UNIX平台主机访问安全控制方案

UNIX 主机访问安全控制方案主机访问安全控制方案 2 目录目录 1文档介绍文档介绍 4 1 1摘要 4 2需求概述需求概述 5 3实施方案实施方案 6 3 1限制用户方法 6 3 1 1HP的实现方法 6 3 1 2IBM的实现方法 7 3 1 3Linux的实现方法 8 3 2对主机的控制访问 9 3 2 1HP的实现方法 9 3 2 2IBM的实现方法 9 3 2 3Linux的实现方法 11 3 3设置密码规范 11 3 3 1HP的实现方法 11 3 3 2IBM的实现方法 13 3 3 3Linux的实现方法 15 3 4锁定系统默认账号 15 3 4 1HP的实现方法 15 3 4 2IBM的实现方法 15 3 4 3Linux的实现方法 16 3 5超时设置 16 3 5 1HP的实现方法 16 3 5 2IBM的实现方法 16 3 5 3Linux的实现方法 16 3 6Umask 16 3 6 1HP的实现方法 17 3 6 2IBM的实现方法 17 3 6 3Linux的实现方法 17 3 7不用服务端口关闭及检测方法 17 3 7 1HP的实现方法 17 3 7 2IBM的实现方法 19 3 7 3Linux的实现方法 19 3 8关闭图形登陆服务 19 3 8 1HP的实现方法 19 3 8 2IBM的实现方法 19 3 8 3Linux的实现方法 19 3 9启用 SSH 代替不安全的 telnet 远程访问方式 19 3 9 1HP的实现方法 19 3 3 9 2IBM的实现方法 20 3 9 3Linux的实现方法 21 3 10设置信任模式及影响 21 3 10 1 HP的实现方法 21 3 10 2 IBM的实现方法 22 3 10 3 Linux的实现方法 22 3 11一些特殊的密码管理方法 22 3 11 1 HP的实现方法 22 3 11 2 IBM的实现方法 22 3 11 3 Linux的实现方法 23 附件 附件 HP 平台信任模式概述平台信任模式概述 24 一 关于 trust system 24 二 如何判断系统是否是 trust system 24 4 1文档介绍文档介绍 1 1摘要摘要 本文档详细描述了 IBM 和 HP 小型机及 Linux 服务器实现访问控制的详细步骤和方案 在此将三家 公司对同一需求的实现方法放在同一处 这样便于比较这三者的异同 可能对于学习研究几种不同的 UNIX 系统较有裨益 HP 的实施方法 在没有特别说明的情况下 均可在非信任模式下实现 提及 Linux 均指 SuSE Linux 5 2需求概述需求概述 要求对承载关键业务系统的小型机访问控制如下 远程用户不能通过 root 用户直接访问主机 只能在 console 平台下使用 root 用户 限制只有 某个普通用户 比如 sm01 可以通过 su 的方法登陆 root 用户 限制或允许只有某些固定的 IP 地址可以访问某台小型机 设置密码规范 格式如下 密码格式 由数字 字母和符号组成 无效登录次数 6 次无效登录 历史密码记忆个数 8 12 个 密码修改期限 90 天 密码长度 最小 6 位 锁定系统默认账号 对系统默认帐号 例如 daemon bin sys adm lp smtp uucp nuucp listen nobody noaccess guest nobody lpd 进行锁定 超时设置 2 分钟超时设置 Umask 超级用户 027 一般用户 022 不用服务端口关闭 在 etc services 和 etc inetd conf 里 对不用的服务端口关闭 包括 FTP www telnet rsh 和 rexec 关闭图形登陆服务 dtlogin 关闭 启用 SSH 代替不安全的 telnet 远程访问方式 安装所需软件包 配置并启用 SSH 6 3实施方案实施方案 3 1 限制用户方法限制用户方法 UNIX 系统中 计算机安全系统建立在身份验证机制上 如果用户帐号口令失密 系统将会受到侵 害 尤其在网络环境中 后果更不堪设想 因此限制用户 root 和其他用户远程登录 对保证计算机系 统的安全 具有实际意义 3 1 1HP 的实现方法的实现方法 一 限制 root 用户通过 telnet 登录 echo console etc securetty 二 限制 root 用户通过 ssh 登录 编辑 opt ssh etc sshd config PermitRootLogin no 重启 sshd sbin init d secsh stop sbin init d secsh start 需要注意的是 设置后 root 将不能远程使用 telnet ssh 登录 因此在设置之前应进行良好 的规划 对现有系统的影响 对于系统及应用软件的运行没有任何影响 但 root 用户不能通过远程方 式登录 只能通过终端在本地登录 三 限制普通用户通过 telnet 登陆主机 1 创建 etc NOTLOGIN 文件 在文件中加入要限制的用户名 每一行一个用户名 2 在 etc profile 中加入 NAME1 grep LOGNAME etc NOTLOGIN NAME2 logname if NAME1 NAME2 then echo You are not allowed to login in exit 7 fi 