CN104484594B - 一种基于权能机制的linux系统特权分配方法 - Google Patents

Abstract

本发明公开了一种基于权能机制的linux系统特权分配方法。本方法为：1)安全模式下，设置用户角色配置文件和角色能力配置文件；2)根据系统的特权应用所需要的能力对其进行标记；服务器的TPM对配置文件和标记后的特权应用进行度量和写保护；3)开启TPM度量，进入系统工作模式；TPM对所述配置文件进行度量验证，通过后根据用户名查询配置文件获得对应的角色，读取该角色包含的能力集；4)PAM根据该角色对当前进程的能力进行标记，当调用某个应用时，如果是特权应用，则判断该应用所标记的能力集与进程所标记的能力集是否匹配，如果匹配则进程获取该特权应用的能力并执行该特权应用，否则拒绝执行。本方法易于管理和权限控制。

Description

一种基于权能机制的linux系统特权分配方法

技术领域

本发明涉及系统安全的权限控制领域，是一种基于权能(capability)机制的linux系统特权分配方法。

背景技术

随着linux系统的普及，对linux系统的攻击与防护成了近年来系统安全领域的主要研究内容。linux的传统安全机制是限制普通用户仅持有最基本的权限而赋予一个特权用户root用户所有的权限，而当普通用户需要完成特权操作如更改用户自己的密码时，linux中引入了Set-UID机制使普通用户通过执行特权应用程序(特权应用程序是指进行set-UID位标记的程序，这类程序的属主是root用户，执行这类程序可以让普通用户临时获得root权限)临时获得root权限，执行特权操作。Set-UID机制使这类依赖单一用户实现特权操作的方式加大了系统面临的风险，因为攻击者只要利用特权应用程序的安全漏洞攻击获得root权限，就可以对系统为所欲为了。据统计，linux系统中超过80％的攻击的第一步均是取得root权限。目前对linux系统的安全防护主要从两方面入手：一方面是保证所有的特权应用程序不含有安全漏洞；二是当应用程序在被攻陷时，将危害降低到最小。linux由于其开发语言C语言本身的脆弱性，导致对于第一方面的研究工作是比较困难的，近年来进展甚微。因此，第二方面，系统中对用户的权限控制是近年来系统安全研究的热点话题。

当前linux系统中的解决方案是用capability机制来替代set-UID机制，capability机制细粒度地将root权限划分成若干个独立的权限单元，称为一个capability，本文译为能力。在普通用户需要特权操作时，不再是给予其root权限，而是小细粒度地给予特定的能力，有效地限制安全隐患的威胁范围。Capability机制中，能力分为进程能力和文件能力，进程能力有：cap_permitted集简称pP，cap_effective集简称pE，cap_inheritable集简称pI。文件能力同样有这三个能力集分别简称fP，fE和fI。另外，进程能力集有一个cap_bset用于限制允许进程可拥有的能力。Capability机制以一定的规则分配这些能力集实现root权限的划分，POSIX.le标准草案中有对它的具体描述。

然而，capability机制有着自己的局限性，这也导致了目前linux生态环境中，set-UID机制仍是主流：(1)capability机制分配使用过于复杂，Linux系统中设计了有36个能力，未来还很可能继续增加(比如CAP_SYS_ADMIN这个特权单元的细粒度不够)，使用者需要清晰地知道每个特权的功能及使用方法。(2)root用户仍然具有超级特权，因为capability机制是基于进程的，不能给指定用户指定特权，故root用户的超级特权并没有被限制。

发明内容

基于此，本发明提出了一种基于capability机制的linux系统特权分配方法，本方法有效解决了capability机制的上述缺陷，易于管理，用户不再需要了解36个能力具体的功能及使用方法，用户能力的获得对用户是透明的；该系统对权限的划分是依据用户指定的，可以有效限制root用户的超级特权。

本发明的技术方案为：

一种基于权能机制的linux系统特权分配方法，其步骤为：

1)关闭服务器的TPM启动度量，进入linux系统安全模式，登录root用户设置用户角色配置文件和角色能力配置文件；其中，所述用户角色配置文件中，一个用户对应且只对应一个角色；所述角色能力配置文件中一个角色依功能对应一个能力组，多个角色之间允许包含相同的能力；

