[PDF] [PDF] AIX 5L Guide de sécurité - Bull Support

[PDF] IBM System Storage SAN Volume Controller

Le système de virtualisation IBM System Storage SVC est un système de IBM ne fournit aucun conseil juridique, comptable ou d'audit, et ne garantit pas que 

[PDF] IBM PowerHA SystemMirror V72 for AIX Updates - IBM Redbooks

He works for IBM Systems Lab Services in Nice, France Bing He is a Consulting I/T Specialist of the IBM Advanced Technical Skills (ATS) team stretched configuration, the IBM SVC can make two storage devices that are / etc/inetd conf

[PDF] PowerHA SystemMirror for IBM i Cookbook - IBM Redbooks

14 1 2 Configuring IBM i SVC/V7000 remote Copy Services Akinori Mogi is an IBM Consulting IT Specialist for IBM i and the Power Systems platform He works in the Technical IBM i based-solution for strategic outsourcing of customers in France His areas of The inetd service must be started on all cluster nodes

[PDF] PriceMinister - Midland Information Systems

with IBM Business Partner INETD Consulting to add a second FlashSystem and to deploy IBM System Storage SAN Volume Controller to virtualize the capacity 

[PDF] Introduction to the New Mainframe: Networking - Sam M Walton

relating to z/OS Micky Reichenberg is an independent consultant with more than 30 years of Joel Porterie is a Senior IT Specialist who has been with IBM France for 28 years I/O Request: (Macros or SVC 0) SSCH (SSID and When a connection is made to port 23, inetd executes /usr/sbin/otelnetd and passes the  

[PDF] AIX Benchmark v101 - Center for Internet Security

CIS hereby grants each CIS Security Consulting or Software Vendor Member and each You should also subscribe to IBM's Security Bulletins Digest, which directs you to for SVC in ftp telnet shell kshell login klogin exec \ The stock / etc/inetd conf file shipped with AIX contains many services which shutdown -Fr

[PDF] Administration Syst eme UNIX - Cours, tutoriaux et travaux pratiques

1 avr 1996 · ftp: aix boulder ibm com fixdist_client_code fd tar Z Dernier conseil : ayez de pr ef erence deux stations du m^eme type sur votre r eseau D'une part, Il faut egalement modifier le fichier usr adm inetd sec qui contient le nom tron- qu e a 8 caract Cette param etrisation se fait via le fichier etc svc conf

[PDF] AIX 5L Guide de sécurité - Bull Support

Imprimé en France est une marque déposée d'IBM Corp et est utilisée sous licence UNIX est une Suppression des entrées non CC du fichier inetd conf numéro SVC (switched virtual circuit) fixe, il est difficile d'enregistrer des événements par consultant le process secldapclntd via la commande ls– secldapclntd

[PDF] AIX 5L Practical Performance Tools and Tuning Guide - Kangkook Jee

Susan Schreitmueller is a Sr Consulting I/T Specialist with IBM She joined r b avm fre re pi po sr cy in sy cs us sy id wa 1 0 341382 A thread_create SVC has been issued root 598252 495628 0 16:46:58 pts/1 0:00 grep inetd

[PDF] IBM System z - Présentation technique de

[PDF] IBM Testing Services - Processus D'Affaires

[PDF] IBM ThinkPad R50 Notebooks - StarNet Informations Technologie

[PDF] IBM Tivoli Asset Management for IT

[PDF] IBM Tivoli Storage Manager 6.3 - Mise en oeuvre et

[PDF] IBM Tivoli Storage Manager 6.3 Differences

[PDF] ibm tivoli storage manager 7.1 administration avancee - Anciens Et Réunions

[PDF] ibm tivoli storage manager 7.1 mise en œuvre et administration - Anciens Et Réunions

