安全性增強功能

本節旨在說明自 2002 年 5 月 Solaris 9 作業系統首次發行以來，Solaris 10 3/05 發行版本中所有新增或增強的安全增強功能。程序權限管理及精簡的網路軟體群組尤其重要。若要檢視 Solaris 10 7/05 發行版本中新的安全性增強功能，請參閱安全性增強功能。

除了本節中所描述的安全性功能外，另請參閱「開發人員工具」及「安裝」章節中，下列安全性相關功能的說明：

• WAN Boot 安裝方法

• 精簡的網路軟體群組

• Solaris Cryptographic Framework 新增機制

• Solaris Cryptographic Framework 中的提供者零售及非零售選項

• 適用於開發人員的簡單驗證及安全階層

• GSS-API 應用程式適用的 SPNEGO 虛擬機制

• 適用於軟體開發人員的增強型 crypt() 函數

• 智慧卡終端機介面

• 智慧卡中介軟體 API

簽章 ELF 物件

這是 Solaris 10 3/05 發行版本中的新增功能。

Solaris 10 作業系統中的程式庫及可執行檔中，包含可用於驗證檔案完整性的數位簽名。數位簽名可對檔案的可執行內容偵測任何意外變更或蓄意竄改的動作。

Solaris Cryptographic Framework 的外掛程式會在系統將其載入時進行自動驗證。elfsign 指令可用於手動驗證任何已簽章的檔案。開發人員及管理員也可以使用 elfsign 指令，針對他們所擁有的程式碼進行簽署。

如需進一步的資訊，請參閱「elfsign(1) 線上手冊」。

程序權限管理

這是 Software Express 試驗程式中的新增功能。Solaris 10 3/05 發行版本中有此功能。

在 Solaris 軟體中，之前需要超級使用者權限的管理作業現在受到程序權限管理的保護。程序權限管理使用特權來限制指令、使用者、角色或系統層級的處理。特權是指處理執行作業時所需的抽象權限。系統限制處理僅能有執行目前作業所需的特權。因此，能夠利用的 root 處理變得更少。setuid 程式的數量銳減。

Software Express 和 Solaris 10 發行版本在安裝後，會和 Solaris 作業系統之前的發行版本在特權增強功能方面完全相容。以 root 執行的未修改程式會使用所有權限執行。

裝置保護—使用安全策略保護的裝置。該策略會以特權強制執行。因此，裝置檔案上的權限並無法完全決定裝置的可用性。操作裝置可能也需要特權。

系統介面之前受到 UNIX 權限保護，現在則受到特權保護。例如，不再自動允許 sys 群組成員開啟 /dev/ip 裝置。使用 net_rawaccess 權限執行的程序能存取 /dev/ip 裝置。系統啟動時，啟動順序期間執行 devfsadm 指令之前，會限制所有裝置的存取。初始策略會儘可能地嚴格。該策略可防止超級使用者以外的所有使用者啟動連線。

如需更多資訊，請參閱下列線上手冊：

• 「getdevpolicy(1M) 線上手冊」

• 「ppriv(1) 線上手冊」

• 「add_drv(1M) 線上手冊」

• 「update_drv(1M) 線上手冊」

• 「rem_drv(1M) 線上手冊」

• 「devfsadm(1M) 線上手冊」

需要擷取 Solaris IP MIB 資訊的程序應開啟 /dev/arp 並推入「tcp」及「udp」模組。不需要特權。此方法等同於開啟 /dev/ip 並推入「arp」、「tcp」及「udp」模組。由於現在需要權限才能開啟 /dev/ip，因此最好使用 /dev/arp 方法。

如需進一步資訊，請參閱「System Administration Guide: Security Services」中的以下各章節：

• 「Using Roles and Privileges (Overview)」

• 「Privileges (Overview)」

• 「Privileges (Tasks)」

Solaris 10 作業系統中 PAM 的變更

Software Express 試驗程式中已增加了 pam_deny 模組，並在 Solaris Express 6/04 發行版本中增強了功能。Solaris 10 3/05 發行版本中有此功能。您可使用該模組來拒絕存取已命名的 PAM 服務。預設不會使用 pam_deny 模組。如需更多資訊，請參閱「pam_deny(5) 線上手冊」。

