[发明专利]一种基于pam模块的系统分权的方法

说明书

技术领域

本发明涉及计算机操作系统技术领域，更具体地说是基于pam模块的系统分权的方法。

背景技术

随着基于网络的应用服务的迅速增长，计算机系统的安全保障成为主要关注的焦点。然而仅仅依赖计算机应用空间的安全机制，无法从根本上解决计算机系统的安全问题。没有操作系统安全机制的保障，应用空间的安全机制容易遭受破坏、旁路和欺骗攻击。上层应用的安全机制，诸如访问控制和加密等必须依赖操作系统的强制访问控制、可信路径等机制的支持，才能实现其安全功能。

传统的linux操作系统是超级用户对普通用户的模型，系统给予普通用户尽可能低的权利，而赋予root用户所有权限，其它用户通过setuid命令便可以获得root权限，及一个进程或者用户要么具有很少的权限，要么具有所有的权限，如果程序编写不好就可能被攻击者利用而获得系统控制权，因此提出了角色定权的机制，以拆分root权限并分给其它的用户；

基于以上原因，本发明提供了一种系统分权的方法，通过此方法可以拆分root权限，并赋予另外两个特权用户：安全管理员用户和审计用户，使得每个用户都具有完成其本职工作的最小权利，此方法简单易实现，只需要通过pam模块在用户登陆时进行认证即可。

发明内容

本发明的技术任务是解决现有技术的不足，提供一种基于pam模块的系统分权的方法。

本发明的技术方案是按以下方式实现的，该一种基于pam模块的系统分权的方法，包括以下三个部分：

特权用户，为系统设定三个管理类账户，root用户：一般的管理工作；安全管理员用户：为系统其它用户或进程设置权力；审计用户：审计方面工作；

分权模块，对root用户进行拆分，并通过权利设置函数为root用户及另外两个特权用户设置系统权限，实现root用户的权利拆分；

用户权利配置文件，指明上述三个特权用户应具有的最小权利集，在可插拔认证的pam模块认证时供权利设置函数读取，并且指明pam认证时所使用的pam模块以进行权利拆分；

在用户本地登陆或远程登陆过程中，在pam模块认证的时候，加入对用户的判断，对root用户进行权力拆分，分别赋予安全管理员用户和审计用户以不同的权力，使得root权限最小化。

所述pam模块包括应用程序层、应用接口层和鉴别模块层，其中鉴别模块层处于整个PAM结构的最底层，它向上为应用接口层提供用户认证鉴别服务；应用接口层位于PAM结构的中间部分，它向上为应用程序屏蔽用户鉴别过程的具体细节，向下则调用模块层中的具体模块所提供的特定服务，它主要由PAM API和配置文件两部分组成，其中pam API实现鉴别过程：

当应用程序调用PAM API 时，应用接口层按照PAM配置文件的定义来加载相应的认证鉴别模块，然后把请求传递给底层的认证鉴别模块，认证鉴别模块根据要求执行具体的认证鉴别操作；

当认证鉴别模块执行完相应的操作后，再将结果返回给应用接口层，然后由接口层根据配置的具体情况将来自认证鉴别模块的应答返回给应用程序。

所述鉴别模块层提供的认证鉴别服务是指：对root用户进行权力拆分，通过在会话类接口中加入用户权力设置函数，对root所拥有的权利进行重新设置。

所述应用接口层中的配置文件包括两种：一种是用户与权利对应的配置文件，此配置文件用于在为用户赋予权利时使用，通过读取此配置文件可以明确不同用户应赋予的权利，并可以修改某一用户的权力集；另一种pam模块的配置文件，需要在此配置文件中指定需要认证的服务，及认证时所用到的pam模块名。

本发明与现有技术相比所产生的有益效果是：

本发明的一种基于pam模块的系统分权的方法可以实现root用户的权利拆分，并建立其它两个特权用户，分别赋予root拆分后的权利，在系统本地登陆或是远程登陆时通过pam认证，针对不同的用户赋予其所承担工作所需要的最小权利，使得三个特权用户相互独立，相互制约，并且某一用户不会获得系统所有权利；使得不同的用户具有完成各自工作的相互独立的权限，以提高系统的安全性，实用性强，易于推广。

附图说明

附图1是本发明pam结构框架示意图。

具体实施方式

下面结合附图对本发明的一种基于pam模块的系统分权的方法作以下详细说明。

如附图1所示，本发明提供一种基于pam模块的系统分权的方法，包括以下三个部分：