Страница:
|| Account locked : NO LOCKS ||
||(Блокировка учетной информации : не заблокирована) ||
|| ||
||Lock status[No change] Apply administrative lock Clear all lock||
||(статус (применение административ- (общая разбло-||
||блокировки) ной блокировки) кировка) ||
|+---------------------------------------------------------------+|
+-----------------------------------------------------------------+
- 10-10a -
Переместитесь вниз на поле "статус блокировки" и переключи-
тесь на применение административной блокировки или общая разбло-
кировка как потребуется.
Изменение групп пользователей
Для изменения группы входов в систему пользователей, выбе-
рите:
Учет-> Пользователь-> Просмотр:Идентификация
На экране отобразится следующая форма:
- 10-11 -
+--------------------------------------------------------------+
| Examine |
| (просмотр) |
|Group associated with this account when the user logs in |
|(<F3> for list) (Группа соответствующая этой учетной ин- |
|формации, когда пользователь вошел в систему (<F3> для |
|получения списка)) |
| +--------View/Modify an existing user account-------+ |
| |(Просмотр/Изменение существующей учетной информации| |
| |пользователя) | |
|+-+----------------------Identity---------------------+------+|
|| (Идентификация) ||
|| Username : sample ||
||(имя пользователя) ||
|| User ID : 246 Type of user : Individual ||
||(идентификатор (Тип пользователя Индивидуум) ||
|| пользователя) ||
|| Account that may su(C) to this user: NONE ||
||(Учетная информация, которая может быть su(C) для этого||
|| пользователя) ||
|| Login group : [pub] ||
||(группа входа в систему) ||
|| Groups : [adm] ||
||(группы) ||
|| Login shell : [/bin/sh] ||
||(среда входа в систему) ||
|| Home directory: [/usr/sample] ||
||(собственный каталог) ||
|| Comment : [Sample] ||
||(комментарии) ||
|| Priority : Specify [Default] of 0 Value: ||
||(приоритет) (указать) (по умолчанию) (значение) ||
|+------------------------------------------------------------+|
+--------------------------------------------------------------+
Установите курсор на поле, которое Вы должны заполнить (в
этом случае - имя пользователя) до выбора клавиши Identity. За-
тем Вы можете изменять поле группы входа в систему как Вам необ-
ходимо.
- 10-11a -
Изменение пароля пользователя или параметров пароля
Администратор может изменить пароль пользователя в некото-
рый момент времени. Параметры генерации параметров могут быть
также изменены на индивидуальной основе, как только они могут
быть расширением системы. Это определяет как должен быть изменен
пароль. Для того, чтобы это сделать, выберите:
Учетные характеристики-> Пользователь-> Просмотр:Пароль
На экране отобразится следующая форма:
- 10-12 -
+-------------------------------------------------------------+
| Password |
| (пароль) |
| Use the system default maximum password length for |
| this user (Используйте максимальную длину пароля, |
| принимаемую по умолчанию, для этого пользователя) |
| 10 Dec 88 19:33 /usr/auth |
| +-------View/modify an existing user accounts--------+ |
| |(просмотр/изменение существующей учетной информации | |
| |пользователя) | |
|+-+-----------------password selection-----------------+----+|
|| (выбор пароля) ||
|| Username: sample ||
||(имя пользователя) ||
|| Maximum password length: Specify [Default] of 10 Value: ||
||(максимальная длины (указать) (по умолчанию (значение||
|| пароля) 10) ||
|| User can run generator : Yes No [Default] of Yes ||
||(Может пользователь (Да) (Нет) (по умолчанию Да) ||
|| запустить генератор) ||
|| User can choose own : Yes No [Default] of No ||
||(Может ли пользователь (Да) (Нет) (по умолчанию Нет) ||
|| выбирать сам) ||
|| Checked for obviousness: Yes No [Default] of Yes ||
||(Проверка на нетpивиаль- (Да) (Нет) (по умолчанию Да) ||
|| ность) ||
|| Current password status: [Keep] Change Disable ||
||(Текущий статус пароля) (сохранить)(изменить)(недоступен) ||
|+-----------------------------------------------------------+|
+-------------------------------------------------------------+
Полное описание параметров пароля Вы можете найти в разделе
"Изменение ограничений по паролю, принимаемых по умолчанию".
Вы можете изменить пароль пользователя, выбрав "Изменение"
в текущем статусе пароля. Это активизирует процедуру изменения
пароля, описанную в конце раздела "Добавление нового пользовате-
ля".
Вы можете также сделать "недоступным" пароль, что на самом
деле заблокирует пользователя.
Изменение параметров завершения действия пароля пользователя
Иногда полезно определить параметр завершения действия для
пользователя на значение отличное от значения, принимаемое сис-
темой по умолчанию. Для того, чтобы это сделать, выберите:
Учетная информация-> Пользователь-> Просмотр:Завершение
действия
На экране отобразится следующая форма:
- 10-13 -
+----------------------------------------------------------------+
| Expiration |
| (Завершение действия) |
| Use the system default minimum password lifetime |
| (Используйте минимальное время существования паро- |
| ля, устанавливаемое системой по умолчанию) |
| 10 Dec 88 19:33 /usr/auth |
| +-----View/Modify an existing user account-----+ |
| | (просмотр/модификация существующей учетной | |
| | информации пользователя) | |
|+------+-----------Password life and death------------+--------+|
|| (Время действия пароля и завершение его действия) ||
|| Username : Sample ||
|| (имя пользователя) ||
|| Last password change Date/Time ||
|| (последнее изменение пароля Дата/Время) ||
|| successful Wed Feb 22 09:27:29 1989 ||
|| (успешное) ||
|| unsuccessful NEVER ||
|| (неуспешное) ||
||Maximum days between changes:Specify [Default] of None Value: ||
||(максимальное число дней (укажите)(по умолчанию (значение:)||
||между изменениями ) Нет) ||
||Expiration time (days) :Specify [Default] of 20 Value: ||
||(время действия пароля) (укажите)(по умолчанию (значение:)||
|| 20) ||
||Lifetime (days) :Specify [Default] of 26 Value: ||
||(время существования) (укажите)(по умолчанию (значение:)||
|| 26) ||
|+--------------------------------------------------------------+|
+----------------------------------------------------------------+
Описатели параметра идентичны описателям в разделе по изме-
нению параметров пароля при системном расширении "Изменение ог-
раничений на пароль, принятых по умолчанию".