2)根据liunx系统的特权应用程序所需要的能力对其进行标记；

3)服务器的TPM对所述用户角色配置文件、角色能力配置文件和标记后的特权应用程序和登录程序的可插入验证模块PAM进行度量和写保护，并将最新的度量值写入TPM；

4)开启服务器的TPM启动度量，进入linux系统工作模式；TPM对所述用户角色配置文件、角色能力配置文件进行度量验证，验证通过则进行步骤5)；

5)登录程序的可插入验证模块PAM对用户输入的用户名和密码进行认证，认证通过后根据输入的用户名查询用户角色配置文件获得该用户名对应的角色，然后查询角色能力配置文件读取该角色包含的能力集；

6)可插入验证模块PAM根据该角色对当前进程的能力进行标记，然后完成该用户的登录；

7)当该用户调用某个应用程序时，进程判断该应用程序是否为特权应用程序，如果不是，则可以执行，如果是特权应用程序，则判断该应用程序所标记的能力集与进程所标记的能力集是否匹配，如果匹配则进程获取该特权应用程序的能力并执行该特权应用程序，否则拒绝执行。

进一步的，所述根据liunx系统的特权应用程序所需要的能力对其进行标记的方法为：首先在每一系统调用内核代码中插入钩子函数，得到每一系统调用对应的能力，建立一系统调用能力对应表，表中的每一项的格式为：(系统调用名,参数)->能力名；然后根据特权应用程序的系统调用得到其所使用的系统调用函数和参数，然后查找该系统调用能力对应表确定该特权应用程序所需要的能力并进行标记。

进一步的，采用一文件允许能力集合fP、一文件可继承能力集合fI和一个文件有效能力集合fE对所述特权应用程序进行标记；其中，文件允许能力集合fP初始值为空，文件可继承能力集合fI记录特权应用程序所需要的能力，文件有效能力集合fE中的特权应用程序所需要的能力置true。

进一步的，所述服务器采用一trace_cap工具对所述特权应用程序所需要的能力进行标记，且步骤3)之后，TPM将该trace_cap工具设置为不可执行。

进一步的，所述PAM模块根据该角色对当前进程的能力进行标记的方法为：PAM模块采用一进程可继承能力集pI、进程允许能力集pP、进程有效能力集pE和进程最多所能获得的能力集cap_bset对当前进行能力进行标记，其中首先清空进程的进程允许能力集pP和进程有效能力集pE，然后设置当前进程可继承能力集pI＝set1，设置cap_bset＝set1；其中，set1为该角色包含的能力集。

进一步的，所述步骤7)中，如果该应用程序为特权应用程序，且该特权应用程序的文件可继承能力集fI为set1且对应的文件有效能力集fE＝＝true，则更新进程能力集为pP＝pI&fI，从而进程将获得set1中定义的特权，执行该特权应用程序。

进一步的，当当前进程创建子进程时，子进程会继承父进程的进程可继承能力集pI和能力集cap_bset，而且子进程会清空进程允许能力集pP和进程有效能力集pE，当子进程执行某个特权应用程序时，该子进程将获得该特权应用程序的文件可继承能力集fI中定义的特权，即该子进程的能力集pP＝pI&fI、pE＝fE＝＝true。

本发明主要包含两个方面：(1)首先，将能力按功能分组，每组用一个角色唯一指定，用户通过承担角色获得相应的能力，用户在生存期间不能更改自己的能力。(2)本发明的另一个内容是：从用户和特权应用程序两个方面双向限制特权，当且仅当用户和特权应用程序同时具有某能力时，相应用户进程才获得该能力，具有相应特权单元。

该发明包括以下内容：

1)提供一个特权应用程序分析工具称为trace_cap，该工具可以分析出一个应用程序需要获得哪些能力，如ping程序需要cap_net_raw能力。对于trace_cap的实现：首先，我们对内核代码做了分析，比如所有36个能力的实现均是在相应的系统调用内核代码中插入钩子，通过分析，我们建立了一张表，表中的每一项的格式为：(系统调用名,参数)->能力名；然后，通过分析特权应用程序的系统调用可得到其所使用的系统调用函数和参数，然后查表来确定该特权应用程序所需要的能力。在具体部署时，可通过编写脚本找出文件中所有的SUID程序，即现有的特权应用程序，对这些程序利用trace_cap来分析其需要的能力。

