第 4 章 认证

现代的集中式系统管理可以使用集中式的轻量目录访问协议（LDAP）服务器进行部署，从而通过网络管理许多类 Unix 和 非类 Unix 系统。轻量目录访问协议的开源实现是 OpenLDAP 软件。

LDAP 服务器使用带有 PAM 和 NSS 的libpam-ldap 和 libnss-ldap 软件包为 Debian 系统提供账号信息。需要一些动作来启用 LDAP（我没有使用过这个设置，并且下面的信息纯粹是第二手的信息。请在这种前提下阅读下列内容。）。

参见由 libpam-doc 软件包提供的 pam_ldap.conf(5) 中的文档和 “/usr/share/doc/libpam-doc/html/”，以及 glibc-doc 软件包提供的 “info libc 'Name Service Switch'”。

类似地，你可以使用其它方法来设置另一种集中式的系统。

这是在旧的 “info su” 底部 Richard M. Stallman 所说的一句名言。别担心：Debian 系统中当前的 su 命令使用了 PAM，这样当在 “/etc/pam.d/su” 中启用了带有 “pam_wheel.so” 的行后，就能够限制非 wheel 组的用户 su 到 root 组的能力。

password required pam_cracklib.so retry=3 minlen=9 difok=3
password [success=1 default=ignore] pam_unix.so use_authtok nullok md5
password requisite pam_deny.so
password required pam_permit.so

sudo(8) 程序是为了使一个系统管理员可以给用户受限的 root 权限并记录 root 活动而设计的。sudo 只需要一个普通用户的密码。安装 sudo 软件包并通过设置 “/etc/sudoers” 中的选项来使用它。参见 “/usr/share/doc/sudo/examples/sudoers” 和 第 1.1.12 节 “sudo 配置” 中的配置示例。

我将 sudo 用于单用户系统（参见 第 1.1.12 节 “sudo 配置”）是为了防止自己可能做出的愚蠢行为。就我个人而言，我认为使用 sudo 会比使用 root 账号操作系统来得好。例如，下列命令将 “<some_file>” 的拥有者改变为 “<my_name>”。

$ sudo chown <my_name> <some_file>

当然如果你知道 root 密码（比如自行安装 Debian 的用户所做的），任何用户账号都可以使用 “su -c” 让任何命令以 root 运行。

PolicyKit 是在类 Unix 操作系统中控制整个系统权限的一个操作系统组件。

新的 GUI 图形界面程序，在设计的时候，不是作为特权进程来运行。它们通过 PolicyKit 来和特权进程通讯，执行管理操作。

在 Debian 系统中，PolicyKit 限制了属于 sudo 组的用户账号的这种操作。

参见 polkit(8)。

Security-Enhanced Linux (SELinux) 是一个收紧权限模块的框架，它比普通的类 Unix 安全模块 mandatory access control (MAC) 策略更严格。 root 权限在某些条件下被限制。

对系统安全而言，尽可能的禁用服务程序，是一个好的主意。网络服务是危险的。有不使用的服务，不管是直接由后台守护进程（daemon）激活，还是通过super-server 程序激活，都被认为是安全风险。

许多程序,比如说 sshd(8), 使用基于 PAM 的访问控制。也还有许多方式来限制访问一些服务端的程序。

参见 第 3.2.3 节 “运行级别管理示例”, 第 3.2.4 节 “每个 init 脚本默认的参数”, 第 4.5.1 节 “PAM 和 NSS 访问的配置文件”, 第 3.2.8 节 “网络服务初始化” 和 第 5.9 节 “Netfilter 网络过滤框架”.

许多流行的传输层服务，交互信息使用纯文本的密码认证。这是非常差的方式，通过公共的互联网传输纯文本密码，密码能够被截获到。你能够运行这些服务，使用 "Transport Layer Security" (TLS) 或它的前身, "Secure Sockets Layer" (SSL) ，通过加密来使包括密码在内的整个通讯更加安全。

加密消耗 CPU 时间。作为对 CPU 有益的替代方案，你可以保持使用纯文本通讯，仅仅使用安全认证协议加密密码，比如说：POP 使用"Authenticated Post Office Protocol" (APOP)，SMTP 和 IMAP 使用 "Challenge-Response Authentication Mechanism MD5" (CRAM-MD5)。（你的邮件客户端通过互联网上你的邮件服务器发送邮件时，最近流行使用新的递交端口 587 来代替传统的 SMTP 端口 25，这样可以避免在使用 CRAM-MD5 认证自己时，网络提供商阻塞 25 端口。）

安全 Shell (SSH) 程序使用安全认证来提供不安全网络上两个不可信任主机之间的安全加密通讯。它由 OpenSSH 客户端, ssh(1), 和 OpenSSH 后台守护进程（daemon）, sshd(8)组成.SSH 使用端口转发特性，可以给 POP 和 X 之类的不安全的协议通讯建立隧道，使其可以在互联网上安全传输。

客户端可以使用如下方式来认证自己：基于主机的认证、公钥认证、质疑应答认证、密码认证。使用公钥认证，可以实现远程免密码登录。参见 第 6.9 节 “服务器远程访问和工具 (SSH)”.

即使你运行 Secure Shell (SSH) 和 Point-to-point tunneling protocol (PPTP) 这样的安全服务，在互联网上，仍然有机会使用野蛮暴力猜测密码攻击进入。 使用防火墙策略 (参见 第 5.9 节 “Netfilter 网络过滤框架”)，并和下面的安全工具一起，可以提升安全形势。

为阻止人们使用 root 权限访问你的机器，你需要做下面的操作。

• 阻止对硬盘的物理访问

• 锁住 BIOS 来阻止从可移动介质启动

• 为 GRUB 交互式会话设置密码

• 锁住 GRUB 菜单，禁止编辑

如果可以物理访问硬盘，则可以使用下面的步骤，相对简单的重置密码。

1. 将硬盘拿到一个可以设置 BIOS 从CD 启动的电脑。

2. 使用紧急介质启动系统（Debian 启动磁盘, Knoppix CD, GRUB CD, …）。

3. 用读写访问挂载根分区。

4. 编辑根分区的"/etc/passwd"文件，使 root 账户条目的第二段为空。

对于 grub-rescue-pc ，即使用紧急介质启动的电脑，如果有编辑 GRUB 菜单条目 (参见 第 3.1.2 节 “第二阶段：引载加载程序”) 的权限，在启动时，使用下面的步骤更加简单。

系统的 root shell 现在可以无密码访问了。

为避免这些相关问题，仅有的理论上的软件解决方案是使用 dm-crypt 和 initramfs (参见 第 9.8 节 “数据加密提示”)加密 root 分区(或 "/etc" 分区) 。这样的话，你总是需要密码来启动系统。