Определение/изменение контрольного параметра для пользова-
теля
Вы можете определить контрольный параметр для индивидуаль-
ных пользователей также как параметр расширения системы. Некото-
рая установка определенная для пользователя перекрывает систем-
ные значения принимаемые по умолчанию. Для определения или
изменения параметров контроля, выберите:
Учетная информация-> Пользователь-> Просмотр:Контроль
- 10-14 -
+----------------------------------------------------------------------+
| Audit |
| (контpоль) |
| System startup (boots) and shutdown (Запуск и за- |
| веpшение pаботы системы) |
| 7 Dec 88 18:43 /usr/auth |
| +--------View/Modify an existing user account-------+ |
| |(Просмотр/редактирование существующей учетной ин-| |
| |формации пользователя) | |
|+--+-------------------Audites events------------------+-------------+|
|| (События, подлежащие контролю) ||
||Username: sample ||
||(имя пользователя) ||
||A.Startup/shutdown [Default] B.Login/Logoff [Default]||
|| (загрузка/завеpшение) (вход/выход) ||
||C.Process Create/Delete [Default] D.Make Object Available [Default]||
|| (создание/удаление процесса) (сделать объект доступным) ||
||E.Map Object to Subject [Default] F.Object Modification [Default]||
|| (перевести объект в субъект) (изменение объекта) ||
||G.Make Object Unavailable[Default] H.Object Creation [Default]||
|| (сделать объект недоступным) (создание объекта) ||
||I.Object Deletion [Default] J.DAC changes [Default]||
|| (удаление объекта) (изменение DAC) ||
||K.DAC Denials [Default] L.Admin/Operator Actions[Default]||
|| (отказ от DAC (функции администратора/оператора)||
||M.Insufficient Privilege [Default] N.Resource Denials [Default]||
|| (недостаточные привилегии) (отказ от ресурса) ||
||O.IPC Functions [Default] P.Process Modification [Default]||
|| (функции IPC) (изменение процесса) ||
||Q.Audit Subsystem Events [Default] R.Database Events [Default]||
|| (события подсистемы контроля) (события обращения к базе данных)||
||S.Subsystem Events [Default] T.Use of Privilege [Default]||
|| (события подсистемы) (использование привилегии) ||
|+--------------------------------------------------------------------+|
+----------------------------------------------------------------------+
Детальное описание событий, подлежащих контролю, можно най-
ти в разделе "Использование подсистемы контроля" главы "Поддерж-
ка системной защиты" этого руководства.
Существует три способа установки "Default(по умолчанию)",
"Always(всегда)" и "Never(никогда)". Вы можете использовать кла-
вишу <F3> для выбора из списка значений или сами набрать вруч-
ную. Аббревиатура также распознается системой (например, "n","nev"
и "N" распознается как NEVER). Для того, чтобы выполнить это наз-
начение, нажмите <CTL>x. (Если Вы заполните последнее поле этой
формы, назначения, указанной в ней автоматически выполнятся).
- 10-14a -
Добавление/изменение групп
Для того, чтобы добавить группу, надо просто ввести имя но-
вой группы во время создания или изменения учетной информации по
пользователю. Вы будете предупреждены, что эта группа не сущест-
вует, и Вас попросят подтвердить, что Вы создаете новую группу.
Изменение максимального числа групп
По умолчанию, максимальное число групп, в которые объединя-
ются пользователи,- 8.Это число управляется настраиваемым пара-
метром ядра NGROUPS. Это значение может быть изменено
активизацией configure и выбором третьей категории: "Файлы, ин-
дексные дескрипторы файлов и файловая система" и изменением этого
значения. Ядро должно быть отредактировано для того, чтобы новое
значение этого параметра имело эффект. Для получения полной инст-
рукции обратитесь к разделу "Перераспределение ресурсов ядра с
помощью configure" в главе "Настройка работы системы" этого руко-
водства.
- 10-15 -
________________________________________________________________
Конфигурация защиты по умолчанию
Этот раздел посвящен вопросу как выбрать системную защиту,
параметры которой приняты по умолчанию, что включает в себя
принятые по умолчанию схемы пароля, права на обращение к подсис-
темам и число попыток входа в систему, разрешенных пользователю.
Поставка Вашей операционной системы приходит к Вам с пред-
варительной конфигурацией, которая включает в себя набор прини-
маемых по умолчанию значений, который определяет схему защиты,
используемую для организации учета. Таблица 10.1 содержит эти
значения, плюс значения определяющие "Relaxed (ослабленную)" за-
щиту (совместимую с другими, менее защищенными UNIX системами),
которые могут быть выбраны как описано в "Выборе значений ослаб-
ленной защиты, принимаемых по умолчанию":
- 10-15a -
Таблица 10.1
Системные параметры защиты, принимаемые по умолчанию.
