linux-selinux安全防护，加密解密

Linux安全保护模型?
1 自主访问控制DAC （rwx facl）
所有者对自己的资源负责
dr-xr-xr-x. 29 root root 4096 5月 5 14:05 /

2 MAC，强制访问控制
管理员对所有的资源负责
TCSEC标准定义的 MLS 多级安全
SELinux *

[root@room5pc00 ~]# sestatus
SELinux status: disabled
[root@room5pc00 ~]#

[root@room5pc00 ~]# cat /etc/sysconfig/selinux
# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
# enforcing - SELinux security policy is enforced.
# permissive - SELinux prints warnings instead of enforcing.
# disabled - SELinux is fully disabled.
SELINUX=enforcing
# SELINUXTYPE= type of policy in use. Possible values are:
# targeted - Only targeted network daemons are protected.
# strict - Full SELinux protection.
SELINUXTYPE=targeted
[root@room5pc00 ~]# reboot

[root@svr5 ~]# sestatus selinux查询
SELinux status: enabled
Current mode: enforcing
.. ..
Policy from config file: targeted

方法一，修改kernel启动参数
添加 selinux=0 以禁用
添加 selinux=1 以启用
方法二，修改文件/etc/selinux/config
设置 SELINUX=disabled 以禁用
设置 SELINUX=permissive 宽松/允许模式
设置 SELINUX=enforcing 强制模式

[root@room5pc00 ~]# getenforce
Enforcing
[root@room5pc00 ~]# setenforce 0
[root@room5pc00 ~]# getenforce
Permissive
[root@room5pc00 ~]# setenforce 1
[root@room5pc00 ~]# getenforce
Enforcing
[root@room5pc00 ~]#
++++++++++++++++++++++++++++++++++++++++++++
查看文件上下文：

[root@room5pc00 ~]# ll -Z /etc/passwd
-rw-r--r--. root root system_u:object_r:etc_t:s0 /etc/passwd

[root@room5pc00 ~]# ll -dZ /etc
drwxr-xr-x. root root system_u:object_r:etc_t:s0 /etc

查看httpd服务上下文
ps aux -Z | grep httpd
unconfined_u:system_r:httpd_t:s0 apache 3975 0.0 0.0 186060 2524 ? S 10:42 0:00 /usr/sbin/httpd

unconfined_u:system_r:httpd_t:s0 apache 3976 0.0 0.0 186060 2508 ? S 10:42 0:00 /usr/sbin/httpd

[root@room5pc00 ~]# id -Z

查看文家夹上下文
ll -dZ /var/www/html/
system_u:object_r:httpd_sys_content_t:s0
用户 : 角色 :访问类型 :选项...

一般操作规律
移动的文件，原有的上下文属性不变
复制的文件，自动继承目标位置的上下文

修改安全上下问 chcon
-t，指定访问类型
-R，递归修改

[root@room5pc00 ~]# ll -Z /var/www/html/two.html
-rw-r--r--. root root unconfined_u:object_r:admin_home_t:s0 /var/www/html/two.html
[root@room5pc00 ~]#
[root@room5pc00 ~]#
[root@room5pc00 ~]# ll -Z /var/www/html/one.html
-rw-r--r--. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/one.html
[root@room5pc00 ~]# chcon -t httpd_sys_content_t /var/www/html/two.html
[root@room5pc00 ~]# ll -Z /var/www/html/two.html
-rw-r--r--. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/two.html
[root@room5pc00 ~]#

chcon -R -t httpd_sys_content_t /var/www/html

使用 restorecon 工具
恢复为所在位置的默认上下文属性
-R，递归修改

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
SELinux布尔值
getsebool -a
getsebool -a | grep ftp

[root@room5pc00 ~]#
setsebool -P allow_ftpd_anon_write=1
setsebool -P allow_ftpd_full_access on
+++++++++++++++++++++++++++++++++++++++++++++++++++++++
安装排错工具
yum -y install setroubleshoot-server setroubleshoot-plugins setroubleshoot-doc setroubleshoot

reboot

tail -f /var/log/messages (按提示操作)

