基于PAM保护Linux系统应用程序的安全性研究_信息与通信_工程科技_专业资料。以Red Hat Enterprise Linux5.0系统为研究平台,针对如何使用可插入验证模块(Pluggable Authentication Modules,PAM)保护Linux系统应用程序的安全性进行分析,研究了PAM的基本原理以及有效地使用认证模块来保护应用程序的安全性。
基于 Ｐ Ｍ保护 Ｌｎ ｘ系统应用程序 的安全性研 究 Ａ ｉｕ 马仪 超 ，郑德 峰 ，杨 晓斌 （ 昌工程 学院 ，江 西 南 昌 ３ ０ ９ ） 南 ３ ０ ９ 摘 要 ： 以 ｇｄ ＨｔＥｔｒ ｉ ｉｘ ５ ０系统 为研 究平 台 ，针 对 如何 使 用可 插 入 验 证 模 块 （ｌ ｇｂ ｕ ｅｔａｉ ｏ ｌ ，Ｐ Ｍ ｅ ａ ｎｅ ｒｅＬ ｕ ． ｐｓ ｎ Ｐ ｇａｌ Ａｔ ｎｃｔｎＭ ｄｅ Ａ ）保 ｕ ｅ ｈ ｉ ｏ ｕｓ 护 Ｌｕ ｉｘ系统应 用程 序 的安 全性进 行 分析 ，研 究 了 ＰＭ 的基 本 原 理 以 及 有 效地 使 用认 证模 块 来保 护 应 用程 序 的 安 全 性 。 ｎ Ａ 关键词 ：Ｐ Ｍ；Ｌ ｕ Ａ ｉｘ系统 ；安全性 ｎ ＡＳｅｃ ｒｔ Ｒｅ ｅ ｒ ｈ ｕ ｉｙ ｓ ａ ｃ Ｂａ ｅ ｏ ＰＡＭＰｒ ｔ ｃ ｔ ｅ ｓ ｄ ｎ ｏ ｅ ｔ ｈ Ｌｕ ｕｘ ｎ Ｓｙｓ ｅ Ａｐ ｉ ａ ｉ ｎ ｔ ｍ ｐｌ ｔ ｏ ｃ ＭＡ ｊ ｈ Ｏ Ｚ Ｅ Ｇ ｅ ｆ ｎ Ｙ—ｃ ａ ， Ｈ Ｎ Ｄ － ｅ ｇ， Ｙ Ｎ ×ａ —ｂｎ Ａ Ｇ ｆＯ ｉ （ａ ｎｎ ｎｉｅｎ ／ｔ＃ｅｏｏｗｒ ／ｏ ￣ｌ ｄｔ＇ ｌｃ ｎ， Ｊｎｘ Ｊ Ｏ ＃ ， ｃ￣） Ｉｎ ａ Ｅｇ ｅｒｇ ｎ ／ ｔ ＹＮ ｔｏ ／ ｒ ｔｎＣｎｅ ａ ｋ ｇ ／ｇ ／ Ｊ ０ ＃ ｋａ Ｖｃ ｇ ｎ ｉ ｓＺ ｋ ７ｍ ｂ ｆ ｌ ，Ａｎ ａ ａ Ａｂ ｔａ ｔ Ｂ ｓｄ ｏ ｇｅ Ｈ ｔ Ｅｎｅｐｉ Ｌｎｘ ５ ｓ ｔｍ， ａ ａｙ ｉ ｈｗ ｔ ｐｏｅ ｔ ｔｅ ｓｃｒｔ ｏ Ｌｎ ｘ ａ ｐｉ ｔ ｎ ｗｉｈ ｌ ｇ ｂｅ ｓ ｒｃ ： ａ ｅ ｎ ｄ ａ ｔｒｒ ｅ ｉｕ ０ ｙｓｅ ｗｅ ｎ ｌｓ ｏ ｓ ｓ ｏ ｒｔ ｃ ｈ ｅ ｕｉｙ ｆ ｉ ｐｌａ ｉ ｓ ｕ ｃ ｏ ｔｐｕ ａ ｌ ｇ ａ ｔｅ ｔ ａ ｉｎ ｏ ｕｅ ． ｆ ｃｓｏｔｅ ａ ｉ ｒ ｃｐ ｓ ｆ ｈｐｕ ｇ ｂｅ ｕ ｈｎ ｉ ｔ ｎ ｄ ｌｓ ｎｕｉｇ ｕｈ ｎｉａ ｉ ｍｏ ｕ ｓ ｆ ｅｔｖ ｌ ｕｈ ｎｉ ｔｏｍ ｄ ｌ Ｗｅ ｏ ｕｅ ｎ ｈｂ ｓ ｐｉ ｉｌ ｏｔｅ ｌｇ ａ ｌ ｃ ｓ ｃ ｎ ｅ ａ ｔ ｅｔｃ ｉ ｍｏ ｕｅａ ｄ ｓｎａ ｔｅ ｔｃｔｏ ａｏ ｎ ｄ ｌ ｅｆ ｃｉｅｙ． ｅ Ｋｅ ｗｏｒｓ： Ｐ ｙ ｄ ＡＭ；ｉ ｘ ｙｓｅ ｓｃ ｒ ｙ ｌｕ ｓ ｔ ｍ；ｅｕｉ ｎ ｔ １引言 计算 机 系统 被 设 计 为 多 用 户 多任 务 操 作 系统 ，为 了 保 证 计 算机 的安 全 性 ， 只有 经 过授 权 的合 法 用户 才能 够 访 问 计 算机 系统 及 应 用程 序 。 