2)分析特定用户(如安全管理员、系统管理员等)所期望的特权单元，编写配置文件对特权单元分组，对分组以唯一的角色命名，用户承担相应的角色。于是，root用户不再拥有超级特权，而是具有配置文件中设定给它的特权单元，能力集。

3)利用PAM机制，在用户登录时，分析配置文件，特定用户承担特定角色，相应可以获得该角色对应的能力，于是当该用户执行具有相应能力的特权应用程序时可以获得相应特权。

设置linux系统运行的两个模式，安全模式下可对配置文件进行管理以确定权限分配规划；工作模式下不可对配置文件更改(利用TPM安全芯片保护相关配置文件不被篡改)，对用户施加权限分配规则。

与现有技术相比，本发明的积极效果：

本发明易于管理，用户不再需要了解36个能力具体的功能及使用方法，用户能力的获得对用户是透明的；而且可以有效地限制包括root用户在内的所有用户的权限，并且不改变用户使用体验，能力的划分对用户是透明的。

本发明易于管理，对权限的划分是依据用户指定的，可以有效限制root用户的超级特权。

本发明不需要修改linux内核代码，且不影响系统性能。

本发明可以有效地取代linux系统中现有的Set-UID机制。

附图说明

图1为系统总体架构图。

图2为进程能力变换流程图。

具体实施方式

本发明系统的构建分为两个模式：工作模式和安全模式。工作模式下，系统启动时TPM度量配置文件和特权应用程序，度量成功后，登录的用户可以自动承担相应角色在执行相应特权程序时获得相应能力，但不允许用户修改配置文件和特权应用程序，而且用户生存期间无法对自己的能力进行改变，从而达到限制用户权限的作用；安全模式下，系统启动时TPM不进行度量。该模式下主要用于创建或更新配置文件，给特权应用程序打特权标签(即给特权应用程序添加相应的文件能力)等。系统架构见图1，下面详细介绍实施步骤：

安全模式下：

1)计算机加电启动，传递内核参数关闭TPM启动度量，进入安全模式。

2)登录root用户，安全模式下，根据linux自主访问控制原则，root用户可以对策略配置文件、特权应用程序等进行修改。

3)策略配置文件有两个，分别是:/etc/cap_splitter/user_role用于建立用户和角色的关联的用户角色配置文件；/etc/cap_splitter/role_caps用于建立角色和能力的关联的角色能力配置文件。于是，用户通过承担不同的角色而可以获得不同的特权。对于策略的配置有如下性质：

a)系统本身会提供一个默认的策略配置，方便管理员进行配置。

b)一个用户一次对应一个相应的角色，该用户在登录时自动获取并保持至该用户退出。

c)一个角色依功能对应一个能力组，多个角色之间可以包含相同的能力，角色对应的能力组的设置同样在用户登录时完成并保持至该用户退出。

d)用户登录时获得对应角色的能力组，表明该用户可以获得对应的能力，但并不立刻获得，而是在执行特权应用程序时以最小特权原则获得相应能力，执行特权操作。

4)对策略文件的分析使用是由PAM完成的，工作模式下3)讲述了PAM模块的具体工作。

5)使用trace_cap给系统的特权应用程序标记相应的特权单元：

a)trace_cap首先利用一个简单的脚本找出系统中所有的set-UID应用程序，这些应用程序即是特权应用程序。

b)利用trace_cap工具，分析各个特权应用程序所需要的能力，并进行文件能力标记：每个文件含有两个能力集合fP,fI和一个能力标志位fE，这里将程序的fP能力集合清空，将程序的fI能力集合中的特权应用程序所需要的能力置为1，即能力标志位fE置为True。通过这样的标记方法，可以保证不含有相应特权的用户是无法执行该特权应用程序的。

c)上述标记是自动化的，执行trace_cap程序即可自动完成。

6)TPM对上述配置文件、标记后的特权应用程序和登录程序的PAM(可插入验证模块)模块进行重新度量，将最新的度量值写入TPM。

7)TPM对策略配置文件、特权应用程序和登录程序的PAM文件进行写保护，防止在工作模式下被篡改；对trace_cap文件进行不可执行设置，防止其在工作模式下被篡改。

