ya, prinimaemoe sis- temoj po umolchaniyu. Dlya togo, chtoby eto sdelat', vyberite: Uchetnaya informaciya-> Pol'zovatel'-> Prosmotr:Zavershenie dejstviya Na ekrane otobrazitsya sleduyushchaya forma: - 10-13 - +----------------------------------------------------------------+ | Expiration | | (Zavershenie dejstviya) | | Use the system default minimum password lifetime | | (Ispol'zujte minimal'noe vremya sushchestvovaniya paro- | | lya, ustanavlivaemoe sistemoj po umolchaniyu) | | 10 Dec 88 19:33 /usr/auth | | +-----View/Modify an existing user account-----+ | | | (prosmotr/modifikaciya sushchestvuyushchej uchetnoj | | | | informacii pol'zovatelya) | | |+------+-----------Password life and death------------+--------+| || (Vremya dejstviya parolya i zavershenie ego dejstviya) || || Username : Sample || || (imya pol'zovatelya) || || Last password change Date/Time || || (poslednee izmenenie parolya Data/Vremya) || || successful Wed Feb 22 09:27:29 1989 || || (uspeshnoe) || || unsuccessful NEVER || || (neuspeshnoe) || ||Maximum days between changes:Specify [Default] of None Value: || ||(maksimal'noe chislo dnej (ukazhite)(po umolchaniyu (znachenie:)|| ||mezhdu izmeneniyami ) Net) || ||Expiration time (days) :Specify [Default] of 20 Value: || ||(vremya dejstviya parolya) (ukazhite)(po umolchaniyu (znachenie:)|| || 20) || ||Lifetime (days) :Specify [Default] of 26 Value: || ||(vremya sushchestvovaniya) (ukazhite)(po umolchaniyu (znachenie:)|| || 26) || |+--------------------------------------------------------------+| +----------------------------------------------------------------+ Opisateli parametra identichny opisatelyam v razdele po izme- neniyu parametrov parolya pri sistemnom rasshirenii "Izmenenie og- ranichenij na parol', prinyatyh po umolchaniyu". Opredelenie/izmenenie kontrol'nogo parametra dlya pol'zova- telya Vy mozhete opredelit' kontrol'nyj parametr dlya individual'- nyh pol'zovatelej takzhe kak parametr rasshireniya sistemy. Nekoto- raya ustanovka opredelennaya dlya pol'zovatelya perekryvaet sistem- nye znacheniya prinimaemye po umolchaniyu. Dlya opredeleniya ili izmeneniya parametrov kontrolya, vyberite: Uchetnaya informaciya-> Pol'zovatel'-> Prosmotr:Kontrol' - 10-14 - +----------------------------------------------------------------------+ | Audit | | (kontpol') | | System startup (boots) and shutdown (Zapusk i za- | | vepshenie paboty sistemy) | | 7 Dec 88 18:43 /usr/auth | | +--------View/Modify an existing user account-------+ | | |(Prosmotr/redaktirovanie sushchestvuyushchej uchetnoj in-| | | |formacii pol'zovatelya) | | |+--+-------------------Audites events------------------+-------------+| || (Sobytiya, podlezhashchie kontrolyu) || ||Username: sample || ||(imya pol'zovatelya) || ||A.Startup/shutdown [Default] B.Login/Logoff [Default]|| || (zagruzka/zavepshenie) (vhod/vyhod) || ||C.Process Create/Delete [Default] D.Make Object Available [Default]|| || (sozdanie/udalenie processa) (sdelat' ob®ekt dostupnym) || ||E.Map Object to Subject [Default] F.Object Modification [Default]|| || (perevesti ob®ekt v sub®ekt) (izmenenie ob®ekta) || ||G.Make Object Unavailable[Default] H.Object Creation [Default]|| || (sdelat' ob®ekt nedostupnym) (sozdanie ob®ekta) || ||I.Object Deletion [Default] J.DAC changes [Default]|| || (udalenie ob®ekta) (izmenenie DAC) || ||K.DAC Denials [Default] L.Admin/Operator Actions[Default]|| || (otkaz ot DAC (funkcii administratora/operatora)|| ||M.Insufficient Privilege [Default] N.Resource Denials [Default]|| || (nedostatochnye privilegii) (otkaz ot resursa) || ||O.IPC Functions [Default] P.Process Modification [Default]|| || (funkcii IPC) (izmenenie processa) || ||Q.Audit Subsystem Events [Default] R.Database Events [Default]|| || (sobytiya podsistemy kontrolya) (sobytiya obrashcheniya k baze dannyh)|| ||S.Subsystem Events [Default] T.Use of Privilege [Default]|| || (sobytiya podsistemy) (ispol'zovanie privilegii) || |+--------------------------------------------------------------------+| +----------------------------------------------------------------------+ Detal'noe opisanie sobytij, podlezhashchih kontrolyu, mozhno naj- ti v razdele "Ispol'zovanie podsistemy kontrolya" glavy "Podderzh- ka sistemnoj zashchity" etogo rukovodstva. Sushchestvuet tri sposoba ustanovki "Default(po umolchaniyu)", "Always(vsegda)" i "Never(nikogda)". Vy mozhete ispol'zovat' kla- vishu <F3> dlya vybora iz spiska znachenij ili sami nabrat' vruch- nuyu. Abbreviatura takzhe raspoznaetsya sistemoj (naprimer, "n","nev" i "N" raspoznaetsya kak NEVER). Dlya togo, chtoby vypolnit' eto naz- nachenie, nazhmite <CTL>x. (Esli Vy zapolnite poslednee pole etoj formy, naznacheniya, ukazannoj v nej avtomaticheski vypolnyatsya). - 10-14a - Dobavlenie/izmenenie grupp Dlya togo, chtoby dobavit' gruppu, nado prosto vvesti imya no- voj gruppy vo vremya sozdaniya ili izmeneniya uchetnoj informacii po pol'zovatelyu. Vy budete preduprezhdeny, chto eta gruppa ne sushchest- vuet, i Vas poprosyat podtverdit', chto Vy sozdaete novuyu gruppu. Izmenenie maksimal'nogo chisla grupp Po umolchaniyu, maksimal'noe chislo grupp, v kotorye ob®edinya- yutsya pol'zovateli,- 8.|to chislo upravlyaetsya nastraivaemym para- metrom yadra NGROUPS. |to znachenie mozhet byt' izmeneno aktivizaciej configure i vyborom tret'ej kategorii: "Fajly, in- deksnye deskriptory fajlov i fajlovaya sistema" i izmeneniem etogo znacheniya. YAdro dolzhno byt' otredaktirovano dlya togo, chtoby novoe znachenie etogo parametra imelo effekt. Dlya polucheniya polnoj inst- rukcii obratites' k razdelu "Pereraspredelenie resursov yadra s pomoshch'yu configure" v glave "Nastrojka raboty sistemy" etogo ruko- vodstva. - 10-15 - ________________________________________________________________ Konfiguraciya zashchity po umolchaniyu |tot razdel posvyashchen voprosu kak vybrat' sistemnuyu zashchitu, parametry kotoroj prinyaty po umolchaniyu, chto vklyuchaet v sebya prinyatye po umolchaniyu shemy parolya, prava na obrashchenie k podsis- temam i chislo popytok vhoda v sistemu, razreshennyh pol'zovatelyu. Postavka Vashej operacionnoj sistemy prihodit k Vam s pred- varitel'noj konfiguraciej, kotoraya vklyuchaet v sebya nabor prini- maemyh po umolchaniyu znachenij, kotoryj opredelyaet shemu zashchity, ispol'zuemuyu dlya organizacii ucheta. Tablica 10.1 soderzhit eti znacheniya, plyus znacheniya opredelyayushchie "Relaxed (oslablennuyu)" za- shchitu (sovmestimuyu s drugimi, menee zashchishchennymi UNIX sistemami), kotorye mogut byt' vybrany kak opisano v "Vybore znachenij oslab- lennoj zashchity, prinimaemyh po umolchaniyu": - 10-15a - Tablica 10.1 Sistemnye parametry zashchity, prinimaemye po umolchaniyu. +-----------------------------+---------------+----------------+ | Parametry zashchity | Relaxed | C2 | F=============================X===============X================µ | Paroli | | | +-----------------------------+---------------+----------------+ | Minimal'noe chislo dnej mezh- | 0 | 14 | | du izmeneniyami | | | | Vremya dejstviya (dnej) | 0 | 42 | | Vremya sushchestvovaniya | 0 | 365 | | Maksimal'naya dlina parolya | 8 | 10 | +-----------------------------+---------------+----------------+ | Pol'zovatel' mozhet zapus- | Yes | Yes | | kat' generator | | | | Pol'zovatel' mozhet vybirat' | Yes | Yes | | sam | | | | Proverka parolya na neyav- | No | No | | nost' | | | | Trebuetsya odin pol'zova- | Yes | Yes | | tel'skij parol' | | | F=============================X===============X================µ | Vhody v sistemu | | | +-----------------------------+---------------+----------------+ | Maksimal'noe chislo neudach- | 99 | 5 | | nyh popytok | | | | Zaderzhka mezhdu popytkami | 0 | 2 | | vhoda | | | | | | | F=============================X===============X================µ | Tipy kontroliruemyh sobytij | | A,B,F,H,I,J,K, | | | | L,M,N,Q,R,S,T *| F=============================O===============O================µ | Prava | +-----------------------------+---------------+----------------+ | Po podsistemam | queryspace, | queryspace, | | | printerstat, | printerstat, | | | printqueue, | printqueue | | | su,mem, | | | | terminal | | +-----------------------------+---------------+----------------+ | Po yadru | execsuid, | execsuid, | | | chmodsuguid, | chown, | | | chown, | nopromain | | | nopromain | | +-----------------------------+---------------+----------------+ * Tipy sobytij opisany v glave "Podderzhka sistemnoj zashchity - 10-16 - Vybor znachenij parametrov oslablennoj zashchity, prinimaemyh po umolchaniyu. Znacheniya parametrov zashchity urovnya "S2", prinimaemye po umolchaniyu, avtomaticheski ustanavlivayutsya vo vremya ustanovki. Es- li Vy hotite ponizit' uroven' Vashej sistemy dlya funkcionirovaniya ee kak otlichnoj ot drugih sistem UNIX, Vy mozhete eto sdelat' s pomoshch'yu vybora v srede komandy sysadmsh: Sistema-> Konfiguraciya-> Zashchita-> Snizhenie |to predostavit Vam vozmozhnost' vybora al'ternativnogo na- bora znachenij parametrov, opredelyayushchih politiku zashchity, sovmes- timuyu s menee nadezhnymi sistemami UNIX (sm. tablicu 10.1). Kogda Vy sdelaete etot vybor, na ekrane poyavitsya sleduyushchee preduprezh- denie: +--------------------------------------------------------------+ | Relax | | (snizhenie)| | Do not change the current level of security (Ne | | izmenyajte tekushchij uroven' zashchity) | | /tcb/files/auth 03/23/89 10:57 | | +------------------Configure default---------------------+ | | | (konfiguraciya znachenij po umolchaniyu) | | | | | | | | This options will change the system default | | | | authorizations for users to so that the system will | | | | behave in a similar manner to a conventional UNIX | | | | system. It will also disable auditing of users | | | | actions.(|ta opciya izmenit sistemnye prava po umol- | | | | chaniyu dlya pol'zovatelej tak, chto sistema budet ra- | | | | botat' v otlichnom rezhime ot obychnogo sistemy UNIX. | | | | |to takzhe privedet k tomu, chto kontrol' po uchetnoj | | | | informacii pol'zovatelej stanet nedostupnym). | | | | It may not be possible to reliably restore the | | | | current level of system integrity at a later time. | | | | (Dostoverno vosstanovit' tekushchij uroven' sistemy | | | | pozzhe ne budet predstavlyat'sya vozmozhnym). | | | | | | | |Are you absolutely sure you wish to do this? Yes [No] | | | |(Vy absolyutno uvereny v tom, chto Vy hotite eto sdelat'?| | | | Da [Net]) | | | +--------------------------------------------------------+ | +--------------------------------------------------------------+ - 10-16a - Esli Vy sdelaete nekotorye izmeneniya v znacheniyah parametrov zashchity, prinimaemyh po umolchaniyu, to poluchite sleduyushchee dopolni- tel'noe preduprezhdenie: +---------------------------------------------------+ |The default file has changed since installation| |(Fajl znachenij po umolchaniyu izmenen po otnoshenii ko| |vremeni ustanovki) | |Previous changes will be lost (Predydushchie izmeneniya| |budut poteryany) | | | |Press <Return> to continue, or <Escape> to abort| |(Nazhmite <Return> dlya prodolzheniya, ili <Escape> dlya| |preryvaniya ) | +---------------------------------------------------+ - 10-17 - Dinamicheskoe izmenenie parametrov zashchity Sistemnye parametry ucheta dostupny pri sleduyushchem vybore v srede sysadmsh: Uchet-> Znacheniya po umolchaniyu Budut otobrazheny sleduyushchie parametry ucheta: * Parol' * Vhody v sistemu * Prava Sistemnye parametry zashchity upravlyayut tem, kak pol'zovateli vhodyat v sistemu i, kogda oni ustanavlivayut sessiyu, i kak siste- ma predostavlyaet im terminal i avtorizovannuyu sredu. Zdes' ob- suzhdaetsya kazhdyj parametr, kotoryj Vy mozhete izmenit' v inter- fejse komandy sysadmsh. Drugie parametry, ispol'zuemye s tem zhe effektom na rabotu sistemy, budut obsuzhdeny dal'she. Vy dolzhny ispol'zovat' sistemnye funkcii dlya togo, chtoby opredelit' Vashi sobstvennye znacheniya, prinimaemye po umolchaniyu, opredelyayushchie povedenie sistemy. Zatem ispol'zujte specificheskie pol'zovatel'skie funkcii dlya togo, chtoby