安全
ssl 功能
机密性 认证 完整性 重放保护
TLS协议工作在应用层的下层传输层的上层
TLS协议(也是大的协议集合)
Handshake协议:协商 服务器身份验证 密钥交换
ChangeCipherSpec协议:代表握手阶段已经完成 会发送消息通知
Alert协议:警报 warning(警告) fatal(高度危险)
Record协议:对消息认证和完整性保护 加密等
HTTPS协议:和ssl/tls协议的组合
https工作过程
1 客户端发送hello消息给服务器
2 服务器将CA签过名的私钥证书发送给客户端
3 客户端拥有CA的公钥就可以解开CA签过名的私钥证书 从而得到服务器公钥
4 客户端随机生成对称密钥 使用解密出来的服务器公钥加密再发送给服务器
5 服务器收到后使用自己的私钥解密获取对称密钥
6 双方都拥有了对称密钥就可以使用对称密钥加密
支持ssl功能的Openssl
openssl命令
对称加密:
工具:enc
帮助:man enc
openssl enc -e -des3 -a -salt -in fstab -out fstab.des3(将fstab文件使用对称秘钥进行加密)
-a:使用base64编码
-e:加密
-des3:使用des3算法加密
-in:输入文件
-out:将加密后的文件生成为一个新的文件
-salt:指定盐
解密:
openssl enc -d -des3 -a -salt -in fstab.des3 -out fstab
-d:解密
-salt:指定盐(随机字符中第二个$到第三个$之间的值成为盐)
生成文件hash值
工具:dgst
帮助:man dgst
openssl dgst -md5[-hex] fstab(生成此文件的hash值)
-hex:默认,16进制
生成用户密码
passwd
-1:代表md5
openssl passwd -1(生成密码的md5值)
生成随机数
帮助:man sslrand
openssl rand -base64 10(随机生成10位的base64的字符)
-base64位置可以替换不同的编码格式;当换成hex时那么每个字符为16进制,相当于4位二进制,出现的字符数要x2
生成私钥加密
（umask 066;openssl genrsa -out test.key 2048）
(umask 066;openssl genrsa -out test2.key -des3 4096)将生成的私钥文件使用对称算法加密
-out:生成后的私钥文件名称
2048:长度 可自行修改
-des3:对称算法加密
修改umask值 这样生成的文件默认权限就为600提高安全性 如果不在括号中执行后续创建的文件默认权限都会为600 括号的含义是在子shell中执行 不影响后续创建文件的操作
解密被加密的私钥
openssl rsa -in test2.key -out test2.key.out
选项含义同上
从私钥中提取公钥
openssl rsa -in test.key -pubout -out test.key2.pub
-in:从test.key文件
-pubout:输出
-out:到test.key2.pub
生成随机数
根据键盘和鼠标的操作生成随机数
/dev/random:生成随机数的文件 并且需要操作鼠标和键盘才能生成随机数
/dev/urandom:不停的生成随机数
cat /dev/urandom | tr -dc '[:alnum:]' | head -c30 由于/dev/urandom中会不断的生成随机数 于是要使用"tr"取除了数字的所有随机数 并且取前30个字节
CA的搭建
建立私有CA:
OpenCA
openssl
证书申请以及签署步骤:
1 生成申请请求
2 RA核验
3 CA签署
4 获取证书
/etc/pki/tls/openssl.cnf : openssl生成证书需要用到的配置文件
1 创建所需要的文件
touch /etc/pki/CA/index.txt 生成证书数据库文件
echo 01 > /etc/pki/CA/serial 指定第一个颁发证书的序列号
2 搭建CA
生成私钥
cd /etc/pki/CA/ #生成的私钥必须要在这个目录下 并且私钥名比喻为cakey.pem
(umask 066;openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048)
生成自签名证书
openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 3650
