5.2 安全功能

5.2.1 强制访问控制

强制访问控制(Mandatory Access Control——MAC),用于将系统中的信息分密级和类进行管理,以保证每个用户只能访问到那些被标明可以由他访问的信息,是系统中最强度最高的一种访问约束机制。强制访问控制机制通过检查用户与文件中事先设定安全属性,判断用户是否有权限访问该文件,从而为用户提供健全的隐私信息保护功能。
本系统采用目前国际先进的SELinux与Smack轻量级强制访问控制机制,能够以极小的系统开销为系统提供完整的权限控制策略,为用户提供高强度的信息安全保障。

5.2.2 认证机制服务

本系统采用可插入认证模块Linux-PAM,使本地系统管理员可以随意选择程序的认证方式。换句话说,不用重新编译(或重新编写)一个包含PAM功能的应用程序,就可以改变它使用的认证机制。这种方式下,即使升级本地认证机制,也不用修改程序。

5.2.3 防火墙工具

本系统提供了一个非常优秀的防火墙工具—netfilter/iptables。iptables 是与Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器, 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。
防火墙在做信息包过滤决定时,有一套遵循和组成的规则,这些规则存储在专用的信息包过滤表中,而这些表集成在 Linux 内核中。在信息包过滤表中,规则被分组放在所谓的链(chain)中。而netfilter/iptables IP 信息包过滤系统是一款功能强大的工具,可用于添加、编辑和移除规则。
虽然netfilter/iptables IP信息包过滤系统被称为单个实体,但它实际上由两个组件netfilter 和 iptables 组成。netfilter 组件也称为内核空间(kernelspace),是内核的一部分,由一些信息包过滤表组成,这些表包含内核用来控制信息包过滤处理的规则集。iptables 组件是一种工具,也称为用户空间(userspace),它使插入、修改和除去信息包过滤表中的规则变得容易。

5.2.4 数据完整性监测

当服务器遭到黑客攻击时,在多数情况下,黑客可能对系统文件等等一些重要的文件进行修改。对此,本系统用Tripwire建立数据完整性监测系统,可以监测文件是否被修改过以及哪些文件被修改过,从而快速定位被破坏的文件,为后续解决方案提供参考。

5.2.5 信息加密服务

本系统采用安全套接层(Secure Sockets Layer,SSL)用于实现传输层的通信加密功能。安全套接层是建立在传输层的安全通信协议,采用公开密钥体系的证书认证方式来确保客户端和 SSL 服务器之间的通信安全。
SSL 客户端在 TCP 连接建立之后,发出一个消息(包含了客户端所支持的算法列表)给服务器端,然后服务器端返回一个数据包(确定了这次通信所需算法)和 SSL 服务器端的证书(包含了公钥)给客户端。客户端随后会用收到的公钥将消息加密再传送,该加密消息只能用 SSL 服务器端私钥解密,即便中途被截取也无法获知内容。
SSL由OpenSSL模块实现,该模块兼容目前主流的、具有硬件加密功能的CPU,采用硬件加速的加密性能比纯软件实现的性能高出5-10倍,从而可提供更高效的信息加密服务和更强的抗攻击能力。