TWI621961B - 切換執行身分的方法及相關的伺服器 - Google Patents

切換執行身分的方法及相關的伺服器 Download PDF

Info

Publication number
TWI621961B
TWI621961B TW104110712A TW104110712A TWI621961B TW I621961 B TWI621961 B TW I621961B TW 104110712 A TW104110712 A TW 104110712A TW 104110712 A TW104110712 A TW 104110712A TW I621961 B TWI621961 B TW I621961B
Authority
TW
Taiwan
Prior art keywords
identity
identifier
identification code
worker
group
Prior art date
Application number
TW104110712A
Other languages
English (en)
Other versions
TW201636890A (zh
Inventor
李宜謙
Original Assignee
群暉科技股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 群暉科技股份有限公司 filed Critical 群暉科技股份有限公司
Priority to TW104110712A priority Critical patent/TWI621961B/zh
Priority to CN201610003942.4A priority patent/CN106059989B/zh
Priority to US15/005,020 priority patent/US9942241B2/en
Priority to EP16161327.8A priority patent/EP3079096A1/en
Publication of TW201636890A publication Critical patent/TW201636890A/zh
Application granted granted Critical
Publication of TWI621961B publication Critical patent/TWI621961B/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Databases & Information Systems (AREA)
  • Power Engineering (AREA)
  • Storage Device Security (AREA)
  • Stored Programmes (AREA)

Abstract

一伺服器包含一處理器以及一儲存單元，該儲存單元儲存一程式碼，其中當該處理器執行該程式碼時，會執行以下步驟：當接收到來自該伺服器外的一操作請求時，在處理該操作請求之一工作者(worker)的一有效身分識別碼設為一預設身分識別碼的情況下，若是該預設身分識別碼不具有該操作請求之權限，則將該有效身分識別碼設為一特定身分識別碼，並透過具有該特定身分識別碼的該工作者來執行該操作請求，其中該特定身分識別碼具有執行該操作請求之權限；以及當執行該操作請求之後，將該有效身分識別碼重新設回該預設身分識別碼。

