安全操作系統(tǒng)-wenkub.com
2025-07-15 21:44 本頁面
【正文】 ? 基本思想： 1）普通用戶沒有任何特權(quán)，超級(jí)用戶擁有系統(tǒng)內(nèi)所有的特權(quán) 2）當(dāng)進(jìn)程要進(jìn)行某特權(quán)操作時(shí)，系統(tǒng)檢查進(jìn)程所代表的用戶是否為超級(jí)用戶，即檢查進(jìn)程的 UID是否為 0 3）當(dāng)普通用戶的某些操作涉及特權(quán)操作時(shí)，通過 setuid/setgid來實(shí)現(xiàn) ? 缺點(diǎn)： ?容易被 hacker利用 ? 從 ， Linux內(nèi)核中實(shí)現(xiàn)了基于權(quán)能的特權(quán)管理機(jī)制 基于權(quán)能的特權(quán)管理機(jī)制 ? 基本思想：（以 ） 1）使用權(quán)能分割系統(tǒng)內(nèi)的所有特權(quán)，使同一類敏感操作具有相同的權(quán)能 2）普通用戶及其 shell沒有任何權(quán)能，而超級(jí)用戶及其 shell在系統(tǒng)啟動(dòng)之初擁有所有權(quán)能 3）在系統(tǒng)啟動(dòng)后，系統(tǒng)管理員為了系統(tǒng)的安全可以剝奪超級(jí)用戶的某些特權(quán)，并且該剝奪過程是不可逆的。為空則永久可用 9. 保留字段 ?HomeWork: ?請找到自己安裝的 Linux系統(tǒng)中的 /etc/passwd文件，對(duì)照上述條目說明，分析自己當(dāng)前所登錄賬戶的相關(guān)信息 Linux身份標(biāo)識(shí)和驗(yàn)證 ?Linux系統(tǒng)的登錄過程 ?Linux的主要帳號(hào)管理文件 ?PAM安全驗(yàn)證機(jī)制 PAM安全驗(yàn)證機(jī)制 ?Pluggable Authentication Modules，是 SUN提出的一種驗(yàn)證機(jī)制，最初集成在 Solaris系統(tǒng)中 ?目前已經(jīng)移植到 ?Linux， SunOS， HPUX ?目的：提供一個(gè)框架和一套編程接口，將認(rèn)證工作由程序員交給管理員 ?允許管理員在多種認(rèn)證方法之間做出選擇， ?能夠改變本地認(rèn)證方法而不需要重新編譯與認(rèn)證相關(guān)的應(yīng)用程序 ?以共享庫的形式提供 PAM的組成 ? PAM API ? PAM SPI ? PAM 庫 ? PAM配置文件 服務(wù)程序 各種認(rèn)證手段 ?功能包括： ?加密口令（包括 DES和其他加密算法） ?對(duì)用戶進(jìn)行資源限制，防止 DOS攻擊 ?允許隨意 Shadow口令 ?限制特定用戶在指定時(shí)間從指定地點(diǎn)登錄 ?引入概念“ client plugin agents”，使 PAM支持 C/S應(yīng)用中的機(jī)器 Linux PAM ?主頁： ?最新版本為 ?下載地址： Linux/UNIX安全技術(shù) ?Linux身份驗(yàn)證 ?Linux訪問控制 ?Linux網(wǎng)絡(luò)服務(wù)安全 ?Linux備份 /恢復(fù) ?Linux日志系統(tǒng) ?Linux內(nèi)核安全技術(shù) ?安全 Linux服務(wù)器配置參考 Linux的訪問控制 ?Linux基于權(quán)限字的文件系統(tǒng)訪問控制 ?Linux的訪問控制表 ACL Linux基于權(quán)限字的文件系統(tǒng)訪問控制 ?在 Linux中，所有的活動(dòng)都可以看成是主體對(duì)客體的一系列操作 ?客體：一種信息實(shí)體，或是從其他主體 /客體接受信息的實(shí)體 ?如文件、內(nèi)存、進(jìn)程消息、網(wǎng)絡(luò)包或者 I/O設(shè)備 ?主體：一個(gè)用戶或者代表用戶的進(jìn)程，它引起信息在客體之間的流動(dòng) ?訪問控制機(jī)制： 控制系統(tǒng)中的主體對(duì)客體的讀、寫和執(zhí)行等各種訪問 ? Linux采用一種比較簡單的訪問控制機(jī)制 傳統(tǒng) UNIX的基于訪問權(quán)限位的單一的自主訪問控制 Linux中自主訪問控制機(jī)制的基本思想 1. 系統(tǒng)中每個(gè)主體都有唯一的 UID，并且總是屬于某一個(gè)用戶組，而每個(gè)用戶組有唯一的 GID ? 由超級(jí)用戶或授權(quán)用戶為系統(tǒng)內(nèi)的用戶設(shè)定，保存在 /etc/passwd文件中 ? 通常情況下，代表用戶的進(jìn)程繼承用戶的 uid和 gid ? 用戶登錄并進(jìn)入第一個(gè) shell時(shí)，該用戶的 uid和 gid就被設(shè)置到該 shell進(jìn)程的 task_struct中，此后的進(jìn)程按照繼承規(guī)則繼承 uid和 gid（除非 SETUID） 2. 對(duì)客體的訪問權(quán)限： r/w/x 三種。 ?由于普通用戶無法得到加密后的口令，提高了系統(tǒng)的安全性 ?/etc/passwd文件中每行內(nèi)容 9個(gè)字段，也以冒號(hào)分隔 1. 登錄帳號(hào)，與 /etc/passwd中的登錄帳號(hào)對(duì)應(yīng) 2. 密文。 安全操作系統(tǒng) 中國科學(xué)技術(shù)大學(xué)計(jì)算機(jī)系 陳香蘭（ 0512－ 87161312
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1