Miglioramenti alla sicurezza

Questa sezione descrive tutti i miglioramenti alle funzioni di sicurezza che sono stati introdotti o modificati in Solaris 10 3/05 rispetto alla versione Solaris 9 distribuita originariamente nel maggio 2002. La Gestione delle autorizzazioni dei processi e il Gruppo software Reduced Networking rivestono particolare importanza. Per informazioni sulle funzioni di sicurezza introdotte in Solaris 10 7/05, vedere Miglioramenti alla sicurezza.

Oltre alle funzioni di sicurezza descritte in questa sezione, vedere anche le descrizioni delle seguenti funzioni legate alla sicurezza nelle sezioni relative agli sviluppatori e all'installazione:

• Metodo di installazione boot WAN

• Gruppo software Reduced Networking

• Nuovo meccanismo per il framework crittografico di Solaris

• Opzioni retail e nonretail per i provider del framework crittografico di Solaris

• SASL per gli sviluppatori

• Pseudomeccanismo SPNEGO per le applicazioni GSS-API

• Funzione crypt() avanzata per sviluppatori di software

• Interfacce per i terminali di smart card

• API di middleware per smart card

Firma di oggetti ELF

Questa funzione è stata introdotta in Solaris 10 3/05.

Le librerie e i file eseguibili di Solaris 10 includono firme digitali che permettono di verificarne l'integrità. La firma digitale consente infatti di rilevare eventuali modifiche accidentali o manomissioni intenzionali nel contenuto eseguibile del file.

I plugin per il framework crittografico di Solaris sono sottoposti a una verifica automatica quando vengono caricati dal sistema. Il comando elfsign permette di verificare manualmente i file firmati. Inoltre, sviluppatori e amministratori possono usare elfsign per firmare il proprio codice.

Per maggiori informazioni, vedere la pagina man elfsign(1).

Gestione delle autorizzazioni dei processi

Questa funzione è stata introdotta nel programma pilota Software Express. Questa funzione è inclusa in Solaris 10 3/05.

In Solaris, le attività amministrative che in precedenza richiedevano le autorizzazioni di superutente sono ora protette dalla gestione delle autorizzazioni dei processi. Questo metodo utilizza i privilegi per limitare i processi al livello di comando, di utente, di ruolo o di sistema. Un privilegio è una precisa autorizzazione richiesta dal processo per eseguire un'operazione. Il sistema assegna ai processi solo i privilegi richiesti per eseguire l'attività in corso. In questo modo si riducono le possibili violazioni ai processi root. Inoltre, il numero di programmi setuid è stato fortemente ridotto.

Una volta installati, Software Express e Solaris 10 3/05 sono totalmente compatibili con le versioni precedenti del sistema operativo Solaris in termini di miglioramenti applicati ai privilegi. Ai programmi non modificati che vengono eseguiti come utente root vengono assegnati tutti i privilegi.

Protezione dei dispositivi – I dispositivi sono protetti dall'applicazione di criteri di sicurezza. Questi criteri vengono impostati tramite i privilegi. In questo modo, le autorizzazioni del file del dispositivo non sono i soli fattori a determinarne la disponibilità. Per utilizzarlo sono necessari anche i privilegi appropriati.

Le interfacce di sistema in precedenza protette dalle autorizzazioni UNIX sono ora protette dai privilegi. Ad esempio, i membri del gruppo sys non sono più automaticamente autorizzati ad aprire il dispositivo /dev/ip. I processi che vengono eseguiti con il privilegio net_rawaccess possono accedere al dispositivo /dev/ip. All'avvio del sistema, l'accesso a tutti i dispositivi è negato fino all'esecuzione del comando devfsadm. I criteri iniziali sono i più severi che è possibile impostare. Questi criteri impediscono a tutti gli utenti con l'eccezione del superutente l'attivazione delle connessioni.

Vedere anche le seguenti pagine man:

• getdevpolicy(1M)

• ppriv(1)

• add_drv(1M)

• update_drv(1M)

• rem_drv(1M)

• devfsadm(1M)

I processi che richiedono l'accesso alle informazioni della MIB Solaris IP devono aprire /dev/arp ed eseguire il push dei moduli “tcp” e “udp”. Non sono richiesti privilegi. Questo metodo equivale ad aprire /dev/ip ed eseguire il push dei moduli “arp”, “tcp” e “udp”. Poiché /dev/ip richiede un accesso con privilegi, l'utilizzo di /dev/arp è preferibile.

Per maggiori informazioni, vedere le seguenti sezioni del manuale System Administration Guide: Security Services :

• “Using Roles and Privileges (Overview)”

• “Privileges (Overview)”

• “Privileges (Tasks)”

Modifiche a PAM in Solaris 10

Il nuovo modulo pam_deny è stato introdotto nel programma pilota Software Express e rivisto nella versione Solaris 10 Beta 4. Questa funzione è inclusa in Solaris 10 3/05. Il modulo può essere usato per negare l'accesso a un determinato servizio PAM. Nell'impostazione predefinita, il modulo pam_deny non viene utilizzato. Per maggiori informazioni, vedere la pagina man pam_deny(5).

