来自 防护 2021-05-01 16:02 的文章

ddos防攻击_服务器高防服务_解决方案

ddos防攻击_服务器高防服务_解决方案

您的总体设备和网络安全与您的PKI设计和证书策略有关。正如你用抗震地基建造房屋,或者确保屋顶能够抵御飓风,你应该设计和部署你的PKI来抵御共同威胁。当你在开发和设计你的产品或软件时,这些决定中的许多都需要提前做出。在您的PKI中实施正确的安全措施需要努力,但是做好适当的准备将有助于您降低未来的安全风险。考虑一下:如果你的网络上的一个证书被泄露了,它会给你的安全带来什么风险?这个证书可以用来验证服务器吗?它能被用于中间人攻击你的用户吗?在开发将使用证书进行身份验证或安全连接的应用程序或设备时,这些问题需要审查。您需要就产品如何处理证书以及如何设计和管理PKI做出技术决策。这篇博客文章是为开发人员和制造商工作的私人信托客户端或设备证书,服务器虚拟ip防御ddos,如那些在软件应用程序或物联网设备。为持久安全设计PKI我们经常与那些不知道自己设计PKI和证书策略的选项的开发人员交谈。使用私有信任PKI,您可以灵活地使用客户端和设备证书,从而增强软件或设备的安全性。在这里,我们将深入探讨增强PKI的三个重要注意事项:(1)决定证书有效期和替换,windows防御ddos源码,(2)保护私钥,以及(3)使用证书吊销以及如何正确使用这些措施来降低风险。证书提供了加密和身份验证,但这并不像部署它们并结束它那么简单。这两种特性都可能受到损害,但也可以通过适当的缓解措施加以加强。创建一个不合标准的PKI似乎是最容易的,而且从不担心管理证书,但这涉及到您可能没有考虑到的安全性问题。让我们以最近的SHA-1弃用为例。SHA-1哈希算法的目的是提供密码签名来唯一地识别证书,研究人员已经知道它很弱。谷歌去年展示了一个实际的碰撞,两个不同的文件使用相同的哈希。这次碰撞代表了SHA-1的最后一颗钉子,许多证书被更新的SHA-2算法取代,以维护安全。这包括长寿命证书,随着时间的推移,这些证书将变得更加脆弱(计算能力的提高使其更容易被利用)。沙一号可能在今天看来不太可能发生碰撞,打不死高防加速cdn,但5年后呢?20年了?如果您的产品将在未来很长的时间内使用,这些都是重要的考虑因素。这个简单的例子很快就揭示了PKI安全的多方面本质。要减轻损坏的哈希算法的安全风险,您需要一种方法来重新颁发和替换设备上的证书,一种处理您知道受到影响的证书的吊销机制,以及您的网络和用户不再易受攻击的信心。证书有效期在SSL/TLS空间中,受损技术是一个不可避免的问题。协议所使用的核心密码技术的设计都考虑到了一个弃用的日期我们知道未来更强大的计算机最终会破坏现在的加密技术。在过去的十年中,我们已经看到了重大的转变,包括从MD5和SHA-1哈希算法,以及1024位RSA密钥。总有一天我们需要更换2048位密钥。计划好这些类型的变化将有助于避免很多麻烦。在为证书选择有效期时,您需要在长期证书的便利性和保护长期密钥的压力之间进行平衡。随着时间的推移,随着加密标准的削弱,最终被取代,以及证书库的增长,保护这些密钥变得越来越困难。最终,正如我们的SHA-1示例中那样,一个损坏的算法可能会导致迫切需要替换证书以确保持续的安全性。不仅要考虑证书的有效期,还要考虑替换证书的方法。在大多数情况下,我们发现在设备的生命周期内尝试使用单个证书时存在太多的安全权衡。通过选择更长的有效期,您可以创建更广泛的证书(及其私钥),这些证书需要保持安全。这增加了攻击者的目标数量,并激励他们破坏证书,因为这使他们能够访问更长的时间。这反过来又增加了拥有撤销系统的重要性,并且使得有必要在更长的时间内保留撤销信息,从而导致更大的撤销文件和更多的网络活动。但设计一个安全的PKI并不意味着你必须每年更换证书。