基于数字证书的Samba增强身份认证设计与实现研究.pdfVIP

第十八届全国信息保密学术会议(IS2008)论文集 基于数字证书的Samba增强 身份认证设计与实现’ 李亮 中国工程物理研究院信息安全技术中心 摘 要：本文介绍了Samba的文件共享机制及其本结构，分析了Samba认证机 制的不足，提出了基于数字证书的Samba增强身份认证方法，实现了其原型系统。 关键词：Samba文件共享SMB数字证书 1 引言 之间的文件共享，是异构网络环境下网络共享的很好解决方案。Samba属于GNU Public License(简称GPL)的软件，源代码公开，支持众多计算机厂家的操作 系统。 2 Samba的文件共享机制及基本结构 Samba的核心是SMB(ServerMessageBlock)／CIFS协议。SMB协议是客户端 ／服务器型协议，客户机通过该协议可以访问服务器上的共享文件系统、打印机及 InternetFile 其他资源。CIFs(CommonSystem)是为客户系统在网络上向服务器 请示文件和打印服务的开放跨平台的运行机制。它是建立在广泛应用于个人电脑 和工作站等操作系统的标准服务器消息块(SMB)协议，在Intemet中使用标准远 公共版本。实际上，SMB是一个通过网络在共享文件、设备、命名管道和邮槽之 ·基金项目：中国工程物理研究院重大基金资助项目(No．200620604) ·222· 基于数字证书的Samba增强身份认证设计与实现 间操作数据的协议。Samba网络协议栈如图l所示。SMB／CIFS服务器信息块协议 NFS文件系统和CIFS文件系统的集成。 Samba文件系统 SMB，CIFS NFs NetBlOS RFCl001瓜FCl0()2 TCP UDP IP 数据链路层 物理层 图1 Samba网络协议栈 在异构网络环境下，不同的平台采用不同的操作系统，不同的操作系统采用 不同的文件系统，不同的文件系统不能直接互相访问。Samba软件包可以实现异 件系统是一个开放的标准。异构网络下Samba网络文件系统如图2所示。 Windows平台 Unix／Linux平台 图2．鼬mba网络文件系统 ·223· 第十八届全国信息保密学术会议(IS2008)论文集 套件组成，由两个核心守护进程和多个应用程序组成，它们是：smbd、nmbd、 smbrun、smbtar和SWAT等。Samba的基本功能结构图如图3所示。 SAMBAJ]醍务器端 I……………… 图3蛐的基本功能结构图 使用TCP协议和139或645端口向2向客户端提供面向会话的文件共享服务，对 于每个连接到Samba的客户端，父端8mbd派生一个smbd子进程向该客户端提供 服务，端口守护进程nlnbd使用UDP协议和137或138端口向客户端提供命名或 数据服务以实现NetBIOS名称和浏览支持，帮助客户端定位服务器。 3基于数字证书增强Samba的身份认证设计 议均是基于用户名／口令的认证，存在着密码嗅探、中间人攻击等固有缺陷，身份 认证强度不够。为了增强Samba身份认证强度，设计了一种基于数字证书的增强 Samba身