Rechnerarchitekturen und Betriebssysteme (CS201): Sicherheit: ACM und Passworte, OS-Timeline

Transkript

1 Rechnerarchitekturen und Betriebssysteme (CS201): Sicherheit: ACM und Passworte, OS-Timeline 12. Dezember 2014 Prof. Dr. Christian Tschudin Departement Mathematik und Informatik, Universität Basel Wiederholung / Diskussion 1. Was ist Dynamic Loading, was ist Dynamic Linking? 2. Was ist ein Micro-Kernel, erwartete Vorzüge? 3. Virtualisierung - gebe eine Definition 4. Was ist ein Hypervisor? Paravirtualisierung? ein Hypercall? c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 2/17

2 OS und Zugriffskontrolle (Access Control) Betriebssystem muss Ressourcen schützen bzw Zugang kontrollieren Rechenzeit, Disk-Space Dateninhalte (z.b. Kundenkartei, Kontodaten, Krankengeschichte) Programme (e.g., Virus) Netzwerkzugang, Bandbreite Semaphore, etc. etc. c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 3/17 Schutzdomänen (Protection Domains) Objekt O braucht Schutz Subjekt S verlangt Zugriff Operation A Aktion, die ein Subjekt auf einem Objekt ausführen kann Zugriffsrecht R die Erlaubnis, eine Aktion A an Objekt O durchzuführen Domäne = Sammlung von Zugriffsrechten <O, A> c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 4/17

3 Schutzdomänen (Forts.) Subjekte arbeiten in einer Domäne Beispiel: Ein Prozess P mit den Zugriffsrechten < file F, read> und < file F, execute> kann die Datei F lesen und ausführen aber nicht modifizieren. OS-Problemstellung: jedem Prozess (Subjekt) die richtige Domäne zuordnen Statische Zuordnung nicht möglich: zur Laufzeit erzeugte neue Objekte zur Laufzeit erzeugte neue Subjekte zur Laufzeit gewährte oder enzogene Zugriffsrechte c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 5/17 Access Control Matrix (ACM) Mechanismus: bestimmt wie etwas gemacht wird Policy: bestimmt was/wann gemacht wird Betriebssystem stellt Mechanismen zur Verfügung; der Betreiber muss die Policy bestimmen (die über die Zeit auch ändern kann) ACM = konzeptionelles Modell für Schutzmechanismen und -Policies Subjekt (Domäne) \ Objekt Datei F Printer L... User A read Prozess P print c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 6/17

4 Access Control Matrix (Forts) Dynamik der ACM: User erzeugen neue Objekte (Dateien etc) neue User-Accounts werden eingerichtet neue Prozesse werden erzeugt D.h., es ist nicht immer möglich oder sinnvoll, Schutz-Domänen im Voraus zuzuordnen. Zugriffsrechte auch phasenweise erteilen. Prozesse (und Users etc) sollten die Schutzdomäne wechseln und neue Domänen erzeugen können. c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 7/17 Access Control Matrix (Forts II) Ansatz: Domänen sind selbst auch Objekte. SWITCH Operation: das Recht, die Domäne zu wechseln. Domäne \ Objekt Datei F Printer L D 1 D 2... D 1 exec switch D 2 rd, wr print D 3 print switch c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 8/17

5 Access Control Matrix (Forts IV) Nächste Stufe: Aktionen, die die ACM selbst verändern Zugriffsrechte anderen Domänen gewähren/entziehen Benutzer -Recht: kontrolliert Rechte innerhalb einer Spalte Kontroll -Recht: Kontrolle über Domänen (Zeile) Domäne \ Objekt Datei F Printer L D 1 D 2... D 1 exec switch owner D 2 rd, wr print D 3 print switch controll c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 9/17 Entscheidbarkeit ACM Bezug zur Theorie der Informatik ACM-Dynamik durch Modifikationsregeln (owner, controll) und dem Erzeugen neuer Objekte und Domänen Programmierung der ACM Es entstehen unentscheidbare Probleme. Insbesondere: Kann von einem (sicheren) Anfangszustand ein unsicherer Zustand erreicht werden? c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 10/17

6 ACM Implementierung Nicht sinnvoll, ACM als Tabelle abzulegen (Grösse, Sparse -heit) Access Control List (ACL): lese die ACM spaltenweise jedem Objekt ist eine domänenspezifische Liste von Zugriffsrechten zugeordnet Beispiel: Datei-Zugriffsrechte Capabilities : lese die ACM zeilenweise Domäne hat Liste von objektspezifischen Rechten Beispiel: Zugticket, Theaterkarte c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 11/17 ACM Implementierung: UNIX Domänenwechsel: suid (set user id) Systemprogramme werden normalerweise mit den Rechten (Domäne!) des Aufrufenden abgearbeitet: set-uid erlaubt die Ausführung als Datei-Besitzer Gewisse Dienstprogramme starten mit Root-Rechten, geben sie dann sobald als möglich aber wieder ab. Owner-Konzept für Dateien Besitzer kann Zugriffsrechte bestimmen (Spalte) Datei-ACL (siehe getfacl) c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 12/17

7 Passwort-Problem in UNIX Die Datei (/etc/passwd) beinhaltet alle Benutzerdaten: Name, Username, home directory etc Angaben zum Password (nicht in Klaretxt, aber als Hash-Code) /etc/passwd ist frei lesbar Dictionary-Attacke: die häufigsten Passwörter ausprobieren (es existieren Standard-Wörterbücher) Exhaustive Search-Attacke: systematisches Ausprobieren aller möglichen Passwörter (heute machbar für 6 bis 8 Zeichen) c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 13/17 Passwort-Problem in UNIX (Forts) Früher: Salt : Jedes Passwort wird mit einer Zufallszahl versehen vor der Hash-Operation. Zufallszahl auch im /etc/passwd Ziel: gleiche Passwörter haben andere Hash-Werte Heute: Shadow : /etc/shadow eine lesegeschützte Datei ersetzt /etc/passwd nur root kann lesen, oder mit suid-root-programmen c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 14/17

8 Passwort-Ersatz: Challenge-Response-Verfahren (Verschlüsselungs)-Funktion Rechner schickt zufällige Zahl (Challenge) Benutzer muss (verschlüsselten) Wert zurücksenden Unterstützung mit smart cards oder Badges One-time passwords (Streichliste) Liste von Zufallspasswörtern, nur einmal verwendebar Passwörter in richtiger Folge zu verwenden (Challenge lautet: gebe mir Passwort n, n + 1, etc) Rückwärtskette von Hash-Werten h(h(h(h(h(h(h(h(h(h(h(h(seed)))))))))))) c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 15/17 Verschlüsselte Dateisysteme Gefahr, Schutzmechanismen eines laufenden Betriebssystem vor dem Start oder von unten zu umgehen: Ausbau der Harddisk, block-für-block auslesen Viren im BIOS? Viren im Harddisk-Controller? Heute ist ein encrypted filesystem eine Standard-Technologie: Windows: EFS / Mac OSX: FileVault / Linux: ecryptfs, loop-aes, dm-crypt Zu diskutieren wären: whole-image vs file vs block-level encryption Wichtig, auch die Backups zu verschlüsseln! c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 16/17

9 OS Timelines UNIX Maze (Wo ist Linux? Plan9?) of operating systems c Christian Tschudin CS201 Rechnerarchitekturen und Betriebssysteme, , 17/17