发信人: netman.bbs@cs3.xmu.edu.cn (邂逅), 信区: cnhacker
标  题: 网络安全(18)
发信站: cs3 BBS (Mon Jun 16 13:51:00 1997)
转信站: Lilac!ustcnews!ustcnews!sjtunews!cs3
出  处: cs3.xmu.edu.cn

  (7)网络实体的命名
      对网络实体的命名原有的UNIX鉴别系统存在一些问题,对UNIX鉴别系统最
  基本的网络实体uid,已经陈述了这个系统的一个问题(太UNIX系统化了),而且
  这个系统还有两个问题:一个是当许多域联系起来时的uid冲突;另一个是超级
  用户不是以每个域为基础赋值,而是以每台机器为基础赋值.在缺省情况下,NFS
  以一种严密的方式解决这一问题:它不允许根通过网络以uid0存取.
      DES鉴别系统通过建立在新名字(网络名)基础上的命名机制纠正这些问题.
  简单地说,网络名是一串可打印字符,从根本上说,我们所要鉴别的正是这些网
  络名.公共关键字和密钥按网络名存贮而不是按用户名存贮.yellow page map
  netid.byname 将网络名映射为本机器中的用户名uid和同组存取序列,而非
  SUN环境会将网络名映射为其它序列.
      我们采用全局唯一的网络名来解决网络命名问题,这比选择全局唯一的用
  户号要容易的多.在SUN环境中,对每个YP域,用户名是唯一的.如将操作系统名
  在YP域中的用户号和ARPA域名组合在一起就构成了网络名.在为一个域命名时
  将ARPA域名加在本地域名之后是一个好习惯.
      象对用户赋以网络名一样,对机器也赋以网络名,这样就可解决多个超级
  用户的问题.机器的网络名其形式与用户的网络名的形式相似,正确的机器鉴
  别系统对网络中的无盘工作站是非常重要的,它必须保证无盘工作站能通过网
  络存取本机的home目录.
      非SUN环境中,网络名的产生也许与前述有较大区别,但这并不妨碍它们通
  过SUN的网络安全系统合法地存取信息,为鉴别一个来自另一个域的用户,只需
  在两个YP数据库是建立实体.一个实体是有关密钥和公开密钥的,另一个是有
  关uid和同组存取序列的.完成这项工作后,在远程域中的用户就可利用本域的
  网络服务.

  (8)DES鉴别系统的应用
      第一个应用是广义的YP更新服务,这个服务允许用户更新YP数据库中的专
  用域.
      另一个应用也是最重要的应用是:更安全的网络文件系统NFS.使用UNIX鉴
  别系统的NFS存在三个问题:
      . 证书的检验仅仅在装配时进行,这时client从服务器获得一条信息,这
        条信息是以后请求的关键:文件handle.如果有人不通过服务器就能通
        过猜想或偷听网络传输内容而获得文件handle,那么他也就能破坏UNIX
        鉴别系统.因为在NFS文件装配完毕后,当发生文件请求时,不再进行证
        书的检验.
      . 假如一个文件系统已从一个为多个client服务的服务器中装配到一台
        client中;当一个具有超级用户特权的用户使用su命令非法存取别人的
        文件时,文件系统不能提供任何保护.NFS的第三个问题是:由于它不能
        鉴别远程client的超级用户,它不得不采用一种严历的方法:拒绝所有
        的超组用户存取.
      新的鉴别系统解决了所有这些问题.某人相获得非法存取权,他不得不猜
  出正确的被编码后的时间标记并放在证书中,而这几乎是不可能的,这样他就
  不能猜出文件handle.由于新的系统可鉴别机器,上述第二,三问题也解决了.
  但是在这点上,根文件系统不能使用安全的文件,而非文件系统的根用户由IP
  地址识别.
      实际上,与每个文件系统相联系的安全级别可由系统管理员改变.文件
  /etc/exports包含有文件和可装配它们的机器名,在缺省的情况下文件系统向
  UNIX鉴别系统开放.但管理员在任意行后加上一secure就可改变为向DES鉴别
  系统开放.与DES鉴别系统相应的是一个参数:服务器能接收的最大窗口的大小.

--
※ 来源:·古庙钟声 cs3.xmu.edu.cn·[FROM: freedom@cs3.xmu.edu.]