安全原则与实践详解

1、以防火墙为例，解释安全、故障安全默认原则。

• 安全、故障安全默认原则 指系统应在故障时启动并恢复到安全状态，安全机制设计应确保系统启动时处于安全状态，故障时回到安全默认状态。

• 在访问控制方面，默认和故障安全状态应阻止任何访问，即采用 白名单方法 ：除非明确授权，否则拒绝许可。

• 以防火墙为例，大多数防火墙规则集遵循白名单方法：

• 默认规则是拒绝任何网络数据包的访问。

• 只有当某些规则明确允许数据包通过时，它才能通过，否则将被丢弃。

• 这样即使系统出现故障，也能保证默认状态下网络访问是安全的。

2、解释最小特权原则，并举例说明该原则在日常生活中的两种应用。

最小特权原则

指系统的任何组件（和用户）应使用完成其工作所需的最少权限集进行操作，即应将权限降至绝对最低，主体不应被允许访问完成工作并非真正必需的对象。

在日常生活中的应用示例：

1. 办公室大楼的钥匙分配
   - 普通员工：仅需自己办公室的钥匙
   - 高级员工：有自己办公室和大楼正门的钥匙
   - 清洁工：有除保险箱外所有门的钥匙

2. 公司员工的人事档案访问
   - 普通员工通常不需要访问其他员工的人事档案来完成工作，因此不应被给予访问权限
   - 人力资源助理因工作需要，可被授予相应访问权限

3、解释为什么通过隐蔽性实现的安全通常不会提高安全级别。

• 隐蔽性安全依赖于保护机制的保密性，但秘密难以保护，需存储在如人类记忆、机器内存、磁盘或外部设备等地方并加以保护。
• 而且，对于广泛分发的系统，维持保密性不现实。
• 此外，安全系统应依赖特定且更易保护的密钥或密码，而非潜在对手的不知情，这样保护机制可接受更多审查而不影响安全。
• 因此，隐蔽性安全通常无法提升安全级别。

4、在Saltzer和Schroeder的术语中，完全中介描述了一种安全原则，即每次主体请求访问任何对象时都需要进行访问检查。解释为什么这一原则可能难以实施，并举例说明你提到的困难。

• 完全中介原则难以实施的原因主要有：
• 要确保访问控制机制不能被绕过，且在系统各种状态下都能运行，包括正常运行、关机、维护模式和故障状态；
• 敏感信息在传输和存储时需加密，否则易受下层攻击；

• 要设计出识别每个请求来源的可靠方法，且对缓存授权信息需谨慎处理，权限变更时要系统更新缓存结果。

• 例如 ：在下层攻击中，攻击者可以通过在执行层以下请求对象来获得未授权访问，如：

• 通过启动不同的操作系统来绕过基于文件系统的访问控制；

• 通过嗅探流量来绕过Web应用程序实施的访问控制机制。

• 规范化问题 也是常见难题，如文件系统路径、主机名和URL等存在多种表示形式，可能导致权限检查失败。

5、与开放设计原则相反，最小暴露原则要求将泄露的信息降至最低。这两个原则是否相互矛盾？请举例支持你的答案。

这两个原则并不矛盾。

• 开放设计原则 ：强调系统的安全不应依赖保护机制的保密性。例如，使用标准化门锁，依靠钥匙的安全性而非门锁设计的秘密性，机制可公开接受审查