Sécurité

Cette section décrit toutes les nouvelles fonctions et les améliorations de Solaris 10 3/05 en matière de sécurité, par rapport à la première distribution du système d'exploitation Solaris 9 en mai 2002. Les fonctions Gestion des droits des processus et Groupe de logiciels Support réseau limité sont particulièrement importantes. Pour connaître les nouvelles fonctions de sécurité de Solaris 10 version 7/05, reportez-vous à la section Sécurité.

Outre les fonctions de sécurité décrites dans cette section, vous pouvez également vous reporter aux descriptions des fonctions de sécurité des sections relatives aux outils de développement et à l'installation :

• Méthode d'installation et initialisation via connexion WAN

• Groupe de logiciels Support réseau limité

• Nouveaux mécanismes pour la structure cryptographique Solaris

• Options retail et nonretail pour les fournisseurs dans la structure cryptographique Solaris

• SASL (Simple Authentication and Security Layer for Developers)

• Pseudo-mécanisme SPNEGO pour applications GSS-API

• Fonction crypt() améliorée pour développeurs de logiciels

• Interfaces de terminal à carte intelligente

• API middleware Smartcard

Signature des objets ELF

Cette fonction a été introduite dans la version 3/05 de Solaris 10.

Les bibliothèques et les fichiers exécutables du système d'exploitation Solaris 10 contiennent des signatures numériques que vous pouvez utiliser afin de vérifier l'intégrité de ces fichiers. La signature numérique fournit un moyen de détecter toute modification accidentelle ou volontaire avec le contenu exécutable du fichier.

Les plug-ins de la structure cryptographique de Solaris sont automatiquement vérifiés au cours de leur chargement par le système. La commande elfsign peut être utilisée manuellement pour vérifier les fichiers signés. Les développeurs et les administrateurs ont également la possibilité d'utiliser elfsign pour signer leur propre code.

Pour plus d'informations, reportez-vous à la page de manuel elfsign(1).

Gestion des droits des processus

Cette fonction est nouvelle dans le programme pilote de Software Express. Cette fonction est incluse dans la version 3/05 de Solaris 10.

Dans le logiciel Solaris, les tâches administratives qui nécessitaient auparavant les droits de superutilisateur sont désormais protégées par la gestion des droits de processus. Cette gestion utilise des privilèges pour restreindre les processus au niveau des commandes, des rôles, du système ou de l'utilisateur. Un privilège est un droit distinct dont a besoin un processus pour réaliser une opération. Le système limite les processus en fonction des privilèges requis pour effectuer la tâche active. Le nombre de processus root vulnérables à l'exploitation est ainsi moindre. Le nombre de programmes setuid a été considérablement réduit.

Une fois installées, les versions de Software Express et la version 3/05 de Solaris 10 sont entièrement compatibles en termes de privilèges améliorés avec les versions précédentes du système d'exploitation Solaris. Les programmes non modifiés qui s'exécutent en tant que root s'exécutent avec tous les privilèges.

Protection des périphériques – Les périphériques sont protégés au moyen d'une stratégie de sécurité, elle-même appliquée avec des privilèges. De ce fait, les autorisations sur un fichier de périphérique ne déterminent pas complètement la disponibilité des périphériques. Des privilèges peuvent également être requis pour pouvoir utiliser les périphériques.

Les interfaces système qui étaient protégées par des autorisations UNIX sont maintenant protégées par des privilèges. Par exemple, les membres du groupe sys ne sont plus automatiquement autorisés à accéder au périphérique /dev/ip. Les processus exécutés avec le privilège net_rawaccess ont accès au périphérique /dev/ip. Lorsque le système démarre, l'accès à tous les périphériques est restreint jusqu'à l'exécution de la commande devfsadm au cours de la séquence d'amorçage. La stratégie initiale est aussi stricte que possible. Elle empêche tous les utilisateurs, à l'exception du superutilisateur, d'initier des connexions.

Pour plus d'informations, reportez-vous aux pages de manuel suivantes :

• getdevpolicy(1M)

• ppriv(1)

• add_drv(1M)

• update_drv(1M)

• rem_drv(1M)

• devfsadm(1M)

Les processus devant extraire des informations MIB sur l'IP Solaris doivent ouvrir le fichier /dev/arp et empiler les modules “tcp” et “udp”. Aucun privilège n'est requis. Cette méthode revient à ouvrir le fichier /dev/ip et à empiler les modules “arp”, “tcp” et “udp”. Étant donné que l'ouverture du fichier /dev/ip exige désormais un privilège, il est préférable d'utiliser la méthode du fichier /dev/arp.

Pour plus d'informations, reportez-vous aux sections suivantes du System Administration Guide: Security Services :

• “Using Roles and Privileges (Overview)”

• “Privileges (Overview)”

• “Privileges (Tasks)”

Modifications apportées à la structure des modules PAM dans le système d'exploitation Solaris 10

Un nouveau module pam_deny a été ajouté au programme pilote Software Express et amélioré dans Solaris Express 6/04. Cette fonction est incluse dans la version 3/05 de Solaris 10. Il permet de refuser l'accès aux services PAM nommés. Par défaut, le module pam_deny n'est pas utilisé. Pour plus d'informations, reportez-vous à la page de manuel pam_deny(5).

