日本免费全黄少妇一区二区三区-高清无码一区二区三区四区-欧美中文字幕日韩在线观看-国产福利诱惑在线网站-国产中文字幕一区在线-亚洲欧美精品日韩一区-久久国产精品国产精品国产-国产精久久久久久一区二区三区-欧美亚洲国产精品久久久久

  1. 首頁 > 云知道 > >

76 FreeBSD連載：設置基本系統(tǒng)( 二 )

云知道


optionsSC_DISABLE_REBOOT注意，這是針對使用標準控制臺syscon的系統(tǒng)才有效果 。
當屏蔽了系統(tǒng)的熱啟動能力，那么重新啟動或關閉系統(tǒng)便需要使用系統(tǒng)命令來完成，此時能啟動系統(tǒng)的使用者便需要root權限 。而root口令知道的人越多，系統(tǒng)越不安全 。此時可以使用軟件包sudo來幫助解決這個問題，sudo能限制某些特定用戶使用root權限完成指定的操作，它使用用戶本身的口令，而非root口令驗證用戶 。
即使屏蔽了熱啟動能力，并且重新啟動進入單用戶狀態(tài)也需要詢問口令，系統(tǒng)仍然存在安全性問題 。非法使用者可以首先切斷電源，然后使用安裝盤或其他不使用現(xiàn)有文件系統(tǒng)的FreeBSD系統(tǒng)盤啟動系統(tǒng)，獲得相關數(shù)據(jù)，或更改passwd文件，以便在重新啟動之后獲得root權限 。保護這些攻擊，需要其他手段，例如設置計算機的啟動口令，拆除系統(tǒng)上的軟盤驅(qū)動器、光盤驅(qū)動器等 。然而，對于能進行物理攻擊的入侵者，他的行為就如同一個正常系統(tǒng)管理員修復系統(tǒng)的行為一樣，沒有絕對的辦法能杜絕這樣大膽妄為的舉動 。
如果管理員不能信任計算機系統(tǒng)的物理安全，為了防止信息外瀉，唯一的方法是進行加密，可以通過Unix命令crypt對具備敏感信息的文件加密 。然而更簡便的方法是使用一種加密文件系統(tǒng)，這類加密文件系統(tǒng)對于正常操作就如同標準文件系統(tǒng)一樣，對任何應用程序的文件操作完全透明，然而數(shù)據(jù)是以加密方式保存到物理設備中 。而且在網(wǎng)絡中傳送的也都是加密后的密鑰，不必擔心泄露密鑰 。FreeBSD下可以使用的加密文件系統(tǒng)為TCFS，但它這不是FreeBSD的標準配置，需要從http:// tcfs.dia.unisa.it/中單獨獲得 。
登錄控制
為了加強控制臺的安全，還應該阻止一般用戶在控制臺上登錄入系統(tǒng) 。為了達到這個目的，需要設置登錄訪問限制文件/etc/login.access 。該文件由login程序讀取，限制用戶的登錄位置，該文件中具備下面語句將屏蔽除了wheel組、admin之外的用戶在console登錄的權力 。
-:ALL EXCEPT wheel admin:console第一個字符“-“號，用于指明該句是用于屏蔽，相反，“ “用于打開登錄許可，由于這個文件主要用于控制登錄位置的目的，所以打開登錄許可的方式很少用得到 。此后用冒號分隔的第二部分為帳號域，可以使用用戶名和組名，以及使用login.access的關鍵字All、ALL EXCEPT等定義用戶 。第三部分為登錄位置，這里僅僅用于限制console 。
這個文件不但能用來限制在控制臺登錄，也能用來限制從其他位置登錄入系統(tǒng)，還可以限制一些帳戶在所有的位置都不能登錄，這樣就能更好的保證安全性 。
-:wheel:ALL EXCEPT LOCAL .local.net這句設置了對管理員組wheel的登錄位置限制，只能在本地或者本地的local.net域內(nèi)計算機上建立登錄連接 。設置對能執(zhí)行特定操作管理員的登錄限制也能增強系統(tǒng)安全性 。
-:daemon bin lpd nobody nogroup:ALL這個設置限制一些特殊的系統(tǒng)用戶在所有節(jié)點上都不能登錄，系統(tǒng)中的很多帳戶事實上是用于系統(tǒng)維護的目的，并沒有任何用戶需要使用他們登錄，顯然這也能增加安全性 。
然而，使用login.access并不能表示該帳戶就無法被非法使用了，很多網(wǎng)絡服務不使用這個文件進行用戶限制，而是使用自己的用戶限制方式，因此入侵者可以通過這些網(wǎng)絡服務攻擊相關帳戶 。入侵者也可以通過先以其他用戶身份登錄，再使用su命令繞過這個限制 。所以使用這個限制文件并不是一勞永逸的做法，事實上在保證網(wǎng)絡安全方面，不存在百分之百的解決方案，只能通過各個方面配置，盡量提高安全性 。
即使提供了有效的登錄控制，對于某些不必要的缺省帳戶或長期不再使用的帳戶，最好還是將其刪除，以最大可能的避免安全問題 。例如用于UUCP的帳戶uucp，只有很少的系統(tǒng)需要這個帳戶 。可以放心的是，F(xiàn)reeBSD系統(tǒng)中不存在沒有口令保護的缺省帳戶，這將滿足一般用戶的安全需要 。

推薦閱讀