需要说明的是 这种方法对 Xmanage 等 Xwindow 图形登陆软件无效 对现有系统的影响 对于系统及应用软件的运行没有任何影响 但所有用户不能通过远程方式 登录 只能通过终端在本地登录或使用 SSH 软件进行远程登录 四 限制只有 sm01 用户可 su 到 root root 执行以下脚本 groupadd g 600 suroot useradd u 600 g suroot G suroot d home sm01 s usr bin sh sm01 passwd sm01 echo SU ROOT GROUP suroot etc default security echo console etc securetty 对现有系统的影响 对于系统及应用软件的运行没有任何影响 三 限制某个用户通过 ftp 登录主机 编辑 etc ftpd ftpusers 文件 在新行中输入该用户的名称即可 在 HP UX 11 x 之前 该 文件名称为 etc ftpusers 对现有系统的影响 对于系统及应用软件的运行没有任何影响 最好的方法是在 etc inetd conf 中将该服务屏蔽 远程文件传输可通过 SSH 替代 3 1 2IBM 的实现方法的实现方法 一 限制 root 用户通过 telnet rlogin 登录 chuser rlogin false root 同样的方法可限制普通用户 二 限制只有 sm01 用户可 su 到 root 1 指定 sm01 用户属于临时创建的 admin 用户组 chuser groups admin sm01 2 指定能 su 到 root 的用户组 由于 admin 组只有一个名为 sm01 的用户 则仅有 sm01 能 su 到 root chuser subgroups admin root 3 以上可用脚本实现 8 mkgroup id 600 admin mkuser id 600 groups admin home home sm01 shell usr bin ksh sm01 passwd sm01 chuser sugroups admin root 三 限制某个用户通过 ftp 登录主机 编辑 etc ftpusers 文件 在新行中输入该用户的名称即可 3 1 3Linux 的实现方法的实现方法 一 限制 root 用户通过 telnet 登录 默认 suse linux 是不允许 root 用户远程 telnet 的 二 限制 root 用户通过 ssh 登录 编辑 etc ssh sshd config PermitRootLogin no 重启 sshd etc init d sshd reload 需要注意的是 设置后 root 将不能远程使用 telnet ssh 登录 因此在设置之前应进行良好 的规划 三 限制普通用户通过 ssh 登陆主机 修改 etc ssh sshd config 配置 AllowGroup 或者 AllowUsers 位于这个选项里 面的组或用户才可以 ssh 重启 sshd 服务 在 etc init d 下执行 sshd reload 需要说明的是 这种方法对 Xmanage 等 Xwindow 图形登陆软件无效 四 限制只有 sm01 用户可 su 到 root sm01 用户属于 wheel 组 编辑 etc pam d su 文件 加入如下几行 auth required lib security pam wheel so use uid 所有属于 wheel 组的用户可以 su 到 root 用户 三 限制某个用户通过 ftp 登录主机 编辑 etc ftpusers 文件 在新行中输入该用户的名称即可 9 3 2 对主机的控制访问对主机的控制访问 对于某关键业务系统主机 只允许或限制某几个 IP 地址访问该系统主机 3 2 1HP 的实现方法的实现方法 允许 telnet rlogin 等服务访问某个主机 修改 var adm inetd sec 文件 在该文件中的每一行 包含一个服务名称 权限域 容许或者拒绝 Internet 地址或者主机的名称或网络名称 该文件中的每项格式如下 例如 telnet allow 10 3 5 192 34 56 5 ahost anetwork 上面的该语句表示 容许下面的主机使用 telnet 访问系统 网络 10 3 到 10 5 的主机 IP 地址为 192 34 56 5 的主机 名称为 ahost 的主机 网络 anetwork 中的所有主机 mountd deny 192 23 4 3 该语句表示主机 IP 地址为 192 23 4 3 不能存取 NFS rpc mountd 服务器 需要注意的是网络名称和主机名称必须是官方名称 不能是别名 Aliases 如果对同一个服务 有多条规则 则只有最后一条生效 配置文件 inetd sec 可以直接复制 同步其他机器 对现有系统的影响 对于系统及应用软件的运行没有任何影响 如果在 etc inetd conf 中将 该服务屏蔽后 则上述步骤可以忽略 3 2 2IBM 的实现方法的实现方法 只允许或限制某几个 IP 地址访问该系统主机 步骤为 1 确定安装了 ipsec 在 AIX 4 3 和 5l 都有 一般默认情况下已安装 软件包 2 启动 ip security 服务 smit ipsec4 Start