Questions tagged «security»

安全不是产品,而是过程。

6
可以将SSH密钥与空密码一起使用吗?
当我第一次学习如何制作ssh密钥时,我阅读的所有教程都指出应该选择一个好的密码短语。但是最近,当设置一个需要ssh到另一台计算机的守护进程时,我发现唯一不需要每次启动都进行身份验证的密钥的方法(似乎)是创建一个空的密钥。密码短语。所以我的问题是,使用没有密码短语的密钥有什么问题?
34 security  ssh 

2
网络打印机被利用(读:被黑)来打印反犹太文档。怎么修?
我不确定是否应该在这里或在security.stackexchange.com上问这个问题 ... 在复活节漫长的周末,我们一家小型办公室的网络中断,原因是一台旧的HP打印机被用来打印一些非常令人反感的反犹太文件。这似乎已经发生了一些西方文化在世界各地的大学。 无论如何...我读到,对于大多数网络打印机来说,这实际上是一个非常基本的安全漏洞。与TCP端口9100和访问Internet有关。我还无法找到有关具体方法的很多信息,因为每个人似乎都对原因感到担忧。 对于受影响的办公室,网络设置非常简单。它具有4台PC,2台联网打印机,一个8端口交换机和一个运行ADSL2 +连接(具有静态Internet IP和漂亮的香草配置)的住宅调制解调器/路由器。 是调制解调器/路由器或打印机的弱点? 我从未真正将打印机视为需要配置的安全风险,因此为了保护该办公室的网络,我想了解如何利用打印机。如何停止或阻止漏洞利用?并在我们其他更大的办公室中检查或测试漏洞(或漏洞的正确块)?

1
MariaDB是否可以安全替代MySQL?
多年来,我一直在我的Debian稳定服务器上使用MariaDB(“一种增强的MySQL替代品”),因为它具有更高的性能。 但是,我注意到它似乎与MySQL中的安全更新有关;例如,DSA 3229-1列出了几个漏洞,这些漏洞似乎并未在Debian稳定mariadb软件包中进行修补。 这是安全还是速度之间的权衡?MariaDB通常在安全更新方面落后吗?还是仅此一次?


8
为域管理员单独登录一个域是最佳实践吗?
我通常喜欢为自己设置单独的登录名,一个具有常规用户权限的登录名,以及一个用于管理任务的单独登录名。例如,如果域是XXXX,我将设置一个XXXX \ bpeikes和一个XXXX \ adminbp帐户。我一直这样做是因为坦率地说我不信任自己以管理员身份登录,但是在我工作过的每个地方,系统管理员似乎都只是将其通常的帐户添加到Domain Admins组中。 有没有最佳做法?我看过MS上的一篇文章,该文章似乎说您应该使用“运行方式”,而不是以管理员身份登录,但是他们没有提供实现示例,而且我从未见过其他人这样做。

4
自签名SSL证书是否安全?
当我登录到我的网络邮件,phpMyAdmin等时,我想建立一个安全的连接。 因此,我用OpenSSL签署了自己的SSL证书,并告诉Apache监听端口443。 这实际上安全吗?我所有的密码是否真的通过安全层发送?如果我从Verisign购买SSL证书或签署自己的SSL证书,会有什么区别?归根结底,所有数据仍将在我的服务器上。那么,最大的区别是什么?



