①主機(jī)安全維護(hù)。
創(chuàng)新互聯(lián)公司是一家集網(wǎng)站制作、網(wǎng)站設(shè)計(jì)、網(wǎng)站頁(yè)面設(shè)計(jì)、網(wǎng)站優(yōu)化SEO優(yōu)化為一體的專業(yè)網(wǎng)站設(shè)計(jì)公司，已為成都等多地近百家企業(yè)提供網(wǎng)站建設(shè)服務(wù)。追求良好的瀏覽體驗(yàn),以探求精品塑造與理念升華,設(shè)計(jì)最適合用戶的網(wǎng)站頁(yè)面。 合作只是第一步，服務(wù)才是根本,我們始終堅(jiān)持講誠(chéng)信，負(fù)責(zé)任的原則，為您進(jìn)行細(xì)心、貼心、認(rèn)真的服務(wù),與眾多客戶在蓬勃發(fā)展的市場(chǎng)環(huán)境中,互促共生。
主機(jī)安全包括主機(jī)的安全防御以及主機(jī)的安全設(shè)置，安全防御可以由軟件來解決。
服務(wù)器行業(yè)安全軟件做的最好的有：安全狗，護(hù)衛(wèi)神，云鎖。這幾款軟件相對(duì)來說安全狗操作稍微比較復(fù)雜，安全設(shè)置比較齊全，上手難度比較難不建議嘗試（有毀滅網(wǎng)站的風(fēng)險(xiǎn)），云鎖普通入門級(jí)別大多數(shù)人都可以使用，護(hù)衛(wèi)神和云鎖差不多不過沒嘗試過具體設(shè)置。安全設(shè)置主要是端口設(shè)置一般windows主機(jī)的話盡量不要使用默認(rèn)端口登錄遠(yuǎn)程，Linux主機(jī)如果安裝控制面板的話就盡可能的屏蔽掉22.443端口。
②網(wǎng)站安全維護(hù)。
做好網(wǎng)站安全維護(hù)要做的主要的就是定期備份網(wǎng)站和數(shù)據(jù)庫(kù)，有條件的話盡量在一個(gè)月或者一周備份一次，發(fā)現(xiàn)問題及時(shí)恢復(fù)。不輕易安裝不熟悉的插件主題，不隨意添加有調(diào)用外部鏈接的代碼，因?yàn)檫@些不管是插件主題還是代碼都有可能被留后門的嫌疑。使用常用cms建站是一定要注意賬號(hào)密碼后臺(tái)路徑一定不要使用默認(rèn)，對(duì)于使用熱門的cms官方出的補(bǔ)丁一定要定時(shí)更新，因?yàn)闊衢T研究的人就比較多，補(bǔ)丁出來就證明有漏洞已經(jīng)存在了，如果不定時(shí)更新就有可能被黑客掃到漏洞的風(fēng)險(xiǎn)。
③賬號(hào)密碼安全。
賬號(hào)密碼問題絕對(duì)不是危言聳聽，很多人使用的密碼都是全球最常見十大密碼（123456,123456789，qwerty，12345678，111111，1234567890，1234567，password，123123，admin）這些密碼黑客基本上不用幾秒鐘就能破解，還有就是賬號(hào)也不能使用默認(rèn)，不要輕易去陌生網(wǎng)站注冊(cè)賬號(hào)密碼信息，以免被不懷好意人利用。
結(jié)論：不管是網(wǎng)站安全還是服務(wù)器安全維護(hù)都是一種保護(hù)措施，不是做到這些了就能萬(wàn)無(wú)一失的，告誡同行或者企業(yè)主們，在自己能力承受的范圍切莫四面樹敵，更別去招惹哪些黑客和居心不良的人。
你可以不需要使用登錄的方式，可以學(xué)習(xí)比如新浪微博，騰訊微博的OAuth1.0的方式
簡(jiǎn)單的說，其實(shí)就是在你的AndroidApp上有一個(gè)公鑰，而你服務(wù)器上也同時(shí)使用這個(gè)公鑰就可以做到數(shù)據(jù)加密
你AndroidApp上比如有一個(gè)AppSecret="abcdefg"
而你的服務(wù)器上面也有這個(gè)AppSecret="abcdefg"
在AndroidApp上使用SHA1(自己百度找JAVA SHA1的工具類)加密，密鑰使用AppSecret
數(shù)據(jù)發(fā)送到服務(wù)器上，服務(wù)器使用AppSecret="abcdefg"解密即可
這個(gè)前提是別人無(wú)法破解你的App獲取到App里面的AppSecret，而做到這個(gè)則需要解開Android的App包，如果別人真做到了，那你任何安全性的保障都是無(wú)用的，所以以上的方法即可
大數(shù)據(jù)已經(jīng)滲透到每一個(gè)行業(yè)和業(yè)務(wù)職能領(lǐng)域，并逐漸成為重要的生產(chǎn)因素，如何保護(hù)數(shù)據(jù)安全呢?
