Valores predeterminados de seguridad de Oracle Solaris 11

Después de la instalación, Oracle Solaris protege el sistema de la intrusión y supervisa los intentos de inicio de sesión, entre otras funciones de seguridad.

El sistema de acceso está limitado y supervisado

Cuentas de usuario inicial y de rol root: la cuenta de usuario inicial puede iniciar sesión desde la consola. A esta cuenta se le asigna el rol root. Al inicio, las contraseñas de las dos cuentas son idénticas.

• Después del inicio de sesión, el usuario inicial puede asumir el rol root para configurar más el sistema. Cuando el usuario asume el rol, se le solicita que cambie la contraseña root. Ningún rol puede iniciar sesión de manera directa, ni siquiera el rol root.

• Se asignan al usuario inicial valores predeterminados del archivo /etc/security/policy.conf. Entre los valores predeterminados se incluyen el perfil de derechos del usuario de Solaris básico y el perfil de derechos del usuario de la consola. Estos perfiles de derechos permiten a los usuarios leer y escribir en un CD o DVD, ejecutar cualquier otro comando en el sistema sin privilegios, y detener y reiniciar el sistema cuando están en la consola.

• También se asigna a la cuenta de usuario inicial el perfil de derechos del administrador del sistema. Por lo tanto, sin asumir el rol root, el usuario inicial tiene algunos derechos administrativos, como el derecho de instalación de software y el de gestión del servicio de nombres.

Requisitos de contraseña: las contraseñas de usuario deben tener al menos seis caracteres de longitud e incluir, al menos, un carácter alfabético y un carácter numérico. En las contraseñas se aplica el algoritmo hash SHA256. Cuando cambian la contraseña, todos los usuarios, incluso el rol root, deben cumplir con estos requisitos de contraseña.

Acceso a la red limitado: después de la instalación, el sistema queda protegido de la intrusión por medio de la red. El usuario inicial tiene permitido efectuar un inicio de sesión remoto mediante una conexión cifrada y autenticada con el protocolo ssh. Este es el único protocolo de red que acepta los paquetes entrantes. La clave ssh está envuelta por el algoritmo AES128. Con la autenticación y el cifrado en su lugar, el usuario puede alcanzar el sistema sin intercepción, modificación ni falsificación.

Intentos de inicio de sesión registrados: el servicios de auditoría se habilita para todos los eventos de login/logout (inicio de sesión, cierre de sesión, cambio de usuario, inicio y cierre de una sesión ssh y bloqueo de pantalla) y para todos los inicios de sesión que no se pueden atribuir (con errores). Dado que el rol root no puede iniciar sesión, se puede buscar el nombre del usuario que está actuando como root en la pista de auditoría. El usuario inicial puede revisar los registros de auditoría con un derecho concedido mediante el perfil de derechos del administrador del sistema.

Las protecciones del núcleo, los archivos y el escritorio están en su lugar

Una vez que el usuario inicial inicia sesión, el núcleo, los sistemas de archivos y las aplicaciones de escritorio quedan protegidas por el privilegio mínimo, los permisos y el control de acceso basado en roles (RBAC).

Protecciones del núcleo: muchos daemons y comandos administrativos tienen asignados únicamente los privilegios que les permiten ejecutarse correctamente. Muchos daemons se ejecutan desde cuentas administrativas especiales que no tienen privilegios root (UID=0) a fin de impedir que se usurpen para realizar otras tareas. Estas cuentas administrativas especiales no pueden iniciar sesión. Los dispositivos están protegidos por privilegios.

Sistemas de archivos: de manera predeterminada, todos los sistemas de archivos son sistemas de archivos ZFS. El valor umask del usuario es 022, por lo que cuando el usuario cree un nuevo archivo o directorio, solamente él tendrá permiso para modificarlo. Los miembros del grupo del usuario tienen permitido leer y buscar en el directorio, y leer el archivo. Los inicios de sesión que se realizan fuera del grupo del usuario pueden enumerar el directorio y leer el archivo. Los permisos de directorio son drwxr-xr-x (755). Los permisos de archivo son -rw-r--r-- (644).

Applets de escritorio: los applets de escritorio están protegidos por RBAC. Por ejemplo, sólo el usuario inicial o el rol root pueden utilizar el applet Package Manager para instalar paquetes nuevos. Package Manager no se muestra a los usuarios comunes que no tengan asignados los derechos para utilizarlo.

Funciones de seguridad adicionales en su lugar

Oracle Solaris 11 proporciona funciones de seguridad que se pueden usar para configurar los sistemas y los usuarios a fin de satisfacer los requisitos de seguridad del sitio.

• Control de acceso basado en roles (RBAC): Oracle Solaris proporciona una cantidad de autorizaciones, privilegios y perfiles de derechos. El rol root es el único que está definido. Los perfiles de derechos proporcionan una buena base para los roles que se crean. Además, algunos comandos administrativos requieren autorizaciones RBAC para ejecutarse correctamente. Los usuarios sin autorizaciones no pueden ejecutar los comandos, ni siquiera aunque los usuarios tengan los privilegios requeridos.

• Derechos de usuario: a los usuarios se les asigna una conjunto básico de privilegios, perfiles de derechos y autorizaciones del archivo /etc/security/policy.conf, al igual que al usuario inicial, como se describe en El sistema de acceso está limitado y supervisado. Los intentos de inicio de sesión del usuario no se encuentran limitados, pero el servicio de auditoría registra todos los inicios de sesión que fallan.

• Protección de los archivos del sistema: los archivos del sistema están protegidos con permisos de archivo. Sólo el rol root puede modificar los archivos de configuración del sistema.