Le logiciel Solaris 10 inclut les modifications suivantes de la structure PAM :

• Le module pam_authtok_check permet maintenant une vérification stricte par mot de passe qui utilise de nouveaux paramètres réglables dans le fichier /etc/default/passwd. Ces nouveaux paramètres permettent de définir les éléments suivants :

  • une liste de fichiers dictionnaire dont les valeurs sont séparées par des virgules et qui sont utilisés pour vérifier les mots courants dans un mot de passe ;

  • les différences requises au minimum entre un nouveau et un ancien mot de passe ;

  • le nombre minimal de caractères alphabétiques et non alphabétiques devant être employés dans un nouveau mot de passe ;

  • le nombre minimal de lettres majuscules et minuscules devant être utilisées dans un nouveau mot de passe ;

  • le nombre de caractères répétés de manière consécutive autorisés ;

  • le nombre de chiffres devant être utilisés dans le nouveau mot de passe ;

  • si les espaces sont autorisés ou non dans le nouveau mot de passe.

• Le module pam_unix_auth met en œuvre le verrouillage des comptes pour les utilisateurs locaux. Le verrouillage des comptes est activé par le paramètre LOCK_AFTER_RETRIES réglable dans le fichier /etc/security/policy.conf et par la clé lock_after-retries dans le fichier /etc/user_attr.

• Un nouvel indicateur de contrôle binding a été défini. Si le module PAM réussit et qu'aucun module le précédant et signalé par la mention required n'échoue, le module PAM ignore les modules restants et la requête d'authentification réussit. Toutefois, si un échec est retourné, le module PAM le consigne et continue de traiter la pile. L'indicateur de contrôle est documenté dans la page de manuel pam.conf(4).

• Le module pam_unix a été supprimé et remplacé par un ensemble de modules de service de fonctionnalité équivalente ou supérieure. Un grand nombre de ces modules sont nouveaux dans le système Solaris 9. En voici la liste :

  • pam_authtok_check

  • pam_authtok_get

  • pam_authtok_store

  • pam_dhkeys

  • pam_passwd_auth

  • pam_unix_account

  • pam_unix_auth

  • pam_unix_cred

  • pam_unix_session

• La fonctionnalité du module pam_unix_auth a été répartie en deux modules. Le module pam_unix_auth vérifie maintenant l'exactitude du mot de passe de l'utilisateur. Le nouveau module pam_unix_cred fournit les fonctions qui permettent de définir les informations d'identification de l'utilisateur.

• Des ajouts ont été apportés au module pam_krb5 pour gérer le cache des informations d'identification de Kerberos à l'aide de la structure PAM. Reportez-vous à la section Améliorations apportées à Kerberos.

Modifications relatives à pam_ldap

Les modifications suivantes relatives à pam_ldap sont nouvelles dans la version 10/04 de Solaris Express, à l'exception des modifications apportées à la gestion des comptes. Cette dernière a été introduite dans le programme pilote de Software Express et dans la version 12/02 de Solaris 9. Pour plus d'informations sur ces modifications, reportez-vous à la page de manuel pam_ldap(5).

• Les options use_first_pass et try_first_pass qui étaient prises en charge sont obsolètes à partir de cette version de Solaris 10. Elles ne sont plus utiles. Vous pouvez les supprimer du fichier pam.conf en toute sécurité, leur suppression se faisant en toute transparence pour l'utilisateur.

• La demande de mot de passe doit être fournie par la superposition de pam_authtok_get avant pam_ldap dans les piles de modules de mot de passe et d'authentification, et par l'insertion de pam_passwd_auth dans la pile passwd_service_auth.

• La fonction de mise à jour des mots de passe prise en charge jusqu'à maintenant est remplacée dans cette version par l'utilisation de pam_authtok_store avec l'option server_policy.

• La fonction de gestion des comptes pam_ldap renforce la sécurité globale du service d'attribution de noms LDAP. Plus précisément, elle permet d'accomplir les opérations suivantes :

  • permet d'assurer le suivi du vieillissement et de la date d'expiration des mots de passe ;

  • empêche les utilisateurs de choisir des mots de passe évidents ou déjà utilisés ;

  • avertit les utilisateurs de l'approche de la date d'expiration de leurs mots de passe ;

  • déconnecte les utilisateurs après plusieurs échecs de connexion ;

  • empêche les utilisateurs autres que l'administrateur système autorisé de désactiver les comptes initialisés.

Les modifications répertoriées dans la liste ci-dessus ne peuvent faire l'objet d'une mise à jour automatique. De ce fait, une mise à niveau vers Solaris 10 ou une version ultérieure ne permet pas une mise à jour automatique du fichier pam.conf existant afin qu'il reflète les modifications relatives à pam_ldap. Si le fichier pam.conf contient une configuration pam_ldap, le fichier CLEANUP vous avertit après la mise à niveau. Examinez le fichier pam.conf et modifiez-le, si nécessaire.

Pour obtenir plus d'informations, reportez-vous aux pages de manuel suivantes :

• pam_passwd_auth(5)

• pam_authtok_get(5)

• pam_authtok_store(5)

• pam.conf(4)

Pour de plus amples informations sur les services d'annuaire et d'attribution de noms de Solaris, reportez-vous au System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP) . Pour des informations sur les fonctions de sécurité de Solaris, reportez-vous au System Administration Guide: Security Services .

Améliorations de Solaris Secure Shell

Cette description est nouvelle dans la version 10/04 de Solaris Express.