Description

切換執行身分的方法及相關的伺服器
本發明係有關於伺服器，尤指一種可以切換執行身分以執行操作請求的伺服器。
在具有網頁伺服器或是檔案伺服器等多功能之網路附加儲存伺服器中，大多是具有最高系統管理權限之執行身分來啟動HTTPd伺服器軟體，並處理伺服器的操作請求。然而，由於此執行身分擁有最高的權限，因此，若是作業系統的共通閘道介面(Common Gateway Interface，CGI)有安全性漏洞或是系統元件有缺陷，則被HTTPd伺服器軟體執行時就能輕易地取得系統控制權限，造成安全性上的危險。
因此，本發明的目的之一在於提供一種切換執行身分的方法及相關的伺服器，其可以在有需要的時候才會暫時地提升權限，以解決先前技術中的問題。
根據本發明一實施例，一伺服器包含一處理器以及一儲存單元，該儲存單元儲存一程式碼，其中當該處理器執行該程式碼時，會執行以下步驟：當接收到來自該伺服器外的一操作請求時，在處理該操作請求之一工作者(worker)的一有效身分識別碼設為一預設身分識別碼的情況下，若是該預設 身分識別碼不具有該操作請求之權限，則將該有效身分識別碼設為一特定身分識別碼，並透過具有該特定身分識別碼的該工作者來執行該操作請求，其中該特定身分識別碼具有執行該操作請求之權限；以及當執行該操作請求之後，將該有效身分識別碼重新設回該預設身分識別碼。
根據本發明另一實施例，係揭露一種切換執行身分的方法，其中該方法係應用在一伺服器中，且該方法包含有：當接收到來自該伺服器外的一操作請求時，在處理該操作請求之一工作者(worker)的一有效身分識別碼設為一預設身分識別碼的情況下，若是該預設身分識別碼不具有該操作請求之權限，則將該有效身分識別碼設為一特定身分識別碼，並透過具有該特定身分識別碼的該工作者來執行該操作請求，其中該特定身分識別碼具有執行該操作請求之權限；以及當執行該操作請求之後，將該有效身分識別碼重新設回該預設身分識別碼。
100‧‧‧伺服器
102‧‧‧網路線
110‧‧‧處理器
120‧‧‧儲存單元
122‧‧‧程式碼
200~222‧‧‧步驟
第1圖為依據本發明一實施例之伺服器的架構示意圖。
第2圖為依據本發明一實施例之伺服器的操作流程圖。
請參考第1圖，第1圖為依據本發明一實施例之伺服器100的架構示意圖。如第1圖所示，伺服器100包含有一處理器110以及一儲存單元120，其中儲存單元120包含一程式碼122，且程式碼122可包含一系統應用程式之至少一部分(例如一部分或全部)，但這只是為了說明的目的而已，並非對本發明之限制。其中，上述之系統應用程式可包含但不限於網頁伺服器軟體(諸如Apache HTTPd伺服器軟體)、作業系統軟體(諸如網頁型作業系統軟 體)、檔案管理應用程式。這只是為了說明的目的而已，並非對本發明之限制。此外，伺服器100透過一網路線102連接到網路，以與外部的電子裝置進行資料的傳送。在本實施例中，伺服器100可為一多功能網路附加儲存伺服器，其可藉由上述之系統應用程式提供各種系統服務予使用者。例如：伺服器100可藉由上述之檔案管理應用程式接收來自使用者端所傳送來的一操作請求，以進行檔案的上傳或下載等系統服務；又例如：伺服器100可藉由上述之網頁伺服器軟體接收來自使用者端所傳送來的一網路位址(Uniform Resource Locator，URL)，亦即接收來自使用者端的一超文字傳輸協定(HyperText Transfer Protocol，HTTP)請求，並對該網路位址進行處理，以提供HTTP回覆給使用者端；然而，本發明並不以此為限，伺服器100亦可包含其他的伺服器功能。
實作上，處理器110執行程式碼122之系統應用程式時，係指派至少一工作者(worker)執行該系統應用程式以及處理來自該伺服器100外之關於該系統應用程式的操作請求。其中，該系統應用程式之一設定檔中設定有上述之至少一工作者於執行該系統應用程式時的執行身分及/或執行群組，且該執行身分與該執行群組分別對應於一有效身分識別碼(effective user identifier,EUID)與一有效群組識別碼(effective group identifier,EGID)。處理器110可藉由設定上述之至少一工作者之有效身分識別碼與有效群組識別碼，以指定各工作者對應的操作權限。由於本領域技術人員應能了解有效身分識別碼與有效群組識別碼的意義及其他操作，故細節不再贅述。
