Autoconf教程關于etc/mknod命令和安全考慮
本文Autoconf教程關于etc/mknod命令和安全考慮介紹，從系統(tǒng)管理員的角度討論安全問題.系統(tǒng)管理員是管理系統(tǒng)的人:啟動系統(tǒng),停止系統(tǒng)運行,安裝新軟件,增加新用戶,刪除老用戶,以及完成保持系統(tǒng)發(fā)展和運行的日常事務工作.
etc/mknod命令
用于建立設備文件.只有root能使用這個命令建立設備文件.其參數(shù)是文件名,字母c或b分別代表字符特別文件或塊特別文件,主設備號,次設備號.塊特別文件是像磁帶,磁盤這樣些以塊為單位存取數(shù)據(jù)的設備.字符特別文件是如像終端,打印機,MODEM,或者其它任何與系統(tǒng)通訊時,一次傳輸一個字符的設備,包括模仿對磁盤進行字符方式存取的磁盤驅動器.主設備號指定了系統(tǒng)子程序(設備驅動程序),當在設備上執(zhí)行I/O時,系統(tǒng)將調用這個驅動程序.調用設備驅動程序時,次設備號將傳遞給該驅動程序(次設備規(guī)定具體的磁盤驅動器,帶驅動器,信號線編號,或磁盤分區(qū)).每種類型的設備一般都有自己的設備驅動程序.
文件系統(tǒng)將主設備號和次設備號存放在i節(jié)點中的磁盤地址表內,所以沒有磁盤空間分配給設備文件(除i節(jié)點本身占用的磁盤區(qū)外).當程序試圖在設備文件上執(zhí)行I/O操作時,系統(tǒng)識別出該文件是一個特別文件,并調用由主設備號指定的設備驅動程序,次設備號作為調用設備驅動程序的參數(shù).
安全考慮
將設備處理成文件,使得UNIX程序獨立于設備,即程序不必一定要了解正使用的設備的任何特性,存取設備也不需要記錄長度,塊大小,傳輸速度,網(wǎng)絡協(xié)議等這樣一些信息,所有煩人的細節(jié)由設備驅動程序去關心考慮,要存取設備,程序只須打開設備文件,然后作為普通的UNIX文件來使用.從安全的觀點來看這樣處理很好,因為任何設備上進行的I/O操作只經(jīng)過了少量的渠道(即設備文件).用戶不能直接地存取設備.所以如果正確地設置了磁盤分區(qū)的存取許可,用戶就只能通過UNIX文件系統(tǒng)存取磁盤.文件系統(tǒng)有內部安全機制(文件許可).
不幸的是,如果磁盤分區(qū)設備得不正確,任何用戶都能夠寫一個程序讀磁盤分區(qū)中的每個文件,作法很簡單:
讀一i節(jié)點,然后以磁盤地址表中塊號出現(xiàn)的序,依次讀這些塊號指出的存有文件內容的塊.故除了root以外,決不要使盤分區(qū)對任何人可寫.因為所有者,文件存取許可方式這樣一些信息存放于i節(jié)點中,任何人只要具有已安裝分區(qū)的寫許可,就能設置任何文件的SUID許可,而不管文件的所有者是誰,也不必用chmod()命令,還可避過系統(tǒng)建立的安全檢查.
以上所述對內存文件mem,kmem和對換文件swap也是一樣的.這些文件含有用戶信息,一個的程序可以將用戶信息提取出來.要避免磁盤分區(qū)(以及其它設備)可讀可寫,應當在建立設備文件前先用umask命令設置文件建立屏蔽值.
一般情況下,UNIX系統(tǒng)上的終端口對任何人都是可寫的,從而使用戶可以用write命令發(fā)送信息.雖然write命令易引起安全方面的問題,但大多數(shù)用戶覺得用write得到其他用戶的信息很方便,所以系統(tǒng)將終端設備的存取許可設置成對所有用戶可寫.
/dev目錄應當是755存取許可方式,且屬root所有.不允許除root外的任何用戶讀或寫盤分區(qū)的原則有一例外,即一些程序(通常是數(shù)據(jù)庫系統(tǒng))要求對磁盤分區(qū)直接存取,解決這個問題的經(jīng)驗的盤分區(qū)應當由這種程序專用(不安裝文件系統(tǒng)),而且應當告知使用這種程序的用戶,文件安全保護將由程序自己而不是UNIX文件系統(tǒng)完成.
【編輯推薦】