[PDF] IBM Unica NetInsight: Administratorhandbuch

[PDF] IBM V7000 - INETD Consulting

[PDF] IBM – Centre de support Montpellier (34) Mercredi 4 novembre 2015

[PDF] ibm-500 bread maker cookbook - France

[PDF] ibm3500\agence\arborescence quadra\00 - affaires

[PDF] IBM® Systems - Global Knowledge - Les Films Et La Télévision

[PDF] IBN HAMMAD (des Sanhadja) (1150

Bull

AIX 5L Guide de sécurité

AIX

86 F2 57EM 01REFERENCE

Bull

AIX 5L Guide de sécurité

AIX

Logiciel

Février 2005

BULL CEDOC

357 AVENUE PATTON

B.P.20845

49008 ANGERS CEDEX 01

FRANCE

86 F2 57EM 01REFERENCE

L'avis juridique de copyright ci-après place le présent document sous la protection des lois de Copyright

des États-Unis d'Amérique et des autres pays qui prohibent, sans s'y limiter, des actions comme la copie,

la distribution, la modification et la création de produits dérivés à partir du présent document.

Copyright

Bull S.A. 1992, 2005

Imprimé en France

Vos suggestions sur la forme et le fond de ce manuel seront les bienvenues. Une feuille destinée à recevoir vos remarques se trouve à la fin de ce document. Pour commander d'autres exemplaires de ce manuel ou d'autres publications techniques Bull, veuillez utiliser le bon de commande également fourni en fin de manuel.

Marques déposées

Toutes les marques déposées sont la propriété de leurs titulaires respectifs. AIX est une marque déposée d'IBM Corp. et est utilisée sous licence.

UNIX est une marque déposée aux Etats-Unis et dans d'autres pays, licenciée exclusivement par Open Group.

Linux est une marque déposée de Linus Torvalds.

Les informations contenues dans le présent document peuvent être modifiées sans préavis. Bull ne pourra

être tenu pour responsable des erreurs qu'il peut contenir ni des dommages accessoires ou indirects que son

utilisation peut causer. iii

Préface

Préface

Le présent guide fournit aux administrateurs système des informations détaillées sur la sécurité liée aux fichiers, aux systèmes et aux réseaux. Ce guide explique comment renforcer un système, modifier les droits d'accès, mettre en oeuvre les méthodes

d'authentification et configurer les fonctionnalités d'évaluation de la sécurité par des critères

communs (Common Criteria Security Evaluation). Cette publication est également disponible sur le "Hypertext Library for AIX 5.3" CD-ROM fourni avec le système d'exploitation.

Conventions typographiques

Les conventions typographiques utilisées sont les suivantes :

GrasIdentifie les commandes, les sous-programmes,

les mots clés, les fichiers, les structures, les répertoires, et les autres éléments dont le nom est défini par le système. Identifie également les objets de l'interface graphique, tels que les boutons, les libellés et les icônes sélectionnés par l'utilisateur. ItaliqueIdentifier les paramètres dont les noms ou les valeurs doivent être indiqués par l'utilisateur. Espacement fixeIdentifier des exemples de données, des exemples de textes similaires à ceux affichés à l'écran, des parties de code similaires à celui que vous serez susceptible de rédiger, des messages système, ou des informations que vous devez saisir.

Distinction majuscules/minuscules dans AIX

La distinction majuscules/minuscules s'applique à toutes les données entrées dans le système d'exploitation AIX. Par exemple, la commande ls afficher la liste des fichiers. Si vous entrez LS, le système affiche un message d'erreur indiquant que la commande entrée est introuvable. De la même manière, FICHEA, FiChea et fichea sont trois noms

de fichiers distincts, même s'ils se trouvent dans le même répertoire. Pour éviter toute effet

inattendu, vérifiez systématiquement que vous utilisez la casse appropriée.

ISO 9000

Des systèmes homologués ISO 9000 ont été utilisés pour le développement et la fabrication

de ce produit. ivGuide de sécurité

Bibliographie

Les publications suivantes contiennent des informations connexes : • AIX 5L Version 5.3 System Management Guide: Operating System and Devices • AIX 5L Version 5.3 System Management Concepts: Operating System and Devices • AIX 5L Version 5.3 System Management Guide: Communications and Networks • AIX 5L Version 5.3 Installation Guide and Reference

• AIX 5L Version 5.3 Commands Reference

• AIX 5L Version 5.3 Files Reference

• AIX 5L Version 5.3 General Programming Concepts: Writing and Debugging Programs • AIX 5L Version 5.3 System User's Guide: Operating System and Devices • AIX 5L Version 5.3 System User's Guide: Communications and Networks • AIX 5L Version 5.3 Network Information Services (NIS and NIS+) Guide • AIX 5L Version 5.3 Guide to Printers and Printing v

