From a065e04d529da1d847b5062a12c46d916408bf32 Mon Sep 17 00:00:00 2001 From: Peter Bengtsson Date: Tue, 8 Dec 2020 21:46:22 -0500 Subject: update based on https://github.com/mdn/yari/issues/2028 --- .../tcp_ip_\345\256\211\345\205\250/index.html" | 50 ---------------------- .../vulnerabilities/index.html | 47 -------------------- .../index.html" | 35 --------------- .../web/security/site_identity_button/index.html | 27 ------------ 4 files changed, 159 deletions(-) delete mode 100644 "files/zh-cn/web/security/information_security_basics/tcp_ip_\345\256\211\345\205\250/index.html" delete mode 100644 files/zh-cn/web/security/information_security_basics/vulnerabilities/index.html delete mode 100644 "files/zh-cn/web/security/information_security_basics/\346\234\272\345\257\206\346\200\247\343\200\201\345\256\214\346\225\264\346\200\247\345\222\214\345\217\257\347\224\250\346\200\247/index.html" delete mode 100644 files/zh-cn/web/security/site_identity_button/index.html (limited to 'files/zh-cn/web/security') diff --git "a/files/zh-cn/web/security/information_security_basics/tcp_ip_\345\256\211\345\205\250/index.html" "b/files/zh-cn/web/security/information_security_basics/tcp_ip_\345\256\211\345\205\250/index.html" deleted file mode 100644 index 5a8c1a68b0..0000000000 --- "a/files/zh-cn/web/security/information_security_basics/tcp_ip_\345\256\211\345\205\250/index.html" +++ /dev/null @@ -1,50 +0,0 @@ ---- -title: TCP/IP 安全 -slug: Web/Security/Information_Security_Basics/TCP_IP_安全 -translation_of: Archive/Security/TCP_IP ---- -

{{draft}}

- -

TCP/IP 在全世界被广泛应用于提供网络通信。  TCP/IP 通信由四个工作层组成。当用户想要通过网络传输数据时，数据就会从更高层通过中间层逐渐传递到最底层，每层都会添加对应的信息。在每一层, 逻辑单元通常由标头和有效载荷组成。有效载荷由上一层传递下来的信息组成，而头部包含特定于层的信息，例如地址。在应用程序层，有效负载是实际的应用程序数据。最底层通过物理网络发送累积数据;然后，数据通过层向上传递到目的地。基本上，由层生成的数据通过其下面的层封装在更大的容器中。从最高到最低的四个TCP / IP层如下所示。

- - - -

存在用于TCP / IP模型的每一层的网络通信的安全控制。如前所述，数据从最高层传递到最低层，每层添加更多信息。因此，较高层的安全控制不能为较低层提供保护，因为较低层执行较高层不知道的功能。每层可用的安全控制包括：

- - - -

由于它们可以同时为许多应用程序提供保护而无需对其进行修改，因此经常使用网络层安全控制来保护通信，尤其是在诸如因特网的共享网络上。网络层安全控制提供单一解决方案，用于保护所有应用程序的数据，以及保护IP信息。然而，在许多情况下，另一层的控制比网络层控制更适合提供保护。例如，如果只有一个或两个应用程序需要保护，则网络层控制可能过多。 SSL等传输层协议最常用于为与各个基于HTTP的应用程序进行通信提供安全性，但它们也用于为其他类型的应用程序（如SMTP，存在点（POP），Internet）的通信会话提供保护。消息访问协议（IMAP）和文件传输协议（FTP）。由于所有主要的Web浏览器都包含对TLS的支持，因此希望使用受TLS保护的基于Web的应用程序的用户通常不需要安装任何客户端软件或重新配置其系统。传输层安全协议的较新应用程序保护HTTP和非HTTP应用程序通信，包括客户端/服务器应用程序和其他网络流量。每一层的控件都提供了其他层控件的优点和功能。

- -

SSL是最常用的传输层安全控制。根据SSL的实现和配置方式，它可以提供以下类型的保护的任意组合：

- - - - - -
-

Original Document Information

- - -
- -

{{QuickLinksWithSubpages("/en-US/docs/Web/Security")}}

diff --git a/files/zh-cn/web/security/information_security_basics/vulnerabilities/index.html b/files/zh-cn/web/security/information_security_basics/vulnerabilities/index.html deleted file mode 100644 index e060234976..0000000000 --- a/files/zh-cn/web/security/information_security_basics/vulnerabilities/index.html +++ /dev/null @@ -1,47 +0,0 @@ ---- -title: Vulnerabilities -slug: Web/Security/Information_Security_Basics/Vulnerabilities -translation_of: Archive/Security/Vulnerabilities ---- -
-