ustanovit' povedenie sistemy dlya nekotoryh pol'zovatelej s razlichnymi trebovaniyami. Kak Vy mozhete predpolagat', pol'zovatel'skie specificheskie zna- cheniya perekryvayut sistemnye znacheniya, prinimaemye po umolchaniyu, dlya nekotorogo dannogo pol'zovatelya. Izmenenie ogranichenij po vhodu v sistemu, prinimaemyx po umolchaniyu Bol'shinstvo parametrov, kotorye mogut byt' ustanovleny po umolchaniyu sistemoj, opredelyayut kak sistema sozdaet nachal'nuyu sessiyu. |to vklyuchaet osobennosti vhoda v sistemu, i kak generi- ruetsya i ispol'zuetsya parol'. Parametry vhoda v sistemu oprede- lyayut osobennosti ucheta i blokirovki terminala. Kogda pol'zovatel' vhodit v sistemu, on dolzhen ukazat' imya dlya vhoda v sistemu i parol'. Krome togo, pol'zovatel' mozhet delat' ograni- chennoe chislo popytok vhoda v sistemu. Dlya kazhdoj uchetnoj infor- macii pol'zovatelya i terminala sushchestvuet schetchik neuspeshnyh po- pytok vhoda, kotoryj nakaplivaetsya do togo, kak uchetnaya informaciya ili terminal budet zablokirovan. Esli eto chislo pre- vysheno, pol'zovatel' ili terminal budut zablokirovany protiv no- - 10-17a - vyh popytok vhoda v sistemu. |to sredstvo predotvrashchaet popytki proniknoveniya s pomoshch'yu ogranicheniya chisla raz, kotoroe nesankci- onirovannyj pol'zovatel' (ili komp'yuter zaprogrammirovan ne- sankcionirovannym pol'zovatelem) mozhet pytat'sya prorvat'sya v sistemu. Dostup k parametram ogranichenij vhodov v sistemu mozhet byt' sovershen sleduyushchim vyborom v srede komandy sysadmsh: Uchetnaya informaciya-> Znacheniya prinimaemye po umolchaniyu-> Vhody v sistemu - 10-18 - Na ekrane otobrazitsya sleduyushchaya forma: +---------------------------------------------------------------+ | Logins | | (vhody v sistemu) | | | | Allowed consecutive failed login attempts before | | account is locked (Razreshennye posledovatel'no osu- | | shchestvlyaemye oshibochnye popytki vhoda v sistemu do | | blokirovki uchetnoj informacii) | | /tcb/files/auth 03/23/89 10:57 | |+-------------------Login restriction-------------------------+| || (ogranichenie vhoda v sistemu) || || || || Maximum number of unsuccessful attempts before || || locking ... (maksimal'noe chislo popytok do blokiro- || || vaniya) || || ... user account : [10] || || (uchetnoj informacii pol'zovatelya) || || ... terminal : [10] || || (terminala) || || || ||Delay (in seconds) between login attempts on a terminal:[2]|| ||(zaderzhka v sekundah mezhdu popytkami vhoda s terminala) || || CPU sheduling priority after successful login :[0]|| ||(prioritet ispol'zovaniya processora posle uspeshnogo vhoda v || || sistemu) || |+-------------------------------------------------------------+| +---------------------------------------------------------------+ Ukazannye parametry imeyut sleduyushchee naznachenie: Maximum number of unsuccessful attempts before locking Oznachaet chislo, prinimaemoe sistemoj po umolchaniyu, neudachnyh popytok razreshennyh dlya pol'zovatelej i terminalov. Esli dlya otdel'nogo pol'zovatelya ili ter- minala trebuetsya ili bolee ili menee ogranichennoe chislo, mogut byt' izmeneny uchetnaya informaciya pol'zo- vatelya ili konfiguraciya terminala (sm. "Upravlenie vhodami v sistemu s terminala"), s perekrytiem znache- nij prinimaemyh sistemoj. - 10-18a - Delay (in seconds) between login attempts on a terminal |tot parametr upravlyaet promezhutkom vremeni, kotoroe dolzhno prohodit' mezhdu neudachnymi popytkami vhoda v sistemu. Dlya dal'nejshego umen'sheniya vozmozhnosti pro- niknoveniya v sistemu, sistema delaet vremennuyu za- derzhku mezhdu popytkami vhoda v sistemu, chtoby uveli- chit' promezhutok vremeni, trebuemyj dlya povtornoj popytki vojti v sistemu. Vy mozhete uvelichit' etot pa- rametr dlya togo, chtoby upravlyat' vremeni vydachi ozhi- daniya login:. S pomoshch'yu ob'edineniya etogo parametra s parametrom neuspeshnyh popytok pol'zovatelya i termina- la, Vy mozhete predotvratit' popytki povtornogo vvoda parolya na konkretnoj (ili na neskol'kih) terminal'nyh liniyah. - 