-new:生成新证书请求
-x509:用于自签证书
-key:生成请求时用到的私钥文件
-days 3650(以天为单位):证书的有限期限
-out:证书保存路径
操作完成后系统会提示输入一系列信息
国家:
省:
城市:
公司名:
部门:
网站名:*.域名(泛域名)比如*.tianmao.com
邮箱(可选):
文件生成
openssl x509 -in cacert.pem -noout -text #以文本方式查看自签证书
3 客户端申请证书
1 创建私钥
(umask 066;openssl genrsa -out /app test.key 2048)
/app:私钥存放位置
test.key:私钥名称
2 申请证书
openssl req -new -key test.key -out app.csr
操作完成后系统会提示输入信息
国家: 与上述相同
省: 与上述相同
城市: 可以不同
公司名: 与上述相同
部门: 可以不同
网站名:*.test.com(给这个网站颁发证书)
邮箱(可选):
3 将证书申请文件存放到CA服务器并检查申请信息
4 颁发证书
openssl ca -in app.csr -out certs/app.crt -days 730
[ ca ]
default_ca = CA_default #默认使用的CA
#unique_subject = no #是否允许申请两次
[ CA_default ]
dir = /etc/pki/CA #CA工作的主目录
certs = $dir/certs #存放证书文件的位置
crl_dir = $dir/crl #吊销证书列表
database = $dir/index.txt #将证书信息添加到这个文件中
new_certs_dir = $dir/new_certs #默认证书的路径
certificate = $dir/cacert.pem #私钥存放位置
serial = $dir/serial #证书的编号 存放的是下一个要颁发的证书的编号
crlnumber = $dir/crlnumber #吊销证书的编号
crl = $dir/crl.pem #
default_days = 365 #证书有效期 默认365天
default_md = sha256 #默认算法
policy = policy_match 或者 policy_anything
[ policy_match ]
countryName = match #两边国家必须相同
stateOrProVinceName = match #省份
organizationName = match #地区名
commonName = supplied #部门名
[ policy_anything ]
内容全为"optional" 也就是有些选项可以不同
Openssh
工具:
基于C/S结构
Client:ssh,scp,sftp,slogin
Windows客户端:
xshell,putty,securecrt,sshsecureshellclient
Server:sshd
ssh客户端
ssh配置文件:/etc/ssh/ssh_config
.ssh文件中存放的是登录过的主机的公钥,也就是已知主机,下次登录不会提示yes or no;known_hosts文件中的内容与登录过主机下的/etc/ssh/ssh_host_rsa_key.pub内容相同
格式:ssh [[email protected]]host [command]
例子:ssh [email protected] who 在目标主机上执行who命令
-p port:指定服务器端端口号 默认为22;"可在/etc/ssh/ssh_config中修改Port这一行的端口号 对正在连接的用户不起作用"
-b:指定连接的源IP；"当发起端IP不止一个的时候并且想刻意使用某一个ip去连接就使用此选项"
-v:显示连接的详细过程
-C:压缩;可使数据包变小
-X:支持x11转发;"可以在目标主机上启用图形化的功能"
-t:A-->B-->C当C禁止A连接则A可以使用ssh -t "B的IP" ssh "C的IP"
ssh服务登录验证
基于用户名口令验证
1 客户端发起ssh请求,服务器会把自己的公钥发送给客户端
2 用户会根据服务器发来的公钥对密码进行加密
3 加密后传给服务器,服务器使用自己的私钥解密,密码正确,登录成功
/etc/ssh中存放了许多公钥与私钥".pub"后缀的为公钥
基于密钥的验证方法
1 在客户端生成一对儿密钥,将公钥复制给服务器端并且在服务器端自动存放到authorized_keys
