Linux系統(tǒng)安全機制與可信計算

1、Linux系統(tǒng)安全機制與可信計算知識域：操作系統(tǒng)安全知識子域：操作系統(tǒng)安全基礎(chǔ)了解操作系統(tǒng)的功能及作用理解操作系統(tǒng)的安全設(shè)計機制理解操作系統(tǒng)的安全配置要點2操作系統(tǒng)基本概念什么是操作系統(tǒng)？操作系統(tǒng)是控制其他程序運行，管理系統(tǒng)資源并為用戶提供操作界面的系統(tǒng)軟件的集合連接計算機硬件與上層軟件和用戶之間的橋梁3底層硬件設(shè)備基本輸入輸出系統(tǒng)（BIOS）操 作 系 統(tǒng)應(yīng)用程序操作系統(tǒng)位置計算機系統(tǒng)軟件系統(tǒng)軟件操作系統(tǒng)數(shù)據(jù)庫系統(tǒng)應(yīng)用軟件硬件4操作系統(tǒng)基本組成用戶接口為不同用戶提供操作界面，實現(xiàn)對系統(tǒng)資源的控制進程管理通過分片調(diào)度CPU執(zhí)行周期，實現(xiàn)進程調(diào)度，從而實現(xiàn)多任務(wù)內(nèi)存管理管理和規(guī)劃主機內(nèi)存的使用，

2、為其它模塊提供接口文件系統(tǒng)管理明確磁盤或分區(qū)上的文件數(shù)據(jù)結(jié)構(gòu)，提高文件安全性磁盤管理處理不同的磁盤高度和讀寫請求，保證磁盤的存儲效率設(shè)備管理管理不同的外設(shè)，保證設(shè)備的合理使用和分配5操作系統(tǒng)的功能用戶與計算機硬件之間的接口操作系統(tǒng)為用戶提供了虛擬計算機，把硬件的復(fù)雜性與用戶隔離計算機系統(tǒng)的資源管理者CPU管理存儲管理設(shè)備管理文件管理網(wǎng)絡(luò)與通信管理用戶接口6硬件：CPU、內(nèi)存、硬盤、網(wǎng)絡(luò)硬件等內(nèi)核系統(tǒng)調(diào)用接口用戶進程操作系統(tǒng)安全目標操作系統(tǒng)安全目標標識系統(tǒng)中的用戶和進行身份鑒別依據(jù)系統(tǒng)安全策略對用戶的操作進行訪問控制，防止用戶和外來入侵者對計算機資源的非法訪問監(jiān)督系統(tǒng)運行的安全性保證系統(tǒng)自身的安

3、全和完整性7知識域：操作系統(tǒng)安全8知識子域：Linux系統(tǒng)安全機制理解Linux系統(tǒng)標識與鑒別機制理解Linux系統(tǒng)訪問控制機制理解Linux系統(tǒng)文件安全機制理解Linux系統(tǒng)安全審計實現(xiàn)機制掌握Linux系統(tǒng)安全配置的方法Linux安全基礎(chǔ)9UNIXMinixLinux一些相關(guān)基本概念開源軟件GNUGPLPOSIXLinux發(fā)展過程Linux特點10開放源碼系統(tǒng)穩(wěn)定性能優(yōu)異設(shè)備獨立性安全性強跨平臺兼容性Linux安全機制11用戶帳號和用戶組文件系統(tǒng)遠程登錄進程管理系統(tǒng)日志Linux防火墻用戶帳號和用戶組基本概念用戶身份標識（User ID）組身份標識（Group ID）文件必須有所有者用戶必

4、須屬于某個或多個組用戶與組的關(guān)系靈活（1對多、多對多等都可以）根用戶擁有所有權(quán)限12帳號信息存儲信息存儲用戶信息：passwd與shadow組信息：group與gshadow所在目錄： /etc13用戶帳號文件-passwd14passwd文件特點文本格式全局可讀存儲用戶信息口令加密存放（不可逆DES算法）存儲條目格式name:coded-passwd:UID:GID:userinfo:homedirectory:shell條目例子demo:x:523:100:J.demo:/home/demo:/bin/sh用戶帳號影子文件-shadow15shadow文件特點文本格式僅對root可讀可寫存