10-19 - CPU sheduling priority after successful login |tot parametr ustanavlivaet znachenie nice(C) svyazyva- emoe s pol'zovatel'skimi processami. Izmenenie ogranichenij po parolyam, prinimaemym po umolchaniyu Parametry ogranichenij po parolyu stanut dostupny posle sle- duyushchego vybora v srede sysadmsh: Uchetnaya informaciya-> Znacheniya po umolchaniyu-> Parol' Otobrazitsya sleduyushchij ekran: +------------------------------------------------------+ | Password| | (parol')| |Minimum number of days which must elapse between | |password changes(minimal'noe chislo dnej, kotoroe | |dolzhno projti mezhdu izmeneniyami parolya) | |/tcd/files/auth 03/23/89 10:57| | +-----------Password selection-------------+ | | | (Vybor parolya) | | | |Minimum days between changes :[14] | | | |(minimal'noe chislo dnej mezhdu izmeneniyami)| | | |Expiration time :[182 ] | | | |(vremya dejstviya) | | | |Lifetime :[364 ] | | | |(vremya sushchestvovaniya) | | | |Maximum password length :[ 10] | | | |(maksimal'naya dlina parolya) | | | |User can run generator :[Yes] No | | | |(pol'zovatel' mozhet zapuskat' generator) | | | |User can choose own :[Yes] No | | | |(pol'zovatel' mozhet vybirat' sam) | | | |Checked for obviousness : Yes [No] | | | |(proverka na neyavnost') | | | |Single user password required : Yes [No] | | | |(trebuetsya parol' dlya odnogo pol'zovatelya)| | | +------------------------------------------+ | +------------------------------------------------------+ To, chto Vy mozhete upravlyat' chislom popytok, kotorye mozhet - 10-19a - osushchestvlyat' nesankcionirovannyj pol'zovatel' chtoby ugadat' pa- rol', pozvolyaet upravlyat' parolirovaniem. Tipy proverok parolej, osushchestvlyaemyh sistemoj, upravlyayutsya neskol'kimi parametrami, kotorye Vy mozhete ustanovit' na ekrane. |ti parametry upravlyayut vremenem, v techenie kotorogo dejstvuet parol', i procedury dlya izmeneniya parolya poka on ne stanet neprimenimym. Parol' imeet dejstvie v techenie vremeni dejstviya ili poka on ne perestanet sushchestvovat'. Dejstvuyushchij parol' mozhet byt' izmenen tem pol'zo- vatelem, kotoryj imeet pravo na izmenenie parolya po uchetnoj in- formacii. Parol' dejstvuet poka ne konchilos' ego vremya dejstviya. Vremya dejstviya mozhet byt' ustanovleno v interfejse administrato- ra dlya sistemy ili otdel'no dlya pol'zovatelya, i opredelyaet chislo dnej so vremeni ego poslednego izmeneniya. Perestavshij sushchestvo- vat' parol' yavlyaetsya prichinoj blokirovki uchetnoj informacii pol'- zovatelya. Tol'ko administrator mozhet razblokirovat' uchetnuyu in- - 10-20 - formaciyu pol'zovatelya, kotoraya zatem vosprinimaetsya kak uchetnaya informaciya s nedejstvuyushchim parolem. Parol' dolzhen byt' eshche izme- nen do togo, kak pol'zovatel' smozhet vojti v sistemu snova. Dlya togo, chtoby otgovorit' pol'zovatelej izmenyat' ih paro- li, kogda oni poteryali svoe dejstvie, i zatem srazu izmenyat' ih obratno dlya togo, chtoby zapominat' tol'ko odin, sistema takzhe soderzhit parametr minimal'noe vremya mezhdu izmeneniyami parolej. Pol'zovatel'skij parol' ne mozhet byt' izmenen do istecheniya etogo minimal'nogo vremeni. |tot parametr mozhet byt' takzhe ustanovlen dlya vsej sistemy ili dlya otdel'nogo pol'zovatelya. Sleduyushchie parametry opredelyayut ogranicheniya po parolyam: Minimum days between changes CHislo dnej, kotorye pol'zovatel' dolzhen zhdat' mezh- du izmeneniyami parolej. Expiration time Opredelyaet chislo dnej, v techenie kotoryh parol' imeet dejstvie. Lifetime Opredelyaet interval mezhdu poslednim izmeneniem i kogda parol' perestaet sushchestvovat'. Maximum password length Maksimal'naya dlina parolya. |tot maksimum dlya sis- temy - 80 simvolov. User can run generator |tot parametr ispol'zuetsya dlya togo, chtoby pozvo- lit' pol'zovatelyu zapuskat' generator parolej. Sleduet otmetit', chto eto ne pozvolyaet pol'zovate- lyam izmenyat' parol', a tol'ko generirovat' novyj sluchajnyj parol'. User can choose own |tot parametr opredelyaet mogut li pol'zovateli