Unix-Linux操作系統(tǒng)安全技術(shù)

操作系統(tǒng)平安第八章Unix/Linux操作系統(tǒng)平安技術(shù)第八章Unix/Linux操作系統(tǒng)平安技術(shù)8.1賬戶平安管理8.2口令平安與訪問控制8.3文件系統(tǒng)平安8.4日志查看與分析8.5網(wǎng)絡效勞平安8.6備份與恢復Unix平安模型UNIX是一個強大的多用戶、多任務操作系統(tǒng)，支持多種處理器架構(gòu)，按照操作系統(tǒng)的分類，屬于分時操作系統(tǒng)。因為平安可靠，高效強大的特點，其在效勞器領(lǐng)域得到了廣泛的應用。圖8-1為Unix操作系統(tǒng)的一個平安模型：8.1賬戶平安管理8.1.1root賬戶的管理在Unix\Linux系統(tǒng)中，root賬號就是一個超級用戶賬戶。以超級用戶可以對系統(tǒng)進行任何操作。1．超級用戶而Unix\Linux超級用戶賬戶可以不止一個。在Unix系統(tǒng)中，只要將用戶的UID和GID設置為0就可以將其變成超級用戶，但并不是所有的超級用戶都能很容易的登錄到Unix系統(tǒng)中，這是因為，Unix系統(tǒng)使用了可插入認證模塊〔PAM〕進行認證登錄，PAM要求超級用戶只能在指定的終端上進行訪問，這種指定的終端是可以保證平安的。2．root賬戶的平安root用戶賬戶也是有密碼的，這個密碼可以對那些通過控制臺訪問系統(tǒng)的用戶進行控制，即使是使用su命令的用戶也不例外。8.1.3PAM認證機制8.1.3PAM認證機制嵌入式認證模塊(PAM)機制采用模塊化設計和插件功能，使得管理員可以輕易地在應用程序中插入新的鑒別模塊或替換原先的組件，而不必對應用程序做任何修改，從而使軟件的定制、維持和升級更加輕松，因為鑒別機制與應用程序之間相對獨立。應用程序可以通過PAMAPI(由pam.conf控制〕方便的使用PAM提供的各種鑒別功能，而不必了解太多的底層細節(jié)。PAM認證機制8.2口令平安與訪問控制Unix中常用的口令機制用戶口令技術(shù)影子口令機制一次性口令機制8.3文件系統(tǒng)平安文件和目錄的權(quán)限文件系統(tǒng)完整性檢查8.3.1文件和目錄的權(quán)限Unix系統(tǒng)中的每個文件和目錄都有訪問許可權(quán)限，文件或目錄的訪問權(quán)限分為三種：只讀只寫可執(zhí)行有三種不同類型的用戶可對文件或目錄進行訪問：文件所有者同組用戶其他用戶每一文件或目錄的訪問權(quán)限有三組，每組用三位表示，分別為文件屬主的讀、寫和執(zhí)行權(quán)限；與屬主同組的用戶的讀、寫和執(zhí)行權(quán)限；系統(tǒng)中其他用戶的讀、寫和執(zhí)行權(quán)限。8.3.1文件和目錄的權(quán)限確定了一個文件的訪問權(quán)限后，用戶可以利用系統(tǒng)提供的的命令對權(quán)限進行設置chmod命令來重新設定不同的訪問權(quán)限。chown命令來更改某個文件或目錄的所有者。chgrp命令來更改某個文件或目錄的用戶組文件系統(tǒng)完整性檢查對于龐大的系統(tǒng)文件，管理員對每一個文件都進行檢查室難以想象的，而Tripwire能夠提供這種幫助，它不是為了抵御攻擊者而設計的，然而它能夠幫助判斷系統(tǒng)的一些重要文件是否被攻擊者修改，即系統(tǒng)完整性檢查工作。