Préface

Table des matières

Préfaceiii. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Conventions typographiques iii. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Distinction majuscules/minuscules dans AIX iii. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

ISO 9000iii. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Bibliographieiv. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Partie 1. Sécurité d'un système 1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Chapitre 1. Installation et configuration

d'un système sécurisé 1-1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

La base TCB1-2. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Installation d'un système avec TCB 1-2. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Vérification de la base TCB 1-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Structure du fichier sysck.cfg 1-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Utilisation de la commande tcbck 1-4. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Vérification des fichiers sécurisés 1-4. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Vérification de l'arborescence du système de fichiers 1-5. . . . . . . . . . . . . . . . . . . .

Ajout d'un programme sécurisé 1-5. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Suppression d'un programme sécurisé 1-6. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration des options supplémentaires de sécurité 1-6. . . . . . . . . . . . . . . . . . . . .

Restriction d'accès au terminal 1-6. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Utilisation de la clé SAK 1-6. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration de la clé SAK 1-6. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

CAPP (Controlled Access Protection Profile) et EAL4+ (Evaluation Assurance Level 4+) 1-7. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Présentation du système conforme CAPP/EAL4+ 1-7. . . . . . . . . . . . . . . . . . . . . . . . . .

Installation d'un système CAPP/EAL4+ 1-9. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

CAPP/EAL4+ et environnement NIM (Network Installation Management) 1-10. . . . .

Regroupement de logiciels CAPP/EAL4+ 1-10. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Interface utilisateur graphique 1-11. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Environnement physique d'un système CAPP/EAL4+ 1-12. . . . . . . . . . . . . . . . . . . . . . Environnement organisationnel d'un système CAPP/EAL4+ 1-12. . . . . . . . . . . . . . . . . Environnement opérationnel d'un système CAPP/EAL4+ 1-13. . . . . . . . . . . . . . . . . . .

Configuration d'un système CAPP/EAL4+ 1-14. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Administration 1-14. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration du port et de l'utilisateur 1-14. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Limites de ressources 1-16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Sous-système d'audit 1-16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration réseau 1-16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Services système 1-17. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Mise en route d'un système distribué CAPP/EAL4+ 1-17. . . . . . . . . . . . . . . . . . . . . .

Fichiers partagés du système distribué 1-18. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Fichiers non-partagés du système distribué 1-18. . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration du système distribué (le système maître) 1-19. . . . . . . . . . . . . . . .

Configuration du système distribué (tous les systèmes) 1-19. . . . . . . . . . . . . . . .

Utilisation de la fonction DACinet pour le contrôle d'accès au réseau en fonction des utilisateurs et des ports 1-20. . . . . . . . . . . . . . . . . . . . . . .

viGuide de sécuritéInstallation de logiciels supplémentaires sur un système CAPP/EAL4+ 1-20. . . . .

Fenêtre de connexion 1-21. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration de la fenêtre de connexion 1-21. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Modification du message d'accueil de l'écran de connexion 1-22. . . . . . . . . . . . . . . . . Modification de l'écran de connexion dans l'environnement Common Desktop 1-22.

Désactivation de l'affichage du nom d'utilisateur et de l'invite de modification du mot de passe 1-23. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration des paramètres de connexion par défaut 1-24. . . . . . . . . . . . . . . . . . . . .

Protection de terminaux sans surveillance 1-24. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Application de la déconnexion automatique 1-24. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Gestion des problèmes sous X11 et CDE 1-24. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Suppression du fichier /etc/rc.dt 1-24. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Précautions à prendre pour éviter le contrôle non autorisé des serveurs X distants 1-25. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Activation et désactivation du contrôle d'accès 1-25. . . . . . . . . . . . . . . . . . . . . . . . . . . .

Désactivation des droits utilisateurs sur la commande xhost 1-25. . . . . . . . . . . . . . . . .

Chapitre 2. Utilisateurs, rôles et mots de passe 2-1. . . . . . . . . . . . . . . . . . . . . . . . . . .