Solaris 10 include le seguenti modifiche al framework PAM.

• Il modulo pam_authtok_check consente ora un controllo rigoroso delle password che utilizza nuovi parametri configurabili del file /etc/default/passwd. I nuovi parametri configurabili includono:

  • Un elenco di file di dizionario separati da virgole utilizzati per il controllo della presenza di parole comuni nelle password

  • Le differenze minime richieste tra la vecchia e la nuova password

  • Il numero minimo di caratteri alfabetici e non alfabetici da utilizzare nelle nuove password

  • Il numero minimo di lettere maiuscole e minuscole da utilizzare nelle nuove password

  • Il numero consentito di caratteri ripetuti consecutivi

  • Il numero di cifre da utilizzare nella nuova password

  • La possibilità o meno di utilizzare spazi vuoti nella nuova password

• Il modulo pam_unix_auth implementa il blocco degli account per gli utenti locali. Il blocco dell'account è abilitato dal parametro configurabile LOCK_AFTER_RETRIES in /etc/security/policy.conf e dalla chiave lock_after-retries in /etc/user_attr.

• È stato definito un nuovo flag di controllo binding. Se il modulo PAM ha successo e in nessuno dei moduli precedenti contrassegnati come required si è verificato un errore, PAM ignora i moduli successivi e la richiesta di autenticazione ha successo. Se invece si verifica un errore, PAM registra un errore in un modulo richiesto e quindi prosegue l'elaborazione dello stack. Questo flag di controllo è documentato nella pagina man pam.conf(4).

• Il modulo pam_unix è stato rimosso e sostituito da un set di moduli di servizio con funzionalità equivalenti o superiori. Molti di questi moduli erano stati introdotti in Solaris 9. Qui di seguito è riportato un elenco dei moduli sostitutivi:

  • pam_authtok_check

  • pam_authtok_get

  • pam_authtok_store

  • pam_dhkeys

  • pam_passwd_auth

  • pam_unix_account

  • pam_unix_auth

  • pam_unix_cred

  • pam_unix_session

• Le funzionalità del modulo pam_unix_auth sono state suddivise tra due moduli. Il modulo pam_unix_auth ora verifica che la password sia corretta per l'utente. Il nuovo modulo pam_unix_cred fornisce funzioni che impostano le informazioni sulle credenziali dell'utente.

• Alcune aggiunte al modulo pam_krb5 gestiscono la cache delle credenziali Kerberos utilizzando il framework PAM. Vedere Miglioramenti a Kerberos.

Modifiche a pam_ldap

Le seguenti modifiche a pam_ldap sono state introdotte in Solaris Express 10/04, ad eccezione della funzionalità di gestione degli account. Questa funzione è stata introdotta nel programma pilota Software Express e nella versione Solaris 9 12/02. Per maggiori informazioni su queste modifiche, vedere la pagina man pam_ldap(5).

• Le opzioni use_first_pass e try_first_pass, precedentemente supportate, sono diventate obsolete a partire da questa versione di Solaris 10. Queste opzioni non sono più necessarie. Possono perciò essere rimosse da pam.conf e ignorate.

• La presentazione della richiesta della password deve essere eseguita collocando pam_authtok_get prima di pam_ldap negli stack dei moduli di autenticazione e della password e includendo pam_passwd_auth nello stack passwd_service_auth.

• In questa versione, la funzione di aggiornamento della password precedentemente supportata è sostituita dall'uso di pam_authtok_store con l'opzione server_policy.

• La funzione di gestione degli account pam_ldap rafforza la sicurezza complessiva del servizio di denominazione LDAP. In particolare, la funzione di gestione degli account opera come segue:

  • Consente di controllare la durata e la scadenza delle password

  • Impedisce agli utenti di scegliere password troppo semplici o già usate in precedenza

  • Avverte l'utente quando la password sta per scadere

  • Blocca l'accesso degli utenti dopo ripetuti errori di login

  • Impedisce a tutti gli utenti, con l'eccezione dell'amministratore di sistema autorizzato, di disattivare gli account inizializzati

Non è possibile eseguire un aggiornamento automatico delle modifiche elencate in precedenza. Di conseguenza, un aggiornamento a Solaris 10 o a una versione successiva non può aggiornare automaticamente il file pam.conf esistente per riprodurre le modifiche apportate a pam_ldap. Se il file pam.conf esistente contiene una configurazione pam_ldap, il file CLEANUP informa l'utente al termine dell'aggiornamento. Esaminare il file pam.conf e apportare eventualmente le modifiche necessarie.

Vedere anche le seguenti pagine man:

• pam_passwd_auth(5)

• pam_authtok_get(5)

• pam_authtok_store(5)

• pam.conf(4)

Per maggiori informazioni sui servizi di denominazione e di directory di Solaris, vedere il manuale System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP). Per informazioni sulle funzioni di sicurezza di Solaris, vedere il manuale System Administration Guide: Security Services.

Miglioramenti alla Secure Shell di Solaris

Questa descrizione è stata introdotta in Solaris Express 10/04.

