【正文】 任何現(xiàn)有的登錄服務(wù)就可以集成范圍廣泛的認(rèn)證和授權(quán)機(jī)制，因此，近年來(lái)，對(duì)PAM的底層鑒別模塊的擴(kuò)展廣泛應(yīng)用于增強(qiáng)Linux操作系統(tǒng)的安全性。Kerberos認(rèn)證協(xié)議是目前應(yīng)用最廣泛的、基于可信任第三方的網(wǎng)絡(luò)身份認(rèn)證協(xié)議。Linux操作系統(tǒng)更好的安全性保證可以由Kerberos來(lái)實(shí)現(xiàn)[2,3]，目前，基于Linux操作系統(tǒng)，利用Kerberos協(xié)議增強(qiáng)其用戶認(rèn)證的安全性的方案在國(guó)內(nèi)外均有提出。Kerberos認(rèn)證協(xié)議最初是麻省理工學(xué)院（MIT）為其Athena項(xiàng)目開發(fā)的，其從提出到現(xiàn)在，共經(jīng)歷了五個(gè)版本的發(fā)展[4]。目前廣泛應(yīng)用的版本是其第五版本Kerberos V5。其本身存在著一定的局限性，針對(duì)其安全缺陷，已有諸多的解決方案提出。同時(shí)，伴隨著其軟件的優(yōu)化、升級(jí)，Kerberos認(rèn)證系統(tǒng)的應(yīng)用將會(huì)越來(lái)越廣泛。輕量級(jí)目錄訪問(wèn)協(xié)議（LDAP）作為目前廣泛應(yīng)用的目錄訪問(wèn)協(xié)議，可以實(shí)現(xiàn)授權(quán)管理、網(wǎng)絡(luò)用戶管理、電子政務(wù)目錄體系等服務(wù)。其基于訪問(wèn)控制策略語(yǔ)句的訪問(wèn)控制列表（Access Control List,ACL）來(lái)實(shí)現(xiàn)訪問(wèn)控制與應(yīng)用授權(quán)，不同于現(xiàn)有的關(guān)系型數(shù)據(jù)庫(kù)和應(yīng)用系統(tǒng)，訪問(wèn)控制異常靈活和豐富[5]。目前，LDAP已經(jīng)成為Internet上目錄服務(wù)的標(biāo)準(zhǔn)協(xié)議。已有包括微軟、IBM在內(nèi)的幾十家大型軟件公司采用了LDAP技術(shù)。在我國(guó)，LDAP技術(shù)已應(yīng)用在北京大學(xué)校園網(wǎng)絡(luò)用戶管理系統(tǒng)、上海政務(wù)網(wǎng)統(tǒng)一用戶管理、中國(guó)數(shù)字圖書館系統(tǒng)的用戶管理部分，以及北京、上海、天津、福建等省級(jí)認(rèn)證中心等。 用戶認(rèn)證與應(yīng)用授權(quán)是安全機(jī)制的前提，基于Linux操作系統(tǒng)，深入研究用戶認(rèn)證與應(yīng)用授權(quán)機(jī)制，不僅可以深入理解現(xiàn)有的安全機(jī)制，隨著研究的深入，也可以發(fā)現(xiàn)其現(xiàn)有安全機(jī)制的問(wèn)題所在。用戶在登錄Linux操作系統(tǒng)時(shí)，首先要通過(guò)系統(tǒng)的PAM進(jìn)行驗(yàn)證。任何認(rèn)證機(jī)制都可以加入到PAM的底層鑒別模塊中，可以被任何基于PAM開發(fā)的程序調(diào)用。因此，將更多安全性更高的認(rèn)證機(jī)制擴(kuò)展到PAM的底層鑒別模塊中，可以增強(qiáng)Linux操作系統(tǒng)的安全性。Kerberos是目前應(yīng)用最廣泛的認(rèn)證協(xié)議，本課程設(shè)計(jì)將其作為認(rèn)證模塊擴(kuò)展到PAM中，基于PAM的程序就可以調(diào)用該認(rèn)證模塊用于用戶認(rèn)證等驗(yàn)證機(jī)制，可以增強(qiáng)系統(tǒng)及各種應(yīng)用的安全性。本課程設(shè)計(jì)提出的用戶認(rèn)證與應(yīng)用授權(quán)系統(tǒng)，集成了用戶與各種網(wǎng)絡(luò)應(yīng)用服務(wù)的資源和信息，可以方便有效的實(shí)現(xiàn)對(duì)用戶的統(tǒng)一管理。當(dāng)用戶訪問(wèn)某種網(wǎng)絡(luò)服務(wù)時(shí)，首先通過(guò)Kerberos的認(rèn)證，登錄到LDAP目錄服務(wù)系統(tǒng)，然后LDAP可以通過(guò)其ACL驗(yàn)證用戶是否擁有訪問(wèn)該服務(wù)的權(quán)限。這樣既可以實(shí)現(xiàn)基于用戶的網(wǎng)絡(luò)應(yīng)用管理，也可以實(shí)現(xiàn)對(duì)用戶的訪問(wèn)控制。該系統(tǒng)可以應(yīng)用于信息安全教學(xué)、信息安全系統(tǒng)的開發(fā)與實(shí)現(xiàn)，并將應(yīng)用于黨政機(jī)關(guān)辦公自動(dòng)化與協(xié)同辦公，保護(hù)黨政內(nèi)網(wǎng)的安全，具有實(shí)用意義與創(chuàng)新意義。 本課程設(shè)計(jì)在深入理論研究的基礎(chǔ)上，基于Linux的PAM機(jī)制、Kerberos認(rèn)證系統(tǒng)、LDAP目錄服務(wù)系統(tǒng)設(shè)計(jì)了域內(nèi)用戶認(rèn)證與應(yīng)用授權(quán)的架構(gòu)。該架構(gòu)運(yùn)行在操作系統(tǒng)為L(zhǎng)inux的主機(jī)上，提供基本的Kerberos登錄認(rèn)證服務(wù)，以及Kerberos化的遠(yuǎn)程登錄服務(wù)（ktelnet）、Kerberos化的文件傳輸（kftp）等網(wǎng)絡(luò)應(yīng)用服務(wù)。OpenLDAP目錄服務(wù)系統(tǒng)完成用戶信息的存儲(chǔ)以及相應(yīng)權(quán)限的設(shè)置。本課題編寫了客戶端程序，作為認(rèn)證接口，提供給應(yīng)用程序調(diào)用，實(shí)現(xiàn)用戶的登錄認(rèn)證與應(yīng)用的授權(quán)。根據(jù)所提出的架構(gòu)，在“華鐳Linux操作系統(tǒng)”下配置各個(gè)相關(guān)模塊，同時(shí)編程實(shí)現(xiàn)客戶端用戶認(rèn)證的接口函數(shù)，使得用戶可以調(diào)用該接口函數(shù)完成登錄某種網(wǎng)絡(luò)應(yīng)用服務(wù)的認(rèn)證。本課程設(shè)計(jì)的理論研究情況列舉如下：Linux操作系統(tǒng)相關(guān)的理論知識(shí)，包括其組成模塊、內(nèi)部已有的安全機(jī)制、安全缺陷及其安全需求等。Linux內(nèi)部的可插入式認(rèn)證模塊（PAM）的運(yùn)行原理、組成部分及其應(yīng)用實(shí)例，特別是其內(nèi)部的用戶登錄認(rèn)證與應(yīng)用授權(quán)模塊。學(xué)習(xí)現(xiàn)有的認(rèn)證協(xié)議，著重分析Kerberos協(xié)議的藍(lán)本NeedhamSchroeder認(rèn)證協(xié)議，熟悉其協(xié)議過(guò)程、自身缺陷、各次攻擊以及改進(jìn)過(guò)程，并基于可信平臺(tái)模塊（TPM）對(duì)其進(jìn)行改進(jìn)，以增強(qiáng)其安全性。研究Kerberos認(rèn)證系統(tǒng)，包括其系統(tǒng)組成、協(xié)議原理、數(shù)據(jù)庫(kù)創(chuàng)建與管理、應(yīng)用接口函數(shù)等，并研究如何將其配置在所選操作系統(tǒng)“華擂Linux”的PAM模塊中。研究輕量級(jí)目錄訪問(wèn)協(xié)議（LDAP），包括其命名模型、協(xié)議原理、數(shù)據(jù)庫(kù)創(chuàng)建與管理、安全機(jī)制、應(yīng)用接口函數(shù)，及其如何與Kerberos認(rèn)證系統(tǒng)相結(jié)合等。