计算机导论 课件 第14、15章 计算机安全、计算机职业与道德

第14章计算机安全主要内容非授权使用恶意软件在线入侵社交安全备份安全工作区安全和人体工程学非授权使用加密与授权密码破解安全的密码生物识别设备加密简介没有加密的原始消息通常称明文，加密后的消息称为密文，即加密是将明文转化成密文的过程，而解密是将密文翻译回明文的过程。加密的两个要素是加密算法和密钥。加密算法如RSA、AES等是完全公开的，任何人都知道其加密和解密的方式，如恺撒加密就是简单的让字母按字母表顺序偏移特定位。加密的密钥则是绝对的隐藏，是保护信息的关键，只有经过授权的用户才能得知。加密简介据破解密钥的难度可将加密分为强加密和弱加密：弱加密如恺撒加密很容易破解——密钥是一个偏移量，只有几十种情况，通过分析字母出现的频率即可推断出，甚至一个一个去猜也不难。强加密则很难被破解，它使用的密钥通常很长，如128位二进制数或更多。强加密的密钥很难蛮力枚举破解，也没有什么规律可循，因此可以认为是极其安全的。随着计算机计算能力的日渐提升，强加密的密钥长度也在不断增加——增加一位二进制数，就可使破解时间翻倍。加密简介加密根据使用密钥的方式又可分为对称式和非对称式两种：对称式加密的双方采用共同密钥，即密钥既用来加密消息，也用来解密消息。对称式密钥有很大的安全隐患——授权一个用户就需要把密钥发给用户，而一旦发送途中密钥被截取，所有加密信息就不再安全。非对称式加密使用两个密钥，其一是公共密钥简称公钥，它是完全公开的，任何人都可以使用公钥加密信息，但无法使用公钥破译公钥加密的信息；另一个是私人密钥简称私钥，它是对外保密的，只有私钥才可破译公钥加密的信息，反之亦然。也就是说，使用私人密钥加密的信息只能使用公共密钥解密，使用公共密钥加密的信息只能使用私人密钥解密。非对称式加密很好地保证了密钥的安全性，是目前主流的加密方式，常用于文件加密及数字签名。密码破解密码破解的常用方式：字典破解，即尝试一些常用的字或词以破解密码。蛮力破解，即遍历所有字符的可能组合。嗅探，截取计算机网络中发送的信息以获取明文密码。网络钓鱼，通过电子邮件诱使用户泄露密码。虚假网站，通过与真实网站极其相似的虚假网站诱使用户自己输入密码。按键记录，通过植入木马记录用户的按键行为以获取密码。密码破解字典破解安全的密码使用高强度密码，即尽量使用长的字母、符号和数字的组合，字母还可以分大小写。不要使用生日、身份证号等容易被获取的信息作为密码。指定几个不同等级的密码。对不同重要性的账户用不同的密码。合理使用浏览器的记住密码功能。在公共计算机上，记住密码是不明智的行为了。合理使用密码管理器。密码管理器是一种应用软件，它可将用户所有账户的用户名和密码加密存储，用户只需要知道密码管理器的主密码即可。维护软件安全。使用安全套件，并定期对计算机进行杀毒。在网站中输入密码前，先确定网站的真伪，检查其网址是否与网站对应。生物识别设备生物识别设备通过将个人特征(如指纹)转换成数字代码,与验证物理或行为特征的计算机和移动设备所存储的数字代码进行比较来验证身份。常见的生物识别设备指纹读取器人脸识别系统语音验证系统签名验证系统虹膜识别系统恶意软件恶意软件威胁安全套件杀毒软件流氓软件与捆绑安装恶意软件计算机在运行时可能受到多种多样恶意软件的攻击：计算机病毒。计算机病毒是一种程序指令，它可以将自身附加到文件中，进行自我复制并传播到其他文件。蠕虫。蠕虫是一种能够利用系统漏洞通过网络进行自我传播的恶意程序。木马。木马不会自我繁殖，也不会感染其他文件。木马通常伪装成有用的软件，不知情的用户会下载并执行它们.僵尸网络。僵尸网络采用多种传播手段，将大量计算机感染僵尸程序，从而在控制者和被感染计算机之间形成一对多控制网络。间谍软件。间谍软件的入侵方式与木马类似，它能依附在看似正当的软件中，用户可能在无意间将间谍软件下载到计算机。