SASL (Referenz)

Der folgende Abschnitt enthält Informationen zur Implementierung von SASL.

SASL-Plugins

SASL-Plugins bieten Unterstützung für Sicherheitsmechanismen, die Standardisierung von Benutzern und das Abrufen von Hilfseigenschaften. Standardmäßig werden die dynamisch geladenen 32-Bit-Plugins in /usr/lib/sasl und die 64-Bit-Plugins in /usr/lib/sasl/ $ISA installiert. Folgende Plugins für Sicherheitsmechanismen stehen zur Verfügung:

crammd5.so.1

CRAM-MD5: unterstützt Authentifizierung, aber keine Autorisierung

digestmd5.so.1

DIGEST-MD5: unterstützt Authentifizierung, Integrität, Vertraulichkeit sowie Autorisierung

gssapi.so.1

GSSAPI: unterstützt Authentifizierung, Integrität, Vertraulichkeit sowie Autorisierung. Die GSSAPI-Sicherheitsmechanismen erfordern eine funktionierende Kerberos-Infrastruktur.

plain.so.1

PLAIN: unterstützt Authentifizierung und Autorisierung

Das Sicherheitsmechanismus-Plugin EXTERNAL und das Benutzerstandardisierungs-Plugin INTERNAL sind außerdem in libsasl.so.1 integriert. Der EXTERNAL-Mechanismus unterstützt Authentifizierung und Autorisierung. Die Mechanismen unterstützen Integrität und Vertraulichkeit, sofern von der externen Sicherheitsquelle bereitgestellt. Das INTERNAL-Plugin fügt den Bereichsnamen bei Bedarf dem Benutzernamen hinzu.

Die Oracle Solaris-Version stellt derzeit keine auxprop-Plugins bereit. Damit die CRAM-MD5- und DIGEST-MD5-Mechanismus-Plugins serverseitig voll funktionsfähig sind, muss der Benutzer ein auxprop-Plugin zum Abrufen von Klartextpasswörtern angeben. Das PLAIN-Plugin erfordert zusätzliche Unterstützung zum Überprüfen des Passworts. Die Passwortüberprüfung kann durch Folgendes unterstützt werden: ein Callback zur Serveranwendung, ein auxprop-Plugin, saslauthd oder pwcheck. Die Dämonensalauthd und pwcheck stehen in den Oracle Solaris-Versionen nicht zur Verfügung. Beschränken Sie der besseren Interoperabilität halber die Serveranwendungen mit der SASL-Option mech_list auf die voll funktionsfähigen Mechanismen.

SASL-Umgebungsvariable

Standardmäßig ist der Client-Authentifizierungsname auf getenv("LOGNAME") eingestellt. Diese Variable kann vom Client oder vom Plugin zurückgesetzt werden.

SASL-Optionen

Das Verhalten von libsasl und den Plugins lässt sich mithilfe von Optionen, die in der Datei /etc/sasl/app.conf festgelegt werden können, serverseitig ändern. Die Variable app ist der vom Server definierte Name für die Anwendung. Der Anwendungsname sollte in der Dokumentation für die app des Servers angegeben sein.

Die folgenden Optionen werden unterstützt:

auto_transition

Automatischer Übergang des Benutzers zu anderen Mechanismen, wenn dieser eine erfolgreiche Nur-Text-Authentifizierung durchführt

auxprop_login

Listet den Namen der zu verwendenden Plugins für Hilfseigenschaften auf

canon_user_plugin

Wählt das Plugin canon_user für die Verwendung aus

mech_list

Listet die Mechanismen auf, die von der Serveranwendung verwendet werden dürfen

pwcheck_method

Listet die Mechanismen auf, die zum Überprüfen von Passwörtern verwendet werden. Derzeit ist auxprop der einzige zugelassene Wert.

reauth_timeout

Legt die Dauer (in Minuten) fest, während der Authentifizierungsinformationen für eine schnelle Neuauthentifizierung im Cache gespeichert werden. Diese Option wird vom DIGEST-MD5-Plugin verwendet. Durch Einstellen dieser Option auf 0 wird die Neuauthentifizierung deaktiviert.

Die folgenden Optionen werden nicht unterstützt:

plugin_list

Listet verfügbare Mechanismen auf. Wird nicht verwendet, da die Option das Verhalten des dynamischen Ladens von Plugins ändert.

saslauthd_path

Definiert den Speicherort von saslauthd-Door (Verweis), der für die Kommunikation mit dem Dämon saslauthd verwendet wird. Der Dämon saslauthd ist nicht in der Oracle Solaris-Version enthalten. Demzufolge ist auch die Option nicht verfügbar.

keytab

Definiert den Speicherort der vom GSSAPI-Plugin verwendeten Datei keytab. Verwenden Sie stattdessen die Umgebungsvariable KRB5_KTNAME, um den standardmäßigen keytab-Speicherort festzulegen.

Die nachfolgenden Optionen sind nicht in Cyrus SASL enthalten. Sie wurden jedoch für die Oracle Solaris-Version hinzugefügt:

use_authid

Ruft die Berechtigungsnachweise des Clients ab anstatt die Standardberechtigungsnachweise zum Erstellen des Sicherheitskontexts für den GSS-Client zu verwenden. Standardmäßig wird die Kerberos-Identität des Standardclients verwendet.

log_level

Legt die gewünschte Protokollierungsstufe für einen Server fest