Kp office msvs. Military Mobile System (MSWS): Un sistem de operare securizat de uz general. Să începem instalarea

În această recenzie, voi încerca să instalez o copie a RedHat Enterprice Linux pentru nevoile Ministerului rus al Apărării pentru a vedea cum funcționează pe hardware-ul modern. Ultima versiune a WSWS a fost deja în 2011, dar continuă să fie „utilă” în armata rusă:

Să începem instalarea

Îl vom instala pe un laptop FUJITSU LIFEBOOK N532, care funcționează stabil pentru mine în Linux și Windows. Acest laptop a fost lansat în 2012, la doar un an după WSBC 5.0.

Fereastra de pornire este o copie redusă a RedHat Enterprise Linux:

Au fost chiar prea leneși să facă o fereastră de încărcare normală, au schimbat fundalul/logo-ul, au eliminat butoanele inutile și atât.
Pentru a continua instalarea, pur și simplu apăsați Enter:

S-a încărcat programul de instalare MS-DOS în stil retro, dar înainte de lansarea MSBC 5, aproape toate distribuțiile aveau deja un program de instalare grafic. Debian are și un program de instalare text, dar este mult mai simplu și mai clar decât acesta. Suntem întrebați dacă verificăm sau nu DVD-ul de instalare. Să verificăm pentru orice eventualitate:

Discul este scris normal, nu există erori. În continuare, ni se cere să verificăm dacă există medii suplimentare, dar nu am niciunul.

Instrumentul de partiționare a discului s-a încărcat cu opțiunea de a șterge toate partițiile selectate. Ce se întâmplă dacă ofițerul, bazându-se pe inteligența industriei IT autohtone, apasă pur și simplu Enter?
Acum să începem să partiționăm discul. Există alte două sisteme de operare instalate pe acest computer și am selectat „Creați-vă propria partiție”

Avem 30 GB de spațiu neformatat neutilizat, selectați „Utilizați spațiu liber și creați o partiție implicită” și obținem o eroare de partiționare: nu se pot aloca partițiile solicitate

Faceți clic pe „Da” și obțineți o eroare de partiționare automată:

Faceți clic pe „Da” și selectați „Creați-vă propria partiție”

Deoarece acest „DOS fdisk” nu arată cât de mult este ocupat și liber, pentru a nu șterge nimic accidental, am decis să mă uit la partițiile din alt sistem de operare și am apăsat pe repornire (alt+ctrl+del îmi amintesc din MSDO).

Computerul a blocat la aceste cuvinte, dar răspunde la CapsLock. Mai așteptăm încă 15 minute și doar apăsăm pe resetare. Încărcăm un alt sistem de operare, ne asigurăm că partiția liberă este selectată corect, continuăm instalarea și ajungem la etapa de partiționare a discului. Alegerea sistemelor de fișiere aici nu este bogată, ci doar ext2, ext3 și vfat (care nu se potriveau pe ecran).

Să lăsăm totul implicit, adică vom folosi grub:

Doar apăsați Enter

În continuare, ni se cere să creăm o parolă pentru a modifica parametrii de boot grub

A trebuit să introduc o parolă lungă

Acum să începem să instalăm bootloader-ul. Cele mai recente versiuni de Debian și Ubuntu sunt instalate pe laptop, dar programul de instalare nu le-a găsit. Ca urmare, după instalarea MSVS, meniul pentru selectarea sistemelor de operare va dispărea și va trebui să restaurați grub prin LiveCD.
Glisorul listei de sisteme de operare este în partea de jos, ca și cum ar spune că mai există ceva. Am încercat să-l muți apăsând TAB, Ctrl, Ctrl+tab și alte comenzi rapide de la tastatură. Dar poziția în care se afla glisorul rămâne aceeași:

Faceți clic pe Da și continuați instalarea:

Alegem unde să instalăm bootloader-ul. În toate sistemele Linux instalez bootloader-ul în MBR master boot record, adică pe /dev/sda, dar pentru utilizatorii Windows recenti aceasta este o întrebare dificilă. Sau tot personalul militar rus cunoaște Unix-ul?

Urmează configurarea rețelei.

Nu avem conexiuni la rețea, selectați „Nu” și apăsați Enter

S-a deschis o fereastră care vă solicită să introduceți setări suplimentare de rețea:

După cum puteți vedea, aici nu există butoane „Anulare” și „Nu este nevoie”. Există doar „da” și „înapoi”. Acest lucru ar fi logic dacă am instala sistemul printr-o rețea, dar avem un DVD cu un set complet de programe. Apasa Enter.

Ați lăsat necompletat câmpul „gateway”. În funcție de mediul de rețea, pot apărea probleme mai târziu

Facem clic pe Continuare și ni se cere din nou să introducem parametri de rețea suplimentari. În general, revenim la prima fereastră de configurare a rețelei și indicăm că trebuie să configuram interfața de rețea, deși nu avem una.

Vi se cere să introduceți numele rețelei. Selectați „Manual” și veniți cu un nume de rețea

Selectați fusul orar:

Selectați parola utilizatorului root (cel puțin șase caractere):

Selectați o listă de pachete de instalat. Am ales totul
Urmează verificarea dependențelor, după care se deschide o fereastră cu adresa jurnalului de instalare:
Procesul de instalare:
Nu înțeleg, sunt aceste probleme cu fonturile sau codificările?

Instalarea ajunge la 100%, iar instalatorul ne salută cu bucurie că instalarea s-a încheiat, ne cere să deconectam mediile amovibile și să apăsăm Enter pentru a reporni. Apăsăm Enter și computerul pur și simplu se îngheață, ca data trecută.

Apăsăm butonul Power, așteptăm câteva minute și oh, groază, totul este în engleză. Sau aceasta este limba rusă în armata rusă?

Unde sunt Debian și Ubuntu? Există un singur WSWS aici. Dar este în regulă, acest lucru poate fi rezolvat reinstalând încărcătorul Grub prin LiveCD.

Doar apăsați Enter pentru a încărca

Sistemul se blochează timp de 15 secunde și afișează erori: Memoria pentru nucleul de blocare (de la 0x0 la 0x0) nu este permisă; nu se poate interoga hardware-ul Synaptics (nu se poate interoga touchpad-ul)

și continuă încărcarea, în timpul procesului de încărcare se deschide meniul de setări
Doar selectați „Exit” și apăsați Enter. După 10 secunde, se deschide acest ecran, unde nu există nici un indiciu de grafică. Introduceți numele și parola și sistemul este gata să funcționeze:

Apropo, vă rugăm să rețineți că aici este instalat kernel-ul 2.6.18. Acest nucleu a fost lansat cu cinci ani mai devreme decât MSVS 5.0. Da, în cinci ani a fost posibil să se construiască industrii întregi, ca în planurile cincinale ale lui Stalin, dar au trecut deja aproape 10 ani! În acea perioadă îndepărtată, abia începeam să devin interesat de Linux. Deși poate au efectuat un audit de securitate a codului timp de cinci ani.
Bine, hai să încercăm să folosim ceea ce avem.
Încercăm să lansăm grafica. În Nix, pentru a începe grafica, de obicei trebuie să introduceți startx, introduceți startx:
#startx
și obținem erori:

Aici am deschis în mod special jurnalul de erori /var/log/Xorg.0.log pentru a clarifica ce se întâmplă: sistemul nu poate încărca driverele standard fbdev și vesa.

Tot ce trebuie să facem este să repornim sistemul și să revenim la sistemul de operare care funcționează, să introducem repornire și din nou ne blocăm la repornire:

Să încercăm să instalăm prin VirtualBox:

De asemenea, introducem rădăcina de conectare, parola și startx

Desigur, din motive de securitate, VNIINS nu recomandă rularea Xs ca administrator. Și de ce atunci, după prima lansare sau în programul de instalare în sine, nu s-a sugerat să se creeze utilizatori simpli din motive de securitate, ca în multe alte distribuții?

O_o, se dovedește că funcționează.

Desktop WSWS 5.0

Deci ceea ce vedem este un desktop ușor și frumos, care simulează Windows și KDE vechi. Dar acesta este doar un desktop cu sursă deschisă înfrumusețat

Un manager de fișiere lansat în urmă cu 11 ani seamănă foarte mult cu un konquerror redus

În bara de sistem există un indicator de timp cu un calendar, un comutator pentru aspectul tastaturii și un indicator al nivelurilor de accesibilitate (dar acest lucru este mai probabil de la dezvoltatorii MSVS).

Setări WSWS 5.0

În Linux, unele programe (de exemplu Chromium) din motive de securitate nu rulează ca utilizator root, așa că primul lucru pe care îl vom face este să creăm un nou utilizator și să vă conectați la sistem prin intermediul acestuia:

Start - Setări - Panoul de control ELK, Gestionare utilizatori - Adăugați un utilizator nou:

Parola trebuie să aibă cel puțin 8 caractere!

Atributele de securitate sunt impresionante, dar nu le vom atinge:

Utilizatorul a fost creat cu succes. Ieșim din sesiune și mergem direct la contul consolei root, unde suntem întâmpinați de o grămadă de erori:

Deconectați-vă de la acest cont apăsând Ctrl+D, conectați-vă ca utilizator nou și rulați startx. X a pornit, dar nu a răspuns la mișcările mouse-ului sau la comenzile rapide de la tastatură. Repornirea mașinii virtuale nu a ajutat, nici X-urile din acest cont nu funcționează. Bine, va trebui să rulați ca root, ceea ce este o breșă de securitate.

Rezoluția ecranului nostru este 800x600, încercăm să o schimbăm. Accesați „Panou de control” și selectați pictograma „Monitor”. Se deschide o fereastră cu un mesaj că nu avem un fișier xorg.conf și că ecranul va fi întunecat în timp ce este creat. Ar trebui să-l creez sau nu?

Faceți clic pe „Da”

Eroare la inițializarea configurației:

După care se deschide o fereastră cu setările monitorului. Încercăm să schimbăm ceva, dar nu există nicio reacție. Este de remarcat faptul că această fereastră arată un exemplu de ecran Windows 95 Și când faceți clic pe butoanele „Da” și „Anulați”, fereastra nu se închide și nu se întâmplă nimic. Puteți închide fereastra doar făcând clic pe cruce.

În meniul „Sistem” există un element „Comutați rezoluțiile ecranului”. O selectăm și în tavă se deschide un program cu doar două articole: 800x600 și 640x480 și o frecvență de 60Hz. Dar în sistemul de operare FreeDOS am putut să-l setez mai mare și chiar să schimb frecvența. De aici concluzia că grafica în sistemul de operare MSWS este mai proastă decât în ​​DOS!

Ne uităm la informații despre echipament:

După ce faceți clic pe „OK” se deschide următoarea fereastră:

Programe WSWS 5.0

Interesant este că atunci când mutăm indicatorul mouse-ului din programele EDE în KDE, culoarea indicatorului mouse-ului se schimbă.
Acest lucru se datorează faptului că desktop-ul WSBC este un amestec de desktop-uri EDE și KDE.
Net. Există doar zece programe în această categorie, inclusiv browser ELK, IRC, Wireshark, GFTP, monitor de e-mail, monitor de rețea și configurare PPP și gestionarea dispozitivelor de rețea.

Gestionarea dispozitivelor de rețea

Clientul de e-mail nu pornește:

Browserul ELK este o copie exactă a browserului Aurora. Uite, l-au redenumit ELK, dar au uitat să schimbe sigla:

Browser ELK:

Aurora:

Utilități
Utilitarele au până la 4 terminale: ELK-terminal, X-terminal, Consolă și terminal în modul superutilizator. Știi de ce sunt atât de mulți dintre ei? Pentru că desktop-ul WSWS este un amestec de EDE și KDE. Nici măcar nu s-au gândit să elimine utilitățile inutile; au lăsat totul așa cum era implicit.

Din acest motiv, aici există multe programe de pe două desktop-uri diferite, dar cu aceleași capacități. Acest lucru se aplică în special pentru vizualizarea imaginilor, documentelor (PDF, DJVU, etc.) și editorilor de text.

Editor de text Emacs în WSWS:

Științific. În științific doar calculatorul KDE, care a fost lansat în 2005:

Arte grafice. Această secțiune conține toate programele de la KDE + Xsane lansate în 2007.

Jocuri. Jocurile includ o selecție de jocuri de la KDE, inclusiv jocurile de război Minesweeper și Parachutes:

Multimedia. Media player simplu, CD player audio, K3b (inscripționare CD/DVD), control al volumului și program de înregistrare audio.
Pentru a verifica sunetul, trebuie să încărcați un film în sistemul virtual. Sunetul și videoclipul nu funcționează deloc aici. Am instalat Alsa, Oss, SoundBlaster16 în setările VirtualBOX - nimic nu funcționează. Am încercat ogv, ogg, mp4 - în unele cazuri necesită instalarea de codecuri, în altele arată o eroare:

Să încercăm să instalăm ffmpeg:
Deschideți Start - Control Panel ELK - Program Manager
listele de pachete sunt verificate cu câteva secunde înainte de lansare
să încercăm să găsim ffmpeg

Aceasta este limba rusă în armata rusă!

ffmpeg era în lista de pachete instalate. Și o căutare pentru oss și alsa (sisteme de sunet) nu a dat niciun rezultat. De asemenea, interogările Office și Firefox nu au produs niciun rezultat.

Când pornește k3b, dă o eroare că nu poate găsi tipul Mime. Trebuie să faceți clic pe OK de 10 ori și apoi va începe:

Oprire sistem:

Retrage...
1. MSVS nu funcționează pe echipamente moderne
2. Nucleul de sistem, ca toate programele, a fost lansat acum 11 ani, astfel încât echipamentele moderne nu sunt acceptate
3. Rezoluția ecranului este setată la 800x600 și nu se modifică
4. Sistemul video funcționează doar în emulator, dar arată erori după finalizare.
5. Sunetul nu funcționează deloc
6. Grafica funcționează numai pentru utilizatorul root, ceea ce reprezintă o încălcare a securității
7. În mod implicit, comenzile de închidere și repornire sunt disponibile numai prin consolă și funcționează numai în emulator.

Concluzii generale.

MSWS5.0 - copiat în 2011 de RedHat Enterprice Linux5.0 (2007), nu funcționează corect pe computerele lansate în 2011. Da, în armata rusă există, în general, o dorință remarcabilă de antichitate profundă, de exemplu, crucișătorul care transportă avioane „Amiral Kuznetsov” cu propria rampă în loc de catapultă, din cauza căreia aeronavele sunt forțate să zboare cu muniție incompletă și uneori cădea în apă în timpul decolării pentru aeronavele cu o centrală electrică cu păcură, care au nevoie de realimentare în timpul unei drumeții...