一般而言，上述之有效身分識別碼包含根身分識別碼、用戶身分識別碼與服務專用身分識別碼，其中根身分識別碼具有最高系統管理權限；用戶身分識別碼對應於一使用者，用戶身分識別碼之權限係對應於伺服器100之系統管理員設定予該使用者之權限；服務專用身分識別碼係對應於一系統 應用程式，且具有該系統應用程式所需的操作權限。此外，上述之設定檔中所設定之執行身分可包含根身分、用戶身分與服務專用身分，且根身分係對應於上述之根身分識別碼、用戶身分係對應於上述之用戶身分識別碼、服務專用身分係對應於上述之服務專用身分識別碼。舉例而言，上述之根身分、用戶身分、服務專用身分可分別為：”root”、”ken”與”http”；而根身分識別碼、用戶身分識別碼與服務專用身分識別碼可分別為：0、2與3。這只是為了說明的目的而已，並非對本發明之限制。其中，上述之根身分亦可稱為系統管理員身分。
相似地，上述之有效群組識別碼包含根群組識別碼、用戶群組識別碼與服務專用群組識別碼，其中根群組識別碼具有最高系統管理權限；用戶群組識別碼對應於一使用者群組，用戶群組識別碼之權限係對應於伺服器100之系統管理員設定予該使用者群組之權限；服務專用群組識別碼係對應於一系統應用程式，且具有該系統應用程式所需的操作權限。此外，上述之設定檔中所設定之執行群組可包含根群組、用戶群組與服務專用群組，且根群組係對應於上述之根群組識別碼、用戶群組係對應於上述之用戶群組識別碼、服務專用群組係對應於上述之服務專用群組識別碼。舉例而言，上述之根群組、用戶群組、服務專用群組可分別為：”root”、”ken”與”http”；而根群組識別碼、用戶群組識別碼與服務專用群組識別碼可分別設定為0、2與3。這只是為了說明的目的而已，並非對本發明之限制。其中，上述之根群組亦可稱為系統管理員群組。
於此實施例中，上述之有效身分識別碼與有效群組識別碼更包含一預設身分識別碼以及一預設群組識別碼，上述之設定檔中所設定之執行身分與執行群組更包含一預設身分以及一預設群組，且該預設身分係對應於該預設身分識別碼，該預設群組係對應於該預設群組識別碼。舉例而言，上述 之預設身分與預設群組可分別為：”system”與”system”；而預設身分識別碼與預設群組識別碼可分別設定為1與1。這只是為了說明的目的而已，並非對本發明之限制。
請參考第2圖，第2圖為依據本發明一實施例之伺服器100的操作流程圖，在第2圖所示的例子中，係以Apache HTTPd伺服器軟體作為上述之系統應用程式之一例來進行說明，然而，本發明並不以此為限。如第2圖所示，在步驟200中，當處理器110執行程式碼122，以開啟或是重新啟動Apache HTTPd伺服器軟體時，流程進入步驟202。在步驟202中，處理器110進行認證程序，以根據Apache HTTPd伺服器軟體之一設定檔的設定來判斷負責處理Apache HTTPd伺服器軟體之操作請求的工作者是否可以提升權限。以Apache HTTPd伺服器軟體為例，若是設定檔之執行身分為上述之預設身分，則處理器110便判斷該工作者可以提升權限，流程進入步驟210；反之，若是設定檔之執行身分為服務專用身分，則處理器110便判斷該工作者不可以提升權限，流程進入步驟220。
舉例而言，在Apache HTTPd伺服器軟體之設定檔“httpd.conf”中的執行身分具有以下的設定：User system，則處理器110便判斷負責處理Apache HTTPd伺服器軟體之操作請求的工作者可以提升權限，流程進入步驟210；反之，若是在設定檔“httpd.conf”中的執行身分具有以下的設定：User http，則處理器110便判斷負責處理Apache HTTPd伺服器軟體之操作請求的工作者不可以提升權限，流程進入步驟220。其中system為上述之預設身分之一例，http為上述之服務專用身分之一例，這只是為了說明的目的而已，並非對本發明之限制。
