Unix_Linux操作系統(tǒng)安全技術(shù)

1、操作系統(tǒng)安全操作系統(tǒng)安全 第八章第八章 Unix/Linux 操作系統(tǒng)安全技術(shù)操作系統(tǒng)安全技術(shù)計算機科學與工程系 第八章第八章 Unix/Linux操作系統(tǒng)安全技術(shù)操作系統(tǒng)安全技術(shù)8.1 賬戶安全管理賬戶安全管理8.2 口令安全與訪問控制口令安全與訪問控制8.3 文件系統(tǒng)安全文件系統(tǒng)安全8.4 日志查看與分析日志查看與分析8.5 網(wǎng)絡(luò)服務(wù)安全網(wǎng)絡(luò)服務(wù)安全8.6 備份與恢復(fù)備份與恢復(fù)計算機科學與工程系Unix安全模型安全模型UNIX是一個強大的多用戶、多任務(wù)操作系統(tǒng)，支持多種處理器架構(gòu)，按照操作系統(tǒng)的分類，屬于分時操作系統(tǒng)。因為安全可靠，高效強大的特點，其在服務(wù)器領(lǐng)域得到了廣泛的應(yīng)用。圖8-1為

2、Unix操作系統(tǒng)的一個安全模型：計算機科學與工程系8.1 賬戶安全管理賬戶安全管理8.1.1 root賬戶的管理 在UnixLinux系統(tǒng)中，root賬號就是一個超級用戶賬戶。以超級用戶可以對系統(tǒng)進行任何操作。 1超級用戶超級用戶 而UnixLinux超級用戶賬戶可以不止一個。 在Unix系統(tǒng)中，只要將用戶的UID和GID設(shè)置為0就可以將其變成超級用戶，但并不是所有的超級用戶都能很容易的登錄到Unix系統(tǒng)中，這是因為，Unix系統(tǒng)使用了可插入認證模塊（PAM）進行認證登錄，PAM要求超級用戶只能在指定的終端上進行訪問，這種指定的終端是可以保證安全的。 2root賬戶的安全賬戶的安全 root用

3、戶賬戶也是有密碼的，這個密碼可以對那些通過控制臺訪問系統(tǒng)的用戶進行控制，即使是使用su命令的用戶也不例外。計算機科學與工程系8.1.3 PAM認證機制認證機制8.1.3 PAM認證機制認證機制 嵌入式認證模塊(PAM)機制采用模塊化設(shè)計和插件功能，使得管理員可以輕易地在應(yīng)用程序中插入新的鑒別模塊或替換原先的組件，而不必對應(yīng)用程序做任何修改，從而使軟件的定制、維持和升級更加輕松，因為鑒別機制與應(yīng)用程序之間相對獨立。 應(yīng)用程序可以通過PAM API(由pam.conf控制）方便的使用PAM提供的各種鑒別功能，而不必了解太多的底層細節(jié)。計算機科學與工程系PAM認證機制認證機制計算機科學與工程系8.2

4、 口令安全與訪問控制口令安全與訪問控制Unix中常用的口令機制中常用的口令機制 用戶口令技術(shù) 影子口令機制 一次性口令機制計算機科學與工程系8.3 文件系統(tǒng)安全文件系統(tǒng)安全文件和目錄的權(quán)限文件系統(tǒng)完整性檢查計算機科學與工程系8.3.1 文件和目錄的權(quán)限文件和目錄的權(quán)限Unix系統(tǒng)中的每個文件和目錄都有訪問許可權(quán)限，文件或目錄的訪問權(quán)限分為三種： 只讀 只寫 可執(zhí)行有三種不同類型的用戶可對文件或目錄進行訪問： 文件所有者 同組用戶 其他用戶每一文件或目錄的訪問權(quán)限有三組，每組用三位表示，分別為 文件屬主的讀、寫和執(zhí)行權(quán)限； 與屬主同組的用戶的讀、寫和執(zhí)行權(quán)限； 系統(tǒng)中其他用戶的讀、寫和執(zhí)行權(quán)限。