本文讨论漏洞，解释它们是什么以及它们在所有系统中的存在方式。

-
- -

漏洞是系统中的一个弱点，可被利用来对机密性，完整性和可用性产生负面影响。 可以通过多种方式对漏洞进行分类。 本文使用三个高级漏洞类别：软件缺陷，安全配置问题和软件功能滥用。 这些类别如下所述。

- -

漏洞级别

- -

 

- -

软件缺陷是由软件设计或编码中的意外错误引起的。比如输入验证错误，假如用户提供的输入未正确评估恶意字符串和与已知攻击相关的过长值。另一个示例是竞争条件错误，允许攻击者使用提升的权限执行特定操作。

- -

安全配置设置是软件安全性的一个元素，可以通过软件本身进行更改。设置的示例是提供对控制列表的访问的操作系统，该控制列表设置用户对文件的特权，以及提供用于启用或禁用由应用程序存储的敏感数据的加密的设置的应用程序。安全配置问题漏洞涉及使用对软件安全性产生负面影响的安全配置设置。

- -

软件功能是由软件提供的功能功能。软件功能滥用漏洞是一种漏洞，其中该功能还提供了破坏系统安全性的途径。这些漏洞是由软件设计者做出的信任假设允许软件提供有益的功能，同时也引入某人违反信任假设以破坏安全性的可能性引起的。例如，电子邮件客户端软件可能包含在电子邮件消息中呈现HTML内容的功能。攻击者可以制作包含超链接的欺诈性电子邮件，这些超链接在以HTML格式呈现时对收件人来说是良性的，但实际上在收件人点击时会将收件人带到恶意网站。 HTML内容呈现功能设计中的一个信任假设是用户不会收到恶意超链接并点击它们。

- -

在软件设计或软件组件（例如，软件实现的协议）期间引入软件特征滥用漏洞。信任假设可能是明确的 - 例如，设计者意识到安全漏洞并确定单独的安全控制会对其进行补偿。但是，信任假设通常是隐含的，例如创建特征而不首先评估它将引入的风险。威胁也可能在软件的生命周期或软件中使用的协议中发生变化。例如，地址解析协议（ARP）信任ARP回复包含媒体访问控制（MAC）和Internet协议（IP）地址之间的正确映射。 ARP缓存使用该信息提供有用的服务 - 以便在本地网络内的设备之间发送数据。但是，攻击者可能会生成错误的ARP消息来中毒系统的ARP表，从而发起拒绝服务或中间人攻击。 ARP协议在25年前已经标准化，从那时起威胁发生了很大的变化，因此其设计中固有的信任假设今天不太可能合理。

- -

可能很难将软件功能滥用漏洞与其他两个类别区分开来。例如，软件设计过程中的缺陷可能导致软件缺陷和滥用漏洞。但是，软件缺陷纯粹是消极的 - 它们对安全性或功能没有任何积极的好处 - 而软件特性由于提供额外的功能而导致滥用漏洞。

- -

对于可以启用或禁用的功能的滥用漏洞，可能存在混淆 - 在某种程度上，配置与安全配置问题。关键的区别在于，对于滥用漏洞，配置设置启用或禁用整个功能，并不特别改变其安全性;对于安全配置问题漏洞，配置设置仅更改软件的安全性。例如，禁用电子邮件中所有HTML使用的设置会对安全性和功能产生重大影响，因此与此设置相关的漏洞将是滥用漏洞。禁用电子邮件客户端中使用反网络钓鱼功能的设置仅对安全性有重大影响，因此具有该设置的漏洞将被视为安全配置问题漏洞。

- -

 

- -

The Presence of Vulnerabilities

- -

No system is 100% secure: every system has vulnerabilities. At any given time, a system may not have any known software flaws, but security configuration issues and software feature misuse vulnerabilities are always present. Misuse vulnerabilities are inherent in software features because each feature must be based on trust assumptions—and those assumptions can be broken, albeit involving significant cost and effort in some cases. Security configuration issues are also unavoidable for two reasons. First, many configuration settings increase security at the expense of reducing functionality, so using the most secure settings could make the software useless or unusable. Second, many security settings have both positive and negative consequences for security. An example is the number of consecutive failed authentication attempts to permit before locking out a user account. Setting this to 1 would be the most secure setting against password guessing attacks, but it would also cause legitimate users to be locked out after mistyping a password once, and it would also permit attackers to perform denial-of-service attacks against users more easily by generating a single failed login attempt for each user account.