Solaris 10 軟體包含下列 PAM 架構變更。

• pam_authtok_check 模組現在允許使用 /etc/default/passwd 檔案中新的可調項，嚴格檢查密碼。新的可調項定義下列項目：

  • 以逗號分隔用來檢查密碼中常用字典字的字典檔案清單

  • 新舊密碼之間所需的最低差異

  • 新密碼中必須使用的字母與非字母字元數量下限

  • 新密碼中必須使用的大小寫字母數量下限

  • 允許連續重複的字元數量

  • 新密碼中必須使用的數字數量

  • 新密碼中是否允許使用空格

• pam_unix_auth 模組實作會對本機使用者進行帳號鎖定。透過 /etc/security/policy.conf 中的 LOCK_AFTER_RETRIES 可調項和 /etc/user_attr 中的 lock_after-retries 鍵啟用帳號鎖定。

• 已定義新的 binding 控制旗標。如果 PAM 模組成功且之前標示為 required 的模組沒有失敗，則 PAM 會略過剩餘的模組且驗證要求會繼續。但是，如果傳回失敗，PAM 會記錄要求失敗，並繼續處理堆疊。「pam.conf(4) 線上手冊」中有此控制旗標的說明。

• pam_unix 模組已遭移除，並已由一組同等或更好的服務模組所取代。這些模組有很多都是 Solaris 9 系統中的新增功能。以下是取代模組的清單：

  • pam_authtok_check

  • pam_authtok_get

  • pam_authtok_store

  • pam_dhkeys

  • pam_passwd_auth

  • pam_unix_account

  • pam_unix_auth

  • pam_unix_cred

  • pam_unix_session

• pam_unix_auth 模組的功能分為兩個模組。pam_unix_auth 模組現在可為使用者驗證密碼是否正確。新的 pam_unix_cred 模組提供建立使用者憑證資訊的功能。

• pam_krb5 模組的附加功能使用 PAM 架構管理 Kerberos 憑證快取。請參閱Kerberos 增強功能。

pam_ldap 變更

下列 pam_ldap 變更是 Solaris Express 10/04 發行版本中的新增功能，但帳號管理功能除外。此管理功能是 Software Express 試驗程式與 Solaris 9 12/02 發行版本中的新增功能。如需有關這些變更的更多資訊，請參閱「pam_ldap(5) 線上手冊」。

• 之前支援的 use_first_pass 和 try_first_pass 選項，在 Solaris 10 軟體發行版本中已淘汰。不再需要這些選項。這些選項可安全地從 pam.conf 移除，以後不會再出現。

• 您必須在驗證與密碼模組堆疊中將 pam_authtok_get 堆疊到 pam_ldap 之前，並 在 passwd_service_auth 堆疊中加入 pam_passwd_auth，以提供密碼提示。

• 之前支援的密碼更新功能在本發行版本改為使用 pam_authtok_store 搭配 server_policy 選項。

• pam_ldap 帳號管理功能強化了 LDAP 命名服務的全面安全性。特別是，帳號管理功能可以執行以下作業：

  • 允許追蹤密碼的老化和過期

  • 防止使用者選擇普通或先前用過的密碼

  • 在使用者密碼將過期時警告使用者

  • 鎖定重複登入失敗的使用者

  • 防止除授權系統管理員之外的使用者撤銷初始化的帳戶

無法為之前清單中的變更提供乾淨且自動的更新。因此，升級到 Solaris 10 或後續的發行版本無法自動更新現有的 pam.conf 檔案，以反映 pam_ldap 的變更。如果現有的 pam.conf 檔案包含 pam_ldap 配置，則 CLEANUP 檔案會在升級後通知您。請檢查 pam.conf 檔案，並視需要加以修改。

如需更多資訊，請參閱下列線上手冊：

• 「pam_passwd_auth(5) 線上手冊」

• 「pam_authtok_get(5) 線上手冊」

• 「pam_authtok_store(5) 線上手冊」

• 「pam.conf(4) 線上手冊」

如需有關 Solaris 命名和目錄服務的進一步資訊，請參閱「System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP)」。如需有關 Solaris 安全性功能的資訊，請參閱「System Administration Guide: Security Services」。

Solaris Secure Shell 增強功能

這是 Solaris Express 10/04 發行版本中新的功能描述。

Solaris 10 作業系統提供下列 Solaris Secure Shell 增強功能：

• Solaris Secure Shell 以 OpenSSH 3.5p1 為基礎。Solaris 實作也包含 OpenSSH 3.8p1 之前版本的功能和除錯功能。

