Máy chủ Linux

Tài liệu tham khảo kỹ thuật công nghệ, chuyên ngành tin học Máy chủ Linux

an toàn bảo mật thông tin linux Hệ thống bảo mật phát xâm nhập mạng (Nids) 1.Lời nói đầu: Linux tạo bùng nổ lĩnh vực tin học ngày trở nên phổ biến Rất nhiều công ty, tổ chức giới chấp nhận Linux platform cho sản phẩm họ, nhiều công ty, ISPs sử dụng máy chủ Linux Internet gateway Vấn đề an toàn an ninh cho hệ thống Linux ngày trở nên quan trọng thiết Tài liệu có nhìn tổng qt an tồn hệ thống hướng dẫn giúp tăng cường mức độ an toàn cho hệ thống Linux Kể từ Linux phát triển cách rộng rãi nhanh chóng, đặc biệt giao dịch kinh doanh quan trọng, an ninh vấn đề định sống Linux Với hàng trăm cơng cụ bảo vệ sẵn có, người dùng Linux trang bị tốt để ngăn chặn trì hệ thống an tồn Linux khơng hoạt động tốt mà cịn có tính sản phẩm liên quan cho phép xây dựng mơi trường tương đối an tồn 1.1 Những nguy an ninh linux Linux ứng dụng khơng lỗ hổng an ninh hệ điều hành khác Theo quan điểm số chun gia máy tính, Linux có tính an toàn cao hệ điều hành Microsoft, sản phẩm Microsoft khơng xem xét kỹ lưỡng chặt chẽ sản phẩm mã nguồn mở Linux Hơn nữa, Linux dường "miễn nhiễm" với virus máy tính (hiện có xuất vài loại virus hoạt động môi trường Linux khơng ảnh hưởng đến người dùng Linux) Nhưng hệ thống Linux cấu hình không tốt tệ nhiều so với hệ thống Microsoft cấu hình tốt !!! Khi có sách an ninh tốt hệ thống cấu hình theo sách giúp bạn tạo hệ thống an toàn (ở mức mà sách bạn đưa ra) Nhưng an tồn khơng phải thứ đạt mục tiêu cuối Đúng tập hợp cách cài đặt, vận hành bảo trì hệ điều hành, mạng máy tính, Nó phụ thuộc vào hoạt động hàng ngày hệ thống, người dùng người quản trị Bạn phải tảng ban đầu từ cải thiện tính an tồn hệ thống bạn nhiều mà đảm bảo hoạt động bình thường hệ thống 1.2 Xem xét sách an ninh Kết nối vào Inernet nguy hiểm cho hệ thống mạng bạn với mức an toàn thấp Từ vấn đề dịch vụ TCP/IP truyền thống, tính phức tạp việc cấu hình máy chủ, lỗ hổng an ninh bên trình phát triển phần mềm nhiều nhân tố khác góp phần làm cho hệ thống máy chủ khơng chuẩn bị chu đáo bị xâm nhập tồn nguy tiềm tàng vấn đề an tồn Mục đích sách an tồn hệ thống định tổ chức phải làm để bảo vệ Để có sách an ninh hiệu quả, người xây dựng sách phải hiểu kết hợp tất thơng tin, u cầu, Khi tình xảy nằm dự kiến, chẳng hạn xâm nhập trái phép vào hệ thống bạn, câu hỏi lớn "sẽ phải làm ?" Những sai sót sách an ninh khơng liên quan đến kẻ xâm nhập, mà liên quan đến vấn đề bình thường thời tiết, thiên tai, cháy, nổ, hư hỏng thiết bị, Do vậy, việc thiết lập sách an ninh tốt cho việc giải cố phải lên kế hoạch kỹ lưỡng, xem xét chứng nhận người có quyền hạn cơng ty Một sách an ninh tốt nên bao gồm vấn đề sau : an toàn bảo mật thông tin linux Hệ thống bảo mật phát xâm nhập mạng (Nids) o o o o o o Chính sách phục hồi liệu có cố Chính sách phục hồi hệ thống trường hợp hư hỏng thiết bị Chính sách, cách thức điều tra kẻ xâm nhập trái phép Chính sách, cách thức điều tra cơng ty bị cáo buộc xâm nhập vào hệ thống khác Cách thức, quy trình nơi thơng báo xâm nhập trái phép từ bên hay gây nhân viên Chính sách an ninh mặt vật lý hệ thống Chính sách bảo mật: Một điều quan trọng cần phải bạn khơng thể thực việc an tồn bảo mật hệ thống bạn chưa xác định cần phải bảo vệ gì, cho Do bạn cần phải có sách bảo mật - danh sách mà bạn cho phép quan tâm đến mà bạn không cho phép quan tâm đến dựa sở bạn có định việc bảo mật cách xác Chính sách nên xác định rõ việc đáp lại bạn vi phạm việc bảo mật an toàn Bạn nên để ý đề xây dựng sách bảo mật phụ thuộc vào việc bạn đưa định nghĩa bảo mật Sau câu hỏi cung cấp số dẫn tổng thể liên quan: - Làm bạn phân biệt thông tin nhạy cảm bí mật? - Hệ thống có nên chứa đựng thơng tin nhạy cảm bí mật khơng? - Chính xác bạn cần phải đề phòng ai? - Những người sử dụng từ xa có thật cần thiết truy cập tới hệ thống bạn không? - Mật giải pháp mã hóa đủ bảo vệ hệ thống chưa? - Bạn có cần phải truy cập Internet không? - Bạn muốn cho phép hệ thống bạn truy cập từ Internet lần? - Bạn làm phát vi phạm việc bảo mật bạn? Giới thiệu chung: 2.1 Ai phá hoại hệ thống: Có hai từ để kẻ xâm nhập hacker cracker Một hacker người thích vào hệ thống Một hacker tốt bụng (benign hacker) người thích tự xâm nhập vào máy để hiểu rõ diễn bên hoạt động Một hacker hiểm độc (malicious hacker) người thích vào hệ thống người khác Benign hacker muốn ngăn chặn tất phá hoại hacker từ đời khái niệm cracker Thật không may, không giống người ta mong muốn, tất trường hợp người ta dùng từ để kẻ xâm nhập ‘intruder’ Kẻ xâm nhập chia làm loại: Từ bên bên Từ bên ngoài: outsiders: Xâm nhập từ bên ngồi mạng, cơng webserver, chuyển thư spam qua mailserver, … chúng cơng fire wall để công máy bên mạng Kẻ xâm nhập từ bên ngồi đến từ internet, đường dial-up, physical breakins, từ đối tác (vender, customer, reseller,…) Từ bên ‘insiders’ Kẻ xâm nhập có tài khoản hợp pháp hệ thống mạng muốn tăng quyền ưu tiên để phục vụ mục ớch khỏc an toàn bảo mật thông tin linux Hệ thống bảo mật phát xâm nhập mạng (Nids) 2.2 Nhng k xõm nhp vo hệ thống ta -Physical Intrusion: Nếu kẻ xâm nhập có kết nối vật lý đến hệ thống ( họ sử dụng bàn phím phần hệ thống) họ vào hệ thống - System Intrusion Kiểu công xảy kẻ đột nhập có tài khoản hệ thống, hệ thống khơng có chỗ vá bảo mật - Remote Intrusion hacker xâm nhập vào hệ thống thông qua mạng Kẻ xâm nhập không cần đặc quyền Có nhiều cách cơng kiểu Kẻ xâm nhập khó khăn nhiều có firewall Chú ý hệ thống phát xâm nhập mạng có liên quan chặt với xâm nhập từ xa 2.3 Tại kẻ xâm nhập vào hệ thống Phần mềm ln có lỗi Những người quản trị hệ thống lập trình viên theo dõi nắm tất lỗi có Cịn kẻ xâm nhập cần tìm lỗi để xâm nhập vào hệ thống 2.3.1 Những lỗi phần mềm Tràn đệm Hầu tất lỗ hổng bảo mật lỗi Một ví dụ điển hình lập trình viên đặt 256 ký tự cho trường username login Bình thường lập