在步驟210中，處理器110執行一設定有效用戶模組來將上述之 工作者(worker)的執行身分設為上述之預設身分。亦即，處理器110可將該工作者的有效身分識別碼設為上述之預設身分識別碼(例如，EUID=1)。順代一提，工作者用來處理一使用者的操作請求，亦即工作者接收來自使用者的一操作請求，若是該操作請求需要透過共通閘道介面來進行處理，則工作者會將該操作請求傳送給共通閘道介面，之後由共通閘道介面接收到回傳資料後，再轉給使用者端。此外，由於本領域技術人員應能了解在Apache HTTPd伺服器軟體中有關於“工作者”的意義及其他操作，故細節不再贅述。
在步驟212中，負責處理Apache HTTPd伺服器軟體之操作請求的工作者已設定為預設身分，此預設身分並非系統管理員身分或使用者的用戶身分，該工作者之權限是受限的。此外，自步驟212開始，伺服器100可以開始接收來自外部的使用者的操作請求。
當伺服器100接收到來自外部的一操作請求時，若是處理該操作請求之工作者的預設身分識別碼不具有該操作請求之權限，則流程進入步驟214的認證程序；反之，若是處理該操作請求之工作者的預設身分識別碼具有該操作請求之權限，則工作者可直接使用該預設身分來執行該操作請求，並將處理結果回傳給外部的使用者。
在步驟214中，處理器110再次檢查工作者目前的執行身分，若是符合可提升權限之設定(例如上述之User system設定)，則呼叫設定有效用戶模組，將該工作者的有效身分識別碼設為上述之特定身分識別碼(例如，EUID=0)。於此實施例中，特定身分識別碼可為具有該使用者的操作請求之權限的識別碼。例如，該特定身分識別碼可為根身分識別碼，且該根身分識別碼具有最高系統管理權限。於其他實施例中，上述之特定身分識別碼可為用戶身分識別碼，且該用戶身分識別碼對應於上述之使用者，以及該用戶特 定身分識別碼具有使用者之操作請求之權限。
舉例而言，該根身分識別碼與該用戶身分識別碼可分別設定於該工作者之一暫存身分識別碼(saved set-user-id，SUID)與一真實身分識別碼(real user id，RUID)。設定有效用戶模組可選擇性地依據暫存身分識別碼將有效身分識別碼設為根身分識別碼，或者依據真實身分識別碼將有效身分識別碼設為用戶身分識別碼。其中，當設定有效用戶模組依據暫存身分識別碼將工作者之有效身分識別碼設為根身分識別碼後，可將暫存身分識別碼設為預設身分識別碼。這只是為了說明的目的而已，並非對本發明之限制。
在步驟216中，處理器110係透過具有該特定身分識別碼的該工作者來執行該操作請求。由於該特定身分識別碼可為根身分識別碼，該根身分識別碼具有該操作請求之權限。因此，該工作者具有權限來執行原本無法執行的操作，例如下載或上傳檔案，或是其他關於系統服務之操作，故在步驟216中工作者便可執行來自外部的該操作請求，並回傳處理結果給外部的使用者。於一實施例中，上述之特定身分識別碼可為用戶身分識別碼，且該用戶身分識別碼亦具有該操作請求之權限。因此，處理器110可透過具有該用戶身分識別碼的該工作者來執行該操作請求。
在步驟218中，當執行該操作請求之後，處理器110再次呼叫設定有效用戶模組來將工作者的執行身分重新設回該預設身分，亦即將工作者之有效身分識別碼重新設回上述之預設身分識別碼，以降低工作者的權限。
另一方面，在步驟220中，處理器110呼叫設定用戶模組將上述之工作者的執行身分設為上述之服務專用身分，亦即將該工作者的有效身分識別碼設為上述之服務專用身分識別碼。其中該服務專用身分識別碼係對應 於上述之系統應用程式(於此實施例中為Apache HTTPd伺服器軟體)，且具有該服務專用身分識別碼之該工作者無法提升權限。換言之，該工作者的有效身分識別碼無法更改為根身分識別碼或用戶身分識別碼等權限較高的識別碼。
舉例而言，於該根身分識別碼與該用戶身分識別碼係分別設定於該工作者之暫存身分識別碼與真實身分識別碼的情況下，設定用戶模組將工作者的有效身分識別碼設為上述之服務專用身分識別碼時，可一併將該工作者的暫存身分識別碼與真實身分識別碼一併設為該服務專用身分識別碼。因此，設定用戶模組之後無法再次依據暫存身分識別碼將有效身分識別碼設為根身分識別碼，或者依據真實身分識別碼將有效身分識別碼設為用戶身分識別碼。這只是為了說明的目的而已，並非對本發明之限制。