8)重启

工作模式下：

1)计算机加电启动，传递给内核参数开启TPM启动度量，进入工作模式。

2)系统启动过程中，TPM对策略配置文件等进行度量验证。因为安全模式下已经对TPM中的值进行更新，所以验证会通过。若在后期的使用中，某些策略配置文件被篡改，则验证不通过，提醒用户重启进入安全模式维护策略配置文件。

3)执行登录程序login(或者gdm、lightdm、rlogin等，这里以login为例)，login调用PAM模块进行安全认证，我们在PAM中插入相关的认证模块执行前期的权限分配：

a)PAM首先认证用户输入的用户名和密码，这是传统linux的认证模块。然后，执行我们插入的安全模块。

b)PAM安全模块在login进程的setuid()系统调用之前前执行：PAM模块首先根据输入的用户名查询用户角色配置文件/etc/cap_splitter/user_role获得该用户名对应的角色，然后查询角色能力配置文件/etc/cap_splitter/role_caps读取该角色包含的能力集，记为set1；然后PAM模块调用能力设置函数对当前进程的能力集pI、pP、pE和进程最多所能获得的能力集cap_bset做如下设置：清空pP和pE(保证进程在执行特权应用程序前不会获得能力)、设置pI＝set1(该能力集可以被子进程继承，在加载新程序时该集合是新程序允许获得的能力集)、设置cap_bset＝set1(表明允许该进程获得的能力集最多为set1)。通过如上的进程能力标记，当前进程能力集有pI＝cap_bset＝set1，那么进程此时并没有特权，进程未来特权的获得需要依赖特权应用程序的执行。在进程创建子进程时，子进程会继承父进程的pI和cap_bset能力集，而且子进程会清空pP和pE能力集，这就保证了父进程的特权(由pE标记)不会传递给子进程，子进程只有自己去加载特权应用时才会获得特权。

c)权限划分结束后，进入系统调用setuid(),setgid()，这两个系统调用设置当前进程的uid和gid，完成用户的登录。传统情况下，若登录用户为root用户(uid＝0)，setuid()执行结束后，进程会获得所有特权。由于我们在步骤b)中把进程的能力集cap_bset设置为了set1，此时root用户将不能获得所有特权，而是像普通用户一样，根据自己的角色在pI和cap_bset中获得set1.

d)在用户完成登录之后，在执行非特权应用时，由于非特权应用不会进行特权操作，则可以执行；在执行特权应用前，进程能力集将发生如下变化：pP＝pI&fI、pE＝fE＝＝true？pP：null。那么若应用程序的文件能力集fI同样标记为了set1且fE＝＝true，则进程将获得set1中定义的特权，从而成功执行特权应用程序。即根据规则更新pP，让pP＝pI&fI，但是仅更新pP并不能使得进程拥有特权，只有更新pE才能使进程获得特权：即若fE是true的话，则pE更新为pP(＝pI&fI)，于是获得特权；若fE不是true，则无法获得特权。

4)登录成功后的用户进程将工作于特定角色下直到进程结束，具有如下功能：

a)可查看自己的角色，该角色对应的特权；

b)可执行策略赋予其的特权应用程序、进行特权操作。

下面以ping程序为例分析进程能力变换流程，见图2。其中，pP指process cap_Permitted进程允许能力集，pI指process cap_Inheritable进程可继承能力集，pE指process cap_Effective进程有效能力集，fI指file cap_Inheritable文件可继承能力集合，fE指file Effective文件有效能力集；

1)执行登录程序login之前的进程具有全部进程能力，进程的cap_bset＝pP＝pI＝pE＝full

2)在安全模式下，分析出ping程序需要的能力是cap_net_raw，于是配给相应用户的角色(记为角色X)包含这个能力。执行登录程序时，PAM模块解析配置文件，给用户角色X的进程配置进程能力结果为：cap_bset＝cap_net_raw，pP＝null,pI＝cap_net_raw。因为此时能力集pE为null，故当前进程不具备cat_net_raw特权，但由于cap_bset和pI为cap_net_raw,故进程有获得cap_net_raw能力的机会。

3)在安全模式下，给ping程序标记特权cap_net_raw，结果为ping程序的文件能力为：fI＝cap_net_raw，fE＝true,fP＝null.

