JavaScript is required to for searching.
Ignorer les liens de navigation
Quitter l'aperu
Administration d'Oracle Solaris 11.1 : Services de sécurité     Oracle Solaris 11.1 Information Library (Français)
search filter icon
search icon

Informations document

Préface

Partie I Présentation de la sécurité

1.  Services de sécurité (présentation)

Partie II Sécurité du système, des fichiers et des périphériques

2.  Gestion de la sécurité de la machine (présentation)

Contrôle de l'accès à un système informatique

Maintenance de la sécurité physique

Gestion du contrôle de connexion

Gestion des informations de mot de passe

Chiffrement du mot de passe

Comptes système spéciaux

Connexions à distance

Contrôle de l'accès aux périphériques

Stratégie de périphériques (présentation)

Allocation des périphériques (présentation)

Contrôle de l'accès aux ressources de la machine

Randomisation du format d'espace d'adressage

Limitation et contrôle de l'accès superutilisateur

Configuration du contrôle d'accès basé sur les rôles pour remplacer le superutilisateur

Prévention des mauvaises utilisations involontaires des ressources système

Définition de la variable PATH

Affectation d'un shell restreint à des utilisateurs

Restriction de l'accès aux données dans les fichiers

Restriction des fichiers exécutables setuid

Utilisation de la configuration Secure by Default

Utilisation des fonctions de gestion des ressources

Utilisation des zones Oracle Solaris

Surveillance de l'utilisation des ressources de la machine

Surveillance de l'intégrité des fichiers

Contrôle de l'accès aux fichiers

Protection des fichiers par chiffrement

Utilisation des listes de contrôle d'accès

Partage de fichiers entre des machines

Restriction de l'accès root aux fichiers partagés

Contrôle de l'accès réseau

Mécanismes de sécurité réseau

Authentification et autorisation pour l'accès à distance

Systèmes pare-feu

Chiffrement et systèmes pare-feu

Génération de rapports sur les problèmes de sécurité

3.  Contrôle de l'accès aux systèmes (tâches)

4.  Service d'analyse antivirus (tâches)

5.  Contrôle de l'accès aux périphériques (tâches)

6.  Vérification de l'intégrité des fichiers à l'aide de BART (tâches)

7.  Contrôle de l'accès aux fichiers (tâches)

Partie III Rôles, profils de droits et privilèges

8.  Utilisation des rôles et des privilèges (présentation)

9.  Utilisation du contrôle d'accès basé sur les rôles (tâches)

10.  Attributs de sécurité dans Oracle Solaris (référence)

Partie IV Services cryptographiques

11.  Structure cryptographique (présentation)

12.  Structure cryptographique (tâches)

13.  Structure de gestion des clés

Partie V Services d'authentification et communication sécurisée

14.  Utilisation de modules d'authentification enfichables

15.  Utilisation de Secure Shell

16.  Secure Shell (référence)

17.  Utilisation de l'authentification simple et de la couche de sécurité

18.  Authentification des services réseau (tâches)

Partie VI Service Kerberos

19.  Introduction au service Kerberos

20.  Planification du service Kerberos

21.  Configuration du service Kerberos (tâches)

22.  Messages d'erreur et dépannage de Kerberos

23.  Administration des principaux et des stratégies Kerberos (tâches)

24.  Utilisation des applications Kerberos (tâches)

25.  Service Kerberos (référence)

Partie VII Audit dans Oracle Solaris

26.  Audit (présentation)

27.  Planification de l'audit

28.  Gestion de l'audit (tâches)

29.  Audit (référence)

Glossaire

Index

Contrôle de l'accès à un système informatique

Dans une entreprise, tous les ordinateurs connectés à un serveur peuvent être considérés comme un grand système multiforme. Vous êtes responsable de la sécurité de ce vaste système. Vous devez défendre le réseau contre les tentatives d'accès par des intrus. Vous devez également garantir l'intégrité des données sur les ordinateurs à l'intérieur du réseau.

Au niveau des fichiers, Oracle Solaris fournit des fonctionnalités de sécurité standard que vous pouvez utiliser pour protéger les fichiers, répertoires et périphériques. Au niveau du système et du réseau, les problèmes de sécurité sont pratiquement identiques. La première ligne de défense de la sécurité est le contrôle de l'accès à votre système, comme décrit dans les sections suivantes.