透過上述第2圖的操作流程，若負責處理系統應用程式之操作請求的工作者經判斷為可以提升權限，則只有在有需要提升權限來執行操作請求時，才會暫時地從預設身分提升權限至系統管理員身分或用戶身分，而在操作請求完成之後，工作者的執行身分便會再次回到預設身分。另一方面，若負責處理系統應用程式之操作請求的工作者經判斷為不可提升權限，則將該工作者之執行身分設為服務專用身分，且具有該服務專用身分之該工作者無法提升權限。因此，依據上述之各個實施例，除了可以有效地處理操作請求之外，更可以全面性地提升系統安全性。
請繼續請參考第2圖，以下將依據第2圖說明本發明之另一實施例之伺服器100的操作流程。如第2圖所示，在步驟200中，當處理器110執行程式碼122，以開啟或是重新啟動上述之Apache HTTPd伺服器軟體時，流程進入步驟202。在步驟202中，處理器110進行認證程序，以根據Apache HTTPd伺服器軟體之設定檔的設定來判斷負責處理Apache HTTPd伺服器軟體之操作請求的工作者是否可以提升權限。以Apache HTTPd伺服器軟體為例，若是設定檔中之執行身分與執行群組分別為上述之預設身分與預設群組，則處理器110便判斷該工作者可以提升權限，流程進入步驟210；反之，若是設定檔中之執行身分與執行群組分別為服務專用身分與服務專用群組，則處理器110便判斷該工作者不可以提升權限，流程進入步驟220。
舉例而言，在Apache HTTPd伺服器軟體之設定檔“httpd.conf”中的執行身分與執行群組具有以下的設定：User system,Group system，則處理器110便判斷負責處理Apache HTTPd伺服器軟體之操作請求的工作者可以提升權限，流程進入步驟210；反之，若是在設定檔“httpd.conf”中的執行身分與執行群組具有以下的設定：User http,Group http，則處理器110便判斷負責處理Apache HTTPd伺服器軟體之操作請求的工作者不可以提升權限，流程進入步驟220。其中system為上述之預設身分與預設群組之一例，http為上述之服務專用身分與服務專用群組之一例，這只是為了說明的目的而已，並非對本發明之限制。
在步驟210中，處理器110執行一設定有效用戶模組來將上述之工作者(worker)的執行身分設為上述之預設身分。亦即，處理器110可將該工作者的有效身分識別碼設為上述之預設身分識別碼(亦即，EUID=1)。此外，處理器110更執行一設定有效群組模組來將上述之工作者(worker)的執行群組設為上述之預設群組。亦即，處理器110可將該工作者的有效群組識別碼設為上述之預設群組識別碼(亦即，EGID=1)。
在步驟212中，負責處理Apache HTTPd伺服器軟體之操作請求的工作者已設定為預設身分與預設群組，其中此預設身分並非系統管理員身 分或使用者的用戶身分，且此預設群組並非系統管理員群組或使用者群組，該工作者之權限是受限的。此外，自步驟212開始，伺服器100可以開始接收來自外部的使用者的操作請求。
當伺服器100接收到來自外部的一操作請求時，若是處理該操作請求之工作者的預設身分識別碼與預設群組識別碼不具有該操作請求之權限，則流程進入步驟214的認證程序；反之，若是處理該操作請求之工作者的預設身分識別碼與預設群組識別碼具有該操作請求之權限，則工作者可直接使用該預設身分與預設群組來執行該操作請求，並將處理結果回傳給外部的使用者。
在步驟214中，處理器110再次檢查工作者目前的執行身分與執行群組，若是符合可提升權限之設定(例如上述之User system、Group system設定)，則呼叫設定有效用戶模組，將該工作者的有效身分識別碼設為上述之特定身分識別碼(例如，EUID=0)同時，處理器110更執行設定有效群組模組，將該工作者的有效群組識別碼設為上述之特定群組識別碼(例如，EGID=0)。於此實施例中，上述之特定身分識別碼與特定群組識別碼可為具有該使用者的操作請求之權限的識別碼，例如該特定身分識別碼與該特定群組識別碼可分別為根身分識別碼與根群組識別碼，且該根身分識別碼與該根群組識別碼具有最高系統管理權限。於其他實施例中，上述之特定身分識別碼與特定群組識別碼可分別為用戶身分識別碼與用戶群組識別碼，且該用戶身分識別碼對應於上述之使用者，該用戶群組識別碼對應於上述之使用者群組，以及該用戶身分識別碼與該用戶群組識別碼係具有使用者之操作請求之權限。
