работающем терминале, другой ничего не
подозревающий пользователь, может подумать,
что терминал свободен и попытается
зарегистрироваться в системе. Поддельная
программа фиксирует userid и пароль и
завершает сеанс. Завершение сеанса
вызывает новую подсказку входа в систему (из
"реальной" программы входа в систему).
Пользователь думает, что он ошибся при
вводе своего имени или пароля и вторично
повторяет процедуру входа в систему.
Опытные или немного параноидальные
пользователи обычно сразу же в таких
ситуациях меняют свой пароль. Это -
классический тип нападения на UNIX, который
может быть эффективным даже на современных
системах UNIX.
ОС AIX обеспечивает защиту
против таких нападений с помощью SAK и
доверенного пути для входа в систему. Этот
процесс не автоматический. Администратор
должен запустить SAK-процесс для
пользователей и для портов.
SAK имеет две
цели:
1. Если пользователь не
зарегистрирован в системе гарантируется
путь входа в систе-му. Если tpath определен для
пользователя, то SAK соединит его с
доверенной оболочкой (tsh), в ином случае для
пользователя запускается обычная оболочка.
2. Если пользователь уже зарегистрирован в
системе, SAK завершит все программы, которые
запущены пользователем и если tpath определен
для него, запустит доверенную оболочку; в
ином случае для пользователя запускается
обычная оболочка.
Когда пользователь
вводит доверенный путь, разрешения для его
порта изменяются (автоматически,
управляемым sak-процессом) на восьмеричное
разрешение 600 (вместо разрешения 622, обычно
связанного с соединенным портом).
Чтобы
использовать для портов SAK, вставляется
строка методом прямого редактирования (с
помощью SMIT не устанавливается) sak_enable=true в
файле /etc/security/login.cfg. Этот параметр может
быть установлен в заданной по умолчанию
строфе (относится ко всем портам), или
установлен в строфах для каждого порта.
SAK
вызывается с терминала нажатием комбинации
клавиш Ctrl-x Ctrl-r.
Если порт - основной
графический терминал для запуска SAK,
необходимо добавить две дополнительные
строки в файл /etc/security/login.cfg:
/dev/console:
synonym = /dev/lft0
Для допуска пользователей к доверенному
пути и доверенной оболочке, устанавливается
параметр tpath в соответствующей станзе файла
/etc/security/user. Для индивидуальных
пользователей это может быть установлено
используя SMIT.
Параметр может принимать одно
из следующих значений:
1. tpath=nosak. Это -
значение по умолчанию и означает, что
доверенный путь не доступен для этого
пользователя. SAK игнорируется, если этот
пользователь уже зарегистрирован в
системе. SAK перед входом в систему запустит
обычную оболочку пользователя.
2. tpath=on. Это
допускает факультативное использование SAK
и доверенного пути для этого пользователя.
SAK после входа в систему запустит
доверенную оболочку.
3. tpath=always. Это
разрешает пользователю регистрироваться в
системе только через доверенный путь (произведенный
с SAK) и ограничивает пользователя только
доверенной оболочкой. Если вы тщательно не
оценили сначала эти ограничения, не рекомендуется
использовать это значение.
4. tpath=notsh. Это
значение, если введен SAK, в то время как
пользователь регистрируется в системе,
вынудит к непосредственному выходу из
системы.
Доверенная оболочка, tsh, выполняет
только те программы, которые имеют TCB-бит,
связанный с их разрешениями. Она не
разрешает изменять текущий путь, и имеет
очень ограниченный набор команд оболочки и
переменных.
SAK и доверенная оболочка, вместе,
обеспечивают полезную функцию для администратора
в явно опасной среде (типа университета),
для необычно критической установки или
прикладной программы, или для явно
параноидального пользователя.
Доверенная
оболочка обычно не применяется для "нормальных"
пользователей, так как она имеет очень
ограниченные функции.
