请注意以下关键安全更改:
地址空间布局随机化 (Address Space Layout Randomization, ASLR)-从 Oracle Solaris 11.1 开始,ASLR 机制会随机分配供给定二进制文件使用的地址。ASLR 可使特定类型的攻击(即那些基于掌握特定内存范围的确切位置而发起的攻击)失败,并且可以在有人尝试停止可执行文件时检测到这种意图。使用 sxadm 命令配置 ASLR。使用 elfedit 命令更改二进制文件的标记。请参见 sxadm(1M) 和 elfedit(1)。
管理编辑器-从 Oracle Solaris 11.1 开始,可以使用 pfedit 命令编辑系统文件。如果系统管理员做了定义,则该编辑器的值为 $EDITOR。如果未定义,则编辑器缺省为 vi 命令。启动编辑器的操作如下所示:
$ pfedit system-filename
在此发行版中,缺省情况下已启用审计。为了保证系统的安全,请在启用管理操作审计时,使用始终经过审计的接口。由于 pfedit 的使用始终经过审计,因此此命令是编辑系统文件的首选命令。请参见 pfedit(1M) 和在 Oracle Solaris 11.2 中确保系统和连接设备的安全 中的第 3 章 控制对系统的访问。
审计-审计是 Oracle Solaris 11 中的一项服务,并且在缺省情况下处于启用状态。禁用或启用此服务时无需重新引导。auditconfig 命令用于查看有关审计策略的信息和更改审计策略。公共对象的审计在审计迹中生成的噪音较少。此外,审计非内核事件不产生任何性能影响。
有关为审计文件创建 ZFS 文件系统的信息,请参见在 Oracle Solaris 11.2 中管理审计 中的如何为审计文件创建 ZFS 文件系统。
审计远程服务器 (Audit Remote Server, ARS)-ARS 功能可接收并存储来自正被审计且配置有活动的 audit_remote 插件的系统的审计记录。为了区分被审计系统与 ARS,可以将被审计系统称为本地被审计系统。此功能是 Oracle Solaris 11.1 中新增的。请参阅 auditconfig(1M) 中有关 –setremote 选项的信息。
符合性评估-compliance 命令(Oracle Solaris 11.2 中的新增功能)用于自动执行符合性评估,而并非补救。该命令可用于列出、生成和删除评估与报告。请参见Oracle Solaris 11.2 安全遵从性指南 和 compliance(1M)。
基本审计报告工具 (Basic Audit Reporting Tool, BART)-BART 使用的缺省散列是 SHA256,而不是 MD5。除了缺省的 SHA256,您还可以选择散列算法。请参见在 Oracle Solaris 11.2 中确保文件的安全和确认文件完整性 中的第 2 章 使用 BART 检验文件完整性。
cryptoadm 命令更改-另外,作为可更简便地封装 Oracle Solaris 内核配置的 /etc/system.d 目录实现的一部分,已将 cryptoadm 命令更新为写入该目录中的文件,而不是像先前发行版那样写入 /etc/system 文件。请参见 cryptoadm(1M)。
加密框架-此功能包括更多算法、机制、插件以及 Intel 和 SPARC T4 硬件加速的支持。另外,Oracle Solaris 11 提供与 NSA 套件 B 加密更好的对齐。框架中的许多算法针对 x86 平台(使用 SSE2 指令集)进行了优化。有关 T 系列优化的更多信息,请参见在 Oracle Solaris 11.2 中管理加密和证书 中的加密框架和 SPARC T 系列服务器。
dtrace 命令更改-另外,作为可更简便地封装 Oracle Solaris 内核配置的 /etc/system.d 目录实现的一部分,已将 dtrace 命令更新为写入该目录中的文件,而不是像先前发行版那样写入 /etc/system 文件。请参见 dtrace(1M)。
Kerberos DTrace 提供者-已添加为 Kerberos 消息(协议数据单元)提供探测器的新 DTrace USDT 提供者。这些探测器是仿照 RFC 4120 中所介绍的 Kerberos 消息类型建立的。
主要的管理增强功能:
可信平台模块中 RSA 密钥的 PKCS#11 密钥库支持
对集中企业密钥管理的 Oracle 密钥管理程序的 PKCS#11 访问
lofi 命令更改-在此发行版中,lofi 命令支持块设备的加密。请参见 lofi(7D)。
profiles 命令更改-在 Oracle Solaris 10 中,此命令仅用来列出特定用户或角色的配置文件,或列出用户对特定命令的特权。从 Oracle Solaris 11 开始,可以使用 profiles 命令在文件和 LDAP 中创建和修改配置文件。请参见 profiles(1)。
sudo 命令-sudo 命令是 Oracle Solaris 11 中的新命令。此命令会在运行其他命令时生成 Oracle Solaris 审计记录。如果 sudoers 命令项标记为 NOEXEC,此命令还会删除 proc_exec 基本特权。
ZFS 文件系统加密-ZFS 文件系统加密专门用于保护数据安全。请参见加密 ZFS 文件系统。
rstchown 属性-在先前发行版中用于限制 chown 操作的 rstchown 可调参数现在是 ZFS 文件系统属性 rstchown,并且还是常规文件系统挂载选项。请参见在 Oracle Solaris 11.2 中管理 ZFS 文件系统 和 mount(1M)。
如果尝试在 /etc/system 文件中设置此过时参数,将显示以下消息:
sorry, variable 'rstchown' is not defined in the 'kernel'