5、儲用戶密碼等信息存儲條目格式name:passwd:lastchg:min:max:warn:inactive:expire:flag條目例子root:$1$acQMceF9:13402:0:99999:7:用戶登錄名及加密的用戶口令上次修改口令日期口令兩次修改最小天數(shù)及最大天數(shù)口令失效前多少天向用戶警告被禁止登錄前還有效天數(shù)帳號被禁止登錄時間保留域用戶與組安全管理-驗證文件16驗證用戶文件（PWCK）驗證用戶帳號文件/etc/passwd與/etc/shadow是否一致，例如合法shell、合法目錄等驗證組文件（grpck）正確的域數(shù)目唯一組群標識合法成員和管理員列表用戶與組安全管理-密碼安

6、全17使用安全的密碼安全密碼的特征自己容易記別人不好猜管理好系統(tǒng)管理員密碼良好的密碼習慣一主一備密碼信封保護root帳號18root帳號使用不遠程使用root不直接使用root帳號登陸，使用普通用戶登陸su成為root不要將root shell留在終端上root僅作維護操作，不運行不明程序或其他用戶程序Linux文件系統(tǒng)19文件系統(tǒng)類型Ext4、Ext3、Ext2、ReiserFS、XFS、JFS等文件和目錄對每個文件和目錄設(shè)置訪問權(quán)限文件系統(tǒng)安全20Linux文件類型普通文件（文本文件、二進制文件）目錄文件設(shè)備文件鏈接文件管道文件文件系統(tǒng)目錄結(jié)構(gòu)21/home bin proc usr bo

7、ot lib dev etc varftp ljw linux bin lib man tmp lib log run spool tmp常見目錄用途/binbin是二進制（binaries）的縮寫。許多基本的系統(tǒng)程序都駐留在/bin目錄中。/boot存放啟動Linux時使用的一些核心文檔,如 vmlinuz等。/dev用ls -F命令可以列出/dev目錄中的內(nèi)容。該目錄下是一些稱為設(shè)備驅(qū)動程序的特殊文件，用于訪問系統(tǒng)資源或設(shè)備，如軟盤、硬盤、CD-ROM、調(diào)制解調(diào)器、系統(tǒng)內(nèi)存等。有了這些文件，用戶可以像訪問普通文件一樣方便地訪問系統(tǒng)中的物理設(shè)備。例如，當用戶要從一個文件中讀數(shù)據(jù)時，可以通過調(diào)

8、用/dev/mouse文件從鼠標器讀取輸入信息。在/dev目錄下，各種設(shè)備所對應(yīng)的特殊文件以一定的規(guī)則命名。例如，/dev/fd0文件指第一個軟驅(qū)，/dev/fdl指第二個軟驅(qū)，/dev/hda指第一個硬盤，而/dev/hdal指的是/dev/hda的第一個分區(qū)，如此類推。/etc包含系統(tǒng)管理所需要的大量配置文件和子目錄，例如口令文件/etc/passwd、系統(tǒng)初始化腳本文件/etc/rc等。該目錄是系統(tǒng)中最重要的目錄之一。 /home包含所有用戶的個人主目錄。通常，用戶的個人主目錄以它的名字來命名，例如/home/yang是用戶yang的個人目錄。在新安裝的Linux系統(tǒng)中，/home目錄中