Maintenance de la sécurité physique

Pour contrôler l'accès à votre système, vous devez maintenir la sécurité physique de votre environnement informatique. Par exemple, un système qui est connecté et laissé sans surveillance est vulnérable aux accès non autorisés. Un intrus peut accéder au système d'exploitation et au réseau. La zone alentour de l'ordinateur et le matériel de l'ordinateur doivent être physiquement protégés contre tout accès non autorisé.

Vous pouvez protéger un système SPARC contre tout accès non autorisé aux paramètres du matériel. Utilisez la commande eeprom pour exiger un mot de passe pour accéder à la PROM. Pour plus d'informations, reportez-vous à la section Spécification d'un mot de passe obligatoire pour l'accès au matériel SPARC. Pour protéger le matériel x86, consultez la documentation du fournisseur.

Gestion du contrôle de connexion

Vous devez également empêcher toute connexion non autorisée à un système ou au réseau, par le biais de l'affectation d'un mot de passe ou du contrôle de connexion. Tous les comptes sur un système doivent disposer d'un mot de passe. Un mot de passe est un mécanisme d'authentification simple. Un compte sans mot de passe rend l'ensemble du réseau accessible à un intrus ayant deviné un nom d'utilisateur. Un algorithme de mot de passe fort protège contre les attaques en force.

Lorsqu'un utilisateur se connecte à un système, la commande login vérifie le service de noms adéquat ou la base de données de service d'annuaire adéquate en fonction des informations présentes dans le service de commutation de noms, svc:/system/name-service/switch . Les bases de données suivantes peuvent avoir une incidence sur la connexion :

Pour une description du service de noms, reportez-vous à la page de manuel nscd(1M). Pour plus d'informations sur les services de noms et les services d'annuaire, reportez-vous à la section Oracle Solaris Administration: Naming and Directory Services .

La commande login vérifie le nom d'utilisateur et le mot de passe indiqués par l'utilisateur. Si le nom d'utilisateur ne figure pas dans la base de données des mots de passe, la commande login refuse l'accès au système. Si le mot de passe ne correspond pas au nom d'utilisateur spécifié, la commande login refuse l'accès au système. Lorsque l'utilisateur fournit un nom d'utilisateur valide et son mot de passe correspondant, le système accorde à l'utilisateur l'accès au système.

Des modules PAM peuvent simplifier la connexion aux applications après une connexion réussie au système. Pour plus d'informations, reportez-vous au Chapitre 14, Utilisation de modules d'authentification enfichables.

Des mécanismes d'authentification et d'autorisation sophistiqués sont disponibles sur les systèmes Oracle Solaris. Pour une description des mécanismes d'authentification et d'autorisation au niveau du réseau, reportez-vous à la section Authentification et autorisation pour l'accès à distance.

Gestion des informations de mot de passe

Lorsque des utilisateurs se connectent à un système, ils doivent fournir un nom d'utilisateur et un mot de passe. Bien que les informations de connexion soient publiquement connues, les mots de passe doivent être tenus secrets. Les mots de passe ne doivent être connus que des utilisateurs. Les utilisateurs doivent choisir leurs mots de passe avec soin et les modifier souvent.

Les mots de passe sont initialement créés lorsque vous configurez un compte utilisateur. Pour assurer la sécurité des comptes utilisateur, vous pouvez configurer le vieillissement du mot de passe afin d'obliger les utilisateurs à en changer régulièrement. Vous pouvez également désactiver un compte utilisateur en verrouillant le mot de passe. Pour de plus amples informations sur l'administration des mots de passe, reportez-vous au Chapitre 1, Gestion des comptes et des environnements utilisateur (présentation) du manuel Gestion des compte et environnements utilisateur dans Oracle Solaris 11.1 et à la page de manuel passwd(1).

Mots de passe locaux

Si votre réseau utilise des fichiers locaux pour authentifier des utilisateurs, les informations du mot de passe sont conservées dans les fichiers /etc/passwd et /etc/shadow du système. Le nom de l'utilisateur et d'autres informations sont conservées dans le fichier /etc/passwd. Le mot de passe chiffré lui-même est conservé dans un autre fichier shadow appelé /etc/shadow. Cette mesure de sécurité empêche les utilisateurs d'accéder aux mots de passe chiffrés. Alors que le fichier /etc/passwd est accessible à tous ceux qui peuvent se connecter à un système, seul le compte root peut lire le fichier /etc/shadow. Vous pouvez utiliser la commande passwd pour modifier un mot de passe utilisateur sur un système local.

