安全性增强功能

Oracle Solaris 10 8/11 发行版中添加了以下安全增强功能。

Oracle 密钥管理器的 PKCS#11 提供程序

新的 PKCS#11 提供程序提供对 Oracle 密钥管理器 (Oracle Key Manager, OKM) 功能的访问（使用标准的 Oracle Solaris 加密框架接口和密钥管理框架接口）。相关功能包括：

• 在 OKM 中创建和存储专用的高级加密标准 (Advanced Encryption Standard, AES) 密钥

• 使用生成的密钥对数据进行加密和解密

• 删除存储的密钥

可以使用存储的 AES 密钥进行对称加密运算。

支持 KSSL 中的 AES 加密套件

Oracle Solaris 支持内核 SSL（安全套接字层）中的以下 AES 加密套件：

• TLS_RSA_WITH_AES_128_CBC_SHA

• TLS_RSA_WITH_AES_256_CBC_SHA

这些套件在 RFC 3268（传输层安全的 AES 加密套件）中定义。有关更多信息，请参见 ksslcfg(1M) 手册页。

指定新口令不会解锁锁定的帐户

从 Oracle Solaris 10 8/11 发行版开始，指定新口令不会解锁锁定的帐户。此功能可帮助系统管理员避免无意中启用锁定的帐户。

在此发行版之前，当用户帐户被锁定时（系统管理员锁定或在数次登录尝试失败后锁定），可通过以下方式之一解锁帐户：

• 使用 passwd -u 选项

• 使用 passwd -d 选项删除口令条目

• 指定新口令

您仍可使用 passwd -u 解锁帐户，或使用 passwd -d 删除口令条目并解锁帐户。删除口令条目解锁帐户后，可以指定新口令。

有关更多信息，请参见 passwd(1) 手册页。

缺省情况下，口令构造策略将应用于 root 用户

在此发行版之前，root 用户 (user id 0) 不受 /etc/default/passwd 文件中配置的任何口令策略约束条件的制约。从 Oracle Solaris 10 8/11 发行版开始，缺省情况下，配置的口令策略将应用于 root 用户。此配置可帮助系统管理员避免无意中设置的口令不符合为系统配置的策略集。

有关更多信息，请参见 passwd(1) 手册页以及 pam_authtok_check(5) 手册页中对 force_check 选项的说明。

chroot 功能

从 Oracle Solaris 10 8/11 发行版开始，Oracle SSH 支持 chroot 功能。 此功能允许管理员更改当前运行进程及其子进程的显式 (apparent) 根目录。在 chroot 环境中运行的程序无法访问指定的目录树外部的目录或文件。

有关更多信息，请参见 sshd_config(4) 手册页中对 ChrootDirectory 选项的说明。