舉例而言，該根身分識別碼與該用戶身分識別碼可分別設定於該工作者之暫存身分識別碼與真實身分識別碼，該根群組識別碼與該用戶群組 識別碼可分別設定於該工作者之一暫存群組識別碼(saved set-group-id，SGID)與一真實群組識別碼(real group id，RGID)。設定有效用戶模組可選擇性地依據暫存身分識別碼將有效身分識別碼設為根身分識別碼，或者依據真實身分識別碼將有效身分識別碼設為用戶身分識別碼。其中，當設定有效用戶模組依據暫存身分識別碼將工作者之有效身分識別碼設為根身分識別碼後，可將暫存身分識別碼設為預設身分識別碼。設定有效群組模組可選擇性地依據暫存群組識別碼將有效群組識別碼設為根群組識別碼，或者依據真實群組識別碼將有效群組識別碼設為用戶群組識別碼。其中，當設定有效群組模組依據暫存群組識別碼將工作者之有效群組識別碼設為根群組識別碼後，可將暫存群組識別碼設為預設群組識別碼。這只是為了說明的目的而已，並非對本發明之限制。
在步驟216中，處理器110係透過具有該特定身分識別碼與該特定群組識別碼的該工作者來執行該操作請求。由於此特定身分識別碼與特定群組識別碼可分別為根身分識別碼與根群組識別碼，且根身分識別碼與根群組識別碼具有該操作請求之權限。因此，該工作者具有權限來執行原本無法執行的操作，例如下載或上傳檔案，或是其他關於系統服務之操作，故在步驟216中工作者便可執行來自外部的該操作請求，並回傳處理結果給外部的使用者。於一實施例中，特定身分識別碼與特定群組識別碼可分別為上述之用戶身分識別碼與用戶群組識別碼，且該用戶身分識別碼與用戶群組識別碼亦具有該操作請求之權限。因此，處理器110可透過具有該用戶身分識別碼與該用戶群組識別碼的該工作者來執行該操作請求。
在步驟218中，當執行該操作請求之後，處理器110再次呼叫設定有效用戶模組來將工作者的執行身分重新設回該預設身分，以及呼叫設定有效群組模組來將工作者的執行群組重新設回該預設群組，以降低工作者的 操作權限。
另一方面，在步驟220中，處理器110呼叫設定用戶模組將上述之工作者的執行身分設為上述之服務專用身分，亦即將該工作者的有效身分識別碼設為上述之服務專用身分識別碼。同時，處理器110更呼叫設定群組模組將上述之工作者的執行群組設為上述之服務專用群組，亦即將該工作者的有效群組識別碼設為上述之服務專用群組識別碼。其中該服務專用身分識別碼與服務專用群組識別碼係分別對應於上述之系統應用程式(於此實施例中為Apache HTTPd伺服器軟體)，且具有該服務專用身分識別碼與服務專用群組識別碼之該工作者無法提升權限。換言之，該工作者的有效身分識別碼無法更改為根身分識別碼或用戶身分識別碼等權限較高的識別碼，且該工作者的有效群組識別碼無法更改為根群組識別碼或用戶群組識別碼等權限較高的識別碼。
舉例而言，於該根群組識別碼與該用戶群組識別碼係分別設定於該工作者之暫存群組識別碼與真實群組識別碼的情況下，設定用戶模組將工作者的有效群組識別碼設為上述之服務專用群組識別碼時，可一併將該工作者的暫存群組識別碼與真實群組識別碼一併設為該服務專用群組識別碼。因此，設定用戶模組之後無法再次依據暫存群組識別碼將有效群組識別碼設為根群組識別碼，或者依據真實群組識別碼將有效群組識別碼設為用戶群組識別碼。這只是為了說明的目的而已，並非對本發明之限制。
實作上，上述之設定用戶模組可使用類Unix(Unix-like)作業系統之setuid()軟體模組實施；上述之設定有效用戶模組可使用類Unix(Unix-like)作業系統之seteuid軟體模組實施；上述之設定群組模組可使用類Unix(Unix-like)作業系統之setgid()軟體模組實施；上述之設定有效群組模組 可使用類Unix(Unix-like)作業系統之setegid軟體模組實施。這只是為了說明的目的而已，並非對本發明之限制。
簡要歸納本發明，在本發明之切換執行身分的方法及相關的伺服器，其可以在有需要的時候才會暫時地提升權限，之後等到操作請求結束後便可以回到原本的預設身分，因此，本發明除了可以有效地處理操作請求之外，更可以全面性地提升系統安全性。
以上所述僅為本發明之較佳實施例，凡依本發明申請專利範圍所做之均等變化與修飾，皆應屬本發明之涵蓋範圍。

