Cette section décrit les nouvelles fonctionnalités de sécurité et de conformité disponibles dans cette version. Ces nouvelles fonctionnalités permettent d'empêcher de nouvelles menaces via une protection antimalware et permettent de répondre aux obligations les plus strictes en matière de conformité.
Les modèles d'environnement restreint sont des ensembles d'attributs de processus à nom unique pouvant être utilisés pour spécifier des exigences de sécurité et d'isolement des ressources. Dans Oracle Solaris 11.4, vous pouvez exécuter des processus non sécurisés dans des modèles d'environnement restreint temporaires. Vous pouvez créer des modèles d'environnement restreint persistants et hiérarchiques à l'aide de la commande sandboxadm. Vous pouvez accéder aux modèles d'environnement restreint temporaires et persistants à l'aide de la commande sandbox.
Les modèles d'environnement restreint conviennent aussi bien aux applications avec privilèges que sans. Des contrôles renforcés contre les attaques malveillantes, qui tirent parti de la fonctionnalité Silicon Secured Memory (SSM) de SPARC, protègent automatiquement les applications clés et le noyau système.
Pour plus d'informations, reportez-vous à la section Configuring Sandboxes for Project Isolation du manuel Securing Users and Processes in Oracle Solaris 11.4 et aux pages de manuel sandboxing(7), sandbox(1) et sandboxadm(8).
Cette version d'Oracle Solaris permet d'exécuter et de stocker des rapports de conformité à distance et de les filtrer en fonction des métadonnées.
Vous pouvez exécuter et administrer des rapports de conformité à partir d'un système central et les stocker sur un serveur commun. Reportez-vous au Chapitre 2, Centrally Managing Compliance Assessments du manuel Oracle Solaris 11.4 Compliance Guide et à la page de manuel compliance-roster(8).
Vous pouvez baliser les évaluations de conformité pour identification et filtrage. Reportez-vous à la section Using Metadata to Manage Assessments du manuel Oracle Solaris 11.4 Compliance Guide et à la section Match Parameters de la page de manuel compliance(8).
Le test d'évaluation standard pour la commande compliance d'Oracle Solaris inclut des contrôles pour Oracle Solaris Cluster. Les contrôles Oracle Solaris Cluster s'exécutent uniquement si Oracle Solaris Cluster est installé et configuré sur le système.
Pour plus d'informations sur les tests d'évaluation, les profils, la commande compliance et les contrôles de conformité Oracle Solaris Cluster, consultez la documentation suivante :
Page de manuel compliance(8)
Section What’s New in Compliance in Oracle Solaris 11.4 du manuel Oracle Solaris 11.4 Compliance Guide
Directives de sécurité d'Oracle Solaris Cluster 4.4
L'audit par fichier dans Oracle Solaris 11.4 fournit un audit détaillé des accès à des fichiers et répertoires spécifiques. Grâce à cette fonction, les administrateurs du système et de la sécurité peuvent cibler les fichiers à auditer. Les fichiers spécifiés sont accessibles par certains moyens, ce qui facilite grandement la collecte et l'analyse des données d'audit.
Par exemple :
# chmod A+everyone@:write_data/read_data:successful_access/failed_access:audit /data/db1
Cette entrée de contrôle d'accès d'audit garantit qu'un enregistrement d'audit est généré pour toutes les lectures ou écritures, à la fois pour les accès autorisés et refusés, sur le fichier /data/db1 par tout utilisateur du système. Il est également possible d'ajouter des entrées de contrôle d'accès d'audit pour les modifications de métadonnées.
Pour plus d'informations, reportez-vous à la section What’s New in the Audit Service in Oracle Solaris 11.4 du manuel Managing Auditing in Oracle Solaris 11.4.
Dans Oracle Solaris 11.4, cette nouvelle fonction vous aide à générer des enregistrements d'audit pour indiquer les résultats de la vérification de signature des modules de noyau. Cette fonction contrôle la valeur boot_policy de Verified Boot à l'initialisation d'Oracle Solaris 11.4 et génère la valeur de sortie dans un enregistrement d'audit pour l'événement AUE_SYSTEMBOOT. Lorsque la fonction Verified Boot est activée avec la propriété boot_policy définie avec la valeur warning ou enforce, l'audit Oracle Solaris produit des événements d'audit AUE_MODLOAD en cas d'échec d'une vérification de signature elfsign quand un module doit être chargé. Avec Verified Boot, vous pouvez suivre les événements des modules de noyau qui ont des signatures non valides ou des signatures qui n'ont pas été chargées dans le système.
