Aspectos básicos del usuario y derechos de procesos

Los términos sin privilegios o sin derechos no se aplican en Oracle Solaris. Cada proceso, en Oracle Solaris, incluidos los procesos regulares del usuario común, tiene al menos algunos privilegios u otros derechos de usuario, como las autorizaciones. Para obtener más información sobre el conjunto básico de privilegios que Oracle Solaris otorga a todos los procesos de unix, consulte Gestión de derechos de procesos.

Los elementos siguientes aplican los derechos de usuario en Oracle Solaris. Estos derechos se pueden configurar para aplicar políticas de seguridad permisivas o políticas de seguridad restrictivas.

• Autorización: un permiso que permite a un usuario o rol a realizar una clase de acciones que requiere derechos adicionales. Por ejemplo, la política de seguridad de manera predeterminada proporciona a los usuarios de la consola la autorización solaris.device.cdrw. Esta autorización permite a los usuarios leer y escribir en un dispositivo de CD-ROM. Para obtener una lista de autorizaciones, utilice el comando auths list. Las autorizaciones se aplican en el nivel de aplicación del usuario, no en el núcleo. Consulte Más información sobre las autorizaciones del usuario.

• Privilegio: un derecho que se puede otorgar a un comando, un usuario, un rol o recursos específicos, como un puerto o método SMF. Los privilegios se implementan en el núcleo. Por ejemplo, el privilegio proc_exec permite a un proceso llamar execve(). Los usuarios comunes tienen privilegios básicos. Para ver sus privilegios básicos, ejecute el comando ppriv -vl basic. Para obtener más información, consulte Gestión de derechos de procesos.

• Atributos de seguridad: un atributo que permite que un proceso realice una operación o la implementación de un derecho. En un entorno UNIX típico, un atributo de seguridad permite a un proceso efectuar una operación que, de lo contrario, está prohibida para los usuarios comunes. Por ejemplo, los programas setuid y setgid tienen atributos de seguridad. En el modelo de derechos, las autorizaciones y los privilegios son atributos de seguridad, además de los programas setuid y setgid. Estos atributos o derechos, se pueden asignar a un usuario. Por ejemplo, un usuario con la autorización solaris.device.allocate puede asignar un dispositivo para uso exclusivo. Los privilegios se pueden colocar en un proceso. Por ejemplo, un proceso con el privilegio file_flag_set puede establecer atributos de archivos: inmutables, sin desvinculación o sólo anexo.

  Los atributos de seguridad también pueden limitar los derechos. Por ejemplo, los access_times y access_tz atributos de seguridad establecen las fechas y las horas, y opcionalmente, la zona horaria cuando se permiten operaciones específicas relacionadas con la seguridad. Puede limitar los usuarios autenticados directamente o mediante su asignación de un perfil de derechos que incluya estas palabras clave. Para obtener más información, consulte la página del comando man user_attr(4).

• Aplicación con privilegios: una aplicación o un comando que puede anular los controles del sistema mediante la comprobación de derechos. Para obtener más información, consulte Aplicaciones que comprueban los derechos y Developer’s Guide to Oracle Solaris 11 Security .

• Perfil de derechos: una recopilación de derechos que se pueden asignar a un rol o a un usuario. Un perfil de derechos puede incluir autorizaciones, privilegios asignados directamente, comandos con atributos de seguridad y otros perfiles de derechos. Los perfiles que están dentro de otros perfiles se denominan perfiles de derechos suplementarios. Los perfiles de derechos ofrecen una forma práctica de agrupar los atributos de los grupos. Se puede asignar directamente a los usuarios o a cuentas especiales denominadas roles. Puede utilizar los comandos en un perfil de derechos sólo si el proceso reconoce los derechos. Además, puede ser necesario proporcionar una contraseña. Como alternativa, se puede proporcionar autenticación de contraseña de manera predeterminada. Consulte Más información sobre los perfiles de derechos.

• Rol: una identidad especial para ejecutar aplicaciones con privilegios. Sólo los usuarios asignados pueden asumir la identidad especial. En un sistema que se ejecuta por roles, el superusuario puede ser innecesario después de la configuración inicial. Consulte Más información sobre los roles.

En la figura siguiente, se muestra cómo funcionan conjuntamente los derechos de usuario y los derechos de proceso.

Figura 1-2  Trabajo en conjunto de derechos de usuario y derechos de proceso

La siguiente figura utiliza el rol de seguridad de la red y el perfil de derechos de seguridad de la red para demostrar cómo funcionan los derechos asignados.

Figura 1-3  Ejemplo de una asignación de derechos de usuario y de derechos de proceso

El rol de seguridad de red se utiliza para gestionar IPsec, wifi y enlaces de red. El rol se asigna al usuario jdoe. jdoe puede asumir el rol si cambia a dicho rol y, a continuación, suministra la contraseña del rol. El administrador puede activar el rol para autenticar mediante la contraseña de usuario en lugar de una contraseña de rol.

En la figura, el perfil de derechos de seguridad de la red se asigna al rol de seguridad de red. El perfil de derechos de seguridad de la red contiene perfiles complementarios que se evalúan en orden: seguridad de wifi de red, seguridad de enlaces de red y gestión de IPsec de red. Estos perfiles complementarios contienen los derechos que completan las principales tareas del rol.

El perfil de derechos de seguridad de la red tiene tres autorizaciones asignadas directamente, ningún privilegio asignado directamente y dos comandos con atributos de seguridad. Los perfiles de derechos complementarios tienen autorizaciones asignadas directamente y dos de ellas tienen comandos con atributos de seguridad.

Cuando jdoe asume el rol de seguridad de la red, el shell cambia a shell de perfil. El proceso de shell de perfil puede evaluar el uso de los derechos, de modo que jdoe puede administrar la seguridad de la red.