iz- menyat' svoi sobstvennye paroli ili net. "Zashchishchennye" sistemy trebuyut, chtoby sistema sama generirovala paroli avtomaticheski dlya pol'zovate- lej. |to zashchishchaet ot pol'zovatelej podbirayushchih "podhodyashchij" parol', s kotorym horosho osvedomlen- nyj nesankcionirovannyj pol'zovatel' mozhet plani- rovat' poluchit' personal'nuyu informaciyu o pol'zo- vatele. Drugie sistemy UNIX, odnako pozvolyayut pol'zovatelyam vybirat' svoi paroli. Esli etot pa- rametr imeet znachenie "Da", to eto vlechet zadejs- tvovanie pravil sovmestimyh s menee zashchishchennymi sistemami UNIX, pozvolyayushchih pol'zovatelyam vybirat' svoi paroli. Esli znachenie etogo parametra "Net", - 10-21 - to sistema dolzhna sama generirovat' paroli dlya pol'zovatelej, v sootvetstvii s proceduroj genera- cii sluchajnogo parolya. Checked for obviousness |tot parametr opredelyaet dolzhna li sistema osu- shchestvlyat' proverku trivial'nosti poluchivshegosya pa- rolya. |ta proverka garantiruet, chto parol' ne bu- det poyavlyat'sya v otkrytom kataloge, naryadu s drugoj proverkoj, opisannoj v goodpw(ADM). Znache- niya "Da" etogo parametra garantiruet, chto vnedre- niya v sistemu, osnovannye na perebore vseh real'- nyh slov, budut oshibochnymi, no eto mozhet byt' bolee effektivno upravlyat'sya posredstvom ograniche- nij, nakladyvaemyh na vhody v sistemu pol'zovate- lej i terminalov. |ta proverka trivial'nosti uve- lichivaet po sushchestvu vremya neobhodimoe na izmenenie parolya. Tri parametra, kasayushchiesya gene- racii parolej, mogut byt' perekryty parametrami, ukazannymi dlya pol'zovatelya. Single user password required |tot parametr upravlyaet tem, trebuetsya li parol' dlya perevoda sistemy v odno-pol'zovatel'skij rezhim (rezhim podderzhki). Kogda nekotoraya uchetnaya informaciya zablokirovana sistemoj, tol'ko osnovnoj pol'zovatel' ili administrator ucheta mozhet razb- lokirovat' ee. Pri etom dolzhen byt' izmenen parol'. Vy mozhete perekryt' znachenie etih parametrov dlya nekotorogo pol'zovatelya ustanovkoj etih parametrov dlya pol'zovatelya, kak ukazano v "Do- bavlenii pol'zovatelya". Izmenenie prav, prinimaemyh po umolchaniyu Operacionnaya sistema opredelyaet dva tipa prav: pravo dostu- pa k yadru i pravo dostupa k podsistemam. Pravo dostupa k podsis- temam opredelyaetsya dlya pol'zovatelej i pozvolyaet im vypolnyat' sootvetstvuyushchie utility. Pravo dostupa k yadru opredelyaetsya dlya processov i pozvolyaet processam vypolnyat' konkretnye dejstviya, esli process imeet neobhodimoe pravo. Kazhdaya sessiya s pol'zova- telem imeet nabor prav dostupa k yadru i nabor prav dostupa k podsistemam. Dostup k parametram, opredelyayushchim prava dostupa, stanovyatsya dostupnymi posle sleduyushchego vybora v srede sysadmsh: Uchetnaya informaciya-> Znacheniya po umolchaniyu-> Prava Otobrazitsya sleduyushchij ekran: - 10-22 - +----------------------------------------------------------+ | Authorization | | (pravo dostupa) | | | | Privileges enforced by the system | | (Privilegii, obespechivaemye sistemoj) | | | | /tcb/files/auth 03/23/89 10:57 | | | |+---------------------Authorizations---------------------+| || (prava dostupa) || || || || System default authorizations (<F3> for list) (sistem-|| || nye prava dostupa, prinimaemye po umolchaniyu, (<F3>-dlya|| || polucheniya spiska)) || || || || Kernel: Subsystem: [... ]|| ||(dlya yadra)+----------+ (dlya podsistem) || || |chmodsugid| || || |chown | || || |execsuid | || |+----------+nopromain +----------------------------------+| | +----------+ | +----------------------------------------------------------+ Ispol'zujte klavishu <F3> dlya polucheniya otkryvayushchegosya okna, kotoroe soderzhit spisok naborov prav dostupa. Oni opisyvayutsya nizhe. - 10-22a - Tablica 10.2 Prava dostupa k podsistemam +-----------+---------------------+---------------------------+ | Prava | Podsistemy | Razreshennye dejstviya | +-----------+---------------------+---------------------------+ | mem | Memory | Dostup k sistemnoj in- | | | (pamyat') | formacii; prosmotr