Amélioration de la sécurité

Les améliorations suivantes ont été apportées à la sécurité de la version Oracle Solaris 10 8/11.

Fournisseur PKCS#11 pour gestionnaire de clés Oracle (Oracle Key Manager, OKM)

Le nouveau fournisseur PKCS#11 permet d'accéder à la fonctionnalité de gestionnaire de clés Oracle à l'aide des interfaces de la structure de chiffrement et de la structure de gestion des clés Oracle Solaris. Cette fonctionnalité inclut :

• la création et le stockage de clés AES (Advanced Encryption Standard, standard de chiffrement avancé) privées dans le gestionnaire de clés Oracle ;

• le cryptage et le décryptage des données à l'aide des clés générées ;

• la suppression des clés stockées.

Vous pouvez utiliser les clés AES stockées pour des opérations de chiffrement symétriques.

Prise en charge des suites de chiffrement AES dans les KSSL

Oracle Solaris prend en charge les suites de chiffrement AES suivantes dans le noyau SSL (Secure Sockets Layer) :

• TLS_RSA_WITH_AES_128_CBC_SHA

• TLS_RSA_WITH_AES_256_CBC_SHA

Ces suites sont définies dans RFC 3268 (suites de chiffrement AES pour Transport Layer Security). Pour plus d'informations, reportez-vous à la page de manuel ksslcfg(1M).

L'affectation d'un nouveau mot de passe ne déverrouille pas un compte verrouillé

À partir de la version Solaris 10 8/11, l'affectation d'un nouveau mot de passe ne déverrouille pas un compte verrouillé. Cette fonction permet ainsi d'éviter que les administrateurs système n'activent par inadvertance un compte verrouillé.

Avant cette version, un compte utilisateur verrouillé (que ce soit par un administrateur système ou après un certain nombre d'échecs de connexion) pouvait être déverrouillé :

• avec l'option passwd -u,

• en supprimant la saisie du mot de passe à l'aide de l'option passwd -d.

• en affectant un nouveau mot de passe ou

Vous pouvez toujours utiliser passwd -u pour déverrouiller un compte ou passwd -d pour supprimer la saisie du mot de passe et déverrouiller le compte. Vous devez tout d'abord supprimer l'entrée de mot de passe afin de déverrouiller un compte, puis vous pouvez affecter un nouveau mot de passe.

Pour plus d'informations, reportez-vous à la page de manuel passwd(1).

La règle pour la construction des mots de passe s'applique par défaut à l'utilisateur root

Avant cette version, la construction des mots de passe des utilisateurs root (user id 0 (ID utilisateur 0)) n'était pas soumise aux contraintes définies dans le fichier /etc/default/passwd. À partir de la version Oracle Solaris 10 8/11, la règle de construction des mots de passe configurée est appliquée par défaut à l'utilisateur root. Ce paramétrage évite aux administrateurs système de définir par inadvertance des mots de passe non conformes à la règle configurée définie pour le système.

Pour plus d'informations, reportez-vous à la page de manuel passwd(1) et à la description de l'option force_check dans la page de manuel pam_authtok_check(5).

Fonction chroot

À partir de la version Oracle Solaris 10 8/11, Oracle SSH prend en charge la fonction chroot. Cette fonction permet à l'administrateur de modifier le répertoire racine apparent pour un processus en cours d'exécution et ses enfants. Un programme en cours d'exécution dans l'environnement chroot ne peut pas accéder aux répertoires ou fichiers en dehors de l'arborescence de répertoires désignée.

Pour plus d'informations, reportez-vous à la description de l'option ChrootDirectory dans la page de manuel sshd_config(4).