Linux系统安全机制与可信计算

1、Linux系统安全机制与可信计算知识域：操作系统安全知识子域：操作系统安全基础了解操作系统的功能及作用理解操作系统的安全设计机制理解操作系统的安全配置要点2操作系统基本概念什么是操作系统？操作系统是控制其他程序运行，管理系统资源并为用户提供操作界面的系统软件的集合连接计算机硬件与上层软件和用户之间的桥梁3底层硬件设备基本输入输出系统（BIOS）操 作 系 统应用程序操作系统位置计算机系统软件系统软件操作系统数据库系统应用软件硬件4操作系统基本组成用户接口为不同用户提供操作界面，实现对系统资源的控制进程管理通过分片调度CPU执行周期，实现进程调度，从而实现多任务内存管理管理和规划主机内存的使用，

2、为其它模块提供接口文件系统管理明确磁盘或分区上的文件数据结构，提高文件安全性磁盘管理处理不同的磁盘高度和读写请求，保证磁盘的存储效率设备管理管理不同的外设，保证设备的合理使用和分配5操作系统的功能用户与计算机硬件之间的接口操作系统为用户提供了虚拟计算机，把硬件的复杂性与用户隔离计算机系统的资源管理者CPU管理存储管理设备管理文件管理网络与通信管理用户接口6硬件：CPU、内存、硬盘、网络硬件等内核系统调用接口用户进程操作系统安全目标操作系统安全目标标识系统中的用户和进行身份鉴别依据系统安全策略对用户的操作进行访问控制，防止用户和外来入侵者对计算机资源的非法访问监督系统运行的安全性保证系统自身的安

3、全和完整性7知识域：操作系统安全8知识子域：Linux系统安全机制理解Linux系统标识与鉴别机制理解Linux系统访问控制机制理解Linux系统文件安全机制理解Linux系统安全审计实现机制掌握Linux系统安全配置的方法Linux安全基础9UNIXMinixLinux一些相关基本概念开源软件GNUGPLPOSIXLinux发展过程Linux特点10开放源码系统稳定性能优异设备独立性安全性强跨平台兼容性Linux安全机制11用户帐号和用户组文件系统远程登录进程管理系统日志Linux防火墙用户帐号和用户组基本概念用户身份标识（User ID）组身份标识（Group ID）文件必须有所有者用户必

4、须属于某个或多个组用户与组的关系灵活（1对多、多对多等都可以）根用户拥有所有权限12帐号信息存储信息存储用户信息：passwd与shadow组信息：group与gshadow所在目录： /etc13用户帐号文件-passwd14passwd文件特点文本格式全局可读存储用户信息口令加密存放（不可逆DES算法）存储条目格式name:coded-passwd:UID:GID:userinfo:homedirectory:shell条目例子demo:x:523:100:J.demo:/home/demo:/bin/sh用户帐号影子文件-shadow15shadow文件特点文本格式仅对root可读可写存

5、储用户密码等信息存储条目格式name:passwd:lastchg:min:max:warn:inactive:expire:flag条目例子root:$1$acQMceF9:13402:0:99999:7:用户登录名及加密的用户口令上次修改口令日期口令两次修改最小天数及最大天数口令失效前多少天向用户警告被禁止登录前还有效天数帐号被禁止登录时间保留域用户与组安全管理-验证文件16验证用户文件（PWCK）验证用户帐号文件/etc/passwd与/etc/shadow是否一致，例如合法shell、合法目录等验证组文件（grpck）正确的域数目唯一组群标识合法成员和管理员列表用户与组安全管理-密码安

6、全17使用安全的密码安全密码的特征自己容易记别人不好猜管理好系统管理员密码良好的密码习惯一主一备密码信封保护root帐号18root帐号使用不远程使用root不直接使用root帐号登陆，使用普通用户登陆su成为root不要将root shell留在终端上root仅作维护操作，不运行不明程序或其他用户程序Linux文件系统19文件系统类型Ext4、Ext3、Ext2、ReiserFS、XFS、JFS等文件和目录对每个文件和目录设置访问权限文件系统安全20Linux文件类型普通文件（文本文件、二进制文件）目录文件设备文件链接文件管道文件文件系统目录结构21/home bin proc usr bo

7、ot lib dev etc varftp ljw linux bin lib man tmp lib log run spool tmp常见目录用途/binbin是二进制（binaries）的缩写。许多基本的系统程序都驻留在/bin目录中。/boot存放启动Linux时使用的一些核心文档,如 vmlinuz等。/dev用ls -F命令可以列出/dev目录中的内容。该目录下是一些称为设备驱动程序的特殊文件，用于访问系统资源或设备，如软盘、硬盘、CD-ROM、调制解调器、系统内存等。有了这些文件，用户可以像访问普通文件一样方便地访问系统中的物理设备。例如，当用户要从一个文件中读数据时，可以通过调