trình viên nghĩ khơng có chọn username q Nhưng hacker nghĩ, chuyện xảy tơi nhập vào q giới hạn ? Những ký tự thêm vào đâu ? họ gửi 300 ký tự bao gồm mã thực thi server họ vào Hacker tìm lỗi nhiều cách Đầu tiên phải kể đến mã nguồn cho nhiều dịch vụ có mạng Hacker nghiên cứu mã nguồn tìm lỗi tràn đệm Thứ hai hacker xem chương trình đọc mã assembly khó Thứ ba hacker kiểm tra nhiều liệu ngẫu nhiên Vấn đề chủ yếu gặp chương trình viết ngơn ngữ C/C++, chương trình viết Java Unexpected combinations Chương trình thường xây dựng dựa nhiều lớp mã, hệ điều hành coi lớp Kẻ xâm nhập vào liệu khơng có ý nghĩa với lớp mà lại có ý nghĩa với lớp khác Ngôn ngữ tiếng xử lý liệu vào người dùng PERL Chương trình viết PERL thường gửi liệu vào đến chương trình xa Một cách hacker thường gặp vào liệu giống : “| mail < /etc/passwd” Mã thực thi PERL hỏi hệ điều hành chạy chương trình thêm vào với liệu Tuy nhiên hệ điều hành chạy chương trình mail password file gửi cho kẻ xâm nhập Unhandled input Hầu hết chương trình viết để vào liệu tay Và lập trình viên khơng tính đến chuyện xảy khơng Race conditions tất hệ thống ngày xử lýđa nhiệm đa luồng Họ chạy nhiều chương trình lúc Sẽ nguy hiểm hai chương trình truy nhập vào liệu thời điểm race condition xảy chương trình A đọc file vào an toµn vµ bảo mật thông tin linux Hệ thống bảo mật phát xâm nhập mạng (Nids) b nh, v thay đổi nhớ Tuy nhiên trước A ghi lại file chương trình B thực thi xong trình thay đổi file Bây chương trình A ghi lại file tất thay đổi B bị Vì cần phải có thứ tự nối tiếp thích hợp, race condition xảy Kẻ xâm nhập thường phải thử hàng nghìn lần trước vào hệ thống 2.3.2 Cấu hình hệ thống : cấu hình ngầm định: Hầu hết hệ thống gửi đến cho khách hàng với cấu hình ngầm định, cấu hình dễ sử dụng Thật không may, dễ sử dụng đồng nghĩa với dễ xâm nhập Lazy administrators Có số đáng kinh ngạc máy hệ thống mà khơng có mật cho root hay administrator Đó điều mà kẻ xâm nhập thử khai thác Hole creation Hầu tất chương trình cấu hình để chạy chế độ không bảo mật Đôi người quản trị vơ tình tạo lỗ hổng cho hệ thống Người quản trị nên tắt tất dịch vụ mà không sử dụng tới, cấp quyền cho user vừa đủ cho công việc họ Trust relationships Kẻ xâm nhập thường khai thác liên kết tin tưởng mạng 2.3.3 Password cracking Really weak passwords pass đơn giản để đoán mà người có quan hệ với bạn Ví dụ đa số người dùng lấy mật tên mình, tên vợ, tên người yêu, hay số nhà, số điện thoại, … tất thể mật bạn "yếu" Dictionary attacks công dựa vào từ có từ điển Hacker thử từ có từ điển hoán đổi password Brute force attacks tương tự kiểu công sử dụng từ điển Nó sử dụng tất khả kết hp ca cỏc ký t an toàn bảo mật thông tin linux Hệ thống bảo mật phát xâm nhập mạng (Nids) Gii phỏp an ninh: 3.1 Mật : 3.1.1Bảo mật BIOS - Đặt mật khởi động: Có lời khuyên bạn nên vơ hiệu hóa việc khởi động (booting) từ ổ đĩa mềm đồng thời đặt mật (password) đặc tính BIOS Bạn