+-----------------------------+---------------+----------------+
| Параметры защиты | Relaxed | C2 |
Ф=============================Ь===============Ь================µ
| Пароли | | |
+-----------------------------+---------------+----------------+
| Минимальное число дней меж- | 0 | 14 |
| ду изменениями | | |
| Время действия (дней) | 0 | 42 |
| Время существования | 0 | 365 |
| Максимальная длина пароля | 8 | 10 |
+-----------------------------+---------------+----------------+
| Пользователь может запус- | Yes | Yes |
| кать генератор | | |
| Пользователь может выбирать | Yes | Yes |
| сам | | |
| Проверка пароля на неяв- | No | No |
| ность | | |
| Требуется один пользова- | Yes | Yes |
| тельский пароль | | |
Ф=============================Ь===============Ь================µ
| Входы в систему | | |
+-----------------------------+---------------+----------------+
| Максимальное число неудач- | 99 | 5 |
| ных попыток | | |
| Задержка между попытками | 0 | 2 |
| входа | | |
| | | |
Ф=============================Ь===============Ь================µ
| Типы контролируемых событий | | A,B,F,H,I,J,K, |
| | | L,M,N,Q,R,S,T *|
Ф=============================О===============О================µ
| Права |
+-----------------------------+---------------+----------------+
| По подсистемам | queryspace, | queryspace, |
| | printerstat, | printerstat, |
| | printqueue, | printqueue |
| | su,mem, | |
| | terminal | |
+-----------------------------+---------------+----------------+
| По ядру | execsuid, | execsuid, |
| | chmodsuguid, | chown, |
| | chown, | nopromain |
| | nopromain | |
+-----------------------------+---------------+----------------+
* Типы событий описаны в главе "Поддержка системной защиты
- 10-16 -
Выбор значений параметров ослабленной защиты, принимаемых
по умолчанию.
Значения параметров защиты уровня "С2", принимаемые по
умолчанию, автоматически устанавливаются во время установки. Ес-
ли Вы хотите понизить уровень Вашей системы для функционирования
ее как отличной от других систем UNIX, Вы можете это сделать с
помощью выбора в среде команды sysadmsh:
Система-> Конфигурация-> Защита-> Снижение
Это предоставит Вам возможность выбора альтернативного на-
бора значений параметров, определяющих политику защиты, совмес-
тимую с менее надежными системами UNIX (см. таблицу 10.1). Когда
Вы сделаете этот выбор, на экране появится следующее предупреж-
дение:
+--------------------------------------------------------------+
| Relax |
| (снижение)|
| Do not change the current level of security (Не |
| изменяйте текущий уровень защиты) |
| /tcb/files/auth 03/23/89 10:57 |
| +------------------Configure default---------------------+ |
| | (конфигурация значений по умолчанию) | |
| | | |
| | This options will change the system default | |
| | authorizations for users to so that the system will | |
| | behave in a similar manner to a conventional UNIX | |
| | system. It will also disable auditing of users | |
| | actions.(Этa опция изменит системные права по умол- | |
| | чанию для пользователей так, что система будет ра- | |
| | ботать в отличном режиме от обычного системы UNIX. | |
| | Это также приведет к тому, что контроль по учетной | |
| | информации пользователей станет недоступным). | |
| | It may nоt be possible to reliably restore the | |
| | current level of system integrity at a later time. | |
| | (Достоверно восстановить текущий уровень системы | |
| | позже не будет представляться возможным). | |
| | | |
| |Are you absolutely sure you wish to do this? Yes [No] | |
| |(Вы абсолютно уверены в том, что Вы хотите это сделать?| |
| | Да [Нет]) | |
| +--------------------------------------------------------+ |
+--------------------------------------------------------------+
- 10-16a -
Если Вы сделаете некоторые изменения в значениях параметров
защиты, принимаемых по умолчанию, то получите следующее дополни-
тельное предупреждение:
+---------------------------------------------------+
|The default file has changed since installation|
|(Файл значений по умолчанию изменен по отношении ко|
|времени установки) |
|Previous changes will be lost (Предыдущие изменения|
|будут потеряны) |
| |
|Press <Return> to continue, or <Escape> to abort|
|(Нажмите <Return> для продолжения, или <Escape> для|
|прерывания ) |
+---------------------------------------------------+
- 10-17 -
Динамическое изменение параметров защиты
Системные параметры учета доступны при следующем выборе в
среде sysadmsh:
Учет-> Значения по умолчанию
Будут отображены следующие параметры учета:
* Пароль
* Входы в систему
* Права
Системные параметры защиты управляют тем, как пользователи
входят в систему и, когда они устанавливают сессию, и как систе-
ма предоставляет им терминал и авторизованную среду. Здесь об-
суждается каждый параметр, который Вы можете изменить в интер-
фейсе команды sysadmsh. Другие параметры, используемые с тем же
эффектом на работу системы, будут обсуждены дальше.
Вы должны использовать системные функции для того, чтобы
определить Ваши собственные значения, принимаемые по умолчанию,
определяющие поведение системы. Затем используйте специфические
пользовательские функции для того, чтобы установить поведение
системы для некоторых пользователей с различными требованиями.
Как Вы можете предполагать, пользовательские специфические зна-
чения перекрывают системные значения, принимаемые по умолчанию,
для некоторого данного пользователя.
Изменение ограничений по входу в систему, принимаемыx по
умолчанию
Большинство параметров, которые могут быть установлены по
умолчанию системой, определяют как система создает начальную
сессию. Это включает особенности входа в систему, и как генери-
руется и используется пароль. Параметры входа в систему опреде-
ляют особенности учета и блокировки терминала. Когда
пользователь входит в систему, он должен указать имя для входа в
систему и пароль. Кроме того, пользователь может делать ограни-
ченное число попыток входа в систему. Для каждой учетной инфор-
мации пользователя и терминала существует счетчик неуспешных по-
пыток входа, который накапливается до того, как учетная
информация или терминал будет заблокирован. Если это число пре-
вышено, пользователь или терминал будут заблокированы против но-
- 10-17a -
вых попыток входа в систему. Это средство предотвращает попытки
проникновения с помощью ограничения числа раз, которое несанкци-
онированный пользователь (или компьютер запрограммирован не-
санкционированным пользователем) может пытаться прорваться в
систему.
