Trusted Extensions 소프트웨어로 장치 보호

Oracle Solaris 시스템에서는 할당과 인증으로 장치를 보호할 수 있습니다. 기본적으로 일반 사용자가 인증 없이 장치를 사용할 수 있습니다. Trusted Extensions 소프트웨어로 구성된 시스템에서는 Oracle Solaris OS의 장치 보호 기법을 사용합니다.

그러나 기본적으로 Trusted Extensions에서는 사용할 장치를 할당해야 하며 사용자는 장치를 사용할 수 있게 인증되어야 합니다. 또한 장치는 레이블로 보호됩니다. Trusted Extensions에서는 관리자가 장치를 관리하는 데 사용할 수 있는 그래픽 사용자 인터페이스(GUI)를 제공합니다. 사용자가 장치를 할당하는 데도 동일할 인터페이스가 사용됩니다.

Oracle Solaris OS에서 장치 보호에 대한 자세한 내용은 System Administration Guide: Security Services의 4 장, Controlling Access to Devices (Tasks)를 참조하십시오.

Trusted Extensions로 구성된 시스템에서는 두 역할이 장치를 보호합니다.

• 시스템 관리자 역할은 주변 기기에 대한 액세스를 제어합니다.

  시스템 관리자는 장치를 할당 가능으로 설정합니다. 시스템 관리자가 할당 불가능으로 설정하는 장치는 누구도 사용할 수 없습니다. 할당 가능한 장치는 인증된 사용자만이 할당할 수 있습니다.

• 보안 관리자 역할은 장치에 액세스할 수 있는 레이블을 제한하고 장치 정책을 설정합니다. 보안 관리자는 장치를 할당할 수 있게 인증된 사용자를 결정합니다.

다음은 Trusted Extensions 소프트웨어를 사용한 주요 장치 제어 기능입니다.

• 기본적으로 Trusted Extensions 시스템에서 인증되지 않은 사용자는 테이프 드라이브, CD-ROM 드라이브 또는 디스켓 드라이브 등의 장치를 할당할 수 없습니다.

  Allocate Device(장치 할당) 인증이 있는 일반 사용자는 장치를 할당하는 레이블의 정보를 가져오거나 내보낼 수 있습니다.

• 사용자가 직접 로그인한 경우 Device Allocation Manager(장치 할당 관리자)를 사용하여 장치를 할당합니다. 사용자가 원격으로 장치를 할당하려면 전역 영역에 액세스할 수 있어야 합니다. 일반적으로 역할만 전역 영역에 액세스할 수 있습니다.

• 보안 관리자가 각 장치의 레이블 범위를 제한할 수 있습니다. 일반 사용자는 레이블 범위에 해당 사용자가 작업할 수 있는 레이블이 포함된 장치에만 액세스할 수 있습니다. 장치의 기본 레이블 범위는 ADMIN_LOW ~ ADMIN_HIGH입니다.

• 할당 가능한 장치와 할당 불가능한 장치 모두에 대해 레이블 범위를 제한할 수 있습니다. 할당 불가능한 장치는 프레임 버퍼와 포인터 등의 장치입니다.

장치 레이블 범위

사용자가 민감한 정보를 복사하지 못하도록 할당 가능한 장치마다 레이블 범위가 있습니다. 할당 가능한 장치를 사용하려면 사용자가 해당 장치의 레이블 범위 내에 있는 레이블에서 작업 중이어야 합니다. 그렇지 않으면 할당이 거부됩니다. 장치가 사용자에게 할당된 동안 가져오거나 내보내는 데이터에는 사용자의 현재 레이블이 적용됩니다. 장치 할당이 해제될 때 내보낸 데이터의 레이블이 표시됩니다. 사용자가 내보낸 데이터가 들어 있는 매체에 물리적인 표시를 해야 합니다.

장치의 레이블 범위 효과

콘솔을 통해 직접 로그인 액세스를 제한하려면 보안 관리자가 프레임 버퍼에 제한된 레이블 범위를 설정합니다.

예를 들어, 제한된 레이블 범위를 지정하여 공용으로 액세스 가능한 시스템으로 액세스를 제한할 수 있습니다. 레이블 범위는 사용자가 프레임 버퍼의 레이블 범위 내에 있는 레이블의 시스템에만 액세스할 수 있게 합니다.

호스트에 로컬 프린터가 있는 경우 프린터의 제한된 레이블 범위에 의해 해당 프린터에서 인쇄할 수 있는 작업이 제한됩니다.

장치 액세스 정책

Trusted Extensions는 Oracle Solaris OS와 동일한 장치 정책을 따릅니다. 보안 관리자가 기본 정책을 변경하고 새 정책을 정의할 수 있습니다. getdevpolicy 명령은 장치 정책에 대한 정보를 검색하고 update_drv 명령은 장치 정책을 변경합니다. 자세한 내용은 System Administration Guide: Security Services의 Configuring Device Policy (Task Map)를 참조하십시오. getdevpolicy(1M) 및 update_drv(1M) 매뉴얼 페이지도 참조하십시오.

Device-Clean 스크립트

device-clean 스크립트는 장치가 할당되거나 할당 해제될 때 실행됩니다. Oracle Solaris OS에서는 테이프 드라이브, CD-ROM 및 디스켓 드라이브에 대한 스크립트를 제공합니다. 사이트에서 시스템에 할당 가능한 장치 유형을 추가할 경우 추가된 장치에 스크립트가 필요할 수 있습니다. 기존 스크립트를 보려면 /etc/security/lib 디렉토리로 이동합니다. 자세한 내용은 System Administration Guide: Security Services의 Device-Clean Scripts를 참조하십시오.

Trusted Extensions 소프트웨어의 경우에는 device-clean 스크립트가 특정 요구 사항을 충족해야 합니다. 이 요구 사항은 device_clean(5) 매뉴얼 스크립트에 설명되어 있습니다.