2 客户端发起连接请求,服务器端收到后会在存放公钥的位置查,如果有对应的主机和用户信息,会生成随机字符串 将字符串使用客户端的公钥进行加密传送给客户端
3 客户端收到后使用私钥解密查看字符串是否相等,相等的话传送给服务器端查看是否相等,相等就可以进行互相
实现基于密钥的验证方法:
1在客户端生成秘钥对
ssh-keygen -t rsa [-P ''] [-f "~/.ssh/id_rsa"] 中括号内可不指定
-P:给秘钥加口令
-t:指定算法;默认为rsa算法
-f:指定生成的文件存放的位置;默认就为用户家目录下的/.ssh/id_rsa下
2 把公钥文件传输到服务端对应用户的家目录
ssh-copy-id -i id_rsa.pub [email protected]"对方IP地址"
3 再次登录可以不用输入用户名密码直接登录
转换不正确的公钥格式
ssh-keygen -i -f "公钥文件名称"
###给生成好的密钥添加口令:ssh-keygen -p 再次登录需要输入私钥的密码
将私钥的密码交给代理程序,这样以后连接也不用输入私钥的密码,但关闭终端连接后代理也会停止,每次连接要启动一下代理
1 启动代理程序
ssh-agent bash
2 将私钥口令用它代理
ssh-add
要添加新的基于密钥的验证的话;将客户端公钥发送到被连接主机并且将内容追加到 authorized_keys中即可
解决ssh连接过慢
修改服务器端的/etc/ssh/sshd_config中的UseDNS no以及GSSAPIAuthentication no
sshd服务的配置文件,两个文件都存放在/etc/ssh目录下
ssh_config:客户端配置文件
Port:默认连接端口 -p可以指定端口号
StrictHostKeyChecking ask:管理第一次连接是否提示yes or no,不启用的话讲ask改为no
scp命令:
scp [options]源...目标/
两种方式:
scp [options] [[email protected]]host:/sourcefile /目标路径
scp [options] /sourcefile [[email protected]]host:/目标路径
[options]:
-q:静默模式
-r:递归复制
-C:压缩
-p:保持源文件的属性
-P:指定端口
rsync
rsync [options] "文件名" "目标IP:/目标目录路径"
比scp更快,只复制发生变化的文件
注意:如果要复制整个目录就不要在目录最后加"/" 加了/的话就把整个目录复制过去
选项:
-n 模拟复制过程
-v 显示详细过程
-r 递归复制目录
-p 保留权限
-t 保留时间戳
-g 保留组信息
-o 保留所有者信息
-l 将软链接文件本身进行复制(默认)
-L 将软链接文件指向的文件复制
-a 保留源文件所有属性
sftp命令
sftp "目标IP地址"
基于ssh协议的ftp
带!的命令是在本地执行
get:下载
put:上传
?:查看帮助
pssh工具(适用于小型环境)
语法:pssh [options] [[email protected]]hostip command
pssh存放在epel源中
注意:执行命令中如果存在星号 $符号的时候需要用单引号将命令引起来才能实现在目标主机上操作
-H:指定对方的IP地址 后方可以跟多个主机IP地址双引号引起来 用空格隔开
-i:将结果输出
-h:读取文件中数据 可将多个主机ip地址写入到文件中 使用-h读取文件数据
-o:将输出结果生成文件单独放在指定目录中 以ip地址为文件名
pscp.pssh将本地文件批量复制到远程主机(要在基于密钥验证的前提下才能使用)
语法:pscp.pssh [options] [本地文件or目录] [目标主机文件or目录]
-h:读取文件中数据 可将多个主机ip地址写入到文件中 使用-h读取文件数据
-v:显示复制过程
-a:保留所有常规属性
-r:递归复制目录
-H:指定目标主机ip地址
将目标主机文件拉取到本机
pslurp -h ip.txt -L /app /var/log/secure remote_secure
-L:指定本地目录
remote_secure:复制到本地/app目录下并且改名
ssh的端口转发
例子:
从外部向内部
C是telnet服务器
B是ssh服务器
A是ssh telnet客户端
在A主机上进行操作
当A想通过telnet访问C的时候过程可能不安全,所以可以使用ssh进行端口转发,建立隧道,使用ssh协议封装telnet 访问，过程相对安全