Cu siguranță, cel puțin unii dintre cititorii noștri s-au gândit la ce sistem de operare este folosit în forțele noastre armate. La urma urmei, înțelegem cu toții că Windows nu poate fi instalat pe niciun sistem de rachete care este în serviciu de luptă. Astăzi vom ridica puțin vălul secretului și vom vorbi despre sistemul de operare MSWS. Acesta este așa-numitul Sistem mobil. Domeniul său de aplicare este indicat de numele său, dar vă vom spune cum este structurat în termeni generali.

Condiții preliminare pentru creare

Criteriile de securitate pentru sistemele informatice au fost formulate pentru prima dată la sfârșitul anilor 60 ai secolului trecut. La mijlocul anilor 80 în SUA, toate aceste evoluții au fost adunate într-un singur document. Astfel a luat naștere Cartea Portocalie a Departamentului de Apărare, primul standard de securitate a sistemelor informatice. Ulterior, documente similare au apărut în țări europene și Canada. În 2005, pe baza acestora, a fost elaborat standardul internațional de securitate ISO/IEC 15408 „Criterii generale de securitate”.

În Rusia, studii similare au fost efectuate la cel de-al 22-lea Institut Central de Cercetare al Ministerului Apărării. Rezultatul final al dezvoltării a fost introducerea MSWS OS în Forțele Armate ale Federației Ruse în 2002. O versiune a standardului de stat bazată pe cerințele ISO/IEC a fost adoptată în 2008.

De ce armata are propriul sistem de operare?

Sistemele de operare pe care le folosim zilnic nu sunt potrivite pentru utilizare în agențiile guvernamentale din punct de vedere al securității. Comisia tehnică de stat din subordinea președintelui Federației Ruse le-a formulat după cum urmează:

• Informațiile trebuie protejate împotriva accesului neautorizat, atât din interior, cât și din exterior.
• Sistemul nu trebuie să conțină caracteristici nedocumentate, cu alte cuvinte, nu ar trebui să existe „ouă de Paște” în codul de operare.

În plus, un sistem de operare securizat trebuie să aibă o structură de acces ierarhică pe mai multe niveluri și funcții de administrare separate.

Astfel, sarcina de a crea un sistem de operare închis specializat nu este atât de simplă pe cât pare la prima vedere. Absența capacităților nedocumentate presupune că codul sursă și descrierea tehnică a tuturor procedurilor de operare vor fi studiate amănunțit în centrul de certificare. Și aceasta este zona secretelor comerciale ale corporațiilor proprietare sau proprietatea intelectuală a dezvoltatorilor. Acest paradox ne obligă să ne îndreptăm atenția către sistemele de operare deschise, deoarece este aproape imposibil să obținem documentație tehnică completă pentru software-ul proprietar.

Cerințe GOST R

FSTEC, în calitate de serviciu responsabil cu securitatea informației pe întreg teritoriul țării, a înființat o divizie a OS în funcție de gradul de protecție a informațiilor în curs de prelucrare. Pentru comoditate, toate datele sunt rezumate într-un singur tabel.

Tabelul arată că, în conformitate cu o serie de cerințe, au fost stabilite trei grupuri și nouă clase de securitate împotriva accesului neautorizat și, pe baza acestora, se face o împărțire ulterioară pentru accesul la diferite tipuri de informații confidențiale.

Bazat pe Linux

De ce este Linux atât de convenabil încât este angajat de bunăvoie în serviciul guvernamental? La urma urmei, cei mai mulți utilizatori obișnuiți se tem de asta ca de diavolul tămâiei. Să ne dăm seama. Mai întâi, să ne uităm la licența sub care Linux este distribuit. Aceasta este așa-numita GPL2 - General Public License, sau licență gratuită. Oricine poate obține codul sursă și își poate crea propriul produs pe baza acestuia. Cu alte cuvinte, nimeni nu vă împiedică să luați cele mai bune distribuții Linux și să le folosiți pentru a vă dezvolta propriul sistem de operare securizat.

Experiența globală a agențiilor guvernamentale arată că tranziția la software-ul liber are loc peste tot, ideea este solicitată și este pe deplin justificată. Țările de vârf ale lumii, cum ar fi SUA, Germania, Japonia și China și India, care se apropie rapid de ele, folosesc în mod activ Linux în sectorul guvernamental și în educație.

WSWS și conținutul acestuia

Versiunea 3.0 a sistemului mobil a funcționat în armată timp de un deceniu și jumătate, acum este înlocuită cu un produs mai avansat și putem privi în siguranță „sub capota” unui veteran. Deci, este un sistem de operare de rețea care rulează în modul multi-utilizator folosind o interfață grafică de utilizator. Suporta platforme hardware:

• Intel.

SPAPC/Elbrus.

• IBM System/390.

S-a bazat pe cele mai bune distribuții Linux disponibile la acea vreme. Multe module de sistem au fost împrumutate de la RedHat Linux și recompilate pentru a îndeplini cerințele Ministerului Apărării. Cu alte cuvinte, sistemul mobil al Forțelor Armate este o distribuție RPM Linux cu toate programele de aplicație și instrumentele de dezvoltare însoțitoare.

Suportul pentru sistemul de fișiere este la nivelul începutului de secol, dar din moment ce cele mai comune dintre ele existau deja atunci, acest indicator nu este critic.

versiuni WSWS

În ciuda faptului că acesta este un sistem de operare de rețea, acesta nu are depozitele de software familiare oricărui utilizator Linux. Tot software-ul este furnizat complet pe CD-urile de instalare. Orice program care este utilizat în acest sistem este mai întâi certificat de Ministerul Apărării. Și întrucât procedura este departe de a fi rapidă, pe parcursul întregului deceniu și jumătate de muncă, au fost lansate un număr limitat de versiuni și modificări ale acestora.

Dezvoltatorul MSVS este Institutul de Cercetare All-Rusian al Automatizării Controlului în Sfera Non-Industrială. Pe pagina sa oficială puteți găsi informații despre versiunile de WSWS care sunt suportate în prezent și au certificatele de securitate necesare de la Ministerul Apărării.

Sistemul mobil al Forțelor Armate pentru anul 2017 este reprezentat de două ansambluri susținute:

OS WSWS 3.0 FLIR 80001-12 (modificare nr. 4).

• OS WSWS 3.0 FLIR 80001-12 (modificare nr. 6).

Versiunea 5.0, aflată pe site-ul VNIINS, are un certificat de securitate de la Ministerul Apărării, dar nu a fost acceptată oficial pentru aprovizionarea trupelor.

Succesor al WSWS

Următorul sistem de operare securizat, care a fost prezentat ca înlocuitor pentru MSVS, care a servit timp de un deceniu și jumătate, a fost sistemul de operare Astra Linux. Spre deosebire de predecesorul său, care a primit un certificat de siguranță doar de la Ministerul Apărării, Astra a primit toate certificatele posibile în Rusia, iar acestea sunt documente de la Ministerul Apărării, FSB și FSTEC. Datorită acestui fapt, poate fi utilizat în orice agenție guvernamentală, iar prezența mai multor versiuni adaptate pentru diferite platforme hardware extinde și mai mult domeniul de aplicare a acestuia. Drept urmare, poate uni sub controlul său toate dispozitivele - de la echipamente mobile la echipamente de server staționare.

Astra Linux este o distribuție Linux modernă bazată pe pachete deb, folosește cea mai recentă versiune a nucleului și software-ul actualizat. Lista procesoarelor acceptate și arhitecturile acestora a fost, de asemenea, extinsă și include mostre moderne. Lista versiunilor publicate oficial ne permite să sperăm la succesul acestui produs software, cel puțin în industriile guvernamentale și de apărare.

In cele din urma

În acest articol am vorbit despre MSWS OS - principalul sistem de operare al Forțelor Armate ale Federației Ruse, care a servit cu fidelitate „în serviciu” timp de 15 ani și se află încă la „postul său de luptă”. În plus, succesorul ei a fost descris pe scurt. Poate că acest lucru îi va încuraja pe unii dintre cititorii noștri să se uite la ce este Linux și să-și formeze o opinie imparțială despre produs.

Acest capitol acoperă următoarele subiecte:

Utilizatori;

Diferențele dintre utilizatorii privilegiați și neprivilegiați;

Fișiere de conectare;

Fișierul /etc/passwd;

Fișierul /etc/shadow;

Fișierul /etc/gshadow;

Fișierul /etc/login.defs;

Modificarea informațiilor privind vechimea parolei;

Securitatea WSWS se bazează pe conceptele de utilizatori și grupuri. Toate deciziile cu privire la ceea ce un utilizator are sau nu este permis să facă sunt luate în funcție de cine este utilizatorul conectat din perspectiva nucleului sistemului de operare.

Vedere generală a utilizatorilor

WSWS este un sistem multitasking, multi-utilizator. Responsabilitatea sistemului de operare este de a izola și de a proteja utilizatorii unul de celălalt. Sistemul monitorizează fiecare utilizator și, în funcție de cine este utilizatorul, determină dacă i se poate acorda acces la un anumit fișier sau i se permite să ruleze un anumit program.

Când un utilizator nou este creat, i se atribuie un nume unic

NOTĂ

Sistemul determină privilegiile utilizatorului pe baza ID-ului utilizatorului (ID utilizator, UID). Spre deosebire de un nume de utilizator, un UID poate să nu fie unic, caz în care prenumele găsit al cărui UID se potrivește cu cel dat este folosit pentru a se potrivi cu numele de utilizator.

Fiecărui utilizator nou înregistrat în sistem i se atribuie anumite elemente ale sistemului.

Utilizatori privilegiați și neprivilegiati

Când un utilizator nou este adăugat la sistem, i se alocă un număr special numit ID-ul de utilizator(ID utilizator, UID). În Caldera WSWS, alocarea de ID-uri noilor utilizatori începe de la 500 și continuă în sus, până la 65.534 numere de până la 500 sunt rezervate pentru conturile de sistem.

În general, identificatorii cu numere mai mici de 500 nu diferă de alți identificatori. Adesea, un program necesită un utilizator special cu acces complet la toate fișierele pentru a funcționa corect.

Numerotarea identificatorilor începe de la 0 și continuă până la 65.535 UID 0 este un UID special. Orice proces sau utilizator cu un ID de zero este privilegiat. O astfel de persoană sau proces are putere nelimitată asupra sistemului. Nimic nu poate fi o interdicție pentru el. Contul root (un cont al cărui UID este 0), numit și cont superutilizator, face ca persoana care intră să-l folosească, dacă nu proprietarul, atunci măcar reprezentantul său autorizat.

Asta lasă UID egal cu 65535. De asemenea, nu este unul obișnuit. Acest UID aparține utilizatorului nimeni (nimeni).

Pe vremuri, una dintre modalitățile de a pirata un sistem era crearea unui utilizator cu ID-ul 65536, în urma căruia a primit privilegii de superutilizator. Într-adevăr, dacă luați orice UID și convertiți numărul corespunzător în formă binară, veți obține o combinație de șaisprezece cifre binare, fiecare dintre ele egală fie cu 0, fie cu 1. Marea majoritate a identificatorilor includ atât zerouri, cât și unu. Excepțiile sunt UID-ul superutilizatorului, care sunt toate zerouri, și UIDnobody, care este 65535 și este format din 16 uni, adică 1111111111111111. Numărul 65.536 nu poate fi plasat pe 16 biți - pentru a reprezenta acest număr în formă binară, aveți nevoie pentru a utiliza 17 biți. Cea mai semnificativă cifră va fi egală cu unu (1), toate celelalte vor fi egale cu zero (0). Deci, ce se întâmplă când creați un utilizator cu un ID care are 17 cifre binare - 10000000000000000? Teoretic, un utilizator cu un identificator zero: deoarece doar 16 biți binari sunt alocați pentru identificator, nu există unde să stocheze al 17-lea bit și este aruncat. Prin urmare, singura unitate a identificatorului este pierdută și rămân doar zerouri, iar în sistem apare un nou utilizator cu un identificator și, prin urmare, privilegiile unui superutilizator. Dar acum nu există programe în WSWS care să vă permită să setați UID-ul la 65536.

NOTĂ

Pot fi creați utilizatori cu ID-uri mai mari de 65.536, dar nu pot fi utilizați fără înlocuirea /bin/login.

Orice hacker va încerca cu siguranță să obțină privilegii de superutilizator. Odată ce le primește, soarta ulterioară a sistemului va depinde în întregime de intențiile lui. Poate că el, mulțumit de faptul însuși de a pirata, nu îi va face nimic rău și, după ce ți-a trimis o scrisoare care descrie găurile pe care le-a găsit în sistemul de securitate, o va lăsa singură pentru totdeauna, dar poate că nu. Dacă intențiile hackerului nu sunt atât de pure, atunci cel mai bun lucru la care se poate spera este dezactivarea sistemului.

Fișierul /etc/passwd

Oricine dorește să se autentifice trebuie să introducă un nume de utilizator și o parolă, care sunt verificate în baza de date de utilizatori stocată în fișierul /etc/passwd. Printre altele, stochează parolele tuturor utilizatorilor. La conectarea la sistem, parola introdusă este verificată cu parola corespunzătoare numelui dat, iar dacă se face o potrivire, utilizatorul este permis să intre în sistem, după care programul specificat pentru numele de utilizator dat în fișierul cu parole este lansat. Dacă este un shell de comandă, utilizatorul poate introduce comenzi.

Să ne uităm la Lista 1.1. Acesta este un fișier passwd în stil vechi.

Lista 1.1. Fișier /etc/passwd în stil vechi

root: *:1i DYwrOmhmEBU: 0:0: root:: /root: /bin/bash

bin:*:1:1:bin:/bin:

daemon:*:2: 2: daemon:/sbin:

adm:*:3:4:adm:/var/adm:

lp:*:4:7:lp:/var/spool/lpd:

sync:*:5:0:sync:/sbin:/bin/sync

shutdown:*:6:11:shutdown:/sbin:/sbin/shutdown

stop:*:7:0:halt:/sbin:/sbin/halt

mail:*:8:12:mail:/var/spool/mail:

știri:*:9:13:știri:/var/spool/știri:

uucp:*:10:14:uucp:/var/spool/uucp:

operator:*:11:0:operator:/rădăcină:

jocuri:*:12:100:jocuri:/usr/jocuri:

gopher:*:13:30:gopher:/usr/1ib/gopher-data:

ftp:*:14:50:Utilizator FTP:/home/ftp:

om:*:15:15:Proprietar manuale:/:

majordom:*:16:16:Majordomo:/:/bin/false

postgres:*:17:17:Utilizator Postgres:/home/postgres:/bin/bash

mysql:*:18:18:MySQL User:/usr/local/var:/bin/false

silvia:1iDYwrOmhmEBU:501:501:Silvia Bandel:/home/silvia:/bin/bash

nimeni:*:65534:65534:Nimeni:/:/bi n/fals

david:1iDYwrOmhmEBU:500:500:David A. Bandel:/home/david:/bin/bash

Fișierul cu parole are o structură definită rigid. Conținutul fișierului este un tabel. Fiecare linie a fișierului este o înregistrare de tabel. Fiecare înregistrare constă din mai multe câmpuri. Câmpurile din fișierul passwd sunt separate prin două puncte, astfel încât două puncte nu pot fi folosite în niciunul dintre câmpuri. Există șapte câmpuri în total: nume de utilizator, parolă, ID utilizator, ID de grup, câmp GECOS (alias câmp de comentariu), directorul principal și shell de conectare.

