test

Neuerungen im Betriebssystem Solaris 10

Verbesserte Sicherheitsfunktionen

In diesem Abschnitt werden alle neuen oder überarbeiteten Sicherheitsfunktionen in Solaris 10 3/05 gegenüber der im Mai 2002 veröffentlichten Version Solaris 9 dargestellt. Process Rights Management und·Softwaregruppe mit eingeschränkter Netzwerkunterstützung spielen eine besonders wichtige Rolle. Welche Sicherheitsverbesserungen mit Solaris 10 7/05 eingeführt wurden, können Sie unter Verbesserte Sicherheitsfunktionen nachlesen.

Zusätzlich zu den hier dargestellten Sicherheitsleistungsmerkmalen stehen Ihnen in den Abschnitten über Entwicklungstools und die Installation folgende Beschreibungen sicherheitsrelevanter Leistungsmerkmale zur Verfügung:

Signieren von ELF-Objekten

Dieses Leistungsmerkmal wurde mit Solaris 10 3/05 eingeführt.

Die Bibliotheken und ausführbaren Dateien in Solaris 10 können digitale Signaturen aufnehmen, die zur Überprüfung der Integrität dieser Dateien eingesetzt werden können. Eine digitale Signatur bietet eine Möglichkeit, versehentliche Änderungen oder unsachgemäße Eingriffe im ausführbaren Inhalt einer Datei zu erkennen.

Plugins für das Solaris Cryptographic Framework werden beim Laden des Systems automatisch überprüft. Der Befehl elfsign kann zur manuellen Überprüfung einer signierten Datei verwendet werden. Des Weiteren können Entwickler und Administratoren ihren eigenen Code mit dem Befehl elfsign signieren.

Weitere Informationen entnehmen Sie bitte der Manpage elfsign(1).

Process Rights Management

Dieses Leistungsmerkmal wurde mit dem Software Express-Pilotprogramm eingeführt. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten.

Administrationsvorgänge unter Solaris, für die zuvor Superuser-Rechte erforderlich waren, werden nun durch die Prozessrechteverwaltung geschützt. Bei der Prozessrechteverwaltung werden Prozesse auf Befehls-, Benutzer-, Rollen- oder Systemebene anhand von Berechtigungen beschränkt. Eine Berechtigung (engl. privilege) ist ein einzelnes Recht, das ein Prozess zum Durchführen eines Vorgangs benötigt. Das System beschränkt die Prozesse auf genau die Berechtigungen, die für den aktuellen Vorgang erforderlich sind. Es sind also weniger root-Prozesse dem Risiko der Ausnutzung ausgesetzt. Die setuid-Programme wurden stark dezimiert.

Hinsichtlich der Berechtigungsverbesserungen sind Software Express und Solaris 10 3/05 in der Standardinstallation vollständig mit vorherigen Versionen des Betriebssystems Solaris kompatibel. Unveränderte Programme, die als root ausgeführt werden, laufen mit sämtlichen Berechtigungen.

Geräteschutz – Die Geräte sind durch eine Sicherheitsrichtlinie geschützt. Diese Richtlinie wird anhand von Berechtigungen umgesetzt. Die Fähigkeiten eines Geräts hängen also nicht ausschließlich von den Zugriffsrechten in der Gerätedatei ab. Unter Umständen werden für den Betrieb des Geräts auch Berechtigungen benötigt.

Zuvor durch UNIX-Zugriffsrechte geschützte Systemschnittstellen werden nun durch Berechtigungen geschützt. So dürfen beispielsweise Elemente der Gruppe sys nicht mehr automatisch das Gerät /dev/ip öffnen. Prozesse, die mit der Berechtigung net_rawaccess laufen, können auf das Gerät /dev/ip zugreifen. Beim Booten des Systems bleibt der Zugriff auf sämtliche Geräte so lange beschränkt, bis der Befehl devfsadm in der Boot-Sequenz ausgeführt wird. Die Anfangsrichtlinie ist so strikt wie möglich gehalten. Sie lässt keine Verbindungsherstellungen außer durch den Superuser zu.

