10第十一章 操作系统管理2

1、11.4操作系统安全(Security) 安全威胁(Types of Security Threats) 身份认证(Authentication) 程序威胁(Program Threats) 威胁监测(Threat Monitoring) 可信系统(Trusted System)威胁类型n 阻断(interruption)n 系统资产被毁损或变成不可用、不能用n 截取(interception)n 非授权方得到系统资产，如 保密数据n 篡改(modification)n 系统数据被非授 改变(fabrication)n 非授 将假对象加入系统威胁类型sourcedestinationsourc

2、edestination阻断截取sourcedestinationsourcedestination篡改11.4.1闯入与身份认证n 身份认证最常用的手段是口令 .n 口令加密后存储到系统的Password文件中n 用户口令在帐户建立时连同登录名字一起记载在系统password 文件中n Linux/etc/shadowUNIX /etc/passwdn 加密函数易于计算但难于取反口令的选取n 推荐选取原则n 混合使用字母(大小写)、数字 .n 采用一个熟悉句字中出现的单词的首字母， 如MfnisB (My Fathers Name is Bob) .UNIX口令n UNIX系统在加密之前对口

3、令拼加“salt”n salt是随机产生的长度为12bit的附加位，将其与口令s（56bit）串接在一起，然后对其结果再运行crypt(3)算法，加密后的结果连同salt一起保存在passwd文件中UNIX口令载入Epsw(s,salt)saltUser-idUser-idsaltpassword 12bit56 bitcrypt(3)Passwd文件10charsUNIX口令验证User-idUser-idsaltEpsw(s,salt)Passwd文件passwordcrypt(3)compare口令猜测(password guessing)n 收集可能的口令, 形成口令词典;n 此项工作

4、可增量式完成, 不断丰富n 通过各种渠道获取某待攻击系统的passwd文件或shadow文件n (离线)对口令词典中的每个口令, 运行加密算法(如crypt(3)算法), 得到加密后的口令,并与passwd或shadow中的加密口令逐一进行比较, 如有相同则猜中.Brute force成功率不可低估!UNIX口令与password guessingn 按上述方法, 对每个猜测的口令需要附加12位的salt, 增加4096种可能性, 大大增加了破解难度.一次性口令(one time password)原理基于单向函数 y=f(x)给定x，可以很容易地计算y ;给定y，从计算上来说不可能求得x ;

5、用户首先选定一个保密口令s，同时指定一个整数n（ 口令使用次数）Password generation:第一代口令为p1=fn(s) ; 第二代口令为p2=fn-1(s) ; 第三代口令为p3=fn-2(s) ;.第n代口令为pn=f(s) .一次性口令n 主机初始化n P0=f(P1)和n记在password file中n 第一次登录 :n 主机响应n ,n 远程用户输入口令s, 在客户端计算出p1=fn(s)并传送给主机 ,n 主机计算出p0=f(p1)并将其与password file中的p0相比较 .n 如果相同登录成功，主机用p1取代password file中的p0, 并将n减1

6、.一次性口令n 第二次登录 :n 主机响应n-1 ,n 远程用户输入口令s, 在客户端计算出p2=fn-1(s)并传送给主机 ,n 主机计算出p1=f(p2)并将其与password 文件中的p1相比较 .n 如果相同登录成功，主机用p2取代password 文件中的p1, 并将n减1 . 用户每次输入的口令不变, 都是sn 特点n 抗截取11.4.2程序威胁逻辑恶意程序寄生程序特洛伊木马陷阱门隐蔽通道病毒复制细菌独立程序蠕虫软件1. 逻辑(logic bomb)n 逻辑 是隐藏在合法程序中可以被某种条件触发而执行某种破坏性动作的代码n 软件开发者可以采用这种手段制约使用者， 以达到某种目的

7、,n 逻辑 程序的设计是容易的，一般编程人员都能实现，但要 得好、不易被发现， 则需要一定的设计技巧和编程经验 .2.特洛伊木马(Trojan Horse)n 特洛伊木马是嵌入于某合法程序中的例程，合法程序的执行将导致 例程的执行，是具有 的攻击程序 .n 例如n 甲欲得到乙的文件F, 因无权限不能直接访问， 便编写一个游戏程序G并邀请乙玩，乙运行G， 这确实是一个游戏程序，但在 G将F发送 给甲，达到了文件窃取的目的2. 特洛伊木马n 防止特洛伊木马n 增 限检查和控制，如限制存取灵活性n 提高自我防范意识，慎重使用来历不明的软件3. 后门(陷阱门，trapdoor)n 后门是程序中绕过例行

