15-02 身份安全

最新推荐文章于 2024-09-28 12:52:48 发布
最新推荐文章于 2024-09-28 12:52:48 发布
阅读量712 收藏
点赞数
分类专栏： 架构设计 文章标签： 安全 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_56709616/article/details/130741607
版权
文章探讨了身份认证的各种方法，包括密码、生物特征等，以及授权和访问控制的原则，如最小特权和默认拒绝。它还介绍了不同类型的访问控制模型，如DAC、MAC和RBAC。此外，讨论了单点登录（SSO）技术和相关的标准，如SAML、OpenID和OAuth2.0，特别是OAuth2.0的四种授权模式。
摘要由CSDN通过智能技术生成

身份安全——认证

目录管理系统

在这里插入图片描述
在这里插入图片描述

身份认证

  • 你知道什么：密码、PIN、密码短语
  • 你拥有什么：硬令牌、智能卡、USB卡、手机APP
  • 指纹、声纹、脸纹、虹膜

授权和访问控制

访问控制

  • 访问控制原则
    • 最小特权：安全管理员禁止访问任何资源
    • 默认拒绝：白名单（ACL、Scope、Role）
  • 访问控制分类
    • DAC：自主访问控制
    • MAC：强制访问控制
    • RBAC：角色访问控制
      用户、组、权限
    • 分散式：各领域、子域独立管理
    • 集中式：AD、LDAP、Kuberos单点登录
    • 第三方联合模式：SAML、Oauth2、OpenID

