浅析网络用户安全问题

摘要：计算机网络的普及，使网络用户的安全问题上升到前所未有的高度，如何使网络用户更安全地使用网络，是我们应该关注的话题。该文对网络用户安全问题的各种常见情况作了详细的剖析，对网络服务提供者和网络使用者都有很好的参考价值。

关键词：网络安全；网络验证；用户安全

中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)34-1820-02

Analyze the Safety Problems of Internet Users

QIU Ying-ying

(Guangxi Economic & Trade Polytechnic, Nanning 530021, China)

Abstract: With the popularity of Internet, the safety problems of Internet users come into an unprecedented level. The problems which we should concern is how to use the Internet safety. This article analyzes many common situations in detail. It has good reference value for ISP and users.

Key words: network safety; network authenticate; user safety

1 引言

随着计算机网络的日益普及，计算机安全问题越来越受到我们的重视。在使用计算机网络的过程中，我们接触得较多的是用户验证。为此，有必要对用户验证进行深入的研究，最大限度地保障用户的计算机网络安全。

2 网络用户安全问题的几种常见情况

2.1 传统密码安全

在网络上，我们经常要用到密码。如果我们的密码被窃取了，无论是在聊天室、论坛，还是在网上银行，其后果都是相当严重的。保证密码安全的一些要点是：

1) 密码长度不能太短，并且应该同时包含字母、数字、标点符号甚至特殊字符,诸如%、&、#和$。

2) 为了防止字典攻击，永远不要对自己的密码过于自信,密码中不要使用常见的英文单词、汉语拼音、英文简称和个人信息（如生日、纪念日、电话号码等）。

3) 将密码做妥善保管，但最好不要写下来，否则容易被人知道。

4) 最好不要把密码存在电脑里，否则你身边的人可能趁你不在时获取密码，黑客也可能在你上网时通过秘密手段在不知不觉中取得你的密码。

5) 不要让别人知道你的密码。也许你就在无意当中泄露了密码而浑然不知。一些攻击者常常冒充你的服务提供商，编一些诸如“由于系统更新，需要你的密码”之类的谎话（美名其曰：社会工程学）。千万不要上当！要知道ISP是不会向你询问密码的。

6) 不要在不同系统上使用同一密码。因为攻击者一般在获取了密码后，就会用它去每个需要密码的地方作尝试！想想看，别人用一个密码盗用你的帐号上网，然后去偷看或冒名发送电子邮件，用你的账户去进行证券交易……这是多么可怕的事啊！

7) 定期更改密码。这样，即便黑客破译了你的密码，你也有机会在密码被人滥用之前将其改变，而黑客在理论上就是永远在所有的可能密码中试验，而不是越试越少（如果你不改密码，对黑客来说，自然说是密码越试越少了），使自己遭受黑客攻击的损失降低到最低程度。

8) 如果你使用上网拨号程序，那么除非十分必要，请尽量不要保存密码。因为系统会将密码保存到文件中，别人（尤其是有机会接近你的机器的人）一旦获取该文件，就可以用黑客工具得到你的帐户密码，盗用你的帐号上网！

2.2 网络钓鱼及动态密码

近年来，国内多次发生假冒网站使客户资金被盗案件，凸显网络银行的安全性问题。典型的网络钓鱼是将受害人引诱到一个通过精心设计与目标机构（主要是银行）的网站页面非常相似的钓鱼网站上，获取受害人在此网站上输入的个人敏感信息，整个攻击过程中受害者都不会警觉。它是“社会工程学攻击”的一种新形式。现实生活中，在ATM机上粘贴“温馨提示”与“网络钓鱼”的原理是一样的，用户总是以为自己在和正规的系统在进行人机对话，殊不知进入了骗子的圈套。

为了提高安全性，一些银行通过动态密码验证网银用户的身份。它们发给客户一张印有一组数字或字母的卡片（比如工行的电子银行口令卡），使用时按照一定的规则输入系统随机要求的其中一组或几组，下次使用时再输入其它组的内容。因为每次要求输入的组别是随机的、不相同的，这就使系统风险大大降低了。此外，让客户购买专门发送密码的电子器件（如U盾），或将一次性密码通过手机短信的方式发给客户，这些方式在应用中比较常见。

动态密码使用方便，但它只适用于金额小的交易，对于金额大、使用频繁的用户，其安全性还不是十分理想。目前动态密码的隐患主要有两类，一是以病毒为主的系统安全风险，目前还未形成规模；二是身份风险，目前大多数案件都来源于此。身份风险又分为银行方面的身份风险和用户方面的身份风险，如网络钓鱼是银行的身份被假冒，而用户个人身份被假冒则表现在不法分子用非法获取的账户密码进行盗窃。

据有关专家介绍，遭遇病毒和黑客的攻击时，一旦用户输入动态密码并通过网络传送，位于用户与网银服务器通信通道间的黑客便可通过键盘监听、 内存读取等方式将其截获，使用户无法完成登录，并造成网络连接断开或连接超时等假象；另一方面黑客利用截获的动态密码假冒用户的身份登录到网银，使用户经济蒙受巨大的损失。

此外，通过动态密码登录的用户由于没有电子签名，因此也就没有具有法律效力的认证材料，一旦出现纠纷，用户的合法权利将无法受到保护，而银行也承担着一定的经济风险。

2.3 黑客后门程序

我们都知道，黑客在攻破你的系统防御后，完全可以增加、删除或修改你计算机中的文件。他们通常通过黑客软件来完成他们的罪恶行径。这些软件以木马程序为主。它们都是远程控制软件，工作原理都是一样的：首先把服务器端程序发给对方，使它运行起来（或者诱骗你去运行它），接着攻击者就在自己的机器上运行客户端程序，窃取服务器端程序取到的信息，所以这类软件也叫特洛伊木马程序。防治的方法也有不少：

1) 你收到的任何不清楚其用途的程序都可能是后门程序。攻击者常把后门程序换一个名字用电子邮件发给你（如系统中常见的svchost.exe），并骗你说诸如“这是个好东西，你一定要试试”之类的话。

2) 上网觉得不对劲时，你可以通过按Ctrl+Alt+Del来查看系统是否运行了什么不明的程序，如果不是系统文件，你一定要马上中止它。然而有些程序并不显示在进程列表里，这就要通过专门的杀毒软件或查杀木马的程序来找出并清除它们。

3) 如果试了很多办法都不行，你可以试试最简单的杀掉后门程序的办法（通常是无奈的最后一招）：重装系统。前提是你的系统盘（通常是C盘）不要放什么重要的数据，或者你在重装系统前要记得备份你在系统盘里的数据。这里需要注意的是，有的病毒（或木马）可以破坏你的克隆文件，使你的系统即使反克隆也无法消除病毒。为了防止这种意外情况的发生，你可以未雨绸缪，将克隆文件改一个后缀名（例如默认的后缀名是GHO，你可以改成SF），还可以将克隆文件单独放在一个专门的分区中并隐藏这个分区，这两招可以避免几乎所有的此类恶意病毒的破坏。最保险的方法是，你将系统克隆好后，记下它的文件大小，还原前对比一下，通常受过攻击的克隆文件的大小是不可能与原始状态完全相同的。只有文件大小不变，才能比较放心地去反克隆系统。