Les améliorations suivantes apportées à Solaris Secure Shell sont disponibles dans le système d'exploitation Solaris 10 :

• Solaris Secure Shell est basé sur OpenSSH 3.5p1. L'implémentation de Solaris inclut également des fonctions ajoutées et des bogues résolus dans les versions antérieures à OpenSSH 3.8p1.

• Solaris Secure Shell prend maintenant en charge l'utilisation de GSS-API pour l'authentification de l'utilisateur et de l'hôte avec Kerberos V.

  La prise en charge des modules PAM, y compris la prise en charge du vieillissement des mots de passe, a été améliorée.

• La valeur par défaut de X11Forwarding est yes dans le fichier de configuration /etc/ssh/sshd.

• Les chiffrements ARCFOUR et AES128-CTR sont désormais disponibles. ARCFOUR est également appelé RC4. Le chiffrement AES est AES en mode de compteur.

• Pour en savoir plus sur les améliorations, reportez-vous à la section Démon sshd et /etc/default/login .

Pour plus d'informations sur la sécurité du système d'exploitation Solaris 10, reportez-vous au System Administration Guide: Security Services .

Moteur OpenSSL et OpenSSL PKCS#11

Ces améliorations ont été introduites dans Solaris Express 8/04.

Cette version de Solaris contient des bibliothèques et commandes OpenSSL dans le fichier /usr/sfw.

Cette version inclut également une interface du moteur OpenSSL vers PKCS#11 de sorte que les utilisateurs d'OpenSSL puissent accéder aux fournisseurs cryptographiques matériels et logiciels à partir de la structure cryptographique de Solaris.

Du fait des restrictions imposées en matière d'importation des moyens cryptographiques dans certains pays, les algorithmes de clé symétrique sont limités à 128 bits si le package SUNWcry n'est pas installé. Ce package n'est pas inclus dans le logiciel Solaris, mais il peut être téléchargé séparément.

Démon sshd et /etc/default/login

Cette fonction est toute nouvelle dans la version 10/04 de Solaris Express.

Le démon sshd utilise les variables du fichier /etc/default/login et la commande login. Les variables etc/default/login peuvent être remplacées par d'autres valeurs dans le fichier sshd_config.

Pour de plus amples informations, reportez-vous à la section “Solaris Secure Shell and Login Environment Variables” du System Administration Guide: Security Services . Consultez également la page de manuel sshd_config(4).

Nouvelles options de mot de passe pour les comptes non connectés et verrouillés

Cette fonction est toute nouvelle dans la version 10/04 de Solaris Express.

La commande passwd possède deux nouvelles options, -N et - u. L'option -N permet de créer une entrée de mot de passe pour un compte non connecté. Elle est utile pour les comptes auxquels aucune connexion n'est autorisée, mais qui doivent exécuter des travaux cron. L'option -u permet de déverrouiller un compte ayant fait l'objet d'un verrouillage.

Pour plus d'informations, reportez-vous à la page de manuel passwd(1).

Suppression de l'option -setcond de la commande auditconfig

Cette fonction est toute nouvelle dans la version 10/04 de Solaris Express.

L'option -setcond de la commande auditconfig a été supprimée. Pour désactiver provisoirement l'audit, utilisez la commande audit - t. Pour réactiver l'audit, utilisez la commande audit - s.

Stratégie d'audit perzone

Ces améliorations ont été introduites dans Solaris Express 8/04.

La stratégie d'audit perzone permet de contrôler les zones non globales de manière individuelle. Un démon d'audit distinct s'exécute dans chaque zone en se servant des fichiers de configuration d'audit qui lui sont propres. De même, la file d'attente de l'audit est spécifique à la zone. Par défaut, la stratégie est désactivée.

Pour plus d'informations, reportez-vous aux pages de manuel auditd(1M) et auditconfig(1M).

Améliorations apportées à Kerberos

Les améliorations suivantes de Kerberos sont incluses dans la version Solaris 10. La plupart d'entre elles sont nouvelles dans les version précédentes de Software Express.

• Les applications distances, telles que ftp, rcp, rdist, rlogin, rsh ou telnet, prennent en charge le protocole Kerberos. Pour plus d'informations, reportez-vous aux pages de manuel correspondant à chaque commande ou démon et à la page de manuel krb5_auth_rules(5).

• Grâce à la mise à jour incrémentielle rendue désormais possible, il n'est plus nécessaire de systématiquement transférer l'intégralité de la base de données principale Kerberos. La propagation incrémentielle présente plusieurs avantages, notamment :

  • une meilleure cohérence des bases de données entre les serveurs ;

  • un besoin moindre en ressources, telles que les ressources réseau et CPU ;

  • une propagation des mises à jour bien plus adéquate ;

  • une automatisation de la méthode de propagation.

• Un nouveau script aide les administrateurs à définir rapidement et facilement un client Kerberos, en permettant une configuration automatique de ce dernier. Pour connaître les procédures utilisant ce nouveau script, reportez-vous au chapitre 22, “Configuring the Kerberos Service (Tasks),” du System Administration Guide: Security Services . Consultez également la page de manuel kclient(1M) pour plus d'informations.