Pour plus d'informations, reportez-vous à la section New Feature – Auditing Verified Boot du manuel Managing Auditing in Oracle Solaris 11.4.
Oracle Solaris 11.4 introduit l'utilitaire admhist, qui fournit un résumé des événements liés à l'administration système qui ont été exécutés sur le système, dans un format utile et facile à comprendre. L'utilitaire admhist exploite pleinement les données d'audit pour permettre aux utilitaires praudit et auditreduce de fournir une analyse des journaux plus détaillée.
Diverses options permettent d'affiner les résultats par utilisateur, date, heure, ou type d'événement comme suit. Par exemple, vous pouvez identifier les exécutions de commande avec privilège en fonction d'un ID utilisateur au cours des dernières 24 heures :
# admhist -v -a "last 24 hours" 2017-05-09 10:58:55 user1@example.com cwd=/export/home/user1 /usr/sbin/zfs get quota rpool/export/home/user1 2017-05-09 10:59:16 user1@example.com cwd=/export/home/user1 /usr/sbin/zfs set quota 40g 2017-05-09 10:59:27 user1@example.com cwd=/export/home/user1 /usr/sbin/zfs get quota rpool/export/home/user1 2017-05-09 10:59:31 user1@example.com cwd=/export/home/user1 /usr/bin/bash 2017-05-09 10:59:31 user1@example.com cwd=/ /usr/bin/su
La sortie montre que l'utilisateur user1 a pris le rôle d'utilisateur root et a augmenté son quota. Les privilèges utilisés tout au long de la vie du processus sont examinés à la sortie de l'exécution de la commande, raison pour laquelle l'opération su est affichée à la fin de la sortie.
Pour plus d'informations, reportez-vous à la page de manuel admhist(8), à la section New Feature – Per-Privilege Logging of Audit Events du manuel Managing Auditing in Oracle Solaris 11.4 et à Utilisation des fonctions d’analyse Oracle Solaris 12.
Oracle Solaris 11.4 fournit le support client pour l'utilisation du protocole KMIP (Key Management Interoperability Protocol) version 1.1. Le nouveau fournisseur PKCS#11, pkcs11_kmip, est compris dans la structure cryptographique d'Oracle Solaris qui permet aux applications PKCS#11 de fonctionner en tant que clients KMIP et de communiquer avec des serveurs KMIP.
Oracle Solaris 11.4 inclut également une nouvelle commande, kmipcfg, qui permet d'initialiser et de gérer les états du fournisseur pkcs11_kmip.
Pour plus d'informations, reportez-vous au Chapitre 5, KMIP and PKCS #11 Client Applications du manuel Managing Encryption and Certificates in Oracle Solaris 11.4 et aux pages de manuel pkcs11_kmip(7) et kmipcfg(8).
L'étiquetage des fichiers et processus dans Oracle Solaris 11.4 fournit une structure permettant de restreindre l'accès aux informations sensibles. Il est désormais possible d'étiqueter les fichiers et répertoires pour fournir l'accès aux utilisateurs ou rôles disposant d'une autorisation suffisante. La stratégie d'autorisation (clearance) s'applique également aux processus ayant tous les privilèges. Oracle Solaris 11.4 peut générer des journaux pour chaque accès aux fichiers étiquetés, qui peuvent être utilisés pour le suivi des normes de conformité telles que PCI-DSS et HIPAA.
Pour plus d'informations, reportez-vous à la section Etiquettes et autorisations du manuel Sécurisation des fichiers et vérification de l’intégrité des fichiers dans Oracle Solaris 12 et à la page de manuel clearance(7).
La fonctionnalité Silicon Secured Memory (SSM) ajoute un contrôle en temps réel de l'accès aux données en mémoire pour renforcer la protection contre les intrusions malveillantes et les failles de programme en production, et offrir ainsi une sécurité et une fiabilité accrues.
