科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航



ZDNet>网络频道>ZD评测>Linux安全小谈 (3)

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

PAM是一套共享库,它提供了一个框架和一套编程接口,把认证工作从程序员那里转到ADMIN那里。

来源: 2007年10月16日

关键字:安全 Linux

  PAM是一套共享库,它提供了一个框架和一套编程接口,把认证工作从程序员那里转到ADMIN那里。PAM允许ADMIN在多种认证方式之间进行选择,能够改变本地的认证方法而不需要重新编译有关认证的应用程序。

  PAM包括如下功能:

  ◆加密口令

  ◆允许随意Shandow口令

  ◆对用户进行资源限制以防止DOS攻击

  ◆限制用户在特定时间内从特定地点登陆

  ◆引入概念“clientplug-inagents”,使PAM支持C/S应用中的机器——机器认证成为可能。

  PAM机制为一些更高级的认证方法提供了便利的基础,在此基础上很容易开发出例如智能卡,指纹识别认证等高技术认证方法。

  入侵检测系统(IDS)

  这是一种比较新的技术,现在的服务器很少有安装IDS系统的,LINUX也只有最近发布的新版本才陪上这种工具。管入侵检测系统的历史很短,但发展却很快,目前比较流行的入侵检测系统有Snort、Portsentry、Lids等。(以后我会为大家专门介绍入侵检测系统)

  利用LINUX本身配备的工具和从INTERNET上DOWN下的工具,可以使LINUX系统具备高级的入侵检测能力,这些能力包括:

  ◆记录入侵企图,当攻击发生时及时通知管理员;

  ◆在规定情况的攻击发生时,采取事先规定的措施;

  ◆发送一些错误信息,比如伪装成其他*作系统,这样攻击者会认为他们正在攻击一个WindowsNT或Solaris系统。(我们可不可以说这是一种网络欺骗技术呢?)

  加密文件系统

  加密文件系统就是将加密服务引入文件系统,从而提高计算机系统的安全性。有太多的理由需要加密文件系统,比如防止硬盘被偷窃、防止未经授权的访问等。目前开发的LINUX中已经有多种加密文件系统,例如CFS、TCFS、CRYPTFS等,其中比较有代表性的是TCFS,

  它通过将加密服务和文件系统紧密集成,使用户感觉不到文件的加密过程。TCFS不修改文件系统的数据结构,备份与修复以及用户访问保密文件的语义也不变。TCFS可以作到让以下用户不可读加密文件:

  ◆合法拥有者以外的用户;

  ◆用户和远程文件系统通信线路上的偷听者;

  ◆文件系统服务器的超级用户。

  对于合法用户,访问保密文件与访问普通文件几乎没有区别。

  安全审计

  即使系统管理员十分精明地采取了各种安全措施,但是新漏洞是层出不穷的,攻击者在漏洞被修补之前会迅速抓住机会攻破尽可能多的机器。虽然LINUX不能预测何时主机会受到攻击,但是它可以记录攻击者的行踪。LINUX系统也可以进行检测、记录时间信息和网络连接情况。这些信息将被重定向到日志中备查。日志是Linux安全结构中的一项非常重要的内容,它是提供攻击发生的唯一真实的证据(入侵者往往删除或者伪造日志也就是这个原因)。因为现在的攻击方法多种多样,所以Linux提供网络、主机和用户级的日志信息。LINUX可以记录以下内容:

  ◆记录所有系统和内核信息;

  ◆记录远程用户申请访问哪些文件;

  ◆记录用户可以控制哪些进程;

  ◆记录具体用户使用的每条命令;

  ◆记录每一次网络连接和它们的源IP地址、长度,有时还包括攻击者的用户名和使用的*作系统。

  强制访问控制

  强制访问控制(MAC,这个MAC可不是以台技术里的MAC,大家一定要分清楚),是一种由系统管理员从全系统的角度定义和实施的访问控制,它通过标记系统中的主客体,强制性地限制信息的共享和流动,使不同的用户只能访问到与其有关的、指定范围的信息,从根本上防止信息的失泄密和访问混乱的现象。

  传统的MAC实现都是基于TCSEC中定义的MLS策略,但因MLS本身存在着不少缺点(不灵活、兼容性差、难于管理等),研究人员已经提出了多种MAC策略,如DTE、RBAC等。由于LINUX是一种自由*作系统,目前在其上实现强制访问控制的就有好几家,其中比较典型的包括SElinux、RSBAC、MAC等,采用的策略也各不相同。

  NSA推出的SELinux安全体系结构称为Flask,在这一结构中,安全性策略的逻辑和通用接口一起封装在与*作系统独立的组件中,这个单独的组件称为安全服务器。SELinux的安全服务器定义了一种混合的安全性策略,由类型实施(TE)、基于角色的访问控制(RBAC)和多级安全(MLS)组成。通过替换安全服务器,可以支持不同的安全策略。SELinux使用策略配置语言定义安全策略,然后通过checkpolicy编译成二进制形式,存储在文件/ss_policy中,在内核引导时读到内核空间。这意味着安全性策略在每次系统引导时都会有所不同。策略甚至可以通过使用security_load_policy接口在系统*作期间更改(只要将策略配置成允许这样的更改)。