• Plusieurs nouveaux types de chiffrement ont été ajoutés au service Kerberos. Ils viennent renforcer la sécurité et améliorer la compatibilité avec d'autres mises en œuvre Kerberos prenant en charge ces types de chiffrement. Tous les types de chiffrement sont décrits dans la page de manuel mech(4) Pour plus d'informations, reportez-vous à la section “Using Kerberos Encryption Types” du System Administration Guide: Security Services Les types de chiffrement offrent les avantages suivants :

  • Le type de chiffrement AES peut être utilisé pour le chiffrement à haute vitesse et haute sécurité des sessions Kerberos. L'utilisation d'AES est activée via la structure cryptographique.

  • ARCFOUR-HMAC offre une meilleure compatibilité avec les autres versions Kerberos.

  • Le chiffrement triple DES (3DES) avec SHA1 accroît la sécurité. Ce type de chiffrement améliore par ailleurs l'intéropérabilité avec d'autres mises en œuvre Kerberos le prenant en charge.

• Le logiciel KDC et la commande kinit prennent maintenant en charge le protocole réseau TCP. Cet ajout augmente la fiabilité des opérations et améliore l'intéropérabilité avec les autres mises en œuvre Kerberos. KDC “écoute” maintenant à la fois sur les ports UDP traditionnels et sur les ports TCP, de sorte qu'il peut répondre aux requêtes utilisant les deux protocoles. La commande kinit commence par essayer le protocole UDP lors de l'envoi d'une requête au logiciel KDC. Si l'opération échoue, elle tente le protocole TCP.

• La prise en charge d'IPv6 a été ajoutée au logiciel KDC avec les commandes kinit , klist et kprop. Par défaut, les adresses IPv6 sont prises en charge. Aucun paramètre de configuration n'est à modifier pour activer cette prise en charge.

• Une nouvelle option -e a été ajoutée à plusieurs sous-commandes de la commande kadmin. Elle permet de sélectionner le type de chiffrement lors de la création des sections principales. Pour plus d'informations, reportez-vous à la page de manuel kadmin(1M).

• Des ajouts au module pam_krb5 permettent de gérer le cache des informations d'identification Kerberos à l'aide de la structure des modules PAM. Pour plus d'informations, reportez-vous à la page de manuel pam_krb5(5).

• La détection automatique de KDC, du serveur d'administration, du serveur kpasswd et des mappages de nom de domaine ou d'hôte-domaine de Kerberos utilisant les recherches DNS est prise en charge. Cette prise en charge réduit certaines des étapes requises pour l'installation d'un client Kerberos. Ce dernier est capable de localiser un serveur KDC à l'aide du DNS plutôt qu'en procédant à la lecture d'un fichier de configuration. Pour plus d'informations, reportez-vous à la page de manuel krb5.conf(4).

• Un nouveau module PAM appelé pam_krb5_migrate a été intégré. Il facilite la migration automatique des utilisateurs vers le domaine Kerberos local si les utilisateurs ne disposent pas encore d'un compte Kerberos. Pour plus d'informations, reportez-vous à la page de manuel pam_krb5_migrate(5).

• Le fichier ~/.k5login peut désormais être utilisé avec les applications GSS, ftp et ssh. Pour plus d'informations, reportez-vous à la page de manuel krb5_auth_rules(5).

• L'utilitaire kproplog a été mis à jour pour afficher tous les noms d'attributs par entrée de journal. Pour de plus amples informations, reportez-vous à la page de manuel kproplog(1M).

• Une nouvelle option du fichier de configuration rend la fonction de vérification Ticket Granting Ticket (TGT) stricte configurable par domaine. Pour plus d'informations, reportez-vous à la page de manuel krb5.conf(4).

• Les extensions des utilitaires de modification de mot de passe permettent au serveur d'administration Solaris Kerberos V5 d'accepter les demandes de modification de mot de passe émises par des clients non-Solaris. Pour plus d'informations, reportez-vous à la page de manuel kadmin(1M).

• L'emplacement par défaut du cache de rediffusion a été modifié : auparavant sur les systèmes de fichiers RAM, il se trouve sous /var/krb5/rcache/, dans un emplacement de stockage persistant. Le nouvel emplacement empêche les rediffusions en cas de réinitialisation d'un système. Le code rcache a été amélioré sur le plan des performances. Toutefois, les performances générales du cache de rediffusion risquent d'être ralenties en raison de l'utilisation d'un stockage persistant.

• Le cache de rediffusion peut maintenant être configuré en vue de l'utilisation du stockage de fichiers ou du stockage de mémoire uniquement. Reportez-vous à la page de manuel krb5envvar(5) pour plus d'informations sur les variables d'environnement pouvant être configurées pour les emplacements ou types de cache des informations d'identification et de table de clés.

• La table des informations d'identification des services GSS n'est plus nécessaire pour le mécanisme GSS de Kerberos. Pour de plus amples informations, reportez-vous aux pages de manuel gsscred(1M), gssd(1M) et gsscred.conf(4).

• Les utilitaires Kerberos, kinit et ktutil sont désormais basés sur la version 1.2.1 de MIT Kerberos. Ce changement a apporté de nouvelles options à la commande kinit et de nouvelles sous-commandes à la commande ktutil. Pour plus d'informations, reportez-vous aux pages de manuel kinit(1) et ktutil(1).

• Le KDC (Solaris Kerberos Key Distribution Center) est désormais basé sur MIT Kerberos version 1.2.1. Il utilise désormais par défaut la base de données btree, plus fiable que l'actuelle base de données basée sur le hachage. Pour plus d'informations, reportez-vous à la page de manuel kdb5_util(1M) Pour les utilisateurs de Solaris 9, cette modification a été introduite dans la version 12/03.

