Linux身份鉴别机制技术方案及原理

操作系统安全测评指导书LINUX1 概述1.1 适用范围本测评指导书适用于信息系统等级为三级的主机Linux 操作系统测评。

1.2 说明本测评指导书基于《信息系统安全等级保护根本要求》的根底上进展设计。

本测评指导书是主机安全对于Linux 操作系统身份鉴别、访问把握、安全审计、剩余信息保护、备份与恢复安全配置要求，对Linux 操作系统主机的安全配置审计作起到指导性作用。

1.4 保障条件1)需要相关技术人员〔系统治理员〕的乐观协作2)需要测评主机的治理员帐户和口令3)提前备份系统及配置文件第2 页/共10 页序号测评指标测评项操作步骤预期记录实际状况记录1 身份鉴别(S3) a)应为操作系统的不同用户安排不同的用户名，确保用户名具有唯一性。

b)应对登录操作系统的用户进展身份标识和鉴别。

查看用户名与UIDcat /etc/passwd、cat /etc/shadow查看登录是否需要密码cat /etc/passwd、cat /etc/shadow分别查看用户名〔第1 列〕与UID〔第3 列〕是否有重复项全部用户具有身份标识和鉴别，用户密码栏项〔第2 项〕带有X，表示登陆都需要密码验证。

假设留空则表示空密码。

序号测评指标测评项操作步骤预期记录实际状况记录c)操作系统治理用户身份标识应具有不易被冒用的特点，系统的静态口令应在8 位以上并由字母、数字和符号等混合组成并每三个月更换口令。

①查看登录配置文件cat /etc/login.defs②查看密码策略配置文件(CentOS、Fedora、RHEL 系统)cat /etc/pam.d/system-auth(Debian、Ubuntu 或Linux Mint 系统)cat /etc/pam.d/common-password①登录相关配置内容：PASS_MAX_DAYS=90#登陆密码有效期90 天PASS_MIN_DAYS=2#登陆密码最短修改时间，增加可以防止非法用户短期更改屡次PASS_MIN_LEN=7#登陆密码最小长度7 位PASS_WARN_AGE=10#登陆密码过期提前10 天提示修改②密码策略相关配置password requisite pam_cracklib.soretry=3 minlen=7 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1#“minlen=7”表示最小密码长度为7# “difok=3”启用3 种类型符号#“ucredit=-1”至少1 个大写字符# “lcredit=-1”至少1 个小写字符#“dcredit=-1”至少1 个数字字符#“ucredit=-1”至少1 个标点字符序号测评指标测评项d)应启用登录失败处理功能，可实行完毕会话、限制登录间隔、限制非法登录次数和自动退出等措施。

Linux等保（三级）核查指导一、身份鉴别a）应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；1、应核查用户在登陆时是否采用了身份鉴别措施；用户登录服务器需要使用账户+账户口令。

2、应核查用户列表确认用户身份标识是否具有唯一性；（more /etc/passwd）//查看命令结果，第三字段不存在相同数字、用户名不存在相同名称。

3、应核查用户配置信息或测试验证是否不存在空口令用户；（more /etc/shadow）//查看命令结果，红框内的乱码表示加密以后的账户口令//红色框内的（！*）号代表该账户已锁定、或者禁用。

