Unix-Linux操作系統(tǒng)安全技術PPT課件

操作系統(tǒng)安全 第八章Unix Linux操作系統(tǒng)安全技術 第八章Unix Linux操作系統(tǒng)安全技術 8 1賬戶安全管理8 2口令安全與訪問控制8 3文件系統(tǒng)安全8 4日志查看與分析8 5網(wǎng)絡服務安全8 6備份與恢復 Unix安全模型 UNIX是一個強大的多用戶 多任務操作系統(tǒng) 支持多種處理器架構 按照操作系統(tǒng)的分類 屬于分時操作系統(tǒng) 因為安全可靠 高效強大的特點 其在服務器領域得到了廣泛的應用 圖8 1為Unix操作系統(tǒng)的一個安全模型 8 1賬戶安全管理 8 1 1root賬戶的管理在Unix Linux系統(tǒng)中 root賬號就是一個超級用戶賬戶 以超級用戶可以對系統(tǒng)進行任何操作 1 超級用戶而Unix Linux超級用戶賬戶可以不止一個 在Unix系統(tǒng)中 只要將用戶的UID和GID設置為0就可以將其變成超級用戶 但并不是所有的超級用戶都能很容易的登錄到Unix系統(tǒng)中 這是因為 Unix系統(tǒng)使用了可插入認證模塊 PAM 進行認證登錄 PAM要求超級用戶只能在指定的終端上進行訪問 這種指定的終端是可以保證安全的 2 root賬戶的安全root用戶賬戶也是有密碼的 這個密碼可以對那些通過控制臺訪問系統(tǒng)的用戶進行控制 即使是使用su命令的用戶也不例外 8 1 3PAM認證機制 8 1 3PAM認證機制嵌入式認證模塊 PAM 機制采用模塊化設計和插件功能 使得管理員可以輕易地在應用程序中插入新的鑒別模塊或替換原先的組件 而不必對應用程序做任何修改 從而使軟件的定制 維持和升級更加輕松 因為鑒別機制與應用程序之間相對獨立 應用程序可以通過PAMAPI 由pam conf控制 方便的使用PAM提供的各種鑒別功能 而不必了解太多的底層細節(jié) PAM認證機制 8 2口令安全與訪問控制 Unix中常用的口令機制用戶口令技術影子口令機制一次性口令機制 8 3文件系統(tǒng)安全 文件和目錄的權限文件系統(tǒng)完整性檢查 8 3 1文件和目錄的權限 Unix系統(tǒng)中的每個文件和目錄都有訪問許可權限 文件或目錄的訪問權限分為三種 只讀只寫可執(zhí)行有三種不同類型的用戶可對文件或目錄進行訪問 文件所有者同組用戶其他用戶每一文件或目錄的訪問權限有三組 每組用三位表示 分別為文件屬主的讀 寫和執(zhí)行權限 與屬主同組的用戶的讀 寫和執(zhí)行權限 系統(tǒng)中其他用戶的讀 寫和執(zhí)行權限 8 3 1文件和目錄的權限 確定了一個文件的訪問權限后 用戶可以利用系統(tǒng)提供的的命令對權限進行設置chmod命令來重新設定不同的訪問權限 chown命令來更改某個文件或目錄的所有者 chgrp命令來更改某個文件或目錄的用戶組 8 3 2文件系統(tǒng)完整性檢查 對于龐大的系統(tǒng)文件 管理員對每一個文件都進行檢查室難以想象的 而Tripwire能夠提供這種幫助 它不是為了抵御攻擊者而設計的 然而它能夠幫助判斷系統(tǒng)的一些重要文件是否被攻擊者修改 即系統(tǒng)完整性檢查工作 Tripwire是目前最為著名的UNIX下文件系統(tǒng)完整性檢查的軟件工具 這一軟件采用的技術核心就是對每個要監(jiān)控的文件產(chǎn)生一個數(shù)字簽名 并保留下來 當文件現(xiàn)在的數(shù)字簽名與保留的數(shù)字簽名不一致時 那么現(xiàn)在這個文件必定被改動過了 8 3 3NFS簡介及相關安全性問題 1 NFS的基本工作原理NFS由服務器端和客戶機端兩部分組成 NFS是通過RPC即遠程過程調(diào)用來實現(xiàn)的 使得遠程的計算機節(jié)點執(zhí)行文件的操作命令就像執(zhí)行本地文件的操作命令一樣 可以執(zhí)行創(chuàng)建文件 創(chuàng)建目錄 刪除文件 刪除目錄等文件操作命令 8 3 3NFS簡介及相關安全性問題 2 NFS安全性的實現(xiàn)Linux所做的第一個安全措施就是啟用防火墻 Linux所做的第二個安全措施是服務器的導出選項 相關的導出選項有如下幾類 1 讀寫服務器訪問 2 UID與GID擠壓 3 端口安全 4 鎖監(jiān)控程序 5 部分掛接與子掛接 8 4日志查看與分析 Unix系統(tǒng)中 主要分為以下3種形式的日志系統(tǒng) 1 記錄連接時間的日志系統(tǒng)中多個進程運行時 把記錄寫入到 var log wtmp和 var run utmp 這兩個文件的更新由login等進程完成 以便于管理員跟蹤誰在何時登錄了系統(tǒng) 2 進程統(tǒng)計由系統(tǒng)內(nèi)核執(zhí)行 進程的執(zhí)行和終止 