恶意软件为避免受到恶意软件攻击，用户在使用计算机时需要注意：使用安全套件和杀毒软件。保证软件补丁的及时更新。不打开可疑的电子邮件附件。安装软件时先用安全套件对其进行扫描。不要访问不良网站。将文件扩展名显示出来。一些木马会命名为形如look.jpg.exe的格式，如果没有显示文件扩展名，用户可能会以为这是一个图片，但实际上这是一个可执行程序。安全套件安全套件通常集成了杀毒模块、防火墙模块和反间谍软件模块，可以保护计算机免受常见恶意软件的攻击。一些安全套件还提供了家长控制、WiFi侦测、文件恢复、网络问题修复等实用功能。一台计算机通常只能安装一种安全套件，如果安装了多种，它们会互相竞争对计算机的保护，反而不能有效保证计算机的安全与性能。杀毒软件杀毒软件是能够查找并清除病毒、蠕虫、木马和僵尸程序的实用软件。杀毒软件的原理是利用病毒的特征代码在计算机中查找恶意软件。杀毒软件将病毒特征代码存储在一个病毒定义数据库中，这个数据库需要及时更新以确保杀毒软件能检测出最新的恶意软件。当杀毒软件检测出恶意软件后，会将其放入隔离文件夹使不法分子无法访问，之后用户可通过杀毒软件对隔离文件夹中的文件进行尝试杀毒或确认删除。流氓软件与捆绑安装流氓软件是介于恶意软件和正规软件之间的软件。如果计算机中有流氓软件,可能会出现以下几种情况:用户上网时,会有窗口不断跳出;计算机浏览器主页被莫名更换;用户默认浏览器被莫名修改,等等。捆绑安装软件则是指用户在安装一个软件时,安装程序会在并未告知用户或并未在显著位置明确告知用户的情况下,静默安装其他软件。在线入侵入侵威胁保护端口NATVPN入侵威胁在线入侵是指黑客、罪犯或者其他未经授权的人通过因特网对数据或程序的访问。大部分在线入侵都始于恶意软件。获取对因特网中计算机的未经授权访问的常用手段是查找计算机打开的端口。端口是计算机的虚拟接口，因特网服务都是通过端口进行的，如HTTP请求使用的是80端口，FTP通常为21端口。不法分子可以使用端口扫描软件快速扫描互联网中的计算机端口，一旦发现有打开的且易受入侵的端口，就有可能发动攻击。保护端口可以通过如下方式来保护端口，使得其不会被攻击，或即使被攻击，也不会被攻破：在不使用计算机的时候将其关闭。需要注意的是，计算机休眠时，端口仍在工作，因此休眠计算机不能有效防止攻击。及时更新操作系统及软件补丁。使用防火墙，防火墙是用来过滤计算机和因特网之间数据的硬件和软件的结合，它可以阻止未经授权的入侵或来自于可疑IP地址的活动。关闭不必要的共享。保护端口通过在线端口扫描工具检查本机的端口情况保护端口通过netstat检测本机端口情况保护端口防火墙NAT除了采用保护端口的措施外，路由器也可以有效地保护计算机使其不受入侵。路由器采用了NAT（NetworkAddressTranslation，网络地址转换）技术，可以将局域网内用户设备屏蔽起来。NAT的原理类似于公司中的接线员，外部的电话统一打到接线员，再由接线员转接到对应部门。在路由器网络中，外部数据只可根据可路由IP地址路由到路由器，再由路由器负责转发到具体用户。NAT路由器不存储数据，不怕被攻击，因此可以保护局域网内的设备。局域网中的所以设备公用一个可路由IP地址，路由器相当于将局域网中的设备屏蔽了起来。处于同一局域网内的设备可以通过专用IP地址找到彼此，但处于不同局域网中的设备就不行了——需要借助可路由IP地址才能建立连接。NAT路由器NATVPNVPN（VirtualPrivateNetwork，虚拟专用网络）是一种在公用网络上建立的专用网络，它采用加密通讯，可以使授权用户在远程访问到企业、组织或学校内部网的内容。由于VPN会对数据进行加密，因此可以认为VPN是安全的。