Compte root2-2. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Désactivation de la connexion root directe 2-2. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Rôles administratifs 2-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Présentation des rôles 2-4. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration et maintenance des rôles à l'aide de SMIT 2-5. . . . . . . . . . . . . . . . . . .

Comprendre les autorisations 2-6. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Liste des commandes d'autorisation 2-9. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Comptes utilisateur 2-10. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Attributs utilisateur recommandés 2-10. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Contrôle des comptes utilisateur 2-11. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

ID de connexion 2-12. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Sécurisation à l'aide de listes de contrôle des accès (ACL) 2-12. . . . . . . . . . . . . . . . . .

Variable d'environnement PATH 2-13. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration d'un accès FTP anonyme avec un compte utilisateur sécurisé 2-14. . . . .

Comptes utilisateurs spécifiques au système 2-18. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Suppression de comptes utilisateur par défaut inutiles 2-19. . . . . . . . . . . . . . . . . . . . . .

Mots de passe2-20. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Etablissement de mots de passe efficaces 2-20. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Utilisation du fichier /etc/passwd 2-21. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Utilisation du fichier /etc/passwd et des environnements réseau 2-22. . . . . . . . . . . . .

Dissimulation des noms d'utilisateur et mots de passe 2-22. . . . . . . . . . . . . . . . . . . . . .

Paramétrage des options de mot de passe recommandées 2-22. . . . . . . . . . . . . . . . .

Extension des restrictions de mot de passe 2-26. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Authentification de l'utilisateur 2-27. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

ID de connexion 2-28. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Présentation du système de quotas de disque 2-29. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Présentation du système de quotas de disque 2-29. . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Reprise après un dépassement de quota 2-29. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration du système de quotas de disque 2-30. . . . . . . . . . . . . . . . . . . . . . . . . . . .

Chapitre 3. Listes de contrôle des accès (ACL) 3-1. . . . . . . . . . . . . . . . . . . . . . . . . . .

Prise en charge d'une structure contenant plusieurs types ACL 3-2. . . . . . . . . . . . . . . .

Compatibilité binaire 3-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Types de liste ACL pris en charge sous AIX 3-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Listes ACL AIXC 3-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Droits d'accès de base 3-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Droits d'accès étendus 3-4. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

vii

PréfaceReprésentation textuelle 3-4. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Format binaire 3-4. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Exemple de liste ACL AIXC 3-5. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Listes ACL NFS4 3-5. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Gestion des listes ACL 3-8. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Commandes d'administration des listes ACL 3-8. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Interfaces de bibliothèque ACL 3-8. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Conversion de listes ACL 3-9. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Bits S et listes ACL 3-10. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Utilisation des programmes setuid et setgid 3-10. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Application des bits S aux listes ACL 3-10. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Droits d'accès d'administration 3-11. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Autorisations d'accès 3-11. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Autorisation d'accès pour les listes ACL AIXC 3-11. . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Autorisation d'accès pour les listes ACL NFS4 3-12. . . . . . . . . . . . . . . . . . . . . . . . . . . .

Résolution des erreurs liées aux listes ACL 3-13. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Application d'une liste ACL NFS4 sur un objet en échec 3-13. . . . . . . . . . . . . . . . . . . .

Résolution d'erreur à l'aide du code de retour 3-13. . . . . . . . . . . . . . . . . . . . . . . . . . .

Résolution d'erreur à l'aide de la fonction de suivi 3-14. . . . . . . . . . . . . . . . . . . . . . .

Interdictions d'accès 3-15. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Chapitre 4. Audit 4-1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Sous-système d'audit 4-1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Détection des événements 4-1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Collecte d'informations sur les événements 4-2. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Traitement des informations sur le suivi d'audit 4-2. . . . . . . . . . . . . . . . . . . . . . . . . . . .

Sélection des événements 4-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration du sous-système d'audit 4-4. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Collecte d'informations sur le sous-système d'audit 4-4. . . . . . . . . . . . . . . . . . . . . . . .

Journalisation des audits 4-4. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Format des enregistrements d'audits 4-5. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration de la journalisation d'audit 4-5. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Sélection des événements audités 4-5. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Modes de suivi d'audit du noyau 4-5. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Traitement des enregistrements d'audit 4-8. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Utilisation du sous-système d'audit pour un rapide contrôle de sécurité 4-8. . . . . .