xem xét tài liệu hướng dẫn BIOS bạn hay xem khởi động lần Việc vơ hiệu hóa khả khởi động từ ổ đĩa mềm có cài đặt mật để truy cập tính BIOS cải tiến tính an toàn bảo mật hệ thống bạn Điều làm cho số người không mong đợi cố gắng thay đổi tính BIOS phép khởi động từ ổ đĩa mềm hay khởi động từ máy server bị nhắc nhở mật 3.1.2Chọn mật (password) đúng: Điểm bắt đầu cho chuyến tham quan Linux General Security mật Nhiều người lưu giữ thông tin tập tin đáng giá họ máy tính, có việc ngăn chặn người khác muốn xem thơng tin hay tập tin u cầu gõ vào chuỗi dài tám ký tự nhiều thường gọi mật Không người nghĩ, khơng thể có mật không giải Với thời gian công sức, tất mật đốn ra, kể việc dùng mưu mẹo sống hay áp lực Dùng mưu mẹo sống để có mật phương pháp truy cập khác cách phổ biến dễ để giành quyền truy cập tới tài khoản máy server Chạy chương trình bẻ khóa mật tuần lần dựa hệ thống bạn ý tưởng hay Việc giúp bạn tìm thay mật mà dễ dàng đốn hay có hiệu lực Cũng thế, chế kiểm tra mật nên có để loại bỏ mật hiệu lực lần chọn mật hay thay đổi mật cũ Chúng ta không nên chấp nhận mật với chuỗi ký tự từ dễ hiểu, tất ký tự có định dạng in hay thường giống nhau, không chứa đựng số hay ký tự đặc biệt Chúng ta nên tuân theo nguyên tắc sau để tạo mật cách hiệu quả: - Có chiều dài sáu ký tự, ưa chuộng tám ký tự có ký tự số hay ký tự đặc biệt - Chúng phải không tầm thường, mật tầm thường mật dễ dàng đốn thường dựa tên, họ, nghề nghiệp số đặc biệt cá nhân khác người sử dụng - Chúng nên có hiệu lực giai đoạn, yêu cầu thay đổi mật sau thời gian định - Chúng nên hủy bỏ hay tạo lại sau có số lần thử không thành công Chiều dài mật khẩu: Chiều dài mật tối thiểu chấp nhận đựoc mặc định bạn cài đặt hệ thống Linux Điều nói lên người sử dụng phép truy cập máy server, chiều dài mật người sử dụng có tối thiểu ký tự bao gồm ký tự, ký số, ký tự đặc biệt v.v Như chưa đủ mà phải Để ngăn chặn người có tư tưởng khơng trọng đến bảo mật bắt buộc họ phải dùng chiêu dài password tối thiểu ký tự, người quản trị hệ thống hiệu chỉnh tập tin quan trọng "/etc/login.defs" thay i dũng sau tr thnh: an toàn bảo mật thông tin linux Hệ thống bảo mật phát xâm nhập mạng (Nids) PASS_MIN_LEN tr thnh PASS_MIN_LEN "login.defs" tập tin cấu hình cho chương trình login Bạn nên xem xét lại hay thay đổi nội dung tập tin cho phù hợp với hệ thống riêng biệt bạn Đây nơi mà bạn đặt cài đặt sách bảo mật khác (giống mặc định hết hạn mật hay chiều dài tối thiểu mật chấp nhận) 3.1.3 Default password Các nhà sản xuất hay sản phẩm ln có mật ngầm định lúc đầu, người quản trị chưa thay đổi chúng kẽ hở để hacker thử Chúng thường là:root root, root system, sys sys, sys system, daemon daemon, uucp uucp, tty tty, test test, unix unix, unix test, bin bin, adm adm, adm admin, admin adm, admin admin, sysman sysman, sysman sys, sysman system, sysadmin sysadmin, sysadmin sys, sysadmin system, sysadmin admin, sysadmin adm, who who, learn