4、应核查用户鉴别信息是否具有复杂度要求并定期更换。

（more /etc/login.defs）// 查看命令结果是否有设置密码长度，复杂度。

1）PASS_MAX_DAYS=90（密码登录有效期时间）2）PASS_MIN_DAYS=0（密码最短修改时间）3）PASS_MIN_LEN=8（密码最小长度）4）PASS_WARN_AGE=7（密码过期前提前多少天提醒）4.1、服务器密码复杂的策略（more/etc/pam.d/system-auth）//password requisite 里面设置密码相关的策略（pam _cracklib.so策略里）retry=5(尝试登录次数)authtok_type= difok=3（新密码与旧密码有多少位能一样）minlen=7（密码长度）ucreddir=-1 (最少包含一个大写字母)lcredit=-3（最少有三个小写字母）dcredit=-3（最少有三个数字）b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；1、应核查是否配置并启用了登录失败处理功能；2、应核查是否配置并启用了限制非法登录功能，非法登录达到一定次数后采取特定动作，如账号锁定等；本地登录的失败处理：（more /etc/pam.d/system-auth）（more /etc/pam.d/login）使用SSH远程登录的失败处理：（more /etc/pam.d/sshd）//文件中包含auth required pam_tally2.so onerr=fail deny=5 unlock_time=300 even_deny_root root_unlock_time=10deny尝试登录次数time锁定时间（秒）even_deny root （锁定root账户）2.1本地登录（system-auth文件）2.2本地登录（login文件）2.3远程SSH文件（sshd文件）3、应核查是否配置并启用了登录连续超时及自动退出功能。

linux常用的鉴别方式
Linux常用的身份鉴别方式如下：
1、基于口令的鉴别：这是最常用的一种技术。

用户只要提供正确的用户名和口令就可以进入系统。

2、客户终端鉴别：Linux系统提供了一个从远程登录的终端鉴别模式。

3、主机信任机制：Linux系统提供一种不同主机之间相互信任的机制，不同主机用户之间无需系统认证就可以登录。

4、第三方认证：第三方认证是指非Linux系统自身带有的认证机制，而是由第三方提供的认证。

在Linux中，系统支持第三方认证，例如，一次一密口令认证S/Key、Kerberos认证系统、可插拔认证模块（Pluggable Authentication Modules，PAM）。

Linux网络操作系统安全机制探究【摘要】Linux网络操作系统利用了现今计算机系统的任务切换机制，实现了真正多任务、多用户环境，允许多个用户同时执行不同的程序，并且可以给紧急任务以较高的优先级，对现有的身份标识与鉴别是Linux特有的安全机制，Linux 在自主访问控制，强制访问控制，root 权限，审计等方面的需要安全强化设置。

【关键词】Linux操作系统；安全机制；权限Linux网络操作系统是一种支持嵌入式系统应用的操作系统软件，它是嵌入式系统（包括硬、软件系统）极为重要的组成部分，通常包括与硬件相关的底层驱动软件、系统内核、设备驱动接口、通信协议、图形界面、标准化浏览器等。

与通用操作系统相比较，嵌入式操作系统在系统实时高效性、硬件的相关依赖性、软件固态化以及应用的专用性等方面具有较为突出的特点。

1 Linux网络操作系统安全机制探究Linux网络操作系统提供了用户帐号、文件系统权限和系统日志文件等基本安全机制，如果这些安全机制配置不当，就会使系统存在一定的安全隐患。

1.1 Linux系统的用户帐号在Linux系统中，用户帐号是用户的身份标志，它由用户名和用户口令组成。

在Linux系统中，系统将输入的用户名存放在用户密码文件中，而将输入的口令以加密的形式存放在日志文件中。

在正常情况下，这些口令和其他信息由操作系统保护，能够对其进行访问的只能是超级用户（root）和操作系统的一些应用程序。

但是如果配置不当或在一些系统运行出错的情况下，这些信息可以被普通用户得到。

进而，不怀好意的用户就可以使用一类被称为“口令破解”的工具去得到加密前的口令。

1.2 Linux的文件系统权限Linux文件系统的安全主要是通过设置文件的权限来实现的。

它由用户名和用户口令组成。

其基本思想是：当用户登陆时，由守护进程要求用户输入用户名，然后激活login，要求用户输入口令，最后login 根据系统中的用户密码文件来检查用户名和口令的一致性，如果一致，则该用户是合法用户，为该用户启动一个shell。