In Solaris 10 sono stati introdotti i seguenti miglioramenti alla Secure Shell:

• La Secure Shell di Solaris è basata su OpenSSH 3.5p1. L'implementazione di Solaris include inoltre funzionalità e correzioni di versioni anteriori a OpenSSH 3.8p1.

• La Secure Shell di Solaris supporta ora l'utilizzo della GSS-API per l'autenticazione degli utenti e degli host che utilizzano Kerberos V.

  Il supporto di PAM, incluso il supporto della funzione di aging delle password, è stato migliorato.

• Il valore predefinito di X11Forwarding nel file di configurazione /etc/ssh/sshd è yes.

• Sono ora disponibili le cifrature ARCFOUR e AES128-CTR. ARCFOUR è noto anche come RC4. La cifratura AES è AES in modalità contatore.

• Per maggiori informazioni sui miglioramenti, vedere la descrizione Daemon sshd e /etc/default/login .

Per maggiori informazioni sulla sicurezza in Solaris 10, vedere il manuale System Administration Guide: Security Services.

OpenSSL e motore OpenSSL PKCS#11

Questa funzione è stata introdotta in Solaris Express 8/04.

Questa versione di Solaris include le librerie e i comandi OpenSSL in /usr/sfw.

Include inoltre un'interfaccia del motore OpenSSL per PKCS#11, in modo che gli utenti di OpenSSL possano accedere ai provider di crittografia hardware e software del Solaris Cryptographic Framework.

A causa delle limitazioni alle importazioni crittografiche imposte in alcuni paesi, gli algoritmi crittografici a chiave simmetrica sono limitati a 128 bit se non è installato il pacchetto SUNWcry. Il pacchetto SUNWcry non è incluso in Solaris. È invece disponibile per essere scaricato separatamente.

Daemon sshd e /etc/default/login

Questa funzione è stata introdotta in Solaris Express 10/04.

Il daemon sshd utilizza le variabili presenti in /etc/default/login e il comando login. Le variabili etc/default/login possono essere modificate dai valori presenti nel file sshd_config.

Per maggiori informazioni, vedere “Solaris Secure Shell and Login Environment Variables” nel manuale System Administration Guide: Security Services. Vedere anche la pagina man sshd_config(4).

Nuove opzioni per le password per gli account non di login e per gli account bloccati

Questa funzione è stata introdotta in Solaris Express 10/04.

Il comando passwd dispone di due nuove opzioni, -N e -u. L'opzione -N crea una password per un account non usato per il login. Questa opzione è utile per gli account che non devono essere utilizzati per il login ma che devono eseguire lavori cron. L'opzione -u sblocca un account precedentemente bloccato.

Per maggiori informazioni, vedere la pagina man passwd(1).

L'opzione -setcond del comando auditconfig è stata rimossa

Questa funzione è stata introdotta in Solaris Express 10/04.

L'opzione -setcond del comando auditconfig è stata rimossa. Per disabilitare temporaneamente la revisione, usare il comando audit -t. Per riavviare la revisione, usare il comando audit -s.

Criterio di revisione perzone

Questa funzione è stata introdotta in Solaris Express 8/04.

Il criterio di revisione perzone permette di revisionare individualmente le zone non globali. In ogni zona viene eseguito un daemon di revisione separato. Il daemon utilizza file di configurazione specifici per la zona. Viene inoltre utilizzata una coda di revisione specifica per la zona. Nella configurazione predefinita, il criterio è disabilitato.

Per maggiori informazioni, vedere le pagine man auditd(1M) e auditconfig(1M).

Miglioramenti a Kerberos

Questi miglioramenti a Kerberos sono inclusi in Solaris 10. Diversi miglioramenti erano stati introdotti in precedenti versioni di Software Express.

• Il supporto del protocollo Kerberos è disponibile in applicazioni remote, ad esempio ftp, rcp, rdist, rlogin, rsh e telnet. Per maggiori informazioni, vedere le pagine man dei rispettivi comandi e daemon e la pagina man krb5_auth_rules(5).

• Il database dei nomi principali di Kerberos può ora essere trasferito con un aggiornamento incrementale (non è quindi più necessario trasferire ogni volta l'intero database). La propagazione incrementale presenta una serie di vantaggi, tra cui:

  • Una migliore coerenza dei database sui vari server

  • Una minore occupazione di risorse (rete e CPU)

  • Una propagazione molto più efficiente degli aggiornamenti

  • Un metodo di propagazione automatizzato

• Un nuovo script facilita la configurazione automatica di un client Kerberos. Questo script permette agli amministratori di impostare in modo semplice e rapido un client Kerberos. Per le procedure che utilizzano il nuovo script, vedere il Capitolo 22, “Configuring the Kerberos Service (Tasks)”, nel manuale System Administration Guide: Security Services. Vedere anche la pagina man kclient(1M).

• Al servizio Kerberos sono stati aggiunti nuovi tipi di cifratura. Questi nuovi tipi di cifratura migliorano la sicurezza e la compatibilità con altre implementazioni di Kerberos che li supportano. Tutti i tipi di cifratura sono documentati nella pagina man mech(4) Per maggiori informazioni, vedere “Using Kerberos Encryption Types” nel manuale System Administration Guide: Security Services I tipi di cifratura offrono le seguenti capacità:

  • Il tipo di cifratura AES può essere utilizzato per la cifratura con un elevato livello di velocità e sicurezza delle sessioni Kerberos. L'utilizzo di AES è abilitato tramite il framework crittografico.

  • ARCFOUR-HMAC fornisce una maggiore compatibilità con altre versioni di Kerberos.

  • Il tipo Triple DES (3DES) con SHA1 migliora la sicurezza. Questo tipo di cifratura aumenta anche l'interoperabilità con altre implementazioni di Kerberos che lo supportano.

• Il software KDC e il comando kinit ora supportano l'utilizzo del protocollo di rete TCP. Questa aggiunta consente un funzionamento più affidabile e una migliore interoperabilità con le altre implementazioni di Kerberos. Il KDC ora “resta in attesa” sia sulle consuete porte UDP che sulle porte TCP ed è pronto a rispondere alle richieste che usano uno dei due protocolli. Quando il comando kinit invia una richiesta al KDC utilizza il protocollo UDP. Se si verifica un errore, il comando kinit prova ad utilizzare TCP.

• Il supporto per IPv6 è stato aggiunto al software KDC con i comandi kinit, klist e kprop. Il supporto per gli indirizzi IPv6 è impostato come predefinito. Non è necessario modificare nessun parametro per abilitare tale supporto.

• Una nuova opzione -e è stata aggiunta a diversi sottocomandi di kadmin. Questa nuova opzione consente di selezionare il tipo di cifratura al momento della creazione dei nomi principali. Per maggiori informazioni, vedere la pagina man kadmin(1M).

• Alcune aggiunte al modulo pam_krb5 gestiscono la cache delle credenziali Kerberos utilizzando il framework PAM. Per maggiori informazioni, vedere la pagina man pam_krb5(5).

• È fornito il supporto per la rilevazione automatica del KCD Kerberos, del server di amministrazione, del server kpasswd e una serie di mappature dal nome dell'host o del dominio al settore che utilizzano DNS. Questo supporto elimina alcuni passaggi richiesti per l'installazione di un client Kerberos. Il client è in grado di individuare il server KDC usando il DNS anziché dover consultare un file di configurazione. Per maggiori informazioni, vedere la pagina man krb5.conf(4).

• È stato introdotto un nuovo modulo PAM denominato pam_krb5_migrate. Il nuovo modulo facilita la migrazione automatica degli utenti al settore locale Kerberos se questi non dispongono già di un account Kerberos. Per maggiori informazioni, vedere la pagina man pam_krb5_migrate(5).

• Il file ~/.k5login può ora essere utilizzato con le applicazioni GSS ftp e ssh. Per maggiori informazioni, vedere la pagina man krb5_auth_rules(5).

• Il programma kproplog è stato aggiornato in modo da visualizzare tutti i nomi degli attributi nelle voci di log. Per maggiori informazioni, vedere la pagina man kproplog(1M).

• Una nuova opzione del file di configurazione rende la funzione di verifica rigorosa del TGT configurabile opzionalmente per singolo settore. Per maggiori informazioni, vedere la pagina man krb5.conf(4).

• Alcune estensioni ai programmi di modifica delle password consentono al server di amministrazioni di Solaris Kerberos V5 di accettare modifiche alle password richieste da client non Solaris. Per maggiori informazioni, vedere la pagina man kadmin(1M).

• La posizione predefinita della cache di replay è stata trasferita dai file system in RAM a un file system persistente in /var/krb5/rcache/. Questa nuova posizione evita i replay quando il sistema viene riavviato. Alcuni miglioramenti alle prestazioni sono stati apportati al codice rcache. Tuttavia, le prestazioni della cache di replay possono essere rallentate dall'utilizzo della memorizzazione persistente.

• È ora possibile configurare l'utilizzo della memorizzazione su file o in RAM per la cache di replay. Fare riferimento alla pagina man krb5envvar(5) per maggiori informazioni sulle variabili d'ambiente che è possibile configurare per la tabella delle chiavi e per i tipi e le posizioni della cache delle credenziali.

• La tabella delle credenziali GSS non è più richiesta per il meccanismo Kerberos GSS. Per maggiori informazioni, vedere le pagine man gsscred(1M), gssd(1M) e gsscred.conf(4).

• Le utility Kerberos kinit e ktutil sono ora basate sulla versione MIT Kerberos 1.2.1. Questa modifica comporta l'aggiunta di nuove opzioni al comando kinit e la disponibilità di nuovi sottocomandi per il comando ktutil. Per maggiori informazioni, vedere le pagine man kinit(1) e ktutil(1).

• IL KDC (Key Distribution Center) Kerberos di Solaris si basa ora sul MIT Kerberos versione 1.2.1. Nell'impostazione predefinita, KDC utilizza ora un database basato su btree, più affidabile di quello attuale basato sugli hash. Per maggiori informazioni, vedere la pagina man kdb5_util(1M) Per gli utenti di Solaris 9, questa modifica era stata introdotta nella versione Solaris 9 12/03.