您可以有效地计划这些更改,并且仍然使用长期有效的证书。更换和更新设备证书允许您使用最适合您的有效期,而不必担心会出现替换它们的原因。保护私钥对于证书有效性的许多相同的安全考虑也存在于密钥泄露中。如果攻击者可以窃取私钥,服务器如何做cc防御,他们就可以模拟设备,解密和读取数据,并向网络进行身份验证。如果您想提供有意义的身份验证和加密,您必须保护密钥不被泄露,并且在密钥被泄露时撤销并替换它们。这意味着您要避免在设备上以纯文本形式存储密钥,因为这样可以很容易地提取密钥。相反,考虑一个软件解决方案,例如加密密钥存储,或者以安全芯片(TPM)的形式提供硬件保护,以防止攻击者受到攻击。即使你相信你已经充分保护了你的密钥,拥有一个有效的撤销系统也是至关重要的。如果攻击者意识到在他们窃取密钥时您没有可行的方法来阻止他们,那么找出如何破坏您的安全措施就变得非常有吸引力了。撤销是一个附加的防御层,可以中和和阻止攻击者。这些防御是密切相关的。如果你的密钥很容易被泄露,那么提供一个可靠的撤销系统——一个可以处理大量撤销的系统——就变得更加重要和昂贵。撤销一些制造商和开发者认为他们不能支持证书撤销,因为这是一项"高成本"的服务,需要活跃的互联网连接和高可用性。事实并非如此。使用行业标准技术,您可以在不连接DigiCert服务器或完全没有internet连接的情况下检查吊销信息。有两种检查吊销信息的行业标准方法:CRL(证书吊销列表)和OCSP(在线证书状态协议)。对于那些不熟悉这些系统的人来说,CRL就像是证书序列号的黑名单。使用OCSP,客户机通过internet向中心服务进行查询,以检索单个证书的吊销状态,就像查询API一样。CRL和OCSP都是X.509证书协议的一部分。CRL是这两种方法中比较简单的一种,它允许在您的设备没有可靠或快速的互联网连接的情况下提供灵活性。传统上,签发CA每天签署一个CRL文件,客户机通过internet检索该文件。但在设备无法轻松或定期连接到internet的情况下,可以存储和缓存CRL。与证书一样,CRL是签名的,并且有一个有效期。因为CRL是由CA签名的,所以可以信任它们。您不需要将CRL从CA直接传送到设备,而是可以通过网络(如集中式云服务器或内部网络)进行分发。与简单的黑名单或白名单相比,这是一个优势。你可以从任何地方获得一个CRL文件,如果它的签名是有效的,就不必担心被篡改。CRL可以缓存在设备上并一直使用到过期,这可以设置为数周或更长时间。这使得它成为不可靠或断断续续的互联网连接设备的好选择。在许多情况下,这允许您保留撤销检查的好处,而不需要频繁获取新信息的技术成本。OCSP也可以在设备本身无法访问internet的情况下使用,只要它们可以访问网关或服务器,就可以使用。"装订"是一个可选的OCSP功能,它允许通过TLS握手传递吊销信息,从而提高网络性能。您可以同时部署OCSP和CRL,依赖于最新的CRL作为后备。使用这些标准方法之一的好处是商业CA已经支持它们。作为已开发的标准,它们还支持丰富的选项,使它们能够适应您的特定需求。结论所有这些措施的目的是限制和减轻风险。对于攻击者来说,保护良好的密钥不是一个有吸引力的目标,也不是他们知道可以快速、容易地撤销和替换的密钥。您的PKI设计和证书策略决策是相互关联的。设想这样一个场景:您有一个响应非常快的吊销系统,但是私钥以明文形式存储在设备上。泄露这些密钥是微不足道的,您需要在重新颁发证书时立即吊销证书。相反地,如果你对你的私钥有很强的保护,防御ddos限制端口,但是没有有效的方法将一个泄露的密钥标记为已撤销,你也会以一个不安全的系统结束。建立一个强大的PKI,考虑到您的产品的技术需求,为您的设备和网络创建了一个强大的安全基础。现在简单地选择最宽松的政策可能只会滋生困难的工程问题