SSM est disponible via le programme d'allocation de mémoire système par défaut et dans une zone de noyau. Reportez-vous à Prise en charge de la mémoire sécurisée de silicium dans les zones de noyau Oracle Solaris.
Le programme d'allocation de mémoire système par défaut (libc malloc) est maintenant compatible avec l'intégrité des données d'application (ADI, Application Data Integrity). Les fichiers binaires balisés avec la commande sxadm bénéficient automatiquement de la protection. Reportez-vous aux informations sur les protections ADIHEAP et ADISTACK dans la section Extensions de sécurité de la page de manuel sxadm(8).
Les interfaces de programmation d'application SSM sont disponibles pour la personnalisation avancée. Reportez-vous à la section Protecting Against Malware With Security Extensions du manuel Securing Systems and Attached Devices in Oracle Solaris 11.4 et à la page de manuel adi(2).
Oracle Solaris 11.4 inclut le pare-feu OpenBSD Packet Filter (PF) pour filtrer le trafic TCP/IP. Le pare-feu PF offre une alternative au filtre IP (IPF) existant dans Oracle Solaris 11.4, ce qui permet à la fois la gestion de la bande passante et la priorisation de paquets. Pour utiliser le pare-feu PF, installez le package pkg:/network/firewall et activez l'instance de service svc:/network/firewall:default.
PF inclut la fonction pflogd, un démon de journalisation de paquets qui sauvegarde les paquets journalisés par le pare-feu PF. Ces paquets sont disponibles à partir d'une liaison de données de capture. Le démon lit les paquets à partir de cette liaison de données et les stocke dans un fichier. Pour plus d'informations, reportez-vous à la page de manuel pflogd(8).
PF prend en charge ftp-proxy, un proxy semi-transparent pour FTP, prenant en charge la traduction d'adresses réseau (NAT) IPv4. Les systèmes exécutant le pare-feu PF pour la traduction NAT peuvent utiliser ftp-proxy pour autoriser les connexions FTP à traverser le pare-feu. Pour plus d'informations, reportez-vous à la page de manuel ftp-proxy(8).
Pour plus d'informations, reportez-vous au Chapitre 4, Oracle Solaris Firewall du manuel Securing the Network in Oracle Solaris 11.4 et aux pages de manuel pfctl(8), pf.conf(7) et pf.os(7).
Oracle Solaris 11.4 fournit une version mise à jour de Kerberos, qui inclut les améliorations apportées à la dernière version de MIT Kerberos, ainsi que celles apportées à Oracle Solaris. Kerberos fournit l'authentification réseau et assure éventuellement l'intégrité et la confidentialité des messages, selon la façon dont une application l'utilise.
Pour plus d'informations, reportez-vous au Chapitre 1, Kerberos on Oracle Solaris du manuel Managing Kerberos in Oracle Solaris 11.4 et à la page de manuel kerberos.7.
La couche SASL (Simple Authentication and Security Layer) est une structure fournissant des services d'authentification et de sécurité facultatifs aux protocoles réseau. Oracle Solaris 11.4 base son implémentation SASL sur la version open source Cyrus SASL 2.1.26, avec quelques modifications.
Les plug-ins SASL se trouvent dans le répertoire /usr/lib/sasl2 et l'emplacement par défaut des fichiers de configuration SASL est le répertoire /etc/sasl2. En basant la version SASL sur open source, Oracle Solaris 11.4 est à même d'offrir les dernières fonctions SASL, y compris les mises à jour de sécurité.
Pour plus d'informations, reportez-vous au Chapitre 2, Using Simple Authentication and Security Layer du manuel Managing Authentication in Oracle Solaris 11.4.
Cette version d'Oracle Solaris offre une alternative à la modification des fichiers individuels dans le répertoire /etc pour établir la stratégie du système. Le service account-policy de l'utilitaire de gestion des services (SMF), stocke le login, le su, les variables shell, la journalisation, la stratégie de sécurité (policy.conf) et les paramètres de contrôle d'accès basé sur les rôles (RBAC) en tant que propriétés dans SMF. Lorsque le service est activé, vous définissez et vous obtenez la stratégie du système via celui-ci. Notez que les fichiers /etc peuvent ne pas indiquer les stratégies actives. Pour plus d'informations, reportez-vous à la page de manuel account-policy(8S) et à la section Modifying Rights System-Wide As SMF Properties du manuel Securing Users and Processes in Oracle Solaris 11.4.