Wrappers TCP pour rpcbind

Cette fonction a été introduite dans la version 4/04 de Solaris Express.

La prise en charge du wrapper TCP a été ajoutée à la commande rpcbind. Cette prise en charge permet à l'administrateur de limiter les appels vers rpcbind aux hôtes sélectionnés. L'administrateur peut également connecter tous les appels à rpcbind.

Pour plus d'informations, reportez-vous à la page de manuel rpcbind(1M).

Option de stratégie de contrôle et jeton de contrôle zonename

La technologie de partitionnement Solaris Zones est introduite dans la version 2/04 de Solaris Express. Reportez-vous à la section Technologie de partitionnement logiciel Solaris Zones. Les améliorations de zonename correspondantes décrites ici ont également été intégrées à Solaris Express 2/04.

Le jeton de contrôle zonename enregistre le nom de la zone dans laquelle un événement de contrôle a eu lieu. L'option zonename audit policy détermine, pour toutes les zones, si le jeton zonename est inclus dans les enregistrements du contrôle. Si le critère de la présélection de la classe du contrôle varie entre les zones non globales, il se peut que vous souhaitiez analyser les enregistrements de contrôle par zone. La stratégie de contrôle zonename permet d'effectuer une postsélection des enregistrements de contrôle par zone.

Reportez-vous à la section “Auditing and Solaris Zones” du System Administration Guide: Security Services .

Pour plus d'informations, reportez-vous aux pages de manuel audit.log(4), auditconfig(1M) et auditreduce(1M). Voir aussi la section “Using Solaris Auditing in Zones” du Guide d’administration système : Gestion des ressources conteneurs Solaris et des zones Solaris.

Commandes de l'utilisateur pour la structure cryptographique de Solaris

Cette fonction a été introduite dans la version 1/04 de Solaris Express.

Les commandes digest, mac et encrypt possèdent désormais une option qui permet de répertorier les algorithmes disponibles pour chaque commande. Pour les commandes mac et encrypt, le résultat indique la longueur de clé acceptée par chaque algorithme. De plus, l'option - I <IV-file> a été supprimée des commandes encrypt et decrypt.

Pour plus d'informations, reportez-vous au chapitre 14, “Solaris Cryptographic Framework (Tasks)” et à la section “Protecting Files With the Solaris Cryptographic Framework” du System Administration Guide: Security Services .

Pour plus d'informations, reportez-vous aux pages de manuel encrypt(1), digest(1) et mac(1).

Paramètres de configuration IKE

Cette fonction a été introduite dans la version 1/04 de Solaris Express.

Des paramètres de retransmission ainsi que de temporisation des paquets ont été ajoutés dans le fichier /etc/inet/ike/config. Ces paramètres permettent à l'administrateur de régler la négociation de la phase 1 (mode principal) du protocole IKE. Ce réglage permet l'interopérabilité entre Solaris IKE et les plates-formes qui implémentent le protocole IKE de façon différente. Ces paramètres aident également l'administrateur à procéder à des ajustements dans le cas d'interférences de réseau ou d'un trafic réseau important.

Pour une description détaillée des paramètres, reportez-vous à la page de manuel ike.config(4).

Protocole SASL (Simple Authentication and Security Layer)

Cette fonction a été introduite dans la version 12/03 de Solaris Express.

Le protocole SASL offre aux développeurs d'applications des interfaces qui permettent d'ajouter l'authentification, la vérification de l'intégrité des données et le chiffrement aux protocoles des connexions.

Pour plus d'informations, reportez-vous à la section SASL (Simple Authentication and Security Layer for Developers).

Consultez également le chapitre 17, “Using SASL,” du System Administration Guide: Security Services .

Date du contrôle au format ISO 8601

Cette fonction a été introduite dans la version 12/03 de Solaris Express.

Les jetons de fichier et d'en-tête des enregistrements du contrôle indiquent désormais la date au format ISO 8601. Par exemple, le résultat de la commande praudit du jeton de fichier est le suivant :

Ancien jeton de fichier :

file,Mon Oct 13 11:21:35 PDT 2003, + 506 msec, /var/audit/20031013175058.20031013182135.machine1

Nouveau jeton de fichier :

file,2003-10-13 11:21:35.506 -07:00, /var/audit/20031013175058.20031013182135.machine1

Ancien jeton d'en-tête :

header,173,2,settppriv(2),,machine1, Mon Oct 13 11:23:31 PDT 2003, + 50 msec

Nouveau jeton d'en-tête :

header,173,2,settppriv(2),,machine1, 2003-10-13 11:23:31.050 -07:00

Le résultat XML a également été modifié. Par exemple, le résultat de la commande praudit -x formate le jeton de fichier comme suit :

<file iso8601="2003-10-13 11:21:35.506 -07:00">
/var/audit/20031013175058.20031013182135.machine1</file>

Les outils ou les scripts personnalisés qui analysent le résultat praudit peuvent nécessiter une mise à jour pour intégrer cette modification.

Pour plus d'informations, reportez-vous au chapitre 27, “Solaris Auditing (Overview)” et “Changes to Solaris Auditing for the Solaris 10 Release” du System Administration Guide: Security Services .

Utilitaire BART (Basic Audit and Reporting Tool)

Cette fonction a été introduite dans la version 11/03 de Solaris Express.