vseh | | | | processov v sisteme | +-----------+---------------------+---------------------------+ | terminal | Terminal | Neogranichennoe ispol'zo- | | | (terminal) | vanie komandy write(C) | +-----------+---------------------+---------------------------+ | lp | Line Printer | Upravlenie printerom | | | (strochnyj printer) | | +-----------+---------------------+---------------------------+ | backup | Backups | Sozdanie rezervnyh kopij | | | (sozdanie rezervnyh | | | | kopij) | | +-----------+---------------------+---------------------------+ | auth | Account | Administrator ucheta: do- | | | (uchet) | bavlenie pol'zovatelej, | | | | izmenenie parolej i dr. | +-----------+---------------------+---------------------------+ | audit | Audit | Administrator kontrolya: | | | (kontrol') | zapusk kontrolya sistemy | | | | i generaciya otchetov | +-----------+---------------------+---------------------------+ | cron | Job Scheduling | Upravlenie ispol'zovani- | | | (upravlenie | em komand cron(C), at(C) | | | zadaniyami) | i batch(C) | | | | | | sysadmin | System Integrity | Vozmozhnost' zapuska | | | (celostnost' | programmy integrity(ADM) | | | sistemy) | | +-----------+---------------------+---------------------------+ Prava dostupa k podsistemam opredelyayut roli administrato- rov, kotorye nekotoryj pol'zovatel' mozhet poluchit' pri zapuske sootvetstvuyushchih utilit. Obychnyj pol'zovatel' sistemy ne imeet prav dostupa k podsistemam. Administrativnoe pravo predostavlya- etsya pravom dostupa k podsistemam na osnovanii otvetstvennosti za nih; to est', administratoru ucheta predostavlyaetsya pravo auth, a administratoru printera predostavlyaetsya pravo lp. - 10-23 - V sistemnoj baze dannyh znachenij po umolchaniyu, nabor znache- nij po umolchaniyu na pravo zapuska komand predostavleno vsem pol'zovatelyam, kotorye ne imeyut prav na zapusk komand v ih spe- cial'noj lichnoj uchetnoj informacii. V sluchae zashchity S2, prava dostupa k podsistemam v sistemnoj baze dannyh znachenij po umol- chaniyu pusty i elementy dlya kazhdogo pol'zovatelya ustanavlivayutsya na osnove administrativnyh rolej, esli takovye sushchestvuyut dlya etogo pol'zovatelya. Pravo dostupa k podsisteme sysadmin upravlyaet vozmozhnost'yu zapuska programmy integrity(ADM), kotoraya proveryaet razreshenie na prosmotr fajlov v baze dannyh upravleniya fajlami. (Dlya polu- cheniya bol'shej informacii obratites' k rukovodstvu po programme integrity(ADM) i k "Proverke celostnosti sistemy" v glave "Pod- derzhka sistemnoj zashchity" etogo rukovodstva). Tablica 10.3 Vtorichnye prava dostupa +--------------------------------------------------------------+ | Vtorichnye prava Podsistemy Opisanie | +--------------------------------------------------------------+ | queryspace backup Ispol'zovanie komandy| | df dlya oprashivaemogo| | diskovogo prostranstva| | | | printerqueue lp Prosmotr vseh zadanij| | v ocheredi, ispol'zuya| | komandu lpstat  | | | | printerstat lp Ispol'zovanie komand,| | ustanavlivayushchih dos-| | tupnost'/nedostupnost'| | printera | | | | su auth Obespechivaet dostup| | pol'zovatelya k uchetnoj| | informacii priveligi-| | rovannogo pol'zovate-| | lya. (Trebuetsya parol'| | priveligirovannogo | | pol'zovatelya). | +--------------------------------------------------------------+ - 10-23a - |ti vtorichnye prava pozvolyayut ogranichivat' dostup pol'zovatelej k resursam otlichnyj ot uzhe prisvoennogo (naprimer, bez prava printqueue, pol'zovatel' smozhet prosmotret' tol'ko svoi zadaniya, ispol'zuya komandu lpstat). |ti prava obespechivayut povedenie, kotoroe bolee sovmestimo s drugimi operacionnymi sis- temami UNIX. Esli ustanovleny znacheniya po umolchaniyu "oslablen- noj" zashchity, to vtorichnye prava obespechivayutsya po umolchaniyu. Es- li Vy ispol'zuete znacheniya po umolchaniyu "oslablennoj" zashchity i hotite ne ustanavlivat' eti prava dlya vseh pol'zovatelej, Vy dolzhny pereopredelit' znacheniya, prinimaemye po