Configuration de l'audit 4-9. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Sélection des événements audités 4-11. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Sélection des classes d'audit 4-11. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Sélection du mode de collecte des données d'audit 4-12. . . . . . . . . . . . . . . . . . . . . . . .

Exemple de contrôle en temps réel des modifications de fichiers 4-12. . . . . . . . . . . . .

Exemple de scénario de journal d'audit générique 4-13. . . . . . . . . . . . . . . . . . . . . . . . .

Chapitre 5. Protocole LDAP - Généralités 5-1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Module de chargement d'authentification LDAP 5-1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Authentification basée sur LDAP 5-1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration d'un serveur d'informations de sécurité LDAP 5-2. . . . . . . . . . . . . . . . .

Configuration d'un client LDAP 5-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Gestion des utilisateurs LDAP 5-4. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Contrôle d'accès par LDAP 5-5. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Communication sécurisée avec SSL 5-6. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Liaison Kerberos 5-7. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Création d'un principal Kerberos 5-7. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Activation de la liaison Kerberos sur un serveur IDS 5-9. . . . . . . . . . . . . . . . . . . . .

viiiGuide de sécuritéActivation de la liaison Kerberos sur le client LDAP AIX 5-10. . . . . . . . . . . . . . . . . .

Audit du serveur d'informations de sécurité LDAP 5-11. . . . . . . . . . . . . . . . . . . . . . . . .

Commandes LDAP 5-12. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Commande mksecldap 5-12. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Démon secldapclntd 5-12. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Commandes de gestion LDAP 5-12. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Commande start-secldapclntd 5-12. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Commande stop-secldapclntd 5-12. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Commande restart-secldapclntd 5-12. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Commande ls-secldapclntd 5-12. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Commande flush-secldapclntd 5-12. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Commande sectoldif 5-12. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Le format de fichier ldap.cfg 5-12. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Mappage de format de fichier pour les attributs LDAP 5-13. . . . . . . . . . . . . . . . . . . .

Informations connexes 5-13. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Chapitre 6. PKCS #11 6-1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Coprocesseur de chiffrement 4758 Model 2 6-1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Vérification du coprocesseur de chiffrement 4758 Model 2 pour une utilisation avec le sous-système PKCS #11 6-1. . . . . . . . . . . . . . . . . . . . . . .

Configuration du sous-système PKCS #11 6-2. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Initialisation du jeton 6-2. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration du PIN du responsable de sécurité 6-2. . . . . . . . . . . . . . . . . . . . . . . . . .

Initialisation du PIN utilisateur 6-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Reconfiguration du PIN utilisateur 6-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Utilisation de PKCS #11 6-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Chapitre 7. Service d'authentification de certificats X.509

et infrastructure à clé publique 7-1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Présentation du service d'authentification de certificats 7-1. . . . . . . . . . . . . . . . . . . . . . .

Certificats7-2. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Autorités de certification et certificats 7-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Format de stockage des certificats 7-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Magasins de clefs 7-4. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Mise en oeuvre du service d'authentification de certificats 7-4. . . . . . . . . . . . . . . . . . . . .

Création de comptes utilisateur PKI 7-4. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Flux de données d'authentification utilisateur 7-4. . . . . . . . . . . . . . . . . . . . . . . . . . .

Implémentation du serveur 7-5. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Implémentation du client 7-6. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Fonctionnalités générales du client 7-6. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Architecture générale du client 7-7. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Démon Java 7-7. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Couche de gestion de service (SML) 7-7. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Couche LDAP PKI (stockage de certificats) 7-8. . . . . . . . . . . . . . . . . . . . . . . . . .

La bibliothèque libpki.a 7-8. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Couche LAMF (Loadable Authentication Module Framework) 7-9. . . . . . . . . . .

Commandes du client 7-9. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Commandes PAG (Process Authentication Group) 7-10. . . . . . . . . . . . . . . . . . . . Commandes d'administration utilisateur 7-10. . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Fichiers de configuration 7-11. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Evénements du journal d'audit 7-14. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

ix

PréfaceEvénements de trace 7-15. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Planification du service d'authentification de certificats 7-15. . . . . . . . . . . . . . . . . . . . . . . .