5、計算機科學與工程系8.3.1 文件和目錄的權(quán)限文件和目錄的權(quán)限確定了一個文件的訪問權(quán)限后，用戶可以利用系統(tǒng)提供的的命令對權(quán)限進行設(shè)置 chmod命令來重新設(shè)定不同的訪問權(quán)限。 chown命令來更改某個文件或目錄的所有者。 chgrp命令來更改某個文件或目錄的用戶組 計算機科學與工程系8.3.2文件系統(tǒng)完整性檢查文件系統(tǒng)完整性檢查對于龐大的系統(tǒng)文件，管理員對每一個文件都進行檢查室難以想象的，而Tripwire能夠提供這種幫助，它不是為了抵御攻擊者而設(shè)計的，然而它能夠幫助判斷系統(tǒng)的一些重要文件是否被攻擊者修改，即系統(tǒng)完整性檢查工作。Tripwire是目前最為著名的UNIX下文件系統(tǒng)完整性檢查的軟件

6、工具，這一軟件采用的技術(shù)核心就是對每個要監(jiān)控的文件產(chǎn)生一個數(shù)字簽名，并保留下來。當文件現(xiàn)在的數(shù)字簽名與保留的數(shù)字簽名不一致時，那么現(xiàn)在這個文件必定被改動過了。計算機科學與工程系 8.3.3 NFS簡介及相關(guān)安全性問題簡介及相關(guān)安全性問題1.NFS的基本工作原理 NFS由服務(wù)器端和客戶機端兩部分組成。 NFS是通過RPC即遠程過程調(diào)用來實現(xiàn)的，使得遠程的計算機節(jié)點執(zhí)行文件的操作命令就像執(zhí)行本地文件的操作命令一樣，可以執(zhí)行創(chuàng)建文件、創(chuàng)建目錄、刪除文件、刪除目錄等文件操作命令。計算機科學與工程系 8.3.3 NFS簡介及相關(guān)安全性問題簡介及相關(guān)安全性問題2.NFS安全性的實現(xiàn) Linux所做的第一個

7、安全措施就是啟用防火墻。 Linux所做的第二個安全措施是服務(wù)器的導出選項。相關(guān)的導出選項有如下幾類： (1)讀寫服務(wù)器訪問；讀寫服務(wù)器訪問； (2)UID與與GID擠壓；擠壓； (3)端口安全；端口安全； (4)鎖監(jiān)控程序；鎖監(jiān)控程序； (5)部分掛接與子掛接。部分掛接與子掛接。計算機科學與工程系8.4 日志查看與分析日志查看與分析Unix系統(tǒng)中，主要分為以下3種形式的日志系統(tǒng)：（1）記錄連接時間的日志 系統(tǒng)中多個進程運行時，把記錄寫入到varlogwtmp和varrunutmp，這兩個文件的更新由login等進程完成，以便于管理員跟蹤誰在何時登錄了系統(tǒng)。 （2）進程統(tǒng)計 由系統(tǒng)內(nèi)核執(zhí)行。進

8、程的執(zhí)行和終止，都將被記錄到統(tǒng)計文件 pacct和acct中。該系統(tǒng)的目的是為系統(tǒng)中的基本服務(wù)提供命令使用情況統(tǒng)計。 （3）錯誤日志 由syslog(8)執(zhí)行各種系統(tǒng)守護進程、用戶程序和內(nèi)核通過syslog(3)向文件varlogmessages報告值得注意的事件。計算機科學與工程系日志文件及其功能說明日志文件及其功能說明 日志文件功能及說明access-log記錄HttpWeb的傳輸acctpacct記錄用戶命令aculog記錄Modem的活動btmp記錄失敗的記錄lastlog記錄最近幾次成功登錄的事件和最后一次不成功的登錄message從syslog中記錄信息sublog記錄使用sudo