Stop IP Security Start IP Security 10 回车立即启动服务 3 进入配置菜单 smit ipsec4 Advanced IP Security Configuration Configure IP Security Filter Rules Add an IP Security Filter Rule 回车后显示 Add an IP Security Filter Rule Type or select values in entry fields Press Enter AFTER making all desired changes TOP Entry Fields Rule Action permit IP Source Address 10 0 0 6 IP Source Mask 255 255 255 255 IP Destination Address IP Destination Mask Interface all 4 以上例子为加入一条允许 10 0 0 6 访问本机的规则 也可在 Rule Action 中输入 deny 设为 限制访问 如想限制 10 0 0 网段的所有机器访问本机 可分别在 IP Source Address 和 IP Source Mask 输入 10 0 0 和 255 255 255 0 配置可以导出到文件 导入到其他机器实现同步 方法如下 1 通过完成以下步骤使用 SMIT 将过滤规则文件导出到 tmp 目录中 a 运行 smitty ipsec4 命令 b 选择 Advanced IP Security Configuration Configure IP Security Filter Rules Export IP Security filter rules c 输入 tmp 作为目录名 d 在 Filter Rules 选项之下按 F4 并从列表选择 all e 按 Enter 键以将过滤规则保存在外部介质上的 tmp ipsec fltr rule exp 文件中 2 通过完成以下步骤使用 SMIT 将过滤规则文件从 tmp 目录中导入 a 运行 smitty ipsec4 命令 b 选择 Advanced IP Security Configuration Configure IP Security Filter Rules Import IP Security filter rules 11 c 输入 tmp 作为目录名 d 在 Filter Rules 选项下按 F4 并从列表中选择 all e 按 Enter 键重新创建过滤规则 3 2 3Linux 的实现方法的实现方法 etc hosts allow 控制可以访问本机的 IP 地址 etc hosts deny 控制禁止访问本机 的 IP 如果两个文件的配置有冲突 以 etc hosts deny 为准 下面是一个 etc hosts allow 的示例 ALL 127 0 0 1 允许本机访问本机所有服务进程 smbd 192 168 0 0 255 255 255 0 允许 192 168 0 网段的 IP 访问 smbd 服务 3 3设置密码规范设置密码规范 密码规范要求 密码格式 由数字 字母和符号组成 无效登录次数 6 次无效登录 历史密码记忆个数 8 12 个 密码修改期限 90 天 密码长度 最小 8 位 3 3 1HP 的实现方法的实现方法 需要注意的是对于密码规范的设置 部分需要在信任模式下进行 关于如何将 OS 转换为信任模式 参见 3 8 节 转换为信任模式不需要重新启动系统 如果客户有应用直接从 etc passwd 文件读取 OS 的用户口令 则可能会对该应用有影响 不能正常获取口令 一 转换成信任模式 更改全局性的用户密码属性 启动 sam Auditing and Security System Security Policies 选择各项进行相应的安全设置 以下都是默认设置 12 Password Format Policies Password Selection Options 根据需要选择 System Generates Pronounceable System Generates Character System Generates Letters Only User Specifies User Specified Password Attributes 根据需要选择 Use Restriction Rules Allow Null Passwords Maximum Password Length 8 根据需要设定 Password Aging Policies 根据需要选择 Disabled or Enabled Password Aging Disabled Password Aging Enabled 根据需要设定 Time Between Password Changes days 20 Password Expiration Time days 100 Password Expiration Warning Time days 20 Password Life Time days 150 Expire All User Passwords Immediately General User Account