社交安全Cookies利用垃圾邮件网络钓鱼假冒网站Cookies利用Cookies能够为用户上网带来方便，但也有一些Cookies可能会侵害用户的隐私：广告服务Cookies。当用户点击网站上的广告时，广告提供商可能会生成广告服务Cookies，跟踪用户在广告站点的活动。FlashCookie。和Web上的Cookies类似，FlashCookie记录用户在访问Flash网页的时候保留的信息。FlashCookie的容量更大，没有默认的过期时间，且很难找到其存储地点，因此其风险性也很大。为了避免Cookies侵害隐私，用户可以禁用Cookies、定期删除Cookies、调整浏览器设置或使用实用工具管理Cookies。垃圾邮件用户的电子邮件账户可能经常会收到各种各样的垃圾邮件——推销、贷款、广告或是诈骗。较大的电子邮件服务提供商都提供了邮件过滤的功能，可以滤掉大部分垃圾邮件）；用户也可以使用电子邮件客户端提供的垃圾邮件过滤功能。但可能仍有少数垃圾邮件未被滤掉，这时用户就需要提高警惕了——不要点击垃圾邮件中的链接，也不要回复邮件。垃圾邮件高级隐私设置垃圾邮件用户在防范垃圾邮件的同时，自己最好也不要发送垃圾邮件或疑似垃圾邮件。一些电子邮件服务提供商会对疑似发生垃圾邮件的账户进行封禁处理。网络钓鱼网络钓鱼是基于电子邮件的诈骗，诈骗者可能会伪称为银行、网上商店或ISP等，诱使用户回复邮件或在其提供的链接中输入账户和密码。当遇到这种邮件而不能分辨真伪时，用户可以拨打对应企业的客服电话，或进入其官网查看，而千万不要拨打邮件中提供的电话或点击邮件中的链接。假冒网站假冒网站是和正规网站极其相似的用于诈骗的网站，用户可能在无意间就将账户和密码输入到了假冒网站中。避免受到假冒网站的危害，首先要尽量规避进入假冒网站的方式——查看邮件时，不点击不能确定身份的发件方提供的链接；网络聊天时，不轻易相信对方提供的链接；Web浏览时，不点击警示性的广告，等等。一旦怀疑进入了假冒网站，最直接的辨别方式就是根据网址。假冒网站的网址通常和正规网站的网址很相似，但只要认真辨别，还是能发现区别的。备份安全备份基础知识文件备份同步Windows操作系统备份裸机还原与磁盘镜像平板电脑和智能手机备份备份安全我们无法永远阻止突发事件的发生：硬盘会有使用寿命，计算机可能被盗或中病毒。这时如果有备份，就可将数据还原；如果没有及时备份，数据就很有可能就永久丢失掉了。备份的频率取决于数据的重要性和变化性。不常用的数据只需每个月备份一次，经常使用的数据可以每周备份一次。备份也需要注意安全性，即不会被不法者偷走，也不会发生原文件和备份文件同时损坏的情况。以下介绍一些常用的备份手段：文件备份最简单的备份方法就是直接拷贝文件到备份载体上，需要备份的时候再拷贝回来。可以考虑对以下文件进行定期备份：用户制作的文档、图像、音频、视频等数据文件。这些文件是唯一的，且很难再现。电子邮件。常用软件的验证码、密钥或激活码，以备重新激活时使用。一些不常用账户的账号和密码。同步同步是指对两个设备的文件内容进行比较，并使其相同。用户可以利用同步功能进行备份，即将原设备数据同步到备份设备上，需要还原时，再将备份设备数据同步到原设备。最常用的同步软件是MacOSX中的TimeMachine，它会每小时同步计算机存储设备中的所有文件到备份介质上。当用户需要时，可以还原特定时间点的特定文件，甚至还原整个系统Windows操作系统备份Windows系统也提供了文件备份软件，用户可以使用文件备份软件或第三方提供的文件备份实用程序对需要的文件进行备份，备份软件会定期将所选文件压缩后放入备份介质中。备份软件需要在操作系统上运行，而如果操作系统不能正常运行（如硬盘故障），可以先采用如下方式修复，再进行备份还原。启动盘。启动盘是存储有操作系统文件的移动存储介质，如光盘、U盘，可以通过启动盘来启动计算机，并修复或重装操作系统。