Weitere Informationen entnehmen Sie bitte den folgenden Man Pages:

Es wird empfohlen, dass Prozesse, die Solaris IP-MIB-Informationen abrufen müssen, /dev/arp öffnen und die Module “tcp” und “udp” anstoßen (push). Hierfür werden keine Berechtigungen benötigt. Dieses Vorgehen hat dieselbe Wirkung wie das Öffnen von /dev/ip und Anstoßen der Module “arp”, “tcp” und “udp”. Da zum Öffnen von /dev/ip nun eine Berechtigung benötigt wird, ist der Weg über /dev/arp vorzuziehen.

Weitere Informationen entnehmen Sie bitte den folgenden Abschnitten im Dokument System Administration Guide: Security Services :

Änderungen an PAM für die Version Solaris 10

Ein neues pam_deny-Modul wurde mit dem Software Express-Pilotprogramm eingeführt und in Software Express 6/04 verbessert. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten. Das Modul kann zur Verweigerung des Zugriffs auf benannte PAM-Dienste verwendet werden. Das Modul pam_deny wird standardmäßig nicht eingesetzt. Weitere Informationen entnehmen Sie bitte der Manpage pam_deny(5) man page.

Solaris 10 weist die folgenden Änderungen an der PAM-Struktur auf.

Änderungen in pam_ldap

Mit Ausnahme der Account Management-Funktion wurden mit Software Express 10/04 die folgenden Änderungen an pam_ldap eingeführt. Diese Verwaltungsfunktion wurde mit dem Software Express-Pilotprogramm sowie Solaris 9 12/02 eingeführt. Weitere Informationen zu diesen Änderungen entnehmen Sie bitte der Man Page pam_ldap(5).

Hinweis –

Eine saubere, automatisierte Aktualisierung kann für die Änderungen in der vorigen Liste nicht angeboten werden. Folglich kann eine Aktualisierung auf Solaris 10 oder eine neuere Version die vorhandene Datei pam.conf nicht automatisch aktualisieren, um die Änderungen an pam_ldap widerzuspiegeln. Sollte die vorhandene pam.conf-Datei eine pam_ldap-Konfiguration enthält, werden Sie von der CLEANUP-Datei nach der Aktualisierung informiert. Prüfen Sie die Datei pam.conf und nehmen Sie, falls erforderlich, Änderungen vor.

Weitere Informationen entnehmen Sie bitte den folgenden Man Pages:

Weitere Informationen zu den Namen- und Verzeichnis-Services von Solaris finden Sie im Dokument System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP) . Informationen über die Sicherheitsfunktionen von Solaris finden Sie im Dokument System Administration Guide: Security Services .

Verbesserungen an der Solaris Secure Shell

Die Beschreibung dieser Leistungsmerkmals wurde mit Software Express 10/04 eingeführt.

Mit Solaris 10 wurden die folgenden Verbesserungen an der Solaris Secure Shell eingeführt:

Weitere Informationen zur Sicherheit im Betriebssystem Solaris 10 entnehmen Sie bitte dem Dokument System Administration Guide: Security Services .

OpenSSL- und OpenSSL PKCS#11-Modul

Diese Verbesserungen wurden mit Software Express 8/04 eingeführt.

Diese Version des Betriebssystems Solaris enthält die OpenSSL-Bibliotheken und -Befehle in /usr/sfw.

Außerdem umfasst sie eine OpenSSL-Modulschnittstelle zu PKCS#11. Jetzt können OpenSSL-Nutzer auf die Hardware und Software Cryptographic Provider aus Solaris Cryptographic Framework zugreifen.

Hinweis –

Aufgrund der kryptografischen Importbeschränkungen in einigen Ländern sind die symmetric key cryptographic-Algorithmen auf 128–Bit beschränkt, sofern das SUNWcry-Package nicht installiert ist. Das SUNWcry-Package ist in der Solaris-Software nicht enthalten. Es ist jedoch als ein separater Download erhältlich.

sshd Dämon und /etc/default/login

Dieses Leistungsmerkmal wurde mit Software Express 10/04 eingeführt.

Der sshd-Dämon verwendet die Variablen in /etc/default/login und den Befehl login. Die Variablen in etc/default/login können durch Werte in der Datei sshd_config überschrieben werden.

Weitere Informationen finden Sie unter „Solaris Secure Shell and Login Environment Variables“ im Dokument System Administration Guide: Security Services . Weitere Informationen entnehmen Sie bitte der Manpage sshd_config(4).