Wrapper TCP per rpcbind

Questa funzione è stata introdotta in Solaris Express 4/04.

Al comando rpcbind è stato aggiunto il supporto per i wrapper TCP. Questo supporto consente all'amministratore di limitare le chiamate a rpcbind ad alcuni specifici host. L'amministratore può anche registrare nel log tutte le chiamate a rpcbind.

Per maggiori informazioni, vedere la pagina man rpcbind(1M).

Token di revisione e opzione dei criteri di revisione zonename

La tecnologia di partizionamento Solaris Zones è stata introdotta in Solaris Express 2/04. Vedere Tecnologia di partizionamento software Solaris Zones. I miglioramenti correlati a zonename qui descritti sono stati anch'essi introdotti in Solaris Express 2/04.

Il token di revisione zonename registra il nome della zona in cui si verifica l'evento di revisione. L'opzione zonename audit policy determina, per tutte le zone, se il token zonename è incluso nei record di revisione. Se i criteri per la preselezione della classe di revisione sono diversi nelle varie zone non globali, può essere opportuno analizzare i record di revisione per zona. Il criterio di revisione zonename consente di selezionare i record di revisione per zona.

Vedere “Auditing and Solaris Zones” nel manuale System Administration Guide: Security Services.

Per maggiori informazioni, vedere le pagine man audit.log(4), auditconfig(1M) e auditreduce(1M). Vedere anche “Using Solaris Auditing in Zones” nel manuale System Administration Guide: Solaris Containers-Resource Management and Solaris Zones.

Comandi utente per il framework crittografico di Solaris

Questa funzione è stata introdotta in Solaris Express 1/04.

I comandi digest, mac ed encrypt ora includono un'opzione che permette di elencare gli algoritmi disponibili per ciascun comando. Per i comandi mac ed encrypt, l'output include la lunghezza delle chiavi accettate da ciascun algoritmo. Inoltre, l'opzione -I <IV-file> è stata rimossa dai comandi encrypt e decrypt.

Per maggiori informazioni, vedere il Capitolo 14, “Solaris Cryptographic Framework (Tasks)” e “Protecting Files With the Solaris Cryptographic Framework” nel manuale System Administration Guide: Security Services.

Vedere anche le pagine man encrypt(1), digest(1) e mac(1).

Parametri di configurazione IKE

Questa funzione è stata introdotta in Solaris Express 1/04.

Al file /etc/inet/ike/config sono stati aggiunti parametri di ritrasmissione e di timeout dei pacchetti. I parametri consentono all'amministratore di configurare la negoziazione IKE fase 1 (modalità principale). La configurazione consente al sistema Solaris IKE di interoperare con le piattaforme che implementano il protocollo IKE in modo differente. I parametri facilitano anche le regolazioni legate alle interferenze di rete e in presenza di forte traffico.

Per una descrizione dettagliata dei parametri, vedere la pagina man ike.config(4).

SASL (Simple Authentication and Security Layer)

Questa funzione è stata introdotta in Solaris Express 12/03.

La funzione SASL (Simple Authentication and Security Layer) fornisce agli sviluppatori di applicazioni le interfacce per aggiungere funzioni di autenticazione, il controllo dell'integrità dei dati e la cifratura ai protocolli basati sulla connessione.

Per maggiori informazioni, vedere SASL per gli sviluppatori.

Vedere anche il Capitolo 17, “Using SASL”, nel manuale System Administration Guide: Security Services.

L'ora di revisione adotta il formato ISO 8601

Questa funzione è stata introdotta in Solaris Express 12/03.

I token “file” e “header” ora riportano l'ora nel formato ISO 8601. Ad esempio, l'output del comando praudit per il token file è il seguente:

Vecchio token file:

file,Mon Oct 13 11:21:35 PDT 2003, + 506 msec, /var/audit/20031013175058.20031013182135.machine1

Nuovo token file:

file,2003-10-13 11:21:35.506 -07:00, /var/audit/20031013175058.20031013182135.machine1

Vecchio token header:

header,173,2,settppriv(2),,machine1, Mon Oct 13 11:23:31 PDT 2003, + 50 msec

Nuovo token header:

header,173,2,settppriv(2),,machine1, 2003-10-13 11:23:31.050 -07:00

Anche l'output XML è stato modificato. Ad esempio, l'output del comando praudit -x per il token file è il seguente:

<file iso8601="2003-10-13 11:21:35.506 -07:00">
/var/audit/20031013175058.20031013182135.machine1</file>

Gli script o gli strumenti personalizzati che analizzano l'output di praudit possono richiedere alcuni cambiamenti per adattarsi a queste modifiche.

Per maggiori informazioni, vedere il Capitolo 27, “Solaris Auditing (Overview)” e “Changes to Solaris Auditing for the Solaris 10 Release” nel manuale System Administration Guide: Security Services.

BART (Basic Audit and Reporting Tool)

Questa funzione è stata introdotta in Solaris Express 11/03.

