电子期刊第122期

邮箱忘记用户名和密码该如何处理

  答:在客户服务工作我们发现,有些用户在使用客户端软件收发邮件或者长期未使用邮箱时出现忘记邮箱用户名和密码的情况。

  由于各单位邮箱由本单位网管负责管理,请您在忘记邮箱密码时与您所在单位的网管老师联系为您的邮箱查询用户名和重置密码。


更多问题

数据中心与云计算交汇编织物联网时代
 
  近来,物联网(IoT)已成为人们时刻关注的热议话题。物联网是计算的下一次进化,不仅仅是个人电脑和服务器或移动设备之间,而且是互联网中数十亿计的设备都将实现互联互通。随着IoT的蓬勃发展,可穿戴式设备、温控器、汽车、医疗设备以及无数其它物品之间正在相互建立连接,以便进行通信、数据分享和处理执行。随着IoT迅速发展,用户对企业、服务提供商和家庭网络的要求呈几何倍增长。网络架构师和管理员也面临着构建和维护高效运作网络的挑战。应对这一问题的关键要素就是更广泛的利用以太网的连接性,这种连接性正在向10Gbps、40Gbps 甚至100Gbps不断扩展。可信赖的以太网为IoT设备以及操作系统和软件应用的运行提供了基础网络层。

科研信息化技术与应用

中科院信息化工作动态

中科院国际会议服务平台


技术追踪
  · 大数据弹性应用开发的八项基本原则
  · 网站浏览安全细谈
  · 十大安全雷区 切不可踏入半步
 

大数据弹性应用开发的八项基本原则
   
 

  大数据应用正在从概念走向现实,而企业在大数据应用开发时,软件的弹性(Resilient)正在成为决定大数据应用成败的关键因素。弹性差的应用无法应对大规模的数据集,在测试和运营中也缺乏透明度,而且也不安全。

  避免大数据应用在生产环境中掉链子的最佳办法,就是在开发阶段就开发弹性应用,例如:鲁棒、经过测试、可改变、可审计、高安全、可监控。

  可以说,开发出弹性大数据应用既是一个技术工作,也是一个哲学问题。Concurrent的Supreet Oberoi近日撰文提出大数据应用开发八大基本原则:

  一、为弹性大数据应用描绘一个蓝图。

  第一步是为企业大数据应用创建一个系统的架构和方法,要处理什么数据?那些类型的分析最重要?软件架构需要承载那些指标、审计、安全和运营功能?

  另外一些需要考虑的问题:那些技术最关键?哪些技术只是图一时之便?你的蓝图需要准确评估当前架构的问题所在。

  二、数据规模不再是问题。

  如果应用无法处理更大规模的数据集,那么它就缺乏弹性,弹性应用应当能够处理任意规模的数据集(包括数据深度、广度、频度等),数据弹性还只对新技术的兼容,缺乏弹性的应用需要不断配置修改应用来适应不断更新的大数据技术,对于企业来说是时间、资源和金钱上的无底洞。

  三、透明度。

  对复杂应用来说,查找扩展性等弹性相关问题还很难实现自动化。关键是锁定问题的根源所在:是代码、数据还是架构抑或网络问题?并非每个应用都要具备这种透明度,但大一些的平台应当具备足够的透明度,让所有开发者和运营人员都能在问题发生时立刻找到根源并采取措施。

  一旦发现问题,最为关键的是将找到应用行为对应的代码--最好是通过发现问题的监控应用。大多数情况下,访问代码会涉及到多个开发人员,执行起来流程将非常曲折。

  四、抽象,事关高效和简洁。

  弹性应用总是面向未来的,通常采用抽象层来简化开发、提升效率,允许采用不同的技术实现。作为架构的一部分,弹性开发的抽象层能够避免开发者陷入技 术实现的细节泥潭中。简洁性则能方便数据科学家使用应用访问所有类型的数据源。如果没有抽象技术,产品的生产力会大打折扣,修改成本增高,而用户则为复杂 性所困扰。