Neue Passwortoptionen für Nonlogin- und gesperrte Konten

Dieses Leistungsmerkmal wurde mit Software Express 10/04 eingeführt.

Der Befehl passwd wurde um die beiden Optionen -N und - u erweitert. Mit der Option -N wird ein Passworteintrag für ein Nonlogin-Konto erstellt. Diese Option eignet sich speziell für Konten, bei denen keine Anmeldung stattfinden soll, über die aber die Ausführung von cron-Jobs möglich sein muss. Die Option -u gibt ein zuvor gesperrtes Konto wieder frei.

Weitere Informationen entnehmen Sie bitte der Manpage passwd(1).

Option -setcond für den Befehl auditconfig wurde entfernt

Dieses Leistungsmerkmal wurde mit Software Express 10/04 eingeführt.

Die Option -setcond für den Befehl auditconfig wurde entfernt. Verwenden Sie den Befehl audit - t, um die Prüfungen vorübergehend zu deaktivieren. Mit dem Befehl audit - s starten Sie die Prüfungen neu.

Prüfrichtlinie perzone

Diese Verbesserungen wurden mit Software Express 8/04 eingeführt.

Mit der Prüfrichtlinie perzone können nicht-globale Zonen einzeln geprüft werden. Dabei wird in jeder Zone ein separater Prüf-Dämon ausgeführt. Der Dämon verwendet speziell für die Zone geltende Prüfkonfigurationsdateien. Auch die Prüfwarteschlange gilt speziell für die Zone. In der Standardeinstellung ist die Richtlinie deaktiviert.

Weitere Informationen entnehmen Sie bitte den Man Pages auditd(1M) und auditconfig(1M).

Kerberos-Verbesserungen

Diese Kerberos-Verbesserungen sind in Solaris 10 enthalten. Einige Verbesserungen wurden bereits mit früheren Software Express-Versionen eingeführt.

TCP Wrapper für rpcbind

Dieses Leistungsmerkmal wurde mit Solaris Express 4/04 eingeführt.

Der Befehl rpcbind wurde um Unterstützung für TCP-Wrapper erweitert. Durch diese Unterstützung können Administratoren rpcbind -Aufrufe auf ausgewählte Hosts beschränken. Darüber hinaus lassen sich sämtliche rpcbind-Aufrufe in einem Protokoll verzeichnen.

Weitere Informationen entnehmen Sie bitte der Manpage rpcbind(1M).

Prüf-Token und Prüfrichtlinienoption zonename

Die Partionierungstechnologie Solaris Zones wurde mit Software Express 2/04 eingeführt. Lesen Sie auch Software-Partitionierungstechnologie Solaris Zones. Auch die hier beschriebenen Verbesserungen an zonename wurden mit Software Express 2/04 eingeführt.

Das Prüf-Token zonename verzeichnet den Namen der Zone, in der ein Prüfereignis stattgefunden hat. Mit der Prüfrichtlinienoption zonename audit policy wird für alle Zonen festgelegt, ob das Token zonename in die Prüfdatensätze aufzunehmen ist. Wenn sich die Kriterien für die Prüfklassenvorauswahl zwischen verschiedenen nicht-globalen Zonen unterscheiden, sollten Sie die Prüfdatensätze nach einzelnen Zonen analysieren. Die Prüfrichtlinie zonename ermöglicht es, Prüfdatensätze je Zone nachträglich auszuwählen.

Weitere Informationen finden Sie unter “Auditing and Solaris Zones” im Dokument System Administration Guide: Security Services .

Weitere Informationen entnehmen Sie bitte den Manpages audit.log(4), auditconfig(1M) und auditreduce(1M). Weitere Informationen finden Sie unter “Using Solaris Auditing in Zones” im Dokument Systemverwaltungshandbuch: Solaris Container – Ressourcenverwaltung und Solaris Zones.

Benutzerbefehle für Solaris Cryptographic Framework

Dieses Leistungsmerkmal wurde mit Software Express 1/04 eingeführt.