Доступ к параметрам ограничений входов в систему может быть
совершен следующим выбором в среде команды sysadmsh:
Учетная информация-> Значения принимаемые по умолчанию->
Входы в систему
- 10-18 -
На экране отобразится следующая форма:
+---------------------------------------------------------------+
| Logins |
| (входы в систему) |
| |
| Allowed consecutive failed login attempts before |
| account is locked (Разрешенные последовательно осу- |
| ществляемые ошибочные попытки входа в систему до |
| блокировки учетной информации) |
| /tcb/files/auth 03/23/89 10:57 |
|+-------------------Login restriction-------------------------+|
|| (ограничение входа в систему) ||
|| ||
|| Maximum number of unsuccessful attempts before ||
|| locking ... (максимальное число попыток до блокиро- ||
|| вания) ||
|| ... user account : [10] ||
|| (учетной информации пользователя) ||
|| ... terminal : [10] ||
|| (терминала) ||
|| ||
||Delay (in seconds) between login attempts on a terminal:[2]||
||(задержка в секундах между попытками входа с терминала) ||
|| CPU sheduling priority after successful login :[0]||
||(приоритет использования процессора после успешного входа в ||
|| систему) ||
|+-------------------------------------------------------------+|
+---------------------------------------------------------------+
Указанные параметры имеют следующее назначение:
Maximum number of unsuccessful attempts before locking
Означает число, принимаемое системой по умолчанию,
неудачных попыток разрешенных для пользователей и
терминалов. Если для отдельного пользователя или тер-
минала требуется или более или менее ограниченное
число, могут быть изменены учетная информация пользо-
вателя или конфигурация терминала (см. "Управление
входами в систему с терминала"), с перекрытием значе-
ний принимаемых системой.
- 10-18a -
Delay (in seconds) between login attempts on a terminal
Этот параметр управляет промежутком времени, которое
должно проходить между неудачными попытками входа в
систему. Для дальнейшего уменьшения возможности про-
никновения в систему, система делает временную за-
держку между попытками входа в систему, чтобы увели-
чить промежуток времени, требуемый для повторной
попытки войти в систему. Вы можете увеличить этот па-
раметр для того, чтобы управлять времени выдачи ожи-
дания login:. С помощью об'единения этого параметра с
параметром неуспешных попыток пользователя и термина-
ла, Вы можете предотвратить попытки повторного ввода
пароля на конкретной (или на нескольких) терминальных
линиях.
- 10-19 -
CPU sheduling priority after successful login
Этот параметр устанавливает значение nice(C) связыва-
емое с пользовательскими процессами.
Изменение ограничений по паролям, принимаемым по умолчанию
Параметры ограничений по паролю станут доступны после сле-
дующего выбора в среде sysadmsh:
Учетная информация-> Значения по умолчанию-> Пароль
Отобразится следующий экран:
+------------------------------------------------------+
| Password|
| (пароль)|
|Minimum number of days which must elapse between |
|password changes(минимальное число дней, которое |
|должно пройти между изменениями пароля) |
|/tcd/files/auth 03/23/89 10:57|
| +-----------Password selection-------------+ |
| | (Выбор пароля) | |
| |Minimum days between changes :[14] | |
| |(минимальное число дней между изменениями)| |
| |Expiration time :[182 ] | |
| |(время действия) | |
| |Lifetime :[364 ] | |
| |(время существования) | |
| |Maximum password length :[ 10] | |
| |(максимальная длина пароля) | |
| |User can run generator :[Yes] No | |
| |(пользователь может запускать генератор) | |
| |User can choose own :[Yes] No | |
| |(пользователь может выбирать сам) | |
| |Checked for obviousness : Yes [No] | |
| |(проверка на неявность) | |
| |Single user password required : Yes [No] | |
| |(требуется пароль для одного пользователя)| |
| +------------------------------------------+ |
+------------------------------------------------------+
То, что Вы можете управлять числом попыток, которые может
- 10-19a -
осуществлять несанкционированный пользователь чтобы угадать па-
роль, позволяет управлять паролированием. Типы проверок паролей,
осуществляемых системой, управляются несколькими параметрами,
которые Вы можете установить на экране. Эти параметры управляют
временем, в течение которого действует пароль, и процедуры для
изменения пароля пока он не станет неприменимым. Пароль имеет
действие в течение времени действия или пока он не перестанет
существовать. Действующий пароль может быть изменен тем пользо-
вателем, который имеет право на изменение пароля по учетной ин-
формации. Пароль действует пока не кончилось его время действия.
Время действия может быть установлено в интерфейсе администрато-
ра для системы или отдельно для пользователя, и определяет число
дней со времени его последнего изменения. Переставший существо-
вать пароль является причиной блокировки учетной информации поль-
зователя. Только администратор может разблокировать учетную ин-
- 10-20 -
формацию пользователя, которая затем воспринимается как учетная
информация с недействующим паролем. Пароль должен быть еще изме-
нен до того, как пользователь сможет войти в систему снова.
Для того, чтобы отговорить пользователей изменять их паро-
ли, когда они потеряли свое действие, и затем сразу изменять их
обратно для того, чтобы запоминать только один, система также
содержит параметр минимальное время между изменениями паролей.
Пользовательский пароль не может быть изменен до истечения этого
минимального времени. Этот параметр может быть также установлен
для всей системы или для отдельного пользователя.
Следующие параметры определяют ограничения по паролям:
Minimum days between changes
Число дней, которые пользователь должен ждать меж-
ду изменениями паролей.
Expiration time
Определяет число дней, в течение которых пароль
имеет действие.
Lifetime
Определяет интервал между последним изменением и
когда пароль перестает существовать.
Maximum password length
Максимальная длина пароля. Этот максимум для сис-
темы - 80 символов.
User can run generator
Этот параметр используется для того, чтобы позво-
лить пользователю запускать генератор паролей.
Следует отметить, что это не позволяет пользовате-
лям изменять пароль, а только генерировать новый
случайный пароль.
User can choose own
Этот параметр определяет могут ли пользователи из-
менять свои собственные пароли или нет.
