Linux系统下Capabilities机制的改进与完善.pdfVIP

第26卷 计算机应用 V01。26 2006年6月 Co瑚【puter June2006 Applications 文章编号：1001—9081(2006)06Z—0171一02 “nux系统下C印ab舭ies机制的改进与完善 郎韶华1，罗军勇1，贾遂民2 (smmewnter@163．com) 摘 用户可通过配置可执行文件的权能来灵活控制相应进程拥有的权能范围；(2)对系统赋予进程权能 的策略(即进程权能计算公式)进行了改进，从而实现了在只有一种权能配置的情况下，不同用户的 进程在执行同一程序时可以拥有不同的权能。 关键词：“nux操作系统；权能访问控制；用户权能 中图分类号：’rP316；TP393．08文献标识码：A 在老版本的unux操作系统中，进程的特权操作是根据可以使用h私h查找算法来快速获得可执行文件权能信息，从 进程的有效用户身份来进行访问控制的。比如，以root为有而加快权能信息的查询速度心】。用文件的设备号与文件号 效用户身份的每个进程，不管需不需要，都拥有系统所有的特 一起可用来索引文件的权能信息。 权。而在大多数情况下，进程完成其服务功能时并不需要特 1．2内核权能信息库的建立 权，或仅仅需要很少的几种特权，拥有多余特权对系统安全总 是不利的。 能信息记录的总个数)。采用的hash查找算法为：以可执行 c叩abilmes是Linux操作系统对特权操作进行访问控制文件的inode节点号和设备号为输入，两者之和经过折半处 的一种安全机制，它是针对上述问题而提出来的，目的在于实 理后整理为不超过hash链表大小的一个数作为输出。实现 现一种更加细粒度的特权操作的访问控制，使用户能够根据 代码如下： unsigned10ng 实际的安全需要来控制一个进程拥有的特权范围，从而取消 t“p，h∞h一8hm，h∞h—m∞k； 进程的多余特权，避免多余特权带来的安全隐患∞一。 stnlctfile}me： 8nllctinode}inode： 1 实现可执行文件的权能 unsi弘ed10ngc印一num； ／}权能信息记录的总数}／ 61e=矗ip一叩en(c印8』k—n硼e，o-RDoNLY，O)； 要实现可执行文件权能，首先必须解决可执行文件权能 ／-打开权能配置文件，／ 信息的存储问题[1]。将可执行文件权能信息存放于文件的 inode=file一f_dentIy一d—inode； inode节点，会引起文件系统的不兼容；而将可执行文件权能 cap-num=(un8i印ed10ng)(((unsigned 信息组织存放于文件的数据部分，又会引起可执行文件格式 sizeo“8tnlctexc—capj))； 的不兼容¨1。 hasn—shif【=O； ／$计算h∞h链表数组大小+／ 鉴于上述原因，解决方法是将系统所有可执行文件的权 wh丑e((cap—num=1UL)!=OUL)