本課程設(shè)計(jì)所搭建的用戶認(rèn)證與應(yīng)用授權(quán)系統(tǒng)包括服務(wù)器端、客戶端兩部分，分別介紹如下：服務(wù)器端⑴配置Kerberos的服務(wù)器端，作為Kerberos的密鑰分發(fā)中心（KDC），完成AS認(rèn)證服務(wù)和TGS票據(jù)授權(quán)服務(wù)，并將網(wǎng)絡(luò)應(yīng)用服務(wù)進(jìn)行Kerberos化，實(shí)現(xiàn)用戶登錄網(wǎng)絡(luò)應(yīng)用服務(wù)的Kerberos認(rèn)證；⑵配置OpenLDAP的服務(wù)器端，作為用戶身份管理的核心數(shù)據(jù)庫(kù)，利用其目錄管理功能實(shí)現(xiàn)對(duì)用戶信息的管理，并利用其訪問(wèn)控制列表（ACL）實(shí)現(xiàn)應(yīng)用的授權(quán)；⑶利用SASL機(jī)制實(shí)現(xiàn)Kerberos系統(tǒng)與OpenLDAP系統(tǒng)的結(jié)合，并實(shí)現(xiàn)兩者數(shù)據(jù)庫(kù)的匹配，完成用戶認(rèn)證與應(yīng)用授權(quán)系統(tǒng)的模塊架構(gòu)?？蛻舳刷抛鳛镵erberos系統(tǒng)的客戶端用戶在此登錄，完成用戶認(rèn)證、服務(wù)請(qǐng)求，經(jīng)由認(rèn)證服務(wù)器認(rèn)證后，調(diào)用某種Kerberos化的網(wǎng)絡(luò)應(yīng)用服務(wù)，完成與應(yīng)用服務(wù)器的相互認(rèn)證。⑵作為OpenLDAP目錄服務(wù)系統(tǒng)的客戶端用戶可以對(duì)目錄信息進(jìn)行管理與訪問(wèn)。⑶用戶可以調(diào)用課題所編寫的認(rèn)證接口函數(shù)，完成用戶認(rèn)證與應(yīng)用授權(quán)過(guò)程。2用戶認(rèn)證與授權(quán)方案概述 Linux的安全機(jī)制PAM機(jī)制通常在認(rèn)證時(shí)，實(shí)現(xiàn)認(rèn)證功能的代碼通常作為應(yīng)用程序的一部分而一起編譯，如果發(fā)現(xiàn)所用算法存在某些缺陷或想采用另外一種認(rèn)證方法時(shí)，用戶不得不重寫(修改或替換)、重新編譯原程序。所以希望能夠?qū)⒄J(rèn)證功能從應(yīng)用中獨(dú)立出來(lái)，單獨(dú)進(jìn)行模塊化的設(shè)計(jì)、實(shí)現(xiàn)和維護(hù)；另一方面，希望為認(rèn)證模塊建立標(biāo)準(zhǔn)API，以便各個(gè)應(yīng)用程序能方便的調(diào)用它們所提供的各種功能；同時(shí)認(rèn)證機(jī)制對(duì)其上層用戶(包括應(yīng)用程序和最終用戶)是透明的。應(yīng)此需求，1995年，SUN的研究人員提出可插入式認(rèn)證模塊，目前其已逐漸成為各種UNIX系統(tǒng)上包括Linux操作系統(tǒng)的認(rèn)證方案。層次結(jié)構(gòu)：可插入式認(rèn)證模塊(PAM)機(jī)制采用模塊化設(shè)計(jì)和插件功能，提供有關(guān)執(zhí)行用戶認(rèn)證與賬號(hào)維護(hù)的服務(wù)。其在實(shí)現(xiàn)上采用了分層的體系結(jié)構(gòu)，將各種具體的認(rèn)證模塊從應(yīng)用程序中獨(dú)立出來(lái)，使得認(rèn)證機(jī)制與應(yīng)用程序之間相對(duì)獨(dú)立。從而可以在應(yīng)用程序中根據(jù)需要靈活地插入所需要的認(rèn)證模塊或替換原先的認(rèn)證組件，而不必對(duì)應(yīng)用程序做任何修改。應(yīng)用程序只需調(diào)用應(yīng)用編程接口API即可方便的使用PAM提供的各種認(rèn)證功能，而不必了解太多的底層細(xì)節(jié)。PAM模塊化的體系結(jié)構(gòu)，可以集成范圍廣泛的認(rèn)證機(jī)制，輕易地做到認(rèn)證應(yīng)需而改變，使得軟件的定制、維持和升級(jí)更加輕松。[6]。，PAM API是應(yīng)用程序?qū)优cPAM服務(wù)模塊之間聯(lián)系的紐帶，起著承上啟下的作用。系統(tǒng)管理員通過(guò)PAM配置文件來(lái)制定不同應(yīng)用程序的不同認(rèn)證策略，當(dāng)應(yīng)用程序調(diào)用PAM API時(shí)，加載相應(yīng)的PAM服務(wù)模塊。接著，應(yīng)用程序?qū)拥膮?shù)通過(guò)PAMAPI傳遞給底層的PAM服務(wù)模塊。