L'utilitaire BART est un utilitaire de ligne de commande qui permet aux OEM, aux utilisateurs avancés et aux administrateurs système d'effectuer une vérification, au niveau des fichiers, du contenu logiciel d'un système cible. Cet utilitaire est employé pour regrouper des informations sur les éléments installés sur un système. Il offre également la possibilité de comparer des systèmes installés ainsi que le contenu d'un système dans le temps.

Pour plus d'informations, reportez-vous au chapitre 5, “Using the Basic Audit Reporting Tool (Tasks),” du System Administration Guide: Security Services .

Consultez également les pages de manuel bart_manifest(4), bart_rules(4) et bart(1M).

IPsec et la structure cryptographique de Solaris

Cette fonction a été introduite dans la version 9/03 de Solaris Express.

Le protocole IPsec utilise la structure cryptographique de Solaris plutôt que ses propres modules d'authentification et de chiffrement. Les modules sont optimisés pour la plate-forme SPARC. De plus, un nouvel utilitaire de ligne de commande ipsecalgs et des API sont fournis afin de pouvoir consulter la liste des algorithmes IPsec et des autres propriétés IPsec pris en charge.

Pour plus d'informations, reportez-vous à la page de manuel ipsecalgs(1M).

Dans le Guide d’administration système : services IP, reportez-vous au chapitre 18, “IP Security Architecture (Overview)” et à la section “Authentication and Encryption Algorithms in IPsec”.

Structure cryptographique de Solaris pour les administrateurs système

Cette fonction est nouvelle dans le programme pilote de Software Express. Cette fonction est incluse dans la version 3/05 de Solaris 10.

La structure cryptographique de Solaris offre des services cryptographiques aux applications de l'environnement Solaris. L'administrateur système contrôle les algorithmes de chiffrement pouvant être utilisés par le biais de la commande cryptoadm. La commande cryptoadm permet d'effectuer les tâches suivantes :

• gérer les fournisseurs de services cryptographiques disponibles ;

• définir la stratégie de sécurité cryptographique, par exemple désactiver des algorithmes pour un fournisseur particulier.

La structure est fournie avec les plug-ins pour les algorithmes AES, DES/3DES, RC4, MD5, SHA-1, DSA, RSA et Diffie-Hellman. Ces plug-ins peuvent être ajoutés ou supprimés selon les besoins.

Les commandes encrypt, decrypt, digest et mac utilisent des algorithmes cryptographiques de la structure.

Pour plus d'informations, reportez-vous au chapitre 13, “Solaris Cryptographic Framework (Overview),” du System Administration Guide: Security Services .

Consultez également les pages de manuel suivantes :

• cryptoadm(1M)

• kcfd(1M)

• libpkcs11(3LIB)

• pkcs11_kernel(5)

• pkcs11_softtoken(5)

Journal de contrôle distant

Cette fonction est nouvelle dans le programme pilote de Software Express. Cette fonction est incluse dans la version 3/05 de Solaris 10.

Outre l'enregistrement des événements du contrôle dans le journal de contrôle binaire, les versions de Solaris permettent d'enregistrer ces événements dans syslog.

La génération de données syslog offre la possibilité d'utiliser les même outils d'analyse et de gestion que ceux disponibles pour les messages syslog de différents environnements Solaris ou autre, notamment une station de travail, des serveurs, des pare-feux et des routeurs. En utilisant syslog.conf pour acheminer les messages de contrôle vers un emplacement distant, vous protégez les données du journal de toute altération ou suppression malveillante. Toutefois, l'option syslog fournit uniquement un récapitulatif des données de l'enregistrement du contrôle. De même, lorsque les données syslog sont enregistrées dans un système distant, elles sont susceptibles de faire l'objet d'attaques réseau, telles que le déni de service ou des adresses source erronées ou “usurpée”.

Pour plus d'informations, reportez-vous au chapitre 27, “Solaris Auditing (Overview)” and “Audit Files” du System Administration Guide: Security Services .

Consultez également les pages de manuel suivantes :

• audit(1M)

• audit.log(4)

• audit_control(4)

• audit_syslog(5)

• syslog(3C)

• syslog.conf(4)

Améliorations apportées au serveur FTP

Cette fonction est nouvelle dans le programme pilote de Software Express. Cette fonction est incluse dans la version 3/05 de Solaris 10.

Des améliorations ont été apportées au serveur FTP en matière d'évolutivité et d'enregistrement des transferts :

• La fonction sendfile() est utilisée pour les téléchargements binaires.

• De nouvelles fonctionnalités sont prises en charge dans le fichier ftpaccess :

  • flush-wait contrôle le comportement en fin de téléchargement ou d'énumération des répertoires.

  • ipcos définit la classe IP de service pour la connexion des données ou le contrôle.

  • passive ports peut être configuré afin que le noyau sélectionne le port TCP à écouter.

  • quota-info permet d'extraire des informations sur les quotas.

  • recvbuf définit la taille du tampon de réception (chargement) utilisée pour les transferts binaires.

  • rhostlookup active ou désactive la recherche du nom de l'hôte distant.

  • sendbuf définit la taille du tampon d'envoi (téléchargement) utilisée pour les transferts binaires.

  • xferlog format personnalise le format de l'entrée du journal de transfert.

• Avec la nouvelle option -4, le serveur FTP ne recherche que les connexions sur un socket IPv4 lors de l'exécution en mode autonome.