Die Befehle digest, mac und encrypt bieten jetzt eine Option zum Auflisten der für jeden Befehl verfügbaren Algorithmen. Bei den Befehlen mac und encrypt ist in der Ausgabe die von den einzelnen Algorithmen zugelassene Schlüssellänge enthalten. Darüber hinaus wurde die Option - I <IV-file> der Befehle encrypt und decrypt entfernt.

Weitere Informationen finden Sie in Kapitel 14 unter “Solaris Cryptographic Framework (Tasks)” und “Protecting Files With the Solaris Cryptographic Framework” im Dokument System Administration Guide: Security Services .

Nähere Informationen entnehmen Sie bitte den Man Pages encrypt(1), digest(1) und mac(1).

IKE-Konfigurationsparameter

Dieses Leistungsmerkmal wurde mit Software Express 1/04 eingeführt.

Zur Datei /etc/inet/ike/config wurden Parameter für die wiederholte Übertragung und für Datenpaket-Zeitüberschreitungen hinzugefügt. Mit diesen Parametern können Administratoren die IKE Phase 1 (Main Mode)-Aushandlung einstellen. Diese Einstellung ermöglicht Solaris IKE die direkte Kommunikation mit Plattformen, die eine andere Implementierung des IKE-Protokolls verwenden. Außerdem können Administratoren diese Parameter zur Anpassung an Netzwerkinterferenzen und hohes Datenaufkommen im Netzwerk verwenden.

Eine ausführliche Beschreibung der Parameter entnehmen Sie bitte der Manpage ike.config(4).

Simple Authentication and Security Layer

Dieses Leistungsmerkmal wurde mit Software Express 12/03 eingeführt.

Mit SASL stehen Entwicklern von Anwendungen und gemeinsam genutzten Bibliotheken Schnittstellen zur Verfügung, mit denen sie eine Authentifizierung und Datenintegritätsprüfungen sowie eine Verschlüsselung für verbindungsbasierte Protokolle bereitstellen können.

Weitere Informationen finden Sie unter SASL (Simple Authentication and Security Layer) für Entwickler.

Siehe auch Kapitel 17, “Using SASL”, im Dokument System Administration Guide: Security Services .

Ausgabe der Prüfzeit im ISO 8601-Format

Dieses Leistungsmerkmal wurde mit Software Express 12/03 eingeführt.

Die Datei- und Header-Token in Prüfdatensätzen geben die Zeit nun im ISO 8601-Format an. Dieses Beispiel zeigt eine Ausgabe des Befehls praudit für das Datei-Token:

Altes Datei-Token:

file,Mon Oct  13 11:21:35 PDT 2003, + 506 msec,
/var/audit/20031013175058.20031013182135.machine1
Neues Datei-Token:

file,2003-10-13 11:21:35.506 -07:00,
/var/audit/20031013175058.20031013182135.machine1
Altes Header-Token:

header,173,2,settppriv(2),,machine1,
Mon Oct 13 11:23:31 PDT 2003, + 50 msec
Neues Header-Token:

header,173,2,settppriv(2),,machine1,
2003-10-13 11:23:31.050 -07:00

Auch die XML-Ausgabe hat sich geändert. So ist beispielsweise das Datei-Token in der Ausgabe des Befehls praudit -x folgendermaßen formatiert:


<file iso8601="2003-10-13 11:21:35.506 -07:00">
/var/audit/20031013175058.20031013182135.machine1</file>

Zur Anpassung an diese Änderung kann es erforderlich sein, Skripten oder Tools, die mit der Ausgabe von praudit arbeiten, zu aktualisieren.

Weitere Informationen finden Sie in Kapitel 27 unter “Solaris Auditing (Overview)” und “Changes to Solaris Auditing for the Solaris 10 Release” im Dokument System Administration Guide: Security Services .

Basic Audit and Reporting Tool

Dieses Leistungsmerkmal wurde mit Software Express 11/03 eingeführt.

Das Befehlszeilendienstprogramm Basic Audit and Reporting Tool (BART) ermöglicht es OEMs, erfahrenen Benutzern sowie Systemadministratoren, den Softwareinhalt eines Zielsystems auf Dateibasis zu überprüfen. Das Dienstprogramm eignet sich zum Abrufen von Informationen über die auf einem System installierte Software. Außerdem können Sie mit BART installierte Systeme oder den Inhalt eines Systems zu verschiedenen Zeitpunkten vergleichen.

