第5章 Linux网络操作系统的安全管理

③IGMP组播：处于实验阶段的协议,提供Internet网际多点传送的功能,即将一个IP包的拷贝传给多个目标主机。客户机器接收到IGMP消息的话,标准响应方式是将这个消息报文再传送给别的组内机器,在Windows系列系统中,这个过程很容易导致TCP/IP栈崩溃。
１３．传输层
②嗅探器：用一个正确设计的程序就可以监听别人发送的信息。典型的有tcpdump和sniffit。
③SSL：监听的主要目的是了解对方传输的信息内容，特别是对于www/mail/ftp/telnet等协议，其中很多东西是简单文本传输。解决问题最基本的思路是将要传输的数据加密，然后再送入TCP/IP，这样即使窃听者听到了所有的信息，它仍然无法解读这些信息到底是什么。这种思路的基本框架和前面讨论的PGP系统很类似，首先要实现一个交换证书的体系，用来证明你访问的目标和你自身的身份是可靠的。目前这方面已经有了一个标准框架，称为PKI。然后，传输的数据使用数据加密和数字签名，保证传输信息的可靠性和可信性。由于大部分网络上数据的传输是通过http协议完成的，而这个协议也最容易受到监听，所以netscape发明了一个称为SSL安全套接层协议的协议来强化http的安全性，它实际是基于socket的，安装在传输层和应用层之间，可以提供数据的加密传输。不过，它并不包含数据签名功能，后者需要浏览器另外实现。利用SSL进行www传输的协议有个专门的名字，叫做https。SSL一共有三个版本。
②ICMP重定向：TCP/IP协议系统中,为了能够判断远程主机的可达性和活动状态,定义了一个名叫ICMP的协议的协议,即网间报文控制协议,它是IP协议的附属协议,IP层用它来与其他主机或路由器交换错误报文和其他重要控制信息。ICMP报文是在IP数据报内部被传输的,主要用来对系统中的错误进行分析和控制。ICMP协议本身并不复杂,常用的ping命令就是使用发送一个ICMP echo报文检查回应的方式来工作的。大部分机器都会回应ICMP报文,从而可以用ping命令检查它的活动状态。许多系统对ICMP包规定了一个尺寸上限,一般是在64KB左右。当操作系统接收到ICMP报文的时候,需要按照报文标题中的尺寸信息来分配TCP/IP缓冲区,如果接收到一个错误或者畸形的ICMP报文,其中的尺寸信息是错误的,即Ping of Death攻击。
第5章 Linux网络操作系统的安全管理
１．TCSEC
①定义：DoD可信计算机系统评估标准。
②TCSEC(TDI)将系统划分为四组七个等级,依次是D；C(C1，C2)；B(B1，B2，B3)；A(A1),安全级别从左至右逐步提高,各级之间向下兼容,也就是说高级别必须拥有低级别的一切特性..D级的定义最低,没有任何安全性,可以随便破坏系统,不会限制.C2类是安全性系统的基本要求,也是绝大部分系统的标准要求。
⑦实现VON技术的标准协议：Microsoft的点对点隧道协议PPTP和IETF的因特网安全协议IPsec和NEC的socks5.。
１２．网络层
①ARP：即地址解析协议,用来在一个局部网内找到和某个IP地址对应的机器,以太网的ARP问题,即由IP地址找到对应的MAC地址,这是通过广播-应答技术实现的。
B函数指针：C语言可以定义函数指针,执行某个地址上的任何函数。这个指针可以指向任何地址空间,攻击者可以用缓冲区溢出的办法改写指针内容,指向自己准备的shell代码,当程序执行到调用函数指针的部分的时候,攻击者就取得了控制权。
C长跳转点：是一个C语言的非结构化跳转系统,它允许程序员设定一个跳转点,然后可以从任何函数内部直接跳入这个跳转点。这个功能的存在主要是为了处理程序事故,跳转点可以指向任何地址,从而如果setjmp设定的跳转点被攻击者修改,当激活longjmp函数的时候,就会跳向攻击者设定的地址。
可以在一个PAM认证过程中使用多种认证模块，后面的认证过程的执行依赖于前面的认证模块结果,还可以随时加入新的模块。
PAM系统的配置文件,可分为/etc/pam.conf文件和/etc/pam.d/目录两种方式。
４．Linux的基本用户隔离和存取授权功能是用文件权限实现的,使用标准的UNIX文件权限体系：每个文件有一个属主用户和一个属主程序组,除此之外的用户都作为其它用户。每个文件存在三种存取权限：用户存取权限,组存取权限和其他用户的存取权限。
５．超级用户权限：权限体系有一个基本的例外,即超级用户root。超级用户就是uid=0的用户。只要设置其uid为0。。
６．suid机制：是在权限组中增加suid/sgid位,凡是suid位被置位的文件,当它被执行的时候,自动获得文件属主的uid,sgid被置位的话,自动获得文件属组的gid..不过实际上用sgid的很少,主要还是用suid,为了安全,尽量少用suid功能,并且定期检查系统上有没有来源不明的suid程序,特别是绝对不要写一个suid的shell脚本。超级用户和suid/sgid机制的存在,是UNIX/Linux体系设计上的一个弱点。