Policies 可设置无效登陆次数 root 用户最好和其他用户分 开设置 Lock Inactive Accounts 根据需要选择 Enabled Disabled Unsuccessful Login Tries Allowed 3 根据需要设定 Require Login Upon Boot to Single User State Terminal Security Policies 根据需要设定 Unsuccessful Login Tries Allowed 10 Delay Between Login Tries sec 2 Login Timeout Value sec 0 或者 通过命令行 usr lbin modprpw 也可以完成类似的工作 以上须在信任模式下进行 对现有系统的影响 对于系统而言输入口令次数大于设置的无效登陆次数时 该用户会被锁定 对于应用软件的运行没有任何影响 13 二 编辑 etc default security 文件 可以设置密码长度 HP UNIX 默认即为 6 位 如果该文件不 存在 请使用 Vi 创建该文件 该文件对所有用户生效 并且系统无须转换为信任模式 MIN PASSWORD LENGTH 8 密码最小位数 PASSWORD HISTORY DEPTH 8 历史密码记忆个数 PASSWORD MAXDAYS 90 密码修改期限 PASSWORD MIN LOWER CASE CHARS 2 密码中必须有两个小写字母 PASSWORD MIN SPECIAL CHARS 1 密码中必须有一个特殊字符 PASSWORD MIN DIGIT CHARS 1 密码中必须有一个字符 对现有系统的影响 对于从 etc passwd 文件获取口令的应用有影响 三 转换成信任模式后 更改单个用户的密码属性 sam Accounts for users and groups Users 选择用户名后 选择 Actions Modify Security Policies 可修改诸如 提示密码即将到期天数 密码的期限 等属性 但不能修改 密码包 括的最小字母数 等属性 对现有系统的影响 对于系统及应用软件的运行没有任何影响 3 3 2IBM 的实现方法的实现方法 可用命令实现 如下 chuser histexpire 26 histsize 20 minlen 6 maxage 12 maxexpired 2 maxrepeats 2 minalpha 2 minother 2 minlen 8 pwdwarntime 10 mindiff 4 loginretries 6 username 与 etc security user 文件中用户密码相关的一些安全属性的推荐值 表 1 用户密码的推荐安全属性值 属性属性描述描述规范值规范值建议值建议值缺省值缺省值最大值最大值 dictionlist验证密码是否不包含标准 UNIX 单词 usr share di ct words usr share dict words 无无 histexpire密码可重新使用前的星期数 26260260 14 属性属性描述描述规范值规范值建议值建议值缺省值缺省值最大值最大值 在 6 个月 26 周 内不允许 重新使用以前使用过的密码 密码个数由 histsize 指定 histsize可允许的密码重复次数 即 历史密码记忆个数 2020050 maxage必须更改密码前的最大星期 数 密码修改期限 12 周 128052 maxexpired超过 maxage 后可由用户 更改到期密码的最大星期数 Root 用户例外 22 152 maxrepeats在密码中可重复字符的最大 数目 2288 minage密码可被更改前的最小星期 数 不应设置此条目为非零 值 除非总是能很容易联系 到管理员来对一个最近更改 过的 意外泄密的密码进行 重新设置 00052 minalpha密码必须包含字母字符的最 小数目 无论大小写 2208 mindiff密码必须包含唯一字符的最 小数目 与上一次使用的密 码最少有 4 个字符不一样 4408 minlen密码长度的最小值 86 对 root 用 户是 8 08 minother密码必须包含非字母字符的 最小数目 2208 pwdwarntime系统发出要求更改密码警告 前的天数 密码到期前 10 天 用户登陆时提示密码即将到 期 105无无 pwdchecks指定一个检查密码质量的定 制代码 也称作密码限制方 法 在更改密码过程中加 以调用 从而可用来增强 passwd 命令 无无无无 loginretries最后一次成功登陆后 如果 失败的登陆企图超过 6 次 该用户帐号将被锁定 66 pwdchecks 所指定密码限制方法必须符合特定子例程 subroutine 接口 具体参见扩展密码限制中 的内容 doc security ipsec migrate filters htm 15 3 3 3Linux 的实现方法的实现方法 设置密码格式 数字 字母 符号组成 历史密码记忆个数8 12个 通过yast2 security and users security setting设置 设置用户的统一过期时间 etc login defs 里面的 PASS MAX DAYS 时间 比如 所有用户的密码过期时间是90天 PASS MAX DAYS 90 