了解 EFS

使用加密的文件系统 (EFS)（这是一种新的 AIX® 6.1 安全特性）来保护您的数据，并全面了解 EFS 的配置及其使用。EFS 可以在文件系统级别中采用加密的格式存储文件的内容。如果您是 EFS 的新手，那么本文将是一个很好的起点，以分析 EFS 的必要性、它的特性和最常用的命令。

您可以访问“AIX 6 资源中心”了解更多的 AIX 6 的新特性： AIX 6 资源中心

引言

加 密的文件系统 (EFS) 是 J2 文件系统级别的加密(通过单独密钥存储库)。EFS 允许文件加密,以便保护保密的数据不会被攻击者以直接访问计算机的方式进行窃取。在操作系统运行时，用户身份验证和访问控制列表可以保护文件不会受到未经 授权的访问；然而，如果攻击者获得对计算机的直接访问，那么要绕过控制列表将是很容易的。

一种解决方案是，在 计算机的磁盘中存储经过加密的文件。在 EFS 中，每个用户都具有一个相关联的密钥。这些密钥存储在采用密码保护的密钥存储库中，在成功登录之后，会将用户的密钥加载到内核中，并建立与进程凭据的关 联。当进程需要打开一个受 EFS 保护的文件时，系统将对凭据进行测试。如果系统找到一个匹配文件保护的密钥，那么这个进程就可以对文件密钥和文件内容进行解密。加密信息保存在每个文件的 扩展属性中。EFS 使用了扩展属性版本 2，并且每个文件在写入磁盘之前都要经过加密。在将文件从磁盘读取到内存时对文件解密，因此文件数据能够以明文格式保存在内存中。数据只经过一次解密，这 是一个主要的优点。当另一个用户需要访问该文件时，在授予对数据的访问权限之前，将验证其安全凭据，既使这些文件数据已经以明文格式存在于内存中。如果用 户无资格访问该文件，则会拒绝访问。文件加密不排除传统访问权限的角色，而是增加了更高的粒度和灵活性。

为了能够在系统中创建并使用启用 EFS 的文件系统，必须满足下面的先决条件：

• 在 C (CliC) 密码库中安装 CryptoLite。
• 启用 RBAC。
• 允许系统使用 EFS 文件系统。

AIX EFS 与市场中其他的可用产品有哪些不同呢？

AIX® EFS 加密是在文件系统级别进行的。每个文件都使用唯一的文件密钥进行保护，并且创建了针对恶意 root 的保护。

常用的命令

efsenable

efsenable 命令用于在系统中激活 EFS 功能。它将创建 EFS 管理密钥存储库、用户密钥存储库和安全组密钥存储库。密钥存储库是包含 EFS 安全信息的密钥库。EFS 管理密钥存储库的访问密钥存储在用户密钥存储库和安全组密钥存储库中。efsenable 命令将创建 /var/efs 目录。在执行这个命令时，将使用新的 EFS 属性来更新 /etc/security/user 和 /etc/security/group 文件。

efskeymgr

efskeymgr 命令专门用于 EFS 所需的所有密钥管理操作。用户密钥存储库的初始密码是用户登录密码。组密钥存储库和 admin 密钥存储库不受密码的保护，而是通过访问密钥来进行保护的。访问密钥存储在属于这个组的所有用户密钥存储库中。

当您打开一个密钥存储库（在登录时或者显式地使用 efskeymgr 命令）时，会将这个密钥存储库中所包含的私有密钥推送到内核中，并建立与进程的关联。如果在密钥存储库中找到了访问密钥，那么还将打开相应的密钥存储库，并且会将这些密钥自动地推送到它们的内核中。

efsmgr

efsmgr 命令专门用于 EFS 内部的文件加密和解密管理。只能在启用 EFS 的 JFS2 文件系统中创建加密的文件。在使用这个命令创建文件的文件系统或者目录中设置了继承。当在一个目录上设置了继承时，在缺省情况下，在这个目录中创建的所有 新文件都将经过加密。用于加密文件的密码是继承而来的密码。新的目录同样继承相同的密码。如果在子目录中禁用了继承，那么在这个子目录中创建的新文件将不 会经过加密。

在目录或者文件系统中设置或者删除继承，对于现有的文件不会产生任何影响。必须显式地使用 efsmgr 命令加密或者解密文件。

示例场景

让我们假设有这样一个公司的场景，其中包含三个部门，即销售部门、市场部门和财务部门。这三个部门共享同一台 AIX 计算机以存储它们的保密内容。如果没有启用 EFS，那么在这三个部门之间暴露数据的潜在可能性是相当高的。请参见下面的清单 1，以了解如何使这个容易受到威胁的计算机成为一个存储数据的安全位置。

启用 EFS

要在 AIX 中启用 EFS，可以键入下面的内容：

本文转自：IBM developerWorks 中国

请点击此处查看全文