"Защищенные" системы требуют, чтобы система сама
генерировала пароли автоматически для пользовате-
лей. Это защищает от пользователей подбирающих
"подходящий" пароль, с которым хорошо осведомлен-
ный несанкционированный пользователь может плани-
ровать получить персональную информацию о пользо-
вателе. Другие системы UNIX, однако позволяют
пользователям выбирать свои пароли. Если этот па-
раметр имеет значение "Да", то это влечет задейс-
твование правил совместимых с менее защищенными
||(Блокировка учетной информации : не заблокирована) ||
|| ||
||Lock status[No change] Apply administrative lock Clear all lock||
||(статус (применение административ- (общая разбло-||
||блокировки) ной блокировки) кировка) ||
|+---------------------------------------------------------------+|
+-----------------------------------------------------------------+
- 10-10a -
Переместитесь вниз на поле "статус блокировки" и переключи-
тесь на применение административной блокировки или общая разбло-
кировка как потребуется.
Изменение групп пользователей
Для изменения группы входов в систему пользователей, выбе-
рите:
Учет-> Пользователь-> Просмотр:Идентификация
На экране отобразится следующая форма:
- 10-11 -
+--------------------------------------------------------------+
| Examine |
| (просмотр) |
|Group associated with this account when the user logs in |
|(<F3> for list) (Группа соответствующая этой учетной ин- |
|формации, когда пользователь вошел в систему (<F3> для |
|получения списка)) |
| +--------View/Modify an existing user account-------+ |
| |(Просмотр/Изменение существующей учетной информации| |
| |пользователя) | |
|+-+----------------------Identity---------------------+------+|
|| (Идентификация) ||
|| Username : sample ||
||(имя пользователя) ||
|| User ID : 246 Type of user : Individual ||
||(идентификатор (Тип пользователя Индивидуум) ||
|| пользователя) ||
|| Account that may su(C) to this user: NONE ||
||(Учетная информация, которая может быть su(C) для этого||
|| пользователя) ||
|| Login group : [pub] ||
||(группа входа в систему) ||
|| Groups : [adm] ||
||(группы) ||
|| Login shell : [/bin/sh] ||
||(среда входа в систему) ||
|| Home directory: [/usr/sample] ||
||(собственный каталог) ||
|| Comment : [Sample] ||
||(комментарии) ||
|| Priority : Specify [Default] of 0 Value: ||
||(приоритет) (указать) (по умолчанию) (значение) ||
|+------------------------------------------------------------+|
+--------------------------------------------------------------+
Установите курсор на поле, которое Вы должны заполнить (в
этом случае - имя пользователя) до выбора клавиши Identity. За-
тем Вы можете изменять поле группы входа в систему как Вам необ-
ходимо.
- 10-11a -
Изменение пароля пользователя или параметров пароля
Администратор может изменить пароль пользователя в некото-
рый момент времени. Параметры генерации параметров могут быть
также изменены на индивидуальной основе, как только они могут
быть расширением системы. Это определяет как должен быть изменен
пароль. Для того, чтобы это сделать, выберите:
Учетные характеристики-> Пользователь-> Просмотр:Пароль
На экране отобразится следующая форма:
- 10-12 -
+-------------------------------------------------------------+
| Password |
| (пароль) |
| Use the system default maximum password length for |
| this user (Используйте максимальную длину пароля, |
| принимаемую по умолчанию, для этого пользователя) |
| 10 Dec 88 19:33 /usr/auth |
| +-------View/modify an existing user accounts--------+ |
| |(просмотр/изменение существующей учетной информации | |
| |пользователя) | |
|+-+-----------------password selection-----------------+----+|
|| (выбор пароля) ||
|| Username: sample ||
||(имя пользователя) ||
|| Maximum password length: Specify [Default] of 10 Value: ||
||(максимальная длины (указать) (по умолчанию (значение||
|| пароля) 10) ||
|| User can run generator : Yes No [Default] of Yes ||
||(Может пользователь (Да) (Нет) (по умолчанию Да) ||
|| запустить генератор) ||
|| User can choose own : Yes No [Default] of No ||
||(Может ли пользователь (Да) (Нет) (по умолчанию Нет) ||
|| выбирать сам) ||
|| Checked for obviousness: Yes No [Default] of Yes ||
||(Проверка на нетpивиаль- (Да) (Нет) (по умолчанию Да) ||
|| ность) ||
|| Current password status: [Keep] Change Disable ||
||(Текущий статус пароля) (сохранить)(изменить)(недоступен) ||
|+-----------------------------------------------------------+|
+-------------------------------------------------------------+
Полное описание параметров пароля Вы можете найти в разделе
"Изменение ограничений по паролю, принимаемых по умолчанию".
Вы можете изменить пароль пользователя, выбрав "Изменение"
в текущем статусе пароля. Это активизирует процедуру изменения
пароля, описанную в конце раздела "Добавление нового пользовате-
ля".
Вы можете также сделать "недоступным" пароль, что на самом
деле заблокирует пользователя.
Изменение параметров завершения действия пароля пользователя
Иногда полезно определить параметр завершения действия для
пользователя на значение отличное от значения, принимаемое сис-
темой по умолчанию. Для того, чтобы это сделать, выберите:
Учетная информация-> Пользователь-> Просмотр:Завершение
действия
На экране отобразится следующая форма:
- 10-13 -
+----------------------------------------------------------------+
| Expiration |
| (Завершение действия) |
| Use the system default minimum password lifetime |
| (Используйте минимальное время существования паро- |
| ля, устанавливаемое системой по умолчанию) |
| 10 Dec 88 19:33 /usr/auth |
| +-----View/Modify an existing user account-----+ |
| | (просмотр/модификация существующей учетной | |
| | информации пользователя) | |
|+------+-----------Password life and death------------+--------+|
|| (Время действия пароля и завершение его действия) ||
|| Username : Sample ||
|| (имя пользователя) ||
|| Last password change Date/Time ||
|| (последнее изменение пароля Дата/Время) ||
|| successful Wed Feb 22 09:27:29 1989 ||
|| (успешное) ||
|| unsuccessful NEVER ||
|| (неуспешное) ||
||Maximum days between changes:Specify [Default] of None Value: ||
||(максимальное число дней (укажите)(по умолчанию (значение:)||
||между изменениями ) Нет) ||
||Expiration time (days) :Specify [Default] of 20 Value: ||
||(время действия пароля) (укажите)(по умолчанию (значение:)||
|| 20) ||
||Lifetime (days) :Specify [Default] of 26 Value: ||
||(время существования) (укажите)(по умолчанию (значение:)||
|| 26) ||
|+--------------------------------------------------------------+|
+----------------------------------------------------------------+
Описатели параметра идентичны описателям в разделе по изме-
нению параметров пароля при системном расширении "Изменение ог-
раничений на пароль, принятых по умолчанию".