BART (Basic Audit and Reporting Tool) è un programma di utilità dalla riga di comando che consente agli OEM, agli utenti avanzati e agli amministratori di sistema di eseguire un controllo a livello di file del contenuto software di un sistema. Il programma è utile per raccogliere informazioni sui componenti installati su un sistema. BART consente anche di confrontare i sistemi installati e di verificare le modifiche al contenuto di un sistema nel tempo.

Per maggiori informazioni, vedere il Capitolo 5, “Using the Basic Audit Reporting Tool (Tasks)”, nel manuale System Administration Guide: Security Services.

Vedere anche le pagine man bart_manifest(4), bart_rules(4) e bart(1M).

IPsec e il framework crittografico di Solaris

Questa funzione è stata introdotta in Solaris Express 9/03.

IPsec utilizza il framework crittografico di Solaris al posto dei propri moduli di cifratura e autenticazione. I moduli sono ottimizzati per la piattaforma SPARC. Oltre a questo, un nuovo programma di utilità dalla riga di comando (ipsecalgs) e una nuova API consentono di interrogare l'elenco degli algoritmi IPsec supportati e altre proprietà IPsec.

Per maggiori informazioni, vedere la pagina man ipsecalgs(1M).

Nel manuale System Administration Guide: IP Services, vedere il Capitolo 18, “IP Security Architecture (Overview)” e “Authentication and Encryption Algorithms in IPsec”.

Framework crittografico di Solaris per gli amministratori di sistema

Questa funzione è stata introdotta nel programma pilota Software Express. Questa funzione è inclusa in Solaris 10 3/05.

Il framework crittografico di Solaris fornisce servizi di crittografia alle applicazioni nell'ambiente Solaris. L'amministratore di sistema può controllare quali algoritmi di cifratura vengono usati con il comando cryptoadm. Il comando cryptoadm consente di eseguire le seguenti funzioni:

• Gestire i provider disponibili dei servizi crittografici

• Impostare i criteri di sicurezza per la crittografia, ad esempio disabilitando gli algoritmi di un dato provider

Il framework include plugin per gli algoritmi AES, DES/3DES, RC4, MD5, SHA-1, DSA, RSA e Diffie-Hellman. I plugin possono essere aggiunti o rimossi all'occorrenza.

I comandi encrypt, decrypt, digest e mac utilizzano tutti gli algoritmi crittografici del framework.

Per maggiori informazioni, vedere il Capitolo 13, “Solaris Cryptographic Framework (Overview)”, nel manuale System Administration Guide: Security Services.

Vedere anche le seguenti pagine man:

• cryptoadm(1M)

• kcfd(1M)

• libpkcs11(3LIB)

• pkcs11_kernel(5)

• pkcs11_softtoken(5)

Log di revisione remoto

Questa funzione è stata introdotta nel programma pilota Software Express. Questa funzione è inclusa in Solaris 10 3/05.

Oltre a registrare gli eventi di revisione nel log di revisione binario, Solaris consente di registrare gli eventi di revisione in syslog.

La generazione dei dati syslog consente di utilizzare gli stessi strumenti di gestione e di analisi disponibili per i messaggi syslog in diversi ambienti Solaris e non Solaris (workstation, server, firewall e router). Utilizzando syslog.conf per instradare i messaggi di revisione verso una posizione di memorizzazione remota, è possibile proteggere i dati di log da alterazioni o cancellazioni prodotte nel corso di una violazione. In ogni caso, l'opzione syslog fornisce solo un riepilogo dei dati dei record di revisione. Inoltre, quando i dati di syslog vengono memorizzati su un sistema remoto, possono essere soggetti ad attacchi di rete (negazione di servizio o indirizzi di origine falsi o alterati).

Per maggiori informazioni, vedere il Capitolo 27, “Solaris Auditing (Overview)” e “Audit Files” nel manuale System Administration Guide: Security Services.

Vedere anche le seguenti pagine man:

• audit(1M)

• audit.log(4)

• audit_control(4)

• audit_syslog(5)

• syslog(3C)

• syslog.conf(4)

Miglioramenti al server FTP

Questa funzione è stata introdotta nel programma pilota Software Express. Questa funzione è inclusa in Solaris 10 3/05.

Sono stati apportati alcuni miglioramenti alla scalabilità e alla registrazione nel log dei trasferimenti al server FTP:

• La funzione sendfile() è utilizzata per i download binari.

• Nuove capacità sono supportate dal file ftpaccess:

  • flush-wait controlla il comportamento al termine dei download o dell'elencazione delle directory.

  • ipcos imposta la classe di servizio IP sia per le connessioni dati che per quelle di controllo.

  • È possibile configurare porte passive in modo che il kernel selezioni la porta TCP da cui attendere la ricezione.

  • quota-info consente il richiamo delle informazioni sulle quote.

  • recvbuf imposta la dimensione del buffer di ricezione (upload) utilizzata per i trasferimenti binari.

  • rhostlookup abilita o disabilita la ricerca del nome dell'host remoto.

  • sendbuf imposta la dimensione del buffer di invio (download) utilizzata per i trasferimenti binari.