恢复盘。恢复盘包含了计算机出厂时的数据，使用恢复盘可以将计算机恢复到出厂时的默认状态。备份的分类完全备份，即为所有备份文件创建一份新的副本。差异备份，只备份在上次完全备份后添加或修改过的文件。当还原文件时，首先还原完全备份，再还原最近的差异备份。增量备份，只备份在上次完全备份或增量备份后添加或修改过的文件。当还原文件时，首先还原完全备份，再按时间顺序从先到后还原增量备份。可以理解为，差异备份只需还原一次，而增量备份则需还原多次。裸机还原与磁盘镜像通过裸机还原可以一次性地还原整个操作系统的全部文件与配置。磁盘镜像对磁盘中的所有数据进行精确的完全的复制，就像是磁盘的一个副本。制作磁盘镜像需要花费相当长的时间，不过这是很有意义的——当操作系统崩溃时，可从磁盘镜像一步还原，而不必再经过修复操作系统、安装驱动、安装应用程序的繁杂过程。平板电脑和智能手机备份平板电脑和智能手机有以下两种备份方式。通过与台式计算机或笔记本电脑同步进行备份将备份存储在SD卡或备份应用提供商维护的云端。工作区安全和人体工程学辐射重复性压力损伤眼疲劳久坐辐射数字设备在使用时不可避免地有辐射——如果没有辐射，它们就不能正常工作了。数字设备的辐射对人的影响是非常小的。即便是早期的阴极射线管显示器，其覆铅玻璃也能阻挡住绝大部分X射线辐射，更不用说现在常用的辐射更小的LCD、LED显示器了。数字设备的辐射水平会随距离的增加而急剧减小，一般来说，只要距离显示器和计算机主机约50厘米，就可避免绝大部分辐射。重复性压力损伤重复性压力损伤是由于长期的使用计算机的不正确姿势造成的过劳生理紊乱，例如肩膀、手臂、手腕、脖子、背部的僵硬和疼痛等。大多数重复性压力损伤可以通过充分的休息康复，不过严重的如腕管综合征就需要借助医疗手段康复了。腕管综合征在某些情况下也称鼠标手，是由于手部的神经和血管在腕管处受到压迫而产生的。重复性压力损伤对于重复性压力损伤，可以考虑使用人体工程学设备并在使用计算机时采用合适的姿势加以预防，简单来说可分为以下几点：手、手腕及前臂处于同一条线上，与桌面平行。头挺直或稍向前倾，与躯干处于同一条线上。放松肩膀，上臂正常地垂于身体两侧。肘部靠紧身体，弯曲角度在90度到120度之间。双脚平放在地板或脚垫上。将背部轻轻靠在椅背上，使得整个背部都能够得到支撑。眼疲劳使用计算机时间过长容易造成眼睛的干涩、痛痒、疲倦、视物模糊、烧灼感、流泪等疲劳症状。尽量避免长期使用计算机是最好的缓解眼疲劳的方式，使用计算机时每隔一段时间可以休息一下。除此之外，以下一些措施也可缓解眼疲劳的症状：调整显示器的位置，保证自己与显示器大概一臂距离，并尽量减少屏幕上的反光和眩光。调整显示器亮度。当周围环境很暗时，也把显示器亮度调暗。调整显示器的分辨率。分辨率越小，相同的文字、界面就显示的越大。久坐长时间地保持坐姿会限制血液循环，也有健康风险。因此每坐一段时间，最好站起来活动一下，可以使用休息提醒实用工具来定期提醒自己。为了让座椅不影响腿部的血液循环，小腿与座椅前端的间隙不应少于5厘米，且大腿应和地面平行。第15章计算机职业与道德主要内容计算机专业人员的职位职位和薪水教育和认证求职基础知识简历制作及发布职业道德职位和薪水计算机专业人员是指在工作中主要涉及计算机硬件或软件的设计、分析、开发、配置、修改、测试或安全的人。大多数的计算机专业人员都在IT部门工作，IT职位大体可分为以下几类：编程/软件工程。负责软件的开发与维护。系统分析与整合。负责信息系统的规划、架构等。数据库管理与开发。负责数据库的架构、开发与维护，负责管理、分析数据。网络设计与管理。负责规划、安装与维护局域网，并与因特网连接。Web开发与管理。负责网站和网页的设计。数字媒体。负责多媒体的制作。技术写作。利用计算机和网络出版书籍、文档、文献。技术支持。负责解决用户遇到的硬件或软件问题。