  五、安全:审计与合规。

  弹性应用能自我审计,能够显示谁使用了应用,谁有权限使用,访问了哪些数据以及政策如何实施。在应用开发阶段就将这些功能考虑进去是应对日益增长的大数据隐私、安全、治理和控制挑战的关键所在。

  六、完整度与测试驱动的开发。

  弹性应用的一个基本要求就是不能遗失任何数据,数据完整性的丧失往往会导致严重的后果,例如金融企业会因为程序代码弄丢了一两行交易数据而在反洗钱或金融欺诈调查中遭受处罚。

  七、数据便携性。

  不断发展的业务需求驱动技术不断做出改变,因此,大数据应用也应当能够在多个平台和产品上运行。最终的目标是让最终用户能够通过SQL和标准API 访问数据(无论是否实时)。例如,一个先进的大数据平台应当允许原本由Hadoop存储MapReduce处理的数据,转移到Spark或Tez中进进行 处理,而且这个过程不需要或尽可能少地改动代码。

  八、不要搞个人“巫术”。

  大数据应用的开发不应当依赖某个高手的个人才华,代码应当在多个开发者之间分享、评估和保有。这个策略让整个团队,而不是个人,对应用质量负责。

 
  网站浏览安全细谈
   
 

  Web欺骗是一种具有相当危险性且不易被察觉的黑客攻击手法,一般意义上讲,也就是针对浏览网页的个人用户进行欺骗,非法获取或者破坏个人用户的隐私和数据资料。它危及到普通Web浏览器用户,包括Netscape Navigator用户和Microsoft Internet Explorer用户。

  一、欺骗手法

  攻击者如果想进行Web欺骗就,离不开Web服务器的支持,所以绝大多数情况下,他们在受攻击者和Web服务器之间设立起攻击者自己的Web服务器,这种攻击种类在安全问题中称为“来自中间的攻击”。用户浏览器和真正的服务器之间的数据交换并非是直接的,会被攻击者的服务器截获并处理。利用中间服务器进行行骗,就像罪犯驾驶着盗窃来的警车去“执行公务”,因此相当隐蔽。对于被攻击用户,几乎是不知不觉的,因为他们仍然可以自由登录、链接到该网站的所有页面。对于攻击者而言,在偷偷监视截取信息的同时,也能以受攻击者的名义发送数据到真正的Web服务器,包括以服务器的名义发送数据给受攻击者。

  当用户访问某个这样的站点并进行合理的活动时,可能面对的并不是真实的目标网站,而只是一个攻击者营造的真实站点的翻版,或者说虚拟的镜像,它们之间如此雷同并不会让我们感到潜在的威胁,而此时你的所有注册信息和登录账号口令,甚至一切活动,就源源不断地从这个镜像的入口进入到攻击者控制着的Web服务器。攻击者可以监视、记录、修改所有信息并进行破坏活动。

  例如,在线填写表单时,填入表单的用户密码账号等信息将被获取,从而泄密。在访问网上银行时,你可能根据你所见的银行Web页面,从该行的账户中提取或存入一定数量的存款。因为你相信你所访问的Web页面就是你所需要的银行的Web页面。无论是页面的外观布局、图片标识、链接地址,文字内容还是其它一些相关内容,都让你感到非常熟悉,没有理由不相信。但是,你确实是处在攻击者建立的伪造页面中。

  二、实施过程

  1.诱使用户进入攻击者控制的中间服务器。

  攻击者在Web服务器需要提供关于某个Web站点的错误Web页面时,他只需要在自己的服务器上建立一个该站点的拷贝,而不必存储整个真实服务器站点的内容,然后改写这个拷贝中所有的链接获得真实服务器上的所有页面镜像。

  首先,攻击者改写拷贝中所有链接地址(URL),使它们指向了攻击者的服务器而不是真正的服务器。用户通过改写后的链接登录目标站点时,实际上先是经由中间服务器,然后才向目标服务器请求文档,而目标服务器返回的文档必须经由中间服务器,改写所有链接后才传回给用户浏览器。很显然,修改过的文档中的所有URL都指向了经过伪造的页面,当用户点击任何一个链接都会直接进入这个页面,而不会进入真正的网站。只要用户由此进入其它网页,那么他们是永远不会摆脱掉受攻击的可能的。