Отдельно, SAK
используется для защиты от нападения "Троянский
конь" при входе в систему. Пользователям
сообщается о возможности доверенного входа
в систему и объясняется, что для того, чтобы
войти в систему они должны:
1. При
приглашении входа в систему, нажать Ctrl-x Ctrl-r
(SAK-последовательность). Должно появиться
новое приглашение входа в систему (ниже
первого приглашения). Это - сигнал, что SAK был
эффективен. Если ниже не появляется новое
приглашение входа в систему, то SAK не
сработал, и безопасный путь не установлен.
2.
Зарегистрироваться как обычно.
3. Если
появляется обычная подсказка оболочки,
продолжать как обычно.
4. Если появляется
подсказка доверенной оболочки tsh, введите
команду sh. Инициализируется сеанс
пользователя с обычной оболочкой.
Рекомендации для аудита
Осуществлять аудит
(ревизию) не рекомендуется при обычном
функционировании системы. Но рекомендуется,
чтобы каждый администратор системы знал,
как использовать подсистему аудита. В
частности необходимо знать, как запускать,
останавливать, и просматривать основную
контрольную информацию.
Администратор
будет нуждаться в этих функциях, если он
подозревает, что его система атакована. Вы
можете добавлять имена файлов к списку
контрольных объектов. Вы можете остановиться
на наборе критических файлов и добавить их
к контрольному списку объектов.
Предварительно подготовить
соответствующий список объектов лучше
ранее, чем возникнет критическая ситуация.
Для критического сервера эти рекомендации
не подходят. Для такого сервера необходимо
определить минимальный набор контрольных
событий и объектов, и всегда выполнять с
активный аудит.
Ограничения аудита
1.
Пользователи системной группы могут читать,
редактировать и/или удалять контрольные
события.
2. Определено много контрольных
событий, но генерация события зависит от
выполнения определенной для этого события
программы. Например, команда mkuser генерирует
контрольное событие. Однако, возможно
создать нового пользователя без использования
команды mkuser.
3. На многих серверах
используются такие программы, как, например,
программы базы данных (например, DB2) или
интерактивные мониторы диалоговой
обработки запросов (типа CICS). Эти программы
имеют собственные средства безопасности и
аудита и не всегда хорошо взаимодействуют с
контрольной подсистемой операционной
системы.
Например, мониторы базы данных
открывают свои файлы, и осуществляют весь
доступ к ним через себя. Контрольная
подсистема "не знает", какие
пользователи работают с файлами базы
данных. Подсистема контроля видит только
монитор базы данных, обращающийся к своим
файлам.
Эти ограничения не умаляют роли и
необходимости подсистемы аудита. Она может
быть очень эффективной, особенно при
использовании в коммерческих системах.
Можно порекомендовать два стиля
использования подсистемы аудита:
1.
Контролировать специфические события и
объекты написав локальную программу (или
сценарий оболочки) сообщающую
администратору о наступлении контрольного
события.
2. Записывать много событий и
объектов доступа для использования в "послефактическом"
исследовании проблем. Такая процедура
подразумевает накопление и управление
значительными количествами данных и
требует планирования и приложения усилий
для управления этими данными.
Восстановление root userid
Если не доступен userid
пользователя root, вы имеете серьезную
проблему. Наиболее общим случаем такой
проблемы является администратор, который
забыл пароль root. Также бывает так, что новые
администраторы системы, при
экспериментировании с различными опциями
защиты, могут делать систему настолько
безопасной, что никто не может использовать
её.
Для восстановления root userid необходимо
сделать следующее:
1. Найти вашу
установочную системную ленту (или CD-ROM).
2.
Если это возможно, дать команду shutdown -F (только
root может использовать эту команду).
3.
Вставить ленту в стример, установите ключ в
позицию SERVICE (для классической системы), и
затем нажмите желтую кнопку сброса.
4.
Нажать F1.
5. Выбрать из отображаемого меню
режим "System Maintenance".
6. Выбрать "Access a Root
Volume Group".
7. Выбрать "Continue".
8. Выбрать
"Access the Volume Group and start a shell".
Вы получите
доступ ко всем системным файлам с
полномочиями пользователя root.