设置无效登陆次数 etc login defs 修改LOGIN RETRIES 6 登录密码最小长度6位 PASS MIN LEN 6 3 4锁定系统默认账号锁定系统默认账号 需求 对系统默认帐号 例如 daemon bin sys adm lp smtp uucp nuucp listen nobody noaccess guest nobody lpd 进行锁定 3 4 1HP 的实现方法的实现方法 在信任模式下 启动 sam 对相应需要锁定的账号进行锁定 在普通模式下 也可以使用下面的命令锁定账号 passwd l username 3 4 2IBM 的实现方法的实现方法 对于普通用户 chuser account locked true username 对于 bin sys 等系统默认帐号 在 etc passwd 文件中显示 bin 2 2 bin 在 etc security passwd 中显示 bin password 号表示该帐号密码设置不当 虽然其属性 account locked false 但实际该用户帐号不能登陆 系统默认帐号无需通过 chuser 命令锁定 16 3 4 3Linux 的实现方法的实现方法 在普通模式下 也可以使用下面的命令锁定账号 passwd l username username 此用户不可以直接登录系统 但可以通过 root su 到此 用户 3 5超时设置超时设置 需求 2 分钟超时设置 3 5 1HP 的实现方法的实现方法 编辑 etc profile 文件 readonly TMOUT 120 export TMOUT readonly 控制 TMOUT 不能被用户任意修改 对现有系统的影响 对于系统及应用软件的运行没有任何影响 如果超过 120S 没有操作的话 请重新登录 3 5 2IBM 的实现方法的实现方法 与 HP 的实现方法相同 在 etc profile 中设置 如某用户想单独设定自己的超时参数 可在用户 的 profile 中输入相同语句 3 5 3Linux 的实现方法的实现方法 编辑 etc profile 文件 readonly TMOUT 60 export TMOUT 设置后窗口在 60 秒后自动关闭 3 6 Umask 需求 超级用户 027 一般用户 022 17 3 6 1HP 的实现方法的实现方法 对于一般用户 在 etc profile 文件中 umask 022 对于超级用户 在 root 的 profile 文件中 umask 027 对现有系统的影响 更改后 新创建的文件的默认权限是 rw r 即文件属主拥有读写权限 用户组拥有读权 限 而其它用户没有任何权限 相较 022 其它用户被消除了读权限 新创建的目录的默认权限是 drwxr x 即文件属主拥有全部权限 用户组可以进入 cd 该目录并拥有读权限 而其它用户没有任何权限 相较 022 其它用户无法进入该目录并列取文件 列表信息 3 6 2IBM 的实现方法的实现方法 系统默认 umask 为 022 可通过和 HP 相同的方法实现 对现有系统的影响 同 HP 3 6 3Linux 的实现方法的实现方法 对于一般用户 在 etc profile 文件中 umask 022 对于超级用户 在 root 的 profile 文件中 umask 027 3 7 不用服务端口关闭及检测方法不用服务端口关闭及检测方法 需求 在 etc services 和 etc inetd conf 里 对不用的服务端口关闭 如 FTP www telnet rsh or rexec 3 7 1HP 的实现方法的实现方法 编辑 etc inetd conf 文件 注释不需要的服务的行 然后执行 inetd c 通常 inetd 可能启动的服务有 telnet tcp 23 ftp tcp 21 18 login tcp 513 shell tcp 514 exec tftp ntalk printer daytime udp sm01 patrol 以 patrol 用户登陆时系统会提示输入 sm01 的密码 23 2 除输入本用户的密码外 需要另外一个用户的口令才能登陆 如登陆 patrol 用户需要分别输入 patrol 和 sm01 的用户口令 chuser auth1 SYSTEM SYSTEM sm01 patrol 3 只需要分别输入另外两个用户的口令登陆 如登陆 patrol 用户需要分别输入 patrol1 和 patrol2 的口令 但无需 patrol 自己的口令 chuser auth1 SYSTEM patrol1 auth2 SYSTEM patrol2 patrol 3 11 3 Linux 的实现方法的实现方法 1 在不更改用户密码的前提下 登陆用户只需要输入另一个用户的口令 如登陆 patrol 用户只需输入 sm01 的密码 编写 etc profile d login sh if id u id u patrol then su sm01 c true if ne 0 then exit 1 fi fi if id u id u sm01 then su patrol c true if ne 0 then exit 1 fi fi 2 除输入本用户的密码外 需要另外一个用户的口令才能登陆 如登陆 patrol 用户需要分别输入 patrol 和 