Autoconf教程關于etc/mknod命令和安全考慮
本文Autoconf教程關于etc/mknod命令和安全考慮介紹，從系統管理員的角度討論安全問題.系統管理員是管理系統的人:啟動系統,停止系統運行,安裝新軟件,增加新用戶,刪除老用戶,以及完成保持系統發展和運行的日常事務工作.
etc/mknod命令
用于建立設備文件.只有root能使用這個命令建立設備文件.其參數是文件名,字母c或b分別代表字符特別文件或塊特別文件,主設備號,次設備號.塊特別文件是像磁帶,磁盤這樣些以塊為單位存取數據的設備.字符特別文件是如像終端,打印機,MODEM,或者其它任何與系統通訊時,一次傳輸一個字符的設備,包括模仿對磁盤進行字符方式存取的磁盤驅動器.主設備號指定了系統子程序(設備驅動程序),當在設備上執行I/O時,系統將調用這個驅動程序.調用設備驅動程序時,次設備號將傳遞給該驅動程序(次設備規定具體的磁盤驅動器,帶驅動器,信號線編號,或磁盤分區).每種類型的設備一般都有自己的設備驅動程序.
文件系統將主設備號和次設備號存放在i節點中的磁盤地址表內,所以沒有磁盤空間分配給設備文件(除i節點本身占用的磁盤區外).當程序試圖在設備文件上執行I/O操作時,系統識別出該文件是一個特別文件,并調用由主設備號指定的設備驅動程序,次設備號作為調用設備驅動程序的參數.
安全考慮
將設備處理成文件,使得UNIX程序獨立于設備,即程序不必一定要了解正使用的設備的任何特性,存取設備也不需要記錄長度,塊大小,傳輸速度,網絡協議等這樣一些信息,所有煩人的細節由設備驅動程序去關心考慮,要存取設備,程序只須打開設備文件,然后作為普通的UNIX文件來使用.從安全的觀點來看這樣處理很好,因為任何設備上進行的I/O操作只經過了少量的渠道(即設備文件).用戶不能直接地存取設備.所以如果正確地設置了磁盤分區的存取許可,用戶就只能通過UNIX文件系統存取磁盤.文件系統有內部安全機制(文件許可).
不幸的是,如果磁盤分區設備得不正確,任何用戶都能夠寫一個程序讀磁盤分區中的每個文件,作法很簡單:
讀一i節點,然后以磁盤地址表中塊號出現的序,依次讀這些塊號指出的存有文件內容的塊.故除了root以外,決不要使盤分區對任何人可寫.因為所有者,文件存取許可方式這樣一些信息存放于i節點中,任何人只要具有已安裝分區的寫許可,就能設置任何文件的SUID許可,而不管文件的所有者是誰,也不必用chmod()命令,還可避過系統建立的安全檢查.
以上所述對內存文件mem,kmem和對換文件swap也是一樣的.這些文件含有用戶信息,一個的程序可以將用戶信息提取出來.要避免磁盤分區(以及其它設備)可讀可寫,應當在建立設備文件前先用umask命令設置文件建立屏蔽值.
一般情況下,UNIX系統上的終端口對任何人都是可寫的,從而使用戶可以用write命令發送信息.雖然write命令易引起安全方面的問題,但大多數用戶覺得用write得到其他用戶的信息很方便,所以系統將終端設備的存取許可設置成對所有用戶可寫.
/dev目錄應當是755存取許可方式,且屬root所有.不允許除root外的任何用戶讀或寫盤分區的原則有一例外,即一些程序(通常是數據庫系統)要求對磁盤分區直接存取,解決這個問題的經驗的盤分區應當由這種程序專用(不安裝文件系統),而且應當告知使用這種程序的用戶,文件安全保護將由程序自己而不是UNIX文件系統完成.
【編輯推薦】