9. Используя
SMIT или другие команды восстановите вашу
систему.
11. Выполнить дважды команду sync для
обновления информации на диске.
12.
Выполнить команду shutdown -F.
13. Вернуть ключ в
позицию NORMAL.
14. Перезагрузить систему (не
забудьте вынуть ленту). Не забудьте задать
пароль пользователю root.
Пожалуйста
обратите внимание, что этот метод "вторжения"
в систему требует (1) физического доступа к RS/6000,
и (2) "ленты начальной загрузки" (или CD-ROM),
которая поставляется с программным
обеспечением AIX.
Другие темы
Эта глава
кратко обсуждает несколько тем, связанные
защитой системы AIX, которые не упомянуты в
другом месте.
Firewall
"Firewall" является
системой, которая защищает вашу сеть из
нежелательных взаимодействий с внешней
сетью. Наиболее типичное использование
такой системы - это соединение вашей сети с
Internet. Программное обеспечение для создания
firewall доступно из нескольких источников,
включая "свободные" анонимные FTP
серверы.
Наиболее общим подходом является
создание "оболочки", которая прерывает
программы, выполненные через inetd.
X Window
Полное обсуждение защиты для X Window - сложная
тема и находится вне контекста этой книги.
Нижеследующая информация может помочь с
базовым планированием защиты для X Window.
Терминология для X Window
Сервер - модуль с
дисплеем; это - сервер дисплея. Клиент -
система с вычислительной программой,
которая посылает вывод (или читает ввод)
сервера. Базисная защита начинается с
сервера дисплея. Управляет этим то, какие
системы клиента могут использовать сервер
дисплея.
Имеются два метода для защиты
сервера дисплея:
1. Может использоваться
команда xhost, чтобы добавлять или удалить
системы из списка разрешенных систем
клиентов. Эта команда, в действительности,
делает временный список (который не
переживет перезагрузку).
2. Вы можете
создавать файлы, под именами /etc/Xn.hosts, где n 0,
1, 2, ... (номер логического дисплея)
содержащий списки систем клиентов,
разрешенных, чтобы соединиться с этим
сервером дисплея. Вы можете найти и
управлять файлами /etc/X?.hosts на вашей системе.
К сожалению, не так легко находить сценарии
пользователя с командами xhost,
уполномачивающими различные соединения
клиентских систем с XWindow сервером на вашей
системе. Некоторые пользователи формируют
свои сценарии оболочки, содержащие команды
xhost для каждого клиента, который они могли
бы когда-либо использовать, и это - конечно
дефект.
Фундаментальная проблема с защитой
XWindow состоит в том, что, как только сервер
разрешает системе клиента соединиться с
ним, любая программа, протекающая в этом
клиенте может обращаться к серверу дисплея.
Документирование установок и политики
безопасности
1. Определите различные типы
пользователей и данные, к которым они
должны иметь доступ.
2. Организуйте группы в
зависимости от работы, которую
пользователи должны выполнять.
3.
Организуйте доступ к данным в соответствии
со структурой групп.
4. Установите SVTX для
разделяемых директорий.
5. Помните, что UNIX и
AIX, в частности, не имеет концепции владения
приложениями.
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
Управление пользователями
Счета
Пользователя
Управление счетами
пользователя - наиболее стандартная
функция администратора системы.
"Традиционная"
система UNIX для добавления или удаления
пользователя требует, чтобы администратор
редактировал несколько файлов (типа /etc/passwd
и /etc/group). Более поздние поколения UNIX
обеспечивают команды (или сценарии
оболочки), типа mkuser, для общих действий
управления пользователями.
AIX, и некоторые
другие современные версии UNIX, обеспечивает
инструментальные средства с более высоким
уровнем управления пользователями.
Инструмент AIX - SMIT.
Возможно выполнять
управление пользователями в AIX, редактируя
различные файлы, или используя mkuser и
подобные этой команды. Однако, настоятельно
рекомендуется использовать SMIT.