sm01 的用户口令 解决 同上增加验证 3 只需要分别输入另外两个用户的口令登陆 如登陆 patrol 用户需要分别输入 patrol1 和 patrol2 的口令 但无需 patrol 自己的口令 解决 同上增加验证 24 附件 附件 HP 平台信任模式概述平台信任模式概述 一 关于 一 关于 trust system Trust System 就是安全级别增强的模式 Trust System 中可以启动 auditing 功能做审核 一旦启 动审核功能 在系统中可以执行针对使用者所做的系统呼叫即 System Call 做 trace A Trust System 有额外的登陆限制 分为以下几点简述 1 除了可将使用者帐号 disable 之外 帐号也有可能被锁定 2 设定使用者帐号仅可在特定时间做登陆 其余的非授权时段 禁止登陆系统做事 3 设定帐号可使用的地点做权限控制 换句话说 账号针对特定 device 工作站等限制使用 权限 4 设定单一 boot 的密码 B Trust System 对密码档案的管理会多一层控制 所谓的控制管理分为下列几点简述 1 设定使用者密码更改的有效期限 2 设定整个系统的密码更改的有效期限 3 设定单一使用者的帐号期限 4 设定单一使用者的帐号 密码当连续错误输入后 使用者密码被锁住 无法进入 5 密码长度可延长至 40 个字符 6 可设定乱数产生器去建立使用者密码 C Trust System 设定有隐含密码 此隐含密码被摆放在的位置会与 etc passwd 区分开来 这样 可以避免一般使用者借由检查 etc passwd 文件而得知系统上的任一使用者没有设定密码 而从事 不法的行为 同时也可以避免有心人士利用密码破解程式进行侵入的动作 二 如何判断系统是否是 二 如何判断系统是否是 trust system A 执行 usr lbin getprpw root If the system is not trusted the following will display usr lbin getprpw root System is not trusted If the system is trusted the following will display usr lbin getprpw root uid 0 bootpw YES audid 0 audflg 1 mintm 1 maxpwln 1 exptm 1 lftm 1 spwchg 1 upwchg 1 acctexp 1 llog 1 expwarn 1 usrpick DFT syspnpw DFT rstrpw DFT nullpw DFT admnum 1 syschpw DFT sysltpw DFT timeod 1 slogint Mon Jun 30 08 37 40 2003 ulogint 1 sloginy 1 culogin 1 uloginy 1 umaxlntr 1 alock NO lockout 0000000 值 1 指示在数据库中尚未为字段赋值 其中各参数含义如下 uid 用户 uid bootpw 引导授权标志 25 audid 审计 id audflg 审计标志 mintm 两次口令更改之间的最短时间 maxpwln 最大口令长度 exptm 口令过期时间 lftm 口令生命周期 spwchg 上次成功更改口令的时间 upwchg 上次未成功更改口令的时间 acctexp 帐户过期时间 llog 上次登录时间间隔 expwarn 口令过期警告时间 usrpick 用户是否选取口令 YES NO DFT syspnpw 系统是否生成可发音型口令 YES NO DFT rstrpw 是否限制口令 即检查不重要性 YES NO DFT nullpw 允许 NULL 口令 YES NO DFT 不推荐使用 syschpw 系统是否生成仅包含字符的口令 YES NO DFT sysltpw 系统是否生成仅包含字母的口令 YES NO DFT timeod 允许登录的一天中时间 slogint 上次成功登录的时间 ulogint 上次未成功登录的时间 sloginy 上次成功登录的 tty culogin 到目前为止连续未成功登录的次数 uloginy 上次未成功登录的 tty umaxlntr 最大未成功登录尝试次数 alock 管理员锁 如果打开 则为 YES 如果关闭 则为 NO 如果未设置 则为 DFT lockout 返回导致 位 值字符串中封锁的原因 其中 0 表示情况不存在 1 表示存在 位置 从 左到右 表示 1 过去的口令使用周期 2 过去的上次登录时间 非活动帐户 3 过去的绝对帐户使用周期 4 超过的未成功登录尝试次数 5 需要口令但口令为空 6 管理锁 7 口令为 警告 该命令仅用于 SAM 它可能在各个版本中更改 因此无法保证向后兼容 几个数据库字段彼 此交互 单独更改的副作用可能会在很久以后才导致问题 B 执行 ll d tcb If the system is not trusted the tcb directory does not exist 26 ll d tcb tcb not found If the system is trusted the tcb directory will exist ll d tcb dr xr x x 3