Le client et le serveur FTP prennent désormais en charge le protocole Kerberos. Pour plus d'informations, reportez-vous à la page de manuel ftp(4) et à la section “Kerberos User Commands” du System Administration Guide: Security Services.

De plus, les commandes ftpcount et ftpwho prennent maintenant en charge l'option -v, qui affiche les comptes utilisateur et des informations sur le processus pour les classes du serveur FTP définies dans les fichiers ftpaccess de l'hôte virtuel.

Pour plus d'informations sur ces modifications, reportez-vous aux pages de manuel suivantes :

• in.ftpd(1M)

• ftpaccess(4)

• ftpcount(1)

• ftpwho(1)

• sendfile(3EXT)

Client FTP

Cette fonction est nouvelle dans le programme pilote de Software Express. Cette fonction est incluse dans la version 3/05 de Solaris 10.

Le logiciel Solaris apporte un changement au client FTP. Par défaut, un client FTP Solaris, connecté à un serveur FTP Solaris, établit une liste des répertoires ainsi que des fichiers standard lorsque la commande ls est utilisée. Si le serveur FTP n'est pas exécuté dans le système d'exploitation Solaris, les répertoires risquent de ne pas être énumérés.

Pour utiliser le comportement par défaut de Solaris lors de la connexion à des serveurs FTP autres que Solaris, le fichier /etc/default/ftp peut être modifié sur chaque client Solaris. Pour appliquer cette modification aux utilisateurs de façon individuelle, la variable d'environnement FTP_LS_SENDS_NLST peut être définie.

Pour plus d'informations, reportez-vous à la page de manuel ftp(4).

Le client et le serveur FTP prennent désormais en charge le protocole Kerberos. Pour plus d'informations, reportez-vous à la page de manuel ftp(4) et à la section “Kerberos User Commands” du System Administration Guide: Security Services.

Mémoire de clés IKE (Internet Key Exchange) sur la carte Sun Crypto Accelerator 4000

Cette fonction est nouvelle dans le programme pilote de Software Express et dans la version 12/03 de Solaris 9. Cette fonction est incluse dans la version 3/05 de Solaris 10.

IKE fonctionne désormais sur les réseaux IPv6 et IPv4. Pour de plus amples informations sur les mots-clés spécifiés par la mise en œuvre d'IPv6, reportez-vous aux pages de manuel ifconfig(1M) et ike.config(4).

Lorsqu'une carte Sun Crypto Accelerator 4000 est installée, IKE peut décharger des opérations à forte intensité de calcul sur la carte, libérant ainsi le système d'exploitation pour d'autres tâches. IKE peut également utiliser la carte installée pour stocker des clés publiques, des clés privées et des certificats publics. Le stockage de clés sur du matériel séparé permet une sécurité accrue.

Pour plus d'informations, reportez-vous à la page de manuel ikecert(1M).

Consultez également les sections suivantes du Guide d’administration système : services IP :

• “IP Security Architecture (Overview)”

• “Internet Key Exchange (Overview)”

• “IKE and Hardware Storage”

• “Configuring IKE (Tasks)”

• “Configuring IKE to Find Attached Hardware”

Accélération matérielle IKE

Cette fonction est nouvelle dans le programme pilote de Software Express et dans la version 4/03 de Solaris 9. Cette fonction est incluse dans la version 3/05 de Solaris 10.

Les opérations de clé publique effectuées par le biais du protocole IKE peuvent être accélérées au moyen d'une carte Crypto Accelerator 1000 Sun et des cartes Crypto Accelerator 4000 Sun. Ces opérations sont déchargées sur la carte, ce qui accélère le chiffrement et réduit les demandes en ressources auprès du système d'exploitation Solaris.

Pour plus d'informations sur le protocole IKE, reportez-vous aux sections suivantes du Guide d’administration système : services IP :

• “Configuring IKE to Find Attached Hardware”

• “Internet Key Exchange (Overview)”

• “IKE and Hardware Acceleration”

• “Configuring IKE (Tasks)”

• “Configuring IKE to Find Attached Hardware”

Améliorations apportées à la fonction ipseckey

Cette fonction est nouvelle dans le programme pilote de Software Express. Cette fonction est incluse dans la version 3/05 de Solaris 10.

Pour les administrateurs réseau qui ont installé IPsec ou IKE sur leurs systèmes, l'analyseur ipseckey fournit une aide plus claire. La commande ipseckey monitor propose désormais un horodatage pour chaque événement.

Pour plus d'informations, reportez-vous à la page de manuel ipseckey(1M).

Propagation des informations d'identification sur les connexions du loopback

Cette fonction est nouvelle dans le programme pilote de Software Express. Cette fonction est incluse dans la version 3/05 de Solaris 10.

Cette version de Solaris intègre la fonction ucred_t * en tant que représentation abstraite des informations d'identification d'un processus. Ces informations peuvent être extraites à l'aide de la fonction door_ucred() dans les serveurs frontaux et de la fonction getpeerucred () pour les connexions de loopback. Elles peuvent aussi être reçues en utilisant la fonction recvmsg().

Pour plus d'informations, reportez-vous à la page de manuel socket.h(3HEAD).

Informations sur l'hôte incluses dans le jeton d'en-tête du contrôle

Cette fonction est nouvelle dans le programme pilote de Software Express. Cette fonction est incluse dans la version 3/05 de Solaris 10.