Claims (14)

  1. 一種伺服器，包含一處理器以及一儲存單元，該儲存單元儲存一程式碼，其中當該處理器執行該程式碼時，會執行以下步驟：當接收到來自該伺服器外的一操作請求時，在處理該操作請求之一工作者(worker)的一有效身分識別碼設為一預設身分識別碼的情況下，若是該預設身分識別碼不具有該操作請求之權限，則將該有效身分識別碼設為一特定身分識別碼，並透過具有該特定身分識別碼的該工作者來執行該操作請求，其中該特定身分識別碼具有執行該操作請求之權限；以及當執行該操作請求之後，將該有效身分識別碼重新設回該預設身分識別碼；其中該工作者係對應於一系統應用程式，而當該處理器執行該程式碼時，另執行以下步驟：當該伺服器開啟或是重新啟動該系統應用程式時，根據該系統應用程式之一設定檔來判斷該工作者是否可以提升權限(privileged)；當該工作者可以提升權限時，將該有效身分識別碼設為該預設身分識別碼；以及當該工作者不可以提升權限時，將該有效身分識別碼設為一服務專用身分識別碼，其中該服務專用身分識別碼係對應於該系統應用程式，且具有該服務專用身分識別碼之該工作者無法提升權限。
  2. 如申請專利範圍第1項所述之伺服器，其中該特定身分識別碼為一根身分識別碼，且該根身分識別碼具有最高系統管理權限。
  3. 如申請專利範圍第1項所述之伺服器，其中該特定身分識別碼為一用戶 身分識別碼，且該用戶身分識別碼對應於一使用者以及具有該操作請求之權限。
  4. 如申請專利範圍第1項所述之伺服器，其中當該處理器執行該程式碼時，執行當該伺服器開啟或是重新啟動該系統應用程式時，根據該系統應用程式之該設定檔來判斷該工作者是否可以提升權限之步驟更包含以下步驟：當該工作者可以提升權限時，將該工作者的一有效群組識別碼設為一預設群組識別碼，其中該特定群組識別碼具有執行該操作請求之權限；以及當該工作者不可以提升權限時，將該有效群組識別碼設為一服務專用群組識別碼，其中該服務專用群組識別碼係對應於該系統應用程式，且具有該服務專用群組識別碼之該工作者無法提升權限。
  5. 如申請專利範圍第1項所述之伺服器，其中當該處理器執行該程式碼時，執行當接收到來自該伺服器外的該操作請求時，在處理該操作請求之該工作者的該有效身分識別碼設為該預設身分識別碼的情況下，若是該預設身分識別碼不具有該操作請求之權限，則將該有效身分識別碼設為該特定身分識別碼之步驟更包含，在處理該操作請求之該工作者的一有效群組識別碼設為一預設群組識別碼的情況下，若是該預設群組識別碼不具有該操作請求之權限，則將該有效群組識別碼設為一特定群組識別碼，且該處理器更執行以下步驟：透過具有該特定群組識別碼的該工作者來執行該操作請求，其中該特定群組識別碼具有執行該操作請求之權限；以及當執行該操作請求之後，將該工作者之該有效群組識別碼重新設回該預設群組識別碼。
  6. 如申請專利範圍第5項所述之伺服器，其中該特定群組識別碼為一根群組識別碼，其中該根群組識別碼具有最高系統管理權限。
  7. 如申請專利範圍第5項所述之伺服器，其中該特定群組識別碼為一用戶群組識別碼，且該用戶群組識別碼對應於一使用者以及具有該操作請求之權限。
  8. 一種切換執行身分的方法，其中該方法係應用在一伺服器中，且該方法包含有：當接收到來自該伺服器外的一操作請求時，在處理該操作請求之一工作者(worker)的一有效身分識別碼設為一預設身分識別碼的情況下，若是該預設身分識別碼不具有該操作請求之權限，則將該身分識別碼設為一特定身分識別碼，並透過具有該特定身分識別碼的該工作者來執行該操作請求，其中該特定身分識別碼具有執行該操作請求之權限；以及當執行該操作請求之後，將該有效身分識別碼重新設回該預設身分識別碼；其中該工作者係對應於一系統應用程式，且該方法更包含以下步驟：當該伺服器開啟或是重新啟動該系統應用程式時，根據該系統應用程式之一設定檔來判斷該工作者是否可以提升權限(privileged)；當該工作者可以提升權限時，將該有效身分識別碼設為該預設身分識別碼；以及當該工作者不可以提升權限時，將該有效身分識別碼設為一服務專用身分識別碼，其中該服務專用身分識別碼係對應於該系統應用程式，且具有該服務專用身分識別碼之該工作者無法提升權限。
  9. 如申請專利範圍第8項所述之方法，其中該特定身分識別碼為一根身分識別碼，其中該根身分識別碼具有最高系統管理權限。
  10. 如申請專利範圍第8項所述之方法，其中該特定身分識別碼為一用戶身分識別碼，且該用戶身分識別碼對應於一使用者以及具有該操作請求之權限。
  11. 如申請專利範圍第10項所述之方法，其中當該伺服器開啟或是重新啟動該系統應用程式時，根據該系統應用程式之該設定檔來判斷該工作者是否可以提升權限之步驟更包含以下步驟：當該工作者可以提升權限時，將該工作者的一有效群組識別碼設為一預設群組識別碼，其中該特定群組識別碼具有執行該操作請求之權限；以及當該工作者不可以提升權限時，將該有效群組識別碼設為一服務專用群組識別碼，其中該服務專用群組識別碼係對應於該系統應用程式，且具有該服務專用群組識別碼之該工作者無法提升權限。
  12. 如申請專利範圍第8項所述之方法，其中當接收到來自該伺服器外的該操作請求時，在處理該操作請求之該工作者的該有效身分識別碼設為該預設身分識別碼的情況下，若是該預設身分識別碼不具有該操作請求之權限，則將該有效身分識別碼設為該特定身分識別碼之步驟更包含，在處理該操作請求之該工作者的一有效群組識別碼設為一預設群組識別碼的情況下，若是該預設群組識別碼不具有該操作請求之權限，則將該有效群組識別碼設為一特定群組識別碼，且該方法更包含以下步驟：透過具有該特定群組識別碼的該工作者來執行該操作請求，其中該特定 群組識別碼具有執行該操作請求之權限；以及當執行該操作請求之後，將該工作者之該有效群組識別碼重新設回該預設群組識別碼。
  13. 如申請專利範圍第12項所述之方法，其中該特定群組識別碼為一根群組識別碼，其中該根群組識別碼具有最高系統管理權限。
  14. 如申請專利範圍第12項所述之方法，其中該特定群組識別碼為一用戶群組識別碼，且該用戶群組識別碼對應於一使用者以及具有該操作請求之權限。
TW104110712A 2015-04-01 2015-04-01 切換執行身分的方法及相關的伺服器 TWI621961B (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
TW104110712A TWI621961B (zh) 2015-04-01 2015-04-01 切換執行身分的方法及相關的伺服器
CN201610003942.4A CN106059989B (zh) 2015-04-01 2016-01-04 一种服务器以及切换执行身份的方法
US15/005,020 US9942241B2 (en) 2015-04-01 2016-01-25 Identity switching method and associated server for improving system security
EP16161327.8A EP3079096A1 (en) 2015-04-01 2016-03-21 Identity switching method and associated server for improving system security