Mots de passe NIS

Si votre réseau utilise NIS pour authentifier des utilisateurs, les informations de mots de passe sont conservées dans la carte des mots de passe NIS. NIS ne prend pas en charge le vieillissement des mots de passe. Vous pouvez utiliser la commande passwd -r nis pour modifier le mot de passe d'un utilisateur qui est stocké dans une carte de mots de passe NIS.

Mots de passe LDAP

Le service de noms LDAP d'Oracle Solaris stocke des informations de mot de passe et des informations en double dans le conteneur ou=people de la structure de répertoire LDAP. Sur le client du service de noms LDAP d'Oracle Solaris, vous pouvez utiliser la commande passwd -r ldap pour changer le mot de passe d'un utilisateur. Le service de noms LDAP stocke le mot de passe dans le référentiel LDAP.

La stratégie de mot de passe est appliquée sur le Oracle Directory Server Enterprise Edition. Plus précisément, le module pam_ldap du client suit les contrôles de stratégie de mot de passe mis en oeuvre sur le Oracle Directory Server Enterprise Edition. Pour plus d'informations, reportez-vous à la section Modèle de sécurité des services de noms LDAP du manuel Utilisation des services de noms et d’annuaire dans Oracle Solaris 11.1.

Chiffrement du mot de passe

Le chiffrement du mot de passe fort constitue une première barrière contre les attaques. Le logiciel Oracle Solaris fournit six algorithmes de chiffrement de mot de passe. Les algorithmes Blowfish, MD5 et SHA permettent le chiffrement fiable des mots de passe.

Identificateurs d'algorithmes de mot de passe

Vous spécifiez la configuration des algorithmes pour votre site dans le fichier /etc/security/policy.conf. Dans le fichier policy.conf , les algorithmes sont nommés par leur identificateur, comme indiqué dans le tableau ci-après. Pour la mise en correspondance des identificateurs et des algorithmes, reportez-vous au fichier /etc/security/crypt.conf.

Tableau 2-1 Algorithmes de chiffrement de mot de passe

Identificateur
Description
Page de manuel de l'algorithme
1
Algorithme MD5 compatible avec des algorithmes MD5 sur des systèmes BSD et Linux.
2a
Algorithme Blowfish compatible avec l'algorithme Blowfish sur les systèmes BSD.
md5
Algorithme Sun MD5 considéré comme plus fort que la version BSD et Linux de MD5.
5
Algorithme SHA256. SHA est l'acronyme de Secure Hash Algorithm (algorithme de hachage sécurisé). Cet algorithme est un membre de la famille SHA-2. SHA256 prend en charge des mots de passe à 255 caractères.
6
Algorithme SHA512.
__unix__
Désapprouvé. Algorithme de chiffrement UNIX standard. Cet algorithme peut être utile lors de la connexion aux anciens systèmes.
Configuration d'algorithmes dans le fichier policy.conf

L'exemple suivant montre la configuration d'algorithmes par défaut dans le fichier policy.conf :

#
…
# crypt(3c) Algorithms Configuration
#
# CRYPT_ALGORITHMS_ALLOW specifies the algorithms that are allowed
to
# be used for new passwords.  This is enforced only in crypt_gensalt(3c).
#
CRYPT_ALGORITHMS_ALLOW=1,2a,md5,5,6

# To deprecate use of the traditional unix algorithm, uncomment below
# and change CRYPT_DEFAULT= to another algorithm.  For example,
# CRYPT_DEFAULT=1 for BSD/Linux MD5.
#
#CRYPT_ALGORITHMS_DEPRECATE=__unix__

# The Oracle Solaris default is a SHA256 based algorithm.  To revert to
# the policy present in Solaris releases set CRYPT_DEFAULT=__unix__,
# which is not listed in crypt.conf(4) since it is internal to libc.
#
CRYPT_DEFAULT=5
…

Lorsque vous modifiez la valeur de CRYPT_DEFAULT, les mots de passe des nouveaux utilisateurs sont chiffrés avec l'algorithme associé à la nouvelle valeur.

Lorsque des utilisateurs existants modifient leurs mots de passe, le chiffrement de leur ancien mot de passe a une incidence sur l'algorithme utilisé pour chiffrer le nouveau mot de passe. Par exemple, supposons que CRYPT_ALGORITHMS_ALLOW=1,2a,md5,5,6 et CRYPT_DEFAULT=1 . Le tableau ci-dessous montre quel algorithme sera utilisé pour générer le mot de passe chiffré.