• Solaris Secure Shell 現在支援使用 Kerberos V 的使用者與主機驗證使用 GSS-API。

  包括密碼老化支援的 PAM 支援已經改善。

• /etc/ssh/sshd 設定檔中的 X11 Forwarding 預設值為「是」。

• 現在可以使用 ARCFOUR 和 AES128-CTR 密碼。ARCFOUR 也稱為 RC4。AES 密碼是計數器模式的 AES。

• 如需進一步的資訊，請參閱sshd 常駐程式和 /etc/default/login中的說明。

如需有關 Solaris 10 作業系統中安全性的進一步資訊，請參閱「System Administration Guide: Security Services」。

OpenSSL 和 OpenSSL PKCS#11 引擎

這是 Solaris Express 8/04 發行版本中的新增功能。

此 Solaris 發行版本在 /usr/sfw 中包含 OpenSSL 程式庫和指令。

此發行版本也包含 PKCS#11 的 OpenSSL 引擎介面，因此 OpenSSL 使用者可以從 Solaris Cryptographic Framework 存取軟硬體加密提供者。

由於部分國家的加密匯入限制，如果未安裝 SUNWcry 套裝軟體，對稱金鑰加密演算法會限制在 128 位元。Solaris 軟體不包含 SUNWcry 套裝軟體 。此套裝軟體要另外下載取得。

sshd 常駐程式和 /etc/default/login

這是 Solaris Express 10/04 發行版本中的新增功能。

sshd 常駐程式使用 /etc/default/login 中的變數和 login 指令。etc/default/login 變數可被 sshd_config 檔案中的值覆寫。

如需更多資訊，請參閱「System Administration Guide: Security Services」中的「Solaris Secure Shell and Login Environment Variables」。另請參閱「sshd_config(4) 線上手冊」。

未登入與鎖定帳號的新密碼選項

這是 Solaris Express 10/04 發行版本中的新增功能。

passwd 指令有兩個新選項：-N 和 -u。-N 選項會建立未登入帳號的密碼登入。此選項對不應登入卻必須執行 cron 工作的帳號很有用。-u 選項會解除鎖定先前所鎖定的帳號。

如需更多資訊，請參閱「passwd(1) 線上手冊」。

auditconfig 指令的 -setcond 選項已移除

這是 Solaris Express 10/04 發行版本中的新增功能。

auditconfig 指令的 -setcond 選項已移除。若要暫時停用稽核，請使用 audit- t 指令。若要重新啟動稽核，請使用 audit- s 指令。

perzone 稽核策略

這是 Solaris Express 8/04 發行版本中的新增功能。

perzone 稽核策略會個別稽核非全域區域。每個區域會個別執行稽核常駐程式。常駐程式會使用區域特定的稽核配置檔。區域也有特定的佇列。策略預設為停用。

如需更多資訊，請參閱「auditd(1M)線上手冊」和「auditconfig(1M)線上手冊」。

Kerberos 增強功能

這些 Kerberos 增強功能包含在 Solaris 10 發行版本中。其中幾項增強功能是 Software Express 之前發行版本中的新增功能。

• 遠端應用程式提供的 Kerberos 通訊協定支援，像是 ftp、rcp、rdist、rlogin、rsh 及 telnet。如需更多資訊，請參閱每個指令或常駐程式的線上手冊及「krb5_auth_rules(5) 線上手冊」。

• Kerberos 主要資料庫現在可以傳輸增量更新，而不用每次傳輸整個資料庫。增量傳遞提供下列幾個優點：

  • 提升資料庫跨不同伺服器的一致性

  • 需要更少資源，像是網路和 CPU 資源

  • 更新的傳遞更及時

  • 傳遞的自動方法

• 新的程序檔可協助自動配置 Kerberos 用戶端。該程序檔協助管理員輕鬆快速地設置 Kerberos 用戶端。如需有關使用新程序檔的程序，請參閱「System Administration Guide: Security Services」中的第 22 章「Configuring the Kerberos Service (Tasks)」。如需更多資訊，另請參閱「kclient(1M) 線上手冊」。

• Kerberos 服務增加了幾個加密類型。這些新的加密類型使用支援這些加密類型的其他 Kerberos 實作，提升安全性並增強相容性。所有加密類型在「mech(4) 線上手冊」中均有說明。如需更多資訊，請參閱「System Administration Guide: Security Services」中的「Using Kerberos Encryption Types」。加密類型提供下列能力：

  • AES 加密可用在高速、高安全性的 Kerberos 階段作業加密。AES 的使用透過 Cryptographic Framework 啟用。

  • ARCFOUR-HMAC 提供與其他 Kerberos 版本更佳的相容性。

  • 具備 SHA1 的三倍 DES (3DE) 能增加安全性。此加密類型也會增強與支援此加密類型的其他 Kerberos 實作之間的互通能力。

• KDC 軟體及 kinit 指令現在支援使用 TCP 網路通訊協定。此新增功能提供更強的作業能力，且與其他 Kerberos 實作有更佳的互通能力。KDC 現在可以「偵聽」傳統的 UDP 通訊埠與 TCP 通訊埠，因此可以回應兩種通訊協定的要求。kinit 指令傳送要求給 KDC 時會先嘗試 UDP。如果失敗，kinit 指令才會嘗試 TCP。

• KDC 軟體增加 IPv6 的支援，包括 kinit、klist 及 kprop 指令。預設為提供 IPv6 位址的支援。不需要變更配置參數即可啟用此支援。

• 新的 -e 選項已增加到 kadmin 指令的幾個子指令中。此新的選項允許在建立主體時選取加密類型。如需更多資訊，請參閱「kadmin(1M) 線上手冊」。

• pam_krb5 模組的附加功能使用 PAM 架構管理 Kerberos 憑證快取。如需更多資訊，請參閱「pam_krb5(5) 線上手冊」。

• 對自動探索 Kerberos KDC、管理伺服器、kpasswd 伺服器，和使用 DNS 查詢的主機或網域名稱與範圍對應，提供支援。這個支援會減少安裝 Kerberos 用戶端的所需步驟。該用戶端使用 DNS 而不是讀取配置檔案來找到 KDC 伺服器。如需更多資訊，請參閱「krb5.conf(4) 線上手冊」。

• 已引入新的 PAM 模組，稱為 pam_krb5_migrate。如果使用者還沒有 Kerberos 帳號，新的模組能幫助使用者自動遷移到本機 Kerberos 範圍上。如需更多資訊，請參閱「pam_krb5_migrate(5) 線上手冊」。

• ~/.k5login 檔案現在可以和 GSS 應用程式、ftp 和 ssh 一起使用。如需更多資訊，請參閱「krb5_auth_rules(5) 線上手冊」。

• kproplog 公用程式已更新為顯示每筆記錄項目的所有屬性名稱。請參閱「kproplog(1M) 線上手冊」，以取得更多資訊。

• 新的配置檔案選項讓嚴格的票證授予票證 (TGT) 驗證功能在每一範圍上可以選擇性地進行配置。如需更多資訊，請參閱「krb5.conf(4) 線上手冊」。

• 變更密碼公用程式的延伸功能，能讓 Solaris Kerberos V5 管理伺服器接受來自非 Solaris 用戶端的密碼變更要求。如需更多資訊，請參閱「kadmin(1M) 線上手冊」。

• 重新執行快取的預設位置已從 RAM 型檔案系統移到 /var/krb5/rcache/ 中的永久儲存體。新的位置能在系統重新啟動時避免重新執行。已對 rcache 程式碼增強了效能。但是，整個重新執行快取效能可能因為使用永久儲存體而較慢。

• 重新執行快取現在可配置成使用檔案儲存或僅記憶體儲存。如需有關金鑰表格和憑證快取類型或位置可配置之環境變數的更多資訊，請參閱「krb5envvar(5) 線上手冊」。

• Kerberos GSS 機制不再需要GSS 憑證表格。如需更多資訊，請參閱gsscred(1M)線上手冊」、「gssd(1M)線上手冊」和「gsscred.conf(4)線上手冊」。

• Kerberos 公用程式、kinit 指令和 ktutil 指令現在以 MIT Kerberos 版本 1.2.1 為基礎。此項變更會增加新選項到 kinit 指令，並增加子指令到 ktutil 指令。如需更多資訊，請參閱「kinit(1)線上手冊」和「ktutil(1)線上手冊」。

• Solaris Kerberos Key Distribution Center (KDC) 現在以 MIT Kerberos 版本 1.2.1 為基礎。現在，KDC 預設為基於二元樹的資料庫，該資料庫比目前基於雜湊的資料庫更為可靠。如需更多資訊，請參閱「kdb5_util(1M) 線上手冊」。對於 Solaris 9 的使用者而言，此變更是 Solaris 9 12/03 發行版本中的新增功能。

rpcbind 的 TCP 包裝程式

這是 Solaris Express 4/04 發行版本中的新增功能。

rpcbind 指令已增加 TCP 包裝程式支援。此支援能讓管理員限制選定主機對 rpcbind 的呼叫。管理員也能記錄所有對 rpcbind 的呼叫。

如需進一步的資訊，請參閱「rpcbind(1M) 線上手冊」。

zonename 稽核記號和稽核策略選項

Solaris Zones 分割技術是 Solaris Express 2/04 發行版本中的新增功能。請參閱Solaris Zones 軟體磁碟分割技術。此處所描述的相關 zonename 增強功能，也在 Solaris Express 2/04 發行版本中已引入。

zonename 稽核記號會記錄發生稽核事件的區域名稱。zonename 稽核策略選項會決定所有區域的稽核記錄是否包含 zonename 記號。如果稽核類別預先選取範圍的標準會隨非全域區域而改變，則您可能會想按區域分析稽核記錄。zonename 稽核策略可讓您稍後按區域選取稽核記錄。

請參閱「System Administration Guide: Security Services」中的「Auditing and Solaris Zones」。

如需進一步資訊，請參閱「audit.log(4)線上手冊」、「auditconfig(1M)線上手冊」和「auditreduce(1M)線上手冊」。另請參閱「System Administration Guide: Solaris Containers-Resource Management and Solaris Zones」中的「Using Solaris Auditing in Zones」。

Solaris Cryptographic Framework 的使用者指令

這是 Solaris Express 1/04 發行版本中的新增功能。

digest、mac 和 encrypt 指令現在包含可列出每個指令可用之演算法的選項。若是 mac 及 encrypt 指令，輸出包含每個演算法可以接受的金鑰長度。此外，-I <IV-file> 選項已從 encrypt 及 decrypt 指令中移除。

如需進一步資訊，請參閱「System Administration Guide: Security Services」中的第 14 章「Solaris Cryptographic Framework (Tasks)」和「Protecting Files With the Solaris Cryptographic Framework」。

如需更多資訊，請參閱「encrypt(1)線上手冊」、「digest(1)線上手冊」和「mac(1)線上手冊」。

IKE 配置參數

這是 Solaris Express 1/04 發行版本中的新增功能。

重新傳輸參數與封包逾時參數已增加到 /etc/inet/ike/config 檔案。這些參數能讓管理員調準 IKE Phase 1 (主要模式) 協商。調準作業能讓 Solaris IKE 與實作 IKE 通訊協定的不同平台互通。這些參數也能協助管理員調整網路干擾和過多的網路流量。

如需有關這些參數的詳細說明，請參閱「ike.config(4) 線上手冊」。

簡單驗證和安全層級

這是 Solaris Express 12/03 發行版本中的新增功能。

簡單驗證和安全層級 (SASL) 提供應用程式開發人員一些介面，以增加驗證、資料完整性檢查和連線式通訊協定加密。

如需進一步的資訊，請參閱適用於開發人員的簡單驗證及安全階層。

另請參閱「System Administration Guide: Security Services」中的第 17 章「Using SASL」。

稽核時間現在以 ISO 8601 格式報告

這是 Solaris Express 12/03 發行版本中的新增功能。

稽核記錄中的檔案和標頭記號現在以 ISO 8601 格式報告時間。例如，從 praudit 指令的檔案記號輸出如下：

舊檔案記號：

file,Mon Oct 13 11:21:35 PDT 2003, + 506 msec, /var/audit/20031013175058.20031013182135.machine1

新檔案記號：

file,2003-10-13 11:21:35.506 -07:00, /var/audit/20031013175058.20031013182135.machine1

舊標頭記號：

header,173,2,settppriv(2),,machine1, Mon Oct 13 11:23:31 PDT 2003, + 50 msec

新標頭記號：

header,173,2,settppriv(2),,machine1, 2003-10-13 11:23:31.050 -07:00

XML 輸出也已變更。例如，從 praudit -x 指令的檔案記號輸出格式如下：

<file iso8601="2003-10-13 11:21:35.506 -07:00">
/var/audit/20031013175058.20031013182135.machine1</file>

可能需要更新自訂程序檔或剖析 praudit 輸出的工具，以配合此變更。

如需進一步資訊，請參閱「System Administration Guide: Security Services」中的第 27 章「Solaris Auditing (Overview)」和「Changes to Solaris Auditing for the Solaris 10 Release」。

基本稽核和報告工具

這是 Solaris Express 11/03 發行版本中的新增功能。

基本稽核和報告工具 (BART) 是指令行公用程式，能讓 OEM、進階使用者和系統管理員在目標系統的軟體內容中進行檔案層級的檢查。這個公用程式對於收集系統上安裝物件的資訊是實用工具。BART 還能讓您比較已安裝的系統，並在一段時間內比較系統內容。

如需進一步資訊，請參閱「System Administration Guide: Security Services」中的第 5 章「Using the Basic Audit Reporting Tool (Tasks)」。

另請參閱「bart_manifest(4)線上手冊」、「bart_rules(4)線上手冊」和「bart(1M)線上手冊」。

IPsec 和 Solaris Cryptographic Framework

這是 Solaris Express 9/03 發行版本中的新增功能。

IPsec 使用 Solaris Cryptographic Framework 而不是它自己的加密和驗證模組。這些模組已為 SPARC 平台進行過最佳化。另外還提供新的 ipsecalgs 指令行公用程式和 API，來查詢支援的 IPsec 演算法和其他 IPsec 屬性的清單。

如需進一步的資訊，請參閱「ipsecalgs(1M) 線上手冊」。

請參閱「System Administration Guide: IP Services」中的第 18 章「IP Security Architecture (Overview)」中的「Authentication and Encryption Algorithms in IPsec」。

系統管理員的 Solaris Cryptographic Framework

這是 Software Express 試驗程式中的新增功能。Solaris 10 3/05 發行版本中有此功能。

Solaris Cryptographic Framework 提供 Solaris 環境中應用程式的加密服務。系統管理員透過 cryptoadm 指令，可控制要使用哪些加密演算法。cryptoadm 指令能讓您執行下列功能：

• 管理可用的加密服務提供者

• 設定加密安全策略，像是停用特定提供者的演算法

該架構包含 AES、DES/3DES、RC4、MD5、SHA-1、DSA、RSA 和 Diffie-Hellman 演算法的外掛程式。您可視需要增加或移除外掛程式。

encrypt、decrypt、digest 及 mac 指令均使用來自架構的加密演算法。

如需進一步資訊，請參閱「System Administration Guide: Security Services」中的第 13 章「Solaris Cryptographic Framework (Overview)」。

另請參閱以下線上手冊：

• 「cryptoadm(1M) 線上手冊」

• 「kcfd(1M) 線上手冊」

• 「libpkcs11(3LIB) 線上手冊」

• 「pkcs11_kernel(5) 線上手冊」

• 「pkcs11_softtoken(5) 線上手冊」

遠端稽核記錄

這是 Software Express 試驗程式中的新增功能。Solaris 10 3/05 發行版本中有此功能。

Solaris 發行版本除了在二進位稽核記錄中記錄稽核事件之外，還能讓您記錄稽核事件到系統記錄。

系統記錄資料的產生可讓您能從工作站、伺服器、防火牆和路由器等各種 Solaris 和非 Solaris 環境，使用系統記錄訊息可用的相同管理和分析工具。使用 syslog.conf 可將稽核訊息路由送到遠端儲存裝置，以保護記錄資料不會被攻擊者替換或刪除。但是，系統記錄選項僅提供稽核記錄資料的摘要。此外，當系統記錄儲存在遠端系統時，資料易遭拒絕服務和假冒或「偽造」來源位址等網路攻擊所影響。

如需進一步資訊，請參閱「System Administration Guide: Security Services」中的第 27 章「Solaris Auditing (Overview)」中的「Audit Files」。

另請參閱以下線上手冊：

• 「audit(1M) 線上手冊」

• 「audit.log(4) 線上手冊」

• 「audit_control(4) 線上手冊」

• 「audit_syslog(5) 線上手冊」

• 「syslog(3C) 線上手冊」

• 「syslog.conf(4) 線上手冊」

FTP 伺服器增強功能

這是 Software Express 試驗程式中的新增功能。Solaris 10 3/05 發行版本中有此功能。

FTP 伺服器的延展性和傳輸記錄增強功能包括：

• sendfile() 函數會用於二進位下載。

• ftpaccess 檔案中支援的新能力有：

  • flush-wait 控制下載結束時的行為或目錄清單。

  • ipcos 設定控制項或資料連線的 IP 服務類別。

  • passive ports 可配置成讓核心選取要偵聽的 TCP 通訊埠。

  • quota-info 可啟用配額資訊的擷取。

  • recvbuf可設定二進位傳輸所用的接收 (上傳) 緩衝區大小。

  • rhostlookup 可允許或禁止查詢遠端主機名稱。

  • sendbuf 設定二進位傳輸使用的傳送 (下載) 緩衝區大小。

  • xferlog format 可自訂傳輸記錄項目的格式。

• 新的 -4 選項讓 FTP 伺服器在以獨立模式執行時，僅能在 IPv4 插槽偵聽連線。

FTP 用戶端和伺服器現在支援 Kerberos。如需更多資訊，請參閱「ftp(4)線上手冊」和「System Administration Guide: Security Services 」中的「Kerberos User Commands」。

此外，ftpcount 指令和 ftpwho 指令現在支援 -v 選項，該選項針對虛擬主機 ftpaccess 檔案中所定義的 FTP 伺服器類別，顯示使用者計數和程序資訊。

如需有關這些變更的更多資訊，請參閱以下線上手冊：

• 「in.ftpd(1M) 線上手冊」

• 「ftpaccess(4) 線上手冊」

• 「ftpcount(1) 線上手冊」

• 「ftpwho(1) 線上手冊」

• 「sendfile(3EXT) 線上手冊」

FTP 用戶端

這是 Software Express 試驗程式中的新增功能。Solaris 10 3/05 發行版本中有此功能。

該 Solaris 軟體包含 FTP 用戶端的變更。依預設，連線到 Solaris FTP 伺服器的 Solaris FTP 用戶端會在輸入 ls 指令時，列出目錄和一般檔案。如果 FTP 伺服器未執行 Solaris 作業系統，可能不會列出目錄。

若要讓連線到非 Solaris FTP 伺服器也使用預設的 Solaris 行為，您要在各個 Solaris 用戶端上編輯 /etc/default/ftp 檔案。如果針對個別使用者進行變更，可以設定 FTP_LS_SENDS_NLST 環境變數。

如需更多資訊，請參閱「ftp(4) 線上手冊」。

FTP 用戶端和伺服器現在支援 Kerberos。如需更多資訊，請參閱「ftp(4)線上手冊」和「System Administration Guide: Security Services」中的「Kerberos User Commands」。

Sun Crypto Accelerator 4000 板上的網際網路金鑰交換 (IKE) 金鑰儲存

這是 Software Express 試驗程式與 Solaris 9 12/03 發行版本中的新增功能。Solaris 10 3/05 發行版本中有此功能。

IKE 現在可在 IPv6 以及 IPv4 網路上執行。如需有關 IPv6 實作特定的關鍵字資訊，請參閱「ifconfig(1M)線上手冊」和「ike.config(4)線上手冊」。

當 Sun Crypto Accelerator 4000 板已連接時，IKE 可以為此板提供密集的計算作業，因此讓作業系統可以空出去執行其它作業。IKE 還可使用連接的板來儲存公開金鑰、私有金鑰以及公用憑證。獨立硬體上的金鑰儲存器可提供附加安全性。

如需進一步的資訊，請參閱「ikecert(1M) 線上手冊」。

另請參閱「System Administration Guide: IP Services」中的以下各章節：

• 「IP Security Architecture (Overview)」

• 「Internet Key Exchange (Overview)」

• 「IKE and Hardware Storage」

• 「Configuring IKE (Tasks)」

• 「Configuring IKE to Find Attached Hardware」

IKE 硬體加速

這是 Software Express 試驗程式與 Solaris 9 4/03 發行版本中的新增功能。Solaris 10 3/05 發行版本中有此功能。

您可透過 Sun Crypto Accelerator 1000 卡和 Sun Crypto Accelerator 4000 卡加速 IKE 中的公開金鑰作業。此作業會卸載到卡上。卸載會加速加密過程，降低對 Solaris 作業系統資源的需求。

如需有關 IKE 的資訊，請參閱「System Administration Guide: IP Services」中的以下各章節：

• 「Configuring IKE to Find Attached Hardware」

• 「Internet Key Exchange (Overview)」

• 「IKE and Hardware Acceleration」

• 「Configuring IKE (Tasks)」

• 「Configuring IKE to Find Attached Hardware」

ipseckey 增強功能

這是 Software Express 試驗程式中的新增功能。Solaris 10 3/05 發行版本中有此功能。

若是網路管理者已在系統上安裝 IPsec 或 IKE，ipseckey 剖析器能提供更清楚的協助。ipseckey monitor 指令現在可提供每個事件的時間戳記。

如需更多資訊，請參閱「ipseckey(1M) 線上手冊」。

迴路連線上的憑證傳遞

這是 Software Express 試驗程式中的新增功能。Solaris 10 3/05 發行版本中有此功能。

此 Solaris 發行版本引入 ucred_t * 做為程序憑證的抽象表示。使用入口伺服器的 door_ucred() 和 getpeerucred() 可擷取迴路連線的憑證。使用 recvmsg() 可接收這些憑證。

