Impostazioni predefinite di sicurezza di Oracle Solaris 11

Dopo l'installazione, Oracle Solaris protegge il sistema dalle intrusioni e, tra le altre funzioni di sicurezza, esegue il monitoraggio dei tentativi di login.

Accesso al sistema limitato e monitorato

Account dell'utente iniziale e del ruolo root : l'account dell'utente iniziale può eseguire il login dalla console. L'account viene assegnato al ruolo root. La password per i due account è inizialmente identica.

• Dopo aver eseguito il login, l'utente iniziale può assumere il ruolo root per configurare ulteriormente il sistema. Dopo aver assunto il ruolo, all'utente viene richiesto di modificare la password root. Tenere presente che nessun ruolo può eseguire il login direttamente, incluso il ruolo root.

• L'utente iniziale è assegnato per impostazione predefinita dal file /etc/security/policy.conf. Le impostazioni predefinite includono il profilo relativo ai diritti di base per l'utente Solaris (Basic Solaris User) e relativo all'utente della console (Console User). Questi profili di diritti consentono agli utenti di leggere e scrivere un CD o DVD, eseguire ogni comando nel sistema senza privilegi e arrestare e riavviare il sistema dalla console.

• Anche all'account dell'utente iniziale è assegnato il profilo dei diritti di amministratore di sistema. Pertanto, senza assumere il ruolo root l'utente iniziale dispone di alcuni diritti di amministrazione quali il diritto di installare software e gestire il servizio di denominazione.

Requisiti della password: le password utente devono essere composte da almeno sei caratteri e devono contenere almeno due caratteri alfabetici e uno non alfabetico. Viene eseguito l'hashing delle password mediante l'algoritmo SHA256. Alla modifica delle password, tutti gli utenti, inclusi quelli con ruolo root dovranno conformarsi ai requisiti richiesti.

Accesso di rete limitato: dopo l'installazione, il sistema è protetto dalle intrusioni di rete. Il login remoto eseguito dall'utente iniziale è consentito su una connessione cifrata e autenticata mediante protocollo ssh. Questo è l'unico protocollo di rete che accetta pacchetti in ingresso. Il wrapping della chiave ssh viene eseguito mediante l'algoritmo AES128. Con cifratura e autenticazione attive, l'utente può raggiungere il sistema senza intercessioni, modifiche o spoofing.

Tentativi di login registrati: il servizio di audit è attivo per tutti gli eventi login/logout (login, logout, passaggio di utente, avvio e arresto di una sessione ssh e blocco dello schermo) e per tutti i login (non riusciti) non attribuibili. Poiché il ruolo root non può eseguire il login, il nome dell'utente che utilizza il ruolo root può essere tracciato nell'audit trail. L'utente iniziale può rivedere i log di audit grazie a un diritto garantito tramite il profilo di diritti di amministratore di sistema (System Administrator).

Attivazione di protezioni per kernel, file, e desktop

Dopo l'esecuzione del login da parte dell'utente iniziale, kernel, file system e applicazioni desktop sono protetti da privilegi, autorizzazioni e controlli dell'accesso basati su ruolo (RBAC) minimi.

Protezioni del kernel: a molti daemon e comandi amministrativi vengono assegnati solo privilegi che ne consentono una corretta esecuzione. Molti daemon vengono eseguiti da account amministrativi speciali che non dispongono di privilegi root (UID=0), per evitare l'hijack ed eseguire altre attività. Tali account amministrativi speciali non possono effettuare il login. I dispositivi non sono protetti da privilegi.

File system: per impostazione predefinita, tutti i file system sono di tipo ZFS. Il valore umask dell'utente è 022, pertanto quando un utente crea un nuovo file o directory sarà il solo a disporre delle autorizzazioni per modificarli. I membri di un gruppo utente possono leggere e ricercare la directory, nonché leggere il file. I login che avvengono all'esterno di un gruppo utente possono elencare la directory e leggere il file. Le autorizzazioni della directory sono drwxr-xr-x (755). Le autorizzazioni del file sono -rw-r--r-- (644).

Applet desktop: gli applet desktop sono protetti da RBAC. Ad esempio, solo l'utente iniziale o il ruolo root possono utilizzare l'applet del Package Manager per installare nuovi pacchetti. Package Manager non viene visualizzato da utenti regolari che non dispongono dei relativi diritti.

Ulteriori funzioni di sicurezza attive

Oracle Solaris 11 garantisce funzioni di sicurezza che possono essere utilizzate per configurare sistemi e utenti e soddisfare così i requisiti di sicurezza del sito.

• Role-based access control (RBAC): Oracle Solaris fornisce una serie di autorizzazioni, privilegi e profili di diritti. root è l'unico ruolo definito. I profili di diritti assicurano una buona base per i ruoli creati. Inoltre, alcuni comandi amministrativi richiedono autorizzazioni RBAC per riuscire correttamente. Gli utenti senza autorizzazioni non possono eseguire i comandi anche se dispongono dei privilegi necessari.

• Diritti utente: agli utenti viene assegnato un set di privilegi di base, di profili di diritti e di autorizzazioni definito nel file /etc/security/policy.conf proprio come avviene per l'utente iniziale, in base a quanto descritto nella sezione Accesso al sistema limitato e monitorato. I tentativi di login dell'utente non sono limitati, ma tutti i login non riusciti vengono registrati dal servizio di audit.

• Protezione del file di sistema: i file di sistema sono protetti da autorizzazioni del file. Solo il ruolo root ha la possibilità di modificare i file di configurazione del sistema.