  伪造网页中的表单,如果被填写就构成了表单欺骗,同样神不知鬼不觉。表单的确定信息被编码到链接地址行中,内容会以HTML形式返回。前面讲到,所有页面的URL都已经被改写,那么表单欺骗将是很自然的事情了。

  当受攻击者提交表单后,所提交的数据进入了攻击者的服务器。攻击者的服务器能够观察,甚至是修改所提交的数据。同样地,在得到真正的服务器返回信息后,攻击者将向受攻击者返回信息。

  2.发布欺骗页

  Web攻击者必须设法引诱用户去访问并点击他设定的Web陷阱,黑客往往使用下面几种方法:

  (1)把错误的Web链接放到一个热门Web站点上;

  (2)如果受攻击者使用基于HTML的邮件,通过电子邮件发送伪造的Web页面给用户;

  (3)创建错误的Web索引,指示给搜索引擎;

  (4)在网络公众场合,如BBS、OICQ,论坛或聊天室散播包含错误链接的网站网址。

  三、如何防范

  1.对于个人用户

  (1)查看源文件

  攻击者并不是不留丝毫痕迹,HTML源文件会使这种欺骗暴露无遗。通过点击鼠标右键或者在浏览器中点击菜单“查看”、“源文件”,用户可以阅读当前的HTML源文件。可以发现当前页URL地址的信息并同网页上的真实地址相对照,你能够发现被改写的URL,因此可以觉察到危险。

  例如,你收到一封263邮局的HTML格式信件,查看源文件,根据前面的介绍,很容易发现是否有伪造的痕迹。

  因此,建议不要通过来历不明的Web站点登录安全站点,如通过某个个人站点登录263服务器。对于搜索引擎或从其它场合得到的站点,应仔细甄别,防止受骗。

  (2)禁止浏览器中的javascript功能

  各类攻击者的服务器,页面都包含大量的javascript脚本以实现其不可告人的目的,此时可将javascript 功能禁止或者改为使用前提示。

  方法:在IE浏览器中点击菜单“工具”—“Internet选项”,切换到“安全”选项卡—“自定义级别”,弹出“安全设置”框,在里面对javascript功能选择“禁止”。

  (3)确保浏览器的连接提示状态可见,它会给你提供当前位置的各类信息;

  (4)仔细观察你所点击的URL链接,一般会在状态栏中或地址栏得到正确的显示。

  2.对于服务器

  个人用户对于服务器端是无能为力的,此处我们仅给大家提供一些服务器端安全预防措施,希望会给个人站点的管理者一些有益的提示。

  Web服务器端安全预防措施:

  限制在Web服务器开账户,定期删除一些久不登录的用户;

  对在Web服务器上开的账户,对注册用户口令长度作出要求并提示定期更改,防止被盗用造成隐患;

  尽量使Ftp Mail等服务器与Web服务器分开;

  定期查看服务器中的日志文件,分析一切可疑事件;

  设置好Web服务器上系统文件的权限和属性;

  不要把Web服务器与FTP目录指在同一目录;

  必要时限制访问用户IP或DNS;

  如果采用CGI程序,应放在独立于HTML存放目录之外的CGI-BIN下;

  在用C来编写CGI程序时尽量少用popen()、system()和所有涉及/bin/sh的shell命令。

  此外,编译语言(CGI、PERL等)比解释语言(PHP、JSP等)更安全。至于许多Web服务器本身都存在的一些安全漏洞,不是本文探讨的范畴,有兴趣的读者可参阅相关资料。

 

十大安全雷区 切不可踏入半步
   
 

  当前,在互联网领域,安全问题已经成为业界关注的焦点,热门的安全技术围绕的是主流IT厂商的主流技术,苹果、微软、安卓以及车载系统都囊括其中,移动互联、云服务、智能系统甚至将来可能广泛兴起的大数据应用,其实潜在的安全问题都数不胜数,而信息安全大会的意义在于防患于未然,前瞻性的探索往往带给用户的不是忧虑,而是更多的保障。