都將被記錄到統(tǒng)計文件pacct和acct中 該系統(tǒng)的目的是為系統(tǒng)中的基本服務提供命令使用情況統(tǒng)計 3 錯誤日志由syslog 8 執(zhí)行各種系統(tǒng)守護進程 用戶程序和內(nèi)核通過syslog 3 向文件 var log messages報告值得注意的事件 日志文件及其功能說明 8 4 1日志查看技術 8 4 1日志查看技術wtmp和utmp文件都是二進制文件 他們不能被諸如tail cat命令進行剪貼或合并 用戶需要使用who w users last和ac來使用這兩個文件包含的信息 8 5網(wǎng)絡服務安全 Unix系統(tǒng)之間安全通信的實現(xiàn)Kerberos認證機制安全外殼協(xié)議 SSH Unix系統(tǒng)之間的安全通信主要是是靠UUCP實現(xiàn)的 UUCP Unix to UnixCopy的縮寫 UUCP系統(tǒng)主要完成遠程文件傳輸 包括各種文件的遠程復制 執(zhí)行系統(tǒng)之間的命令 維護系統(tǒng)使用情況的統(tǒng)計等等 UUCP是UNIX操作系統(tǒng)上最廣泛使用的網(wǎng)絡實用系統(tǒng) 在Internet興起之前是UNIX系統(tǒng)之間連網(wǎng)的主要方式 主要是因為 1 UUCP是各UNIX版通用的唯一標準網(wǎng)絡系統(tǒng) 2 通過UUCP建立網(wǎng)絡系統(tǒng)簡單 8 5 1Unix系統(tǒng)之間安全通信的實現(xiàn) 8 5 1Unix系統(tǒng)之間安全通信的實現(xiàn) 8 5 2Kerberos認證機制 8 5 2Kerberos認證機制 當用戶輸入用戶名和密碼后 計算機將用戶名發(fā)送給KDC KDC包含一個主數(shù)據(jù)庫 該數(shù)據(jù)庫保存了其領域內(nèi)每個安全主體獨有的長期密鑰 KDC查找用戶的主密鑰 KA 主密鑰基于用戶的密碼 然后 KDC創(chuàng)建兩項 一個與用戶共享的會話密鑰 SA 和一張票證授予式票證 TGT Ticket GrantingTicket TGT包含SA 用戶名和過期時間的第二個副本 KDC使用它自身的主密鑰 KKDC 加密此票證 此主密鑰只有KDC知道 目標服務器 KDC 用戶 客戶端計算機從KDC接收到信息 并通過單向哈希函數(shù)加密用戶的密碼 這樣就將密碼轉換成了用戶的KA 客戶端計算機現(xiàn)在有一個會話密鑰和一個TGT 這樣就可以與KDC安全通信了 當Kerberos客戶端需要訪問同一域中的成員服務器上的資源時 它會聯(lián)系KDC 客戶端將提供TGT和用已經(jīng)與KDC共享的會話密鑰加密的時間戳 接著 KDC創(chuàng)建一對票證 一張給客戶端 另一張給客戶端需要訪問的資源所在的服務器 KDC獲取服務器的票證 并使用服務器主密鑰 KB 加密它 然后KDC將服務器的票證嵌套在客戶端的票證內(nèi) 這樣 客戶端的票證也含有該KAB Kerberos身份驗證的工作原理 8 5 2Kerberos認證機制 課本 Kerberos協(xié)議把身份認證的任務集中在身份認證服務器 AS 上執(zhí)行 AS中保存了所有用戶的口令 在Kerberos認證體制中 還增加了另外一種授權服務器TGS Ticket GrantingServer 首先用戶申請票證授權證 AS驗證C的訪問權限后 準備好票證Tickettgs和C與TGS用戶會話密鑰Kc tgs 并用口令導出的Kc加密后回送票證授權證 然后用戶請求服務授權證 工作站要求用戶輸入口令 并用它導出密鑰Kc 以Kc對所得消息進行解密的Kc tgs 用戶將Tickettgs連同個人信息發(fā)給TGS TGS實現(xiàn)對C的認證后 準備好服務授權證Ticketv及會話密鑰Kc v用Kc tgs加密后發(fā)給用戶C 用戶C將獲得的Ticketv連同個人信息發(fā)送給服務器V 服務器對信息認證后 給用戶提供相應的服務 圖8 4Kerberos認證過程 8 5 2Kerberos認證機制 課本 8 5 3SSH協(xié)議 SSH的英文全稱是SecureShell 通過使用SSH 你可以把所有傳輸?shù)臄?shù)據(jù)進行加密 這樣入侵者的攻擊方式就不可能實現(xiàn)了 而且也能夠防止DNS和IP欺騙 8 5 3SSH協(xié)議 1 基于口令的安全驗證只要你知道自己帳號和口令 就可以登錄到遠程主機 所有傳輸?shù)臄?shù)據(jù)都會被加密 但是不能保證你正在連接的服務器就是你想連接的服務器 可能會有別的服務器在冒充真正的服務器 8 5 3SSH協(xié)議 2 基于密匙的安全驗證需要依靠密匙 就是說用戶必須為自己創(chuàng)建一對密匙 并把公用密匙放在需要訪問的服務器上 如果用戶要連接到SSH服務器上 客戶端軟件就會向