SSO单点登录

在这里插入图片描述

SAML安全断言标记语言

在这里插入图片描述

OpenID
  • 一种开放的身份验证标准
  • OAuth2.0

OAuth第三方授权

RFC6749

在这里插入图片描述

OAuth2.0授权4大模式

  • 授权码模式：完整、严密，第三方认证和授权的最主流实现

    • 在这里插入图片描述

  • 简化模式：令牌用户可见，移动端的常用实现手段

    • 在这里插入图片描述

  • 密码模式：王者荣耀瘾君子、用户名密码都给你也无妨

    • 在这里插入图片描述

  • 客户端模式：王者荣耀开发团队、用户就是客户端

    • 在这里插入图片描述
怎么延长token

在这里插入图片描述

阳宝宝的向日葵
关注
专栏目录
Bifrost 中间件 X-Requested-With 系统身份认证绕过漏洞复现
0xSec
12-16 1008
Bifrost 中间件 X-Requested-With 存在身份认证绕过漏洞，未经身份认证的攻击者可未授权创建管理员权限账号，可通过删除请求头实现身份认证绕过，获取环境内配置各种数据库账户密码。
泛微E-Cology10 appThirdLogin 身份认证绕过漏洞复现
0xSec
08-29 2946
泛微E-Cology10 appThirdLogin 接口存在身份认证绕过漏洞，未经身份验证的远程攻击者可以利用此接口获取登录凭据信息，拿到凭据后可绕过身份认证，使用超级管理员账户登录系统后台，造成信息泄露或者恶意破坏，使系统处于极不安全的状态。
等保测评--计算环境安全测评
江南落花雨
07-20 2349
信息安全等级保护，是对信息和信息载体按照重要性等级分级别进行保护的一种工作，在中国、美国等很多国家都存在的一种信息安全领域的工作。在中国，信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作；狭义上一般指信息系统安全等级保护。 ...
渗透测试-NFS安全
课嗨教育的专栏
11-01 1804
现在,我们再回到NFS客户端以root身份登陆到NFS客户端系统中,然后尝试挂载,说到这里,您应该知道这意味着什么了,意思就是我现在只要挂上去就可以随意操作控制目标系统,如下图所示,虽然,实战中遇到直接把整个根都共享出去的情况并不多[这样的傻缺也可能会越来越少],如果是一些放有重要信息的敏感目录,即使没法直接拿到你的系统权限,但从这些重要目录文件中拿到的各类敏感信息一样不容小觑,比较简单,废话就到此为止,相信大家现在应该非常熟练了。
【愚公系列】2024年02月 《网络安全应急管理与技术实践》 007-网络安全应急技术与实践（网络层-网络架构）
时光隧道
02-07 7万+
网络架构安全是指在网络架构设计和实施过程中，通过采取合适的安全措施和技术手段来保护网络架构免受各种安全威胁和攻击的影响。网络架构安全涉及到网络设备的选择和配置、网络拓扑的设计、网络隔离和分割、访问控制和权限管理、数据加密和传输安全等方面。其目的是确保网络的可用性、完整性和保密性，防止未经授权的访问、信息泄露、数据篡改和服务中断等问题。以下内容属于固定流程，来源于书本整理。
【愚公系列】2024年02月 《网络安全应急管理与技术实践》 012-网络安全应急技术与实践（Web层-SQL注入）
热门推荐
时光隧道
02-09 7万+
Web层攻击分析与应急响应演练是指对Web应用程序进行攻击分析，发现潜在的漏洞和安全威胁，并在发生安全事件时能够迅速做出应急响应措施的过程。进行Web层攻击分析是为了了解Web应用程序存在的弱点和漏洞，从而提前对其进行修复和加固。攻击分析可以包括对Web应用程序进行安全扫描、漏洞评估和渗透测试等活动，通过模拟真实攻击场景，发现可能被黑客利用的漏洞，如SQL注入、跨站点脚本攻击（XSS）、跨站点请求伪造（CSRF）等。攻击分析的目的是为了及早发现和修复潜在的安全问题，确保Web应用程序的安全性。
面试总结-2023届安全面试题总汇
lza20001103的博客
09-16 6917
2023届安全面试题总汇 文章目录2023届安全面试题总汇前言0x01 秋招目录（随时更新）0x02 各大安全厂商面试题资料链接一个2023届毕业生在毕业前持续更新、收集的安全岗面试题及面试经验分享 前言 最近发现一个宝贵的面试文章，写了各个以分安全为业务的公司汇总，也是面试官经常会问到的问题，以及CTF经历也是面试官所看好的，大家平时要多多打打CTF和靶机实战呀，这样我们的实战能力才会所有提高。 0x01 秋招目录（随时更新） 有最新的公司校招信息可以随时发布，第一时间更新主要安全行业的公司，主要放不以安
2021-技能大赛-信息安全管理与评估-DCN 设备总结 (中)-任务二-设备安全配置篇（2）
m0_73351035的博客
12-03 3666
注意点 部署方式有一个点，并非一定要操作初装向导来改变部署方式 在添加管理员用户 NETLOG2024 时需要建立一个相关用户的管理员组 操作 操作部署方式 系统管理 → 基本管理 → 基本信息 → 部署方式网络配置 → 网络接入 → 以太网卡系统管理 → 基本信息 → 管理端口系统管理 → 权限管理 → 管理员组 系统管理 → 权限管理 → 管理员系统管理 → 权限管理 → 角色管理系统管理 → 权限管理 → 权限分配策略管理 → 报警策略 → 邮件管理 系统管理 → 基本信息 → 远程管理 系统管理
等保测评--计算环境之安全设备安全
江南落花雨
07-22 1359
信息安全等级保护，是对信息和信息载体按照重要性等级分级别进行保护的一种工作，在中国、美国等很多国家都存在的一种信息安全领域的工作。在中国，信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作；狭义上一般指信息系统安全等级保护。 安全设备防火墙 1.身份鉴别 L3-CES1-01 应对登录的用户进行身份鉴别和标识，身份标识具有唯一性，身份鉴别信息具有复杂度顶要求定期更换。 以天荣信防火墙为例操作。 1、防火墙使用口令鉴别机制对登录用户进行身份标识和鉴别 2.
Kubernetes CKA认证运维工程师笔记-Kubernetes安全
苦难带不走梦想
12-22 2535
