安全性增强功能

Solaris 软件现在包括以下安全性增强功能。提高了 sadmind 安全性级别、Kerberos 增强功能和Sun Crypto Accelerator 4000 卡上的 Internet Key Exchange (IKE) 密钥存储是 Solaris 9 12/03 发行版中的新增功能。以前的发行版中的安全性功能包括：

• Internet Key Exchange (IKE) 硬件加速

• 审核增强功能

• 智能卡终端接口

• 增强的 crypt() 功能

• pam_ldap 中的口令管理功能

• 可插接式鉴别模块 (PAM) 增强功能

提高了 sadmind 安全性级别

为了提高 sadmind 命令的安全性，缺省的安全性级别已被提高到 2 (DES)。如果不需要 sadmind，请在 inetd.conf 文件中将该项标记为注释项。

有关详细信息，请参见 sadmind (1M) 手册页。

Kerberos 增强功能

此功能在 Solaris 9 12/03 发行版中是新增的。

Solaris Kerberos 密钥发行中心 (KDC) 现在基于 MIT Kerberos 的 1.2.1 版。缺省情况下，KDC 现在为一个基于 btree 的数据库，它比当前基于散列的数据库更可靠。

有关详细信息，请参见kdc.conf(4) 手册页。

Sun Crypto Accelerator 4000 卡上的 Internet Key Exchange (IKE) 密钥存储

此功能在 Solaris 9 12/03 发行版中是新增的。

IKE 在 IPv6 和 IPv4 网络上运行。有关针对于 IPv6 实现的关键字的信息，请参见 ifconfig (1M) 和 ike.config(4) 手册页。

连接了 Sun^TM Crypto Accelerator 4000 卡之后，IKE 就可以将大量计算操作卸载到该卡上，这样就可以释放操作系统以用于其它任务。IKE 还可以使用已连接的卡存储公共密钥、专用密钥和公共证书。针对单个硬件的密钥存储可以提供附加安全性。

有关详细信息，请参见《IPsec and IKE Administration Guide》和 ikecert(1M) 手册页。

Internet Key Exchange (IKE) 硬件加速

此功能在 Solaris 9 4/03 发行版中是新增的。

Sun Crypto Accelerator 1000 卡能够加快 IKE 中的公有密钥操作。有关操作都被转到该卡中，从而加快了加密过程并降低了对操作系统资源的要求。

有关 IKE 的详细信息，请参见《IPsec and IKE Administration Guide》。

审核增强功能

此功能在 Solaris 9 8/03 发行版中是新增的。

本 Solaris 发行版中的审核增强功能降低了跟踪噪音，使管理员可以使用 XML 脚本分析跟踪。这些增强功能包括：

• 不再审核公共文件的只读事件。auditconfig 命令的 public 策略标记控制是否审核公共文件。由于不再审核公共对象，因而审核跟踪大大减少。对敏感文件的读取尝试将更容易监控。

• praudit 命令还有另外一种输出格式 XML。XML 格式使得输出能够在浏览器中读取，并为报告的 XML 脚本提供数据源。请参见 praudit (1M) 手册页。

• 已重新构造缺省的审核类集。审核元类支持更加细分的审查类。请参见 audit_class(4) 手册页。

• bsmconv 命令不再禁用 Stop-A 密钥。现在将审核 Stop-A 事件，以确保安全。

有关详细信息，请参见《 System Administration Guide: Security Services》。

智能卡终端接口

此功能在 Solaris 9 8/03 发行版中是新增的。

Solaris 智能卡接口是用于智能卡终端的一组公共接口。请参见智能卡接口。

增强的 crypt() 功能

此功能在 Solaris 9 12/02 发行版中是新增的。

口令加密可以防止口令被侵入者读取。现在，软件中有三种可用的加强口令加密模块：

• 与 Berkeley 软件发行版 (BSD) 系统兼容的 Blowfish 版本

• 与 BSD 和 Linux 系统兼容的 Message Digest 5 (MD5) 版本

• 与其它 Solaris 系统兼容的增强版 MD5

有关如何使用这些新加密模块保护用户口令的信息，请参见《System Administration Guide: Security Services》。有关这些模块的功能的信息，请参见 crypt_bsdbf( 5)、crypt_bsdmd5( 5) 和 crypt_sunmd5( 5) 手册页。

pam_ldap 中的口令管理功能

此功能在 Solaris 9 12/02 发行版中是新增的。

当与 Sun ONE Directory Server（以前的 iPlanet^TM Directory Server）配合使用时，pam_ldap 口令管理功能可以增强整个 LDAP 命名服务的安全性。特别是，该口令管理功能可以：

• 允许跟踪口令的老化和过期

• 防止用户选择易破解的或以前使用过的口令

• 如果口令即将过期，可以向用户发出警告

• 如果多次登录失败，则禁止用户登录

• 防止除授权的系统管理员以外的用户停用已初始化的帐户

有关 Solaris 命名和目录服务的详细信息，请参见《System Administration Guide: Naming and Directory Services (DNS, NIS, and LDAP)》。有关 Solaris 安全性功能的信息，请参见《System Administration Guide: Security Services》。

可插接式鉴别模块 (PAM) 增强功能

此功能在 Solaris 9 12/02 发行版中是新增的。

通过包含新的控制标志位，扩展了 PAM 框架。新的控制标志位提供了跳过附加的栈进程的能力。如果当前服务模块成功并且在上一个强制模块中没有发生失败，则可以启用此跳过操作。

有关此更改的详细信息，请参见《System Administration Guide: Security Services》。