课件17WindowsNT的安全机制.ppt

Windows NT 的安全机制简介内容提纲1、Windows NT 简介 2、Windows NT 的体系结构 3、Windows NT 的安全子系统 4、Windows NT 的安全服务 5、Windows NT 的安全管理Windows NT 简介Windows NT 是一个网络操作系统，它有 两个版本：Windows NT Workstation 和 Windows NT Server这两个版本的NT都有 相同的核心支持、网络支持和安全系统Workstation是为单个用户高性能地运行 应用程序服务的，而Server则是为多用户网 络提供服务在此，我们所讨论的都是基于Windows NT ServerWindows NT 简介Windows NT Server 一方面是为了满足 目前商业计算机世界的需要，另一方面也 是最容易安装、管理和使用的网络操作系 统这种强健的多用途的网络操作系统提 供了可靠的文件和打印服务，同时也提供 了运行强有力的客户/服务器应用程序的结 构Windows NT Server是包含有Internet 和 Intranet功能的网络操作系统Windows NT 简介Windows NT 运行于Client/Server模式 ，其设计客体是提供文件和打印服务；他 支持远程访问服务 RAS (Remote Access Service)和Internet服务。

Windows NT中 带有一个完全的WEB服务器组件—IIS，所 以它可以在Internet上提供WEB服务另 外，通过添加软件，Windows NT 也可以 作为防火墙使用二、Windows NT 的体系结构Windows NT的体系结构nWindows NT是由一组软件组件组成，他 们运行在核心模式下其他子系统Win32子系统安全子系统 用户模式核心模式系统服务I/O管理器对象管理器安全引用监控进程管理器本地过程调用设施窗口管理器图形驱动器微内核硬件抽象层Windows NT的体系结构(1) 核心模式由执行服务组成，它们构成一 个自成体系的操作系统 (2) 用户模式由非特权的服务组成，这些服 务也称为受保护子系统，他们的启动由用 户决定用户模式在核心模式之上，用户 模式组件要利用核心模式提供的服务Windows NT的对象 n为了实现自身的安全特性，Windows NT 把所有的资源作为系统的特殊的对象这 些对象包含资源本身，Windows NT 提供 了一种访问机制去使用它们由于这些基 本的原因，所以我们把 Windows NT 还称 为基于对象的操作系统Windows NT的对象Windows NT的安全就是基于以下的法则：n用对象表现所有的资源 n只有 Windows NT 才能直接访问这些对象n对象能够包含所有的数据和方法n对象的访问必须通过 Windows NT 的安全 子系统的第一次验证n存在几种单独的对象，每一个对象的类型 决定了这些对象能做些什么Windows NT的对象nWindows 中首要的对象类型有： (1)文件 (2)文件夹 (3)打印机 (4)I/O 设备 (5)窗口 (6)线程 (7)进程 (8)内存三、Windows NT 的安全子系统Windows NT的安全子系统Windows NT 安全子系统包含五个关键的组件： nSecurity identifiers nAccess tokens nSecurity descriptors nAccess control lists nAccess control entries 安全标识符（ Security Identifiers ）n操作系统提供的安全功能中很重要的一点就 是责任——确保任何实体的动作将唯一用该 实体标识。

每次当我们创建一个用户或一个 组的时候，系统会分配给该用户或组一个唯 一 SID它是由计算机名、当前时间、当前 用户态线程的CPU耗费时间的总和三个参数 决定以保证它的唯一性访问令牌（ Access Tokens ） n用户通过验证后，登陆进程会给用户一个 访问令牌，该令牌相当于用户访问系统资 源的票证，当用户试图访问系统资源时， 将访问令牌提供给 Windows NT ，然后 Windows NT 检查用户试图访问对象上的 访问控制列表如果用户被允许访问该对 象， Windows NT 将会分配给用户适当的 访问权限安全描述符（Security descriptors）nWindows NT 中的任何对象的属性都有安全描述符 这部分它保存对象的安全配置访问控制列表（Access control lists）n访问控制列表有两种：自主 访问控制列表（ Discretionary ACL）、系统 访问控制列表（System ACL ）自主访问控制列表包含 了用户和组的列表，以及相 应的权限而系统访问控制 列表是为审核服务的，包含 了对象被访问的时间访问控制项（Access control entries）n访问控制项（ ACE ）包含了用户或组的 SID 以及对象的权限。