Weitere Informationen finden Sie in Kapitel 5, “Using the Basic Audit Reporting Tool (Tasks)”, im Dokument System Administration Guide: Security Services .

Weitere Informationen entnehmen Sie bitte den Manpages bart_manifest(4), bart_rules(4) und bart(1M).

IPsec und Solaris Cryptographic Framework

Dieses Leistungsmerkmal wurde mit Software Express 9/03 eingeführt.

IPsec nutzt anstatt der eigenen Verschlüsselungs- und Authentifizierungsmodule das Solaris Cryptographic Framework. Die Module sind für die SPARC-Plattform optimiert. Darüber hinaus stehen das neue Befehlszeilendienstprogramm ipsecalgs sowie APIs zum Abfragen der Liste unterstützter IPsec-Algorithmen und anderer IPsec-Eigenschaften zur Verfügung.

Weitere Informationen entnehmen Sie bitte der Manpage ipsecalgs(1M).

Weitere Informationen finden Sie im Dokument Systemverwaltungshandbuch: IP Services, in Kapitel 18 unter “IP Security Architecture (Overview)” und “Authentication and Encryption Algorithms in IPsec.”

Solaris Cryptographic Framework für Systemadministratoren

Dieses Leistungsmerkmal wurde mit dem Software Express-Pilotprogramm eingeführt. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten.

Solaris Cryptographic Framework stellt Anwendungen in der Solaris-Umgebung verschiedene Kryptographiedienste zur Verfügung. Dabei legt der Systemadministrator mit dem Befehl cryptoadm fest, welche Verschlüsselungsalgorithmen verwendet werden dürfen. Der Befehl cryptoadm ermöglicht folgende Vorgänge:

Die Struktur umfasst Plugins für die Algorithmen AES, DES/3DES, RC4, MD5, SHA-1, DSA, RSA und Diffie-Hellmans. Es können nach Bedarf Plugins hinzugefügt oder entfernt werden.

Die Befehle encrypt, decrypt, digest und mac arbeiten mit Verschlüsselungsalgorithmen dieser Struktur.

Weitere Informationen hierzu finden Sie in Kapitel 13, “Solaris Cryptographic Framework (Overview)”, im Dokument System Administration Guide: Security Services .

Siehe auch die folgenden Manpages:

Entferntes Prüfprotokoll

Dieses Leistungsmerkmal wurde mit dem Software Express-Pilotprogramm eingeführt. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten.

In den Solaris-Versionen können Sie Prüfereignisse nicht nur im binären Prüfprotokoll, sondern auch in syslog aufzeichnen lassen.

Durch die Generierung von syslog-Daten haben Sie die Möglichkeit, die in zahlreichen Solaris- und anderen Umgebungen (einschließlich Workstation, Server, Firewall und Router) für syslog-Meldungen verfügbaren Verwaltungs- und Analysetools zu verwenden. Indem Sie Prüfmeldungen mit syslog.conf an entfernte Speicherpositionen leiten, schützen Sie Protokolldaten vor der Manipulation oder gar dem Löschen durch Angreifer. Die syslog-Option bietet jedoch lediglich eine Zusammenfassung der Informationen im Prüfdatensatz. Außerdem ist zu bedenken, dass auf einem entfernten System gespeicherte syslog-Daten potenziell durch Netzwerkangriffe wie Denial-of-Service-Angriffe oder falsche Quelladressen gefährdet sind.

Weitere Informationen hierzu finden Sie in Kapitel 27 unter “Solaris Auditing (Overview)” und “Audit Files” im Dokument System Administration Guide: Security Services .

Siehe auch die folgenden Manpages:

Verbesserungen des FTP-Servers

Dieses Leistungsmerkmal wurde mit dem Software Express-Pilotprogramm eingeführt. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten.

Der FTP-Server wurde hinsichtlich der Skalierbarkeit und der Übertragungsprotokollierung verbessert:

Der FTP-Client und der FTP-Server unterstützen jetzt Kerberos. Weitere Informationen finden Sie in der Man Page ftp(4) und in “Kerberos User Commands” im Dokument System Administration Guide: Security Services.

Des Weiteren bieten ftpcount und ftpwho jetzt Unterstützung für die Option -v. Diese zeigt Benutzerzähler und Prozessinformationen für FTP-Serverklassen an, die in ftpaccess-Dateien für virtuelle Hosts definiert sind.

Weitere Informationen zu diesen Änderungen finden Sie in den folgenden Man Pages:

FTP-Client

Dieses Leistungsmerkmal wurde mit dem Software Express-Pilotprogramm eingeführt. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten.

Der FTP-Client in der Solaris-Software wurde geändert. Ein mit einem Solaris FTP-Server verbundener Solaris FTP-Client listet bei Ausführung des Befehls ls standardmäßig sowohl Verzeichnisse als auch einfache Dateien auf. Wenn der FTP-Server im Betriebssystem Solaris nicht ausgeführt wird, erfolgt möglicherweise keine Auflistung von Verzeichnissen.

Damit das Solaris-Standardverhalten für die Verbindung zu anderen als zu Solaris-FTP-Servern hergestellt werden kann, besteht die Möglichkeit, die Datei /etc/default/ftp auf den einzelnen Solaris-Clients zu bearbeiten. Für einzelne Benutzer lässt sich die Änderung mithilfe der Umgebungsvariablen FTP_LS_SENDS_NLST vornehmen.

Weitere Informationen entnehmen Sie bitte der Man Page ftp(4).

Der FTP-Client und der FTP-Server unterstützen jetzt Kerberos. Weitere Informationen finden Sie in der Man Page ftp(4) und in “Kerberos User Commands” im Dokument System Administration Guide: Security Services.

Internet Key Exchange (IKE)-Schlüsselspeicherung auf der Sun Crypto Accelerator 4000-Karte

Diese Funktion wurde mit dem Software Express-Pilotprogramm sowie Solaris 9 12/03 eingeführt. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten.

IKE kann nun sowohl in IPv6- als auch in IPv4-Netzwerken eingesetzt werden. Informationen zu Schlüsselwörtern, die nur für die IPv6-Implementierung gelten, finden Sie in den Man Pages ifconfig(1M) und ike.config(4).

Ist eine Sun Crypto Accelerator 4000-Karte angeschlossen, können rechenintensive Operationen durch IKE auf diese Karte ausgelagert werden. Das Betriebssystem wird dadurch für andere Vorgänge verfügbar. Außerdem kann IKE auf dieser Karte öffentliche und private Schlüssel sowie öffentliche Zertifikate speichern. Die Speicherung von Schlüsseln auf separater Hardware stellt eine zusätzliche Sicherheit dar.

Weitere Informationen entnehmen Sie bitte der Manpage ikecert(1M).

Lesen Sie auch die folgenden Abschnitte im Dokument Systemverwaltungshandbuch: IP Services:

IKE-Hardwarebeschleunigung

Diese Funktion wurde mit dem Software Express-Pilotprogramm sowie Solaris 9 4/03 eingeführt. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten.

Vorgänge mit öffentlichen Schlüsseln (public keys) im Rahmen von IKE lassen sich mit Karten vom Typ Sun Crypto Accelerator 1000 und Sun Crypto Accelerator 4000 beschleunigen. Die Abwicklung der Operationen wird ganz der Karte überlassen. Diese Übernahme bewirkt eine schnellere Verschlüsselung und eine Entlastung der Betriebssystemressourcen.

Informationen zu IKE finden Sie in folgenden Abschnitten des Dokuments Systemverwaltungshandbuch: IP Services:

Verbesserung von ipseckey

Dieses Leistungsmerkmal wurde mit dem Software Express-Pilotprogramm eingeführt. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten.

Netzwerkadministratoren, auf deren Systemen IPsec oder IKE installiert ist, erhalten mit dem ipseckey-Parser verständlichere Hilfe. Der Befehl ipseckey monitor versieht jetzt jedes Ereignis mit einem Zeitstempel.

Weitere Informationen entnehmen Sie bitte der Man Page ipseckey(1M).

Übertragung von Berechtigungsnachweisen über Loopback-Verbindungen

Dieses Leistungsmerkmal wurde mit dem Software Express-Pilotprogramm eingeführt. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten.