  2014年的黑帽和Def Con两大黑客大会上,黑客和安全大牛向世人发布了众多安全漏洞。从能入侵飞机的代码到监视监控摄像头,再到把任意USB设备变成攻击工具,其中10个可能会造成惊人的安全噩梦。

  1、USB悄然致命

  来自“安全研究实验室”的研究人员声称,他们开发出攻击USB设备固件的概念型工具。被感染的USB设备插入计算机时,会伪装成键盘来下载恶意软件。理论上而言,此漏洞可用来传播难以发现、难以阻止的恶意软件,想像一下全球有多少与计算机相连的USB设备,就知道这个漏洞有多么可怕。

  2、入侵飞机

  另一概念型攻击的后果更为可怕。IO interactive的研究人员声称,通过飞机上Wi-Fi和娱乐系统可以侵入飞机的卫星通讯系统,进而让攻击者影响飞机的导航系统和安全系统。

  3、监控摄像头被监控

  两位安全研究人员展示了摄像头的漏洞,不仅可以浏览摄像头中存储的视频,还能上传第三方的视频,并伪造成本机拍摄的。简而言之,黑客能够劫持并接管摄像头中的视频流。

  4、Tor遭遇安全危机

  Tor网络为使用者提供源节点到目的节点之间的匿名访问,只有下一个节点才能知道到上一个节点的确切地址。但卡内基梅隆大学的研究人员表示,用最小的成本来打破Tor网络的匿名性是很有可能的。

  5、赛门铁克终端防护漏洞

  知名安全专家MatiAharoni在赛门铁克终端防护工具中发现了三个漏洞,这些漏洞可使攻击者对受害者的计算机进行高级别的访问。换句话说,黑客可通过安全防护软件入侵计算机。

  6、不安全的家用路由器

  In-Q-Tel的安全专家表示,家用办公路由器是最容易被入侵的。这些路由器可以通过网络扫描轻易发现,通常会包含默认的登录信息,而绝大多数人从未想过把他们的路由器固件更新到最新版。

  7、NAS漏洞多多

  与网络相连的存储设备更是漏洞多多。独立安全评估机构的安全分析人员Jacob Holcomn展示了NAS网络存储的漏洞。“确切地说,没有一台设备是我无法搞定的,至少有一半的设备无需验证即可入侵。通过入侵NAS设备,攻击者可以劫持相同网络上其他设备的流量。”Jacob Holcomb表示。

  8、网络管理工具显漏洞

  Accuvant公司安全人员透露,监控手机流量的网络性能诊断工具存在安全漏洞,可被用来执行远程代码,并绕过操作系统的本地防护机制,导致安装工具的手机十分容易被攻击。据统计,全世界售出的手机有70%~90%都装有设备管理程序。笔记本电脑、无线热点设备和物联网设备等,都面临同样的风险。

  9、智能汽车随意开启

  物联网的安全威胁无疑是本次黑客大会的热点议题。Qualsy公司的研究人员用廉价常见的零部件拼凑的工具搞定了智能汽车,可以开启车门,以及开后备箱。

  今在全球范围内,互联网掀起了新一轮的技术革命浪潮,车联网也成为各大车企的研发重点。导航、动态交通信息、车辆防盗、紧急救援等功能,已在很多车型上实现。据专家介绍,“目前智能汽车上至少有超过80个智能传感器,每天向车联网云端传输的数据据说达到100兆,这些数据涵盖了汽车和驾驶者个人的各类信息。”

  10、入侵宾馆

  安全顾问Jesus Molina透露的物联网漏洞更具实操性。他破解了酒店提供给旅客的iPad应用程序“数字管家”,并利用KNX/IP路由器的协议漏洞,成功控制了房间的免打扰灯。电视、温控、房间里的音乐,甚至酒店200多个房间的百叶窗都尽在掌控之中。

 

 
7*24专线:010-58812000   技术支持邮箱:support@cstnet.cn   垃圾邮件投诉邮箱:abuse@cstnet.cn
    © 1994-2014 版权所有:中国科技网网络中心     意见反馈: support@cstnet.cn