Tripwire是目前最為著名的UNIX下文件系統(tǒng)完整性檢查的軟件工具，這一軟件采用的技術(shù)核心就是對每個要監(jiān)控的文件產(chǎn)生一個數(shù)字簽名，并保存下來。當文件現(xiàn)在的數(shù)字簽名與保存的數(shù)字簽名不一致時，那么現(xiàn)在這個文件必定被改動過了。8.3.3NFS簡介及相關(guān)平安性問題1.NFS的根本工作原理NFS由效勞器端和客戶機端兩局部組成。NFS是通過RPC即遠程過程調(diào)用來實現(xiàn)的，使得遠程的計算機節(jié)點執(zhí)行文件的操作命令就像執(zhí)行本地文件的操作命令一樣，可以執(zhí)行創(chuàng)立文件、創(chuàng)立目錄、刪除文件、刪除目錄等文件操作命令。8.3.3NFS簡介及相關(guān)平安性問題2.NFS平安性的實現(xiàn)Linux所做的第一個平安措施就是啟用防火墻。Linux所做的第二個平安措施是效勞器的導出選項。相關(guān)的導出選項有如下幾類：(1)讀寫效勞器訪問；(2)UID與GID擠壓；(3)端口平安；(4)鎖監(jiān)控程序；(5)局部掛接與子掛接。8.4日志查看與分析Unix系統(tǒng)中，主要分為以下3種形式的日志系統(tǒng)：〔1〕記錄連接時間的日志系統(tǒng)中多個進程運行時，把記錄寫入到∕var∕log∕wtmp和∕var∕run∕utmp，這兩個文件的更新由login等進程完成，以便于管理員跟蹤誰在何時登錄了系統(tǒng)?！?〕進程統(tǒng)計由系統(tǒng)內(nèi)核執(zhí)行。進程的執(zhí)行和終止，都將被記錄到統(tǒng)計文件pacct和acct中。該系統(tǒng)的目的是為系統(tǒng)中的根本效勞提供命令使用情況統(tǒng)計?！?〕錯誤日志由syslog(8)執(zhí)行各種系統(tǒng)守護進程、用戶程序和內(nèi)核通過syslog(3)向文件∕var∕log∕messages報告值得注意的事件。日志文件及其功能說明日志文件功能及說明access-log記錄Http∕Web的傳輸acct∕pacct記錄用戶命令aculog記錄Modem的活動btmp記錄失敗的記錄lastlog記錄最近幾次成功登錄的事件和最后一次不成功的登錄message從syslog中記錄信息sublog記錄使用sudo發(fā)出的命令suslog從syslog中記錄信息utmp記錄當前登錄的每個用戶wtmp一個用戶每次登錄進入和退出時間的永久記錄8.4.1日志查看技術(shù)8.4.1日志查看技術(shù)wtmp和utmp文件都是二進制文件，他們不能被諸如tail、cat命令進行剪貼或合并。用戶需要使用who、w、users、last和ac來使用這兩個文件包含的信息。8.5網(wǎng)絡效勞平安Unix系統(tǒng)之間平安通信的實現(xiàn)Kerberos認證機制平安外殼協(xié)議〔SSH〕。Unix系統(tǒng)之間的平安通信主要是是靠UUCP實現(xiàn)的。UUCP，Unix-to-UnixCopy的縮寫，UUCP系統(tǒng)主要完成遠程文件傳輸，包括各種文件的遠程復制、執(zhí)行系統(tǒng)之間的命令、維護系統(tǒng)使用情況的統(tǒng)計等等。UUCP是UNIX操作系統(tǒng)上最廣泛使用的網(wǎng)絡實用系統(tǒng)，在Internet興起之前是UNIX系統(tǒng)之間連網(wǎng)的主要方式。