A主机端口随机
1 建立隧道
ssh -L A主机端口:C telnet主机IP:C主机的telnet端口 B主机的IP -Nf
-N:不登录目标shell
-f:后台运行
2 telnet 127.0.0.1 端口 此时建立成功 但在C服务器上认为的是B主机在访问
从内部向外部
A为ssh服务器
B为ssh客户端
C为smtp服务器
在B主机上进行操作
1 ssl -R A主机sshd服务的端口:C主机IP:C主机的smtp端口 A主机的IP -Nf
2 telnet 127.0.0.1 端口
动态端口转发:
例子:
A为国内服务器
B为中间服务器
C为google服务器
1 在C服务器上搭建httpd服务
yum -y install httpd
2 在C服务器上设置防火墙策略禁止A访问
iptables -A INPUT -s A主机IP -j REJECT
3 在A服务器上执行;A与B服务器建立了ssh连接;在A服务器上的浏览器中进行代理设置;
ssh -D "随机本地端口" B服务器IP地址 -N
4 测试
curl --socks5 127.0.0.1:A上的随机端口 http://C主机IP地址
ssh服务器:
服务器端:sshd
配置文件:/etc/ssh/sshd_config
# Port:端口;
# AddressFamily any:支持的ip格式,ipv4 ipv6默认都支持;
# ListenAddress:默认监听的IP地址是任意的,后方对应的ip就是对外可连接的ip地址;
# HostKey:对应的私钥;
# LoginGraceTime 2m:登录最长时间;
# PermitRootLogin:禁止root用户连接,默认是可以的;
# StrictModes:检查.ssh/目录下的权限;权限不正确拒绝连接;
# MaxAuthTries 6:默认最多错误输入3次;设置的值的一半;
# MaxSessions 10:在一个连接的情况下最多建立多少个会话,针对克隆连接;
# PubkeyAuthentication yes:是否支持基于密钥的连接
# PasswordAuthentication yes:是否支持用户名密码的连接;一般都是禁用此项使用基于密钥的连接
# PermitEmptyPasswords:是否允许空口令
# GatewayPorts no:是否充当网关
# ClientAliveInterval:多久发送检查,检查如果没有任何操作就断开;默认为永久不断开
# ClientAliveCountMax:最多发送几个检查
# UseDNS:将DNS反向解析改为no可提升速度
# GSSAPIAuthentication:改为no提升连接速度
# MaxStartups:用户没有输入密码的连接数,达到10个以上会拒绝没有验证的用户,以30%的比例拒绝,当10-100的时候比例增长,并发最多达到100个;
# Banner:连接上目标主机之后的提示信息(写在一个独立的文件中,sshd_config配置文件中Banner后写的是文件的绝对路径)
限制可登录用户的方法:
/var/log/secure中可查看到sshd的日志
# 手动添加Allowusers "用户名" 没有写的所有用户都不可以连接,包括root
# 手动添加Denyusers "用户名" 拒绝指定用户连接 当Allowusers和Denyusers都有同一个用户时,拒绝优先
# Allowgroups "组名" 写的组可以连接
# Denygroups "组名" 写的组都拒绝连接;
AIDE:文件完整性检查和入侵检查
安装:yum -y install aide
aide.conf为配置文件
CONTENT_EX在配置文件中定义了关心哪几个位置
# /boot/ CONTENT_EX:对boot这个目录进行所有权限的记录
........等多个目录相同含义
也可以自定义关键字,方便后期要监控的目录进行引用
# CUSTOM = p+u+g+s+sha256+m+acl
# /app CUSTOM #监控app目录下的CUSTOM后方对应的属性,一系列属性在配置文件中有解释
# !/app/f3 #加!的意思是不关心app目录下的f3文件
# aide --update #更新数据库中的信息
# aide --init #生成新的数据库中的信息
新的生成的aide.db.new.gz文件要改为aide.db.gz才能进行比对
# aide --check #比对数据库中的信息和当前被监控的目录的信息
/var/log/aide为日志文件路径
更改身份
su 切换身份: su -l username -c 'command'