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
TW104110712A TWI621961B (zh) 2015-04-01 2015-04-01 切換執行身分的方法及相關的伺服器

Publications (2)

Publication Number Publication Date
TW201636890A TW201636890A (zh) 2016-10-16
TWI621961B true TWI621961B (zh) 2018-04-21

Family

ID=55589696

Family Applications (1)

Application Number Title Priority Date Filing Date
TW104110712A TWI621961B (zh) 2015-04-01 2015-04-01 切換執行身分的方法及相關的伺服器

Country Status (4)

Country Link
US (1) US9942241B2 (zh)
EP (1) EP3079096A1 (zh)
CN (1) CN106059989B (zh)
TW (1) TWI621961B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019107314A1 (ja) * 2017-11-30 2019-06-06 株式会社アドテクニカ 情報処理装置、情報処理方法、情報処理システム及びプログラム

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060265597A1 (en) * 2005-05-19 2006-11-23 Carey Jon M Secure systems management

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6308275B1 (en) * 1998-07-10 2001-10-23 At Home Corporation Web host providing for secure execution of CGI programs and method of doing the same
US20020078365A1 (en) * 2000-12-15 2002-06-20 International Business Machines Corporation Method for securely enabling an application to impersonate another user in an external authorization manager
US7617530B2 (en) * 2005-04-22 2009-11-10 Microsoft Corporation Rights elevator
TWI389534B (zh) 2007-09-26 2013-03-11 Via Tech Inc 單一登錄系統與方法及其電腦可讀取媒體
TW200941996A (en) 2008-03-20 2009-10-01 Univ Chaoyang Technology Using mobile device to construct a secure E-DRM method
CN102769602A (zh) * 2011-05-03 2012-11-07 ***通信集团山东有限公司 一种临时权限控制方法、***及装置
CN102567675B (zh) * 2012-02-15 2015-09-30 合一网络技术(北京)有限公司 一种业务***下的用户权限管理方法和***
TWI456427B (zh) 2012-12-12 2014-10-11 Inst Information Industry 進行授權管理之主要管理裝置、代理管理裝置、電子裝置及其授權管理方法

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060265597A1 (en) * 2005-05-19 2006-11-23 Carey Jon M Secure systems management

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
２、「Linux 帳號與身份管理」網路文章、最近更新日：2003年2月10日、網址：http://linux.vbird.org/linux_basic/0410accountmanager/0410accountmanager.php *
２、「Linux 帳號與身份管理」網路文章、最近更新日：2003年2月10日、網址：http://linux.vbird.org/linux_basic/0410accountmanager/0410accountmanager.php。

Also Published As

Publication number Publication date
CN106059989B (zh) 2019-04-02
US20160294841A1 (en) 2016-10-06
CN106059989A (zh) 2016-10-26
US9942241B2 (en) 2018-04-10
EP3079096A1 (en) 2016-10-12
TW201636890A (zh) 2016-10-16

Similar Documents

Publication Publication Date Title
AU2019246872B2 (en) Tiered connection pooling methods, systems and computer readable storage media
CN107534652B (zh) 对基于云的服务的安全访问方法、***和计算机可读介质
CN109586969B (zh) 内容分发网络容灾方法、装置、计算机设备及存储介质
JP5881687B2 (ja) オープン・アプリケーション・プログラミング・インターフェースに基づくオンライン・ビジネス法、システム、並びに、装置
US10320771B2 (en) Single sign-on framework for browser-based applications and native applications
CN109815684B (zh) 一种身份认证方法、***及服务器和存储介质
WO2014082555A1 (zh) 登录方法、装置及开放平台***
JP6572750B2 (ja) 認証制御プログラム、認証制御装置、及び認証制御方法
CN105721479A (zh) 一种网址过滤方法及装置
US10425421B2 (en) Authorization server, control method, and storage medium
US11151239B2 (en) Single sign-on management for multiple independent identity providers
US8959609B1 (en) Out-of-app based partner aware user authentication
KR20140112643A (ko) 이종 서비스 간 서비스 제공 방법과 사용자 단말 및 웹 서버
TWI621961B (zh) 切換執行身分的方法及相關的伺服器
CN113051035A (zh) 一种远程控制方法、装置、***及宿主机
CN111786932B (zh) 账号登录方法、装置、电子设备及计算机存储介质
CN107634969B (zh) 数据交互方法及装置
CN112597118B (zh) 一种共享文件的添加方法及装置
CN111193776B (zh) 云桌面环境下客户端自动登录方法、装置、设备和介质
KR20140121571A (ko) 통합 인증 시스템, 그의 통합 인증 방법 및 이를 위한 장치
JP2021140821A (ja) 画面制御装置及び画面制御方法
CN108737331B (zh) 跨域通信方法及跨域通信***
JP2015176156A (ja) システムおよび情報処理装置
TWI516974B (zh) 訊息溝通系統及其操作方法
US11792288B2 (en) Wireless network device with directional communication functionality

Legal Events

Date Code Title Description
MM4A Annulment or lapse of patent due to non-payment of fees