Определение/изменение контрольного параметра для пользова-
теля
Вы можете определить контрольный параметр для индивидуаль-
ных пользователей также как параметр расширения системы. Некото-
рая установка определенная для пользователя перекрывает систем-
ные значения принимаемые по умолчанию. Для определения или
изменения параметров контроля, выберите:
Учетная информация-> Пользователь-> Просмотр:Контроль
- 10-14 -
+----------------------------------------------------------------------+
| Audit |
| (контpоль) |
| System startup (boots) and shutdown (Запуск и за- |
| веpшение pаботы системы) |
| 7 Dec 88 18:43 /usr/auth |
| +--------View/Modify an existing user account-------+ |
| |(Просмотр/редактирование существующей учетной ин-| |
| |формации пользователя) | |
|+--+-------------------Audites events------------------+-------------+|
|| (События, подлежащие контролю) ||
||Username: sample ||
||(имя пользователя) ||
||A.Startup/shutdown [Default] B.Login/Logoff [Default]||
|| (загрузка/завеpшение) (вход/выход) ||
||C.Process Create/Delete [Default] D.Make Object Available [Default]||
|| (создание/удаление процесса) (сделать объект доступным) ||
||E.Map Object to Subject [Default] F.Object Modification [Default]||
|| (перевести объект в субъект) (изменение объекта) ||
||G.Make Object Unavailable[Default] H.Object Creation [Default]||
|| (сделать объект недоступным) (создание объекта) ||
||I.Object Deletion [Default] J.DAC changes [Default]||
|| (удаление объекта) (изменение DAC) ||
||K.DAC Denials [Default] L.Admin/Operator Actions[Default]||
|| (отказ от DAC (функции администратора/оператора)||
||M.Insufficient Privilege [Default] N.Resource Denials [Default]||
|| (недостаточные привилегии) (отказ от ресурса) ||
||O.IPC Functions [Default] P.Process Modification [Default]||
|| (функции IPC) (изменение процесса) ||
||Q.Audit Subsystem Events [Default] R.Database Events [Default]||
|| (события подсистемы контроля) (события обращения к базе данных)||
||S.Subsystem Events [Default] T.Use of Privilege [Default]||
|| (события подсистемы) (использование привилегии) ||
|+--------------------------------------------------------------------+|
+----------------------------------------------------------------------+
Детальное описание событий, подлежащих контролю, можно най-
ти в разделе "Использование подсистемы контроля" главы "Поддерж-
ка системной защиты" этого руководства.
Существует три способа установки "Default(по умолчанию)",
"Always(всегда)" и "Never(никогда)". Вы можете использовать кла-
вишу <F3> для выбора из списка значений или сами набрать вруч-
ную. Аббревиатура также распознается системой (например, "n","nev"
и "N" распознается как NEVER). Для того, чтобы выполнить это наз-
начение, нажмите <CTL>x. (Если Вы заполните последнее поле этой
формы, назначения, указанной в ней автоматически выполнятся).
- 10-14a -
Добавление/изменение групп
Для того, чтобы добавить группу, надо просто ввести имя но-
вой группы во время создания или изменения учетной информации по
пользователю. Вы будете предупреждены, что эта группа не сущест-
вует, и Вас попросят подтвердить, что Вы создаете новую группу.
Изменение максимального числа групп
По умолчанию, максимальное число групп, в которые объединя-
ются пользователи,- 8.Это число управляется настраиваемым пара-
метром ядра NGROUPS. Это значение может быть изменено
активизацией configure и выбором третьей категории: "Файлы, ин-
дексные дескрипторы файлов и файловая система" и изменением этого
значения. Ядро должно быть отредактировано для того, чтобы новое
значение этого параметра имело эффект. Для получения полной инст-
рукции обратитесь к разделу "Перераспределение ресурсов ядра с
помощью configure" в главе "Настройка работы системы" этого руко-
водства.
- 10-15 -
________________________________________________________________
Конфигурация защиты по умолчанию
Этот раздел посвящен вопросу как выбрать системную защиту,
параметры которой приняты по умолчанию, что включает в себя
принятые по умолчанию схемы пароля, права на обращение к подсис-
темам и число попыток входа в систему, разрешенных пользователю.
Поставка Вашей операционной системы приходит к Вам с пред-
варительной конфигурацией, которая включает в себя набор прини-
маемых по умолчанию значений, который определяет схему защиты,
используемую для организации учета. Таблица 10.1 содержит эти
значения, плюс значения определяющие "Relaxed (ослабленную)" за-
щиту (совместимую с другими, менее защищенными UNIX системами),
которые могут быть выбраны как описано в "Выборе значений ослаб-
ленной защиты, принимаемых по умолчанию":
- 10-15a -
Таблица 10.1
Системные параметры защиты, принимаемые по умолчанию.
