Förbättrad säkerhet

I det här avsnittet beskrivs de nya funktioner i operativmiljön Solaris 8 som påverkar systemets säkerhet och ägarförhållandena för filsystem och kataloger.

Solaris Smart Cards

Smart Card-funktionen i Solaris är en implementering av standarden OCF 1.1 (Open Card Framework). En säkerhetsadministratör kan använda den här teknologin för att skydda en dators skrivbord eller enskilda program genom att låta användare identifiera sig med hjälp av ett Smart Card. Det krävs en kortläsare för varje värddator som ska skyddas med Solaris Smart Cards. En användare får tillgång till skyddade skrivbord eller program genom att sätta in sitt smartkort i läsaren och skriva PIN-koden för kortet. Värddatorerna använder PIN-koderna och de lösenord som finns inbäddat i användarnas kort för att verifiera att användarna är de som de utger sig för att vara.

Solaris Smart Cards stöder två externa kortläsare: Sun Smart Card Reader I och iButton Reader. Tre typer av smartkort stöds: De Java-baserade iButton- och Cyberflex-korten samt smartkortet Payflex.

I Solaris Smart Cards Administration Guide finns information om hur en säkerhetsadministratör kan installera stöd för smartkort för sin anläggning. Här finns också en introduktion till smartkorttekniken.

Standardbehörigheter för filsystem och kataloger

Många systemfiler och kataloger i Solaris 8-versionen har andra ägandeförhållanden som standard och strängare behörighetsinställningar än i tidigare versioner. Följande ändringar för standardägarskap och behörigheter har gjorts:

• Standardvärdet för fil- och katalogägarskap har ändrats från bin till root

• Filer och kataloger som tidigare hade standardbehörigheten 775 har nu standardbehörigheten 755

• Filer och kataloger som tidigare hade standardbehörigheten 664 har nu standardbehörigheten 644

• Standardvärdet för umask i systemet är 022

Tänk på följande när du skapar ett paket som ska läggas till i ett system som kör Solaris 8:

• Alla filer och kataloger måste ha root som standardägare

• Kataloger och program måste ha standardbehörigheten 555 eller 755

• Vanliga filer måste ha standardbehörigheten 644 eller 444

• Filerna set-uid och set-gid kan inte göras skrivbara för ägaren såvida inte ägaren är root

Dessa ändringar gäller inte för alla filer och kataloger i den här versionen. De gäller till exempel inte för filer och kataloger av typen OpenWindows eller CDE.

Rollbaserad behörighetskontroll

I vanliga superanvändarbaserade system ges fullständiga superanvändarrättigheter till vem som helst som kan bli superanvändare. Med rollbaserad behörighetskontroll (Role-Based Access Control - RBAC) i operativmiljön Solaris 8 kan administratören tilldela begränsade administrativa rättigheter till vanliga användare. Detta åstadskoms med tre nya funktioner:

• Verifieringar - användarrättigheter som ger tillgång till en begränsad funktion

• Körprofiler - sammanslagningsmekanismer för att gruppera verifieringar och kommandon tillsammans med särskilda attribut, vanligen superanvändar-ID

• Roller - särskilda typer av användarkonton som är avsedda för utförande av en uppsättning administrativa uppgifter

Administratören skapar en körprofil som innehåller verifieringar och privilegierade kommandon för en viss uppgift eller uppsättning uppgifter. Profilen kan tilldelas direkt till en användare eller till en roll. Roller kan i sin tur tilldelas till användare. Den användare som tilldelats en roll kan få tillgång till den genom att köra kommandot su. Fördelen med roller är att de är delade konton som inte behöver uppdateras när den individuella ansvarsfördelningen ändras. Följande nya filer stöder RBAC:

• /etc/user_attr - lagrar utökade säkerhetsattribut relaterade till användare och roller

• /etc/security/auth_attr - visar en lista över verifieringar och beskrivningar

• /etc/security/prof_attr - visar en lista över körprofiler och associerade verifieringar

• /etc/security/exec_attr - associerar körattribut med körprofiler

• /etc/security/policy.conf - ger säkerhetsprincipkonfigurationen för attribut på användarnivå

Mer information finns i System Administration Guide, Volume 2

Centraliserad administration av säkerhetsgranskning

Filen /etc/security/audit_user, där förvalda klasser för granskning av användare och roller lagras, stöds nu i namnomkopplaren. Det är inte längre nödvändigt att ställa in granskningshändelser för en användare i varje system som användaren har åtkomst till.

Klientstöd för Sun Enterprise Authentication Mechanism (Kerberos V5)

Den här funktionen tillhandahåller klientdelen av Kerberos V5, ett tillägg till PAM (Pluggable Authentication Module). Dessutom finns verktygsprogram som kan användas för att skydda RPC-baserade program, till exempel NFS-tjänsten. Med Kerberos får du en stark verifiering på användar- eller servernivå, integritet eller stöd för sekretess. Kerberos-klienterna kan användas tillsammans med Sun Enterprise Authentication Mechanism (SEAM) (en komponent i SEAS 3.0) eller övrig Kerberos V5-programvara (till exempel MIT-distributionen) för att skapa en komplett inloggningslösning för ett enkelt nätverk.

Mer information finns i System Administration Guide, Volume 2.