  • xferlog format personalizza il formato della voce del log di trasferimento.

• Una nuova opzione -4 fa in modo che il server FTP resti in attesa delle connessioni sul solo socket IPv4 quando eseguito in modalità standalone.

Il client e il server FTP supportano ora Kerberos. Per maggiori informazioni, vedere la pagina man ftp(4) e la sezione “Kerberos User Commands” nel manuale System Administration Guide: Security Services.

Inoltre, ftpcount e ftpwho supportano ora l'opzione -v, che visualizza il conteggio degli utenti e informazioni sul processo per le classi del server FTP definite nei file ftpaccess.

Per maggiori informazioni su queste modifiche, vedere le seguenti pagine man:

• in.ftpd(1M)

• ftpaccess(4)

• ftpcount(1)

• ftpwho(1)

• sendfile(3EXT)

Client FTP

Questa funzione è stata introdotta nel programma pilota Software Express. Questa funzione è inclusa in Solaris 10 3/05.

Solaris include una modifica al client FTP. Nell'impostazione predefinita, un client FTP Solaris connesso a un server FTP Solaris elenca sia le directory che i file normali quando si utilizza il comando ls. Se il server FTP non esegue il sistema operativo Solaris, è possibile che le directory non vengano comprese nell'elenco.

Per consentire di adottare il comportamento predefinito di Solaris nelle connessioni a server FTP non Solaris, il file /etc/default/ftp può essere modificato sui singoli client Solaris. Per effettuare la modifica a livello di singolo utente è possibile impostare la variabile d'ambiente FTP_LS_SENDS_NLST.

Per maggiori informazioni, vedere la pagina man ftp(4).

Il client e il server FTP supportano ora Kerberos. Per maggiori informazioni, vedere la pagina man ftp(4) e la sezione “Kerberos User Commands” nel manuale System Administration Guide: Security Services.

Memorizzazione delle chiavi di IKE sulla scheda Sun Crypto Accelerator 4000

Questa funzione è stata introdotta nel programma pilota Software Express e nella versione Solaris 9 12/03. Questa funzione è inclusa in Solaris 10 3/05.

IKE può essere ora eseguito sia sulle reti IPv6 che su quelle IPv4. Per informazioni sulle parole chiave specifiche dell'implementazione IPv6, vedere le pagine man ifconfig(1M) e ike.config(4).

Quando al sistema è collegata una scheda Sun Crypto Accelerator 4000, IKE può delegare le operazioni di calcolo intensive alla scheda, liberando il sistema operativo per altre attività. IKE può utilizzare la scheda anche per memorizzare le chiavi pubbliche, quelle private e i certificati pubblici. La memorizzazione delle chiavi su un componente hardware separato migliora ulteriormente la sicurezza.

Per maggiori informazioni, vedere la pagina man ikecert(1M).

Vedere anche le seguenti sezioni nel manuale System Administration Guide: IP Services :

• “IP Security Architecture (Overview)”

• “Internet Key Exchange (Overview)”

• “IKE and Hardware Storage”

• “Configuring IKE (Tasks)”

• “Configuring IKE to Find Attached Hardware”

IKE accelerato via hardware

Questa funzione è stata introdotta nel programma pilota Software Express e nella versione Solaris 9 4/03. Questa funzione è inclusa in Solaris 10 3/05.

Le operazioni a chiave pubblica in IKE possono essere accelerate mediante una scheda Sun Crypto Accelerator 1000 o Sun Crypto Accelerator 4000. Lo svolgimento delle operazioni viene delegato alla scheda. Il trasferimento delle operazioni alla scheda accelera la cifratura e riduce il carico di lavoro per le risorse del sistema operativo Solaris.

Per informazioni su IKE, vedere le seguenti sezioni nel manuale System Administration Guide: IP Services :

• “Configuring IKE to Find Attached Hardware”

• “Internet Key Exchange (Overview)”

• “IKE and Hardware Acceleration”

• “Configuring IKE (Tasks)”

• “Configuring IKE to Find Attached Hardware”

Miglioramento di ipseckey

Questa funzione è stata introdotta nel programma pilota Software Express. Questa funzione è inclusa in Solaris 10 3/05.

L'analizzatore ipseckey fornisce un ausilio più efficace agli amministratori di rete che hanno installato IPsec o IKE sui propri sistemi. Il comando ipseckey monitor fornisce un'indicazione di data e ora per ciascun evento.

Per maggiori informazioni, vedere la pagina man ipseckey(1M).

Propagazione delle credenziali sulle connessioni di loopback

Questa funzione è stata introdotta nel programma pilota Software Express. Questa funzione è inclusa in Solaris 10 3/05.

Questa versione di Solaris introduce ucred_t * come rappresentazione astratta delle credenziali di un processo. Queste credenziali possono essere richiamate con door_ucred() nei server delle porte e getpeerucred() per le connessioni di loopback. Le credenziali possono essere ricevute utilizzando recvmsg().

Per maggiori informazioni, vedere la pagina man socket.h(3HEAD).