④PGP：基本思路：1.B和A各生成一对密匙.2.通过一个可信的机构,交换自己的公用密匙..3.如果B想要向A发送自己的信息先要用md5算法计算出整个信息的校验和..4.然后用自己的私用密匙加密这个校验和并且附加在整个信息后面…5.用A的公开密匙加密得到的全部数据,发送给A..6.而当A接收到这个数据的时候,先用自己的私用密匙解开密文,得到原文和加密后的校验和…7.再用B的公匙解密校验和…8最后重新计算校验和，判断信息是否被修改过。这个算法加密解密速度一般是很慢的… PGP采用一个折衷的办法：对信息加密采用的是一个名叫IDEAL的算法。
④SSH：是用来解决TELNET/FTP协议安全性的工具,支持两种协议：ssh和sftp
⑤SSH协议两个版本： ssh1和ssh2,两者的功能基本是一样的,不过算法不兼容。都提供两种级别的安全验证：第一种是基于口令的安全验证，也就是一个加密传输的telnet。所有传输的数据都会被加密，只要你给出用户名和口令，就可以连接到系统，其它方面也和telnet完全一样。第二种是基于密匙的安全验证。你需要准备一对密匙，如果你要连接到ssh服务器上，客户端软件就会向服务器发出请求，请求用你的密匙进行安全验证。服务器收到请求之后，先在你在该服务器的主目录下寻找你的公用密匙，然后把它和你发送过来的公用密匙进行比较。如果两个密匙一致，服务器就用公用密匙加密“质询”并把它发送给客户端软件。客户端软件收到“质询”之后就可以用你的私人密匙解密再把它发送给服务器。用这种方式不需要在网络上传送口令。无论如何，ssh保证了telnet命令的加密传输，除此之外，ssh还支持scp命令： scp 本地文件 远程账号@远程主机名。
⑥VPN：虚拟专用网,定义为通过一个公用网络建立一个临时的、安全的连接。它在Internet的一些机器之间建立一个虚拟连接,从而这些机器看上去就像是处在一个独立的网络中,其他系统无法加入。虚拟专用网可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接,并保证数据的安全传输。功能：加密数据；信息认证和身份认证；提供访问控制。
１０．日志：
①定义：是对系统行为的记录。
②操作系统维护三个基本的日志：
A连接时间日志:(用来记录用户的登录信息，这是最基本的日志系统，管理员可以利用它来跟踪谁在什么时候进入了系统)。
B进程记账日志:(用来记录系统中执行的进程信息)。
C syslog日志:(并不由系统内核维护,而是由syslogd或者其它一些相关程序完成,它是各种程序对运行中发生的事件的描述)。
②LIDS：Linux入侵检测系统,并不是一个“入侵监测系统”,而是一个安全性补丁,它可以实现下列的功能：1.入侵防护(它可以对系统中重要的文件、进程和设备进行保护，保证这些对象不会被入侵者操纵)；2.入侵检测(LIDS可以提供对于端口扫描的检测)；3.入侵响应(当发现系统受到攻击之后，它可以将必要的信息记录到日志文件中).
①Shadow令的验证：1.系统记录用户的原始口令,并将其加密保存在系统中,口令原文则被丢弃2.当用户登录系统的时候,输入口令,系统用同样的加密算法将用户输入的口令转换成密文3.比较保存的密文和现在得到的密文,如果相同,允许用户登录系统。
②PAM身份认证体系：Linux系统从Sun引入了可插拔认证模块PAM系统。只有在程序编写时选择了PAM库支持的时候,才能使用PAM认证。
１１．网络接口层
①网络接口/物理层的主要问题：这两层完成的任务是将数据转化成物理的网络帧并且在电气连接上传递。这两层的主要问题，在于具体的硬件特性。最主要的连接产品是以太网。以太网的结构非常简单：许多网络接口卡NIC被电缆和集线器连接在一起。当某一台机器准备发送数据的时候，它首先根据电缆电平判断一下当前是否有其它网卡在工作，如果没有，就开始发送一段数据，然后暂停一下，再重复上述操作。
７．存储空间安全：
①定义：指的是内存以及外存储设备的安全,包括越过文件系统直接访问裸设备的保护。
②内存安全性分两部分：一个是禁止内存中的重要数据被窥探到,另一个是保证进程不去执行非法指令,后者是很大一类攻击与保护技术的核心内容。
②基本的溢出攻击方式：
A堆栈溢出：最重要的缓冲区溢出攻击手段,它的思路是利用堆栈返回地址。堆栈是一段内存空间,一个程序执行的时候,内存可分成代码、数据段和堆栈段：代码段（内存低端）数据段堆栈段（内存高端）数据段存放着程序的静态数据,而动态数据则从堆栈中分配,分配过程是从低端到高端。函数使用的参数和返回地址则用堆栈高端存放。缓冲区是在堆栈底部,溢出程序只要溢出足够多的数据,就可以修改位于内存高端的堆栈返回地址,当函数返回的时候,就会跑到溢出者设定的返回点。假如那里放着执行shell命令的代码,攻击者就拿到了一个shell。如果这个进程是个root进程,攻击就成功了。?
２．C1/C2的要求
1.身份认证；2.系统的资源被归于便不同的所有者,对这些资源的访问必须验证用户权限；3.系统要对用户的行动进行记录。