learn, uuhost uuhost, guest guest, host host, nuucp nuucp, rje rje, games games, games player, sysop sysop, root sysop, demo demo, … 3.1.4 Tăng tính an tồn mật mã hoá: Mật hệ thống *nix lưu file /etc/passwd, file chứa tên người sử dụng, UIDs, GIDs, mật mã hoá cho người sử dụng hệ thống Ngồi ra, file cịn lưu thơng tin khác, tên đầy đủ người sử dụng, đường dẫn thư mục, hay hệ thống shell Bất kỳ truy cập hệ thống hiển thị nội dung file /etc/passwd Điều tạo khả phá hoại với user kẻ công tạo lỗ hổng bảo mật để nhận file mật Các hệ thống *.nix thường sử dụng thuật toán mã hoá (như thuật toán DES) để tạo bảng băm mật DES sử dụng thuật toán mã hoá 56 bit Với thuật toán này, DES sử dụng thuật toán mã hoá phổ biến trước Tuy nhiên, theo thời gian, phần cứng phát triển giá thành thiết bị rẻ đi, thuật toán trở nên dễ dàng giải mã tạo lại mã Vì vậy, với hệ thống tốc độ nhanh việc crack mật khơng phải q khó.Ví dụ: l0phtCrack sử dụng để crack mật Windows, chương trình crack Alec Mufet sử dụng để crack mật hệ thống *.nix Việc phá mã phát triển theo thời gian, viết từ năm 1991 phát triển đến phiên 5.0a Việc phá mã cấu hình để tương thích với mơi trường nào; file cấu hình sửa đổi hỗ trợ cho định dạng file mật khác nhau, loại thuật toán mã hoá khác nhau, Việc phá mã sử dụng danh sách từ điển tảng cho việc phá mã; file từ điển cấu hình lại cách dễ dàng Nói chung, để liệt kê danh sách cấu trúc thư mục cho việc thử chương trình, bạn cấu hình tập từ điển hay luật tạo mã phần việc phá mã Các luật bao gồm phương thức gắn trước hay sau ký tự vào từ chuẩn, gấp đôi hay đảo ngược từ, thay đổi ký tự từ thường sang hoa , hay thay từ từ khác Vậy làm cách để bảo vệ mật hệ thống *.nix file /etc/passwd file đọc phát triển ạt công cụ crack mật Một vài phương thức cải thiện mật thực cho phương thức an toàn mật hệ thống *.nix Đầu tiên giới thiệu loại mật bóng (shadow password) Việc chứa bảng băm mật file c c an toàn bảo mật thông tin linux Hệ thống bảo mật phát xâm nhËp m¹ng (Nids) /etc/passwd khơng an tồn, bảng băm đưa vào file riêng rẽ, file /etc/shadow File đọc quyền root có khả bảo mật tốt Hai file sử dụng để cung cấp việc chứng thực cho user Các file mật bóng trở nên thơng dụng sử dụng mặc định cho nhiều hệ thống *.nix Sun Solaris Tuy nhiên, chúng mặc định toàn hệ thống Chẳng hạn với Red Hat Linux, việc sử dụng mật bóng lựa chọn bước cài đặt hệ thống Các mật bóng nên sử dụng đâu hệ thống Thứ hai, số phiên *.nix cung cấp thuật toán mã hoá tốt hơn, (có thể sử dụng tuỳ chọn mã hoá), sử dụng thuật toán bảng băm MD5 thay cho DES Passwd lệnh mặc định sử dụng cho việc thay đổi mật hệ thống *.nix Lệnh hỗ trợ việc kiểm tra tính an toàn tối thiếu mật người sử dụng khơng hỗ trợ tính địi hỏi người sử dụng thay đổi mật họ sau khoảng thời gian Ví dụ lệnh passwd Sun Solaris hỗ trợ tính trên, tạo kiểm tra sau:  Độ dài tối thiểu, mà nhà quản trị định (mặc định ký tự) Chú ý bất chấp độ dài mật