访问控制项有两种 ：允许访问和拒绝访问拒绝访问的级别 高于允许访问Windows NT的安全子系统的实现 n安全子系统包括以下部分： (1)Winlogon (2)Graphical Identification and Authentication (GINA) (3)Local Security Authority(LSA) (4)Security Support Provider Interface(SSPI) (5)Authentication Packages (6)Security support providers (7)Netlogon Service (8)Security Account Manager(SAM) Windows NT的安全子系统Winlogon and Gina:nWinlogon 调用 GINA DLL ，并监视安全认证序 列而 GINA DLL 提供一个交互式的界面为用户 登陆提供认证请求 GINA DLL 被设计成一个独 立的模块，当然我们也可以用一个更加强有力的 认证方式（指纹、视网膜）替换内置的 GINA DLL 。

nWinlogon 在注册表中查找 ，如果存在 GinaDLL 键，Winlogon 将使用这个DLL，如果不存在该键 ，Winlogon 将使用默认值 MSGINA.DLL（ 放在 C:\WINNT\System32\msgina.dll ）本地安全认证（ Local Security Authority ）n本地安全认证（ LSA ）是一个受保护的子系统， 是安全子系统的中心组件它负责以下任务： (1) 调用所有的认证包，检查在注册表 \HKLM\SYSTEM\CurrentControlSet\Control\LSA 下 AuthenticationPAckages 的值，并调用该 DLL 进行认证 （ MSV_1.DLL ） (2) 重新找回本地组的 SIDs 和用户的权限 (3) 创建用户的访问令牌 (4) 管理本地安装的服务所使用的服务账号 (5) 储存和映射用户权限 (6) 管理审核的策略和设置 (7) 管理信任关系 认证包（Authentication Packages）n认证包可以为真实用户提供认证通过 GINA DLL 的可信认证后，认证包返回用户的 SIDs 给 LSA ，然后将其放在用户的访问令牌中。

安全支持提供者（Security Support Provider）n安全支持提供者是以驱动的形式安装的，能够实 现一些附加的安全机制，默认情况下， Windows NT 安装了以下三种：nMsnsspc.dll ：微软网络挑战 / 反应认证模块 nMsapsspc.dll ：分布式密码认证挑战 / 反应模块nSchannel.dll ：该认证模块使用某些证书颁发机构提 供的证书来进行验证，常见的证书机构比如 Verisign 这种认证方式经常在使用 SSL （ Secure Sockets Layer ）和 PCT （ Private Communication Technology ）协议通信的时候用到 网络登陆（ Netlogon ）n网络登陆服务必须在通过认证后建立一个 安全的通道要实现这个目标，必须通过 安全通道与域中的域控制器建立连接，然 后，再通过安全的通道传递用户的口令， 在域的域控制器上响应请求后，取回用户 的 SIDs 和用户权限安全账号管理者（Security Account Manager）n安全账号管理者( SAM ) ，它是用来保存 用户账号和口令的数据库。

保存了注册表 中 \HKLM\Security\Sam 中的一部分内容 不同的域有不同的 Sam ，在域复制的 过程中， Sam 包将会被拷贝四、Windows NT 的安全服务验证应用程序要被不同的人访问，无论使用远程 或本地计算机操作系统需要回答的第一个 问题是“这个人是否有权力访问这个应用程 序？“确保用户就是他们自己声称的那个 人 的能力是操作系统必须提供的最重要的安全 功能之一验证机制把系统进行标识，该标 识用于当用户在系统上工作时跟踪他们，同 真实身份标识绑定在一起 Microsoft Windows NT 的验证服务nWindows NT 要求在访问系统资源，例如 文件，目录等等，以前进行验证nWindows NT提供了一个引发安全性的键 组合（CTRL-ALT-DEL组合键）建立到操作 系统的通信，而且也只到操作系统的，以 进行验证这种信任路径机制的使用可以 防止特洛伊木马程序截获一个用户的初始 认证信息 Microsoft Windows NT 的验证服务n缺省的验证机制是用户名和密码Windows NT 提供了设置密码有效期限，强度（也就是长度） ，历史，以及使用时间的能力。

Windows NT还 针对可猜测性或者字典攻击提供了对管理员密码 的强度的密码过滤器Windows NT对储存在注 册表中的密码信息进行了加密这样的手段降低 了对密码文件的基于字典的猜测式攻击，无论该 文件是在本地机上或者攻击者把该文件复制到其 他机器上 Microsoft Windows NT 的验证服务n虽然Windows NT提供了用户名/密码验证，它还 提供了标准的图形化标识和验证接口（GINA， Graphical Identification and Authentication）， 这样第三方可以很容易的把附加的验证方法集成 到Windows NT中n除GINA外，Windows NT还提供了安全服务提供 者接口（Security Services Provider Interface） 和加密应用程序编程接口（CAPI， Cryptographic Applications Programming Interface）这些模块提供应用程序访问操作系 统上的加密服务的标准方法，以及供应商为操作 系统提供附加加密服务的标准方法Microsoft Windows NT 的验证服务nWindows NT把验证机制集成到全部安全操 作和体系中。

分布式应用程序使用Windows NT验证机制进行客户/服务器访问这些验 证机制使用挑战/响应协议，这个协议对密 码进行数学转换，密码决不会以明文形式传 递访问控制n一旦操作系统断定连接的用户是正确的用 户，它就必须回答“该用户可用的信息是什 么”访问控制是防止未经授权的实体对系 统信息进行访问的机制典型的操作系统 都支持访问控制机制，该机制指定可以读 ，写，修改，或者复制特定的系统对象 Windows NT访问控制服务nWindows NT提供两种形式的访。