+-----------------------------+---------------+----------------+
| Параметры защиты | Relaxed | C2 |
Ф=============================Ь===============Ь================µ
| Пароли | | |
+-----------------------------+---------------+----------------+
| Минимальное число дней меж- | 0 | 14 |
| ду изменениями | | |
| Время действия (дней) | 0 | 42 |
| Время существования | 0 | 365 |
| Максимальная длина пароля | 8 | 10 |
+-----------------------------+---------------+----------------+
| Пользователь может запус- | Yes | Yes |
| кать генератор | | |
| Пользователь может выбирать | Yes | Yes |
| сам | | |
| Проверка пароля на неяв- | No | No |
| ность | | |
| Требуется один пользова- | Yes | Yes |
| тельский пароль | | |
Ф=============================Ь===============Ь================µ
| Входы в систему | | |
+-----------------------------+---------------+----------------+
| Максимальное число неудач- | 99 | 5 |
| ных попыток | | |
| Задержка между попытками | 0 | 2 |
| входа | | |
| | | |
Ф=============================Ь===============Ь================µ
| Типы контролируемых событий | | A,B,F,H,I,J,K, |
| | | L,M,N,Q,R,S,T *|
Ф=============================О===============О================µ
| Права |
+-----------------------------+---------------+----------------+
| По подсистемам | queryspace, | queryspace, |
| | printerstat, | printerstat, |
| | printqueue, | printqueue |
| | su,mem, | |
| | terminal | |
+-----------------------------+---------------+----------------+
| По ядру | execsuid, | execsuid, |
| | chmodsuguid, | chown, |
| | chown, | nopromain |
| | nopromain | |
+-----------------------------+---------------+----------------+
* Типы событий описаны в главе "Поддержка системной защиты
- 10-16 -
Выбор значений параметров ослабленной защиты, принимаемых
по умолчанию.
Значения параметров защиты уровня "С2", принимаемые по
умолчанию, автоматически устанавливаются во время установки. Ес-
ли Вы хотите понизить уровень Вашей системы для функционирования
ее как отличной от других систем UNIX, Вы можете это сделать с
помощью выбора в среде команды sysadmsh:
Система-> Конфигурация-> Защита-> Снижение
Это предоставит Вам возможность выбора альтернативного на-
бора значений параметров, определяющих политику защиты, совмес-
тимую с менее надежными системами UNIX (см. таблицу 10.1). Когда
Вы сделаете этот выбор, на экране появится следующее предупреж-
дение:
+--------------------------------------------------------------+
| Relax |
| (снижение)|
| Do not change the current level of security (Не |
| изменяйте текущий уровень защиты) |
| /tcb/files/auth 03/23/89 10:57 |
| +------------------Configure default---------------------+ |
| | (конфигурация значений по умолчанию) | |
| | | |
| | This options will change the system default | |
| | authorizations for users to so that the system will | |
| | behave in a similar manner to a conventional UNIX | |
| | system. It will also disable auditing of users | |
| | actions.(Этa опция изменит системные права по умол- | |
| | чанию для пользователей так, что система будет ра- | |
| | ботать в отличном режиме от обычного системы UNIX. | |
| | Это также приведет к тому, что контроль по учетной | |
| | информации пользователей станет недоступным). | |
| | It may nоt be possible to reliably restore the | |
| | current level of system integrity at a later time. | |
| | (Достоверно восстановить текущий уровень системы | |
| | позже не будет представляться возможным). | |
| | | |
| |Are you absolutely sure you wish to do this? Yes [No] | |
| |(Вы абсолютно уверены в том, что Вы хотите это сделать?| |
| | Да [Нет]) | |
| +--------------------------------------------------------+ |
+--------------------------------------------------------------+
- 10-16a -
Если Вы сделаете некоторые изменения в значениях параметров
защиты, принимаемых по умолчанию, то получите следующее дополни-
тельное предупреждение:
+---------------------------------------------------+
|The default file has changed since installation|
|(Файл значений по умолчанию изменен по отношении ко|
|времени установки) |
|Previous changes will be lost (Предыдущие изменения|
|будут потеряны) |
| |
|Press <Return> to continue, or <Escape> to abort|
|(Нажмите <Return> для продолжения, или <Escape> для|
|прерывания ) |
+---------------------------------------------------+
- 10-17 -
Динамическое изменение параметров защиты
Системные параметры учета доступны при следующем выборе в
среде sysadmsh:
Учет-> Значения по умолчанию
Будут отображены следующие параметры учета:
* Пароль
* Входы в систему
* Права
Системные параметры защиты управляют тем, как пользователи
входят в систему и, когда они устанавливают сессию, и как систе-
ма предоставляет им терминал и авторизованную среду. Здесь об-
суждается каждый параметр, который Вы можете изменить в интер-
фейсе команды sysadmsh. Другие параметры, используемые с тем же
эффектом на работу системы, будут обсуждены дальше.
Вы должны использовать системные функции для того, чтобы
определить Ваши собственные значения, принимаемые по умолчанию,
определяющие поведение системы. Затем используйте специфические
пользовательские функции для того, чтобы установить поведение
системы для некоторых пользователей с различными требованиями.
Как Вы можете предполагать, пользовательские специфические зна-
чения перекрывают системные значения, принимаемые по умолчанию,
для некоторого данного пользователя.
Изменение ограничений по входу в систему, принимаемыx по
умолчанию
Большинство параметров, которые могут быть установлены по
умолчанию системой, определяют как система создает начальную
сессию. Это включает особенности входа в систему, и как генери-
руется и используется пароль. Параметры входа в систему опреде-
ляют особенности учета и блокировки терминала. Когда
пользователь входит в систему, он должен указать имя для входа в
систему и пароль. Кроме того, пользователь может делать ограни-
ченное число попыток входа в систему. Для каждой учетной инфор-
мации пользователя и терминала существует счетчик неуспешных по-
пыток входа, который накапливается до того, как учетная
информация или терминал будет заблокирован. Если это число пре-
вышено, пользователь или терминал будут заблокированы против но-
- 10-17a -
вых попыток входа в систему. Это средство предотвращает попытки
проникновения с помощью ограничения числа раз, которое несанкци-
онированный пользователь (или компьютер запрограммирован не-
санкционированным пользователем) может пытаться прорваться в
систему.