當(dāng)PAM服務(wù)模塊完成相應(yīng)的認(rèn)證操作之后，將結(jié)果返回給應(yīng)用接口層，然后由PAM API根據(jù)具體的配置文件將此應(yīng)答返回給應(yīng)用程序?qū)印?PAM層次結(jié)構(gòu) 工作原理：應(yīng)用程序?qū)优cPAM服務(wù)模塊通過(guò)PAM API建立聯(lián)系，按照需要調(diào)用相關(guān)的服務(wù)模塊，完成對(duì)某種應(yīng)用程序的認(rèn)證。： PAM工作流程，PAM機(jī)制在運(yùn)行時(shí)，按照?qǐng)D中所標(biāo)示的數(shù)字，依次完成如下步驟：l 用戶調(diào)用某個(gè)應(yīng)用程序，以得到某種服務(wù)；l PAM應(yīng)用程序調(diào)用后臺(tái)的PAM庫(kù)進(jìn)行認(rèn)證工作；l PAM庫(kù)在/etc/， 該文件告訴PAM，此應(yīng)用程序使用何種認(rèn)證機(jī)制；l PAM庫(kù)裝載所需的認(rèn)證模塊；l 上述裝載的認(rèn)證模塊讓PAM與應(yīng)用程序中的會(huì)話函數(shù)進(jìn)行通信；l 會(huì)話函數(shù)向用戶要求有關(guān)信息；l 用戶對(duì)這些要求做出回應(yīng)，提供所需信息；l PAM認(rèn)證模塊通過(guò)PAM庫(kù)將認(rèn)證信息提供給應(yīng)用程序；l 認(rèn)證完成后，應(yīng)用程序做出兩種選擇：將所需權(quán)限賦予用戶，并通知用戶；l 若認(rèn)證失敗，也通知用戶。認(rèn)證機(jī)制目前，網(wǎng)絡(luò)通信主要提供五種通用的安全服務(wù)：認(rèn)證服務(wù)、訪問(wèn)控制服務(wù)、機(jī)密性服務(wù)、完整性服務(wù)和非否認(rèn)性服務(wù)。認(rèn)證服務(wù)是實(shí)現(xiàn)網(wǎng)絡(luò)安全最重要的服務(wù)之一，其他的安全服務(wù)在某種程度上都依賴于認(rèn)證服務(wù)。認(rèn)證包括信息認(rèn)證和身份認(rèn)證。信息認(rèn)證保證了消息源的可靠性和消息在傳輸過(guò)程中的完整性；身份認(rèn)證可以使通信雙方相互驗(yàn)證身份，以保證通信雙方的真實(shí)性。本課程設(shè)計(jì)重點(diǎn)研究Linux的安全機(jī)制用戶身份認(rèn)證機(jī)制，對(duì)其認(rèn)證方式與相關(guān)的認(rèn)證協(xié)議進(jìn)行了詳細(xì)的分析。認(rèn)證機(jī)制主要是認(rèn)證系統(tǒng)所采用的認(rèn)證方式和認(rèn)證協(xié)議，用于安全連接建立前通訊雙方身份的識(shí)別，從而保障接收方接收到的數(shù)據(jù)確實(shí)是由發(fā)送方發(fā)送的。認(rèn)證機(jī)制可以分為兩類：一類是通過(guò)雙方之間的交互式來(lái)證明對(duì)方身份的認(rèn)證機(jī)制。該機(jī)制比較簡(jiǎn)單，可以利用雙方的共享信息，如口令等進(jìn)行身份的認(rèn)證。如果通信雙方?jīng)]有共享信息，可以采用零知識(shí)證明技術(shù)進(jìn)行認(rèn)證。另一類采用可信第三方的認(rèn)證機(jī)制。該機(jī)制中要求至少有一個(gè)可信任的第三方能夠同時(shí)識(shí)別發(fā)送方和接收方?？尚诺谌阶C實(shí)發(fā)送方的身份，并回送一個(gè)證明信息（證書或是票據(jù)），從而保證發(fā)送方身份的真實(shí)性。身份認(rèn)證的本質(zhì)是被認(rèn)證方擁有的一些信息(秘密信息、特殊硬件或特有生物學(xué)信息)，除被認(rèn)證方外，任何網(wǎng)絡(luò)用戶(認(rèn)證權(quán)威除外)都不能偽造。通過(guò)身份認(rèn)證，通信雙方可以相互驗(yàn)證身份，從而保證雙方都能夠與合法的授權(quán)用戶進(jìn)行通信。主要有下面三種認(rèn)證方式：l 口令認(rèn)證方式口令認(rèn)證是一種最簡(jiǎn)單的用戶身份認(rèn)證方式。系統(tǒng)通過(guò)核對(duì)用戶輸入的用戶名和口令與系統(tǒng)內(nèi)已有的合法用戶名和口令是否匹配來(lái)驗(yàn)證用戶的身份?？诹钫J(rèn)證的前提是請(qǐng)求認(rèn)證者必須具有一個(gè)在用戶數(shù)據(jù)庫(kù)中唯