职位和薪水大多数的计算机专业人员都在IT部门工作，IT职位大体可分为以下几类（续）：移动技术与App开发，通过移动因特网，专注于手机应用软件的开发与服务。信息系统安全，负责保护计算机硬件、软件、数据不因偶然的或恶意的原因而遭受破坏、更改、泄露。人工智能，负责研究、开发用于模拟、延伸和扩展人的只能的理论、方法、技术及应用系统。软件测试，负责在规定的条件下对程序进行操作，以便发现程序错误、衡量软件质量，并对其是否能满足设计要求进行评估的过程。系统运维，负责保障系统正常运行。项目管理，负责在项目活动中运用专门的知识、技能、工具和方法，使项目能够在有限资源限定条件下，实现或超过设定的需求和期望的过程。职位和薪水除了在IT部门就职外，计算机专业人员还可以选择其他与计算机相关的职位，例如计算机硬件工程师、计算机销售代表、应用程序文档编写等。在IT产业中，不同公司、不同地区、不同学位、不同职位的薪资水平有所不同，但总体来说较高于同地区的其他产业。教育和认证专科学位、本科学位和研究生学位的从业人员都可以在IT产业中找到合适的工作，但对大多数的IT职位来说，本科学位是最基本的要求。在我国，与计算机直接相关的本科专业有两个——计算机科学与技术和软件工程。这两个专业的课程覆盖范围大致相同，但侧重不同，计算机科学与技术侧重于硬件与学术，软件工程则更侧重于软件与应用。除此之外，还有很多专业与计算机有着间接的关系，如通信工程、电子信息工程、自动化、数学与应用数学等。教育和认证与计算机相关的研究生方向则更多，如移动云计算、网络信息安全、因特网营销与管理、嵌入式软件、软件质量管理与测试，等等。与其他行业相似，计算机领域也有认证。不同的认证分量不同，许多雇主也会选择性地评判证书的价值——与证书相比，应聘者的实际能力更重要。在我国，计算机领域的认证主要有计算机等级考试和行业认证两种。教育和认证全国计算机等级考试（NationalComputerRankExamination，简称NCRE）是由教育部主办，面向社会，用于考查应试人员计算机应用知识与能力的全国性计算机水平考试体系。NCRE共设四个等级，其中：一级考核计算机基础知识和使用办公软件及因特网的基本技能；二级考核计算机基础知识和使用一种高级计算机语言编写程序以及上机调试的基本技能；三级分为“数据库技术”和“网络技术”、“软件测试技术”、“信息安全技术”、“嵌入式系统开发技术”等五个科目；四级分为“网络工程师”、“数据库工程师”和“软件测试工程师”、“信息安全工程师”、“嵌入式系统开发工程师”等五个类别。教育和认证行业认证是由企业或协会主办的与计算机相关的认证，用于考查应试人员对企业或协会涉足领域的理解与技术水平。例如微软认证包括系统管理方向、数据库方向和开发方向的证书；Oracle认证主要是数据库管理；Adobe认证包括Adobe产品技术认证、Adobe动漫技能认证、Adobe平面视觉设计师认证等。求职基础知识在IT产业中谋求工作和在其他产业中寻找工作一样，都需要经过如下的求职步骤：确定想要的工作。确定自己能够胜任的职位，职位可以是一个范围，如“数据库管理与开发”。撰写个人简历。写好的个人简历可以发布在Web上。寻找职位空缺。可以通过因特网、报纸的招聘版面或其他渠道寻找空缺职位。投递简历。将自己的简历以信件或电子邮件的形式投递给潜在雇主。准备面试。雇主可能会通过面试考察应聘者的专业水平，一些雇主还会安排笔试。评估工作机会。如果通过了面试并得到雇主的邀请，需要评估得到的工作机会。接受新工作。简历制作及发布一个好的简历应该包含有应聘者的联系信息、教育/培训经历、工作经历、所获荣誉、专业技能、个人爱好等信息，并且需要注意种种细节：简历内容简明扼要，页数最好控制在一页。确保字体容易阅读，不要太小或太大，不要过多使用粗体或下划线，不用奇怪的字体。