使用用户登录并且执行后面的命令
sudo
-u:指定要代表的用户
-V:查看版本配置信息
-l,ll:列出用户在主机上可用和禁用的命令
-k:清除时间戳,下次使用sudo需要输入密码
-v:将密码有效期延长
-K:删除时间戳文件
-b:在后台执行指令
-p:改变输入密码的提示符
/etc/sudoers:在此文件中授权
可使用visudo拥有语法检查功能,如果有问题,保存退出会提示
格式:username 登录主机=(以哪个用户的身份) 要执行的命令;多条命令以逗号作为分隔符,需要些绝对路径
登录主机:写哪一个IP就只能在哪台主机上进行sudo操作,可以写多个地址或网段
例子:
1 fang ALL=(root) /usr/bin/mount /dev/cdrom /media #使fang用户以root用户使用挂载命令
如果想要用户可以任意挂载到任何位置将/dev/cdrom /media等去掉只写命令的绝对路径即可
2 如果想要单个用户使用单个配置文件则可以在/etc/sudoers.d下创建文件即可
例子:
vim /etc/sudoers.d/fang #创建新文件
fang ALL=(root) /usr/bin/mount,/usr/bin/umount,/usr/bin/cat /etc/shadow #文件中的格式
3 /etc/sudoers中%开头的就是对组的配置
%wheel ALL=(ALL) ALL #wheel组默认存在将用户加入到此组中就附带ALL权限
usermod -G wheel fang #fang用户拥有wheel组的所有权限
例子2:
如果希望普通用户可以查看/var/log/secure-`date +%F`的日志信息按以下方式写
vim /etc/sudoers.d/fang
fang ALL=(root) /usr/bin/cat /var/log/secure*,!/usr/bin/cat /var/log/secure* * #既防止了用户访问别的文件也赋予了正确权限
sudo在配置文件中,还支持通配符的使用
sudo别名和实例
用户:user
以哪个用户身份运行:runas
通过哪些主机:host
运行的命令:command
别名拥有四种类型:
USER_Alias
Runas_Alias
Host_Alias
Cmnd_Alias
别名格式
别名名称要为大写在,多个命令使用逗号隔开
User_Alias "别名名称" = "包括的用户名"
Cmnd_Alias "命令别名" = "命令的绝对路径"
用户别名名称 ALL=(root) 命令别名名称
TCP_Wrappers守护进程
工作在传输层的TCP协议
判断服务是否能够由tcp_wrapper进行访问控制的方法:
ldd "程序的绝对路径" (libwarp.so)
配置文件:/etc/hosts.allow,/etc/hosts.deny
当hosts.allow文件中没有匹配条件的时候才去查看hosts.deny文件
格式:
/etc/host.deny,修改完整后即时生效
"进程名称","第二个进程名称":"要拒绝的ip地址" 空格隔开多个IP
当两个文件都没有定义的话默认是允许连接的
例子:
in.telnetd,[email protected]:ALL(拒绝所有通过telnet以及ssh访问172.18.0.6的ip地址)
sshd:192.168.27. EXCEPT 192.168.27.7(拒绝所有27网段的ip,仅允许192.168.27.7访问,要在allow文件中写27.7的地址,也可以在deny中如此定义)
EXCEPT:排除后方的ip或网端
sshd:192.168.27. :spawn echo `date +%%F` client login > /app/tcp_warppers.log(记录27网段登录后会将echo后面的信息输入到文件中)
spawn:开启一个进程
%c:客户端信息
%s:服务器信息
%u:用户
twist:当客户端连接到服务端的时候执行twist后方定义的操作,而服务不做响应
sshd:192.168.27. :twist /bin/echo "Deny access Server sshd 403" (当27网段的客户端来通过sshd连接到服务端的时候不会响应并且回回复twist后方信息)
PAM:可插入的认证模块
认证库:文本文件(/etc/passw;/etc/shadow),MySQL,NIS,LDAP
远程登录,本地登录
PAM相关文件
模块文件目录:/lib64/security/*.so
环境相关配置:/etc/security/(有些模块比较简单没有配置文件,比较复杂的就拥有配置文件在此处,模块在上方目录)
主配置文件:/etc/pam.conf;默认不存在
为每种应用模块提供一个专用的配置文件:/etc/pam.d/应用名称,格式与主配置文件基本相同,文件中主要描述是如何调用/lib64/security/*.so文件
注意:如果/etc/pam.d存在,那么/etc/pam.conf文件将会失效
PAM模块认证过程:
Service(服务)→PAM(配置文件)→pam_*.so
PAM首先确定一项服务,然后加载相应的PAM的配置文件(/etc/pam.d/*.conf),然后通过配置文件查看调用某一个模块以及认证过程
通用配置文件/etc/pam.conf格式
application type control module-path arguments #不常用
专用配置文件/etc/pam.d/*格式
type control module-path arguments
type(类型): Auth(验证账号是否合法)
Account(判断账号是否可登陆)
Password(在用户修改密码的时候做复杂检查)
Session(用户在使用服务之前或使用服务之后附带的一系列信息;比如在用户登陆后是否要记录日志)
-Auth|Account|Password|Session:(对应模块没有安装的话不会记录到日志,不会报错)
control(控制):PAM如何处理模块的成功或失败情况
required:一票否决,还会继续检查,但总体来说已经失败,下面有通过也没用;本模块必须成功不代表一定成功,但是不一定一定成功,因为后方还有检测
requisite:一票否决,如果失败就直接失败,不会继续向下检查
sufficient:一票通过,如果返回通过,则通过,后面就不用看了
optional:结果忽略,不影响结果
include:指定后方模块是调用
module-path(模块路径):默认就去/lib64/security下查找
arguments(参数):传递给模块的参数
例子1 :
模块:pam_shells.so
说明:检查登录有效shell
ssh服务没有调用此项模块,所以对sshd无效,编辑/etc/pam.d/sshd在其中添加
auth required pam_shells.so #当ssh连接的用户使用的shell不在/etc/shells中就会拒绝连接
例子2 :
模块:pam_securetty.so
说明:如果用户登录的是安全的tty(/etc/securetty)则允许root登录,否则不允许root登录,不针对其他用户
telnet默认就是不允许root登录
remote中调用了pam_securetty.so模块,就是所有远程连接如果不是安全的tty都不可以登录;包括telnet,在/etc/securetty中添加tty即可登录
例子3 :
模块:pam_nologin.so
说明:man pam_nologin
当/etc/nologin存在的时候,拒绝用户的登录,并且文件内容将显示在登录提示位置,对root用户不影响
touch /etc/nologin #创建/etc/nologin文件
vim /etc/pam.d/su auth required pam_nologin.so #编辑/etc/pam.d/su添加auth required pam_nologin.so
这样使用su切换用户的时候也是不可以的,默认是可以的
例子4 :
模块:pam_limits.so
说明:限制用户系统资源使用,对root也有影响
ulimit:限制资源,包括shell以及进程创建
-a:显示当前所有ulimit限制
open files:最多打开的文件个数,默认为1024;每发起一个连接就会打开一个sockets文件
-n:修改最多打开文件个数,最大接收的并发连接数(普通用户只能调小不能调大)
cpu time:每运行一个程序使用的cpu的时间
max user processes:最大用户的进程数,最多这么多进程
配置文件:/etc/security/limits.conf
-:包括软硬限制都做了限制
nproc:最大进程数
比如"fang"这个用户最大打开10个进程就使用以下格式
# fang - nproc 10 #如果用户名部分写组名的话则要加上@符号
ab -c 10 -n 200 http://IP/
-c:并行发起10个链接
-n:总链接数200个
原文地址：http://blog.51cto.com/kaikai0720/2058909