日本免费全黄少妇一区二区三区-高清无码一区二区三区四区-欧美中文字幕日韩在线观看-国产福利诱惑在线网站-国产中文字幕一区在线-亚洲欧美精品日韩一区-久久国产精品国产精品国产-国产精久久久久久一区二区三区-欧美亚洲国产精品久久久久

  1. 首頁 > 云知道 > >

76 FreeBSD連載：設(shè)置基本系統(tǒng)( 五 )

云知道


注意，如果存在/etc/pam.d目錄，PAM將在這個(gè)目錄中尋找設(shè)置信息，而忽略pam.conf 。
這些認(rèn)證系統(tǒng)的動(dòng)態(tài)連接庫均位于系統(tǒng)中的/usr/lib/目錄下，如果需要，可以增加其他認(rèn)證方式 。
# ls -l /usr/lib/*pam*-r--r--r--1 rootwheel59938 Feb 15 18:41 /usr/lib/libpam.alrwxrwxrwx1 rootwheel11 Apr 14 16:24 /usr/lib/libpam.so -> libpam.so.1-r--r--r--1 rootwheel33451 Feb 15 18:41 /usr/lib/libpam.so.1-r--r--r--1 rootwheel2895 Feb 15 18:41 /usr/lib/pam_cleartext_pass_ok.so-r--r--r--1 rootwheel6587 Feb 15 18:41 /usr/lib/pam_radius.so-r--r--r--1 rootwheel3798 Feb 15 18:41 /usr/lib/pam_skey.so-r--r--r--1 rootwheel6497 Feb 15 18:41 /usr/lib/pam_tacplus.so-r--r--r--1 rootwheel3333 Feb 15 18:41 /usr/lib/pam_unix.so其中每個(gè)以pam_開頭的庫均對應(yīng)一種認(rèn)證方式，可以看出系統(tǒng)中還能提供其他幾種認(rèn)證方式，如RADUIS、TACPLUS等方式 。使用libpam能幫助用戶開發(fā)其他PAM認(rèn)證程序 。
PAM是一種新的、更為靈活的認(rèn)證機(jī)制，以前的FreeBSD版本并不支持這種方式 。PAM雖然更為靈活，但對于一般目的，缺省的支持s/key和標(biāo)準(zhǔn)認(rèn)證方式的設(shè)置就能滿足需要了，一般不必改動(dòng)配置文件 。然而有些時(shí)候，譬如ISP，通常使用RADUIS服務(wù)器來保存用戶的認(rèn)證數(shù)據(jù)，此時(shí)使用RADUIS進(jìn)行認(rèn)證就能帶來非常大的益處 。因?yàn)镻AM涉及系統(tǒng)認(rèn)證，因而對安全性非常重要，不能輕易加入一個(gè)非信任的認(rèn)證模塊，因?yàn)槌四K本身的問題之外，認(rèn)證模塊中很容易加入后門 。建議經(jīng)常檢查/etc/pam.conf，/etc/pam.d/目錄，以及/usr/lib/*pam*文件是否被非法改動(dòng)，以保證系統(tǒng)安全 。
網(wǎng)絡(luò)服務(wù)與應(yīng)用程序安全
由于提供服務(wù)與保障系統(tǒng)安全性是有沖突的，提供的服務(wù)越多，就會(huì)存在越多的潛在的危險(xiǎn)性 。因此為了增加系統(tǒng)安全，就要盡量減少系統(tǒng)提供的服務(wù) 。
提供網(wǎng)絡(luò)服務(wù)的守護(hù)進(jìn)程主要有兩種啟動(dòng)方式，一種為從系統(tǒng)啟動(dòng)文件中啟動(dòng)，另一種為通過inetd超級(jí)守護(hù)進(jìn)程啟動(dòng)應(yīng)用程序 。
系統(tǒng)rc文件
通常的系統(tǒng)啟動(dòng)文件啟動(dòng)的守護(hù)進(jìn)程有sendmail、syslogd、lpd等，要改變系統(tǒng)啟動(dòng)的服務(wù)進(jìn)程，需要更改的文件包括/etc/rc.conf、/etc/rc.local，以及/usr/local/etc/rc.d與/usr/X11R6/etc/rc.d目錄下的以.sh結(jié)尾的啟動(dòng)文件（這兩個(gè)啟動(dòng)腳本目錄是由rc.conf中的local_startup定義，因此也有可能被設(shè)置為了其他的值） 。除非特殊情況，其他的rc文件不應(yīng)該被改動(dòng)，如果其他的rc文件被非法更改，很可能是入侵行為 。
特別需要注意/etc/default/rc.conf，/etc/rc.conf.local文件，因?yàn)檫@些文件也能用于設(shè)置啟動(dòng)服務(wù)，而不被管理員所注意，因此可能是入侵者用于放置后門程序的位置 。
為了減少守護(hù)進(jìn)程，就需要將rc.conf中相關(guān)選項(xiàng)設(shè)置為NO，例如要屏蔽sendmail，就可以設(shè)置sendmail_enable=”NO” 。此外，缺省的rc.local文件中沒有內(nèi)容，因此在這里也不應(yīng)該有降低系統(tǒng)安全的設(shè)置，/usr/local/etc/rc.d/和/usr/X11R6/etc/rc.d/目錄下的執(zhí)行腳本為安裝其他軟件包時(shí)所安裝的，對于不希望提供的網(wǎng)絡(luò)服務(wù)，應(yīng)該將執(zhí)行腳本更改為以其他后綴結(jié)尾的文件，只有以.sh結(jié)尾的執(zhí)行腳本才會(huì)在啟動(dòng)時(shí)自動(dòng)執(zhí)行 。
一個(gè)安全的FreeBSD系統(tǒng)，應(yīng)該具有干凈的rc.local文件，/usr/local/etc/rc.d與/usr/X11R6/etc/rc.d目錄，以及盡量減少基本啟動(dòng)進(jìn)程的rc.conf文件 。
守護(hù)進(jìn)程直接放在rc文件中啟動(dòng)，將具備root的權(quán)限，危險(xiǎn)性較大 。如果能使用用戶的身份可以執(zhí)行守護(hù)進(jìn)程的相應(yīng)操作，就應(yīng)該使用用戶的身份執(zhí)行它 。這可以通過使用su命令啟動(dòng)服務(wù)進(jìn)程的方式，代替直接啟動(dòng)服務(wù)進(jìn)程的命令 。
su user services_processinetd服務(wù)器
然而，Unix系統(tǒng)中絕大多數(shù)服務(wù)進(jìn)程還是通過超級(jí)服務(wù)器進(jìn)程inetd來啟動(dòng)的 。它的設(shè)置文件為/etc/inetd.conf，以下為這個(gè)文件的一部分 。

推薦閱讀