第8讲文件加密与系统审计-ISeR.PPT

第8讲文件加密与系统审计 第4章：操作系统基础安全性 第5部分/共5部分 本讲内容 主题：文件加密与系统审计 教材内容： 第4.9节：加密文件系统 第4.10节：系统行为审计 文件加密 为什么要加密？ 文件离开操作系统的控制范围也不泄漏内容。 文件加密方法： 单个文件加密 整个磁盘加密 文件系统加密（目录树加密） 以开源的eCryptfs为例讨论文件系统加密方法。 文件系统树型结构示例 文件系统的安装思想 目录树与文件系统的关系 面向目录树的文件系统加密 定义加密安装点，并安装待加密目录树。 正常的文件加密和解密 读写文件时的异常情况 消除文件访问不一致性的方法 使加密安装点与目录树顶点重合。 虚拟文件系统支持多文件系统共存 虚拟文件系统支持统一操作示例 从用户空间到物理介质的数据流 堆叠式文件系统的思想 eCryptfs的基本结构和原理 经由加密安装点的文件读写处理 Ext2文件系统分区及块组的布局 eCryptfs的文件加密思路 把文件数据划分成数据块（页），对这些数据块加密，并添加加密相关的描述信息，作为头部信息，置于文件的前部。 Tag3和Tag11分别是密钥信息及其标识信息。 eCryptfs的文件加密思路 把文件数据划分成数据块（页），对这些数据块加密，并添加加密相关的描述信息，作为头部信息，置于文件的前部。 Tag3和Tag11分别是密钥信息及其标识信息。 eCryptfs对文件加密过程 eCryptfs的加密/解密处理 文件加密密钥 认证令牌 认证令牌标识符 大自然给我们的启示 当它们从这里走过时，沙滩记录它们的足迹。---- 审计 大自然让我们去联想 从这个场景看，这里曾发生过什么？---- 审计分析 系统运行时留下的足迹 来自UNIX系统的/var/log/messages日志文件。 系统运行足迹的基本构成 系统运行足迹的含意 摘选了4条记录： 记录1：网络启动成功（面向本机）。 记录2：网络启动成功（面向网卡）。 记录3：FTP认证失败。 记录4：alice成功变为root身份。 系统记录的典型足迹有哪些？ 这是UNIX系统中/var/log目录下的典型日志文件，记录典型的日志信息。 常用syslog审计服务系统的结构 由四个主要部分构成：syslogd日志处理守护进程、配置文件、日志文件和syslog函数库。 审计配置文件的结构 /etc/syslog.conf 审计配置文件的结构 /etc/syslog.conf 审计事件的紧迫级别 审计事件的产生着 审计配置信息示例 审计配置信息示例--目的地说明 审计配置信息示例--信息源说明 *.err;kern.debug;auth.notice /dev/console daemon,auth.notice /var/log/messages auth.* root,wenchang *.err;kern.debug;auth.notice /dev/console daemon,auth.notice /var/log/messages auth.* root,wenchang 审计信息源 审计信息目的地 审计事件产生者 审计事件紧迫级别 *? 2009 电子工业出版社 系统与信息安全研究实验室 RENMIN UNIVERSITY OF CHINA 石文昌 （博士/教授/博导） /wshi / dev etc bin usr local lib vmunix passwd hosts passwd 安装点 文件系统A 文件系统B 安装点 文件系统A 文件系统B 一棵（子）目录树可能对应一个文件系统 定义加密安装点 安装目录树 安装：mount -t ecryptfs /d1 /d2 卸载：umount /d1 创建5个文件：/d2/f0, /d2/d4/f1, /d2/d4/f2, /d2/d4/f3, /d2/d4/f4 密文 明文 密文 明文 经加密安装点，写文件时加密。 经加密安装点，读文件时解密。 明文 明文 密文 密文 不经加密安装点，写文件时不加密。 不经加密安装点，读文件时不解密。 mount -t ecryptfs /d1 /d1 加密安装点 目录树顶点 虚拟文件系统 cp(1) U盘上的NTFS 硬盘上的Ext3 cp 虚拟文件系统 Ext3 NTFS /tmp/test /usb/test inf = open(“/usb/test”,O_RDONLY,0); outf = open(“tmp/test”, O_WRONLY|O_CREAT|O_TRUNC,0600); do { i = read(inf,buf,4096); write(outf,buf,i); } while (i