如何 正 确 地 鉴 别用 户 及 为 应 用 程序 提 供 安 全性 验 证 是 计 算机 系统 设 计 中 的一 个 关 键 问题 。最 初 ，Ｌｉ ｎｕＸ系 统 管理 员 为 系统 中 的每 一 个 用 ２ Ｐ Ｍ 体系结构与验证过程 Ａ ＇ Ｐ ＡＭ 是 要求 验证 服 务的 应用程 序 与提 供验 证服 务 的 验 证机 制 之 间通 信 的接 口 ，是 Ｌｉ ｘ系统应 用程 序 安全 ｎｕ 通 道的入 口。在 ＰＡＭ 验证 体系 结构 中 ，最核 心的组 件是 验 证库 文 件 ＡＰＩ 和验 证 模块 ，前 者 是认 证 系统 应 用程 序 的接 口，是面 向应用 程序 的前端 ，后 者是 为各种 应用程 序 提供 不 同的 验证 方法 ，图 １ 出 了应用 程序 、ＰＡＭ 库文 给 件和 验证模 块之 间的关 系。 首先 应用程 序调 用 Ｐ ＡＭＡＰ ，Ｐ Ｉ ＡＭＡＰ 根 据应用 Ｉ 一 Ｋｅ ｂ ｒ Ｓ验证 技术 以及基 于智能 卡的验 证 系统 ，这 些验 ｒｅＯ 证 技术 有一个 共 同的缺点 ：实现 验证 功能 的代码通 常 是作 为 应用程 序的 一部分 进行编 译 ，如果 想采 用另外 一种验 证 技 术或者所 使用 的算 法存在 某些 缺 陷，用 户不得不 重写 或 者修 改部分 源代 码 ，然后重 新编译 ，缺 乏灵活 性 ，违背 了 软件工 程 “ 内聚 、低 耦合” 的原则 。 高 １９ ９ ５年 ，Ｓｕ ｎ公 司 的 研 究 员提 出了一 种 可 插 入 的验 证 模块 （ ｌｇ ａ ｌ Ａｕ ｈ ｎ ｉａｉｎ Ｍｏ ｕｅ ，Ｐ Ｐｕ ｇ ｂｅ ｔ ｅ ｔ ｔ ｄ ｌｓ ＡＭ）技 ｃ ｏ 程序的 Ｐ ＡＭ 配置 文件 （ ｅｃ ｐ ｍ． ／ ／ ｔ／ ａ ｄ ）中的相关 配置 加 载相 应的验 证模块 ，接着将 应用程 序 的验证请 求转 发给 已经 加载 的底 层验证 模块 ，验证 模块 根据 要求执 行指 定的 验证 操作 ，当验 证模 块执 行完相 应操 作后 ，应用程 序接 口 层将 验证 结果返 回给请 求验证 的应 用程序 。 ＰＡＭ 统 一 了系统 的 验证 和访 问控 制 ，通过 统一 的接 口允许 插入 相对应 的验 证模块 ，可 以使 用 多种 不 同的方法 来 实现验 证模 块的插 入 。 术 … Ａ 在 实现 上 采用 了分 层 的体 系结 构 ，将 各种 具 ，Ｐ Ｍ 体 的认证模 块从 应用程 序 中独立 出来组 织成 为 一个 额外 的 验证 层 ，使 得应 用程序 的验 证机制 与应 用程 序之 间相互 独 立 ，系统管 理人 员和应 用程 序开发 人员 无需 了解应 用程序 自身 的验证机 制就 可 以动 态灵 活地配 置