- -

Because of the number of vulnerabilities inherent in security configuration settings and software feature misuse possibilities, plus the number of software flaw vulnerabilities on a system at any given time, there may be dozens or hundreds of vulnerabilities on a single system. These vulnerabilities are likely to have a wide variety of characteristics. Some will be very easy to exploit, while others will only be exploitable under a combination of highly unlikely conditions. One vulnerability might provide root-level access to a system, while another vulnerability might only permit read access to an insignificant file. Ultimately, organizations need to know how difficult it is for someone to exploit each vulnerability and, if a vulnerability is exploited, what the possible impact would be.

- -
-

Original Document Information

- - -
- -

{{QuickLinksWithSubpages("/en-US/docs/Web/Security")}}

diff --git "a/files/zh-cn/web/security/information_security_basics/\346\234\272\345\257\206\346\200\247\343\200\201\345\256\214\346\225\264\346\200\247\345\222\214\345\217\257\347\224\250\346\200\247/index.html" "b/files/zh-cn/web/security/information_security_basics/\346\234\272\345\257\206\346\200\247\343\200\201\345\256\214\346\225\264\346\200\247\345\222\214\345\217\257\347\224\250\346\200\247/index.html" deleted file mode 100644 index 2c415ae3ea..0000000000 --- "a/files/zh-cn/web/security/information_security_basics/\346\234\272\345\257\206\346\200\247\343\200\201\345\256\214\346\225\264\346\200\247\345\222\214\345\217\257\347\224\250\346\200\247/index.html" +++ /dev/null @@ -1,35 +0,0 @@ ---- -title: 机密性、完整性和可用性 -slug: Web/Security/Information_Security_Basics/机密性、完整性和可用性 -translation_of: 'Archive/Security/Confidentiality,_Integrity,_and_Availability' ---- -
-

这篇文章讨论Web安全的三个主要目标：机密性、完整性和可用性。

-
- -

传统的关于信息安全的模型定义了三个Web安全的目标：保持机密性、完整性和可用性。每一个目标都阐述了信息安全的不同方面。

- -

机密性

- -

机密性指信息指在未验证状态下信息不能被用户获取。也就是说，只有被验证过的用户才能获得敏感数据。联想下你的银行卡，你是授权可以访问的，但是，银行的雇员们也可以访问，其他人不行。机密性不高也就意味着原本不能访问这些信息的人却能够获取到这些信息，不管是有意为之还是由于突发事故。保密失败，也就是通常所说的泄密,通常是很难被根治的。一旦秘密被泄露了，就不能重新加密它。如果你的银行账号被贴到了一个公共的网站上，每一个人就都能知道你的银行账号，收入等，而且这些信息并不会从他们的心里，纸上，电脑或者其他地方清除。今天几乎凡是媒体上报道的安全事故，都涉及到重大的机密损失。

- -

总的来说，机密信息的泄露指的就是本不能访问它的人却获得了这些信息。

- -

完整性

- -

完整性表示，经过验证的用户访问数据时，数据没有发生过任何改动，是原生的数据。想象下你有一个网站，并在上面出售商品。这时一个黑客在浏览你的网站，并恶意的修改了你产品的价格，这样一来，他就能够以任意的价格购买任何东西。这就是一个保护完整性的反面案例。因为你的信息--这个场景下，就是商品的价格--被修改了，而且你没有授权这一次变更。另一个反面案例，当你在连接一个网站的时候，攻击者重定向了你的传输到另外一个网站。在这种情况下，你被指向的网站并不是真实可靠的。

- -

可用性

- -

可用性指被验证过的用户可以轻易获得信息。

- -
-

初始文档信息

- - -
diff --git a/files/zh-cn/web/security/site_identity_button/index.html b/files/zh-cn/web/security/site_identity_button/index.html deleted file mode 100644 index fff6661ffd..0000000000 --- a/files/zh-cn/web/security/site_identity_button/index.html +++ /dev/null @@ -1,27 +0,0 @@ ---- -title: Site Identity Button -slug: Web/Security/Site_Identity_Button -tags: - - 安全 - - 火狐 -translation_of: Mozilla/Firefox/Site_identity_button ---- -

 Site Identity Button 是火狐的一个特性，用于向用户提示更多他们已经访问过的网站的信息。

- -

这个特性的使用取决于你网站的配置，按钮会显示许多不同的图标。

- -

如果站点身份按钮没有按照您的配置显示出来的话（如你想要看到一个绿色的锁却显示一个橙色的三角图标），你可以打开火狐开发者工具的控制台，在控制台里能找到一些原因：

- -
    -
  1. 确定您的控制台在'security'目录下显示信息。
    2. -
  2. 强制刷新有问题的站点
    3. -
  3. 耐心等待可能会出现的一些安全信息
    4. -
- -

由于以下的原因之一，UI的安全等级将会降低：

- - -- cgit v1.2.3-54-g00ecf