教你用SRP服務(wù)構(gòu)建Linux下FTP服務(wù)器(下)

作者：佚名 2009-11-16 13:17:20

SRP同樣支持其他流行的操作系統(tǒng)（Unix、BSD、Winodws、MacOS）。Kermit 95是一個工作在Windows 9x, ME, NT, and 2000, XP和 OS/2操作系統(tǒng)下的SRP客戶機。

三、建立指數(shù)密碼系統(tǒng)EPS

EPS全稱：Exponential Password System（指數(shù)密碼系統(tǒng)），SRP軟件包中已經(jīng)包括EPS源代碼。

1. 安裝PAM模塊

PAM簡介：

PAM全稱：Pluggable Authentication Module （嵌入式認證模塊）。它最初有SUN公司開發(fā)；很快被Linux社區(qū)的接受，并且開發(fā)了更多的模塊。其目標(biāo)是提供一套可用于驗證用戶身份的函數(shù)庫，從而將認證從應(yīng)用程序開發(fā)中獨立出來。Linux-PAM處理四種獨立的（管理）工作。它們是：認證管理；帳號管理；會話期間管理；和密碼管理。

PAM工作方式：

（1）調(diào)用某個應(yīng)用程序，以得到該程序的服務(wù)。

（2） PAM應(yīng)用程序調(diào)用后臺的PAM庫進行認證工作。

（3） PAM庫在/etc/pam.d/目錄中查找有關(guān)應(yīng)用程序細節(jié)的配置文件,該文件告訴PAM,本應(yīng)用程序使用何種認證機制。

（4） PAM庫裝載所需的認證模塊。

（5）這些模塊可以讓PAM與應(yīng)用程序中的會話函數(shù)進行通信。

（6）會話函數(shù)向用戶要求有關(guān)信息。

（7）用戶對這些要求做出回應(yīng)，提供所需信息。

（8） PAM認證模塊通過PAM庫將認證信息提供給應(yīng)用程序。

（9）認證完成后，應(yīng)用程序做出兩種選擇：

將所需權(quán)限賦予用戶，并通知用戶。

認證失敗，并通知用戶。

PAM具體使用方法：

#cd /usr/src/redhat/SOURCES/srp-2.1.1/base/pam_eps. 

#install -m 644 pam_eps_auth.so pam_eps_passwd.so /lib/security

上面命令會在/lib/security 目錄下安裝PAM模塊。然后使用命令：“/usr/local/bin/tconf”創(chuàng)建/etc/tpasswd 和 /etc/tpasswd.conf文件。

2. 使用EPS PAM模塊進行密碼驗證

（1）首先備份 /etc/pam.d/system-auth文件

（2）修改 /etc/pam.d/system-auth文件如下形式：

auth required /lib/security/pam_unix.so likeauth nullok md5 shadow 

auth sufficient /lib/security/pam_eps_auth.so 

auth required /lib/security/pam_deny.so 

account sufficient /lib/security/pam_unix.so 

account required /lib/security/pam_deny.so 

password required /lib/security/pam_cracklib.so retry=3 

password required /lib/security/pam_eps_passwd.so 

password sufficient /lib/security/pam_unix.so nullok use_authtok md5 shadow 

password required /lib/security/pam_deny.so 

session required /lib/security/pam_limits.so 

session required /lib/security/pam_unix.so

#p#

注意上面第一行黑體字表示PAM的eps_auth模塊可以滿足認證需求。第二行黑體字表示PAM 的pam_eps_passwd.so 模塊用來進行密碼管理。

（3）將標(biāo)準(zhǔn)密碼轉(zhuǎn)換為EPS格式

（4） /etc/pam.d/system-auth 配置文件的模塊pam_eps_passwd.so 將EPS版本的密碼驗證字符串寫入/etc/tpasswd 文件中。修改 /etc/pam.dpasswd文件如下形式：

auth required /lib/security/pam_stack.so service=system-auth 

account required /lib/security/pam_stack.so service=system-auth 

password required /lib/security/pam_stack.so service=system-auth

四、啟動SRP版本下的FTP服務(wù)器

（1）進入SRP源代碼FTP子目錄，分別建立FTP服務(wù)器文件和FTP客戶端文件：

#cd /usr/src/redhat/SOURCES/srp-2.2.1/ftp 

#make；make install

（2）建立超級訪問程序/etc/xinetd.d/srp-ftpd 內(nèi)容如下：

service ftp 

{ 

socket_type = stream 

wait = no 

user = root 

server = /usr/local/sbin/ftpd 

log_on_success += DURATION USERID 

log_on_failure += USERID 

nice = 10 

disable = no 

}

（3）使用命令從新啟動xinetd:

#killall -USR1 xinetd

（4）建立/etc/pam.d/telnet 文件，內(nèi)容如下：

#%PAM-1.0 

auth required /lib/security/pam_listfile.so item=user \ 

sense=deny file=/etc/ftpusers onerr=succeed 

auth required /lib/security/pam_stack.so service=srp-ftp 

auth required /lib/security/pam_shells.so 

account required /lib/security/pam_stack.so service=srp-ftp 

session required /lib/security/pam_stack.so service=srp-ftp

到此為止現(xiàn)在就建立了一個使用SRP服務(wù)的FTP服務(wù)器。首先在本地進行試驗。下面是一個典型會話：

$$ /usr/local/bin/ftp localhost 

Connected to localhost.intevo.com. 

220 k2.intevo.com FTP server (SRPftp 1.3) ready. 

SRP accepted as authentication type. 

Name (localhost:kabir): cao 

SRP Password: xxxxxxxx

SRP authentication succeeded. 

Using cipher CAST5_CBC and hash function SHA. 

200 Protection level set to Private. 

232 user kabir authorized by SRP. 

230 User kabir logged in. 

Remote system type is UNIX. 

Using binary mode to transfer file

如果希望在其他Linux計算機使用FTP登錄到SRP服務(wù)器，需要安裝SRP服務(wù)支持和SRP客戶機軟件。方法是和在SRP服務(wù)器端相同的。使用SRP的FTP服務(wù)中非常好下面的密碼公式：

NONE (1) 

BLOWFISH_ECB (2) 

BLOWFISH_CBC (3) 

BLOWFISH_CFB64 (4) 

BLOWFISH_OFB64 (5) 

CAST5_ECB (6) 

CAST5_CBC (7) 

CAST5_CFB64 (8) 

CAST5_OFB64 (9) 

DES_ECB (10) 

DES_CBC (11) 

DES_CFB64 (12) 

DES_OFB64 (13) 

DES3_ECB (14) 

DES3_CBC (15) 

DES3_CFB64 (16) 

DES3_OFB64 (17)

SRP也支持MD5和SHA哈希函數(shù)。缺省情況下SRP使用CAST5_CBC 密碼和SHA 函數(shù)。要使用其它格式的密碼。可以使用－c或－h(huán)選項。

#/usr/local/bin/ftp -c blowfish_cfb64 “ip地址”

上面的命令使用BLOWFISH_CFB64 密碼而不是缺省的CAST5_CBC。

#/usr/local/bin/ftp –h md5 “ip地址”

上面的命令使用MD5函數(shù)而不是缺省的SHA函數(shù)。

五、在非Linux平臺上使用SRP客戶機

SRP同樣支持其他流行的操作系統(tǒng)（Unix、BSD、Winodws、MacOS）。Kermit 95是一個工作在Windows 9x, ME, NT, and 2000, XP和 OS/2操作系統(tǒng)下的SRP客戶機。詳細情況前查看相關(guān)網(wǎng)址：http://www.columbia.edu/kermit/k95.html 。

總結(jié)

詳細的SRP工作原理可以在SRP的有關(guān)站點發(fā)現(xiàn)。地址是http://srp.stanford.edu/srp，在這里你可以得到有關(guān)協(xié)議的在線說明http://srp.standford.edu/srp/design.html或者是一個出版的關(guān)于SRP的技術(shù)白皮書http://srp.standford.edu/srp/ftp。以上提供了相對OPENSSH更加安全快捷的FTP登錄遠程Linux服務(wù)器的方法，基于SRP服務(wù) FTP應(yīng)用與其他網(wǎng)絡(luò)應(yīng)用一樣屬于客戶機/服務(wù)器模型，一旦連通后，客戶機可以享有服務(wù)器所提供的一切服務(wù)。

【編輯推薦】

教你用SRP服務(wù)構(gòu)建Linux下FTP服務(wù)器(上)
一站式服務(wù)之：Linux FTP服務(wù)器安全完全攻略
用Linux構(gòu)建高效FTP服務(wù)器

【責(zé)任編輯：faya TEL：（010）68476606】

責(zé)任編輯：趙寧寧來源：百度博客

SRP服務(wù)Linux FTP服務(wù)器