khẩu, có ký tự đầu xem cho mục đích chứng thực  Phải chứa ký tự (hoa thường) số hay biểu tượng  Không thể tên, đảo ngược tên truy cập hệ thống, hay việc dịch chuyển ký tự từ tên truy cập hệ thống  Các mật phải có ký tự khác so với mật cũ npasswd, viết Clyde Hoover, thực kiểm tra sau:      Kiểm tra từ vựng (độ dài tối thiểu); không cho phép ký tự lặp lại hay mẫu mật thông thường số thường gặp; đòi hỏi mật pha trộn số, ký tự, biểu tượng Kiểm tra file passwd (không cho phép lấy thông tin từ file passwd) Kiểm tra từ điển (không cho phép mật tạo từ từ tìm thấy file từ điển cấu hình) Kiểm tra thời điểm (tuỳ chọn - không cho phép sử dụng mật sử dụng gần đây) Kiểm tra địa phương (tuỳ chọn - site cấu hình - kiểm tra định; mặc định không cho phép nhiều tên hostname file rhosts) Anlpasswd viện nghiên cứu quốc gia Argonne chuyên ngành thuật toán khoa học máy tính, chương trình viết ngơn ngữ Perl Sự cải thiện hỗ trợ cho môi trường NIS kiểm tra mật user chống lại danh sách từ điển với khoảng 13 tỷ từ tạo chương trình crack Passwd+, viết Matt Bishop, chương trình phức tạp, mà giúp bạn cấu hình số kiểm tra (dựa mơ hình mẫu, xâu, số hay ký tự) Mỗi mật phải thoả mãn toàn kiểm tra này.Nếu lựa chọn thay passwd với giá trị (nhìn chung ý tưởng tốt) cần cần xem xét số điểm Đầu tiên, kiểm tra liệu giá trị passwd bạn có hỗ trợ sử dụng mật bóng; ngồi file mật bóng, bạn phải dựa vào độ mạnh thuật tốn mã hố độ lớn mật (ví dụ loại bỏ mật yếu) để bảo vệ bạn Thứ hai, bạn chạy NIS hay NIS++, m bo rng an toàn bảo mật thông tin linux Hệ thống bảo mật phát xâm nhập mạng (Nids) phn mm h tr ch mơi trường; khơng phải tồn Các mật bóng có thuật tốn mã hố mạnh, có lọc mật tốt hơn, cung cấp tính bảo vệ tốt cách tạo độ khó cho kẻ cơng trì crack mật người sử dụng 3.1.5 Các mối đe doạ khác giải pháp Các mật hệ thống bảo mật tốt hơn, mối đe doạ tồn Điều đặc biệt với mơi trường hệ thống *.nix, có nhiều mối đe doạ dựa chương trình TCP/IP giao thức mà khơng xây dựng thuật toán mã hoá hay chế bảo vệ khác Ví dụ: telnet lệnh r* (rsh, rlogin, ) gửi mật dạng text Việc bảo vệ mật mã hoá chứa hệ thống khơng cịn ý nghĩa nhiều bạn truyền mật dạng text qua mạng Các giao thức không bảo mật nên đặt với giao thức bảo mật thay Sử dụng secure shell - ssh, mà thơng tin mã hố truyền tới đầu cuối, thiết kế thay đổi telnet rsh; secure copy (scp) sử dụng để thay ftp rcp OpenSSH sản phẩm miễn phí phát triển phần tồn dự án OpenBSD Nó gồm có ssh, scp công cụ ssh Các giá trị BSD (OpenBSD, FreeBSD, BSDi) số phiên Linux (Debian, SuSE, RedHat, Mandrake) Hiện tại, OpenSSH sử dụng phần thêm vào cho hệ thống *.nix Các giải pháp khác Do đa dạng mật hệ thống *.nix hệ thống truyền thông, số phương pháp khác thực để làm tăng tính an tồn cho mật Một phương pháp thơng dụng mô tả mật sử dụng lần sau hủy bỏ Các hệ thống có thuận lợi sau:   Chúng hướng tới thực thi truyền thông mật mang tính bảo mật, hầu hết sử dụng việc mã hố khn