Trusted Extensions et le SE Oracle Solaris

Le logiciel Trusted Extensions ajoute des étiquettes à un système qui exécute le SE Oracle Solaris. Les étiquettes appliquent un contrôle d'accès obligatoire (MAC). Le MAC et le contrôle d'accès discrétionnaire (DAC) protègent les sujets (processus) et les objets (données) du système. Le logiciel Trusted Extensions fournit des interfaces pour gérer la configuration et l'assignation des étiquettes, ainsi que la stratégie les concernant.

Similarités entre Trusted Extensions et le SE Oracle Solaris

Le logiciel Trusted Extensions utilise des profils de droits, des rôles, l'audit, les privilèges et d'autres fonctions de sécurité d'Oracle Solaris. Vous pouvez utiliser le shell sécurisé, BART, la structure cryptographique, IPsec et IP Filter avec Trusted Extensions. Toutes les fonctions du système de fichiers ZFS sont disponibles dans Trusted Extensions, y compris les instantanés et le chiffrement.

Différences entre Trusted Extensions et le SE Oracle Solaris

Le logiciel Trusted Extensions étend le SE Oracle Solaris. La liste suivante offre une vue d'ensemble. Reportez-vous également à l'Annexe CGuide de référence rapide pour l'administration de Trusted Extensions.

• Trusted Extensions contrôle l'accès aux données à l'aide de balises de sécurité spéciales nommées étiquettes. Les étiquettes assurent un contrôle d'accès obligatoire (MAC). La protection MAC s'ajoute aux autorisations des fichiers UNIX, ou contrôle d'accès discrétionnaire (DAC). Les étiquettes sont directement assignées aux utilisateurs, aux zones, aux périphériques, aux fenêtres et aux extrémités de réseaux. Les étiquettes sont assignées implicitement à des processus, des fichiers et à d'autres objets système.

  Les utilisateurs standard ne peuvent pas passer outre au MAC. Dans Trusted Extensions les utilisateurs standard doivent travailler dans des zones étiquetées. Par défaut, aucun utilisateur ou processus de zone étiquetée ne peut passer outre au MAC.

  Comme dans le SE Oracle Solaris, la possibilité de passer outre à la stratégie de sécurité peut être assignée à des processus ou à des utilisateurs spécifiques lorsque le MAC peut être ignoré. Par exemple, des utilisateurs peuvent être autorisés à modifier l'étiquette d'un fichier. Cette opération permet de mettre à niveau ou de rétrograder des informations de ce fichier.

• Trusted Extensions ajoute des fichiers et des commandes à la configuration existante. Par exemple, Trusted Extensions ajoute des événements d'audit, des autorisations, des privilèges et des profils de droits.

• Certaines fonctions facultatives sur un système Oracle Solaris sont obligatoires sur un système Trusted Extensions. Par exemple, les zones et les rôles sont obligatoires sur un système configuré avec Trusted Extensions.

• Certaines fonctions facultatives sur un système Oracle Solaris sont activées sur un système Trusted Extensions. Par exemple, de nombreux sites qui configurent Trusted Extensions requièrent une séparation des tâches lors de la création des utilisateurs et de l'affectation des attributs de sécurité.

• Trusted Extensions peut modifier le comportement par défaut d'Oracle Solaris. Par exemple, un système configuré avec Trusted Extensions exige l'allocation des périphériques.

• Trusted Extensions peut restreindre les options disponibles dans Oracle Solaris. Par exemple, toutes les zones sont étiquetées dans Trusted Extensions. Contrairement à ce qui se passe dans Oracle Solaris, les zones étiquetées doivent utiliser le même pool d'ID utilisateur et d'ID de groupe. En outre, dans Trusted Extensions, les zones étiquetées peuvent partager une même adresse IP.

• Trusted Extensions fournit une version multiniveau du bureau Oracle Solaris, Solaris Trusted Extensions (GNOME). Le nom peut être abrégé en Trusted GNOME.

• Trusted Extensions fournit d'autres interfaces utilisateur graphiques (GUI, Graphical user interfaces) et interfaces de ligne de commande (CLI, Command line interfaces). Par exemple, Trusted Extensions fournit l'interface utilisateur graphique Device Manager (Gestionnaire de périphériques) pour administrer les périphériques. En outre, la commande updatehome permet de placer les fichiers de démarrage dans les répertoires personnels des utilisateurs sous chaque étiquette.

• Trusted Extensions requiert l'utilisation d'interfaces utilisateur graphiques spécifiques pour l'administration. Par exemple, sur un système configuré avec Trusted Extensions, l'administration des zones étiquetées est assurée à l'aide du gestionnaire de zones étiquetées (Labeled Zone Manager), en plus de la commande zonecfg.

• Trusted Extensions limite les données lisibles par les utilisateurs. Par exemple, un périphérique qui ne peut pas être alloué par un utilisateur n'est pas visible pour cet utilisateur.

• Trusted Extensions limite les options de bureau des utilisateurs. Par exemple, le temps d'inactivité avant verrouillage de l'écran des utilisateurs est limité. Par défaut, les utilisateurs standard ne peuvent pas arrêter le système.

Systèmes multiécran et le bureau Trusted Extensions

Lorsque les écrans d'un système Trusted Extensions multiécran sont configurés horizontalement, une bande de confiance s'étend sur tous les écrans. Lorsque les moniteurs sont configurés verticalement, la bande de confiance s'affiche dans l'écran le plus bas.

Lorsque plusieurs espaces de travail sont affichés sur les écrans d'un système multiécran, Trusted GNOME affiche une bande de confiance sur chaque moniteur.