?!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
在做应用软g开发中Q在软g安全和数据安全方面会采取那些措施呢?安全性可能是指数据的安全性吧Q一般应当从两个斚w来考虑Q?nbsp;
W一Q数据本w的安全性,主要是防止出C务数据丢失,保证数据的一致性等斚wQ一般这些都是通过采用的Ygq_来保障的Q可能应用开发的人关心的较少?nbsp;
W二Q数据访问的安全性,pȝ要防止被dQ防止越权的操作Q防止个人的信息被盗H等Q这里面也需要依靠一些Ygq_和标准来实现Q但是应用要考虑的东西就相对要多Q根据系l的大小和设计目标而定?/span>
用户的权限管理是每个pȝ最基本必要的功能,q个很难说要软g来完成还是系l来完成Q我觉得应用上考虑的比较简单,因ؓ一般的权操作都是靠伪造n份的ҎQ很多的w䆾的校验是需要一定^台支持的应用是无能ؓ力的Q不qY件设计的时候应当考虑防止饶过软g的安全校验的层直接访问应用逻辑的可能?/span>
如果pȝ的安全要求较高,一般对pȝ的操作应当记录操作日志,而且可以ql管理员监控Q而且应当有类g“d核对”的东西?/span>
应用主要q是应当考虑怎么保证业务上的安全性,即防止用户合理合法的使用pȝq规操作Q系l的安全性需要相应的软硬件^収ͼ应用需要作的是使用q些资源而已?/span>
用户的权限管理应该是ql和软g来综合完成的Q最好保持两者在用户上的l一性,实现双重的访问控制?nbsp;
应用主要q是应当考虑怎么保证业务上的安全性,即防止用户合理合法的使用pȝq规操作Q系l的安全性需要相应的软硬件^収ͼ应用需要作的是使用q些资源而已。[/quote:12739beda2]
用户的权限管理应该是ql和软g来综合完成的Q最好保持两者在用户上的l一性,实现双重的访问控制?/span>
权限理在应用的设计上不是个NQ一般你作过一个系l的权限理Q以后的基本上就Ҏ可以了Q因为所有的l织都大体是一Ll织ҎQ当然“地下党”的单线联系除外。直接访问业务逻辑Q比如一个系l,pȝ客户端运行的时候开始需要登陆,d以后可以用系l,如果pȝ只在d的时候校验用Lw䆾可能׃是个安全的作法,因ؓ对于正常使用pȝ的h来说当然没关p,但是如果有h直接发送应用请求的数据包给服务器,如果应用没有Ҏ保证该请求是通过正常的登录来的可能就有问题?/span>
是具体的业务具体分析了Q这些首先是要在业务程上来保证Q应用开发要作的是搞清楚业务的规则ƈ在系l中体现出来Q但是实际上应用开发h员会l常协助用户一起制定一些业务的规范Q这个可能就q׃讨论的“安全”的范围了,那是业务上的规范
从应用上去解军_全问题?是个思\Q但不彻底,应用必然假设在操作系l之上,如果操作pȝ被hH取权限Q应用再安全有啥用?再谈楼顶的老兄提的软g安全问题Q其实就是安全编E,q是我们都应该注意的问题Q非安全~程会导_~冲溢出Q堆溢出Q单字节溢出Q整形溢出,逻辑错误{等许多问题Q这都有可能使入侵者直接拿到权限,安全~程不是三言两语的,只是大家在编E的时候要多多考虑Q最好先学会在内怸~程的严谨性再ȝ写应用程序就很容易了
一切应用安全的基础在于操作pȝ的安全,操作pȝ安全的基又在于硬件服务器的安全,windows或者unix本n的文件访问机制是自主讉K只能辑ֈ国家2U安全标准,q是非常不完善的Q所以就需要先从操作系l入手解军_全问题,比如杜绝非法的系l调用,杜绝内核后门Q从0层增强文件访问机制增加MAC,ACL{,在这个的基础上我们再谈上面的应用Q否则一切都是空谈,目前公安部推行的国家5个等U的安全标准是Zq个意思?/span>
实现软g的安全性可以从以下斚w来做Q?nbsp;
先要定安全目标Q然后做分布性^台对象、操作系l、认证技术的选择。检查代码的安全性(比如说代码是否模p,密码的算法等Q,做Y件稽核(体系l构的安全)Q如何有效防止溢出,讉K控制Q信ȝ理Q密码学的应用,口o认证的方式和原则{?/span>
应当先指定一个安全目标,q有也应当考虑选用的硬件品和q_软gQ中间g、数据库{)的安全性。其实与其说软g的安全性不如说pȝ的安全性要好些?/span>
目前国家正在大力实施的就是操作系l的安全Q服务器的安全,目前操作pȝ׃没有国化,所以目前的状况只能是加固,q作Z个过渡阶D,服务器已l国产化Q比如曙光,潮。等q两个做好了Q再谈及数据库,中间件以及上面的应用安全。至于Y件编写时的安全问题,我觉得主要还是h的因素,我觉得现在很多应用程序员盲目~程不求严}Q比如malloc分配的一D内存,在其中的一个程序分支就没有释放Q这很容易导致安全问题,要先从h入手?/span>
做各U代码或者二q制的安全检查工Pq已l有很多现成的工具了Q不q主要还是hQ验收也只是一个方面,q不能完全杜l非安全~程Q主要还是从E序员素质入手?/span>