Le jeton d'en-tête des enregistrements du contrôle a été étendu de façon à inclure le nom de l'hôte.

L'ancien en-tête se présente comme suit :

header,131,4,login - local,,Wed Dec 11 14:23:54 2002, + 471 msec

Le nouvel en-tête étendu s'affiche de la façon suivante :

header,162,4,login - local,,example-hostname,
Fri Mar 07 22:27:49 2003, + 770 msec

Les outils ou scripts personnalisés qui analysent la sortie praudit devront peut-être faire l'objet d'une mise à jour pour tenir compte de ces modifications.

Pour plus d'informations, reportez-vous au chapitre 30, “Solaris Auditing (Reference)” et “header Token” du System Administration Guide: Security Services.

Améliorations apportées à l'audit

Cette fonction a été introduite dans le programme pilote de Software Express et dans la version 8/03 de Solaris 9. Cette fonction est incluse dans la version 3/05 de Solaris 10.

Dans le logiciel Solaris, les améliorations apportées aux fonctions d'audit réduisent le bruit de la piste et permettent aux administrateurs d'utiliser des scripts XML pour l'analyser. Ces améliorations sont les suivantes :

• Les fichiers publics ne font plus l'objet d'audit pour des événements en lecture seule. L'indicateur de règle public de la commande auditconfig vérifie si les fichiers publics sont audités. L'absence d'audit des objets publics réduit considérablement la piste d'audit. Ainsi, il est plus facile de surveiller les tentatives de lecture des fichiers sensibles.

• La commande praudit dispose d'un format de sortie supplémentaire, le XML. Ce format permet de lire la sortie dans un navigateur et fournit la source des scripts XML pour les rapports. Consultez la page de manuel praudit(1M).

• L'ensemble des classes d'audit par défaut a été restructuré. Les métaclasses d'audit prennent en charge des classes d'audit plus spécifiques. Reportez-vous à la page de manuel audit_class(4).

• La commande bsmconv ne permet plus de désactiver l'utilisation de la combinaison de touches Stop-A. L'événement Stop-A est dorénavant audité pour assurer la sécurité.

Pour plus d'informations, reportez-vous aux sections suivantes du System Administration Guide: Security Services :

• “Solaris Auditing (Reference)”

• “Definitions of Audit Classes”

• “praudit Command”

• “Solaris Auditing (Overview)”

• “Audit Terminology and Concepts”

• “Changes to Solaris Auditing for the Solaris 10 Release”

Nouveau jeton d'audit path_attr

Cette fonction est nouvelle dans le programme pilote de Software Express. Cette fonction est incluse dans la version 3/05 de Solaris 10.

Le jeton d'audit path_attr contient les informations de chemin d'accès pour un objet. Le chemin d'accès spécifie la séquence d'objets de fichier d'attributs figurant sous l'objet de jeton de chemin. Les appels système tels que openat() accèdent aux fichiers d'attributs. Pour plus d'informations sur les attributs de fichier étendus, consultez la page de manuel fsattr(5).

Le jeton path_attr comporte trois champs :

• un champ d'ID qui identifie le jeton comme jeton path_attr ;

• un nombre représentant le nombre de sections de chemins de fichiers d'attributs ;

• une ou plusieurs chaînes terminées par le caractère null.

La commande praudit affiche le jeton path_attr de la manière suivante :

path_attr,1,attr_file_name

Pour plus d'informations, reportez-vous au chapitre 30, “Solaris Auditing (Reference)” et “path_attr Token” du System Administration Guide: Security Services .

Vérification de l'historique du mot de passe

Cette fonction est nouvelle dans le programme pilote de Software Express. Cette fonction est incluse dans la version 3/05 de Solaris 10.

Pour les comptes de connexion définis dans des fichiers locaux, il est possible d'activer un historique du mot de passe indiquant les 26 dernières modifications du mot de passe. Lorsqu'un utilisateur tente de modifier un mot de passe, la tentative échoue si le nouveau mot de passe correspond à l'un des mots de passe de l'historique. Par ailleurs, il est possible de désactiver la vérification du nom de connexion.

Pour plus d'informations, consultez la page de manuel passwd(1).

Améliorations apportées à la fonction crypt()

Cette fonction est nouvelle dans le programme pilote de Software Express et dans la version 12/02 de Solaris 9. Cette fonction est incluse dans la version 3/05 de Solaris 10.

Les mots de passe sont chiffrés, ce qui empêche les intrus de les lire. Trois modules de chiffrement de mots de passe robustes sont désormais disponibles sur ce logiciel :

• une version de Blowfish compatible avec les systèmes BSD (Bekerley Software Distribution) ;

• une version de MD5 (Message Digest 5) compatible avec les systèmes BSD et Linux ;

• une version plus robuste de MD5 compatible avec d'autres systèmes Solaris.

Pour plus d'informations sur la manière de protéger vos mots de passe utilisateur à l'aide de ces nouveaux modules de chiffrement, consultez les sections suivantes du System Administration Guide: Security Services :

• “Controlling Access to Systems (Tasks)”

• “Managing Machine Security (Overview)”

• “Changing the Default Algorithm for Password Encryption”

Pour plus de détails sur la longueur de ces modules, consultez les pages de manuel crypt_bsdbf(5), crypt_bsdmd5(5) et crypt_sunmd5(5).