Il token di revisione “header” contiene informazioni sull'host

Questa funzione è stata introdotta nel programma pilota Software Express. Questa funzione è inclusa in Solaris 10 3/05.

L'header token nei record di revisione è stato ampliato e ora include il nome dell'host.

Il vecchio header veniva visualizzato come segue:

header,131,4,login - local,,Wed Dec 11 14:23:54 2002, + 471 msec

Il nuovo header esteso viene visualizzato come segue:

header,162,4,login - local,,example-hostname,
Fri Mar 07 22:27:49 2003, + 770 msec

Gli script o gli strumenti personalizzati che analizzano l'output di praudit possono richiedere un aggiornamento a causa di questa modifica.

Per maggiori informazioni, vedere il Capitolo 30, “Solaris Auditing (Reference)” e “header Token” nel manuale System Administration Guide: Security Services.

Miglioramenti delle funzioni di revisione

Questa funzione è stata introdotta nel programma pilota Software Express e nella versione Solaris 9 8/03. Questa funzione è inclusa in Solaris 10 3/05.

I miglioramenti alle funzioni di revisione di Solaris riducono i dati indesiderati nella traccia e consentono agli amministratori di usare script XML per analizzare la traccia di revisione. Le modifiche sono le seguenti:

• Non viene più eseguita la revisione dei file pubblici per gli eventi di sola lettura. Il flag del criterio public per il comando auditconfig permette di stabilire se la revisione debba essere eseguita sui file pubblici. Escludendo dalla revisione gli oggetti pubblici, l'output del processo risulta fortemente ridotto. Ciò semplifica anche il monitoraggio dei file critici.

• Il comando praudit dispone di un formato di output aggiuntivo, XML. Il formato XML consente di leggere l'output con un browser e costituisce la base per l'elaborazione dei report con script XML. Vedere la pagina man praudit(1M).

• Il set predefinito delle classi di revisione è stato riorganizzato. Le metaclassi supportano classi di revisione più specifiche. Vedere la pagina man audit_class(4).

• Il comando bsmconv non disabilita più l'uso della combinazione di tasti Stop-A. L'evento Stop-A viene ora controllato per ragioni di sicurezza.

Per maggiori informazioni, vedere le seguenti sezioni del manuale System Administration Guide: Security Services :

• “Solaris Auditing (Reference)”

• “Definitions of Audit Classes”

• “praudit Command”

• “Solaris Auditing (Overview)”

• “Audit Terminology and Concepts”

• “Changes to Solaris Auditing for the Solaris 10 Release”

Nuovo token di revisione path_attr

Questa funzione è stata introdotta nel programma pilota Software Express. Questa funzione è inclusa in Solaris 10 3/05.

Il token di revisione path_attr contiene informazioni sul percorso di accesso di un oggetto. Il percorso di accesso specifica la sequenza di oggetti di file di attributi al di sotto dell'oggetto token del percorso. Le chiamate di sistema come openat() accedono ai file degli attributi. Per maggiori informazioni sugli attributi estesi dei file, vedere la pagina man fsattr(5).

Il token path_attr include tre campi:

• Un campo con l'ID del token che lo identifica come token path_attr

• Un conteggio che rappresenta il numero di sezioni dei percorsi dei file degli attributi

• Una o più stringhe terminate da un valore nullo

Il comando praudit visualizza il token path_attr in questo modo:

path_attr,1,attr_file_name

Per maggiori informazioni, vedere il Capitolo 30, “Solaris Auditing (Reference)” e “path_attr Token” nel manuale System Administration Guide: Security Services.

Controllo della cronologia delle password

Questa funzione è stata introdotta nel programma pilota Software Express. Questa funzione è inclusa in Solaris 10 3/05.

Per gli account di login definiti nei file locali, è possibile impostare una cronologia di password che può memorizzare fino a 26 password precedenti. Quando l'utente modifica una password, il tentativo non riesce se la nuova password corrisponde ad una di quelle incluse nella cronologia. È anche possibile disabilitare il controllo del nome di login.

Per maggiori informazioni, vedere la pagina man passwd(1).

Nuova versione della funzione crypt()

Questa funzione è stata introdotta nel programma pilota Software Express e nella versione Solaris 9 12/02. Questa funzione è inclusa in Solaris 10 3/05.

La cifratura protegge le password dalla violazione da parte di estranei. Il software comprende ora tre moduli di cifratura rigorosa delle password:

• Una versione di Blowfish compatibile con i sistemi BSD (Berkeley Software Distribution)

• Una versione di Message Digest 5 (MD5) compatibile con i sistemi BSD e Linux

• Una versione più robusta di MD5 compatibile con altri sistemi Solaris

Per informazioni sulla protezione delle password degli utenti con questi nuovi moduli di cifratura, vedere le seguenti sezioni del manuale System Administration Guide: Security Services :

• “Controlling Access to Systems (Tasks)”

• “Managing Machine Security (Overview)”

• “Changing the Default Algorithm for Password Encryption”

Per informazioni sulla solidità dei moduli, vedere le pagine man crypt_bsdbf(5), crypt_bsdmd5(5) e crypt_sunmd5(5).