2023-2024-1 20232806《Linux内核原理与分析》第十一周作业

Linux系统安全相关技术

Linux系统作为基础软件，系统安全至关重要，只有保障了系统安全，才能保障依赖于此系统提供服务的各种信息的安全。保障Linux系统安全只是手段，保障操作系统中的信息安全才是目的。本章结合信息安全和操作系统安全的需求，探讨了Linux的基本安全机制，包括Linux权限、Capabilities、AppArmor、SELinux等，并结合云化带来的数据安全和机密计算趋势，进一步以openEluer上的可信计算和secGear框架为例探讨了可信计算和机密计算。

一、操作系统安全概述

操作系统安全是指保护计算机系统中的软件、硬件和数据免受未经授权的访问、破坏、损坏或泄露的一系列措施。这方面的工作旨在确保计算机系统的机密性、完整性和可用性。

1.信息安全设计原则
信息安全的基本原则是CIA三元组（也称为安全原则三剑客）——机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）。CIA三元组是信息安全中的三个最重要的目标。一个完整的信息安全保障体系，应该充分考虑到CIA三元组的基本原则，如下图所示。

• 保密性（Confidentiality）是指防止未经授权的人员或实体获取重要和敏感信息的能力。它的目的是确保信息只被授权的人员或实体访问。
• 完整性（Integrity）是指确保信息未被篡改、损坏或破坏的能力。维持信息的完整性需要确保信息在传输、存储和处理过程中不会被改变。
• 可用性（Availability）是指确保信息系统和信息资源在需要时可用、可访问和可用于其预期目的的能力。可用性确保信息资源在未受到攻击、自然灾害或人为错误等事件影响时一直可用。

基于引用监视器，James P.Anderson在1972年提出了一个经典安全模型。保障系统安全的措施为：认证、授权、审计。称为“3Au法则”。

• 认证（事前防御）：包括身份识别和认证。身份识别强调主体如何声明自己的身份，身份认证强调主体如何声明自己的身份是合法的。
• 授权（事中防御）：通过某种途径显式地准许或限制访问能力及范围地一种方法。
• 审计（事后防御）：包括审计和问责。审计即记录用户的请求和行为，问责即发现用户做了某些异常操作时由日志系统提供记录。审计和问责的基础是日志。

2.操作系统安全设计目标
操作系统安全是计算机系统安全的基础，没有操作系统安全，就不可能有数据库安全、网络安全和其他应用软件的安全。
（1）按系统安全策略对用户的操作进行访问控制，防止用户对计算机资源的非法访问。
（2）实现用户标识和身份鉴别。
（3）监督系统运行的安全性。
（4）保证系统自身的安全性和完整性。

二、Linux系统的安全机制

Linux系统的安全机制基于多层防御策略，旨在保护系统、数据和用户免受恶意攻击。
1.Linux系统的用户账号
Linux规定了3种不同类型的用户，分别是：1、超级用户，超级用户的用户名为root，它具有一切操作权力；2、程序用户，程序用户是Linux系统正常工作所必需的内建的用户，一般是用于管理服务所用；3、普通用户，普通用户是为了让使用者能够使用Linux系统资源而建立的，用户新建的账号一般就是普通账号。如下图所示。

2.SUID和SGID：用于普通用户执行特权，当普通用户在运行该可执行文件时，进程的权限不是运行这个可执行文件的普通用户对应的权限，而是这个可执行文件属主的权限。但是此类型文件容易被黑客利用来提取权限，因此，Linux系统中提供了chatter命令，将系统中的一些关键文件设置为不可修改，或者某些日志文件设置成只能追加。
3.Linux文件系统的权限
每一个Linux的文件或目录都有3组属性，分别定义文件或目录的所有者、用户组和其他人的使用权限。如下图所示。

4.Linux的日志文件
Linux的日志文件记录了系统的活动信息，例如系统的某个进程做了什么样的操作，其结果是如何等。系统的各类服务，即systemd管理的众多daemon在同时工作，它们工作的信息便会被记录到日志文件中。

三、Linux系统的访问控制

访问控制是按照访问者的身份来限制其访问对象的一种方法。访问者又称主体，可以是用户、应用程序和进程等，资源对象为客体，可以是文件、服务和数据等。通过对用户进行身份认证，再根据不同用户授予不同权限，访问控制实现了两个目标：防止非法用户进入系统、阻止合法用户对系统资源的非法使用。
1.Linux系统访问控制概述
访问控制是按照访问者的身份来限制其访问对象的一种方法。访问控制有3种基本类型：自主访问控制（DAC）、强制访问控制（MAC）和基于角色的访问控制。
（1）自主访问控制模型（DAC）
是资源的所有者，往往也是创建者，可以规定谁有权访问他们的资源。安全性较低，不能抵御特洛伊木马的攻击。DAC可以用访问控制矩阵来表示。
（2）强制访问控制模型（MAC）
主体和客体都有一个固定的属性，系统用该安全属性来决定一个主体是否可以访问某个客体。保护敏感信息一般用MAC，需要用户提供灵活的保护，更多的考虑共享信息时，使用DAC。
2.Linux Capabilities
Linux Capabilities是一种细粒度的权限管理机制,用于将root用户的特权划分为具体的功能集。它允许将部分root特权授予非root进程，如下图所示。

四、可信计算和机密计算

可信计算是一种计算机安全技术，致力于建立和维护计算环境的可信度。其核心目标是确保计算设备在运行过程中的可信性，防止恶意软件、未经授权的访问和数据泄露。
机密计算旨在保护计算任务和数据在运行时的机密性。它使得在计算过程中，即使是运行计算的硬件或服务提供商也无法访问敏感数据。其主要代表为2020年华为提出的seeGear机密计算框架，该框架包括Base Layer、Middleware Layer、Service Layer。