Aflați mai multe despre /etc/passwd

Primul câmp conține numele de utilizator. Trebuie să fie unic - niciun utilizator de sistem nu poate avea același nume. Câmpul de nume este singurul câmp a cărui valoare trebuie să fie unică. Al doilea câmp stochează parola utilizatorului. Pentru a asigura securitatea sistemului, parola este stocată în formă hashing. Termenul „hashed” în acest context înseamnă „criptat”. În cazul MSWS, parola este criptată folosind algoritmul DES (DataEncryptionStandard). Lungimea parolei codificate în acest câmp este întotdeauna de 13 caractere, unele caractere, cum ar fi două puncte și ghilimele simple, nu apar niciodată printre ele. Orice valoare de câmp, alta decât parola corectă de 13 caractere, va face imposibilă autentificarea utilizatorului respectiv, cu o excepție extrem de importantă: câmpul pentru parolă poate fi gol.

Al doilea câmp nu conține nimic, nici măcar un spațiu, ceea ce înseamnă că utilizatorul corespunzător nu are nevoie de o parolă pentru a se autentifica. Dacă modificați parola stocată în câmp prin adăugarea unui caracter, cum ar fi un ghilimeleu unic, contul va fi blocat și utilizatorul nu se va putea autentifica. Faptul este că, după ce a adăugat un caracter ilegal la o parolă hashing de 14 caractere, sistemul a refuzat să autentifice utilizatorul cu o astfel de parolă.

Lungimea parolei este în prezent limitată la opt caractere. Utilizatorul poate introduce parole mai lungi, dar numai primele opt caractere vor fi semnificative. Primele două caractere ale parolei cu hash sunt sămânță(sare). (Sămânța este numărul utilizat pentru inițializarea algoritmului de criptare. De fiecare dată când parola este schimbată, sămânța este aleasă aleatoriu.) Ca urmare, numărul tuturor permutărilor posibile este suficient de mare încât este imposibil să aflăm dacă există utilizatorii din sistem cu aceleași parole pur și simplu prin compararea parolelor hashing.

NOTĂ

Un atac de dicționar este o metodă cu forță brută de spargere a parolelor și implică utilizarea unui dicționar și a unei semințe cunoscute. Atacul constă în enumerarea tuturor cuvintelor din dicționar, criptarea lor cu o anumită sămânță și compararea rezultatului cu parola spartă. Mai mult decât atât, pe lângă cuvintele din dicționar, unele dintre modificările lor sunt de obicei luate în considerare, de exemplu, toate literele sunt scrise cu majuscule, doar prima literă este scrisă cu majuscule și adăugând numere (de obicei doar 0-9) la sfârșitul tuturor acestor combinații. . O mulțime de parole ușor de ghicit pot fi sparte în acest fel.

Al treilea câmp indică ID-ul utilizatorului. ID-ul utilizatorului nu trebuie să fie unic. În special, pe lângă utilizatorul root, poate exista orice număr de alți utilizatori cu un identificator zero și toți vor avea privilegii de superutilizator.

Al patrulea câmp conține ID-ul grupului (GroupID, GID). Grupul specificat în acest câmp este numit grupul principal al utilizatorului(grupul primar). Un utilizator poate aparține mai multor grupuri, dar unul dintre ele trebuie să fie grupul principal.

Al cincilea câmp se numește acum câmpul de comentarii, dar numele său original a fost GECOS, pentru „GEConsolidatedOperatingSystem”. Când solicitați informații despre utilizator prin degetul sau alt program, conținutul acestui câmp este acum returnat ca numele adevărat al utilizatorului. Câmpul de comentarii poate fi gol.

Al șaselea câmp specifică directorul principal al utilizatorului. Fiecare utilizator trebuie să aibă propriul director principal. De obicei, atunci când un utilizator se conectează, acesta ajunge în directorul său principal, dar dacă nu există unul, ajunge în directorul rădăcină.

Al șaptelea câmp specifică shell-ul de conectare. Nu orice shell poate fi specificat în acest câmp. În funcție de setările sistemului dvs., acesta poate specifica doar un shell din lista de shell-uri valide. În WSWS, lista de shell-uri valide este localizată implicit în fișierul /etc/shells.

Fișierul /etc/shadow

Proprietarul fișierului /etc/shadow este utilizatorul root și numai el are dreptul de a citi acest fișier. Pentru a-l crea, trebuie să luați numele de utilizator și parolele cu hashing din fișierul passwd și să le puneți în fișierul umbră, în timp ce înlocuiți toate parolele cu hashing din fișierul passwd cu x caractere. Dacă te uiți la fișierul passwd de sistem, poți vedea că există simboluri x în locul parolelor cu hash. Acest simbol indică sistemului că parola nu trebuie căutată aici, ci în fișierul /etc/shadow. Trecerea de la parole simple la parole umbră și înapoi se realizează folosind trei utilitare. Pentru a accesa parolele umbră, mai întâi rulați utilitarul pwck. Verifică fișierul passwd pentru orice anomalie care ar putea duce la eșecul următorului pas sau pur și simplu să rămână blocat într-o buclă. După rularea pwck, utilitarul pwconv este lansat pentru a crea /etc/shadow. Acest lucru se face de obicei după actualizarea manuală a fișierului /etc/passwd. Pentru a reveni la parolele normale, rulați pwuncov.

Un fișier de parolă umbră este similar cu un fișier de parolă obișnuit în multe feluri. În special, primele două câmpuri ale acestor fișiere sunt aceleași. Dar, pe lângă aceste câmpuri, conține în mod natural câmpuri suplimentare care nu sunt prezente în fișierul obișnuit cu parole. Lista 1.2. arată conținutul unui fișier tipic /etc/shadow.

Lista 1.2. Fișierul /etc/shadow

root:1iDYwrOmhmEBU:10792:0:: 7:7::

bin:*:10547:0::7:7::

daemon:*:10547:0::7:7::

adm:*:10547:0::7:7::

lp:*:10547:0::7:7::

sincronizare:*:10547:0::7:7::

oprire:U:10811:0:-1:7:7:-1:134531940

stop:*:10547:0::7:7::

mail:*:10547:0::7:7::

știri:*:10547:0::7:7::

uucp:*:10547:0::7:7::

operator:*:10547:0::7:7::

jocuri:*: 10547:0: :7:7::

gopher:*:10547:0::7:7::

ftp:*:10547:0::7:7::

bărbat:*:10547:0::7:7::

majordom:*:10547:0::7:7::

postgres:*:10547:0::7:7::

mysql:*:10547:0::7:7::

si1via:1iDYwrOmhmEBU:10792:0:30:7:-l::

nimeni:*:10547:0::7:7::

david:1iDYwrOmhmEBU:10792:0::7:7::

Aflați mai multe despre /etc/shadow

Scopul primului câmp al fișierului umbră este același cu primul câmp al fișierului passwd.

Al doilea câmp conține parola codificată. Implementarea WSWS a parolelor umbră permite parole cu hashing de la 13 până la 24 de caractere, dar programul de criptare a parolelor criptate poate produce numai parole hashing de 13 caractere. Caracterele utilizate în hash sunt extrase dintr-un set de 52 de litere alfabetice (minuscule și majuscule), numere de la 0 la 9, un punct și o bară oblică inversă (/). În total, există 64 de caractere permise în câmpul parolei hashing.

Prin urmare, sămânța care, ca și înainte, este primele două simboluri, poate fi selectată din 4096 de combinații posibile (64x64). Criptarea folosește algoritmul DES cu o cheie de 56 de biți, adică spațiul de cheie al acestui algoritm are 2 56 de chei, ceea ce este aproximativ egal cu 72.057.590.000.000.000 sau 72 de cvadrilioane. Numărul pare impresionant, dar repetarea tuturor tastelor dintr-un spațiu de această dimensiune poate dura foarte puțin timp.

Al treilea câmp începe cu informații despre vechimea parolei. Stochează numărul de zile care au trecut de la 1 ianuarie 1970 până la ultima schimbare a parolei.

Al patrulea câmp specifică numărul minim de zile care trebuie să treacă înainte ca parola să poată fi schimbată din nou. Până când nu a trecut numărul de zile specificat în acest câmp de la ultima modificare a parolei, nu o puteți schimba din nou.

Al cincilea câmp specifică numărul maxim de zile în care parola poate fi folosită, după care trebuie schimbată. Dacă acest câmp este setat la o valoare pozitivă, o încercare a utilizatorului de a se autentifica după ce parola a expirat va avea ca rezultat ca comanda de parolă să nu fie rulată ca de obicei, ci în modul de schimbare obligatorie a parolei.

Valoarea din al șaselea câmp determină cu câte zile înainte de expirarea parolei ar trebui să înceapă un avertisment despre aceasta. După ce a primit un avertisment, utilizatorul poate începe să vină cu o nouă parolă.

Al șaptelea câmp specifică numărul de zile, începând din ziua modificării obligatorii a parolei, după care acest cont este blocat.

Penultimul câmp stochează ziua în care contul a fost blocat.

Ultimul câmp este rezervat și nu este utilizat.

Aflați mai multe despre /etc/group

Fiecare intrare din fișierul /etc/group constă din patru câmpuri separate prin două puncte. Primul câmp specifică numele grupului. Similar cu numele de utilizator.

Cel de-al doilea câmp este, de obicei, întotdeauna gol, deoarece un mecanism de parolă nu este de obicei folosit pentru grupuri, dar dacă acest câmp nu este gol și conține o parolă, atunci orice utilizator se poate alătura grupului. Pentru a face acest lucru, trebuie să rulați comanda newgrp cu numele grupului ca parametru și apoi să introduceți parola corectă. Dacă nu setați o parolă pentru un grup, numai utilizatorii listați în lista de membri ai grupului se pot alătura acestuia.

Al treilea câmp specifică identificatorul grupului (GroupID, GID). Înțelesul său este același cu cel al ID-ului de utilizator.

Ultimul câmp este o listă de nume de utilizator aparținând grupului. Numele de utilizator sunt enumerate separate prin virgule, fără spații. Grupul principal al utilizatorului este indicat (obligatoriu) în fișierul passwd și este atribuit atunci când utilizatorul se conectează la sistem pe baza acestor informații. În consecință, dacă modificați grupul principal al unui utilizator în fișierul passwd, utilizatorul nu se va mai putea alătura fostului său grup principal.

Fișierul /etc/login.defs

Există mai multe moduri de a adăuga un nou utilizator la sistem. Următoarele programe sunt utilizate în MSVS pentru aceasta: coastooL, LISA, useradd. Oricare dintre ei va face. Utilitarul COAS folosește propriul fișier. Și programele useradd și LISA preiau informații despre valorile implicite pentru câmpurile fișierelor passwd și shadow din fișierul /etc/login.defs. Conținutul acestui fișier este afișat sub formă abreviată în Lista 1.4.

Lista 1.4. Fișier scurt /etc/login.defs

#Număr maxim de zile în care este permisă utilizarea unei parole:

#(-1 - schimbarea parolei nu este necesară) PASS_MAX_DAYS-1

Număr minim de zile între modificările parolei: PASS_MIN_DAYSO

#Cu câte zile înainte de data schimbării parolei ar trebui să fie emis un avertisment: PASS_WARN_AGE7

#Câte zile trebuie să treacă după ce parola expiră înainte ca contul să fie blocat: PASS_INACTIVE-1

#Forțați expirarea parolei într-o anumită zi:

# (data este identificată prin numărul de zile după 70/1/1, -1 = nu forțați) PASS_EXPIRE -1

#Valori ale câmpurilor contului creat pentru programul useradd

#grup implicit:GROUP100

directorul principal #user: %s = nume de utilizator) HOME /home/%s

#shell implicit: SHELL/bin/bash

#directory unde se află scheletul directorului principal: SKEL/etc/skel

#valori minime și maxime pentru selecția automată a gidului în groupaddGID_MIN100

Conținutul acestui fișier stabilește valori implicite pentru câmpurile passwd și fișier umbră. Dacă nu le înlocuiți din linia de comandă, acestea vor fi utilizate. Ca punct de plecare, aceste valori sunt bune, dar unele dintre ele vor trebui modificate pentru a implementa îmbătrânirea parolei. O valoare de -1 înseamnă că nu există restricții.

Programul COAS al Caldera utilizează o interfață grafică cu utilizatorul (GUI).

Pentru a modifica informațiile privind vechimea parolei pentru unul sau doi utilizatori, puteți utiliza comanda chage (modificare). Utilizatorii neprivilegiati pot rula chage doar cu opțiunile -l și propriul nume de utilizator, ceea ce înseamnă că li se vor solicita doar informații privind vechimea pentru propria parolă. Pentru a modifica informațiile de învechire, trebuie doar să specificați numele de utilizator, restul parametrilor vor fi solicitați în modul de dialog. Apelarea chage fără parametri va oferi un scurt ajutor despre utilizare.

COAS poate fi utilizat pentru a modifica setările de vechime a parolei pe cont. În acest caz, valorile sunt indicate în zile. Interfața programului este evidentă.

NOTĂ -

Pentru a obține informații despre expirarea parolei utilizatorului sau pentru a forța acest proces, puteți utiliza comanda de expirare.

Sistem de securitate RAM

Ideea de bază a RAM este că puteți scrie oricând un nou modul de securitate care accesează un fișier sau un dispozitiv pentru informații și returnează rezultatul procedurii de autorizare: SUCCES, EșeC sau IGNORE. Și RAM, la rândul său, va returna SUCCES sau Eșec serviciului care l-a numit. Astfel, nu contează ce parole, umbră sau obișnuite, sunt folosite în sistem dacă are RAM: toate programele care acceptă RAM vor funcționa bine cu ambele.

Să trecem acum să luăm în considerare principiile de bază ale funcționării RAM. Să ne uităm la Lista 1.6. Directorul /etc/pam.d conține și fișiere de configurare pentru alte servicii precum su, passwd etc., în funcție de ce software este instalat pe sistem. Fiecare serviciu restricționat are propriul fișier de configurare. Dacă nu există, atunci acest serviciu cu acces limitat se încadrează în categoria „altul”, cu fișierul de configurare other.d. (Un serviciu restricționat este orice serviciu sau program care necesită autorizație de utilizare. Cu alte cuvinte, dacă serviciul vă solicită în mod normal un nume de utilizator și o parolă, este un serviciu restricționat.)

