Unix/Linux系统安全技术

一：标识

     Unix的各种管理功能都被限制在一个超级用户中，其功能和WindowsNT的管理员（Administrator）类似。作为超级用户可以控制一切，包括用户账号、文件和目录、网络资源。允许超级用户管理所有的资源的各类变化，或者只管理很小范围的重大变化。例如，每个账号都具有不同用户名、不同的口令和不同的访问权限的一个单独实体。这样就允许你有权授予或拒绝任何用户、用户组合以及所有的用户访问。用户可以生成自己的文件，安装自己的程序等。为了确保次序，系统会分配好用户目录。每个用户都得到一个主目录和一块硬盘空间。这块空间与系统区域和其他用户占用的区域分割开来。这种作用可以防止一般用户的活动影响其他文件系统。进而系统还为每个用户提供一定程度的保密。作为根据可以控制哪些用户能够进行访问及它们可以把文件存放在哪里。控制用户能够访问哪些资源，用户如何进行访问等。

     用户登录到系统中，需要输入用户名标识其身份。在系统内部具体实现中，当该用户的账户创建时，系统管理员便为其分配一个唯一的标识号-----UID。

    系统中的/etc/passwd文件含有全部系统需要知道的关于每个用户的信息（加密后的口令也可能存于/etc/shadow文件中）。/etc/passwd中包含有用户的登录名，经过加密的口令、用户号、用户组号、用户注释、用户主目条和用户所用的shell程序。其中用户号（UID）和用户组号（GID）用于Unix系统唯一地标标识用户和同组用户及用户的访问权限 。系统中超级用户（root）的UID为&每个用户可以属于一个或多个用户组，每个·组由GID唯一标识。

     在大型的分布式系统中，为了统一对用户管理，通常将存于每一台工作站上的口令文件信息存在网络服务器上。

二：鉴别

     用户名是个标识，它高速计算机该用户是谁，而口令是个确认证据。用户·登录系统时，需要输入口令来鉴别用户身份。当用户输入口令时UNIX使用改进的DES算法对其加密，并将结果与存储在/etc/passwd或NIS数据库中的加密用户口令比较，若二者匹配。则说明该用户的登录合法，否则拒绝用户登录。为防止口令被非授权用户盗用，对其设置应以复杂、不可猜测为标准。一个好的口令应当至少有6个字符长，不要取用个人信息和普通的英语单词（因为易遭受字典进发），口令中最好有一些非字母（如数字、标点符号、控制字符等）。用户应定期改变口令，通常，口令以加密的形式表示。由于/etc/passwd文件对任何用户可读，故常成为口令击打的目标。所以系统之中常用shadow文件（/etc/shadow）来存储加密口令，并使其对普通用户不可读。

三：存取控制

       在Unix文件系统中，控制文件和目录中的信息存在磁盘及其他辅助存储介质上。它控制每个用户可以访问何种信息及用户访问，表现为通过一组存取控制规则来确定一个主体是否可以存取一个指定客体。Unix的存取控制机制通过文件系统实现。

3.1存取权限

     命令Is可列出文件（或目录）对系统内的不同用户所给予的存取权限。存取权限位共有9个比特位，分为3组，用于指出不同类型的用户对该文件的访问权限。

     权限有三种：I为允许读，w为允许写，x为允许执行。

     用户有三种类型：owner为该文件的属主，group为该文件所属用用户组中的用户，即同组用户，other为除以上二者外的其他用户。

    用户Is列目录要有读许可，在目录中增删文件要有写许可，进入目录或将该目录路径分量时要有执行许可，因此要使用任一文件，必须有该文件及找到该文件所在路径上所有目录分量的相应许可。仅当要打开一个文件时，文件的许可才开始起作用，而mumv只要有目录的搜索和写许可，并不需要有关文件的许可，这一点应尤其注意。

 一些版本的Unix系统支持访问控制列表（ACL）,如AIX系统。它被用作标准Unix文件存取权限的扩展。ACL提供更完善的文件授权设置，它可以将客体（文件、目录等）存取控制细化到单个用户，而非笼统的“同组用户”或“其他用户”，使你可以为任意组合的用户以及用户组设置文件存取权限。   

    在Unix系统中，每个进程都有真实的UID、真实GID、有效UID及有效GID。

   当进程试图访问文件时，内核将进程的有效的UID、GID和文件的存取权限位中相应的用户和组相比较，决定是否赋予相应的权限是。

3.2改变权限

     改变文件的存取权限可使用chomd命令，并以新权限和该文件命为参数。格式为：

    chomd[-Rfh]存取权限文件名

   chomd也有其他方式的参数可直接对某组参数进行修改，在此不再赘述。合理的文件授权可防止偶软性地覆盖或删除文件（即使是属自己）。改变文件属主和组名可用chown和chgrp,但修改后原属主和组员就无法修改回来了。

   umask(Unix对用户文件模式屏蔽字的缩写)也是一个4位的8进制数，Unix用它确定一个新建文件授权，每一个进程都有一个从它的父进程继承的umask。umask说明对新建的文件或新建目录的默认授权加以屏蔽的部分。

    Unix中相应有umask命令，若将此命令放入用户的profile文件，就能控制该用户后续所建文件的存储许可。umask命令与chomd命令的作用正好相反，它告诉系统在创建文件时不给予什么存取许可。