第一種武器：透明加密軟件
這里指的加密軟件，不是網(wǎng)絡(luò)上可以隨意下載的那種免費(fèi)的個(gè)人級(jí)數(shù)據(jù)安全加密軟件。我們通?？梢栽诟鞣N軟件下載網(wǎng)站，下載諸如文件夾加密超級(jí)大師、加密王之類的加密軟件，這些軟件只是“偽加密”，很容易被菜鳥級(jí)的計(jì)算機(jī)用戶破解，而且經(jīng)常發(fā)生文件被破壞無(wú)法恢復(fù)，非常不安全。
企業(yè)用戶里的研發(fā)部門、設(shè)計(jì)部門等核心部門，每天產(chǎn)生大量的源代碼、平面設(shè)計(jì)圖、電路設(shè)計(jì)圖、3D圖、或者是音頻視頻文件，這些文件需要在產(chǎn)生、使用、存儲(chǔ)和流轉(zhuǎn)過程中進(jìn)行加密處理。這就需要使用企業(yè)級(jí)“透明加密軟件”。這種軟件在國(guó)內(nèi)已經(jīng)相當(dāng)成熟，以Smartsec軟件等為代表。
Smartsec是針對(duì)內(nèi)部信息泄密，對(duì)數(shù)據(jù)進(jìn)行強(qiáng)制加密/解密的軟件產(chǎn)品。該系統(tǒng)在不改變用戶使用習(xí)慣、計(jì)算機(jī)文件格式和應(yīng)用程序的情況下，采取“驅(qū)動(dòng)級(jí)透明動(dòng)態(tài)加解密技術(shù)”，對(duì)指定類型的文件進(jìn)行實(shí)時(shí)、強(qiáng)制、透明的加解密。即在正常使用時(shí)，計(jì)算機(jī)內(nèi)存中的文件是以受保護(hù)的明文形式存放，但硬盤上保存的數(shù)據(jù)卻是加密狀態(tài)。如果沒有合法的使用身份、訪問權(quán)限、正確的安全通道，所有加密文件都是以密文狀態(tài)保存。所有通過非法途徑獲得的數(shù)據(jù)，都以亂碼文件形式表現(xiàn)，保護(hù)數(shù)據(jù)安全。
第二種武器：文檔權(quán)限管理軟件
對(duì)于個(gè)人級(jí)的用戶，可以利用Windows Rights Management Services(權(quán)限管理服務(wù)，簡(jiǎn)稱 RMS)，以及Office版本中的信息權(quán)限管理(Information Rights Management，IRM)來防止用戶利用轉(zhuǎn)發(fā)、復(fù)制等手段濫用你發(fā)給他們的電子郵件消息和Office文檔(主要是Word、 Excel、 PowerPoint)。國(guó)外企業(yè)通常所用的DRM(Data Rights Management)手段大抵如此。對(duì)企業(yè)級(jí)的用戶來說，這種權(quán)限管理是相當(dāng)業(yè)余的，而且最大的問題是，這種權(quán)限管理是沒有對(duì)數(shù)據(jù)本身進(jìn)行高強(qiáng)度的加密。采用這樣的權(quán)限管理，做不到真正細(xì)粒度的權(quán)限劃分，是一種非常粗放的管理手段，數(shù)據(jù)安全難以得到保護(hù)。
對(duì)企業(yè)級(jí)用戶來說，對(duì)文檔的權(quán)限管理需要采用專業(yè)的權(quán)限管理系統(tǒng)。以億賽通文檔權(quán)限管理系統(tǒng)為例，這是針對(duì)企業(yè)用戶可控、授權(quán)的電子文檔安全共享管理系統(tǒng)。該系統(tǒng)采用“驅(qū)動(dòng)級(jí)透明動(dòng)態(tài)加解密技術(shù)”和實(shí)時(shí)權(quán)限回收技術(shù)，對(duì)通用類型的電子文檔進(jìn)行加密保護(hù)，且能對(duì)加密文檔進(jìn)行細(xì)分化的權(quán)限設(shè)置，確保機(jī)密信息在授權(quán)的應(yīng)用環(huán)境中、指定時(shí)間內(nèi)、進(jìn)行指定操作，不同使用者對(duì)“同一文檔”擁有“不同權(quán)限”。 通過對(duì)文檔內(nèi)容級(jí)的安全保護(hù)，實(shí)現(xiàn)機(jī)密信息分密級(jí)且分權(quán)限的內(nèi)部安全共享機(jī)制。
第三種武器：文檔外發(fā)管理系統(tǒng)
對(duì)那些經(jīng)常需要把文檔發(fā)送給合作伙伴或者是出差人員的企業(yè)來說，如果把文檔發(fā)給外部單位之后，就放任不管，必然有造成重大機(jī)密泄露的風(fēng)險(xiǎn)。為了防范文檔外發(fā)之后造成泄密的風(fēng)險(xiǎn)，采用文檔外發(fā)管理系統(tǒng)是目前最有效的數(shù)據(jù)安全。