Listare 1.6. Fișierul de configurare a serviciului de autentificare

auth required pam_securetty.so

auth required pam_pwdb.so

auth required pam_nologin.so

#auth necesar pam_dialup.so

auth opțional pam_mail.so

cont necesar pam_pwdb.so

sesiune necesară pam_pwdb.so

sesiune opțională pam_lastlog.so

parola necesară pam_pwdb.so

După cum puteți vedea din listă, fișierul de configurare este format din trei coloane. Liniile care încep cu un caracter hash (#) sunt ignorate. Prin urmare, modulul pam_dialup (a patra linie din Listarea 1.6.) va fi omis. Fișierul conține linii cu același al treilea câmp - pam_pwd.so, iar primul - auth. Utilizarea mai multor linii cu același prim câmp se numește stivuire de module și vă permite să obțineți autorizarea în mai mulți pași (stiva de module), inclusiv mai multe proceduri de autorizare diferite.

Prima coloană este o coloană de tip. Tipul este determinat de una dintre cele patru etichete de caractere: autentificare, cont, sesiune și parolă. Conținutul tuturor coloanelor este considerat fără majuscule și minuscule.

Tipul de autentificare este folosit pentru a determina dacă un utilizator este cine spune că este. De regulă, acest lucru se realizează prin compararea parolelor introduse și stocate, dar sunt posibile alte opțiuni.

Tipul de cont verifică dacă unui anumit utilizator îi este permis să utilizeze serviciul, în ce condiții, dacă parola este învechită etc.

Tipul de parolă este utilizat pentru a actualiza jetoanele de autorizare.

Tipul de sesiune efectuează anumite acțiuni atunci când un utilizator se conectează și când utilizatorul se deconectează.

Steaguri de control

A doua coloană este un câmp de semnalizare de control care determină ce trebuie făcut după revenirea din modul, adică răspunsul PAM la valorile SUCCESS, IGNORE și FAILURE. Valori permise: necesar, necesar, suficient și opțional. Valoarea din acest câmp determină dacă rândurile rămase ale fișierului vor fi procesate.

Indicatorul necesar (obligatoriu) specifică comportamentul cel mai restrictiv. Orice linie cu indicatorul necesar al cărei modul returnează o valoare FAILURE va fi terminată, iar serviciul care a apelat-o va returna starea FAILURE. Nu vor fi luate în considerare alte linii. Acest steag este folosit destul de rar. Faptul este că dacă modulul marcat cu acesta este executat primul, atunci modulele care îl urmează pot să nu fie executate, inclusiv cele responsabile de logare, deci se folosește de obicei indicatorul necesar.

Indicatorul necesar nu întrerupe execuția modulelor. Indiferent de rezultatul execuției modulului marcat de acesta: SUCCESS, IGNORE sau FAILURE, RAM procedează întotdeauna la procesarea următorului modul. Acesta este indicatorul cel mai frecvent utilizat, deoarece rezultatul execuției modulului nu este returnat până când toate celelalte module nu își au finalizat execuția, ceea ce înseamnă că modulele responsabile de logare vor fi cu siguranță executate.

Indicatorul suficient face ca șirul să finalizeze imediat procesarea și să returneze SUCCES, cu condiția ca modulul pe care l-a marcat să returneze SUCCES și să nu existe niciun modul întâlnit anterior cu indicatorul necesar care să returneze Eșec. Dacă se întâlnește un astfel de modul, indicatorul suficient este ignorat. Dacă modulul marcat cu acest flag returnează IGNORE sau FAILURE, atunci indicatorul suficient este tratat în același mod ca și flag opțional.

Rezultatul executării unui modul cu indicatorul opțional este luat în considerare doar dacă este singurul modul din stivă care returnează SUCCES. În caz contrar, rezultatul execuției sale este ignorat. Astfel, executarea nereușită a unui modul marcat de acesta nu atrage după sine eșecul întregului proces de autorizare.

Pentru ca utilizatorul să aibă acces la sistem, modulele marcate cu steagurile necesare și obligatorii nu trebuie să returneze FAILURE. Rezultatul executării unui modul cu indicatorul opțional este luat în considerare doar dacă este singurul modul din stivă care returnează SUCCES.

module RAM

A treia coloană conține numele complet al fișierului modul asociat cu acest rând. În principiu, modulele pot fi localizate oriunde, dar dacă sunt plasate într-un director predefinit pentru module, atunci poate fi specificat doar numele, altfel este necesară și calea. În WSWS, directorul predefinit este /lib/security.

A patra coloană este destinată transmiterii parametrilor suplimentari la modul. Nu toate modulele au parametri și, dacă au, este posibil să nu fie utilizați. Transmiterea unui parametru unui modul vă permite să-i schimbați comportamentul într-un fel sau altul.

Lista 1.7 conține o listă de module RAM incluse în MSVS.

Lista 1.7. Lista modulelor RAM incluse în MSVS

pam_rhosts_auth.so

pam_securetty.so

pam_unix_acct.so

pam_unix_auth.so

pam_unix_passwd.so

pam_unix_session.so

Mai multe despre module

Modulul pam_access.so este folosit pentru a acorda/interza accesul pe baza fișierului /etc/security/access.conf. Rândurile din acest fișier au următorul format:

drepturi: utilizatori: din

Drepturi - fie + (permite), fie - (nega)

Utilizatori - TOȚI, nume de utilizator sau utilizator@nod, unde nodul se potrivește cu numele mașinii locale, în caz contrar, intrarea este ignorată.

De la - unul sau mai multe nume de fișiere terminale (fără prefixul /dev/), nume de gazdă, nume de domenii (începând cu un punct), adrese IP, ALL sau LOCAL.

Modulul pam_cracklib.so verifică parolele folosind un dicționar. Este conceput pentru a valida o nouă parolă și pentru a împiedica sistemul să utilizeze parole ușor sparte, cum ar fi cuvinte obișnuite, parole care conțin caractere repetate și parole prea scurte. Există parametri opționali: debug, type= și retry=. Opțiunea de depanare permite înregistrarea informațiilor de depanare într-un fișier jurnal. Parametrul tip urmat de șir modifică implicit NewUnixpassword: promptul cuvânt Unix în șirul specificat. Parametrul retry specifică numărul de încercări date utilizatorului de a introduce o parolă, după care este returnată o eroare (implicit, este dată o singură încercare).

Să ne uităm la Lista 1.8. Acesta arată conținutul fișierului /etc/pam.d/other. Acest fișier conține configurația utilizată de motorul PAM pentru serviciile care nu au propriile fișiere de configurare în directorul /etc/pam.d. Cu alte cuvinte, acest fișier se aplică tuturor serviciilor necunoscute sistemului RAM. Conține toate cele patru tipuri de autorizare, autentificare, cont, parolă și sesiune, fiecare apelând modulul pam_deny.so marcat cu steag-ul necesar. Prin urmare, executarea unui serviciu necunoscut este interzisă.

Lista 1.8. Fișierul /etc/pam.d/other

auth required pam_deny.so

auth required pam_warn.so

cont necesar pam_deny.so

parola necesară pam_deny.so

parola necesară pam_warn.so

sesiune necesară pam_deny.so

Modulul pam_dialup.so verifică dacă este necesară o parolă pentru a accesa terminalul sau terminalele de la distanță, folosind fișierul /etc/security/ttys.dialup. Modulul este aplicabil nu numai pentru ttyS, ci și pentru orice terminal tty în general. Când este necesară o parolă, aceasta este verificată cu cea scrisă în fișierul /etc/security/passwd.dialup. Modificările la fișierul passwd.dialup sunt făcute de programul dpasswd.

Modulul pam_group.so efectuează verificări în conformitate cu conținutul fișierului /etc/security/group.conf. Acest fișier specifică grupurile în care utilizatorul specificat în fișier poate deveni membru dacă sunt îndeplinite anumite condiții.

Modulul pam_lastlog.so scrie informații despre când și unde utilizatorul sa conectat la fișierul lastlog. De obicei, acest modul este marcat cu un tip de sesiune și un semnalizator opțional.

Modulul pam_limits.so vă permite să impuneți diverse restricții utilizatorilor conectați. Aceste restricții nu se aplică utilizatorului root (sau oricărui alt utilizator cu un ID nul). Restricțiile sunt stabilite la nivel de conectare și nu sunt globale sau permanente, afectând doar o singură autentificare.

Modulul pam_lastfile.so preia o înregistrare (articol), o compară cu o listă din fișier și, pe baza rezultatelor comparației, returnează SUCCESS sau FAILURE. Parametrii acestui modul sunt următorii:

Item=[utilizator terminal | nod_la distanță | utilizator_la distanta | grup| coajă]

Sense= (starea de returnat; când se găsește o intrare în listă, în caz contrar se returnează starea opusă)

file=/full/path/and/file_name - onerr= (ce stare trebuie returnată în cazul unei erori)

App1y=[utilizator|@grup] (specifică utilizatorul sau grupul căruia i se aplică restricțiile. Este valabil doar pentru intrările din formularul item=[terminal | remote_node | shell], pentru intrările din formularul item=[user | remote_user | group ] este ignorat)

Modulul pam_nologin.so este utilizat pentru autorizarea tipului de autentificare cu indicatorul necesar. Acest modul verifică dacă fișierul /etc/nologin există și dacă nu, returnează SUCCESS, în caz contrar conținutul fișierului este afișat utilizatorului și este returnată valoarea FAILURE. Acest modul este utilizat de obicei în cazurile în care sistemul nu a fost încă pus în funcțiune complet sau este închis temporar pentru întreținere, dar nu este deconectat de la rețea.

Modulul pam_permit.so este suplimentar la modulul pam_deny.so. Întotdeauna returnează SUCCES. Orice parametri trecuți de modul sunt ignorați.

Modulul pam_pwdb.so oferă o interfață pentru fișierele passwd și umbră. Sunt posibile următoarele opțiuni:

Depanare - scrie informații de depanare în fișierul jurnal;

Audit - informații suplimentare de depanare pentru cei care nu au suficiente informații regulate de depanare;

Use_first_pass - nu solicitați niciodată utilizatorului o parolă, ci o luați din modulele anterioare ale stivei;

Try_first_pass - încercați să obțineți o parolă de la modulele anterioare, dacă nu ați reușit, întrebați utilizatorul;

Use_authtok - returnează valoarea FAILURE dacă pam_authtok nu a fost setat, nu cere utilizatorului o parolă, ci o ia din modulele anterioare ale stivei (doar pentru o stivă de module de tipul parolei);

Not_set_pass - nu setați parola de la acest modul ca parolă pentru modulele ulterioare;

Shadow - acceptă un sistem de parole umbră;

Unix - pune parole în fișierul /etc/passwd;

Md5 - utilizați parolele md5 data viitoare când schimbați parolele;

Bigcrypt - utilizați parole DECC2 data viitoare când schimbați parolele;

Nodelay - dezactivați întârzierea de o secundă atunci când autorizarea eșuează.

Modulul pam_rhosts_auth.so permite/interzice utilizarea fișierelor .rhosts sau hosts.equiv. În plus, permite/interzice și utilizarea înregistrărilor „periculoase” în aceste fișiere. Parametrii acestui modul sunt următorii:

No_hosts_equiv - ignoră fișierul /etc/hosts.equiv;

No_rhosts - ignoră fișierul /etc/rhosts sau ~/.rhosts;

Debug - înregistrează informațiile de depanare;

Nowarn - nu afișați avertismente;

Suprimare - nu afișați niciun mesaj;

Promiscuos - permiteți ca caracterul wildcard „+” să fie utilizat în orice câmp.

Modulul pam_rootok.so returnează SUCCES pentru orice utilizator cu un ID nul. Când este marcat cu indicatorul suficient, acest modul permite accesul la serviciu fără a specifica o parolă. Modulul are un singur parametru: depanare.

Modulul pam_securetty.so poate fi folosit numai împotriva superutilizatorilor. Acest modul funcționează cu fișierul /etc/securetty, permițând superutilizatorului să se autentifice numai prin terminalele enumerate în acest fișier. Dacă doriți să permiteți autentificarea superutilizatorului prin telnet (pseudo-terminal ttyp), fie ar trebui să adăugați linii pentru ttyp0-255 la acest fișier, fie să comentați apelul către pam_securetty.so în fișierul pentru serviciul de conectare.

Modulul pam_shells.so returnează SUCCESS dacă shell-ul utilizatorului specificat în fișierul /etc/passwd este prezent în lista de shell-uri din fișierul /etc/shells. Dacă fișierul /etc/passwd nu atribuie niciun shell utilizatorului, atunci /bin/sh este lansat. Dacă fișierul /etc/passwd al unui utilizator specifică un shell care nu este listat în /etc/shells, modulul returnează FAILURE. Doar superutilizatorul trebuie să aibă acces de scriere la fișierul /etc/shells.

Modulul pam_stress.so este folosit pentru a gestiona parolele. Are destul de mulți parametri, inclusiv depanarea neschimbată, dar în cazul general, dintre toți parametrii, doar doi sunt de interes:

Rootok - permite superutilizatorului să schimbe parolele utilizatorului fără a introduce parola veche;

Expirat - cu acest parametru, modulul rulează ca și cum parola utilizatorului ar fi expirat deja.

Alți parametri ai modulului vă permit să dezactivați oricare dintre aceste două moduri, să utilizați o parolă de la alt modul sau să transmiteți parola unui alt modul etc. Nu voi acoperi toți parametrii modulului aici, așa că dacă trebuie să utilizați caracteristicile speciale ale acest modul, citiți-le descrierea în documentația modulului.