dạng giao thức dạng challenge/response, mật không truyền mạng Vì mật sử dụng lần, chí chúng bị lấy kẻ cơng, khơng thể sử dụng lại Các hệ thống mật sử dụng lần (OTP - Once-Time Password) thực phần cứng - thẻ smart card - hay phần mềm Trong giải pháp thương mại tồn tại, xét đến số chương trình dạng miễn phí S/ KEY, hệ thống dựa theo mơ hình OTP, viết Bellcore (hiện viết Telcordia) phát triển phần mềm mã nguồn mở Bellcore gần bắt đầu phát triển phiên thương mại, phiên miễn phí cung cấp Khi S/KEY trở thành sản phẩm thương mại, phần mã nguồn mở chương trình quan tâm phát triển thành sản phẩm OPIE Cả S/KEY OPIE sử dụng hệ thống challenge/response Trong trường hợp, mật người sử dụng chứa, dạng mẫu mã hoá, hệ thống máy chủ Mỗi hệ thống sử dụng mã tạo mật chung dựa theo thông tin người sử dụng cung cấp lúc ban đầu liên kết với số Mật người sử dụng tạo cách đặt thơng tin người sử dụng qua thuật toỏn bng bm (nh thut an toàn bảo mật thông tin linux Hệ thống bảo mật phát xâm nhập mạng (Nids) toỏn MD4 cho S/KEY, MD5 cho OPIE) với số N mật tạo N số lần dãy bảng băm để người sử dụng truy cập Mật tạo cách giảm N đặt thơng tin bảng băm số N-1, tiếp tục Với mục đich chứng thực, người sử dụng đăng nhập vào hệ thống, gửi tên truy nhập tới máy chủ Máy chủ trả lời theo phương thức challenge, bao gồm tạo số người sử dụng Sau người sử dụng gõ mật gửi tới máy chủ, mật trùng với mã mà máy chủ tạo trước khoảng thời gian, người sử dụng chấp nhận truy cập hệ thống (Chú ý rằng, mật có giá trị khoảng thời gian định Và khoảng thời gian này, người sử dụng nhập lại hệ thống không thiết lập lại hay khởi tạo lại) S/KEY OPIE thực thiết kế để bảo vệ kẻ cơng replay attack, thơng tin mật có giá trị cho phiên làm việc, khơng thể bị lây công cụ mạo danh hay sử dụng lại thời điểm khác Tuy nhiên, thơng tin mã hố yếu làm hệ thống S/KEY hay OPIE có lỗ hổng mật yếu Vì vậy, ban đầu, cần quay lại nơi mà xuất phát: sử dụng mật có độ dài đủ lớn 3.1.6 Các cơng cụ: An tồn mật hệ thống *.nix bao gồm khía cạnh chính: Đầu tiên, bạn phải tạo mật bảng băm với độ khó cho kẻ cơng khó phá mã Bạn thực điều sử dụng file mật khẩu, hạn chế quyền truy cập thay đổi file chuẩn /etc/passwd file Thứ hai, bạn phải mã hoá mật truyền tin Thay giao thức sử dụng việc chứng thực dạng text với dạng chứng thực mã hoá Thứ ba, đảm bảo thuật tốn mã hố, thân an tồn Khơng có phương thức mã hố hồn hảo; Để sử dụng thuật tốn mã hố mạnh nơi (MD5 hay MD4 hay thủ tục mã hố crypt) Thậm chí bạn sử dụng thuật toán mã hoá, mật mạnh phương thức tốt bảo vệ việc phá mã hay đoán mật Cuối cùng, việc kiểm tra mật bạn (ví dụ: với quyền truy cập) cách tốt để nâng cao độ an tồn cho hệ thống bạn Các cơng cụ Crack hữu ích khơng cho kẻ cơng mà cịn cho người quản trị an tồn hệ thống Tồn cơng cụ liệt kê bảng sau: Công cụ kiểm tra Phiên Crack 5.0a anlpasswd 2.3 npasswd passwd+ Có sẵn Trung tâm nghiên cứu giáo dục thuộc trường đại học Purdue (CERIAS) Có