inode认证原理-回复INode是指Unix/Linux系统中的一种数据结构，用于表示一个文件或目录。

INode认证是一种基于INode的身份验证方法，用于验证一个用户是否具有访问某个文件或目录的权限。

本文将详细介绍INode认证的原理，并一步一步解释其工作过程。

INode是一个索引节点，用于存储关于文件或目录的元数据，如文件大小、拥有者ID、访问权限、创建时间等。

每个文件或目录在文件系统中都有一个唯一的INode号码，该号码用于区分不同的文件或目录。

在Unix/Linux系统中，用户要访问一个文件或目录，必须首先通过INode认证。

INode认证的原理基于以下几个关键点：1. 用户身份验证：当用户请求访问一个文件或目录时，首先需要进行用户身份验证。

系统将检查用户提供的用户名和密码是否匹配，以确认用户的身份。

2. 确定文件的INode号码：一旦用户身份验证通过，系统将获取用户请求的文件或目录的路径。

然后，系统会遍历文件系统，通过路径找到相应的INode号码。

3. 检查权限：系统通过文件的INode号码获取文件的访问权限，包括文件的拥有者、所属组和其他用户的权限。

然后，系统将根据用户的身份和文件的访问权限来决定是否允许用户访问该文件或目录。

具体而言，INode认证的工作流程可以分为以下几个步骤：步骤1：用户身份验证当用户发起访问请求时，系统首先要求用户提供用户名和密码。

然后，系统将对提供的用户名和密码进行验证，以确认用户的身份。

这一步骤通常使用哈希算法和安全的存储技术，以确保用户密码的安全性。

步骤2：获取目标文件的INode号码一旦用户身份验证通过，系统将获取用户请求的文件或目录的路径。

通过遍历文件系统，系统将找到相应的INode号码。

这一步骤通常使用文件系统索引结构，如红黑树或哈希表，以提高搜索效率。

步骤3：检查文件权限系统通过文件的INode号码获取文件的访问权限。

访问权限通常包括读、写和执行三种操作。

本文阐述了 Linux-PAM 的概念，同时还与读者一道分析了 Linux-PAM 的体系结构，作者希望籍此以加深读者对 Linux-PAM 的理解，以便对其有更深层的把握。

一、什么是Linux-PAM为安全起见，计算机系统只有经过授权的合法用户才能访问，在这里如何正确鉴别用户的真实身份是一个关键的问题。

所谓用户鉴别，就是用户向系统以一种安全的方式提交自己的身份证明，然后由系统确认用户的身份是否属实的过程。

换句话说，用户鉴别是系统的门户，每个用户进入到系统中都必须经过鉴别这一道关。

最初，Linux系统的用户鉴别过程就像各种Unix系统的一样：系统管理员为用户建立一个帐号并为其指定一个口令，用户用此指定的口令登录后重新设置自己的口令，这样用户就具有了一个只有他自己知道的秘密口令。

一般情况下，用户的口令经过加密处理后存放于/etc/passwd 文件中。

用户登录时，登录服务程序提示用户输入其用户名和口令，然后将口令加密并与 /etc/passwd 文件中对应帐号的加密口令进行比较，如果口令相匹配，说明用户的身份属实并允许此用户访问系统。

这种思想基于只有用户自己知道他的口令，所以输入的口令是正确的话，那么系统就认定他是所声称的那个人。

后来，还采用了许多其他的鉴别用户的方法，如用于网络环境的 Kerberos 以及基于智能卡的鉴别系统等。

但是这些鉴别方案有一个通病：实现鉴别功能的代码通常作为应用程序的一部分而一起编译,这样问题就来了------如果发现所用算法存在某些缺陷或想采用另一种鉴别方法时，用户不得不重写（修改或替换）然后重新编译原程序。

很明显，我们原先的鉴别方案缺乏灵活性，这里的牵一发而动全身的情形很是让人恼火。

鉴于以上原因，人们开始寻找一种更佳的替代方案：一方面，将鉴别功能从应用中独立出来，单独进行模块化设计，实现和维护；另一方面，为这些鉴别模块建立标准 API，以便各应用程序能方便的使用它们提供的各种功能；同时，鉴别机制对其上层用户（包括应用程序和最终用户）是透明的。