8、用/dev/mouse文件从鼠标器读取输入信息。在/dev目录下，各种设备所对应的特殊文件以一定的规则命名。例如，/dev/fd0文件指第一个软驱，/dev/fdl指第二个软驱，/dev/hda指第一个硬盘，而/dev/hdal指的是/dev/hda的第一个分区，如此类推。/etc包含系统管理所需要的大量配置文件和子目录，例如口令文件/etc/passwd、系统初始化脚本文件/etc/rc等。该目录是系统中最重要的目录之一。 /home包含所有用户的个人主目录。通常，用户的个人主目录以它的名字来命名，例如/home/yang是用户yang的个人目录。在新安装的Linux系统中，/home目录中

9、可能没有任何用户。/lib该目录包含动态链接共享库的文件映象，这些文件为众多程序提供了共享代码。使用库文件，可以缩小可执行文件的尺寸，节省系统空间。22常见目录用途/lost+found这是一个空目录，只有当文件系统发生故障时，才用来存放找不到正确存储位置的文件。/mnt用户可以在该目录下临时挂装其它文件系统，如在使用CD-ROM时，就要把CD-ROM文件挂装在该目录下。/proc这是Linux系统提供的一个“虚拟文件系统”，其中的文件都存放在内存中，而不是存放在磁盘中。它们指向在系统中正在运行的各个进程，以便用户可以随时访问程序的运行信息。给用户提供方便的接口。/root超级用户的主目录/s

10、bin 专门用来存储系统管理员使用的可执行文件，如mount、linuxconf等等。 /tmp程序执行时会产生一些临时信息，系统把这些临时信息存放在一个暂时文件中，这个临时文件就放在/tmp目录下。/usr这是一个非常重要的目录，它包括许多子目录。有些子目录用来存放系统的配置文件和重要的大型软件包程序。前面讨论到的各目录对系统的操作来说是最基本的，而在/usr中许多内容是可以任选的。如果没有/usr目录，系统中将只有cp、1s等程序，这样的系统会非常难用/var该目录用来容纳大小经常发生变化或打算进一步扩充的目录或文件。例如，文件/var/adm中包含着系统管理员感兴趣的内容，特别是系统日志

11、，它记录了系统的所有错误或问题。23文件/目录权限基本概念权限类型：读、写、执行权限表示方式：模式位drwxr-xr-x 3 root root 1024 Sep 13 11:58 test文件系统的权限24文件权限模式数学字表示25文件所有者文件所在组其它人权限文件、目录隐含模式26rwxr-xr-xSticky（防删除位）sgidsuidrwxr-xr-x111rwsr-sr-t-r-s-x-x 1 root root 10704 Apr 15 2002 /usr/bin/passwd SUID程序1. chmod 改变文件权限设置。2. chgrp 改变文件的分组。3. chown 改变

12、文件的拥有权。4. chattr 设置文件属性文件权限修改命令使用chmod命令修改文件权限:chmod 666 myfilechmod 1777 /tmp使用umask命令设置文件默认权限umask 022umask 077设置sticky位27远程登录安全28telnet - sshSSH#service sshd start设置能够登录本机的IP地址/etc/ssh/sshd_config禁止root用户远程登陆限定信任主机屏蔽登录banner信息Linux进程安全29进程基本概念进程类型交互进程批处理进程守护进程进程模式用户模式内核模式进程状态运行态、等待态、停止态、僵死态守护进程30

13、守护进程的概念在后台运行，无终端或shell结合守护进程启动方式引导系统是启动手工从shell启动使用crond守护进程启动重要守护进程Apmd 高级电源管理Xinetd 支持多种网络服务的核心守护程序Linux进程安全管理31进程的执行手工执行自动执行资源空虚时执行周期性执行进程资源限制限制进程创建大型文件限制单个用户调用的最大子进程个数Linux日志管理32Linux日志类型连接时间日志进程统计错误日志应用程序日志日志文件注释Access-log记录http/web连接Acct/pcct记录用户命令Boot.log记录开机自检过程信息lastlog最近成功登录和不成功登录message从

14、syslog中记录信息sudolog记录sudo发出的命令sulog记录su命令的使用syslog从 syslog中记录信息utmp记录当前登录用户信息wtmp用户每次登录进入和退出时间xferlogftp会话信息maillog记录电子邮件活动信息Linux日志安全管理33保护日志文件日志文件权限设置审查日志中不正常情况非常规时间登录日志残缺Su的使用服务的启动情况使用syslog设备Syslog.conf设置使用syslog日志服务器Linux防火墙34Linux下的防火墙框架iptables包过滤NAT数据包处理Iptables基本规则Iptables -t table command m

15、atchtargetIptables基本应用Iptables A INPUT s j ACCEPTIptables D INPUT dport 80 j DROP知识域：操作系统安全知识子域：安全操作系统和可信计算了解安全操作系统的发展了解SELinux主要特点了解可信计算技术及发展35安全操作系统概念操作系统安全安全设置安全增强安全操作系统可信计算机系统评价标准（Truested Computer Security Evaluation Critria，TCSEC）可信操作系统36安全操作系统研究概况1965年，Multics1973年，安全模型BLP模型：信息的保密性Biba模型：信息的完