主要是因為：〔1〕UUCP是各UNIX版通用的唯一標準網(wǎng)絡系統(tǒng)〔2〕通過UUCP建立網(wǎng)絡系統(tǒng)簡單，8.5.1Unix系統(tǒng)之間平安通信的實現(xiàn)8.5.1Unix系統(tǒng)之間平安通信的實現(xiàn)8.5.2Kerberos認證機制8.5.2Kerberos認證機制當用戶輸入用戶名和密碼后，計算機將用戶名發(fā)送給KDC。KDC包含一個主數(shù)據(jù)庫，該數(shù)據(jù)庫保存了其領(lǐng)域內(nèi)每個平安主體獨有的長期密鑰KDC查找用戶的主密鑰〔KA〕，主密鑰基于用戶的密碼。然后，KDC創(chuàng)立兩項：一個與用戶共享的會話密鑰〔SA〕和一張票證授予式票證〔TGT，Ticket-GrantingTicket〕。TGT包含SA、用戶名和過期時間的第二個副本。KDC使用它自身的主密鑰〔KKDC〕加密此票證，此主密鑰只有KDC知道目標效勞器KDC用戶KABKABTGT+SATGT+時間戳用戶名客戶端計算機從KDC接收到信息，并通過單向哈希函數(shù)加密用戶的密碼，這樣就將密碼轉(zhuǎn)換成了用戶的KA?？蛻舳擞嬎銠C現(xiàn)在有一個會話密鑰和一個TGT，這樣就可以與KDC平安通信了當Kerberos客戶端需要訪問同一域中的成員效勞器上的資源時，它會聯(lián)系KDC?？蛻舳藢⑻峁㏕GT和用已經(jīng)與KDC共享的會話密鑰加密的時間戳，接著，KDC創(chuàng)立一對票證，一張給客戶端，另一張給客戶端需要訪問的資源所在的效勞器，KDC獲取效勞器的票證，并使用效勞器主密鑰〔KB〕加密它。然后KDC將效勞器的票證嵌套在客戶端的票證內(nèi)，這樣，客戶端的票證也含有該KABKerberos身份驗證的工作原理8.5.2Kerberos認證機制〔課本〕Kerberos協(xié)議把身份認證的任務集中在身份認證效勞器〔AS〕上執(zhí)行。AS中保存了所有用戶的口令。在Kerberos認證體制中，還增加了另外一種授權(quán)效勞器TGS(Ticket-GrantingServer)。首先用戶申請票證授權(quán)證，AS驗證C的訪問權(quán)限后，準備好票證Tickettgs和C與TGS用戶會話密鑰Kc,tgs，并用口令導出的Kc加密后回送票證授權(quán)證。然后用戶請求效勞授權(quán)證，工作站要求用戶輸入口令，并用它導出密鑰Kc，以Kc對所得消息進行解密的Kc,tgs，用戶將Tickettgs連同個人信息發(fā)給TGS，TGS實現(xiàn)對C的認證后，準備好效勞授權(quán)證Ticketv及會話密鑰Kc,v用Kc,tgs加密后發(fā)給用戶C，用戶C將獲得的Ticketv連同個人信息發(fā)送給效勞器V，效勞器對信息認證后，給用戶提供相應的效勞圖8-4Kerberos認證過程8.5.2Kerberos認證機制〔課本〕8.5.3SSH協(xié)議SSH的英文全稱是SecureShell。通過使用SSH，你可以把所有傳輸?shù)臄?shù)據(jù)進行加密，這樣入侵者的攻擊方式就不可能實現(xiàn)了，而且也能夠防止DNS和IP欺騙。8.5.3SSH協(xié)議1.基于口令的平安驗證只要你知道自己帳號和口令，就可以登錄到遠程主機。所有傳輸?shù)臄?shù)據(jù)都會被加密，但是不能保證你正在連接的效勞器就是你想連接的效勞器。可能會有別的效勞器在冒充真正的效勞器。8.5.3SSH協(xié)議2.基于密匙的平安驗證需要依靠密匙，就是說用戶必須為自己創(chuàng)立一對密匙，并把公用密匙放在需要訪問的效勞器上。如果用