linux操作系统安全包含了哪些技术,说说关于 Linux 操作系统安全那些事

随着越来越多的企业选择使用 Linux 操作系统，越来越多的安全隐患也随之浮出水面，一部分是因为开源软件本身的漏洞导致，还有一部分是因为使用者操作不当造成。安全是整个生产系统得以稳定运行的基石，无论是系统运维、开发运维、SRE、程序员都需要关注安全问题。打造一个相对安全的生产环境是每一个技术人员的必备技能。

Linux 操作系统的安全体系分析

Linux 安全框架

Linux 安全框架由内核安全模块、安全应用程序和硬件安全模块组成，它提供了应用程序安全运行以及数据安全的环境。如图所示：

Linux 安全框架各部分说明说下：

安全启动是在启动时检查软件完整性的机制，功能由硬件完成。它通过签名机制检测软件是否有恶意的修改。它将存在软件二进制映像问年中的公钥 Hash 值与存在 OTP(One Time Programmablememory)闪存中的公钥 Hash 值进行比较，确保正确的密钥被用来验证映像文件。

硬件安全模块提供基于密钥管理体系结构的 KEK(Key Encryption Key)。这个模块依赖于硬件平台。硬件平台还通过一个抽象层给上层库和硬件加密服务。

安全模块驱动程序配置硬件安全模块，这个驱动程序依赖于硬件安全模块。

TPAPI(Trusted Platform API)对应用程序提供了安全服务接口。

加密 API 给应用程序定义了通用的加密算法库 API 接口，加密算法库包括 AES、RSA、Hash、Diffie-Hellman、随机数生成器等的软件算法函数。

密钥管理 API 提供了应用程序管理密钥，这些 API 封装了底层密钥环结构，任何需要保持密钥环的应用程序要从 SSM(Secure Service Module，密钥服务模块)申请密钥 ID。一旦应用程序得到密钥 ID，它仅能通过密钥 ID 访问密钥。

TPAPI 集成了完整性验证表(Integrity Verification Table， IVT)模块，它提供了文件系统中软件和数据的完整性保护。它在启动时对关键文件进行完整性检查，对其他文件访问时进行完整性检查。

安全服务模块使用库帮助管理安全数据。它提供了 DRM 和设备管理应用程序使用的设备证书和私人密钥，它还提供了库管理 OTP 和 MTD 内存模块中的数据。

设备管理、数据库后台及 TAPI 等通过安全服务模块 API 访问安全服务，即可信平台 TAPI/NAPI 和证书管理器。

SSM 和 TPAPI 基于加密函数和密钥管理函数提供访问软件和硬件的 API 接口。

安全文件系统为应用程序和服务存储敏感数据提供了地方。

证书管理器由证书管理接口和证书管理器应用程序组成。证书管理器为证书分析和存储、域管理、证书路径管理、证书和签名验证、证书通过 OCSP(在线证书状态协议)的更新/重分配检查提供了接口。证书管理器应用程序提供了用户管理证书的操作界面，它调用证书管理接口实现证书管理。

Linux 常用安全技术

Linux 常用安全技术包括 PAM 机制、Linux 能力机制、入侵检测系统、加密文件系统、安全审计、基于 ACL 的自主访问控制、强制访问控制和其他第三方安全措施(防火墙、杀毒软件等等)，下面分别对各种技术进行简要说明。