În WSWS, modulul pam_tally.so nu este utilizat implicit în fișierele din /etc/pam.d. Acest modul numără încercările de autorizare. Dacă autorizarea are succes, contorul de încercări poate fi resetat la zero. Dacă numărul de încercări eșuate de conectare depășește un anumit prag, accesul poate fi refuzat. În mod implicit, informațiile despre încercare sunt plasate în fișierul /var/log/faillog. Parametrii globali sunt:

Onerr= - ce trebuie făcut dacă apare o eroare, de exemplu, fișierul nu a putut fi deschis;

File=/full/path/and/file_name - dacă este absent, este utilizat fișierul implicit. Următorul parametru are sens numai pentru tipul de autentificare:

No_magic_root - permite numărarea numărului de încercări pentru superutilizator (necontorate implicit). Util dacă autentificarea root prin telnet este permisă. Următorii parametri sunt semnificativi doar pentru tipul de cont:

Deny=n - interzice accesul după n încercări. Folosirea acestei opțiuni modifică comportamentul implicit al modulului reset/no_reset de la no_reset la reset. Acest lucru se întâmplă pentru toți utilizatorii, cu excepția root (UID 0), dacă nu este utilizat no_magic_root;

No_magic_root - nu ignora parametrul deny pentru încercările de acces făcute de utilizatorul root. Când este utilizat împreună cu opțiunea deny= (vezi mai devreme), comportamentul implicit pentru utilizatorul root este resetat, ca și pentru toți ceilalți utilizatori;

Even_deny_root_account - permite blocarea contului de superutilizator dacă este prezent parametrul no_magic_root. Se emite un avertisment. Dacă parametrul no_magic_root nu este utilizat, atunci indiferent de numărul de încercări nereușite, contul de superutilizator, spre deosebire de conturile de utilizator normale, nu va fi niciodată blocat;

Resetare - resetați contorul numărului de încercări la autentificare cu succes;

No_reset - nu resetați contorul numărului de încercări la autentificare cu succes; este valoarea implicită, dacă nu este specificat deny=.

Modulul pam_time.so vă permite să restricționați accesul la un serviciu în funcție de timp. Toate instrucțiunile de configurare pot fi găsite în fișierul /etc/security/time.conf. Nu are parametri: totul este setat în fișierul de configurare.

Modulul pam_unix gestionează autorizarea WSWS normală (de obicei, pam_pwdb.so este utilizat în locul acestui modul). Din punct de vedere fizic, acest modul este format din patru module, fiecare dintre ele corespunde unuia dintre tipurile PAM: pam_unix_auth.so, pam_unix_session.so, pam_unix_acct.so și pam_unix_passwd.so. Modulele pentru tipurile de cont și de autentificare nu au parametri. Modulul pentru tipul passwd are un singur parametru: strict=false. Dacă este prezent, modulul nu verifică parolele pentru rezistența la hacking, permițând utilizarea de parole arbitrare, inclusiv nesigure (ușor de ghicit sau selectate). Modulul pentru tipul de sesiune înțelege doi parametri: depanare și urmărire. Informațiile de depanare sunt plasate în fișierul jurnal de depanare așa cum este specificat în syslog.conf, iar informațiile de urmărire, datorită sensibilității sale, sunt plasate în jurnalul authpriv.

Modulul pam_warn.so scrie un mesaj despre apelul său la syslog. Nu are parametri.

Modulul pam_wheel.so permite doar membrilor grupului de roți să devină superutilizatori. Grupul de roți este un grup special de sistem ai cărui membri au privilegii mai mari decât utilizatorii obișnuiți, dar mai puține decât superutilizatorul. Prezența sa vă permite să reduceți numărul de utilizatori de sistem cu privilegii de superutilizator, făcându-i membri ai grupului de roți și, prin urmare, crescând securitatea sistemului. Dacă superutilizatorul se poate autentifica numai folosind un terminal, atunci acest modul poate fi utilizat pentru a împiedica utilizatorii să facă telefoane cu privilegii de superutilizator prin interzicerea accesului, cu excepția cazului în care aparțin grupului de roți. Modulul utilizează următorii parametri:

Debug - înregistrarea informațiilor de depanare;

Use_uid - determinarea proprietății pe baza ID-ului utilizatorului curent, și nu a celui care i-a fost atribuit atunci când s-a autentificat;

Încredere - dacă utilizatorul aparține grupului de roți, returnați valoarea SUCCESS și nu IGNORE;

Refuza - schimbă sensul procedurii în sens opus (revenire FĂRĂ REUS). În combinație cu group=, vă permite să refuzați accesul membrilor unui anumit grup.

NOTĂ -

Directorul /etc/security este direct legat de directorul /etc/pam.d deoarece conține fișiere de configurare pentru diferite module PAM numite în fișierele din /etc/pam.d.

Intrări RAM în fișierele jurnal

Listare 1.9. Conținutul /var/log/secure

11 ianuarie 16:45:14 chiriqui PAM_pwdb: (su) sesiune deschisă pentru utilizator root

11 ianuarie 16:45:25 chiriqui PAM_pwdb: (su) sesiune închisă pentru utilizator root

11 ian 17:18:06 chiriqui autentificare: CONECTAREA EŞECTĂ 1 DE LA (null) PENTRU david,

Autentificare eșuată

11 ian 17:18:13 chiriqui login: FAILED LOGIN 2 FROM (null) PENTRU david.

Autentificare eșuată

11 ian 17:18:06 chiriqui autentificare: LOGIN 1 EȘUT DE LA (null) PENTRU david.

Autentificare eșuată

11 ian 17:18:13 chiriqui autentificare: LOGIN 2 DE NU a reușit (null) PENTRU david,

Autentificare eșuată

11 ianuarie 17:18:17 chiriqui PAM_pwdb: sesiune (autentificare) deschisă pentru utilizatorul david

11 ianuarie 17:18:17 chiriqui -- david: LOGIN ON ttyl DE David

11 ianuarie 17:18:20 chiriqui PAM_pwdb: (autentificare) sesiune închisă pentru utilizatorul david

Fiecare intrare începe cu o dată, o oră și un nume de gazdă. Acesta este urmat de numele modulului PAM și ID-ul procesului cuprins între paranteze drepte. Apoi, între paranteze, apare numele serviciului cu restricții de acces. Pentru Lista 1.9 aceasta este fie su, fie login. Numele serviciului este urmat de „sessionopened” sau „sessionclosed”.

Intrarea care urmează imediat după intrarea „sessionopened” este mesajul de conectare, care vă spune cine este autentificat și de unde.

Sunt luate în considerare următoarele întrebări:

Care sunt grupurile de utilizatori implicite și grupurile de utilizatori private;

Schimbați utilizator/grup;

Modul în care schimbarea utilizatorului/grupului afectează GUI;

Securitate și utilizatori;

Securitate și parole;

Protecție cu parolă;

Alegerea unei parole bune;

Hacking parole.

Grup implicit

În prezent, nu mai există o restricție ca un utilizator să fie membru al unui singur grup la un moment dat. Orice utilizator poate aparține mai multor grupuri în același timp. Folosind comanda newgrp, utilizatorul devine membru al grupului specificat în comandă, iar acest grup devine pentru acest utilizator grup de conectare(grup de conectare). În acest caz, utilizatorul continuă să rămână membru al grupurilor la care a fost membru înainte de a executa comanda newgrp. Grupul de conectare este grupul care devine proprietarul grupului de fișiere create de utilizator.

Diferența dintre grupul implicit și grupurile private de utilizatori este gradul de deschidere al celor două scheme. Cu un design de grup implicit, orice utilizator poate citi (și adesea modifica) fișierele altui utilizator. În cazul grupurilor private, citirea sau scrierea unui fișier creat de un alt utilizator este posibilă numai dacă proprietarul acestuia a acordat în mod explicit drepturi asupra acestor operațiuni altor utilizatori.

Dacă doriți ca utilizatorii să se alăture și să părăsească un grup fără intervenția administratorului de sistem, puteți aloca o parolă grupului. Un utilizator se poate bucura de privilegiile unui anumit grup numai dacă aparține acestuia. Există două opțiuni aici: fie aparține grupului din momentul în care se conectează la sistem, fie devine membru al grupului ulterior, după ce a început să lucreze cu sistemul. Pentru ca un utilizator să se alăture unui grup din care nu aparține, acelui grup trebuie să i se atribuie o parolă.

În mod implicit, WSWS nu folosește parole de grup, așa că nu există niciun fișier gshadow în directorul /etc.

Dacă utilizați în mod regulat doar unul dintre programe — useradd, LISA sau COAS — pentru a efectua sarcini de administrare de rutină a utilizatorilor, fișierele cu setările utilizatorului sunt mai consistente și mai ușor de întreținut.

Avantajul designului implicit al grupului este că facilitează partajarea fișierelor, deoarece nu trebuie să vă faceți griji cu privire la permisiunile fișierelor. Această schemă implică o abordare deschisă a sistemului conform principiului „tot ceea ce nu este interzis este permis”.

Configurarea setărilor implicite de utilizator este o sarcină cu prioritate ridicată care ar trebui finalizată imediat după ce instalați sistemul.

Grupuri private de utilizatori

Grupurile de utilizatori private au nume care sunt aceleași cu numele de utilizator. Un grup privat devine grupul de conectare, deci implicit, adică dacă atributele directorului nu specifică nimic altceva, este desemnat ca grup deținător al tuturor fișierelor pentru acel utilizator.

Avantajul grupurilor private de utilizatori este că utilizatorii nu trebuie să-și facă griji cu privire la restricționarea accesului la fișierele lor: în mod implicit, accesul la fișierele utilizatorilor va fi restricționat din momentul în care sunt create. În WSWS, atunci când folosește grupuri private, un utilizator poate citi sau modifica doar fișierele care îi aparțin. În plus, el poate crea doar fișiere în directorul său principal. Acest comportament implicit poate fi modificat de administratorul de sistem sau utilizator, atât la nivel de fișier individual, cât și la nivel de director.

Există mai multe comenzi cu care utilizatorul își poate controla numele și/sau grupul căruia îi aparține, sau numele sau grupul în numele căruia este executat programul. Un astfel de program este newgrp.

Comanda newgrp poate fi executată de orice utilizator. Îi permite să se alăture unui grup din care nu a aparținut, dar numai dacă grupului i se atribuie o parolă. Această comandă nu vă va permite să vă alăturați unui grup fără o parolă dacă nu sunteți membru al grupului respectiv.

Comanda newgrp poate fi folosită pe un grup din care utilizatorul este deja membru. În acest caz, newgrp face din grupul specificat grupul de conectare. Grupurile unui utilizator sunt împărțite în două tipuri: grupul de autentificare și toate celelalte grupuri cărora le aparține utilizatorul. Un utilizator poate aparține mai multor grupuri, dar grupul care deține fișierele pe care le creează utilizatorul va fi întotdeauna atribuit grupului de conectare al utilizatorului respectiv.

Pe lângă newgrp, puteți utiliza și comenzile chown și chgrp pentru a controla dacă un fișier aparține unui anumit utilizator sau grup.

Sfera de aplicare a comenzii newgrp în mediul XWindow este limitată la programul xterm în care a fost executată: doar programele lansate prin acel terminal vor fi executate în contextul noului grup, ceea ce înseamnă că utilizatorul nu o poate folosi pentru a modifica grup de autentificare pentru programele lansate prin managerul de ferestre. Un program care trebuie rulat întotdeauna în contextul unui grup secundar poate fi pornit printr-un script care îl setează la grupul de conectare necesar.

Sistemul XWindow aduce întotdeauna dificultăți suplimentare în viața utilizatorilor. În acest caz, aceste dificultăți nu sunt direct legate de X, ci decurg din logica /etc/groups și /etc/gshadow. Cei care nu folosesc parole umbră pentru grupuri nu au de ce să-și facă griji. În cazul lui X, configurarea unui grup protejat prin parolă nu este posibilă dintr-un script simplu, dar pentru grupurile secundare de utilizatori care nu necesită o parolă, schimbarea grupului este extrem de simplă. Următorul scenariu este suficient:

sg - gif -c /usr/X11R6/bin/xv &

Ca urmare a rulării acestui script, va fi lansat programul xv, al cărui grup principal va fi grupul gif-uri. Asta trebuia să obținem.

Este mai dificil pentru cei care folosesc parole de grup umbră, deoarece în acest caz, la executarea acestui script, pe ecran va apărea un mesaj de eroare. Când fișierul /etc/groups listează utilizatorii care aparțin unui grup, oricare dintre aceștia este automat considerat membru al grupului imediat după conectare. Cu toate acestea, în cazul parolelor umbră, lista de utilizatori ai grupului este mutată în fișierul /etc/gshadow, astfel încât utilizatorul conectat să nu fie înscris automat ca membru al grupului, ci să se poată alătura acestuia folosind comanda newgrp sau rulați orice program în numele său folosind comanda sg. Problema este că, din punctul de vedere al lui X, acest utilizator (care nu este neapărat utilizatorul care a inițiat sesiunea de lucru a lui X) nu are permisiunea de a stabili o conexiune. Prin urmare, pentru grupurile care nu sunt protejate prin parolă, scriptul anterior este modificat după cum urmează:

xhosts +localhost

sg - gif -c /usr/X11R6/bin/xv &

Linia adăugată permite noului grup (gif-uri) să acceseze ecranul. Pentru majoritatea stațiilor de lucru, acest lucru nu ar trebui să provoace probleme de securitate semnificative, deoarece această linie permite doar accesul la ecran pentru utilizatorii de pe gazda locală (consultați un ghid bun de administrare de sistem Linux pentru mai multe informații despre X și xhost).

NOTĂ

Utilizarea unui server X (mai ales în combinație cu xdm sau kdm) implică o mulțime de complexități, care sunt agravate și mai mult de aplicațiile grafice, deoarece pot fi lansate nu numai prin linia de comandă, ci și folosind o pictogramă pe desktopul grafic.

Schimbă utilizatorul

NOTĂ

Un utilizator obișnuit nu poate provoca atât de multe daune sistemului pe cât poate face un superutilizator neglijent. Consecințele greșelii dvs. de scriere ca superutilizator pot fi destul de fatale, până la punctul în care toate fișierele dvs. de sistem (sau chiar toate fișierele stocate pe sistem) pot fi luate la revedere. Unele companii s-ar putea să-ți ia rămas bun după asta.

Comanda su este responsabilă pentru conversia unui utilizator în altul. Echipa și-a luat numele « substitui utilizator » (înlocuirea utilizatorului), dar deoarece cel mai adesea este folosit pentru a deveni superutilizator..

Comanda su, apelată fără argumente, va cere utilizatorului o parolă, după care (primind ca răspuns parola corectă) te va face utilizator root. Această comandă este un serviciu restricționat, astfel încât toate aspectele securității sale pot fi configurate prin fișierul /etc/pam.d/su.

NOTĂ -

Apelarea lui su fără a specifica un nume de utilizator (cu sau fără cratimă) este interpretată ca o instrucțiune pentru a vă face utilizatorul root.

Această comandă sudo permite utilizatorilor selectați să ruleze anumite programe ca superutilizator, iar utilizatorului care invocă această comandă i se cere nu parola de superutilizator, ci propria parolă. Utilizați sudo similar cu comanda sg. Utilizatorul introduce sudo command_to_execute, apoi parola și, dacă este permis, comanda specificată este executată în contextul privilegiilor root.

Securitate și utilizatori

De obicei, utilizatorii sunt interesați doar de modul în care să se autentifice și să ruleze programele de care au nevoie. Ei devin interesați de securitate doar după ce pierd fișiere importante. Dar nu durează mult. Odată ce utilizatorii află că au fost luate măsuri, ei uită rapid de orice precauție.

