Protección de los dispositivos con el software Trusted Extensions

En un sistema Oracle Solaris, los dispositivos se pueden proteger mediante la asignación y la autorización. De manera predeterminada, los dispositivos se encuentran disponibles para los usuarios comunes sin necesidad de autorización. Un sistema configurado con la función Trusted Extensions utiliza los mecanismos de protección de dispositivos del SO Oracle Solaris.

Sin embargo, de manera predeterminada, Trusted Extensions requiere que los dispositivos se asignen y que el usuario esté autorizado para usarlos. Además, los dispositivos se protegen mediante etiquetas. Trusted Extensions proporciona una interfaz gráfica de usuario (GUI, Graphical User Interface) para que los administradores puedan gestionar los dispositivos. Es la misma interfaz que utilizan los usuarios para asignar los dispositivos.

Para obtener información sobre la protección de dispositivos en Oracle Solaris, consulte el Capítulo 4, Controlling Access to Devices (Tasks) de System Administration Guide: Security Services.

En el sistema configurado con Trusted Extensions, dos roles protegen los dispositivos.

• El rol de administrador del sistema controla el acceso a los dispositivos periféricos.

  El administrador del sistema permite que los dispositivos sean asignables. Nadie puede usar los dispositivos establecidos como no asignables por el administrador del sistema. Solamente los usuarios autorizados pueden asignar los dispositivos asignables.

• El rol de administrador de la seguridad restringe las etiquetas en las que se puede acceder a un dispositivo y establece la política de dispositivos. El administrador de la seguridad decide quién está autorizado a asignar un dispositivo.

Las siguientes son las principales funciones del control de los dispositivos con el software Trusted Extensions:

• De manera predeterminada, en el sistema Trusted Extensions, un usuario sin autorización no puede asignar dispositivos como unidades de cinta, unidades de CD-ROM o disquetes.

  Un usuario común que cuente con la autorización Allocate Device puede importar o exportar la información de la etiqueta en la que el usuario asigna el dispositivo.

• Los usuarios invocan Device Allocation Manager cuando inician sesión directamente. Para asignar un dispositivo de manera remota, los usuarios deben tener acceso a la zona global. En general, solamente los roles tienen acceso a la zona global.

• Puede que el rango de etiquetas de cada dispositivo esté restringido por el administrador de la seguridad. Los usuarios comunes están limitados a acceder a los dispositivos cuyo rango de etiquetas incluya las etiquetas en las que a los usuarios se les permite trabajar. El rango de etiquetas predeterminado de un dispositivo es de ADMIN_LOW a ADMIN_HIGH.

• Los rangos de etiquetas se pueden restringir tanto para los dispositivos que son asignables como para los que no son asignables. Entre los dispositivos que no son asignables se encuentran los búferes de trama y las impresoras.

Rangos de etiquetas de dispositivos

Para evitar que los usuarios copien información confidencial, cada dispositivo asignable tiene un rango de etiquetas. Para utilizar un dispositivo asignable, el usuario debe encontrarse operando en una etiqueta que esté dentro del rango de etiquetas del dispositivo. Si no fuera así, se deniega la asignación. La etiqueta actual del usuario se aplica a los datos que se importan o exportan mientras se asigna el dispositivo al usuario. La etiqueta de los datos exportados se muestra cuando el dispositivo se desasigna. El usuario debe colocar una etiqueta en el medio que contiene los datos exportados de manera física.

Efectos del rango de etiquetas en un dispositivo

Para restringir el acceso de inicio de sesión directo por medio de la consola, el administrador de la seguridad puede establecer un rango de etiquetas restringido en el búfer de trama.

Por ejemplo, se puede especificar un rango de etiquetas restringido a fin de limitar el acceso a un sistema de acceso público. El rango de etiquetas permite a los usuarios acceder al sistema solamente en una etiqueta que esté dentro del rango de etiquetas del búfer de trama.

Cuando un host tiene una impresora local, un rango de etiquetas restringido en la impresora limita los trabajos que se pueden imprimir con esa impresora.

Políticas de acceso a dispositivos

Trusted Extensions sigue las mismas políticas de dispositivos que Oracle Solaris. El administrador de la seguridad puede cambiar las políticas predeterminadas y definir políticas nuevas. El comando getdevpolicy recupera la información sobre la política de dispositivos y el comando update_drv cambia la política de dispositivos. Para obtener más información, consulte Configuring Device Policy (Task Map) de System Administration Guide: Security Services. Consulte también las páginas del comando man getdevpolicy(1M) y update_drv(1M).

Secuencias de comandos device-clean

La secuencia de comandos device-clean se ejecuta cuando se asigna o desasigna un dispositivo. Oracle Solaris proporciona secuencias de comandos para unidades de cinta, de CD-ROM y de disquete. Si su sitio agrega tipos de dispositivos asignables al sistema, puede que los dispositivos agregados requieran secuencias de comandos. Para ver las secuencias de comandos existentes, vaya al directorio /etc/security/lib. Para obtener más información, consulte Device-Clean Scripts de System Administration Guide: Security Services.

Para el software Trusted Extensions, las secuencias de comandos device-clean deben cumplir ciertos requisitos. Estos requisitos se describen en la página del comando man device_clean(5).