8、检查的入口n 这种非正常入口在程序开发过程中普遍存在， 一旦系统发布所有后门均应关闭n 后门一般有两种情况n 忘记关闭n 有意保留n 分析证实n Windows95/98都存在后门4. 隐蔽通道(covert channel)n Lampson于1973年提出n 并非用于通讯的通道称为隐蔽通道n 不受安全策略控制，违反安全策略的信息泄露途径5. 病毒(virus)n 病毒不是一个独立的程序，而是寄生于某一合法程序(通常是一个可执行程序) 上的一段代码 ，其包括两个方面：n 传播，使其它文件感染上该病毒；n 破坏，具体破坏动作多种多样，如删除系统文件 .5. 病毒(virus)n 病毒的个特性n

9、 寄生性：依附某一合法程序(通常为可执行程序)，该合法程序的执行将触发病毒代码n 潜伏性：等待触发条件满足时，激发表现模块n 传染性：把病毒模块复制给其他未感染文件n 破坏性：删除文件, 破坏系统等5. 病毒(virus)n 病毒类型n 文件型病毒：可执行文件，可处于文件前部、后部 或中间某处，通过文件头处的跳转指令转到病毒代 码n 内存驻留病毒：文件一旦执行，占据内存空间n 引导扇区病毒：开机时借助导引过程进入系统n 宏病毒：利用Word提供的宏功能，将病毒插入到带宏的doc文件中，由于宏允许包含任何程序，这样宏 病毒可做任何事情n 电子邮件病毒：嵌入到附件中的word宏病毒，打开 时病毒被

10、激活。n 压缩病毒的感染过程P2CV压缩解压P1P2CV压缩解压P1感染程序被感染程序6. 细菌(bacteria)n 独立程序, 消耗系统资源 .n 进程复制n eg. System call fork, spaw, etc.n 文件复制n make new bacteria filen 细菌可以指数级别增长 ，消耗n CPU资源n 内存资源n 磁盘空间7. 蠕虫(worm)：n 复制和传播，通过自身复制消耗系统资源， 在网上从一个计算机传播到另一个计算机；n 除利用spawn复制和传播外，可能伴随执行不期望的动作. 8.软件(spyware)n 独立程序n 负责监视系统和用户活动，窃取敏感

11、信息，n 用户名 号 号等n 将窃取的信息以加密的方式传给攻击者11.4.3安全策略n 口令管理n 初始口令n 当为给一个用户建立户头时, 为其规定一个登录口令n 关卡口令n 在某些关键目录、关键文件等设置口令, 可以防止非授权的用户对其进行访问, 达到保护的目的n 主副口令n 即设置两个口令: 一个为主口令, 另外一个为副口令. 主副口令分别由两个不同的用户掌握, 仅当二者都在场时才能成功对答通过(firewall)是网络上分离可信系统(trustedsystem)与非可信系统(un-trusted system)的常用方法n 由介于可靠系统与非可靠系统之间的一台计算机或一个路由器构成n 作

12、用n 限制两个不同安全域之间的相互访问n 动态监视和记录所有连接(firewall)n 阻断某些协议通过n 允许http协议通过n 阻断finger等可能导致蠕虫攻击的协议通过n 通常n 将internet定义为不可信域n 内部局域网定义为安全域n 介于二者之间的域定义为非军事化区n 允许n 因特网到非军事化区的连接,n 由局域网到因特网的连接n 不允许n 因特网到局域网的连接n 非军事化区到局域网的连接加密n 加密的思想是 信息，使局外人不可理解信息的真正含义n 安全性取决于对密钥的管理n 加密保护可以防止信息被截取(interception)n 不能防止信息被篡改(modification

13、)加密n 加密和原理KEKDDEC=E(P,KE)PP=D(C,KD)明文一个加密系统可由五元组定义：S=P,C,K,E,D, 其中P为空间，C为密文空间，K为密钥空间，E为加密算法，D为算法.审计(auditing)n 审计作为事后追踪的手段来保证系统安全n 审计将涉及系统安全的操作记录在系统 日志(audit log)中n 以便在发生安全问题后对违反系统安全规则的 能够有效地追查 发生时间、地点与过程审计(auditing)n 审计记录的 n 使用识别和认证机制(如注册和退出过程)；n 修改系统或用户口令；n 不成功的登录操作；n 将某客体引入某个用户的地址空间(如打开文件)；n 删除客体；n 系统管理员和安全管理员执行的操作；n 对系统资源的访问；n 使用某种 对系统资源进行访问.备份与恢复n 抗御信息破坏(disruption)的安全措施n 导致信息破坏的原因可能是人为的，如文件被 删除；n 也可能是自然原因造成的，如存储介质失效、自然 灾害等；n 系统操作员必须定期地对系统中的重要数据进行转 储. 11.4.4可信系统n 在安全领域, 人们多谈可信系统, 而不是安全系统n 可信系统的规格比安全系统更高n 可信系统的核心是最小的可信计算基(Trusted Comp