9、可能沒有任何用戶。/lib該目錄包含動態(tài)鏈接共享庫的文件映象，這些文件為眾多程序提供了共享代碼。使用庫文件，可以縮小可執(zhí)行文件的尺寸，節(jié)省系統(tǒng)空間。22常見目錄用途/lost+found這是一個空目錄，只有當文件系統(tǒng)發(fā)生故障時，才用來存放找不到正確存儲位置的文件。/mnt用戶可以在該目錄下臨時掛裝其它文件系統(tǒng)，如在使用CD-ROM時，就要把CD-ROM文件掛裝在該目錄下。/proc這是Linux系統(tǒng)提供的一個“虛擬文件系統(tǒng)”，其中的文件都存放在內(nèi)存中，而不是存放在磁盤中。它們指向在系統(tǒng)中正在運行的各個進程，以便用戶可以隨時訪問程序的運行信息。給用戶提供方便的接口。/root超級用戶的主目錄/s

10、bin 專門用來存儲系統(tǒng)管理員使用的可執(zhí)行文件，如mount、linuxconf等等。 /tmp程序執(zhí)行時會產(chǎn)生一些臨時信息，系統(tǒng)把這些臨時信息存放在一個暫時文件中，這個臨時文件就放在/tmp目錄下。/usr這是一個非常重要的目錄，它包括許多子目錄。有些子目錄用來存放系統(tǒng)的配置文件和重要的大型軟件包程序。前面討論到的各目錄對系統(tǒng)的操作來說是最基本的，而在/usr中許多內(nèi)容是可以任選的。如果沒有/usr目錄，系統(tǒng)中將只有cp、1s等程序，這樣的系統(tǒng)會非常難用/var該目錄用來容納大小經(jīng)常發(fā)生變化或打算進一步擴充的目錄或文件。例如，文件/var/adm中包含著系統(tǒng)管理員感興趣的內(nèi)容，特別是系統(tǒng)日志

11、，它記錄了系統(tǒng)的所有錯誤或問題。23文件/目錄權(quán)限基本概念權(quán)限類型：讀、寫、執(zhí)行權(quán)限表示方式：模式位drwxr-xr-x 3 root root 1024 Sep 13 11:58 test文件系統(tǒng)的權(quán)限24文件權(quán)限模式數(shù)學字表示25文件所有者文件所在組其它人權(quán)限文件、目錄隱含模式26rwxr-xr-xSticky（防刪除位）sgidsuidrwxr-xr-x111rwsr-sr-t-r-s-x-x 1 root root 10704 Apr 15 2002 /usr/bin/passwd SUID程序1. chmod 改變文件權(quán)限設(shè)置。2. chgrp 改變文件的分組。3. chown 改變

12、文件的擁有權(quán)。4. chattr 設(shè)置文件屬性文件權(quán)限修改命令使用chmod命令修改文件權(quán)限:chmod 666 myfilechmod 1777 /tmp使用umask命令設(shè)置文件默認權(quán)限umask 022umask 077設(shè)置sticky位27遠程登錄安全28telnet - sshSSH#service sshd start設(shè)置能夠登錄本機的IP地址/etc/ssh/sshd_config禁止root用戶遠程登陸限定信任主機屏蔽登錄banner信息Linux進程安全29進程基本概念進程類型交互進程批處理進程守護進程進程模式用戶模式內(nèi)核模式進程狀態(tài)運行態(tài)、等待態(tài)、停止態(tài)、僵死態(tài)守護進程30

13、守護進程的概念在后臺運行，無終端或shell結(jié)合守護進程啟動方式引導(dǎo)系統(tǒng)是啟動手工從shell啟動使用crond守護進程啟動重要守護進程Apmd 高級電源管理Xinetd 支持多種網(wǎng)絡(luò)服務(wù)的核心守護程序Linux進程安全管理31進程的執(zhí)行手工執(zhí)行自動執(zhí)行資源空虛時執(zhí)行周期性執(zhí)行進程資源限制限制進程創(chuàng)建大型文件限制單個用戶調(diào)用的最大子進程個數(shù)Linux日志管理32Linux日志類型連接時間日志進程統(tǒng)計錯誤日志應(yīng)用程序日志日志文件注釋Access-log記錄http/web連接Acct/pcct記錄用戶命令Boot.log記錄開機自檢過程信息lastlog最近成功登錄和不成功登錄message從