  RSBAC的全称是RuleSetBasedAccessControl(基于规则集的访问控制),它是根据Abrams和LaPadula提出的GeneralizedFrameworkforAccessControl(GFAC)模型开发的,可以基于多个模块提供灵活的访问控制。所有与安全相关的系统调用都扩展了安全实施代码,这些代码调用中央决策部件,该部件随后调用所有激活的决策模块,形成一个综合的决定,然后由系统调用扩展来实施这个决定。RSBAC目前包含的模块主要有MAC、RBAC、ACL等。

  防火墙

  防火墙是在被保护网络和因特网之间,或者在其他网络之间限制访问的一种部件或一系列部件。LINUX的防火墙有以下功能:

  ◆访问控制,可以执行基于地址,时间和用户的访问控制策略,从而可以杜绝非授权的访问,同时保护内部用户的合法访问不受影响。

  ◆审计,对通过它的网络访问进行记录,建立完备的日志、审计和追踪网络访问记录,并可以根据需要产生报表。

  ◆抗攻击,防火墙系统直接暴露在非信任网络中,对外界来说,受到防火墙保护的内部网络如同一个点,所有的攻击都是直接针对它的,该点称为堡垒机,因此要求堡垒机具有高度的安全性和抵御各种攻击的能力。

  ◆其他附属功能,如与审计相关的报警和入侵检测,与访问控制相关的身份验证、加密和认证,甚至VPN等

  ########################################################################

补上一篇作为对PAM机制的深入了解:
使用PAM进行统一身份的认证
PAM是PLUGGABLEAUTHENTICATIONMODULES的缩写.可插入的认证模块(并不是Linux指的模块)用于实现应用程序的认证机制,是程序员或管理员不需要重新编写或编译程序就可以改变认证机制.
在linux它已经被广泛的应用了,例如:/etc/securitty/etc/onlogin/etc/ftpusers实际上都是给它用的.你在登陆的时候的输入密码和你修改密码时也都用的是它./etc/pam.conf和/etc/pam/*都是它的配置文件.
它最大的优点是它的弹性和可扩充性.你可以随意修改认证机制,按你的实际需要来定制系统.你了解后就会非常清楚了.
DESIGNGOALS(设计目标)
(a)管理员可以选择认证方式,从简单的密码到智能卡系统.
(b)可以为不同的程序配置不同的认证机制.如使telnet使用S/Key认证.
而本机的login缺使用一般的UNIXpassword.
(c)支持程序的显示方式的需求.如login需要基于终端的显示,而dtlogin
需要X显示,而`ftp'和`telnet'需要透过网络来认证.
(d)支持为一个程序配置同时使用多种认证机制.
(e)可是用户在使用多种认证机制时,不必为同一个密码敲入多次.
(f)可是用户在认真时需要输入多个密码.
(g)当底层的认证机制改变时上层软件不需要修改.
(h)结构为systemauthentication提供一个_pluggable_model.
(i)必须能满足现有的服务需要.
4.OVERVIEWOFTHEPAMFRAMEWORK(纵览PAM的框架)其核心实际上是一些库函数.你写的应用程序要调用它们.PAM为你提供了一套入口(thefrontend).而这套函数互调用特定认证机制所定义的模块
(thebackend).
简单的说是这样的:你调用一个函数仅仅告诉它你要认正,这就足够了.至于用那一种机制来认证是由配置文件规定的.你只需要看一看返回值就知道认证是否成功了.对于开发应用程序的人来说只需要记住几个函数.
ftptelnetlogin(Applications)
|||
|||
+--------+--------+
|
+-----+-----+
|PAMAPI|<--pam.conffile
+-----+-----+
|
+--------+--------+
UNIXKerberosSmartCards(Mechanisms)

Figure1:基本的PAM结构PAM的功能被分为四个部分:(1)authentication(认证),(2)account(账号管理),(3)session(对话管理),和(4)password(密码管理).这四个东东都是什么呢?
(a)Authenticationmanagement:
包括`pam_authenticate()'来认证用户,`pam_setcred()'来设置刷新和销毁用户的credentials.
(b)Accountmanagement:
包括`pam_acct_mgmt()'来检查用的账号是否还有效.可以被用来检查用户是否超时或账号是否过期.
(c)Sessionmanagement:
包括`pam_open_session()'和`pam_close_session()'用于对话过程的管理.例如:可以用来纪录用户的连接时间.一次telnet过程实际上也是一个session.
(d)Passwordmanagement:`pam_chauthtok()'用来修该密码.
程序通过调用
推广二维码
邮件订阅

如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

重磅专题