Neuerungen in Solaris 8

Sicherheitserweiterungen

In diesem Abschnitt sind neue Funktionen von Solaris 8 beschrieben, die sich auf die Systemsicherheit sowie die Eigentümerrechte im Dateisystemen und in Verzeichnissen beziehen.

Solaris Smart Cards

In der Solaris Smart Card-Funktion ist der Open Card Framework (OCF) 1.1-Standard implementiert. Mit Hilfe dieser Technologie können Sicherheitsverwalter einen Computer-Desktop oder eine individuelle Anwendung vor unerlaubtem Zugriff schützen. Die Benutzer müssen sich hierbei mittels einer Chipkarte beim System authentisieren. In jedem Host, der durch Solaris Smart Cards geschützt werden soll, muß ein Kartenlesegerät eingebaut sein. Um auf gesicherte Desktops oder Anwendungen zuzugreifen, müssen Benutzer zuerst ihre Chipkarte in das Lesegerät eingeben und anschließend die PINs für ihre Karte eintippen. Anhand der PINs und der Benutzer-Paßwörter, die auf den Karten gespeichert sind, überprüfen die Host-Systeme dann die Identität der Benutzer.

Solaris Smart Cards unterstützt zwei externe Kartenlesegeräte, den Sun Smart Card Reader I und den iButton Reader. Es werden drei Chipkarten-Typen unterstützt: Java-basierende iButton- und Cyberflex-Karten und die Payflex-Chipkarte.

Im Solaris Smart Cards Administration Guide finden Sicherheitsverwalter Anleitungen zur Einrichtung der Chipkarten-Unterstützung für ihr System. Gleichzeitig bietet dieses Handbuch auch Benutzern eine Einführung in die Chipkarten-Technologie.

Standardzugriffsrechte für Dateisystem und Verzeichnisse

Viele Systemdateien und Verzeichnisse in der Solaris 8-Version weisen unterschiedliche Eigentümer und striktere Zugriffsrechte auf, als dies in früheren Versionen der Fall war. Folgende Änderungen wurden an den Standardeigentümerrechten und -zugriffsberechtigungen vorgenommen:

Das Standardeigentümerrecht für Dateien und Verzeichnisse wurde von bin auf root geändert.
Dateien und Verzeichnisse, die früher die Standardzugriffsrechte 775 hatten, verfügen jetzt über die Standardzugriffsrechte 755.
Dateien und Verzeichnisse, die früher die Standardzugriffsrechte 664 hatten, verfügen jetzt über die Standardzugriffsrechte 644.
Der Standard für umask des Systems ist 022.

Beachten Sie folgende Kriterien, wenn Sie ein Package erstellen, das in ein System mit Solaris 8 integriert werden soll:

,,root" muß der Standardeigentümer für alle Dateien und Verzeichnisse sein.
Verzeichnisse und ausführbare Dateien müssen die Standardzugriffsrechte 555 oder 755 haben.
Gewöhnliche Dateien müssen die Standardzugriffsrechte 644 oder 444 haben.
Kein Eigentümer, mit Ausnahme von ,,root", darf Schreibrechte für set-uid und set-gid haben.

Diese Änderungen gelten nicht für alle Dateien und Verzeichnisse in dieser Solaris-Version. Ausnahmen sind beispielsweise OpenWindows- oder CDE-Dateien und -Verzeichnisse.

Rollenbasierte Zugriffssteuerung

In herkömmlichen Systemen, in denen Superuser-Zugriffsrechte vergeben werden können, werden jedem Benutzer, der sich als Superuser anmelden kann, sämtliche Superuser-Privilegien gewährt. Mittels rollenbasierter Zugriffssteuerung (Role-Based Access Control, RBAC) können Systemverwalter gewöhnlichen Benutzern eingeschränkte Administrationsbefugnisse zuweisen. Dies wird durch drei neue Funktionen ermöglicht:

Autorisierungen -- Benutzerrechte, die Zugriff auf eine beschränkte Funktion gewähren
Ausführungsprofile -- Verfahren zur Kombination von Autorisierungen und Befehlen mit speziellen Attributen, üblicherweise der Superuser-ID.
Rollen -- spezielle Typen von Benutzerzugangsberechtigungen, die zur Durchführung von bestimmten Verwaltungsaufgaben dienen sollen

Der Systemverwalter legt ein Ausführungsprofil an, in dem die Autorisierungen und die privilegierten Befehle für eine oder mehrere bestimmte Aufgaben enthalten sind. Dieses Profil kann dann direkt einem Benutzer oder einer Rolle zugewiesen werden. Rollen werden wiederum Benutzern zugewiesen. Um Zugriff auf eine Rolle zu erhalten, führt ein Benutzer, dem diese Rolle zugewiesen ist, den su-Befehl aus. Bei Rollen handelt es sich um gemeinsam genutzte Zugangsberechtigungen. Dies hat den Vorteil, daß Rollen nicht aktualisiert werden müssen, wenn sich einzelne Zuständigkeiten ändern. Folgende neue Dateien unterstützen RBAC:

/etc/user_attr -- speichert erweiterte Sicherheitsattribute, die sich auf Benutzer und Rollen beziehen.
/etc/security/auth_attr -- listet Autorisierungen auf und beschreibt sie.
/etc/security/prof_attr -- listet Ausführungsprofile und die zugehörigen Autorisierungen auf.
/etc/security/exec_attr -- ordnet den Ausführungsprofilen Ausführungsattribute zu.
/etc/security/policy.conf -- stellt die Konfiguration der Sicherheitsstrategie für Attribute auf Benutzerebene zur Verfügung.

Weitere Informationen finden Sie im System Administration Guide, Volume 2

Zentrale Verwaltung von Benutzer-Prüfereignissen

Die Datei /etc/security/audit_user, in der die Vorauswahlklassen für die Prüfung von Benutzern und Rollen gespeichert sind, wird nun im Namenschalter unterstützt. Es ist nicht mehr nötig, die Prüfereignisse für einen Benutzer auf jedem einzelnen System einzurichten, auf das der Benutzer Zugriff hat.

Client-Unterstützung für den Sun Enterprise Authentication Mechanism (Kerberos V5)

Diese Funktion stellt die Kerberos V5-Infrastruktur auf Client-Seite zur Verfügung. Dabei handelt es sich um eine Erweiterung von PAM (Pluggable Authentication Module). Zusätzlich sind Dienstprogramme enthalten, mit denen RPC-basierte Anwendungen, wie beispielsweise ein NFS-Service, gesichert werden können. Kerberos bietet individuell wählbare Sicherheitsstufen für Authentisierung, Integrität oder Datenschutz auf Benutzer- oder Server-Ebene. Die Kerberos-Clients können gemeinsam mit dem Sun Enterprise Authentication Mechanism (SEAM) (einem Bestandteil von SEAS 3.0) oder anderer Kerberos V5-Software (beispielsweise der MIT-Distribution) eingesetzt werden, um eine vollständige Authentisierungslösung für ein einzelnes Netzwerk zu ermöglichen.

Weitere Informationen finden Sie im System Administration Guide, Volume 2.