Identificateur = Algorithme de mot de passe
Explication
Mot de passe initial
Mot de passe modifié
1 = crypt_bsdmd5
Utilise le même algorithme
L'identificateur 1 est également la valeur de CRYPT_DEFAULT. Le mot de passe de l'utilisateur continue d'être chiffré avec l'algorithme crypt_bsdmd5.
2a = crypt_bsdbf
Utilise le même algorithme
L'identificateur 2a est dans la liste CRYPT_ALGORITHMS_ALLOW. Par conséquent, le nouveau mot de passe est chiffré avec l'algorithme crypt_bsbdf.
md5 = crypt_md5
Utilise le même algorithme
L'identificateur m5a est dans la liste CRYPT_ALGORITHMS_ALLOW. Par conséquent, le nouveau mot de passe est chiffré avec l'algorithme crypt_md5.
5 = crypt_sha256
Utilise le même algorithme
L'identificateur 5 est dans la liste CRYPT_ALGORITHMS_ALLOW. Par conséquent, le nouveau mot de passe est chiffré avec l'algorithme crypt_sha256.
6 = crypt_sha512
Utilise le même algorithme
L'identificateur 6 est dans la liste CRYPT_ALGORITHMS_ALLOW. Par conséquent, le nouveau mot de passe est chiffré avec l'algorithme crypt_sha512.
__unix__ = crypt_unix
Utilise l'algorithme crypt_bsdmd5
L'identificateur __unix__ n'est pas dans la liste CRYPT_ALGORITHMS_ALLOW. Par conséquent, l'algorithme crypt_unix ne peut pas être utilisé. Par conséquent, le nouveau mot de passe est chiffré avec l'algorithme CRYPT_DEFAULT.

Pour plus d'informations sur la configuration des sélections d'algorithme, reportez-vous à la page de manuel policy.conf(4) Pour spécifier le mot de passe, les algorithmes de chiffrement des mots de passe, consultez Modification de l'algorithme par défaut pour le chiffrement de mot de passe (tâches).

Comptes système spéciaux

Le compte root est l'un des nombreux comptes système. Parmi ces comptes, seul le compte root est associé à un mot de passe et peut se connecter. Le compte nuucp peut se connecter pour les transferts de fichiers. Les autres comptes système protègent les fichiers ou exécutent des processus administratifs sans recourir aux pleins pouvoirs de root.


Attention

Attention - Ne modifiez jamais la définition du mot de passe d'un compte système. Les comptes système dans Oracle Solaris sont fournis dans un état sûr et sécurisé.


Le tableau suivant répertorie des comptes système et leurs utilisations. Les comptes système exécutent des fonctions spéciales. Chaque compte possède un ID utilisateur inférieur à 100.

Tableau 2-2 Comptes système sélectionnés et leurs utilisations

Compte de connexion
UID
Utilisation
root
0
N'a pratiquement pas de restrictions. Peut remplacer d'autres protections et autorisations. Le compte root a accès à l'ensemble du système. Le mot de passe pour le compte root doit être très soigneusement protégé. Le compte root est propriétaire de la plupart des commandes Oracle Solaris.
daemon
1
Contrôle le traitement en arrière-plan.
bin
2
Est propriétaire de certaines commandes Oracle Solaris.
sys
3
Est propriétaire de nombreux fichiers système.
adm
4
Est propriétaire de certains fichiers administratifs.
lp
71
Est propriétaire des fichiers de données d'objet et des fichiers de données mis en spool pour l'imprimante.
uucp
5
Est propriétaire des fichiers de données d'objet et des fichiers de données mis en spool pour UUCP, le programme de copie UNIX-to-UNIX.
nuucp
9
Est utilisé par les systèmes distants pour se connecter au système et démarrer des transferts de fichiers.

Connexions à distance

Les connexions à distance constituent une cible tentante pour les intrus. Oracle Solaris fournit plusieurs commandes pour surveiller, limiter et désactiver les connexions à distance. Pour plus d'informations sur les procédures, reportez-vous à la section Sécurisation des connexions et des mots de passe (liste des tâches).

Par défaut, les connexions à distance ne peuvent pas contrôler ni lire certains périphériques système, tels que la souris, le clavier, la mémoire graphique ou le périphérique audio. Pour plus d'informations, reportez-vous à la page de manuel logindevperm(4).