16、整性1969年，Adept-501986年，SeeureXeniX，B21987年，TMach(TrustedMach)，B3近年来Trusted BSDSELinuxAppArmor37SELinux简介SELinux安全增强Linux（Security Enhanced Linux）安全子系统强制访问控制（MAC）美国国家安全局开发以GNU GPL形式开源发布38SELinux主要特点强制访问控制Mandatory Access Control最小特权限定进程访问最小资源RBAC用户按角色赋予最小权限运行模式强制模式（enforcing）警告模式（permissive）关闭模式（disab

17、led）3940可信计算技术的产生可信计算技术的思想起源于安全启动的研究安全启动的基本思想：将系统分解为一系列实体，在启动运行时，检查实体的完整性早期较有代表性的研究40时间安全启动系统简介1990Tripwire系统 使用软件手段确保UNIX系统的完整性1994BITS （ Boot Integrity Token System ）使用智能卡实现安全启动，用口令认证用户，主机和智能卡之间通过共享秘密认证，主机计算出完整性度量值和存储在智能卡的值比较实现安全启动；1997AEGIS系统 Arbaugh在该安全启动系统中基于这样的公理：BIOS的初始化是可信的，一个组件被另一个可信组件检测验证后

18、也是可信的。41可信计算平台在计算机主版上嵌入一个独立的TPM芯片，以增强系统的安全。41TPM（Trusted Platform Module） 可信平台模块42可信计算平台的基本思想从行为的角度理解可信：一个实体是可信的，如果它的行为总是以所期望的方式运行。实现：首先建立一个信任根。信任根的可信性由物理安全和管理安全确保。 再建立一条信任链。从信任根开始到硬件平台、到操作系统、再到应用，一级认证一级，一级信任一级。从而把这种信任扩展到整个计算机系统42可信计算平台模块TPM它由CPU、存储器、I/O、密码运算器、随机数产生器和嵌入式操作系统等部件组成。TPM本身就是一个小的计算机系统，一般

19、是一种片上系统SOC（System on Chip）,而且它应当是物理可信和管理可信的。TPM采用证书技术，用户与TPM通过证书认证来确认相互的身份。TPM能实现加解和解密，数字签名和验证43TPM的基本结构44密钥产生执行引擎I/O非易失存储器电源检测随机数产生器Opt-LnSHA-1引擎HMAC引擎密码协处理器易失存储器信任链信任根：TPM从信任根开始到硬件平台、到操作系统、再到应用，一级认证一级，一级信任一级。45可信支撑软件（TSS）TSS是在TPM平台上的支撑软件为其他软件提供方便和统一使用TPM的接口4647应用程序本地应用服务提供者（TSP）远程应用服务提供者（TSP）RPC客户

20、RPC服务TSS 核心服务层 （TCS）设备驱动库（TDDL）TPM设备驱动可信平台模块（TPM）核心模式系统进程模式用户进程模式可信平台体系结构47可信计算平台的主要作用48可信计算平台能够保护数据存储区域，避免敌手直接从物理上访问到机密数据存储区。能够保证系统运行的环境是没有被篡改的，所有的代码能够执行于一个未被篡改的运行环境。49可信计算组织的产生与发展49TCG的主要任务组织简介一个非盈利的工业标准组织宗旨是加强不同计算环境的安全性 任务定义、开发、推广一套开放的、系统的可信计算规范提供一整套可信计算安全技术规范硬件构建模块和通用的软件接口设计多平台，多外设的可信计算环境50可信计算平

21、台规范5152中国可信计算技术发展之路各方努力发展思路与TCG可信计算技术的区别我国可信计算技术5253起步：2003到2004年2006年11月3日，可信计算密码专项组在国家密码管理局的支持下正式组建。2007年7月，专项组召开国产自主可信计算技术与产业状况汇报演示会。2007年7月，专项组召开了可信计算密码技术与产品进展汇报会。2007年12月20日，专项组召开了打造中国可信计算DNA中国自主可信计算产品联合发布会，对外发布了由中国首次自主研发和自主创新的可信计算系列产品。2007年12月29日，国家密码管理局正式颁布可信计算密码支撑平台功能与接口规范。2008年4月，联想、同方、长城、方正的可信计算机陆续上市。2008年12月，可信计算密码专项组正式更名为中国可信计算工作组(TCMU)。我国可信计算技术发展历程5354中国可信计算工作组TCMU成员5455政府：在各个重要科技和产业计划中都已将可信计算技术的研究与应用列入重点；学术界：针对TPM/TCP、远程证明、可信计算测评、信任链构建技术、关键技术标准等方面都在积极开展研究工作；产业界：积极研究各种基于TCM的安全解决方案；国家密码管理局和