Champ d'application de la structure cryptographique

La structure offre des commandes aux administrateurs, utilisateurs et développeurs qui approvisionnent les fournisseurs :

• Commandes d'administration : la commande cryptoadm fournit une sous-commande list pour répertorier les fournisseurs disponibles et leurs capacités. Les utilisateurs standard peuvent exécuter les commandes cryptoadm list et cryptoadm --help.

  Toutes les autres sous-commandes cryptoadm exigent que vous preniez un rôle incluant le profil de droits Crypto Management (gestion de la cryptographie) ou que vous vous connectiez en tant que superutilisateur. Les sous-commandes telles que disable, install et uninstall sont disponibles pour l'administration de la structure. Pour plus d'informations, reportez-vous à la page de manuel cryptoadm(1M).

  La commande svcadm est utilisée pour gérer le démon kcfd et actualiser la stratégie cryptographique dans le noyau. Pour plus d'informations, reportez-vous à la page de manuel svcadm(1M).

• Commandes au niveau de l'utilisateur : les commandes digest et mac fournissent des services d'intégrité des fichiers. Les commandes encrypt et decrypt protègent les fichiers des risques d'écoute informatique. Pour utiliser ces commandes, reportez-vous à la section Protection de fichiers avec la structure cryptographique (liste des tâches).

Commandes d'administration dans la structure cryptographique

La commande cryptoadm administre une structure cryptographique en cours d'exécution. La commande fait partie du profil de droits Crypto Management (gestion de la cryptographie). Ce profil peut être attribué à un rôle pour l'administration sécurisée de la structure cryptographique. La commande cryptoadm gère ce qui suit :

• Affichage des informations du fournisseur cryptographique

• Désactivation ou activation de mécanismes du fournisseur

• Désactivation ou activation du metaslot

La commande svcadm est utilisée pour activer, actualiser et désactiver le démon des services cryptographiques, kcfd. Cette commande fait partie de l'utilitaire de gestion des services (SMF) d'Oracle Solaris. svc:/system/cryptosvcs est l'instance de service pour la structure cryptographique. Pour plus d'informations, reportez-vous aux pages de manuel smf(5) et svcadm(1M).

Commandes au niveau de l'utilisateur dans la structure cryptographique

La structure cryptographique fournit des commandes au niveau de l'utilisateur pour vérifier l'intégrité des fichiers et les chiffrer/déchiffrer. Une commande distincte, elfsign, permet aux fournisseurs de signer les binaires pour les utiliser avec la structure.

• digest (commande) : calcule une synthèse de message pour un ou plusieurs fichiers ou pour stdin. Une synthèse permet de vérifier l'intégrité d'un fichier. SHA1 et MD5 sont des exemples de fonctions digest.

• mac (commande) : calcule un MAC pour un ou plusieurs fichiers ou pour stdin. Un code MAC associe des données à un message authentifié. Un MAC permet à un destinataire de vérifier que le message provient de l'expéditeur et qu'il n'a pas été altéré. Les mécanismes sha1_mac et md5_hmac peuvent calculer un MAC.

• encrypt (commande) : chiffre des fichiers ou stdin avec un chiffrement symétrique. La commande encrypt -l répertorie les algorithmes disponibles. Les mécanismes répertoriés dans une bibliothèque au niveau de l'utilisateur sont disponibles pour la commande encrypt. La structure offre les mécanismes AES, DES, 3DES (triple DES) et ARCFOUR pour le chiffrement utilisateur.

• decrypt (commande) : déchiffre des fichiers ou stdin qui ont été chiffrés avec la commande encrypt. La commande decrypt utilise les mêmes clé et même mécanisme que ceux utilisés pour chiffrer le fichier d'origine.

Signatures binaires pour les logiciels tiers

La commande elfsign fournit un moyen de signer les fournisseurs à utiliser avec la structure cryptographique. En règle générale, cette commande est exécutée par le développeur d'un fournisseur.

La commande elfsign dispose de sous-commandes pour demander un certificat, signer des fichiers binaires et vérifier la signature d'un fichier binaire. Les binaires non signés ne peuvent pas être utilisés par la structure cryptographique. Les fournisseurs qui disposent de binaires signés vérifiables peuvent utiliser la structure.

Plug-ins de la structure cryptographique

Des tiers peuvent inclure leurs fournisseurs dans la structure cryptographique. Un fournisseur tiers peut être l'un des objets suivants :

• Bibliothèque partagée PKCS #11

• Module de logiciel noyau chargeable, comme un algorithme de chiffrement, la fonction MAC ou la fonction digest

• Pilote de périphérique de noyau pour un accélérateur matériel

Les objets d'un fournisseur doivent être signés avec un certificat d'Oracle. La demande de certificat se base sur une clé privée sélectionnée par le tiers et un certificat fourni par Oracle. La demande de certificat est envoyée à Oracle, qui enregistre le tiers, puis émet le certificat. Le tiers signe ensuite son objet fournisseur à l'aide du certificat Oracle.

Les modules de logiciels noyau chargeables et les pilotes de périphériques de noyau pour les accélérateurs matériels doivent également s'enregistrer dans le noyau. L'enregistrement s'effectue par l'intermédiaire de l'interface du fournisseur de services (SPI) de la structure cryptographique.