umolchaniyu. ________________________________________________________________ Primechanie Esli osnovnoe pravo na dostup k podsisteme ustanovleno, takzhe ustanavlivayutsya vtorichnye prava dlya etoj podsistemy. (Nap- rimer, pravo na dostup lp aktiviziruet prava printqueue i printerstat). ________________________________________________________________ - 10-24 - Privilegirovannyj pol'zovatel' i administratory s sootvets- tvuyushchimi pravami dostupa Bol'shinstvo polnomochij, normal'no vypolnyaemyh privilegiro- vannym pol'zovatelem v menee zashchishchennoj sisteme, razresheno v za- shchishchennyh sistemah, o kotoryh shla rech' ranee. Odnako, nekotorye funkcii trebuyu avtorizacii osnovnogo pol'zovatelya. |to neobhodi- mo pomnit', kogda Vy ustanavlivaete prava. Naznachenie prava su pozvolyaet administrativnomu pol'zovatelyu imet' privilegirovannuyu uchetnuyu informaciyu su(C). Prava privilegirovannogo pol'zovatelya trebuyutsya dlya vypol- neniya sleduyushchih zadach: 1. Ustanovka programmnogo obespecheniya 2. Razbivka diska na razdely i podderzhka fajlovoj sistemy 3. Perezapis', vosstanovlenie fajlov i ustanovka dostupa k fajlu 4. Ostanov sistemy 5. Ispravlenie neispravnostej Prava na dostup k yadru Prava na dostup k yadru opredelyayut dejstviyami, kotorye pol'- zovateli osushchestvlyayut dlya vypolneniya special'nogo obsluzhivaniya operacionnoj sistemy. Naprimer, vozmozhnost' izmeneniya sobstven- nosti fajla upravlyaetsya pravom chown. Prava dostupa k yadru po umolchaniyu primenyayutsya tol'ko togda, kogda ne ukazany prava dos- tupa k yadru dlya pol'zovatelya. Poetomu pol'zovateli, kotorym ne- obhodimy bol'shie prava, mogut imet' special'nye dlya kazhdogo iz nih elementy v baze dannyh, opredelyayushchie ih prava, togda kak obychnye pol'zovateli mogut imet' ih nabor prav po umolchaniyu, so- derzhashchijsya v sistemnoj baze dannyh znachenij po umolchaniyu. - 10-24a - Tablica 10.4 Prava na dostup k yadru +----------------------------------------------------------------+ | Prava Dejstviya | +------------------+---------------------------------------------+ | configaudit | Konfiguraciya parametrov podsistemy kontro-| | | lya | | writeaudit | Zapis' elementov kontrolya v kontrol'nyj| | | sled | | execsuid | Vozmozhnost' zapuska programm SUID | | chmodsugid | Vozmozhnost' ustanavlivat' bity SUID i SGID| | | v fajly | | chown | Vozmozhnost' menyat' sobstvennika ob®ekta | | suspendaudit | Priostanavlivat' kontrol' operacionnoj| | | sistemy za processom | | nopromain | Dostup v kachestve pol'zovatelya izvne k os-| | | novnomu katalogu | +------------------+---------------------------------------------+ Ogranicheniya, obespechivaemye etimi pravami, yavlyayutsya komp- leksnymi; oni konfiguriruyutsya po umolchaniyu dlya funkcionirovaniya pod urovnem zashchity S2. Parametry kontrolya primenyayutsya tol'ko dlya operacij kontrolya i ne dolzhny byt' naznacheny dlya pol'zovatelej; - 10-25 - etot parametr opisan v "Ispol'zovanii podsistemy kontrolya" v glave "Podderzhka Sistemnoj zashchity" etogo rukovodstva. Prava ¬1execsuid, chmodsugid¬3 ¬0i ¬1chown¬3 opopisany v razdelah "Naznachenie prav dostupa k yadru" i "Isklyuchitel'nye operacii v¬3i- sisteme zashchity" v glave "Podderzhka sistemnoj zashchity" etogo ruko- vodstva. Prava dostupa k yadru i administrativnye pol'zovateli Vy dolzhny naznachit' specificheskie prava dostupa k yadru na- ryadu s pravami dostupa k podsistemam. Hotya bol'shinstvo iz nih uzhe naznacheno po umolchaniyu, oni perechisleny v tablice 10.5, esli Vy zahotite izmenit' eti znacheniya po umolchaniyu. Isklyucheniem yav- lyaetsya podsistema kontrolya, kotoraya trebuet dopolnitel'nyh prav configaudit i suspendaudit. |ti prava nikogda ne dolzhny nazna- chat'sya po umolchaniyu ili dlya obychnyh pol'zovatelej. Drugim isklyu- cheniem yavlyaetsya pravo sysadmin, kotoroe trebuet pravo dostupa k yadru chmodsugid, hotya proshche zapustit' programmu integrity(ADM) v kachestve osnovnogo pol'zovatelya. Tablica 10.5 Sootvetstviya prav po dostupu k podsistemam i k yadru +---------------