La structure cryptographique d'Oracle Solaris a été mise à jour de PKCS #11 v2.20 vers PKCS #11 v2.40. Les mises à jour incluent certains des mécanismes les plus récents de PKCS #1 v2.40, y compris ceux de PKCS #11 v2.30. Un nouveau code d'erreur et une nouvelle valeur ont également été introduits dans PKCS #11 v2.40. Les nouveaux mécanismes suivants ont été ajoutés :
Signature et vérification AES
CKM_AES_XCBC_MAC CKM_AES_XCBC_MAC_96 CKM_AES_CMAC CKM_AES_GMAC
Chiffrement et déchiffrement AES
CKM_AES_GCM CKM_AES_CCM CKM_AES_CFB128
Condensé de messages SHA-512/t
CKM_SHA512_224 CKM_SHA512_256 CKM_SHA512_T
Longueur générale SHA-512/t avec HMAC
CKM_SHA512_224_HMAC_GENERAL CKM_SHA512_256_HMAC_GENERAL CKM_SHA512_T_HMAC_GENERAL CKM_SHA512_224_HMAC CKM_SHA512_256_HMAC CKM_SHA512_T_HMAC
Dérivation de clé SHA-512/t
CKM_SHA512_224_KEY_DERIVATION CKM_SHA512_256_KEY_DERIVATION CKM_SHA512_T_KEY_DERIVATION
TLS 1.2
CKM_TLS12_MASTER_KEY_DERIVE CKM_TLS12_MASTER_KEY_DERIVE_DH CKM_TLS12_KEY_AND_MAC_DERIVE CKM_TLS12_KEY_SAFE_DERIVE CKM_TLS_KDF - replacing CKM_TLS_PRF CKM_TLS_MAC - replacing CKM_TLS_PRF
Code d'erreur CKR_CURVE_NOT_SUPPORTED pour courbe elliptique
Si une courbe elliptique spécifique ne peut pas être prise en charge, le code d'erreur CKR_CURVE_NOT_SUPPORTED est renvoyé. Dans la version précédente, le code d'erreur CKR_TEMPLATE_INCONSISTENT était renvoyé dans ce cas.
CK_UNAVAILABLE_INFORMATION
Lorsque la fonction C_GetAttributeValue() est appelée, et si un attribut ne peut pas être renvoyé parce qu'il n'est pas valide ou n'est pas disponible, ulValueLen est défini sur CK_UNAVAILABLE_INFORMATION. L'appelant doit vérifier si la valeur d'attribut renvoyée n'est pas valide ou n'est pas disponible en comparant la valeur ulValueLen à CK_UNAVAILABLE_INFORMATION. En outre, l'appelant doit traiter ulValueLen = 0 en tant que valeur valide.
Attributs CKA_DESTROYABLE et CKR_ACTION_PROHIBITED
Si un objet a CKA_DESTROYABLE = CK_FALSE, une demande C_DestroyObject pour cet objet donné doit générer le renvoi de CKR_ACTION_PROHIBITED en tant que code d'erreur.
Suppression des restrictions avec CKU_SO
Cette modification supprime les restrictions sur l'ouverture en lecture seule tandis que CKU_SO est connecté. Alors que des sessions en lecture seule peuvent maintenant coexister avec CKU_SO, ces sessions se comportent comme CKS_RO_PUBLIC_SESSION. Une session en lecture seule ne peut pas être utilisée pour C_Login avec CKU_SO.
CKR_SESSION_READ_ONLY_EXISTS et CKR_SESSION_READ_WRITE_SO_EXISTS sont en phase d'abandon.
Pour plus d'informations, reportez-vous aux pages de manuel SUNW_C_GetMechSession(3EXT), SUNW_C_KeyToObject(3EXT), libpkcs11(3LIB), pkcs11_softtoken(7), pkcs11_kms(7) et pkcs11_tpm(7).