test

Nyheter i Solaris 10

Hantering av processrättigheter

Den här funktionen är ny för Software Express pilotprogram. Den här funktionen ingår i Solaris 10 3/05.

I Solaris skyddas administrativa uppgifter som tidigare krävde superanvändarrättigheter av processrättigheter. I hanteringen av processrättigheter används behörigheter för att begränsa processerna på kommando-, användar-, roll- och systemnivå. En behörighet är en diskret rättighet som processen behöver ha för att kunna utföra en operation. Systemet begränsar processer till endast de behörigheter som krävs för att utföra den aktuella åtgärden. På det här sättet är färre root-processer sårbara för attacker utifrån. Antalet setuid-program har minskat avsevärt.

När de är installerade är Software Express-versionerna och Solaris 10 3/05 helt kompatibla med tidigare versioner av operativsystemet Solaris vad gäller behörighetsförbättringar. Oförändrade program körs med alla behörigheter om de körs som root.

Skydd av enheter – Enheter skyddas med en säkerhetspolicy. Policyn upprätthålls med behörigheter. Därför bestäms inte tillgången till en enhet helt av behörigheterna i enhetsfilen. Det kan även krävas behörigheter för att använda enheten.

Systemgränssnitt som skyddades av UNIX-behörigheter skyddas nu med behörigheter. Exempelvis tillåts medlemmar i gruppen sys inte längre automatiskt att öppna enheten /dev/ip. Processer som körs med behörigheten net_rawaccess kan komma åt enheten /dev/ip. När systemet startas begränsas åtkomsten till alla enheter tills kommandot devfsadm körs under startsekvensen. Den inledande säkerhetspolicyn är så strikt som möjligt. Det hindrar alla användare utom superanvändaren från att initiera anslutningar.

Mer information finns på följande ställen i direkthjälpen:

Processer som behöver hämta Solaris IP-MIB-information bör öppna /dev/arp och ladda modulerna ”tcp” och ”udp”. Inga behörigheter krävs. Den här metoden motsvarar att öppna /dev/ip och ladda modulerna ”arp”, ”tcp” och ”udp”. Eftersom det nu krävs behörighet för att öppna /dev/ip så är metoden /dev/arp att föredra.

Mer information finns i följande avsnitt i System Administration Guide: Security Services: