トラステッドネットワーク

Trusted Extensions は、ゾーン、ホスト、およびネットワークにセキュリティー属性を割り当てます。これらの属性により、ネットワークで次のセキュリティー機能が実施されます。

• ネットワーク通信で、データに適切なラベルが付けられます。

• 必須アクセス制御 (MAC) の規則が、ローカルネットワークを通してデータを送受信するとき、およびファイルシステムをマウントするときに実施されます。

• データが遠隔地のネットワークに経路指定されるときに、MAC の規則が実施されます。

• データがゾーンに経路指定されるときに、MAC 規則が実施されます。

Trusted Extensions では、ネットワークパケットは MAC によって保護されます。MAC に関する決定には、ラベルが使用されます。データには、機密度を表すラベルが明示的または暗黙的に付けられます。ラベルには、ID フィールド、格付け (「レベル」) フィールド、およびコンパートメント (「カテゴリ」) フィールドがあります。データは、認可検査に合格する必要があります。この検査は、ラベルが適格な形式であるかどうか、およびラベルが受信側ホストの認可範囲内にあるかどうかを確認します。受信側ホストの認可範囲内にある適格な形式のパケットは、アクセスが許可されます。

信頼されたシステム間で交換される IP パケットには、ラベルが付けられます。Trusted Extensions は Commercial IP Security Option (CIPSO) ラベルをサポートします。パケットの CIPSO ラベルは、IP パケットの分類、分離、および経路指定を行います。経路指定の決定では、データの機密ラベルが宛先のラベルと比較されます。

一般的にトラステッドネットワークでは、ラベルは送信側ホストによって生成され、受信側ホストによって処理されます。ただし、信頼されたルーターは、トラステッドネットワークでパケットを転送するときにラベルを追加したり取り除くことができます。機密ラベルは、転送の前に CIPSO ラベルにマップされます。CIPSO ラベルは IP パケットに埋め込まれます。通常、パケットの送信側と受信側は、同じラベルで操作を行います。

トラステッドネットワークソフトウェアは、サブジェクト (プロセス) とオブジェクト (データ) が別のホストに配置されている場合でも、Trusted Extensions のセキュリティーポリシーが実施されるようにします。Trusted Extensions ネットワークは、分散型アプリケーション全体で MAC を保存します。

Trusted Extensions のデータパケット

Trusted Extensions のデータパケットには、CIPSO ラベルオプションが含まれます。データパケットは、IPv4 または IPv6 ネットワークで送信できます。

標準の IPv4 形式では、オプションを指定した IPv4 ヘッダーのあとに TCP か UDP または SCTP ヘッダーが続き、そのあとに実際のデータが続きます。Trusted Extensions の IPv4 パケットは、セキュリティー属性として IP ヘッダーに CIPSO オプションを使用します。

標準の IPv6 形式では、拡張した IPv6 ヘッダーのあとに TCP か UDP または SCTP ヘッダーが続き、そのあとに実際のデータが続きます。Trusted Extensions の IPv6 パケットでは、拡張されたヘッダー内にマルチレベルのセキュリティーオプションが含まれます。

トラステッドネットワークの通信

Trusted Extensions は、トラステッドネットワークでラベル付きホストとラベルなしホストをサポートします。LDAP は、完全にサポートされるネームサービスです。さまざまなコマンドと GUI でネットワークを管理できます。

Trusted Extensions ソフトウェアを実行しているシステムは、Trusted Extensions ホストと次のタイプのシステムとのネットワーク通信をサポートします。

• Trusted Extensions を実行している、ほかのシステム

• セキュリティー属性を認識しないが、TCP/IP をサポートするオペレーティングシステムを実行しているシステム (Solaris システム、ほかの UNIX システム、Microsoft Windows、Macintosh OS システムなどを実行しているシステム)

• CIPSO ラベルを認識するほかのトラステッドオペレーティングシステムを実行しているシステム

Solaris OS の場合と同様に、Trusted Extensions ネットワークの通信とサービスは、ネームサービスによって管理できます。Trusted Extensions は、Solaris のネットワークインタフェースに次のインタフェースを追加します。

• Trusted Extensions は、tnzonecfg、tnrhdb、および tnrhtp の 3 つのネットワーク構成データベースを追加します。詳しくは、「Trusted Extensions のネットワーク構成データベース」を参照してください。

• Trusted Extensions のネームサービスのスイッチファイル nsswitch.conf には、tnrhtp および tnrhdb データベースのエントリが含まれます。これらのエントリは、各サイトの構成に応じて修正できます。

  Trusted Extensions は LDAP ネームサービスを使用して、ホスト、ネットワーク、およびユーザーを定義する構成ファイルを集中的に管理します。LDAP ネームサービスに関する、トラステッドネットワークデータベースの nsswitch.conf のデフォルトエントリを次に示します。

  # Trusted Extensions tnrhtp: files ldap tnrhdb: files ldap

  Sun Java System Directory Server の LDAP ネームサービスは、Trusted Extensions で完全にサポートされる唯一のネームサービスです。Trusted Extensions が設定されたシステムでの LDAP の使用方法については、第 9 章Trusted Extensions と LDAP (概要)を参照してください。

• Trusted Extensions は、Solaris 管理コンソールにツールを追加します。コンソールを使用して、ゾーン、ホスト、およびネットワークを集中的に管理します。ネットワークツールについては、「Solaris 管理コンソールツール」を参照してください。

  『Oracle Solaris Trusted Extensions 構成ガイド』では、ネットワークを構成するときにゾーンとホストを定義する方法について説明しています。詳細は、第 13 章Trusted Extensions でのネットワークの管理 (手順)を参照してください。

• Trusted Extensions は、トラステッドネットワークを管理するためのコマンドを追加します。また、Trusted Extensions は Solaris ネットワークコマンドにオプションを追加します。コマンドの説明については、「Trusted Extensions のネットワークコマンド」を参照してください。

Trusted Extensions のネットワーク構成データベース

Trusted Extensions は、カーネルに 3 つのネットワーク構成データベースをロードします。これらのデータベースは、データがホスト間で転送されるときの認可検査に使用されます。

• tnzonecfg – このローカルデータベースは、セキュリティーに関連するゾーン属性を格納します。各ゾーンの属性は、ゾーンラベルと、シングルレベルおよびマルチレベルポートへのゾーンのアクセスを指定します。 ping などの制御メッセージへの応答は、別の属性が処理します。ゾーンのラベルは、label_encodings ファイルで定義します。詳細は、label_encodings(4) と smtnzonecfg(1M) のマニュアルページを参照してください。マルチレベルポートについては、「ゾーンとマルチレベルポート」を参照してください。

• tnrhtp – このデータベースは、ホストとゲートウェイのセキュリティー属性を表すテンプレートを格納します。tnrhtp は、ローカルデータベースにすることも、LDAP サーバーに保存することもできます。ホストとゲートウェイはトラフィックを送信するときに、宛先ホストと次のホップのゲートウェイの属性を使用して MAC を実施します。トラフィックを受信する場合、ホストとゲートウェイは送信側の属性を使用します。セキュリティー属性については、「トラステッドネットワークのセキュリティー属性」を参照してください。詳細は、smtnrhtp(1M) のマニュアルページを参照してください。

• tnrhdb – このデータベースは、通信が許可されたすべてのホストに対応する IP アドレスとネットワーク接頭辞 (代替機構) を保持します。tnrhdb は、ローカルデータベースにすることも、LDAP サーバーに保存することもできます。各ホストまたはネットワーク接頭辞には、tnrhtp データベースからセキュリティーテンプレートが割り当てられます。テンプレートの属性は、割り当てられたホストの属性を定義します。詳細は、smtnrhdb(1M) のマニュアルページを参照してください。

Trusted Extensions では、Solaris 管理コンソールはこれらのデータベースを処理できるように拡張されています。詳しくは、「Solaris 管理コンソールツール」を参照してください。

Trusted Extensions のネットワークコマンド

Trusted Extensions は、トラステッドネットワークを管理するために、次のコマンドを追加します。

• tnchkdb – このコマンドは、トラステッドネットワークデータベースの正しさを確認するために使用します。tnchkdb コマンドは、セキュリティーテンプレート (tnrhtp)、セキュリティーテンプレートの割り当て (tnrhdb)、またはゾーンの構成 (tnzonecfg) を変更するごとに使用されます。Solaris 管理コンソールツールは、データベースが修正されたときに、このコマンドを自動的に実行します。詳しくは、tnchkdb(1M) のマニュアルページを参照してください。

• tnctl – このコマンドは、カーネルのトラステッドネットワーク情報を更新するために使用できます。また、tnctl はシステムサービスです。svcadm restart /network/tnctl コマンドによる再起動は、ローカルシステムのトラステッドネットワークデータベースからカーネルキャッシュを更新します。Solaris 管理コンソールツールは、データベースがファイルの有効範囲で修正されたときに、このコマンドを自動的に実行します。詳しくは、tnctl(1M) のマニュアルページを参照してください。

• tnd – このデーモンは、LDAP ディレクトリおよびローカルファイルから tnrhdb および tnrhtp 情報を取得します。各ネームサービスの情報は、nsswitch.conf ファイル内での順番に従って読み込まれます。tnd デーモンはブート時に、svc:/network/tnd サービスによって起動されます。このサービスは svc:/network/ldap/client に依存します。

  tnd コマンドは、デバッグやポーリング間隔の変更にも使用できます。詳しくは、tnd(1M) のマニュアルページを参照してください。

• tninfo – このコマンドは、トラステッドネットワークカーネルキャッシュの現在の状態を詳細に表示します。出力は、ホスト名、ゾーン、およびセキュリティーテンプレートを使用してフィルタ処理できます。詳しくは、tninfo(1M) のマニュアルページを参照してください。

Trusted Extensions は、次の Solaris ネットワークコマンドにオプションを追加します。

• ifconfig – このコマンドの all-zones インタフェースフラグは、特定のインタフェースをシステムのすべてのゾーンで利用できるようにします。データを配信する適切なゾーンは、データに関連付けられたラベルによって決定されます。詳しくは、ifconfig(1M) のマニュアルページを参照してください。

• netstat – -R オプションは、マルチレベルソケットのセキュリティー属性や経路指定テーブルエントリなどの Trusted Extensions 固有の情報を表示するために、Solaris の netstat の使用法を拡張します。拡張されたセキュリティー属性には、接続先のラベルや、ソケットがゾーンに固有か複数ゾーンで利用できるかの区別などがあります。詳しくは、netstat(1M) のマニュアルページを参照してください。

• route – -secattr オプションは Solaris の route を拡張し、経路のセキュリティー属性を表示します。オプションの値は、次の形式で指定します。

  min_sl=label,max_sl=label,doi=integer,cipso

  cipso キーワードは省略可能で、デフォルトで設定されます。詳しくは、route(1M) のマニュアルページを参照してください。

• snoop – Solaris OS と同様、このコマンドに -v オプションを指定すると、IP ヘッダーを詳細に表示できます。Trusted Extensions では、ヘッダーにラベル情報が含まれます。

トラステッドネットワークのセキュリティー属性

Trusted Extensions のネットワーク管理は、セキュリティーテンプレートに基づきます。セキュリティーテンプレートは、共通のプロトコルおよび同じセキュリティー属性を持つ一連のホストを記述します。

セキュリティー属性はテンプレートにより、システム (ホストとルーターの両方) に管理の目的で割り当てられます。セキュリティー管理者はテンプレートを管理し、これらをシステムに割り当てます。システムにテンプレートが割り当てられていない場合、このシステムとの通信は許可されません。

すべてのテンプレートには名前が付けられ、次の情報が含まれます。

• 「ラベルなし」または「CIPSO」のいずれかの「ホストタイプ」。ネットワーク通信に使用されるプロトコルは、テンプレートのホストタイプによって決定されます。

  ホストタイプは、CIPSO オプションを使用するかどうかを決定し、MAC に影響します。「セキュリティーテンプレートのホストタイプとテンプレート名」を参照してください。

• 各ホストタイプに適用される一連のセキュリティー属性。

ホストタイプとセキュリティー属性の詳細は、「Trusted Extensions のネットワークセキュリティー属性」を参照してください。