9、發(fā)出的命令suslog從syslog中記錄信息utmp記錄當前登錄的每個用戶wtmp一個用戶每次登錄進入和退出時間的永久記錄計算機科學與工程系8.4.1 日志查看技術(shù)日志查看技術(shù)8.4.1 日志查看技術(shù) wtmp和utmp文件都是二進制文件，他們不能被諸如tail、cat命令進行剪貼或合并。用戶需要使用who、w、users、last和ac來使用這兩個文件包含的信息。計算機科學與工程系8.5 網(wǎng)絡(luò)服務(wù)安全網(wǎng)絡(luò)服務(wù)安全Unix系統(tǒng)之間安全通信的實現(xiàn)Kerberos認證機制安全外殼協(xié)議（SSH）。計算機科學與工程系 Unix系統(tǒng)之間的安全通信主要是是靠UUCP實現(xiàn)的。UUCP，Unix-to-Un

10、ix Copy的縮寫，UUCP系統(tǒng)主要完成遠程文件傳輸，包括各種文件的遠程復(fù)制、執(zhí)行系統(tǒng)之間的命令、維護系統(tǒng)使用情況的統(tǒng)計等等。 UUCP是UNIX操作系統(tǒng)上最廣泛使用的網(wǎng)絡(luò)實用系統(tǒng)，在Internet興起之前是UNIX系統(tǒng)之間連網(wǎng)的主要方式。主要是因為： （1）UUCP是各UNIX版通用的唯一標準網(wǎng)絡(luò)系統(tǒng) （2）通過UUCP建立網(wǎng)絡(luò)系統(tǒng)簡單， 8.5.1 Unix系統(tǒng)之間安全通信的實現(xiàn)系統(tǒng)之間安全通信的實現(xiàn)計算機科學與工程系 8.5.1 Unix系統(tǒng)之間安全通信的實現(xiàn)系統(tǒng)之間安全通信的實現(xiàn)計算機科學與工程系8.5.2 Kerberos認證機制認證機制計算機科學與工程系8.5.2 Kerber

11、os認證機制認證機制計算機科學與工程系計算機科學與工程系計算機科學與工程系當用戶輸入用戶名和密碼后，計算機將用戶名發(fā)送給當用戶輸入用戶名和密碼后，計算機將用戶名發(fā)送給 KDC。KDC 包含一個主數(shù)據(jù)庫，該數(shù)據(jù)庫保存了其領(lǐng)域內(nèi)每個安全包含一個主數(shù)據(jù)庫，該數(shù)據(jù)庫保存了其領(lǐng)域內(nèi)每個安全主體獨有的長期密鑰主體獨有的長期密鑰 KDC 查找用戶的主密鑰（查找用戶的主密鑰（KA），主密鑰基于用戶的密碼。然后），主密鑰基于用戶的密碼。然后，KDC 創(chuàng)建兩項：一個與用戶共享的會話密鑰（創(chuàng)建兩項：一個與用戶共享的會話密鑰（SA）和一張票）和一張票證授予式票證（證授予式票證（TGT，Ticket-Granting

12、Ticket）。）。TGT 包含包含 SA、用、用戶名和過期時間的第二個副本。戶名和過期時間的第二個副本。KDC 使用它自身的主密鑰（使用它自身的主密鑰（KKDC）加密此票證，此主密鑰只有）加密此票證，此主密鑰只有 KDC 知道知道 目標服務(wù)器目標服務(wù)器KDC用戶用戶KABKABTGT+SATGT+時間戳時間戳用戶名用戶名客戶端計算機從客戶端計算機從 KDC 接收到信息，并通過單向哈希函數(shù)加密接收到信息，并通過單向哈希函數(shù)加密用戶的密碼，這樣就將密碼轉(zhuǎn)換成了用戶的用戶的密碼，這樣就將密碼轉(zhuǎn)換成了用戶的 KA?？蛻舳擞嬎恪？蛻舳擞嬎銠C現(xiàn)在有一個會話密鑰和一個機現(xiàn)在有一個會話密鑰和一個 TGT，這

13、樣就可以與，這樣就可以與 KDC 安全安全通信了通信了 當當 Kerberos 客戶端需要訪問同一域中的成員服務(wù)器上的資源時，客戶端需要訪問同一域中的成員服務(wù)器上的資源時，它會聯(lián)系它會聯(lián)系 KDC?？蛻舳藢⑻峁??？蛻舳藢⑻峁?TGT 和用已經(jīng)與和用已經(jīng)與 KDC 共享的會話密共享的會話密鑰加密的時間戳，接著，鑰加密的時間戳，接著，KDC 創(chuàng)建一對票證，一張給客戶端，另創(chuàng)建一對票證，一張給客戶端，另一張給客戶端需要訪問的資源所在的服務(wù)器，一張給客戶端需要訪問的資源所在的服務(wù)器，KDC 獲取服務(wù)器的獲取服務(wù)器的票證，并使用服務(wù)器主密鑰（票證，并使用服務(wù)器主密鑰（KB）加密它。然后）加密它。然后 K

14、DC 將服務(wù)器的將服務(wù)器的票證嵌套在客戶端的票證內(nèi)，這樣，客戶端的票證也含有該票證嵌套在客戶端的票證內(nèi)，這樣，客戶端的票證也含有該 KABKerberos 身份驗證的工作原理身份驗證的工作原理計算機科學與工程系計算機科學與工程系計算機科學與工程系計算機科學與工程系計算機科學與工程系 8.5.2 Kerberos認證機制（課本）認證機制（課本）Kerberos協(xié)議把身份認證的任務(wù)集中在身份認證服務(wù)器（AS）上執(zhí)行。AS中保存了所有用戶的口令。在Kerberos認證體制中，還增加了另外一種授權(quán)服務(wù)器TGS(Ticket-Granting Server)。首先用戶申請票證授權(quán)證，AS驗證C的訪問權(quán)限

15、后，準備好票證Tickettgs和C與TGS用戶會話密鑰Kc,tgs，并用口令導出的Kc加密后回送票證授權(quán)證。然后用戶請求服務(wù)授權(quán)證，工作站要求用戶輸入口令，并用它導出密鑰Kc，以Kc對所得消息進行解密的Kc,tgs，用戶將Tickettgs連同個人信息發(fā)給TGS，TGS實現(xiàn)對C的認證后，準備好服務(wù)授權(quán)證Ticketv及會話密鑰Kc,v用Kc,tgs加密后發(fā)給用戶C，用戶C將獲得的Ticketv連同個人信息發(fā)送給服務(wù)器V，服務(wù)器對信息認證后，給用戶提供相應(yīng)的服務(wù) 計算機科學與工程系圖8-4 Kerberos認證過程 8.5.2 Kerberos認證機制認證機制（課本）（課本）計算機科學與工程系8.5.3 SSH協(xié)議協(xié)議SSH的英文全稱是Secure Shell。通過使用SSH，你可以把所有傳輸?shù)臄?shù)據(jù)進行加密，這樣入侵者的攻擊方式就不可能實現(xiàn)了，而且也能夠防止DNS和IP欺騙。 計算機科學與工程系8.5.3 SSH協(xié)議協(xié)議1.基于口令的安全驗證基于口令的安全驗證 只要你知道自己帳號和口令，就可以登錄到遠程主機。所有傳輸?shù)臄?shù)據(jù)都會被加密，但是不能保證你正在連接的服務(wù)器就是你想連接的服務(wù)器?？赡軙袆e的服務(wù)器在冒充真正的服務(wù)器。計算機科學與工程系8.5.3 SSH協(xié)議協(xié)議2.基于密匙的安全驗證基于密匙的安全驗證 需要依靠