《冶金自動(dòng)化》2004年增刊GINA及應(yīng)用黎彤亮,范瑞琴2,黃世中1(1.河北省應(yīng)用數(shù)學(xué)研究所河北石家莊050081;2石家莊鐵道學(xué)院)[摘要]介紹GINA的原理,實(shí)現(xiàn)及在登錄 Windows nt/2000/XP系統(tǒng),進(jìn)行身份驗(yàn)證中它所起的安全作用[關(guān)鍵詞]GINA;身份認(rèn)證;安全0引言對于信息安全,內(nèi)部的安全性是至關(guān)重要的,因?yàn)閬碜詢?nèi)部的泄密比防止外部入侵更困難。中國國家信息安全評測認(rèn)證中心的調(diào)查結(jié)果顯示,政府和企業(yè)因信息被竊取所造成的損失超過病毒破壞和黑客攻擊所造成的損失,超過80%以上的安全威脅來自內(nèi)部。因此當(dāng)使用計(jì)算機(jī)登錄到網(wǎng)絡(luò)上時(shí),對人員進(jìn)行身份認(rèn)證是十分必要的。通常的密碼認(rèn)證方式已經(jīng)無法滿足人們的要求。為了提高安全性,結(jié)合硬件的認(rèn)證方法是較好的方法。Graphical Identification and Authentication(圖形識(shí)別與身份認(rèn)證,GNA),是一個(gè)由 Windows Nt/2000/XP操作系統(tǒng)中 winlogon.exe加載的可替換DLL組件。這個(gè)DLL主要用來實(shí)施交互登錄模式的認(rèn)證策略,并執(zhí)行全部識(shí)別與認(rèn)證的用戶交互操作。替換 Gina d可用智能卡、視網(wǎng)膜掃描及其它身份認(rèn)證機(jī)制來取代標(biāo)準(zhǔn)系統(tǒng)的用戶名加口令的認(rèn)證方式。我國在未來幾年將使用采用非接觸式IC技術(shù)的第二代身份證——智能IC卡身份證,利用GINA并配合相關(guān)硬件設(shè)備,就能通過智能IC卡身份證來進(jìn)行登錄認(rèn)證1原理winlogon是 Windows nt/2000/XP操作系統(tǒng)提供交互式登錄支持的組件。 Winlogon結(jié)構(gòu)有三個(gè)組成部分:可執(zhí)行文件 winlogon.exe提供圖形界面認(rèn)證功能的動(dòng)態(tài)庫 Gina D以及一些網(wǎng)絡(luò)服務(wù)提供動(dòng)態(tài)庫 Network Provider DIl參考模型如圖1所示W(wǎng)inlagan, exeNetwork NetworkProvide圖1 winlogon參考模型Asina, dll是 Microsoft提供的默認(rèn) Gina d,它是可替換的,用戶可以設(shè)計(jì)自己的 Gina d,以提供其他一些認(rèn)證機(jī)制。 winlogon.exe處理一些下層導(dǎo)出的接口函數(shù),而認(rèn)證策略是在 Gina d中是獨(dú)立設(shè)計(jì)的。系統(tǒng)啟動(dòng)時(shí), Gina d被 winlogon.exe裝載并與之交互。 Winlogon提供了一些供 Gina dll調(diào)用的函數(shù),GINA相應(yīng)地必須實(shí)現(xiàn)供 Winlogon調(diào)用的函數(shù)。Windows2000NT/XP有三種系統(tǒng)狀態(tài):(1)沒有用戶登錄;(2)用戶成功登錄狀態(tài);(3)鎖定工作站狀態(tài)。當(dāng)沒有登錄用戶時(shí),GINA調(diào)用 Winlogon所提供的 WlxSas Notify函數(shù),表明用戶要登錄。winlogon接著調(diào)用GINA的 WlxLoggedOut Sas函數(shù)去認(rèn)證。我們在這個(gè)函數(shù)中加入額外的認(rèn)證代碼就可以實(shí)現(xiàn)其他一些結(jié)合硬件的認(rèn)證機(jī)制,如IC卡方式的認(rèn)證等2實(shí)現(xiàn)開發(fā) Gina Dll,必須要實(shí)現(xiàn)與 Winlogon. exe交互的函數(shù)H中國煤化工CNMHG發(fā)規(guī)定。Win[收稿日期]2004-06-16[作者簡介]黎彤亮(1974-),四川青神人,助理研究員,主要從事計(jì)算機(jī)軟件的開發(fā)工作399方數(shù)據(jù)《冶金自動(dòng)化》2004年增刊wlxh是開發(fā) Gina d必須的頭文件,目前最新的版本為1.4。