，详细了解这些服务在安全性
方面的不足对于用户设置防火墙保护自己的网络有重要意义，平时我们为单位的防火墙
时就需要考虑该提供哪些服务、要禁止哪些服务以及哪能些服务该如何配置等等，在这
里只仅对一些常用服务做简单介绍。
　　a、WWW服务
　　WWW服务相对于其他服务出现比较晚，是基于超文本（HTML）传输协议HTTP的，它是
互联网、多媒体网页制作技术的飞速发展的必然产物。它是由瑞士日内瓦欧洲粒子物理
实验室发明的，并在短时间内得到迅猛发展，是人们最常使用的互联网服务，如我们第
一线天所进行的网页浏览。随着Nctscape公司推出安全套接字层SSL，WWW服务器和浏览
器的安全性得到大大的提高，现在人们把这种技术应用于电子商务E-business。例如人
们可以在互联网上进行买卖股票和购物。安全套接字层SSL使 WWW服务的安全性提高了很
多，但它主要解决的是数据包被窃听和劫持的问题，除此之外WWW服务还有其他问题，如
下面要讲的WWW服务所使用的CGI程序、服务器端附件（Server Side Include, SSI）和
Java Applet小程序等。
　　最初WWW服务只提供静态的HTML页面，这种页面显得很呆板，于是人们引入了CGI程
序，CGI程序让人们的主页活起来。CGI程序可以接收用户的输入信息，一般用户是通过
表格把输入信息传给CGI程序的，然后CGI程序可以根据用户的要求进行一些处理，一般
情况下会生成一个HTML软件包，利用它可做一些非法的事情，如把/etc/passwd文件传送
给黑客、删除服务器上的文件等等 。还有，很多人在编CGI程序时，可能对CHI软件包中
的安全漏洞并不了解，多数情况下不会重新编写程序的所有部分，只是对其加以适当的
修改，这样很多CGI程序就不可避免的具有相同的安全漏洞，所以用户若要编写一个安全
的CGI程序，就应先去了解这些软件包中的安全漏洞。另一个CGI程序很多是用Perl来编
写的，Perl本身的功能很强大，但它同样也很不安全，其中有很多UNIX的特殊字符可用
来执行UNIX的系统命令，一般入侵者就是利用这些特殊字符实施攻击的。这也是造成CG
I程序不安全的先天性，在某种意义上来讲也是TCP/IP协议先天安全性不足的重要因素之
一。
b、电子邮件服务
　　电子邮件服务给人们提供了一种便宜、方便和快捷的服务，E-mail地址也开始写在
现代都市人的名片上了，但是电子邮件程序本身就存在许多安全性问题。如在UNIX环境
下的电子邮件Sendmail，它是一个复杂且功能强大的应用软件，正因为如此它的安全漏
洞就更多。程序越大、越复杂则安全漏洞可能越多，这似乎已是一个不争公认的事实，
这一点无论从哪一个软件来讲，就拿Windows系列来讲吧，版本在不断更新，新功能在不
断添加，老的BUG也据说是一个个被KILL，但新的问题总是层出不穷。这不，Win2K的专
业版中竟然在输入法出现了重大安全漏洞，这是以前任何版本WINDOWS所未曾出现的！
　　Sendmail在UNIX环境下以root运行，所以如果该程序被黑客利用，用户的主机的损
失将会是十分巨大的。互联网蠕虫病毒曾经震惊世界，它使大批的UNIX服务于瘫痪之中
，这种病毒就是利用Sendmail安全缺陷来进攻的。如果要使这些功能以更安全的方式实
现，需要对Sendmail进行重新设计和重新实现，但人们又会担心新的版本会有更多的人
们难以预料的安全漏出现，于是Sendmail的开发者们只好对其修修补补。
　　除此之外，电子邮件的附着的Word文件或其他文件中有可能带有病毒，如WORD的宏
病毒等。电子邮件炸弹也是一个头疼的问题，但这个问题时值今日人们仍无法有任何有
效措施来预防，更不要说彻底解决了。
　　c、FTP服务和TFTP服务
　　这两个服务都是用于传输文件的，但用的场合不同，安全程度也不同。
　　TFTP服务用于局域网，在无盘工作站启动时用于传输系统文件，因为它不带有任何
安全用证，所以其安全性极差，常被人用来窃取密码文件。
　　FTP服务对于局域网和广域网都可以用来下载任何类型的文件，但它允许匿名登录，
其实还有许多类似的服务，如ssh、scp等，ssh是一种带有完善加密和认证机制的协议，
如果服务器上运行的ssh是最新版本，那么使用它应该是安全的。 然而如http、ftp、s
mtp和nntp则是一般WWW服务器实际提供的服务，这些服务是必须运行的，所以所有其他
文件传输都应最好使用scp工具和ssh协议完成。
　　网上有许多匿名FTP服务站点，其上有许多免费软件、图片和游戏，匿名FTP是人们
常使用一种。FTP服务的安全性要好一些，起码它需要用户输入用户名和口令，当然匿名
FTP服务就像匿名WWW服务是不需要口令的，但用户权力会受到严格的限制。匿名FTP存在
一定的安全隐患，因为有些匿名FTP被一些人用作存放一些盗版软件和黄色图片，这会浪
费用户的磁盘窨、网络带宽等系统资源。
　　d、Finger服务
　　用于查询用户的信息，包括网上成员的真实姓名、用户名、最近登录时间和地点等
，也可以用来显示当前登录在机器上所有用户名，这对于入侵者来说是无价之宝。因为
它能告诉入侵者在本机上有效的登录名，然后入侵就可以注意其活动。

--
   
       欢迎访问   ftp://neverbw.dhs.org
※ 来源:·听涛站 tingtao.dhs.org·[FROM: 匿名天使的家]