4)在工作模式下，当角色X用户的进程加载ping程序时，根据加载时能力的变换规则，得出ping进程的进程能力为：cap_bset＝pP＝pI＝pE＝cap_net_raw,即进程获得了cap_net_raw特权。

5)当角色为X的用户执行其它应用程序时，其它应用程序上未标记文件能力cap_net_raw，进程无法获得cap_net_raw能力；当其它用户(如角色Y)执行ping程序时，由于其它用户进程不含cap_net_raw能力，则执行ping程序失败。当且仅当角色X用户执行ping程序时，才能获得cap_net_raw特权。

Claims (7)

1.一种基于权能机制的linux系统特权分配方法，其步骤为：

1)关闭服务器的TPM启动度量，进入linux系统安全模式，登录root用户设置用户角色配置文件和角色能力配置文件；其中，所述用户角色配置文件中，一个用户对应且只对应一个角色；所述角色能力配置文件中一个角色依功能对应一个能力集，多个角色之间允许包含相同的能力；

2)根据linux系统的特权应用程序所需要的能力对其进行标记；

3)服务器的TPM对所述用户角色配置文件、角色能力配置文件和标记后的特权应用程序和登录程序的可插入验证模块PAM进行度量和写保护，并将最新的度量值写入TPM；

4)开启服务器的TPM启动度量，进入linux系统工作模式；TPM对所述用户角色配置文件、角色能力配置文件进行度量验证，验证通过则进行步骤5)；

5)登录程序的可插入验证模块PAM对用户输入的用户名和密码进行认证，认证通过后根据输入的用户名查询用户角色配置文件获得该用户名对应的角色，然后查询角色能力配置文件读取该角色包含的能力集；

6)可插入验证模块PAM根据该角色对当前进程的能力进行标记，然后完成该用户的登录；

7)当该用户调用某个应用程序时，进程判断该应用程序是否为特权应用程序，如果不是，则可以执行，如果是特权应用程序，则判断该应用程序所标记的能力集与进程所标记的能力集是否匹配，如果匹配则进程获取该特权应用程序的能力并执行该特权应用程序，否则拒绝执行。

2.如权利要求1所述的方法，其特征在于，所述根据linux系统的特权应用程序所需要的能力对其进行标记的方法为：首先在每一系统调用内核代码中插入钩子函数，得到每一系统调用对应的能力，建立一系统调用能力对应表，表中的每一项的格式为：(系统调用名,参数)->能力名；然后根据特权应用程序的系统调用得到其所使用的系统调用函数和参数，然后查找该系统调用能力对应表确定该特权应用程序所需要的能力并进行标记。

3.如权利要求1或2所述的方法，其特征在于，采用一文件允许能力集fP、一文件可继承能力集fI和一个文件有效能力集fE对所述特权应用程序进行标记；其中，文件允许能力集fP初始值为空，文件可继承能力集fI记录特权应用程序所需要的能力，文件有效能力集fE中的特权应用程序所需要的能力置true。

4.如权利要求3所述的方法，其特征在于，所述服务器采用一trace_cap工具对所述特权应用程序所需要的能力进行标记，且步骤3)之后，TPM将该trace_cap工具设置为不可执行。

5.如权利要求3所述的方法，其特征在于，所述可插入验证模块PAM模块根据该角色对当前进程的能力进行标记的方法为：可插入验证模块PAM模块采用一进程可继承能力集pI、进程允许能力集pP、进程有效能力集pE和进程最多所能获得的能力集cap_bset对当前进程能力进行标记，其中首先清空进程的进程允许能力集pP和进程有效能力集pE，然后设置当前进程可继承能力集pI＝set1，设置cap_bset＝set1；其中，set1为该角色包含的能力集。

6.如权利要求5所述的方法，其特征在于，所述步骤7)中，如果该应用程序为特权应用程序，且该特权应用程序的文件可继承能力集fI为set1且对应的文件有效能力集fE＝＝true，则更新进程能力集为pP＝pI&fI，且由于fE＝true，则进程有效能力集pE更新为pP更新后的值，从而进程将获得set1中定义的特权，执行该特权应用程序。

7.如权利要求5所述的方法，其特征在于，当当前进程创建子进程时，子进程会继承父进程的进程可继承能力集pI和能力集cap_bset，而且子进程会清空进程允许能力集pP和进程有效能力集pE，当子进程执行某个特权应用程序时，该子进程将获得该特权应用程序的文件可继承能力集fI中定义的特权，即该子进程的能力集pP＝pI&fI、pE＝fE＝＝true。