nhiều Website cung cấp, gồm server FTP CERIAS Thuộc trường đại học Texas Austin số website khác 5.0a Trường đại học Dartmouth số Môi trường chạy *nix; Solaris, Linux, FreeBSD, NetBSD, OSF, and Ultrix *nix BSDI, FreeBSD, NetBSD, SunOS, UNIX, and Ultrix *nix an toµn vµ bảo mật thông tin linux Hệ thống bảo mật phát xâm nhập mạng (Nids) website khỏc a download: ftp://ftp.dartmouth.edu/pub/security/ S/KEY OPIE Bellcore FTP site FTP site Bellcore, theo địa chỉ: 1.1 (phẩn ftp://thumper.bellcore.com/pub/nmh/ mềm miễn phí) 2.32 The Inner Net (http://www.inner.net/opie) AIX, BSDI, DG-UX, Digital UNIX/Alpha, FreeBSD, HPUX, IRIX, Linux, NetBSD, OpenBSD, SCO, Solaris, SunOS, and Ultrix *nix 3.2 Cấu hình hệ thống 3.2.1 Tài khoản root: Tài khoản root gán quyền nhiều hệ thống Unix T khoản "root" khơng có hạn chế bảo mật Điều có nghĩa hệ thống cho bạn biết bạn làm, thực xác bạn u cầu - khơng có câu hỏi đặt điều Chính vậy, rễ dàng với câu lệnh nhập sai xóa tất tập tin hệ thống Vì sử dụng tài khoản bạn phải tuyệt đối cẩn thận tránh lỗi lầm đáng tiếc Để phục vụ cho lý bảo mật không cần phải log-in vào máy server bạn "root" Hơn nữa, bạn khơng có làm việc máy server bạn, đừng nên vào khỏi hệ thống "root"điều dở Đặt thời gian time-out login cho tài khoản root: Mặc dù lưu ý không nên vào hệ thống với account "root" logout không làm việc máy server, nhiên có người quản trị hệ thống lưu lại hình login "root" hay quên khỏi hệ thống (logout) sau kết thúc công việc họ rời khỏi máy trạm không với tài khoản Để giải vấn đề ta tạo bash shell tự động logout sau không dùng khoảng thời gian Để thực điều đó, bạn phải đặc biến đặc biệt Linux đặt tên "TMOUT" tới thời gian tính giây khơng có thao tác nhập vào trước logout Chỉnh sửa tập tin profile bạn "vi /etc/profile" thêm dịng sau vào nơi bên dòng chứa "HISTFILESIZE=" tập tin này: TMOUT=7200 Giá trị mà nhập vào cho biến "TMOUT=" tính giây biểu thị (60*60=3600*2=7200 giây) Điều quan trọng ghi bạn định đặt dòng vào tập tin "/etc/profile", việc tự động logout sau khơng có hành động áp dụng cho tất người sử dụng hệ thống Nếu bạn thích điều khiển việc tự động logout cho user cụ thể bạn đặt biến tập tin riêng ".bashrc" họ Sau tham số đặt lại hệ thống, bạn phải logout login lại lần (như root) cho việc thay đổi có tác dụng 3.2.2 Tập tin "/etc/exports" 10 ... gửi tên truy nhập tới máy chủ Máy chủ trả lời theo phương thức challenge, bao gồm tạo số người sử dụng Sau người sử dụng gõ mật gửi tới máy chủ, mật trùng với mã mà máy chủ tạo trước khoảng thời... khởi động từ máy server bị nhắc nhở mật 3.1.2Chọn mật (password) đúng: Điểm bắt đầu cho chuyến tham quan Linux General Security mật Nhiều người lưu giữ thông tin tập tin đáng giá họ máy tính, có... phép ngụy trang máy IP-Spoofing môt thành tích bảo mật chói lọi, làm việc mẹo văt máy tính mối quan hệ đáng tin cậy mà bạn người mà thật khơng phải Trong loại hình cơng này, máy cài đặt server