Remarques sur les certificats 7-15. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Remarques sur les magasins de clefs 7-15. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Remarques sur le registre des utilisateurs 7-16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Remarques sur la configuration 7-16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Remarques sur la sécurité 7-16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Le fichier acct.cfg 7-16. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Nouveaux comptes actifs 7-17. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

L'utilisateur root et les mots de passe des magasins de clefs 7-17. . . . . . . . . . . . . Autres remarques sur le service d'authentification de certificats 7-17. . . . . . . . . . . . . .

Modules du service d'authentification de certificats 7-18. . . . . . . . . . . . . . . . . . . . . . . . . . .

Installation et configuration du service d'authentification de certificats 7-19. . . . . . . . . . .

Installation et configuration du serveur LDAP 7-19. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Installation du serveur LDAP 7-19. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration du serveur LDAP 7-20. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration du serveur LDAP pour PKI 7-21. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Installation et configuration du serveur pour le service d'authentification de certificats 7-22. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration LDAP du serveur pour le service d'authentification de certificats 7-23. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Création d'une autorité de certification 7-24. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Création de la clef de signature sécurisée 7-25. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration du client du service d'authentification de certificats 7-25. . . . . . . . . . . .

Installation de la clef de signature sécurisée 7-25. . . . . . . . . . . . . . . . . . . . . . . . . . . .

Edition du fichier acct.cfg 7-25. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration de l'autorité de certification 7-26. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Modification / Affichage d'une autorité de certification 7-26. . . . . . . . . . . . . . . . . . Modification / Affichage des comptes d'une autorité de certification 7-27. . . . . . Ajout du compte LDAP pour l'autorité de certification 7-28. . . . . . . . . . . . . . . . . . Ajout de PKI pour chaque compte utilisateur LDAP 7-29. . . . . . . . . . . . . . . . . . . .

Modification / Affichage de la politique 7-29. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Le fichier methods.cfg 7-30. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Exemples des configuration de l'administration 7-30. . . . . . . . . . . . . . . . . . . . . . . . . . . .

Création d'un nouveau compte utilisateur PKI 7-30. . . . . . . . . . . . . . . . . . . . . . . . . . .

Conversion d'un compte utilisateur non-PKI en un compte utilisateur PKI 7-30. .

Création et ajout d'un certificat d'authentification 7-31. . . . . . . . . . . . . . . . . . . . . . . .

Modification du mot de passe par défaut du nouveau magasin de clefs 7-31. . . . . Gestion d'une clef de signature sécurisée compromise 7-31. . . . . . . . . . . . . . . . . . .

Gestion d'une clef privée d'utilisateur compromise 7-31. . . . . . . . . . . . . . . . . . . . . . .

Gestion d'un magasin de clefs ou d'un mot de passe de magasin de clefs compromis 7-32. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Déplacement du magasin de clefs d'un utilisateur ou modification du nom de magasin de clefs d'un utilisateur 7-32. . . . . . . . . . . . . . . . . . . . . . . . . . . .

Déplacement du magasin de clefs d'un utilisateur ou modification du nom de magasin de clefs d'un utilisateur 7-32. . . . . . . . . . . . . . . . . . . . . . . . . . . .

xGuide de sécuritéChapitre 8. Modules d'extension d'authentification (PAM) 8-1. . . . . . . . . . . . . . . . .

Bibliothèque PAM 8-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Modules PAM8-4. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Fichier de configuration PAM 8-5. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Ajout d'un module PAM 8-7. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Modification du fichier /etc/pam.conf 8-7. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Activation du débogage PAM 8-7. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Module pam_aix 8-8. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Module d'authentification PAM compatible 8-10. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Chapitre 9. Outils OpenSSH 9-1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Images OpenSSH 9-3. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Configuration de compilation d'OpenSSH 9-4. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

OpenSSH et support Kerberos Version 5 9-6. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Utilisation d'OpenSSH avec Kerberos 9-7. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Deuxième partie. Sécurité réseau et Internet 1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Chapitre 10. Sécurité TCP/IP 10-1. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

quotesdbs_dbs7.pdfusesText_13