页边距不要太窄。不要有语法或拼写错误。不要编造故事。针对不同的雇主定制简历，而不要对所有的潜在雇主发放相同的简历。简历制作及发布一些文字处理软件提供了简历模板，但为了避免自己的简历和其他应聘者的相似，最好设计属于自己的简历模板。应聘者还可以将自己的简历放在Web文件夹中。Web文件夹是简历的超文本版本，即其中可以包含链接。应聘者可以将自己工作的样本或得意的作品以链接的形式附在Web文件夹中，甚至还可以使用照片、视频来定制自己的Web文件夹，就像定制一个网页一样。Web文件夹可以放在专业的职业社交网站（如LinkedIn）上，供雇主查看。专业网络站点求职者在寻找职位空缺时，除了通过对应企业的招聘页面外，还可以通过专业网络站点进行查询或搜索。专业网络站点可以分为职业社交网站和职位搜索引擎两种。最著名的职业社交网站是LiinkedIn，中文名是领英，领英致力于向全球职场人士提供沟通平台。国内其他比较大的职业社交网站有天际网、若邻网、环球人脉网等。通过职业社交网站不仅可以进行职位搜索，还可以打造职业形象、获取商业机遇、拓展职业人脉等。职业道德职业道德基础知识IT道德规范道德抉择举报职业道德基础知识职业道德是同职业活动紧密联系的符合职业特点的道德准则。员工在工作中可能会遇到两难的抉择，这时便需要做出符合职业道德的决定。职业道德就是“勿以善小而不为，勿以恶小而为之”。职业道德并不等同于法律。法律是提倡道德行为的，但并不等价于道德规范，即一些行为是合法的，但并不一定合乎道德。IT道德规范在IT领域中，需要道德决策的情形可分为：软件版权隐私保密黑客工作计算机的使用软件质量等软件版权目前市面上破解软件、盗版软件大行其道，在监督不完善的情况下，安装正版软件还是盗版软件就成为了道德问题。除此之外，是否要违反单用户许可证而给多台计算机安装软件副本也是道德问题。一般来说，符合软件许可协议的操作都是道德的。隐私隐私又分为客户隐私和员工隐私。存储在数据库中的客户隐私应该严格保密，而不能为了一己私利泄露。在员工不知情、公司政策未说明的情况下监控其活动也是不道德的。管理者和员工都应该熟知有关隐私的法律及公司政策。保密在IT领域，人员的流动是非常频繁的，因此经常有可能出现员工正在开发的软件与其前雇主的软件是竞争关系，或竞争对手以重金购买员工正在开发的软件信息。为了避免损害公司利益，公司一般会与员工签署非竞争条款，其作用时间可以超过工作合同的期限，例如，禁止向竞争对手泄露机密信息或新开一家竞争性的企业，有的公司甚至要求员工离职后两年内不得从事与公司相同业务的工作。黑客技术很高的计算机专业人员可能会遇到这样的道德决策——是做黑客还是做白客。黑客是破坏者，利用恶意软件破坏计算机和网络；白客是维护者，站在道德的角度和黑客对抗，维护计算机和网络的安全。黑客可以通过一款恶意软件谋得大量利益，而白客的收入可能相对较少。工作计算机的使用是否可以将工作计算机用于个人行为，有时也是一个道德决策。一些企业在与员工签订工作合同时会明确限定工作计算机的使用，如果没有限定，就需要员工自己去判断了。例如，如果员工想要在非工作时段使用工作计算机编写属于自己的软件，就需要先明确这个软件的版权是属于公司还是属于自己。软件质量在软件编码过程中，bug是不可避免的，出现的bug需要通过软件测试阶段尽量消除。而一旦开发延期或截止日期提前，测试时间就有可能被压缩，此时测试人员就要面临两难的抉择——是以降低软件质量的代价保证在截止日期前交工，还是保证软件质量但可能在截止日期前不能完工。一些公司允许发布的软件中存在一定数量的bug，但测试人员仍需考虑测试时间减少可能带来的后果。道德抉择计算机相关法律法规计算机相关法律法规当遇到道德抉择时，首先可以通过查阅相关法律、法规做出选择，下面列举了一些我国的计算机相关法律法规。《中华人民共和国反