14、syslog中記錄信息sudolog記錄sudo發(fā)出的命令sulog記錄su命令的使用syslog從 syslog中記錄信息utmp記錄當前登錄用戶信息wtmp用戶每次登錄進入和退出時間xferlogftp會話信息maillog記錄電子郵件活動信息Linux日志安全管理33保護日志文件日志文件權(quán)限設(shè)置審查日志中不正常情況非常規(guī)時間登錄日志殘缺Su的使用服務(wù)的啟動情況使用syslog設(shè)備Syslog.conf設(shè)置使用syslog日志服務(wù)器Linux防火墻34Linux下的防火墻框架iptables包過濾NAT數(shù)據(jù)包處理Iptables基本規(guī)則Iptables -t table command m

15、atchtargetIptables基本應(yīng)用Iptables A INPUT s j ACCEPTIptables D INPUT dport 80 j DROP知識域：操作系統(tǒng)安全知識子域：安全操作系統(tǒng)和可信計算了解安全操作系統(tǒng)的發(fā)展了解SELinux主要特點了解可信計算技術(shù)及發(fā)展35安全操作系統(tǒng)概念操作系統(tǒng)安全安全設(shè)置安全增強安全操作系統(tǒng)可信計算機系統(tǒng)評價標準（Truested Computer Security Evaluation Critria，TCSEC）可信操作系統(tǒng)36安全操作系統(tǒng)研究概況1965年，Multics1973年，安全模型BLP模型：信息的保密性Biba模型：信息的完

16、整性1969年，Adept-501986年，SeeureXeniX，B21987年，TMach(TrustedMach)，B3近年來Trusted BSDSELinuxAppArmor37SELinux簡介SELinux安全增強Linux（Security Enhanced Linux）安全子系統(tǒng)強制訪問控制（MAC）美國國家安全局開發(fā)以GNU GPL形式開源發(fā)布38SELinux主要特點強制訪問控制Mandatory Access Control最小特權(quán)限定進程訪問最小資源RBAC用戶按角色賦予最小權(quán)限運行模式強制模式（enforcing）警告模式（permissive）關(guān)閉模式（disab

17、led）3940可信計算技術(shù)的產(chǎn)生可信計算技術(shù)的思想起源于安全啟動的研究安全啟動的基本思想：將系統(tǒng)分解為一系列實體，在啟動運行時，檢查實體的完整性早期較有代表性的研究40時間安全啟動系統(tǒng)簡介1990Tripwire系統(tǒng) 使用軟件手段確保UNIX系統(tǒng)的完整性1994BITS （ Boot Integrity Token System ）使用智能卡實現(xiàn)安全啟動，用口令認證用戶，主機和智能卡之間通過共享秘密認證，主機計算出完整性度量值和存儲在智能卡的值比較實現(xiàn)安全啟動；1997AEGIS系統(tǒng) Arbaugh在該安全啟動系統(tǒng)中基于這樣的公理：BIOS的初始化是可信的，一個組件被另一個可信組件檢測驗證后

18、也是可信的。41可信計算平臺在計算機主版上嵌入一個獨立的TPM芯片，以增強系統(tǒng)的安全。41TPM（Trusted Platform Module） 可信平臺模塊42可信計算平臺的基本思想從行為的角度理解可信：一個實體是可信的，如果它的行為總是以所期望的方式運行。實現(xiàn)：首先建立一個信任根。信任根的可信性由物理安全和管理安全確保。 再建立一條信任鏈。從信任根開始到硬件平臺、到操作系統(tǒng)、再到應(yīng)用，一級認證一級，一級信任一級。從而把這種信任擴展到整個計算機系統(tǒng)42可信計算平臺模塊TPM它由CPU、存儲器、I/O、密碼運算器、隨機數(shù)產(chǎn)生器和嵌入式操作系統(tǒng)等部件組成。TPM本身就是一個小的計算機系統(tǒng)，一般