目前這種文檔外發(fā)管理軟件產(chǎn)品比較多。億賽通文檔外發(fā)管理系統(tǒng)是比較出色的一種。億賽通文檔外發(fā)管理系統(tǒng)是針對(duì)客戶的重要信息或核心資料外發(fā)安全需求設(shè)計(jì)的一款外發(fā)安全管理解決方案。當(dāng)客戶要將重要文檔外發(fā)給客戶的出差人員、合作伙伴或客戶時(shí)，應(yīng)用文檔外發(fā)管理程序打包生成外發(fā)文件發(fā)出。當(dāng)外發(fā)文件打開時(shí)，需通過用戶身份認(rèn)證，方可閱讀文件。同時(shí)，外發(fā)文件可以限定接收者的閱讀次數(shù)和使用時(shí)間等細(xì)粒度權(quán)限，從而有效防止了客戶重要信息被非法擴(kuò)散。
加密方案：AES + RSA兩種加密方式混合使用，能夠?qū)崿F(xiàn)數(shù)據(jù)的全程加密（無(wú)論是上傳，還是拉取）。
1、從客戶端動(dòng)態(tài)生成16位AES密碼
2、使用第一步生成的AES密碼加密要上發(fā)的請(qǐng)求數(shù)據(jù)，由于AES加密后是byte[]數(shù)據(jù)，所以這里還需要使用base64封裝一層以方便傳輸。格式大概如下：
3、使用RSA公鑰加密第二步生成的數(shù)據(jù)中的key，從而實(shí)現(xiàn)對(duì)key的保密，RSA加密后生成的二進(jìn)制數(shù)據(jù)同樣還需要再使用base64封裝一層以方便傳輸，客戶端的加密過程到這里就基本完成，然后就可以將該請(qǐng)求發(fā)送到服務(wù)端了。（RSA公鑰客戶端持有，RSA秘鑰服務(wù)端持有）
4、服務(wù)端收到了客戶端發(fā)送過來的請(qǐng)求后，拿到key參數(shù)，即為RSA加密byte。
5、使用服務(wù)端持有的私鑰解密第4步獲取到的RSA加密byte。從而獲取到了第二步時(shí)候的數(shù)據(jù)，同時(shí)需要base64解碼data數(shù)據(jù)。也即拿到了AES的key。
6、獲取到AES的key后，便可以使用其來解密第5步中的data字段，也就是客戶端的真正請(qǐng)求數(shù)據(jù)。進(jìn)而做相關(guān)操作，并生成相應(yīng)返回值。
7、服務(wù)端返回值生成后，同樣使用第5步獲取到的key進(jìn)行加密，并得到返回的data（同樣的base64封裝）。與客戶端加密不同的是，服務(wù)端的返回中key字段是客戶端的key字段加了rsa簽名后的數(shù)據(jù)。格式大概如下。
8、使用服務(wù)端持有的私鑰對(duì)從客戶端傳過來的key的二進(jìn)制數(shù)據(jù)進(jìn)行簽名（以防止中間人攻擊），然后將數(shù)據(jù)向客戶端返回。
9、客戶端拿到服務(wù)端的數(shù)據(jù)返回后，先使用本地持有的公鑰驗(yàn)證簽名。然后base64解碼。
10、使用請(qǐng)求時(shí)候生成的key來解碼第9步驗(yàn)證通過的數(shù)據(jù)，解碼后便得到了服務(wù)器端的真正返回，至此流程大概就完成了。
最后我們來分析下，為什么說，這套方案是比較安全的。
首先我們假設(shè)客戶端被反編譯，那他能獲取到什么呢，一個(gè)動(dòng)態(tài)生成的rsa加密key嗎，拿過來并沒有卵用。不過他能拿到我們的客戶端公鑰，拿到公鑰之后，他可以做兩件事情，1、偽造一個(gè)客戶端，發(fā)送請(qǐng)求。 2、可以用來驗(yàn)證任意請(qǐng)求是否來自我們的服務(wù)器。 這兩種情況也就夠他自己一個(gè)人玩玩，都無(wú)法構(gòu)成威脅。
其次，我們假設(shè)他通過抓包，獲取了到了我們某個(gè)用戶的請(qǐng)求全過程。接下來他可能首先分析上行數(shù)據(jù)，得到的是一個(gè)rsa加密后的數(shù)據(jù)，同樣我們假設(shè)他反編譯了我們的客戶端，并且拿到了公鑰，然而他還是解不了我們的rsa加密。上行數(shù)據(jù)無(wú)法破解，那他接下來就要來分析下行數(shù)據(jù)了，下行數(shù)據(jù)封裝比較簡(jiǎn)單，而他也有我們的公鑰，完全可以驗(yàn)證通過，并長(zhǎng)驅(qū)直入直接拿到了我們的AES加密串，可惜啊，可惜，下行數(shù)據(jù)中并沒有AES的秘鑰啊。
總結(jié)一下，這套方案要被破解，思路只有通過其他途徑直接控制服務(wù)器，然后再拿到我們的私鑰，那就死翹翹了。不過真到了服務(wù)器都被人家攻陷了，那人家還拿你私鑰干嘛，人家直接在上面掛個(gè)木馬來轉(zhuǎn)接客戶端請(qǐng)求不就可以了。綜上所述，這其實(shí)是一套相當(dāng)完美的前后端數(shù)據(jù)交互方案。
重慶分公司
重慶分公司
