Seguridad y autorizaciones de configuración de red

La seguridad de la configuración de red reactiva incluye los siguientes componentes:

• Interfaz de línea de comandos (comandos netcfg y netadm)

• GUI de administración de redes

• Daemon de repositorio de perfiles de red (netcfgd)

• Daemon de gestión de redes (nwamd)

• Biblioteca de gestión de la configuración de red (libnwam)

El daemon netcfgd controla el repositorio donde se almacena toda la información de configuración de red. El comando netcfg, la GUI de administración de redes y el daemon nwamd envían solicitudes al daemon netcfgd para acceder al repositorio. Estos componentes funcionales realizan solicitudes a través de la biblioteca de gestión de la configuración de red, libnwam.

Autorizaciones y perfiles relacionados con la configuración de red

La implementación actual de la configuración de red utiliza las siguientes autorizaciones para realizar tareas específicas:

• solaris.network.autoconf.read: permite la lectura de datos de perfiles de red, que verifica el daemon netcfgd

• solaris.network.autoconf.write: permite la escritura de datos de perfiles de red, que verifica el daemon netcfgd

• solaris.network.autoconf.select: permite que se apliquen nuevos datos de configuración, que verifica el daemon nwamd

• solaris.network.autconf.wlan: permite la escritura de datos de configuración de WLAN conocidas

Estas autorizaciones se registran en la base de datos auth_attr. Para obtener más información, consulte la página del comando man auth_attr(4).

La autorización solaris.network.autoconf.read se incluye en el perfil de derechos de usuario de Solaris básico, que se asigna a todos los usuarios de manera predeterminada. Cualquier usuario con esta autorización puede ver entonces el estado actual de la red y el contenido de todos los perfiles de red.

Se proporcionan dos perfiles de derechos adicionales: Network Autoconf User y Network Autoconf Admin. El perfil Network Autoconf User tiene las autorizaciones read, select y wlan. El perfil Network Autoconf Admin agrega la autorización write. El perfil Network Autoconf User está asignado al perfil Console User . Por lo tanto, de manera predeterminada, cualquier usuario que ha iniciado sesión en la consola puede ver, activar y desactivar perfiles. Como el perfil Console User no tiene asignada la autorización solaris.network.autoconf.write , cualquier usuario que tenga esta autorización no puede crear ni modificar NCP, NCU, ubicaciones ni ENM. Sin embargo, el perfil Console User tiene permiso para ver, crear y modificar las WLAN.

Autorizaciones necesarias para utilizar las interfaces de usuario

Los comandos netcfg y netadm se pueden usar para ver los perfiles de red de cualquier usuario que tenga el perfil de derechos de usuario de Solaris básico. Este perfil se asigna a todos los usuarios de manera predeterminada.

El comando netadm también se puede utilizar para activar los perfiles de red de cualquier usuario que tenga el perfil Network Autoconf User o Console User. El perfil Console User se asigna automáticamente al usuario que ha iniciado sesión en el sistema desde /dev/console.

Para modificar perfiles de red con el comando netcfg, necesita la autorización solaris.network.autoconf.write o el perfil Network Autoconf Admin.

Puede determinar los privilegios que están asociados a un perfil de derechos mediante el comando profiles con el nombre del perfil. Para obtener más información, consulte la página del comando man profiles(1).

Por ejemplo, para determinar los privilegios asociados al perfil de derechos Console User, utilice el siguiente comando:

$ profiles -p "Console User" info
Found profile in files repository.
    name=Console User
    desc=Manage System as the Console User
    auths=solaris.system.shutdown,solaris.device.cdrw,solaris.smf.manage.vbiosd,
    solaris.smf.value.vbiosd
    profiles=Suspend To RAM,Suspend To Disk,Brightness,CPU Power Management,
    Network Autoconf User,Desktop Removable Media User
    help=RtConsUser.html

La GUI de administración de redes incluye los siguientes componentes, que no tienen privilegios. Se otorgan autorizaciones a estos componentes, en función de cómo se inician y las tareas que deben realizar.

• Presencia de panel de estado y configuración de red

  Este componente es el applet del panel del escritorio que permite a los usuarios interactuar con la configuración de red. El panel puede ser ejecutado por cualquier usuario y se utiliza para supervisar la configuración automática del sistema y gestionar las notificaciones de eventos. El panel también se puede utilizar para realizar algunas tareas de configuración básicas de la red, por ejemplo, seleccionar una red Wi-Fi o cambiar ubicaciones manualmente. Para realizar estos tipos de tareas, se requiere el perfil de derechos Network Autoconf User . El perfil de derechos está disponible en la configuración predeterminada, ya que el panel se ejecuta con las autorizaciones del usuario que ha iniciado sesión desde /dev/console y, por lo tanto, tiene el perfil Console User.

• GUI de administración de redes

  La GUI de administración de redes (antes conocida como GUI de NWAM) es el principal medio para interactuar con la configuración de red desde el escritorio. La interfaz gráfica se utiliza para ver el estado de la red, para crear y modificar NCP y perfiles de ubicación y para iniciar y detener ENM configurados. La interacción con la GUI requiere cuatro de las autorizaciones de solaris.network.autoconf o el perfil Network Autoconf Admin. De manera predeterminada, el perfil Console User tiene suficientes autorizaciones para visualizar el estado y los perfiles de la red mediante el uso de la interfaz gráfica. Además, se necesita la autorización solaris.network.autoconf.write o el perfil Network Autoconf Admin para modificar perfiles mediante la GUI.

Puede obtener autorizaciones adicionales de una de las siguientes maneras:

• Asigne el perfil Network Autoconf Admin a un usuario específico.

  Puede asignar autorizaciones o perfiles de derechos adecuados directamente a un usuario específico mediante la edición del archivo /etc/user_attr de ese usuario.

• Asigne el perfil Network Autoconf Admin al perfil Console User.

  Puede asignar este perfil al perfil Console User en lugar del perfil Network Autoconf User que está asignado de manera predeterminada. Para asignar este perfil, edite la entrada en el archivo /etc/security/prof_attr.