Kubernetes CKA认证运维工程师笔记-Kubernetes安全1. Kubernetes安全框架2. 鉴权，授权，准入控制2.1 鉴权2.2 授权2.3 准入控制3. 基于角色的权限访问控制：RBAC4. 案例：为指定用户授权访问不同命名空间权限5. 网络策略概述6. 案例：对项目Pod出入流量访问控制 1. Kubernetes安全框架 K8S安全控制框架主要由下面3个阶段进行控制，每一个阶段都支持插件方式，通过API Server配置来启用插件。 1.Authentication（鉴权）
FM15F366安全芯片产品说明书_V1.31
08-03
【FM15F366安全芯片产品说明书_V1.31】是复旦微电子集团股份有限公司提供的一款基于32位ARM STAR处理器的安全芯片的技术文档。该芯片设计着重于安全性能，适用于需要高数据保护和安全认证的应用场景。 1. **核心...
大总结：Android15安全都包含什么？--Android安全架构梳理-建议收藏
baron-周贺贺-代码改变世界ctw
06-26 90
StrongBox则是一个独立的硬件安全模块（HSM），专门存储高价值的加密密钥，如用于支付和生物认证的密钥。每个应用程序在独立的进程中运行，并且拥有一个唯一的用户ID (UID)，使得应用程序之间不能直接访问彼此的数据。Android系统为用户提供了一个相对安全的操作环境，保护了用户数据和设备的安全。AVB是Android的验证引导机制，旨在确保设备启动时加载的每一层软件都是可信的。它通过加密和密钥管理机制，确保只有授权设备和用户才能访问受保护的内容，防止未经授权的复制和分发。
部标主动安全（ADAS+DMS）对接说明
谁念西风独自凉
09-27 730
上一篇介绍了，这里说一下如何对接主动安全附件服务器。流媒体的对接主要牵扯到4个方面：（1）平台端：业务端系统，包含前端呈现界面。（2）JT/T808网关：部标设备接入网关，这个是非常重要的，是设备与平台进行数据交换的桥梁，流媒体相关的指令操作也必须依赖它完成。（3）部标视频机：符合JT/T808协议的车载视频机器。（4）流媒体服务：符合苏标、粤标、川标、陕标协议的主动安全附件服务，接收文件流，并存储。
Splashtop 加入 Microsoft 智能安全协会
SplashtopLoki的博客
09-27 618
Splashtop 的 Foxpass Cloud RADIUS 可提供精确的访问控制，保护 Wi-Fi 网络免受未授权用户和网络攻击的侵害，Foxpass 因其流畅的用户体验和强大的安全性而广受认可。MISA 由独立软件供应商（ISV）和托管安全服务提供商（MISA）组成，他们将其解决方案与 Microsoft 安全技术集成，以更好地保护我们共同的客户免受日益增长的网络威胁。MISA 的使命是提供行业领先的智能安全解决方案，在安全威胁不断增加的情况下，以 AI 的速度和规模保护组织安全。
网络编程（5）——模拟伪闭包实现连接的安全回收
m0_63086198的博客
09-26 1096
new_session通过bind绑定时，new_session的计数就会加一，所以在bind后，new_session的生命周期和新构造函数的生命周期相同，因为新生成的函数对象引用了new_session（new_session通过值传递的方式被复制构造函数使用）。，但是通过bind操作，将new_session作为数值传递给bind函数，而bind函数返回的函数对象内部引用了该new_session所以引用计数增加1，这样保证了new_session不会被释放。今天学习如何通过C11智能指针构造伪。
注册安全分析报告：人民卫生音像
Explinks的博客
09-25 696
人民卫生音像出版社，作为国家卫生健康委员会、中宣部、财政部、教育部等国家部委的领导下的官方企业， 采用的是通俗的滑动验证产品， 该产品稳定并且市场占有率很高， 在一定程度上提高了用户体验， 但安全性在机器学习的今天， 已经无法应对攻击了，并且正是由于该产品通俗， 所以在网上破解的文章和教学视频也是大量存在，并且经过验证滑动产品很容易被破解， 所以除了滑动验证方式， 花样百出的产品层出不穷，但本质就是牺牲用户体验来提高安全。很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。
从《GTA5》的反外挂斗争看网络安全的重要性
@云安全小杜
09-26 721
本文将探讨《GTA5》在对抗外挂过程中遇到的挑战，特别是当游戏开发者试图增强游戏安全性时所遭受的DDoS攻击，并从中提炼出对于网络安全的一些启示。然而，随着游戏人气的增长，一些不法分子开始利用技术手段制作并销售外挂程序，这些程序可以让使用者在游戏中获得不公平的优势，从而破坏了游戏环境。请注意，以上内容是基于假设的情景编写的技术分析文章，实际案例可能涉及更多的细节和技术层面的问题。《GTA5》与外挂之间的斗争提醒我们，在享受数字世界带来的便利的同时，也需要时刻警惕潜在的安全风险，并积极采取措施加以防范。
安全点的应用场景及其原理详解
最新发布
lssffy的博客
09-28 1049
安全点（Safepoint）是JVM运行过程中，所有Java线程必须达到的一个特定状态点。在这个点上，所有线程都会暂停执行，进入一个安全的状态，以便JVM执行某些全局操作。线程在执行到某个特定的安全点时，才能安全地被暂停，而线程不能在任意位置暂停，这是为了保证暂停时系统状态的一致性。每个线程在达到安全点时，会等待JVM进行的全局操作（例如垃圾回收或其他操作）完成，然后恢复执行。这种机制确保在进行全局操作时，线程之间的数据不会发生不一致的情况。
海上安全守护者：北斗盒子TD20，为生命护航
广州磐钴智能的博客
09-27 616
北斗盒子TD20，作为海上安全的新守护者，以其精准的定位、可靠的通信、自动报警和长效的电池，为海上工作者的生命安全提供了全方位的保障。北斗盒子TD20，这款专为水上活动设计的智能设备，利用北斗导航系统提供的高精度定位服务，确保在全球范围内都能提供可靠的定位信息。这一高防护等级，使得北斗盒子TD20能够适应多变的海上环境，为海上工作者提供坚实的安全保障。北斗盒子TD20，作为一款专为水上活动设计的智能设备，凭借其高精度的定位服务和可靠的通信功能，成为了海上安全的重要保障。
AWSCertified Solutions Architect Associate考试全攻略：设计与实践
考试总共有50道计分题，其中15道是不计分的，用于评估和未来更新试题库。通过展示对AWS服务的深入理解和实践经验，考生将能够证明自己的解决方案架构师能力。 参加SAA-C02考试的候选人应具备至少一年的实践经验，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值