19、是一種片上系統(tǒng)SOC（System on Chip）,而且它應(yīng)當是物理可信和管理可信的。TPM采用證書技術(shù)，用戶與TPM通過證書認證來確認相互的身份。TPM能實現(xiàn)加解和解密，數(shù)字簽名和驗證43TPM的基本結(jié)構(gòu)44密鑰產(chǎn)生執(zhí)行引擎I/O非易失存儲器電源檢測隨機數(shù)產(chǎn)生器Opt-LnSHA-1引擎HMAC引擎密碼協(xié)處理器易失存儲器信任鏈信任根：TPM從信任根開始到硬件平臺、到操作系統(tǒng)、再到應(yīng)用，一級認證一級，一級信任一級。45可信支撐軟件（TSS）TSS是在TPM平臺上的支撐軟件為其他軟件提供方便和統(tǒng)一使用TPM的接口4647應(yīng)用程序本地應(yīng)用服務(wù)提供者（TSP）遠程應(yīng)用服務(wù)提供者（TSP）RPC客戶

20、RPC服務(wù)TSS 核心服務(wù)層 （TCS）設(shè)備驅(qū)動庫（TDDL）TPM設(shè)備驅(qū)動可信平臺模塊（TPM）核心模式系統(tǒng)進程模式用戶進程模式可信平臺體系結(jié)構(gòu)47可信計算平臺的主要作用48可信計算平臺能夠保護數(shù)據(jù)存儲區(qū)域，避免敵手直接從物理上訪問到機密數(shù)據(jù)存儲區(qū)。能夠保證系統(tǒng)運行的環(huán)境是沒有被篡改的，所有的代碼能夠執(zhí)行于一個未被篡改的運行環(huán)境。49可信計算組織的產(chǎn)生與發(fā)展49TCG的主要任務(wù)組織簡介一個非盈利的工業(yè)標準組織宗旨是加強不同計算環(huán)境的安全性 任務(wù)定義、開發(fā)、推廣一套開放的、系統(tǒng)的可信計算規(guī)范提供一整套可信計算安全技術(shù)規(guī)范硬件構(gòu)建模塊和通用的軟件接口設(shè)計多平臺，多外設(shè)的可信計算環(huán)境50可信計算平

21、臺規(guī)范5152中國可信計算技術(shù)發(fā)展之路各方努力發(fā)展思路與TCG可信計算技術(shù)的區(qū)別我國可信計算技術(shù)5253起步：2003到2004年2006年11月3日，可信計算密碼專項組在國家密碼管理局的支持下正式組建。2007年7月，專項組召開國產(chǎn)自主可信計算技術(shù)與產(chǎn)業(yè)狀況匯報演示會。2007年7月，專項組召開了可信計算密碼技術(shù)與產(chǎn)品進展匯報會。2007年12月20日，專項組召開了打造中國可信計算DNA中國自主可信計算產(chǎn)品聯(lián)合發(fā)布會，對外發(fā)布了由中國首次自主研發(fā)和自主創(chuàng)新的可信計算系列產(chǎn)品。2007年12月29日，國家密碼管理局正式頒布可信計算密碼支撐平臺功能與接口規(guī)范。2008年4月，聯(lián)想、同方、長城、方正的可信計算機陸續(xù)上市。2008年12月，可信計算密碼專項組正式更名為中國可信計算工作組(TCMU)。我國可信計算技術(shù)發(fā)展歷程5354中國可信計算工作組TCMU成員5455政府：在各個重要科技和產(chǎn)業(yè)計劃中都已將可信計算技術(shù)的研究與應(yīng)用列入重點；學術(shù)界：針對TPM/TCP、遠程證明、可信計算測評、信任鏈構(gòu)建技術(shù)、關(guān)鍵技術(shù)標準等方面都在積極開展研究工作；產(chǎn)業(yè)界：積極研究各種基于TCM的安全解決方案；國家密碼管理局和