Доступ к параметрам ограничений входов в систему может быть
совершен следующим выбором в среде команды sysadmsh:
Учетная информация-> Значения принимаемые по умолчанию->
Входы в систему
- 10-18 -
На экране отобразится следующая форма:
+---------------------------------------------------------------+
| Logins |
| (входы в систему) |
| |
| Allowed consecutive failed login attempts before |
| account is locked (Разрешенные последовательно осу- |
| ществляемые ошибочные попытки входа в систему до |
| блокировки учетной информации) |
| /tcb/files/auth 03/23/89 10:57 |
|+-------------------Login restriction-------------------------+|
|| (ограничение входа в систему) ||
|| ||
|| Maximum number of unsuccessful attempts before ||
|| locking ... (максимальное число попыток до блокиро- ||
|| вания) ||
|| ... user account : [10] ||
|| (учетной информации пользователя) ||
|| ... terminal : [10] ||
|| (терминала) ||
|| ||
||Delay (in seconds) between login attempts on a terminal:[2]||
||(задержка в секундах между попытками входа с терминала) ||
|| CPU sheduling priority after successful login :[0]||
||(приоритет использования процессора после успешного входа в ||
|| систему) ||
|+-------------------------------------------------------------+|
+---------------------------------------------------------------+
Указанные параметры имеют следующее назначение:
Maximum number of unsuccessful attempts before locking
Означает число, принимаемое системой по умолчанию,
неудачных попыток разрешенных для пользователей и
терминалов. Если для отдельного пользователя или тер-
минала требуется или более или менее ограниченное
число, могут быть изменены учетная информация пользо-
вателя или конфигурация терминала (см. "Управление
входами в систему с терминала"), с перекрытием значе-
ний принимаемых системой.
- 10-18a -
Delay (in seconds) between login attempts on a terminal
Этот параметр управляет промежутком времени, которое
должно проходить между неудачными попытками входа в
систему. Для дальнейшего уменьшения возможности про-
никновения в систему, система делает временную за-
держку между попытками входа в систему, чтобы увели-
чить промежуток времени, требуемый для повторной
попытки войти в систему. Вы можете увеличить этот па-
раметр для того, чтобы управлять времени выдачи ожи-
дания login:. С помощью об'единения этого параметра с
параметром неуспешных попыток пользователя и термина-
ла, Вы можете предотвратить попытки повторного ввода
пароля на конкретной (или на нескольких) терминальных
линиях.
- 10-19 -
CPU sheduling priority after successful login
Этот параметр устанавливает значение nice(C) связыва-
емое с пользовательскими процессами.
Изменение ограничений по паролям, принимаемым по умолчанию
Параметры ограничений по паролю станут доступны после сле-
дующего выбора в среде sysadmsh:
Учетная информация-> Значения по умолчанию-> Пароль
Отобразится следующий экран:
+------------------------------------------------------+
| Password|
| (пароль)|
|Minimum number of days which must elapse between |
|password changes(минимальное число дней, которое |
|должно пройти между изменениями пароля) |
|/tcd/files/auth 03/23/89 10:57|
| +-----------Password selection-------------+ |
| | (Выбор пароля) | |
| |Minimum days between changes :[14] | |
| |(минимальное число дней между изменениями)| |
| |Expiration time :[182 ] | |
| |(время действия) | |
| |Lifetime :[364 ] | |
| |(время существования) | |
| |Maximum password length :[ 10] | |
| |(максимальная длина пароля) | |
| |User can run generator :[Yes] No | |
| |(пользователь может запускать генератор) | |
| |User can choose own :[Yes] No | |
| |(пользователь может выбирать сам) | |
| |Checked for obviousness : Yes [No] | |
| |(проверка на неявность) | |
| |Single user password required : Yes [No] | |
| |(требуется пароль для одного пользователя)| |
| +------------------------------------------+ |
+------------------------------------------------------+
То, что Вы можете управлять числом попыток, которые может
- 10-19a -
осуществлять несанкционированный пользователь чтобы угадать па-
роль, позволяет управлять паролированием. Типы проверок паролей,
осуществляемых системой, управляются несколькими параметрами,
которые Вы можете установить на экране. Эти параметры управляют
временем, в течение которого действует пароль, и процедуры для
изменения пароля пока он не станет неприменимым. Пароль имеет
действие в течение времени действия или пока он не перестанет
существовать. Действующий пароль может быть изменен тем пользо-
вателем, который имеет право на изменение пароля по учетной ин-
формации. Пароль действует пока не кончилось его время действия.
Время действия может быть установлено в интерфейсе администрато-
ра для системы или отдельно для пользователя, и определяет число
дней со времени его последнего изменения. Переставший существо-
вать пароль является причиной блокировки учетной информации поль-
зователя. Только администратор может разблокировать учетную ин-
- 10-20 -
формацию пользователя, которая затем воспринимается как учетная
информация с недействующим паролем. Пароль должен быть еще изме-
нен до того, как пользователь сможет войти в систему снова.
Для того, чтобы отговорить пользователей изменять их паро-
ли, когда они потеряли свое действие, и затем сразу изменять их
обратно для того, чтобы запоминать только один, система также
содержит параметр минимальное время между изменениями паролей.
Пользовательский пароль не может быть изменен до истечения этого
минимального времени. Этот параметр может быть также установлен
для всей системы или для отдельного пользователя.
Следующие параметры определяют ограничения по паролям:
Minimum days between changes
Число дней, которые пользователь должен ждать меж-
ду изменениями паролей.
Expiration time
Определяет число дней, в течение которых пароль
имеет действие.
Lifetime
Определяет интервал между последним изменением и
когда пароль перестает существовать.
Maximum password length
Максимальная длина пароля. Этот максимум для сис-
темы - 80 символов.
User can run generator
Этот параметр используется для того, чтобы позво-
лить пользователю запускать генератор паролей.
Следует отметить, что это не позволяет пользовате-
лям изменять пароль, а только генерировать новый
случайный пароль.
User can choose own
Этот параметр определяет могут ли пользователи из-
менять свои собственные пароли или нет.
"Защищенные" системы требуют, чтобы система сама
генерировала пароли автоматически для пользовате-
лей. Это защищает от пользователей подбирающих
"подходящий" пароль, с которым хорошо осведомлен-
ный несанкционированный пользователь может плани-
ровать получить персональную информацию о пользо-
вателе. Другие системы UNIX, однако позволяют
пользователям выбирать свои пароли. Если этот па-
раметр имеет значение "Да", то это влечет задейс-
твование правил совместимых с менее защищенными