linux 权限判断顺序Linux 权限判断顺序在 Linux 系统中，每个文件和目录都有其特定的权限，用于控制对其的访问和操作。

权限判断顺序是指在访问文件或目录时，系统按照一定的顺序进行权限判断，以确定用户是否有权执行相应的操作。

本文将按照权限判断顺序的顺序介绍 Linux 权限相关的内容。

1. 文件类型判断在进行权限判断之前，首先需要判断文件的类型。

Linux 系统中，每个文件都有一个类型标识，包括常见的普通文件、目录、符号链接等。

在权限判断时，系统会先判断文件的类型，然后再根据文件类型进行相应的权限判断。

2. 用户身份判断在确定文件类型后，系统会获取当前用户的身份信息，包括用户ID 和所属组。

每个文件都有所有者和所属组，系统会根据当前用户的身份信息与文件的所有者和所属组进行比对，以确定用户对文件的访问权限。

如果用户是文件的所有者或所属组成员，那么系统会给予相应的权限。

3. 其他用户权限判断如果当前用户既不是文件的所有者，也不是所属组成员，那么系统会根据其他用户权限来判断用户对文件的访问权限。

其他用户权限包括其他用户的读、写和执行权限。

如果文件的其他用户权限允许用户进行相应操作，那么系统将给予用户相应的权限。

4. 文件权限判断在确定用户身份和其他用户权限后，系统会根据文件的权限来判断用户对文件的访问权限。

文件的权限包括所有者、所属组和其他用户的读、写和执行权限。

系统会根据当前用户的身份和文件的权限进行比对，以确定用户是否有权进行相应的操作。

5. 超级用户权限在 Linux 系统中，超级用户（root）拥有最高权限，可以对系统中的任何文件和目录进行操作。

如果当前用户是超级用户，那么系统将直接给予用户相应的权限，无需进行其他权限判断。

Linux 权限判断顺序包括文件类型判断、用户身份判断、其他用户权限判断、文件权限判断和超级用户权限判断。

系统按照这个顺序进行权限判断，以确定用户是否有权进行相应的操作。

可信认证系统原理主要涉及到密码学、身份认证、数据加密和安全协议等方面。

下面将分别介绍这些原理，并结合可信认证系统的实际应用，阐述其工作原理。

1. 密码学原理密码学是可信认证系统的基础，它涉及到编码、加密和解密等过程。

在可信认证系统中，通常采用对称加密算法（如AES）和非对称加密算法（如RSA）来实现数据加密和身份认证。

对称加密算法采用相同的密钥进行加密和解密，适用于大量数据的加密；非对称加密算法采用公钥和私钥进行加密和解密，适用于身份认证和数字签名。

此外，可信认证系统还需要采用数字证书等技术来保证密钥的安全性。

2. 身份认证原理身份认证是可信认证系统的核心，它涉及到用户身份的确认和授权。

在可信认证系统中，通常采用基于密码学的身份认证技术，如基于挑战-应答机制的身份认证协议。

该协议通过向用户发送随机数（挑战）和预设的标识符（应答）来进行身份验证，确保用户身份的真实性和合法性。

此外，可信认证系统还可以采用生物识别技术（如指纹、虹膜等）来进行身份认证，提高认证的准确性和安全性。

3. 数据加密原理数据加密是可信认证系统的重要环节，它涉及到数据的传输、存储和共享等过程。

在可信认证系统中，通常采用加密算法对数据进行加密，确保数据在传输和存储过程中的安全性。

同时，可信认证系统还需要采用数字签名等技术来验证数据的完整性和真实性。

4. 安全协议原理安全协议是可信认证系统的关键组成部分，它涉及到多个参与方的交互和信任管理。

在可信认证系统中，通常采用安全协议来实现用户间的信任关系和数据交换。

例如，基于公钥基础设施（PKI）的安全协议，通过颁发数字证书来管理参与方的信任关系，确保数据传输的安全性和可靠性。

综上所述，可信认证系统的工作原理主要包括密码学、身份认证、数据加密和安全协议等方面。

在实际应用中，可信认证系统需要综合考虑安全性和易用性，采用合适的密码算法、身份认证技术和安全协议来实现数据的安全传输和存储。

同时，可信认证系统还需要不断进行安全漏洞检测和修复，确保系统的安全性和稳定性。