În general, siguranța nu este preocuparea lor. Administratorul de sistem trebuie să gândească, să implementeze și să mențină o politică de securitate care să permită utilizatorilor să-și facă munca fără a fi distras de problemele de securitate care le sunt străine.

Principalul pericol pentru un sistem vine de obicei din interior, nu din exterior. Sursa sa (în special în sistemele mari) poate fi, de exemplu, un utilizator furios. Cu toate acestea, suspiciunea excesivă ar trebui evitată atunci când prejudiciul cauzat din ignoranță este confundat cu intenție rău intenționată. Cum să protejați utilizatorii de deteriorarea neintenționată a fișierelor proprii și ale altor persoane este descris în prima parte a cărții. După cum arată practica, utilizatorul obișnuit nu poate deteriora sistemul. Trebuie să vă faceți griji doar cu privire la acei utilizatori care sunt capabili să găsească o lacună în mecanismele de securitate și sunt de fapt capabili să provoace daune țintite sistemului. Dar astfel de utilizatori sunt de obicei puțini la număr și devin cunoscuți în timp, mai ales dacă știi ce să cauți. Grupul de risc include utilizatorii care, datorită poziției lor sau prin conexiunile lor, pot obține acces la nivel de privilegiu root. Pe măsură ce stăpâniți materialul din această carte, veți afla ce anume ar trebui să fie privite drept semne de necazuri iminente.

În mod implicit, utilizatorii au control deplin asupra directoarelor lor de acasă. Dacă utilizați grupul implicit, toți utilizatorii din sistem aparțin aceluiași grup. Orice utilizator are dreptul de a accesa directoarele de acasă ale altor utilizatori și fișierele aflate în acestea. Când se folosește o schemă cu grupuri de utilizatori private, orice utilizator din sistem are acces numai la propriul director principal, iar directoarele de acasă ale altor utilizatori nu sunt disponibile pentru el.

Dacă trebuie să oferiți acces partajat la un anumit set de fișiere comune pentru toți utilizatorii sistemului, este recomandat să creați un director partajat undeva special pentru aceste scopuri, să creați un grup din care toți utilizatorii ar fi membri (acesta ar putea fi grup de utilizatori sau orice alt grup creat de dvs.) și acordați acestui grup drepturile de acces corespunzătoare la acest director partajat. Dacă un utilizator dorește să pună unele dintre fișierele sale disponibile altor utilizatori, poate pur și simplu să le copieze în acest director și să se asigure că aceste fișiere aparțin aceluiași grup din care sunt membri toți utilizatorii.

Unii utilizatori trebuie să folosească sau pur și simplu nu se pot descurca fără programe care nu sunt incluse în pachetul WSWS. Majoritatea utilizatorilor dobândesc în cele din urmă o mulțime de fișiere proprii: documente, fișiere de configurare, scripturi etc. OpenLinux nu oferă prea mult ajutor utilizatorilor în organizarea fișierelor, lăsând această sarcină administratorului de sistem.

Structura de directoare creată în directorul principal al fiecărui utilizator nou este determinată de conținutul directorului /etc/skel. Un /etc/skel tipic conține de obicei următoarele directoare:

Aceste directoare sunt folosite pentru a stoca (respectiv) fișiere binare, fișiere sursă, fișiere de document și alte fișiere diverse. Multe programe oferă implicit să salveze fișiere de anumite tipuri într-unul dintre aceste subdirectoare. După ce au primit o explicație cu privire la scopul cataloagelor pe care le au la dispoziție, utilizatorii sunt de obicei dispuși să înceapă să le folosească, deoarece îi scutește de a fi nevoiți să vină cu ceva propriu. Nu uitați să faceți ~/bin unul dintre ultimele directoare listate în PATH-ul utilizatorilor dvs.

Securitate și parole

Ei spun că acolo unde vine subțire, se rupe - această vorbă este adesea amintită când vine vorba de importanța parolelor într-un sistem de securitate. În general, fiabilitatea unui sistem de securitate este determinată de mulți factori, în special de ce servicii sistemul WSWS pune la dispoziție utilizatorilor externi (dacă este folosit ca server web, dacă poate fi autentificat folosind telnet etc.). Un alt factor determinant sunt parolele utilizatorilor, ceea ce ne aduce la un alt factor - respectarea de către utilizatori a politicilor de securitate. Utilizatorul mediu nu vrea să știe nimic despre securitate. Dacă respectăm utilizatorul și nu dorim să îi schimbăm atitudinea față de securitate prin metode coercitive, ar trebui să facem sistemul de securitate convenabil și ușor de înțeles pentru el. Cel mai greu lucru de realizat este comoditatea. Tot ceea ce este sigur nu este de obicei foarte convenabil (deoarece în spatele confortului se află predictibilitatea și elementaritatea care nu se combină cu siguranța) și, prin urmare, intră în conflict cu comportamentul obișnuit al persoanelor care preferă cele mai convenabile tuturor metodelor posibile. La urma urmei, utilizatorii lucrează cu sistemul pentru a finaliza munca care le-a fost atribuită și nu pentru a adăuga lucrări noi. Pentru a împiedica utilizatorii să ia în mod deliberat calea celei mai mici rezistențe atunci când au de-a face cu parole, de obicei încerc să le explic pentru ce sunt parolele și de ce este atât de important să le păstrăm în siguranță. Este important nu dintr-un punct de vedere general, cum ar fi „un sistem cu securitate scăzută poate fi piratat și fișiere importante furate sau deteriorate”, ci din punctul de vedere al intereselor personale ale utilizatorului.

Majoritatea utilizatorilor înțeleg importanța e-mailului pentru munca lor. Cu toate acestea, ei nu realizează că oricine s-a conectat sub numele lor are capacitatea de a-și folosi e-mailul în numele lor împotriva lor. Întrebați utilizatorul dacă folosește e-mailul în scopuri personale. Cel mai probabil va răspunde da. Apoi întreabă-l dacă a trebuit vreodată să rezolve probleme importante de afaceri prin e-mail. Cei care răspund „nu” devin din ce în ce mai puțini în fiecare zi. Dar chiar dacă răspunsul este nu, unii dintre partenerii de afaceri ar putea considera că o tranzacție prin e-mail este la fel de obligatorie ca și o tranzacție telefonică.

Apoi explicați utilizatorului că e-mailurile sale sunt uneori la fel de importante ca semnătura personală. Și deși antetul unui mesaj de e-mail poate fi schimbat, în majoritatea cazurilor o astfel de modificare este la fel de ilegală ca și falsificarea unei semnături. Dar dacă cineva, după ce a învățat cumva parola unui alt utilizator, se conectează în sistem sub numele său, atunci, la figurat vorbind, va putea astfel să semneze cu semnătura altei persoane. Orice e-mail trimis de acesta nu va putea fi distins din punct de vedere tehnic de e-mailul trimis chiar de utilizator. Practica de a permite cuiva să se conecteze sub un alt nume este nedorită și ar trebui evitată (excepția sunt administratorii de sistem, care folosesc această caracteristică pentru a testa scripturile de conectare și setările utilizatorului, dar nu trebuie să cunoască parola utilizatorului respectiv pentru a face acest lucru) . Fenomenele nedorite includ autentificarea în sistem sub numele altcuiva (chiar și cu permisiunea altui utilizator). Cât de nedorit este asta? Răspunsul la această întrebare este determinat de severitatea politicii de securitate a întreprinderii.

Cu toate acestea, utilizatorii ar trebui să înțeleagă că există și alte modalități la fel de periculoase de a obține acces neautorizat la contul lor. Cel mai frecvent caz este atunci când utilizatorul, temându-se să uite parola, o face ușor de reținut și, prin urmare, ușor de ghicit, sau scrie parola pe o bucată de hârtie, care este adesea pur și simplu atașată la monitor. Un sistem de securitate cu parole se bazează pe două lucruri: un nume de utilizator permanent și o parolă care se schimbă periodic. Majoritatea oamenilor nu vor spune nimănui PIN-ul contului lor bancar, dar nu își păstrează parola de utilizator la fel de gelos. Deși, spre deosebire de un cont bancar, în care partea persistentă, adică cardul de credit, este un obiect fizic care încă trebuie accesat, partea persistentă a unui sistem de securitate prin parolă, adică numele de utilizator, este cunoscută de toată lumea (cel puțin toată lumea din cadrul companiei). și cei cu care utilizatorul a corespondat prin e-mail). Prin urmare, dacă partea variabilă este scrisă undeva sau este ușor de ghicit sau selectat de un program care caută cuvinte dintr-un dicționar, atunci un astfel de cont nu poate fi considerat bine protejat.

În cele din urmă, utilizatorii ar trebui să fie conștienți de existența unei metode numite „ingineria socială” pentru a obține o parolă. Cei mai mulți dintre noi am întâlnit cel puțin o persoană în viața noastră despre care putem spune „alunecos ca naiba”. Astfel de oameni au capacitatea de a convinge alte persoane, folosind argumentația logică, să furnizeze informațiile de care au nevoie. Dar aceasta nu este singura modalitate posibilă de a afla parola altcuiva. Uneori este suficientă doar o privire.

O modalitate de a contracara astfel de incidente este schimbarea regulată a parolei. Puteți, desigur, să vă schimbați parola o dată la zece ani, dar este mai bine să nu faceți intervalele dintre modificări prea lungi, la fel cum este mai bine să nu le faceți prea scurte, de exemplu, o dată pe oră. A nu vă schimba parola prea mult timp înseamnă să vă expuneți riscului de hacking.

NOTĂ-

Pătrunderea unui străin în sistem sub masca unui utilizator obișnuit poate avea consecințe îngrozitoare nu numai pentru fișierele utilizatorului respectiv, ci și pentru întregul sistem în ansamblu, deoarece cu cât acest străin știe mai multe despre sistemul dvs., cu atât va fi mai ușor. fie ca el să găsească găuri în securitatea lui.

Rețineți că scriptul efectuează câteva verificări înainte de a începe: dacă rulează ca root, dacă UID-ul de pornire este ocupat etc. Cu toate acestea, nu verifică totul.

Hacking parole

O modalitate de a testa securitatea unui sistem presupune să te pui în pielea unui atacator și să încerci să gândești și să acționezi așa cum ar acționa o persoană care încearcă să încalce securitatea. Aceasta înseamnă că trebuie să te plimbi printre utilizatori, să spioni pentru a vedea dacă există o parolă scrisă atașată la un monitor, dacă cineva a lăsat pe masă o foaie de hârtie cu datele de identificare scrise pe masă sau „trece” chiar atunci. ora dimineața când utilizatorii se conectează (s-ar putea să-l vedeți pe unul dintre ei introducând o parolă pe tastatură).

Aceasta înseamnă, de asemenea, să acordați atenție orientării monitorului utilizatorului care accesează informații sensibile pentru a determina dacă acestea sunt vizibile pentru altcineva. Apoi, când acești utilizatori își părăsesc biroul, lansează un screensaver blocat cu parolă, se deconectează sau nu fac nimic?

Cu toate acestea, cel mai bun mod de a testa puterea unui sistem de securitate cu parole și atitudinea utilizatorilor față de acesta este să încercați să spargeți parolele utilizatorilor. Rularea regulată a unui program de spargere a parolelor poate oferi o indicație destul de bună asupra puterii sistemului dvs. de protecție prin parolă.

WSWS 3.0 este un sistem de operare multitasking securizat, multi-utilizator, cu partajare a timpului, dezvoltat pe Linux. Sistemul de operare oferă un sistem cu prioritate pe mai multe niveluri cu multitasking preventiv, organizare a memoriei virtuale și suport complet pentru rețea; funcționează cu configurații multiprocesor (SMP - symmetrical multiprocessing) și cluster pe platformele Intel, MIPS și SPARC. O caracteristică specială a MSVS 3.0 este mijloacele de protecție încorporate împotriva accesului neautorizat, care îndeplinesc cerințele Documentului de îndrumare al Comisiei Tehnice de Stat sub președintele Federației Ruse pentru echipamentele informatice de clasa 2. Caracteristicile de securitate includ controlul obligatoriu al accesului, liste de control al accesului, un model de rol și instrumente avansate de audit (înregistrare evenimente).

Sistemul de fișiere MSVS 3.0 acceptă nume de fișiere de până la 256 de caractere cu capacitatea de a crea nume de fișiere și directoare în limba rusă, legături simbolice, un sistem de cote și liste de drepturi de acces. Este posibil să montați sisteme de fișiere FAT și NTFS, precum și ISO-9660 (CD-uri). Mecanismul de cotă vă permite să controlați modul în care utilizatorii folosesc spațiul pe disc, numărul de procese lansate și cantitatea de memorie alocată fiecărui proces. Sistemul poate fi configurat să emită alerte atunci când resursele solicitate de utilizator se apropie de o cotă specificată.

MSWS 3.0 include un sistem grafic bazat pe X Window. Pentru a lucra într-un mediu grafic, sunt furnizați doi manageri de ferestre: IceWM și KDE. Majoritatea programelor din WSWS sunt concepute pentru a funcționa într-un mediu grafic, care creează condiții favorabile nu numai pentru utilizatori, ci și pentru tranziția acestora de la sistemul de operare Windows la WSWS.

MSWS 3.0 este furnizat într-o configurație care, pe lângă nucleu, include un set de produse software suplimentare. Sistemul de operare în sine este folosit ca element de bază al organizării stațiilor de lucru automate (AWS) și al construirii sistemelor automate. Software-ul suplimentar poate fi instalat opțional și este axat pe automatizarea maximă a managementului și administrării domeniului, ceea ce vă permite să reduceți costul de deservire a stațiilor de lucru și să vă concentrați pe utilizatorii care își îndeplinesc sarcina țintă. Programul de instalare vă permite să instalați sistemul de operare de pe un CD bootabil sau prin rețea folosind FTP. De obicei, serverul de instalare este mai întâi instalat și configurat de pe discuri, iar apoi computerele rămase sunt instalate în rețea. Serverul de instalare dintr-un domeniu care rulează îndeplinește sarcina de a actualiza și restaura software-ul pe stațiile de lucru. Noua versiune este postată doar pe server și apoi software-ul este actualizat automat la locul de muncă. Dacă software-ul de pe stațiile de lucru este deteriorat (de exemplu, când un fișier de program este șters sau sumele de verificare ale fișierelor executabile sau de configurare nu se potrivesc), software-ul corespunzător este reinstalat automat.