2
不再需要Windows 10登录之前的Ctrl + Alt + Del键?
我上班时正在运行Windows 7。打开台式机的电源,在输入用户名和密码之前,必须先按Ctrl+ Alt+ Del。 我现在在运行Windows 10,如果在PC上运行,则运行Windows 10 Enterprise。我再也不用命中Ctrl+ Alt+ Del中的日志记录之前,我敢肯定它不只是我。 说明的现有链接与Windows 10不再相关吗?发生了什么变化? 这不再相关了吗?:如何使用CTRL-ALT-DEL登录使Windows更安全? 更新: 从交互式登录:不需要CTRL + ALT + DEL: 不必按CTRL + ALT + DEL组合键,使用户容易受到尝试拦截用户密码的攻击。在用户登录之前要求CTRL + ALT + DEL可确保用户在输入密码时通过可信路径进行通信...恶意用户可能安装了类似于Windows操作系统的标准登录对话框的恶意软件,并捕获了用户的密码。然后,攻击者可以使用该用户具有的任何级别的用户权限登录到受感染的帐户。 我在理解Ctrl+ Alt+的这种基本原理时遇到麻烦,Del我的意思是,如果恶意用户安装了看起来像标准登录屏幕的恶意软件, 我是否不应该首先担心在安装了恶意软件的地方发生过这种情况?至少有人可以提供用户容易受到攻击的示例吗? 这么长时间我们都踏着必须做调Ctrl+ Alt+ Del之前登录,而且具有讽刺意味的措辞“交互式登录:不要按CTRL + ALT + DEL =禁用”。 NIST 最近修改了他们的密码建议,我相信它是出版物800-63B。这样,您可以阅读有关该主题的大量文章和意见。我最喜欢的是Stack Overflow联合创始人Jeff Atwood的风度:密码规则是bs。我只需要对标题进行概括即可概括该主题,基本上不需要承认某些密码规则是安全剧院。所以,现在我是那种质疑的信誉Ctrl+ Alt+ Del,因为:(1)现在看来,这是突然下降在Windows 10,和(2)把我从微软[官方]措辞相当含糊。 如果您使用任何计算机,很容易以各种方式受到攻击,所以我正在寻找技术细节CtrlAltDel,以便在登录之前为+ + 提供价值方面全神贯注。
32 windows  security 

7
如果您意识到自己的电子邮件托管服务提供商可以看到您的密码,该怎么办?
去年,我们从托管服务提供商处收到了一封电子邮件,内容涉及我们的一个帐户-该帐户已遭到入侵,并曾用来提供相当慷慨的垃圾邮件帮助。 显然,用户已将密码重设为了她的名字的变体(您可能第一次会想到它的名字。)她在一周内迅速被黑了-她的帐户发出了270,000封垃圾邮件,并且很快受阻。 到目前为止,没有什么特别不寻常的。那个会发生。您将密码更改为更安全的方式,教育用户并继续前进。 但是,除了我的一个账户被盗的事实外,令我更加担忧的是。 为了提供帮助,我们的托管服务提供商实际上在以下电子邮件中向我们引用了密码: 我很惊讶 我们将要尽快续签合同,这感觉像是一个大问题。 托管服务提供商能够找出帐户上使用的实际密码有多普遍? 大多数托管服务提供商是否都设有一个帐户滥用部门,该部门比一线代表拥有更多的访问权限(并且可以在必要时查找密码),或者这些人只是没有遵循最佳实践来使他们的任何员工都可以访问用户?密码?我以为密码应该被散列并且无法检索?这是否意味着他们以纯文本形式存储每个人的密码? 托管提供商以这种方式发现帐户密码甚至合法吗?在我看来真是太不可思议了。 在我们考虑更换提供商之前,我想请您放心,这不是常见的做法,而且我们的下一个托管提供商也不太可能以相同的方式进行设置。 期待听到您对此的看法。


3
网络服务帐户访问文件夹共享
我有一个简单的场景。ServerA上有一个应用程序,它以内置的网络服务帐户运行。它需要在ServerB上的文件夹共享上读写文件。我需要在ServerB上的文件夹共享上设置哪些权限? 通过打开共享的安全性对话框,添加新的安全性用户,单击“对象类型”并确保选中“计算机”,然后添加具有读/写访问权限的ServerA,可以使其正常工作。通过这样做,哪些帐户可以访问该共享?仅网络服务?ServerA上的所有本地帐户?我应该怎么做才能授予ServerA的网络服务帐户访问ServerB的共享的权限? 注意: 我知道这类似于此问题。但是,在我的场景中,ServerA和ServerB在同一域中。

5
SSL和TLS差异的功能含义
我知道TLS本质上是SSL的较新版本,并且它通常支持将连接从不安全状态转换为安全状态(通常通过STARTTLS命令)。 我不明白的是,TLS为什么对IT专业人员很重要,为什么给我一个选择,我却会选择另一个。TLS真的只是一个较新的版本吗?如果可以,那么它是兼容的协议吗? 作为IT专业人员:我什么时候使用哪个?什么时候不使用哪个?
31 security  ssl  tls 


8
保护PHP Web服务器
PHP应用程序以高于平均水平的安全问题而闻名。您使用什么配置技术来确保应用程序尽可能安全? 我在寻找类似的想法: 使用强化的PHP / Suhosin 使用mod_security 在php.ini中禁用register_globals和allow_url_fopen 我通常使用Linux,但也可以建议Windows解决方案。

By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.