如需進一步的資訊，請參閱「socket.h(3HEAD) 線上手冊」。

包含主機資訊的稽核標頭記號

這是 Software Express 試驗程式中的新增功能。Solaris 10 3/05 發行版本中有此功能。

稽核記錄中的標頭記號已延伸為包含主機名稱。

舊標頭會顯示如下：

header,131,4,login - local,,Wed Dec 11 14:23:54 2002, + 471 msec

新的延伸標頭會顯示如下：

header,162,4,login - local,,example-hostname,
Fri Mar 07 22:27:49 2003, + 770 msec

可能需要更新自訂程序檔或剖析 praudit 輸出的工具，以反映此變更。

如需進一步資訊，請參閱「System Administration Guide: Security Services」中的第 30 章「Solaris Auditing (Reference)」中的「header Token」。

稽核增強功能

這是 Software Express 試驗程式與 Solaris 9 8/03 發行版本中的新增功能。Solaris 10 3/05 發行版本中有此功能。

Solaris 軟體中的稽核增強功能可減少記錄中的雜訊，並可讓管理員使用 XML 程序檔剖析記錄。這些增強功能包括：

• 不再為唯讀事件稽核公用檔案。auditconfig 指令的 public 策略旗號控制是否稽核公用檔案。由於不稽核公用物件，因此會大大減少稽核記錄。所以，也更易於監視讀取機密檔案的嘗試。

• praudit 指令具有額外的輸出格式 XML。XML 格式可讓您在瀏覽器中讀取輸出，並提供 XML 程序檔來源報告。請參閱「praudit(1M) 線上手冊」。

• 稽核類別的預設設定已經重新調整。稽核複合類別提供對進一步劃分之稽核類別的支援。請參閱「audit_class(4) 線上手冊」。

• bsmconv 指令不再會停用 Stop-A 組合鍵。現在，系統會稽核 Stop-A 事件以維護安全性。

如需進一步資訊，請參閱「System Administration Guide: Security Services」中的以下各章節：

• 「Solaris Auditing (Reference)」

• 「Definitions of Audit Classes」

• 「praudit Command」

• 「Solaris Auditing (Overview)」

• 「Audit Terminology and Concepts」

• 「Changes to Solaris Auditing for the Solaris 10 Release」

新的稽核記號 path_attr

這是 Software Express 試驗程式中的新增功能。Solaris 10 3/05 發行版本中有此功能。

path_attr 稽核記號包含物件的存取路徑資訊。存取路徑會指定路徑記號物件之下屬性檔案物件的順序。openat() 等系統呼叫能存取屬性檔案。如需有關延伸檔案屬性的更多資訊，請參閱「fsattr(5) 線上手冊」。

path_attr 記號有三個欄位：

• 表示此記號為 path_attr 記號的記號 ID 欄位

• 代表屬性檔案路徑節段數量的計數

• 一或多個空結尾字串

praudit 指令顯示 path_attr 記號如下：

path_attr,1,attr_file_name

如需進一步資訊，請參閱「System Administration Guide: Security Services」中的第 30 章「Solaris Auditing (Reference)」中的「path_attr Token」。

密碼歷程記錄檢查

這是 Software Express 試驗程式中的新增功能。Solaris 10 3/05 發行版本中有此功能。

若是本機檔案定義的登入帳號，可啟用最多變更 26 次密碼的密碼歷程記錄。當使用者變更密碼時，如果新密碼是歷程記錄中的任一密碼，就無法變更。登入名稱檢查也可停用。

如需更多資訊，請參閱「passwd(1) 線上手冊」。

增強型 crypt() 函數

這是 Software Express 試驗程式與 Solaris 9 12/02 發行版本中的新增功能。Solaris 10 3/05 發行版本中有此功能。

密碼加密可以保護密碼免遭入侵者讀取。目前，此軟體中可以使用三個功能強大的密碼加密模組：

• 與柏克萊軟體發行 (BSD) 系統相容的 Blowfish 版本

• 與 BSD 系統和 Linux 系統相容的 Message Digest 5 (MD5) 版本

• 與其他 Solaris 系統相容的增強型 MD5 版本

如需有關如何使用這些新增加密模組保護使用者密碼的資訊，請參閱「System Administration Guide: Security Services」中的以下各章節：

• 「Controlling Access to Systems (Tasks)」

• 「Managing Machine Security (Overview)」

• 「Changing the Default Algorithm for Password Encryption」

如需有關這些模組優點的資訊，請參閱「crypt_bsdbf(5)線上手冊」、「crypt_bsdmd5(5)線上手冊」和「crypt_sunmd5(5)線上手冊」。