În timpul instalării, administratorului i se solicită să selecteze fie unul dintre tipurile de instalare standard, fie o instalare personalizată. Tipurile standard sunt utilizate atunci când sunt instalate pe stații de lucru standard și acoperă principalele opțiuni standard pentru organizarea stațiilor de lucru bazate pe MSWS 3.0 OS (Fig. 1). Fiecare tip standard definește un set de produse software care urmează să fie instalate, o configurație de disc, un set de sisteme de fișiere și o serie de setări de sistem. Instalarea personalizată vă permite să setați în mod explicit toate caracteristicile specificate ale sistemului final, până la selectarea pachetelor software individuale. Dacă selectați o instalare personalizată, puteți instala WSWS 3.0 pe un computer care are deja instalat un alt sistem de operare (de exemplu, Windows NT).

WSWS 3.0 include un sistem de documentare unificat (UDS) cu informații despre diferite aspecte ale funcționării sistemului. ESD constă dintr-un server de documentație și o bază de date care conține texte de descriere, care pot fi accesate prin intermediul browserelor. Când instalați software suplimentar, secțiunile de referință corespunzătoare sunt instalate în baza de date ESD. Sistemul de documentare unificat poate fi localizat local la fiecare stație de lucru sau poate fi alocat un server de documentare special în domeniul WSWS. Ultima opțiune este utilă de utilizat în domeniile WSWS mari pentru a economisi spațiu total pe disc, a simplifica procesul de gestionare și a actualiza documentația. Accesul la documentația de pe alte stații de lucru este posibil prin intermediul browserului Web furnizat cu MSWS 3.0.

MSWS 3.0 este rusificat în ambele moduri alfanumerice și grafice. Terminalele virtuale sunt acceptate, comutarea între ele se realizează folosind o combinație de taste.

Un punct cheie din punct de vedere al integrității sistemului este înregistrarea noilor utilizatori WSWS, care definește atributele utilizatorului, inclusiv atributele de securitate, conform cărora sistemul de control al accesului va controla ulterior munca utilizatorului. La baza modelului de mandat se află informațiile introduse la înregistrarea unui nou utilizator.

Pentru a implementa controlul discreționar al accesului, sunt utilizate mecanismele tradiționale Unix de biți de drepturi de acces și liste de control al accesului (ACL). Ambele mecanisme sunt implementate la nivelul sistemului de fișiere MSVS 3.0 și sunt utilizate pentru a seta drepturi de acces la obiectele sistemului de fișiere. Biții vă permit să definiți drepturi pentru trei categorii de utilizatori (proprietar, grup, alții), cu toate acestea, acesta nu este un mecanism suficient de flexibil și este utilizat atunci când setați drepturi pentru majoritatea fișierelor OS care sunt utilizate în același mod de majoritatea utilizatorilor. . Folosind ACL-uri, puteți seta drepturi la nivelul utilizatorilor individuali și/sau al grupurilor de utilizatori și, astfel, puteți obține o granularitate semnificativă în setarea drepturilor. Listele sunt utilizate atunci când lucrați cu fișiere care necesită, de exemplu, drepturi de acces diferite pentru mai mulți utilizatori anumiți.

Unul dintre dezavantajele semnificative ale sistemelor Unix tradiționale, din punct de vedere al securității, este prezența unui superutilizator cu cele mai largi puteri. O caracteristică a WSWS 3.0 este descentralizarea funcțiilor superutilizatorului. Sarcina de administrare a sistemului este împărțită în mai multe părți, pentru care există administratori de configurare, securitate și audit. Din punctul de vedere al sistemului de operare, acești administratori sunt utilizatori obișnuiți cărora li se oferă posibilitatea de a rula programe administrative speciale și de a accesa fișierele de configurare corespunzătoare. Conturile de administrator de sistem sunt create în timpul fazei de instalare a MSWS 3.0.

Fiecare dintre administratori este responsabil pentru îndeplinirea numai a propriilor sarcini, de exemplu, administratorul de configurare gestionează sistemele de fișiere, interfețele de rețea, configurarea serviciilor de sistem etc. Administratorul de securitate este responsabil pentru politica de securitate și controlează setările sistemului legate de securitate: lungimea minimă a parolei, numărul de încercări eșuate de conectare a utilizatorului etc. În acest caz, sunt înregistrate toate evenimentele legate de securitate, inclusiv acțiunile administratorilor. Managementul auditului este responsabilitatea administratorului de audit, care poate, de exemplu, „curăța” jurnalele de audit.

Descentralizarea funcțiilor superutilizatorului face posibilă implementarea principiului „patru ochi”. De exemplu, înregistrarea unui nou utilizator WSWS 3.0 se realizează în două etape. Mai întâi, administratorul de configurare creează un cont pentru noul utilizator, iar apoi administratorul de securitate înregistrează noul utilizator în baza de date de securitate. Numai după aceasta este posibil ca un nou utilizator să se conecteze la sistem.

Pentru a efectua sarcini de administrare, distribuția include pachetul „Instrumente de administrare”, care include programe pentru gestionarea utilizatorilor, fișierelor, securitate, auditare, setări la nivel de sistem și de rețea.

Prima sarcină care trebuie finalizată după instalarea WSWS 3.0 este ca administratorul să formuleze o politică de securitate care să fie implementată într-o anumită organizație. Una dintre componentele acestei sarcini este crearea unui mecanism de control al accesului obligatoriu. În fig. Figura 2 prezintă o vedere a programului de control al mecanismului de mandat, care vă permite să configurați multe atribute de mandat ale subiecților și obiectelor MSVS 3.0. În partea de sus a ferestrei programului, puteți configura niveluri de securitate, ale căror valori posibile pot fi, de exemplu, „neconfidențial” și „confidențial”. În partea de jos, sunt create multe categorii care descriu domeniul la care se referă informațiile: „angajați”, „echipament tehnic”, etc. Este posibil să creați superseturi de categorii (de exemplu, „Categoria_1_2”), care includ mai multe categorii separate și alte superseturi. Lucrul cu niveluri este cel mai convenabil atunci când le reprezentați în formă zecimală, deoarece nivelurile au o organizare ierarhică. La rândul său, atunci când lucrați cu categorii, este convenabil să le reprezentați în formă binară, deoarece categoriile nu sunt un set ierarhic.

În fig. Figura 3 prezintă o vedere a uneia dintre ferestrele programului de gestionare a utilizatorilor. Acest program poate fi rulat numai de administratori de configurare și securitate. Mai mult, fiecare dintre ele poate seta sau modifica doar acele atribute de utilizator, a căror gestionare este de competența sa.

În fig. Figura 4 prezintă un exemplu de fereastră de program de gestionare a fișierelor care vă permite să vizualizați și să modificați valorile atributelor fișierului. Vizualizarea structurii arborescente a sistemului de fișiere în partea stângă a ferestrei facilitează navigarea prin acesta și selectarea fișierului dorit. Partea dreaptă arată atributele fișierului selectat, grupate după scopul lor funcțional. Fiecare grup are o filă separată. Fila General afișează atributele tradiționale ale fișierului Unix, cum ar fi tipul fișierului, dimensiunea, numărul de linkuri hard, atributele discreționare și marcajele de timp. O caracteristică a fișierelor WSWS 3.0 este prezența atributelor obligatorii și extinderea atributelor discreționare cu o listă de drepturi de acces. Atributele obligatorii sunt prezentate în fila „Eticheta candidaturii”. Pentru a gestiona fișierul ACL, fila „Drepturi de acces” este evidențiată. Mai mult, la selectarea directoarelor pentru care este posibil să se creeze un ACL implicit, fila „Drepturi de acces implicite” este activată. În fig. Figura 5 arată fereastra pentru lucrul cu un fișier ACL. Este posibil să adăugați fie o singură intrare pentru un utilizator sau grup, fie mai multe intrări cu aceleași drepturi de acces. Ca și în cazul programului anterior, programul de gestionare a fișierelor poate fi pornit numai de administratorii de configurare și securitate. Fiecare dintre ele poate modifica numai acele atribute ale fișierului care sunt de competența sa de a gestiona.

Servicii WSWS 3.0

WSWS, ca orice alt sistem de operare, servește la crearea condițiilor optime pentru execuția serviciilor și aplicațiilor care asigură automatizarea și sporesc eficiența utilizatorilor.

Unul dintre serviciile principale ale oricărui sistem de operare este serviciul de imprimare. MSVS 3.0 include un sistem de imprimare care vă permite să imprimați documente în conformitate cu cerințele pentru sistemele securizate. Printre caracteristicile sistemului de imprimare MSVS 3.0 care îl deosebește de sistemele similare se numără suportul pentru un mecanism de control al accesului obligatoriu, care permite, în etapa generării unei lucrări de imprimare, să se determine nivelul de confidențialitate al unui document și să trimită automat lucrarea. la o anumită imprimantă în conformitate cu regulile de tipărire adoptate într-o anumită organizație. Fiecare coală tipărită este etichetată automat cu atribute de contabilitate a documentului, inclusiv numele utilizatorului care a tipărit documentul și numele computerului de pe care a fost trimisă lucrarea de imprimare. Unul dintre avantajele sistemului de imprimare este invarianța acestuia față de aplicațiile care accesează serviciul de imprimare. Aceasta înseamnă că nu este legat de aplicațiile existente și nu se modifică atunci când sunt introduse aplicații noi. Ca urmare, aplicațiile de tipărire trebuie să țină cont de marcajele din foi și să lase spațiu pentru aceasta. Faptul de tipărire este înregistrat într-un jurnal special pentru înregistrarea reproducerii documentelor tipărite. Pentru a lucra cu acest jurnal, se folosește un program special care vă permite să vizualizați, să editați unele câmpuri ale înregistrărilor și să le imprimați (Fig. 6).

Un element important al sistemului de securitate WSWS 3.0 este sistemul de identificare/autentificare. Pentru o autentificare cu succes, utilizatorul trebuie să introducă parola corectă. Evident, calitatea parolei alese determină rezistența sistemului la intruși. Pentru a genera parole de utilizator, MSVS 3.0 include un program special (Fig. 7).

Pentru a monitoriza computerele de domeniu, se folosește un sistem de monitorizare a performanței (CF), format dintr-un server și agenți speciali. Agenții sunt instalați pe computerele de domeniu și raportează starea lor către server. Sistemul CF vă permite să obțineți informații despre diverse aspecte ale funcționării computerului (starea proceselor, subsistemul discului, subsistemele kernelului) și să monitorizați performanța serviciilor de rețea (ftp, ssh etc.). Informațiile care intră în server sunt acumulate în jurnale speciale, ceea ce vă permite să observați nu numai starea curentă a domeniului, ci și să studiați starea acestuia pe întreaga perioadă de funcționare a sistemului.

domeniul WSWS

WSWS 3.0 este folosit pentru a crea domenii pe baza cărora sunt create sisteme automate securizate. Din punct de vedere fizic, un domeniu este implementat ca o rețea locală de computere, dintre care majoritatea sunt folosite pentru a organiza stațiile de lucru ale utilizatorilor. Unele dintre ele sunt necesare pentru organizarea resurselor publice, cum ar fi un server de fișiere, un server de baze de date, un server de imprimare, un server de e-mail. În mod logic, domeniul MSVS este un set de computere care implementează o singură politică de securitate și formează un singur spațiu de administrare. O politică de securitate unificată implică faptul că toate computerele dintr-un domeniu acceptă un singur set de subiecte și obiecte de acces, atribute de securitate și, de asemenea, aplică reguli uniforme pentru controlul discreționar și obligatoriu al accesului. În acest sens, domeniul WSWS este și un domeniu de securitate.

Un singur spațiu de administrare presupune administrarea uniformă a resurselor informaționale (calculatoare) domeniului WSWS. Baza sa este un singur spațiu de utilizator al domeniului WSWS.

• Pentru fiecare utilizator de domeniu, la locul său de muncă este menținut un cont, care include informațiile necesare despre utilizator (nume logic, parolă, nume complet și atribute de securitate a utilizatorului). Aceste informații sunt utilizate pentru a efectua proceduri de identificare/autentificare a utilizatorului la intrarea în domeniul WSWS.
• Pe fiecare computer din domeniul cu resurse partajate (server) pe care un anumit utilizator poate lucra, există exact același cont pentru el ca la locul său de muncă.
• Locul de muncă al administratorului de securitate menține o bază de date cu informații despre toți utilizatorii domeniului, inclusiv contul lor, informații extinse (de exemplu, poziția, numele/numărul departamentului), precum și numele computerului lor și toate serverele la care au acces.

Astfel, contul este unul singur pentru un anumit utilizator din domeniul WSWS și prin acesta este controlat accesul utilizatorului la resursele de informații ale domeniului.

Domenii eterogene

În prezent, la dezvoltarea unui sistem automatizat securizat, se iau ca bază rețelele locale existente, care, de regulă, sunt dominate de servere și stații de lucru bazate pe Windows NT. Imposibilitatea trecerii imediate a unei organizații la platforma WSWS ridică problema integrării acesteia cu Windows. Aici se pot distinge două aspecte: alegerea strategiei optime pentru trecerea la WSWS și dificultățile tehnice care însoțesc această tranziție.

Ca urmare a analizei fluxurilor de informații într-un sistem automatizat securizat, este posibilă identificarea zonelor care sunt cele mai importante din punct de vedere al securității. În primul rând, astfel de zone includ fluxurile de import/export de informații, deoarece prin aceste fluxuri intră informațiile confidențiale (atât primite din exterior, cât și generate intern) în lumea exterioară: serverele de imprimare și exportul de informații pe discuri și benzi. Al doilea cel mai important domeniu sunt zonele de stocare a informațiilor: serverele de fișiere și stațiile de lucru ale utilizatorilor.

În procesul de transformare a unei rețele Windows într-un sistem automatizat securizat, acele părți ale rețelei care sunt cele mai critice din punct de vedere al securității ar trebui mai întâi modificate. Primul pas este de a minimiza și controla fluxurile de informații de ieșire. După cum sa spus, MSVS 3.0 are un sistem dezvoltat pentru înregistrarea și controlul tipăririi documentelor și permite, într-o rețea construită pe baza sa, implementarea cerințelor pentru emiterea documentelor tipărite sub formă de copii pe hârtie.

Al doilea pas este migrarea serverelor de fișiere de pe platforma Windows. WSWS 3.0 oferă un sistem dezvoltat pentru gestionarea accesului utilizatorilor la resursele informaționale ale sistemului de operare, care vă permite să organizați protecția datelor utilizatorului la nivelul corespunzător.

La integrarea MSWS și Windows apar o serie de probleme tehnice, dintre care cele mai importante sunt probleme de compatibilitate a schemelor de identificare/autentificare a utilizatorilor, principii de control al accesului utilizatorilor utilizate în aceste sisteme de codare chirilice.

Primele două probleme sunt că mediul Windows NT acceptă o schemă de conectare a utilizatorului pentru un domeniu NT bazată pe o singură bază de date stocată pe un server de management special - un controler de domeniu. Această schemă este fundamental diferită de schema utilizată în MSWS. În plus, arhitectura Windows NT nu acceptă controlul obligatoriu al accesului și nu poate mapa multe dintre atributele de securitate ale sistemului de operare WSWS la aceasta. Sistemele Windows folosesc codificarea CP1251, în timp ce MSVS 3.0 (ca moștenire de la Linux) utilizează KOI8-R, cu toate acestea, datele acumulate (care necesită mediul Windows pentru a lucra) sunt de obicei stocate în CP1251. În același timp, prezentarea datelor către utilizatori, introducerea și editarea acestora are loc în mediul WSWS, deci este necesar să se efectueze recodarea „din mers”. În plus, pentru rezolvarea problemelor de gestionare a datelor (de exemplu, sarcina de sortare a datelor), codificarea CP1251 este mai acceptabilă decât KOI8-R.

Pentru a construi un sistem automatizat securizat bazat pe MSWS 3.0 cu posibilitatea de compatibilitate temporară cu NT, a fost dezvoltat un sistem de acces la terminal (Fig. 8). Acest sistem vă permite să organizați lucrul cu aplicațiile Windows în MSVS în felul următor: serverele de fișiere și de imprimare, precum și site-urile client, sunt construite pe baza MSVS 3.0, iar pentru lucrul cu aplicații Windows, un server de aplicații bazat pe NT Este alocat Terminal Server Edition, care este accesibil într-un mod special. Unul dintre avantajele acestei opțiuni este flexibilitatea în organizarea muncii utilizatorilor, care au de fapt posibilitatea de a lucra simultan în două medii de operare și de a folosi aplicații din fiecare dintre ele. Dezavantajul este necesitatea creării unui server de aplicații cu acces special, ceea ce duce la restricții în politica de securitate. Ca urmare, problema integrării MSVS și Windows NT este rezolvată prin crearea unui domeniu MSVS cu un server de aplicații bazat pe NT și folosind un sistem de acces terminal.

Să luăm acum în considerare modul în care un utilizator lucrează într-un domeniu WSWS eterogen. Utilizatorul se autentifică în domeniu prin stația sa de lucru. Pentru a accesa un server de aplicații bazat pe Windows NT, utilizatorul accesează un client de acces la terminal. Într-o bază de date specială stocată pe serverul de aplicații, există o corespondență între numele utilizatorului și numele computerului său, care este utilizată la maparea unităților de rețea pentru acest utilizator. Ca rezultat, atunci când lucrează într-o sesiune NT, utilizatorul vede doar conținutul directorului său principal ca o unitate de rețea la locul său de muncă, precum și resursele de domeniu partajate (servere de fișiere și imprimante). Poate rula aplicații Windows, dar va funcționa numai cu un număr limitat de fișiere (fie proprii sau partajate) stocate pe computere care rulează WSWS 3.0.

Pentru a organiza tipărirea documentelor confidențiale din domeniu, este alocat un server de imprimare bazat pe MSVS, care este responsabil de implementarea și contabilizarea tipăririi, ceea ce previne reproducerea necontabilizată a documentelor confidențiale de ieșire. Pentru a imprima informații neconfidențiale, este posibil să conectați imprimante locale la stația de lucru. Utilizatorul, care lucrează cu aplicații Windows sau MSWS, trimite un document pentru imprimare și nu contează unde se află documentul - pe mașina locală sau pe un server de fișiere. Cu ajutorul instrumentelor WSWS, este analizat nivelul de confidențialitate al documentului. Dacă documentul este confidențial, lucrarea este redirecționată către serverul de imprimare; dacă nu, documentul este tipărit local.

Opțiunile propuse fac posibilă organizarea unei tranziții treptate de la o infrastructură informațională bazată pe Windows NT la sisteme securizate de procesare automată a informațiilor bazate pe MSWS 3.0.

Literatură

1. Comisia Tehnică de Stat a Rusiei. Document de ghidare. Dotări informatice. Protecție împotriva accesului neautorizat la informații. Indicatori de securitate împotriva accesului neautorizat la informații. Moscova, 1992

2. D.V. Efanov. Sistem de contabilitate imprimare documente // ACS și controlere. 2001, nr. 1

Andrei Tyulin- angajat al Ministerului rus al Apărării. Igor Jukov, Dmitri Efanov ([email protected]) - angajați ai Institutului de Cercetare All-Russian pentru Automatizarea Controlului în Sfera NeIndustrială (Moscova).

Sistemul mobil al forțelor armate (MSMS) este un sistem de operare (OS) securizat, multi-utilizator, multitasking, de uz general, dezvoltat pe baza sistemului de operare Red Hat Linux. Sistemul de operare oferă un sistem cu prioritate pe mai multe niveluri cu multitasking preventiv, organizare a memoriei virtuale și suport complet pentru rețea; funcționează cu configurații multiprocesor (SMP - symmetrical multiprocessing) și cluster pe platformele Intel, IBM S390, MIPS (complexe din seria Baguette fabricate de Korund-M) și SPARC (Elbrus-90micro). O caracteristică specială a MSWS 3.0 OS este protecția încorporată împotriva accesului neautorizat, care îndeplinește cerințele Documentului de îndrumare al Comisiei Tehnice de Stat sub președintele Federației Ruse pentru echipamentele informatice de clasa 2. Caracteristicile de securitate includ controlul obligatoriu al accesului, liste de control al accesului, un model de rol și instrumente avansate de audit (înregistrare evenimente). MSWS OS este proiectat pentru construirea de sisteme automate securizate staționare. Dezvoltatorul MSVS este Institutul de Cercetare All-Rusian al Automatizării Controlului în Sfera Non-Industrială, numit după. V.V. Solomatina (VNIINS). Acceptat pentru furnizare către Forțele Armate RF în 2002.

Sistemul de fișiere MSWS 3.0 OS acceptă nume de fișiere cu o lungime de până la 256 de caractere, cu posibilitatea de a crea nume de fișiere și directoare în limba rusă, legături simbolice, un sistem de cote și liste de drepturi de acces. Este posibil să montați sisteme de fișiere FAT și NTFS, precum și ISO-9660 (CD-uri). Mecanismul de cotă vă permite să controlați modul în care utilizatorii folosesc spațiul pe disc, numărul de procese lansate și cantitatea de memorie alocată fiecărui proces. Sistemul poate fi configurat să emită alerte atunci când resursele solicitate de utilizator se apropie de o cotă specificată.

Sistemul de operare MSWS 3.0 include un sistem grafic bazat pe X Window. Pentru a lucra într-un mediu grafic, sunt furnizați doi manageri de ferestre: IceWM și KDE. Majoritatea programelor din sistemul de operare WSWS sunt concepute pentru a funcționa într-un mediu grafic, care creează condiții favorabile nu numai pentru munca utilizatorilor, ci și pentru tranziția acestora de la sistemul de operare Windows la sistemul de operare WSWS.

MSWS 3.0 OS este furnizat într-o configurație care, pe lângă programul de control principal (kernel), include un set de produse software suplimentare. Sistemul de operare în sine este folosit ca element de bază pentru organizarea stațiilor de lucru automate (AWS) și construirea de sisteme automate. Software-ul suplimentar (software) poate fi instalat opțional și este axat pe automatizarea maximă a gestionării și administrării domeniului, ceea ce vă permite să reduceți costul de deservire a stațiilor de lucru și să vă concentrați pe utilizatorii care își îndeplinesc sarcina țintă. Programul de instalare vă permite să instalați sistemul de operare de pe un CD bootabil sau prin rețea folosind FTP. De obicei, serverul de instalare este mai întâi instalat și configurat de pe discuri, iar apoi computerele rămase sunt instalate în rețea. Serverul de instalare dintr-un domeniu care rulează îndeplinește sarcina de a actualiza și restaura software-ul pe stațiile de lucru. Noua versiune este postată doar pe server și apoi software-ul este actualizat automat la locul de muncă. Dacă software-ul de pe stațiile de lucru este deteriorat (de exemplu, când un fișier de program este șters sau sumele de verificare ale fișierelor executabile sau de configurare nu se potrivesc), software-ul corespunzător este reinstalat automat.

În timpul instalării, administratorului i se solicită să selecteze fie unul dintre tipurile de instalare standard, fie o instalare personalizată. Tipurile standard sunt utilizate atunci când sunt instalate pe stații de lucru standard și acoperă principalele opțiuni standard pentru organizarea stațiilor de lucru bazate pe sistemul de operare MSWS 3.0. Fiecare tip standard definește un set de produse software care urmează să fie instalate, o configurație de disc, un set de sisteme de fișiere și o serie de setări de sistem. Instalarea personalizată vă permite să setați în mod explicit toate caracteristicile specificate ale sistemului final, până la selectarea pachetelor software individuale. Dacă selectați o instalare personalizată, puteți instala sistemul de operare MCWS 3.0 pe un computer care are deja instalat un alt sistem de operare (de exemplu, Windows NT).

Sistemul de operare MSWS 3.0 include un sistem de documentare unificat (UDS) cu informații despre diferite aspecte ale funcționării sistemului. ESD constă dintr-un server de documentație și o bază de date care conține texte de descriere, care pot fi accesate prin intermediul browserelor. Când instalați software suplimentar, secțiunile de referință corespunzătoare sunt instalate în baza de date ESD. Fișa de date unificată poate fi localizată local la fiecare stație de lucru sau poate fi alocat un server de documentație special în domeniul MSWS OS. Ultima opțiune este utilă pentru a fi utilizată în domenii mari ale sistemului de operare MCWS pentru a economisi spațiu total pe disc, a simplifica procesul de gestionare și a actualiza documentația. Accesul la documentația de la alte stații de lucru este posibil prin intermediul browserului Web furnizat cu sistemul de operare MSWS 3.0.

Sistemul de operare MSWS 3.0 este rusificat atât în ​​modul alfanumeric, cât și în cel grafic. Terminalele virtuale sunt acceptate, comutarea între ele se realizează folosind o combinație de taste.

Punctul cheie din punct de vedere al integrității sistemului este operațiunea de înregistrare a noilor utilizatori ai sistemului de operare MSWS, atunci când sunt determinate atributele utilizatorului, inclusiv atributele de securitate, conform cărora sistemul de control al accesului va controla ulterior munca utilizatorului. La baza modelului de mandat se află informațiile introduse la înregistrarea unui nou utilizator.

Pentru a implementa controlul discreționar al accesului, sunt utilizate mecanismele tradiționale Unix de biți de drepturi de acces și liste de control al accesului (ACL). Ambele mecanisme sunt implementate la nivelul sistemului de fișiere al sistemului de operare MSWS 3.0 și sunt utilizate pentru a seta drepturi de acces la obiectele sistemului de fișiere. Biții vă permit să definiți drepturi pentru trei categorii de utilizatori (proprietar, grup, alții), cu toate acestea, acesta nu este un mecanism suficient de flexibil și este utilizat atunci când setați drepturi pentru majoritatea fișierelor OS care sunt utilizate în același mod de majoritatea utilizatorilor. . Folosind ACL-uri, puteți seta drepturi la nivelul utilizatorilor individuali și/sau al grupurilor de utilizatori și, astfel, puteți obține o granularitate semnificativă în setarea drepturilor. Listele sunt utilizate atunci când lucrați cu fișiere care necesită, de exemplu, drepturi de acces diferite pentru mai mulți utilizatori anumiți.

Caracteristicile tehnice ale MSWS 3.0 OS:

Parametru	Caracteristică
Sistem de securitate a informațiilor	Incorporat
Model de securitate a informațiilor	Model discreționar, model de mandat, model de urmat
Compatibilitatea securității informațiilor cu alte sisteme de operare	„Omonym-390VS”, „Olivia”, MSVS 5.0
Miez	2.4.32 (2.4.37.9 de fapt)
Sistemul de fișiere este obligatoriu	EXT2, EXT3
Suport pentru alte sisteme de fișiere	FAT16, FAT32, NTFS (ro), ISO9660
Lungimea numelui fișierului	până la 256 de caractere
Subsistemul grafic	X-Window
Sistem grafic	Xorg-x11-7.3
Tip	Client server
Manager de ferestre	Elk, TWM, KDE, IceWM
Înveliș grafic	Elan-1.9.9
Suport multiprocesor	Până la 32 de procesoare
RAM	64 GB
Servicii încorporate	DNS, FTP, Telnet, NTP, FTP, TFTP, SFTP, DHCP, RIP, BGP, OSPF, PPP, PPTP
Autobuze acceptate	ISA, toate PCI, SCSI, IDE, SATA, SAS, AGP, USB 2.0
Instrumente de dezvoltare, inclusiv:
Limbaje de programare	C/C++, Perl, Python, Shell, Tcl
compilator C/C++	2.95.4, 3.3.6, 4.1.3
Biblioteca de sistem	glibc-2.3.6
QT	4.6.3
Depanator	gdb ver 6.8
Opțiuni de instalare	CD-ROM, HDD, Rețea

Instalarea sistemului de operare MSWS 3.0

Lecția practică va acoperi procesul de instalare a sistemului de operare MSWS pe un PC sau un server de rețea de computer. Procesul de instalare pentru MSWS 3.0 OS constă din următorii pași:

1. Pornirea unui PC sau a unui server de rețea de calculatoare de pe un mediu de stocare pe care se află kitul de distribuție cu OS MSWS 3.0. După finalizarea procesului de încărcare de pe suport, imaginea prezentată în Fig. 2.1. Pentru a continua, trebuie să apăsați tasta<Ввод> ().

Figura 2.1. Ecran de lansare pentru asistentul de instalare a sistemului de operare MSWS 3.0.

1. Nucleul MCWS OS este inițializat și echipamentul este detectat, după care imaginea prezentată în Fig. este afișată pe ecran. 2.2. Pentru a continua, trebuie să faceți clic pe butonul<Готово>.

Figura 2.2. Ecranul dispozitivelor detectate.

1. „Bun venit” prezentat în fig. este afișat pe ecran. 2.3. Pentru a continua, trebuie să faceți clic pe butonul<Да>.

Figura 2.3. Ecran de bun venit.

1. Selectarea unui model de mouse conectat la computer (Fig. 2.4). Datorită faptului că manipulatorul „mouse” nu va fi utilizat în lucrări ulterioare, ar trebui să selectați elementul „Fără mouse” și să apăsați butonul<Да>.

Figura 2.4. Selectarea modelului de mouse conectat la computer.

1. Partiționarea hard diskului este unul dintre cele mai critice momente în timpul instalării sistemului de operare MSWS. Nu pentru că partiționarea unui hard disk este atât de complicată, ci pentru că erorile făcute în timpul acestuia pot fi corectate doar cu mare dificultate și acest proces poate fi plin de pierderi de date.

Informații conexe.