基于数字证书的linuz身份认证设计与实现.pdfVIP

基于数字证书的linux身份认证设计与实现 基于数字证书的linux身份认证设计与实现’ 张春瑞都向东 刘渊 中国工程物理研究院计算机应用研究所 摘要：登录linux系统并对其进行控制，在工程仿真环境下是常用的方式。 但目前绝大多数linux应用程序采用用户名I=I令作为身份认证方式，这种方式安全 性不高，容易被猜测。本文提出使用数字证书作为认证方式，能够较好解决linux 应用中身份认证的安全问题。设计并实现了在linux系统中使用存储于USBKey中 的数字证书进行本地登录和远程登录，同时实现了多个应用程序的单一登录。结 果表明，采用数字证书进行身份认证，不仅增强了应用程序的安全性，而且提高 了登录linux易用性。 关键词：数字证书本地登录远程登录linux身份认证 1 引言 Linux系统在科学计算环境中应用越来越多、越来越广。传统的Linux本地登 录和远程访问是通过“用户名+I：1令”方式来进行身份认证的，这种口令机制存 在易被窃取和猜测、难记忆等不安全因素。随着计算机技术的发展和信息安全要 求的不断提高，这种“用户名+口令”的方式已经不能满足高效安全的要求。基 于数字证书的强身份认证机制，提供了比传统的静态口令更为安全和强度更高的 身份认证方式。 本文的目标就是实现本地登录和远程登录linux时使用数字证书进行登录认 证。要确保身份认证的安全性、可靠性，还要达到身份认证的统一管理、规范且 方便。 ·基金项目：中国工程物理研究院重大基金资助项目(No．200620604) ·207· 第十八届全国信息保密学术会议(IS2008)论文集 2 Linux操作系统本地登录的数字证书认证 2．1 Linux的PAM机制原理简介 本文在实现使用数字证书完成本地登录认证时采用了linux的PAM…(Plug- Authentication gable Module)机制。LinuxPAM的设计目标是把认证部分的开发从 系统中分离出来。使用PAM，管理员不用重新编译系统，就可以方便的定制认证 策略和认证方法，通过PAM配置文件来制定不同应用程序的不同认证策略；应用 程序开发者通过在服务程序中使用PAMAPI来实现对认证方法的调用；而PAM服 务模块的开发者则利用PAMSPI来编写模块，将不同的认证机制加入到系统中。 PAM框架结构如图1所示。 应用I 应用2 应用3 PAM会话例程 PAM会话例程 PAM会话例程 彳F 弋7 PAM棚|I——一配置文件 彳 』L 模块1 模块2 模块3 图1 PAM体系结构 2．2 1的设计 Unux本地登录认证模块pam—pkcsl 按照上述PAM架构，实现linux两种模式(图形和命令行)下的操作系统数 字证书认证登录模块。 技术要求 ·208· 基于数字证书的linux身份认证设计与实现 (1)数字证书保存在USBkey中。用户在本地登录操作系统时，插入USBkey， 输入PIN码后即可登录系统。 (2)登录系统后如果拔出USBkey，系统能够自动锁定。 (3)USBkey丢失或者损坏，安全管理员能够有应急措施进入操作系统。 (4)图形模式下支持GNOME和KDE两种图形环境。用户在登录时不再输入 用户名，用户名能够直接从USBkey中的数字证书中获取。 接口。 2．3 Pam—pkcsll技术实现 图2 p