Eine Neuerung dieser Solaris-Version besteht in der abstrakten Darstellung der Berechtigungsnachweise eines Prozesses durch ucred_t *. Diese Berechtigungsnachweise lassen sich durch Verwendung von door_ucred() in Tor-Servern und getpeerucred () für Loopback-Verbindungen abrufen. Die Berechtigungsnachweise können mit recvmsg() empfangen werden.

Weitere Informationen entnehmen Sie bitte der Man Page socket.h(3HEAD).

Header-Token für Prüfungen enthält Host-Angabe

Dieses Leistungsmerkmal wurde mit dem Software Express-Pilotprogramm eingeführt. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten.

Das Header-Token in Prüfdatensätzen wurde um die Angabe der Hostnamen erweitert.

Dies ist die Anzeige des alten Haeders:


header,131,4,login - local,,Wed Dec 11 14:23:54 2002, + 471 msec

Der neue, erweiterte Header zeigt folgende Informationen an:


header,162,4,login - local,,example-hostname,
Fri Mar 07 22:27:49 2003, + 770 msec

Zur Anpassung an diese Änderung kann es erforderlich sein, angepasste Skripten oder Tools, die mit der Ausgabe von praudit arbeiten, zu aktualisieren.

Weitere Informationen finden Sie in Kapitel 30 unter “Solaris Auditing (Reference)” und “header Token” im System Administration Guide: Security Services.

Verbesserungen der Prüffunktionen

Diese Funktion wurde mit dem Software Express-Pilotprogramm sowie Solaris 9 8/03 eingeführt. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten.

Die Verbesserungen der Prüffunktionen in der Solaris-Software reduzieren die Störungen im Prüfpfad und ermöglichen den Einsatz von XML-Scripting für eine Analyse des Pfads. Dabei handelt es sich um folgende Verbesserungen:

Weitere Informationen entnehmen Sie bitte den folgenden Abschnitten im Dokument System Administration Guide: Security Services :

Neues Prüf-Token path_attr

Dieses Leistungsmerkmal wurde mit dem Software Express-Pilotprogramm eingeführt. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten.

Das Prüf-Token path_attr enthält Zugriffspfadinformationen für ein Objekt. Der Zugriffspfad gibt die Folge von Attributdateiobjekten unterhalb des Pfad-Token-Objekts an. Systemaufrufe wie openat() greifen auf Attributdateien zu. Weitere Informationen zu erweiterten Dateiattributen entnehmen Sie bitte der Man Page fsattr(5).

Das Token path_attr weist drei Felder auf:

Der Befehl praudit zeigt das path_attr-Token wie folgt an:


path_attr,1,attr_file_name

Weitere Informationen hierzu entnehmen Sie bitte dem Kapitel 30, “Solaris Auditing (Reference)” unter “path_attr Token” im Dokument System Administration Guide: Security Services .

Überprüfung mit Passwort-History

Dieses Leistungsmerkmal wurde mit dem Software Express-Pilotprogramm eingeführt. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten.

Für in lokalen Dateien definierte Anmeldekonten kann eine Passwort-History mit bis zu 26 Passwortänderungen aktiviert werden. Wenn ein Benutzer sein Passwort in eines der Passwörter abzuändern versucht, die in der History enthalten sind, schlägt dieser Versuch fehl. Auch Anmeldenamen können geprüft werden.

Nähere Informationen entnehmen Sie bitte der Man Page passwd(1).

Verbesserte crypt()-Funktion

Diese Funktion wurde mit dem Software Express-Pilotprogramm sowie Solaris 9 12/02 eingeführt. Dieses Leistungsmerkmal ist im Release Solaris 10 3/05 enthalten.

Durch die Passwortverschlüsselung werden Passwörter vor dem Ausspähen geschützt. Die Software stellt nun drei leistungsfähige Verschlüsselungsmodule zur Verfügung:

Wie Sie Ihre Benutzerkennwörter mit diesen neuen Verschlüsselungsmodulen schützen können, erfahren Sie in den nachfolgend aufgeführten Abschnitten des Dokuments System Administration Guide: Security Services :

Weitere Informationen zur Stärke von Modulen entnehmen Sie bitte den Manpages crypt_bsdbf(5), crypt_bsdmd5(5) und crypt_sunmd5(5).