開發(fā)的策略使用的“hook”方法如下(1)F BB Function prototypes for the GINA interfaceypedef int(WINAPI w PFWLXLOGGEDOUTSAS)(PVOID, DWORD, PLUID, PSID, PDWORD, PHANDLE, PWLX_ MPRNOTIFY INFO, PVOII“)static PFWLXLOGGEDOUTSAS pf WlxLoggedOutSAS:(2)在 WlxNegotiate中獲得默認(rèn)的 Gina dll及相關(guān)函數(shù)hDIl- LoadLibrary(L"MSGINA. DLL)))之后獲得函數(shù)地址:/lxloggedOut SAS =(PFWLXLOGGEDOUTSAS)WlxNegotiate是 Winlogon.exe調(diào)用 Gina d的第一個(gè)函數(shù)進(jìn)行版本判斷。(3)定義額外的認(rèn)證代碼int OkTologon(LPVOID Nam/額外的認(rèn)證代碼,如讀IC卡,對名字進(jìn)行對比。//硬件讀取程序if可以return WLX SAS ACTION LOGONreturn WX SAS ACTIOn NONE(4)實(shí)現(xiàn)額外的認(rèn)證int WINAPI WlxLoggedOutSAS (PVOID pWlxContext, DWORD dwSas TypePLUID pAuthenticationld, PSID pLogonSid, PDWORD pdwOptions, PHANDLEphToken, PWLX MPR NOTIFY INFO pMpr Notifylnfo, PVOID*pProfile)//調(diào)用默認(rèn)的 Gina d中的 WlxloggedOutSAS進(jìn)行標(biāo)準(zhǔn)認(rèn)證plogon Sid, pdwOptions, ph Token, pMprNotifyInfo, pRofile);if(iRet ==WLX SAS ACTION LOGON)//當(dāng)通過標(biāo)準(zhǔn) Windows認(rèn)證后再進(jìn)行額外的認(rèn)證return OkTol ogon( pMpr NotilyInfo->psz UserName);return iRet:以上代碼說明了實(shí)現(xiàn)的主要點(diǎn),但這些僅是一小部分。如前所述,實(shí)現(xiàn)完整的 Gina D還要實(shí)現(xiàn)其他系統(tǒng)必須要求的函數(shù)。如 WIxWkstaLockedSAS、 Wlxlogoff、 WIxShutdown等。具體要求可參考MSDN和 WinwIx h3使用例如開發(fā)的 Gina dll文件名為 Gina Test.Dl。將該文件拷貝到系統(tǒng)文件夾 System32下,并修改注冊表Key Name: HKEY LOCAL MACHINE\ Software\ Microsoft\ Windows NTCurrent Version\ winlogonvalue Name: ginaDLL中國煤化工Value Type: [REG SZ]Value: Gina Test. dllCNMHG重新啟動(dòng)計(jì)算機(jī) Gina Test dl就可以使用了,當(dāng)然相關(guān)的硬件驅(qū)動(dòng)程序應(yīng)當(dāng)先安裝好調(diào)試時(shí)需要特別注意:當(dāng) Gina l川l不能正常工作時(shí)將導(dǎo)致計(jì)算機(jī)不能正常啟動(dòng),您要有訪問%systemroot%\ SYSTEM32文件夾的其他方式,來替換不正常的 Gina dll397《冶金自動(dòng)化》2004年增刊4其他在GINA中,除了可以構(gòu)造認(rèn)證方法外,還可以做些其他的工作。如屏蔽掉Ctrl+Alt+Del當(dāng)系統(tǒng)處于登陸狀態(tài),當(dāng)用戶按Ctrl+Alt+Del,則 Winlogon接收到事件,接著調(diào)用GINA中的函數(shù)WlxLoggedOnSAS。程序代碼如下int WINAPI WIxLoggedOn SAS(PVOID pWlxContext, dWoRd dwSas Type, PVoid pReserved)(//如果要屏蔽,僅需要返回 WLX SAS ACTION NONE則可return WLX SAS ACTION NONE[編輯:夏寧]中國煤化工CNMHG3方數(shù)據(jù)