Steuern des Zugriffs auf Dateien

Mit einem Computersystem verbundene Peripheriegeräte stellen ein Sicherheitsrisiko dar. Mikrofone können Unterhaltungen empfangen und an Remote-Systeme übertragen. CD-ROMs können Informationen hinterlassen, die vom nächsten Benutzer des CD-ROM-Geräts gelesen werden können. Remote-Systeme können auf Drucker zugreifen. Auch integrierte Geräte können Sicherheitsrisiken für das System bedeuten. Beispielweise gelten Netzwerkschnittstellen wie hme0 als integrierte Geräte.

Oracle Solaris-Software bietet zwei Methoden für die Steuerung des Zugriffs auf Geräte. Die Geräterichtlinie beschränkt oder verhindert den Zugriff auf integrierte Geräte des Systems. Die Geräterichtlinie wird im Kernel durchgesetzt. Die Gerätezuordnung beschränkt oder verhindert den Zugriff auf Peripheriegeräte. Die Gerätezuordnung wird bei der Benutzerzuordnung durchgesetzt.

Die Geräterichtlinie verwendet Berechtigungen zum Schutz ausgewählter Geräte im Kernel. Beispielsweise legt die Geräterichtlinie fest, dass für Netzwerkschnittstellen wie hme alle Berechtigungen zum Lesen oder Schreiben erforderlich sind.

Die Gerätezuordnung schützt Peripheriegeräte wie Drucker oder Mikrofone durch Autorisierungen. Standardmäßig ist die Gerätezuordnung nicht aktiviert. Sobald sie aktiviert ist, kann die Gerätezuordnung konfiguriert werden, um die Verwendung eines Geräts zu verhindern oder von einer Autorisierung abhängig zu machen. Wenn ein Gerät zur Verwendung zugeordnet ist, kann kein anderer Benutzer auf das Gerät zugreifen, bis der aktuelle Benutzer die Zuordnung aufhebt.

Ein Oracle Solaris-System kann in verschiedenen Bereichen konfiguriert werden, um den Zugriff auf Geräte zu steuern:

• Einstellen der Geräterichtlinie: In Oracle Solaris können Sie festlegen, dass der Prozess, der auf ein bestimmtes Gerät zugreift, mit einem Satz von Berechtigungen ausgeführt werden muss. Prozesse ohne diese Berechtigungen können das Gerät nicht verwenden. Beim Systemstart wird die Geräterichtlinie von der Oracle Solaris-Software konfiguriert. Treiber von Drittanbietern können bei der Installation mit der Geräterichtlinie konfiguriert werden. Nach der Installation können Sie als Administrator einem Gerät eine Geräterichtlinie hinzufügen.

• Aktivieren der Gerätezuordnung: Wenn Sie die Gerätezuordnung aktivieren, können Sie die Verwendung des Geräts auf jeweils einen Benutzer beschränken. Sie können festlegen, dass der Benutzer einige Sicherheitsanforderungen erfüllen muss. Beispielsweise können Sie bestimmen, dass der Benutzer zur Verwendung des Geräts autorisiert sein muss.

• Verhindern der Verwendung von Geräten: Sie können verhindern, dass ein Gerät, wie beispielsweise ein Mikrofon, von einem beliebigen Benutzer oder Computersystem verwendet wird. Beispielsweise kann bei einem Computer-Kiosk die Verwendung bestimmter Geräte verhindert werden.

• Beschränken eines Geräts auf eine bestimmte Zone: Sie können die Verwendung eines Geräts auf eine nicht globale Zone beschränken. Weitere Informationen finden Sie unter Gerätenutzung in nicht-globalen Zonen in Systemverwaltungshandbuch: Oracle Solaris Container – Ressourcenverwaltung und Solaris Zones. Allgemeinere Informationen zu Geräten und Zonen finden Sie unter Konfigurierte Geräte in Zonen in Systemverwaltungshandbuch: Oracle Solaris Container – Ressourcenverwaltung und Solaris Zones.

Geräterichtlinie (Übersicht)

Mithilfe der Geräterichtlinie können Sie festlegen, dass Prozesse, die auf ein Gerät zugreifen, bestimmte Berechtigungen benötigen. Nur die Prozesse, die mit den in der Geräterichtlinie angegebenen Berechtigungen ausgeführt werden, können auf Geräte zugreifen, die durch diese Geräterichtlinie geschützt werden. Oracle Solaris bietet eine Standardgeräterichtlinie. Beispielsweise müssen Prozesse, die auf Netzwerkschnittstellen wie hme0 zugreifen, mit der Berechtigung net_rawaccess ausgeführt werden. Die Anforderung wird im Kernel durchgesetzt. Weitere Informationen zu Berechtigungen finden Sie unter Berechtigungen (Übersicht).

In früheren Versionen wurden Geräteknoten nur durch Dateiberechtigungen geschützt. Geräte, die der Gruppe sys angehörten, konnten z. B. nur von Mitgliedern der Gruppe sys geöffnet werden. Dateiberechtigungen sehen nicht voraus, wer ein Gerät öffnen kann. Stattdessen werden Geräte durch Dateiberechtigungen und eine Geräterichtlinie geschützt. Beispielsweise verfügt die Datei /dev/ip über die Berechtigungen 666. Das Gerät kann jedoch nur von einem Prozess mit den geeigneten Berechtigungen geöffnet werden.

Die Konfiguration einer Geräterichtlinie kann geprüft werden. Das Prüfereignis AUE_MODDEVPLCY zeichnet Änderungen der Geräterichtlinie auf.

Weitere Informationen zu Geräterichtlinien finden Sie unter:

• Konfigurieren der Geräterichtlinie (Übersicht der Schritte)

• Befehle der Geräterichtlinie

• Berechtigungen und Geräte

Gerätezuordnung (Übersicht)

Mithilfe des Gerätezuordnungsmechanismus können Sie den Zugriff auf ein Peripheriegerät, wie beispielsweise eine CD-ROM, beschränken. Der Mechanismus kann lokal verwaltet werden. Wenn Gerätezuordnungen nicht aktiviert sind, werden Peripheriegeräte nur durch Dateiberechtigungen geschützt. Beispielsweise sind Peripheriegeräte für folgende Zwecke standardmäßig verfügbar:

• Jeder Benutzer kann eine Diskette oder CD-ROM lesen oder darauf schreiben.

• Jeder Benutzer kann ein Mikrofon anschließen.

• Jeder Benutzer kann auf einen angeschlossenen Drucker zugreifen.

Die Gerätezuordnung kann die Verwendung eines Geräts auf autorisierte Benutzer beschränken. Die Gerätezuordnung kann auch ganz verhindern, dass auf ein Gerät zugegriffen wird. Ein Benutzer, der ein Gerät zuordnet, hat ausschließlichen Zugriff auf das Gerät, bis er die Zuordnung aufhebt. Wenn die Zuordnung eines Geräts aufgehoben wird, löschen Bereinigungsskripten alle verbliebenen Daten. Sie können ein Bereinigungsskript schreiben, um Informationen von Geräten zu löschen, die über kein solches Skript verfügen. Ein Beispiel finden Sie unter Erstellen neuer Bereinigungsskripten.

Versuche, ein Gerät zuzuordnen, die Zuordnung eines Geräts aufzuheben und zuordenbare Geräte aufzulisten, können geprüft werden. Die Prüfereignisse sind Teil der Prüfklasse other.

Weitere Informationen zur Gerätezuordnung finden Sie unter:

• Verwalten der Gerätezuordnung (Übersicht der Schritte)

• Gerätezuordnung

• Befehle der Gerätezuordnung