May 7 11:53:04 room5pc00 setroubleshoot: SELinux is preventing /usr/sbin/vsftpd from write access on the directory stuput. For complete SELinux messages. run sealert -l ac0211d2-a4fc-4051-8157-a9ca0f771570
按提示执行run以后的指令 #sealert -l ac0211d2-a4fc-4051-8157-a9ca0f771570

#sealert -b 调出图形查错菜单
++++++++++++++++++++++++++++++++++++
为什么要给数据加密？
加密、解密

算法？

单向加密（不可逆）MD5 SHA
源数据不发生改变 加密的结果不变
生成固定长度（比如128位）的摘要文本

使用md5sum校验工具
生成MD5校验值
与软件官方提供的校验值比对

710 head -1 /etc/passwd > a.txt
711 cat a.txt
712 md5sum a.txt
713 cp a.txt b.txt
714 md5sum b.txt
715 vim b.txt
716 md5sum b.txt
717 vim b.txt
718 md5sum b.txt

++++++++++++++++++++++++++++++++++++
对称加密（加密和解密使用相同的密码） DES AES

++++++++++++++++++++++++++++++++++++

GnuPG，GNU Privacy Guard 最流行的数据加密、数字签名工具软件

[root@room5pc00 ~]# which gpg
/usr/bin/gpg
[root@room5pc00 ~]# rpm -qf /usr/bin/gpg
gnupg2-2.0.14-8.el6.x86_64
[root@room5pc00 ~]#

gpg支持的算法：
公钥：RSA, ELG, DSA
对称加密：3DES, CAST5, BLOWFISH, AES, AES256, .. ..
散列：MD5, SHA1, .. .., SHA256, SHA512

ssh -X usera@IP
echo aaaaa > /tmp/usera.txt
cd /tmp/
gpg -c usera.txt (提示输入加密的密码)
ls usera.txt.gpg
rm -rf usera.txt

ssh -X userb@ip
cd /tmp
gpg -d usera.txt.gpg > userb.txt (提示输入解密的密码)

cat userb.txt
aaaaa

++++++++++++++++++++++++++++++++++++
非对称加密（公钥加密 私钥解密） RSA DSA

1 usera 用户生成自己的秘钥对（公钥 /私钥）gpg --gen-key
2 usera用户导出自己的公钥
gpg -a --export > /tmp/UserB.pub

3 userb用户导入公钥
gpg --import /tmp/UserB.pub

4 userb用户使用导入的公钥加密数据
echo abcdedf > /tmp/test.txt
cd /tmp
gpg -e -r panglj test.txt

ls test.txt.*

5 userb用户使用自己的私钥解密
gpg -d /tmp/test.txt.gpg > usera2.txt

userb:
gpg --gen-key

[userb@room5pc00 ~]$ gpg --gen-key
gpg (GnuPG) 2.0.14; Copyright (C) 2009 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

请选择您要使用的密钥种类：
(1) RSA and RSA (default)
(2) DSA and Elgamal
(3) DSA (仅用于签名)
(4) RSA (仅用于签名)
您的选择？
RSA 密钥长度应在 1024 位与 4096 位之间。
您想要用多大的密钥尺寸？(2048)1024
您所要求的密钥尺寸是 1024 位
请设定这把密钥的有效期限。
0 = 密钥永不过期
<n> = 密钥在 n 天后过期
<n>w = 密钥在 n 周后过期
<n>m = 密钥在 n 月后过期
<n>y = 密钥在 n 年后过期
密钥的有效期限是？(0)
密钥永远不会过期
以上正确吗？(y/n)y

You need a user ID to identify your key; the software constructs the user ID
from the Real Name, Comment and Email Address in this form:
"Heinrich Heine (Der Dichter) <heinrichh@duesseldorf.de>"

真实姓名：plj
姓名至少要有五个字符长
真实姓名：panglj
电子邮件地址：plj@tedu.cn
注释：teacher
您选定了这个用户标识：
“panglj (teacher) <plj@tedu.cn>”
更改姓名(N)、注释(C)、电子邮件地址(E)或确定(O)/退出(Q) O

ls ~/.gnupg/