Управление
пользователями включает в себя
использование теневых файлов (для лучшей
защиты), различные квоты пользователей (для
лучшего управления ресурсами), ограничения
входа в систему (для лучшей защиты),
критерии пароля (для лучших паролей) и т.д.
Для управления пользователями в AIX имеется
больше административных файлов, которые
должны модифицироваться, с взаимно
непротиворечивыми параметрами, чем в
традиционных системах UNIX.
Использование SMIT
упрощает и намного снижает вероятность
ошибки в этом деле, в отличие прямого
редактирования всех этих файлов или
использования команд низшего уровня.
Используйте SMIT!
Вы будете иногда
сталкиваться с утверждениями о том, что "реальные
гуру UNIX" всегда управляют системами
редактируя базисные файлы (типа /etc/passwd). Это
утверждение было верно несколько лет назад.
Это не верно сегодня.
Обратите внимание: Эта
глава игнорирует эффект использования NIS.
Нижеследующее обсуждение относится к
администрированию, которое выполняется
непосредственно на системе.
Процесс
инициализации пользователя
Когда
пользователь входит в систему система
устанавливает для него окружение используя
информацию из трех файлов:
/etc/profile
командный сценарий оболочки, который
контролирует общесистемные переменные по
умолчанию. Например, TERM, MAILMSG, MAIL.
/etc/environment
В этом файле определяется базовое
окружение для всех процессов. Для примера:
HOME, LANG, TZ, NLSPATH.
$HOME/.profile Собственный профиль
пользователя в его директории.
Пользователь лично может указать свои
собственные предпочтения отменяя команды и
значения переменных заданных в файле /etc/profile.
Порядок входа в систему
| процесс getty | стартуется процессом initпараметры портов в ODM | |
| login | Файл /etc/security/login.cfg | |
| Пользователь вводит свое имя входа | ||
| Пользователь вводит свой пароль | ||
| Проверка имени и пароля пользователя | Файлы /etc/password и/etc/security/password | В случае ошибки делается запись в файл /etc/security/failedlogin |
| Установка окружения | Файлы /etc/security/environ,/etc/security/limits, /etc/security/user | |
| Сообщение дня | Файл /etc/motd | Если в директории пользователя существует файл $HOME/.hushlogin то сообщение дня ему не показывается |
| shell | Запуск оболочки | |
| Установка окружения пользователя | Файлы /etc/environment, /etc/profile и $HOME/.profile |
Когда пользователь выходит из системы
оболочка прекращает работу и процесс init
создает новый процесс getty для данного порта.
Параметры Пользователя в SMIT
Нижеследующее
меню SMIT используется для добавления или
изменения областей определения
пользователя. Подмножества этих тех же
самых единиц меню произведены другими меню
SMIT. Ознакомьтесь с системными значениями по
умолчанию перед решением, как использовать
элементы в нижеследующем меню.
smit
Security and Users
Users
ADD a User
1 * User NAME [alex]
2 User ID [ ]
3 ADMINISTRATIVE User? false
4 Primary GROUP [staff]
5 Group SET [staff]
6 ADMINISTRATIVE GROUPS []
7 Another user can SU TO USER true
8 SU GROUPS [ALL]
9 HOME Directory [/usr/guest]
10 Initial PROGRAM []
11 User INFORMATION []
12 EXPIRATION date (MMDDhhmmyy) 0
13 Is this user ACCOUNT LOCKED? false
14 User can LOGIN? true
15 User can LOGIN REMOTELY? true
16 Allowed LOGIN TIMES
17 Number of FAILED LOGINS before [0] user account is locked
18 Login AUTHENTICATION GRAMMAR [compat]
19 Valid TTYs [ALL]
20 Days WARN USER before pw expires [0]
21 Password CHECK METHODS []
22 Password DICTIONARY FILES []
23 Number of PASSWORDS before reuse [0]
24 WEEKS before password reuse [0]
25 Weeks between pw expire & lockout[-1]
26 Password MAX. AGE [0]
27 Password MIN. AGE [0]
28 Password MIN. ALPHA characters [0]
29 Password MIN. OTHER characters [0]
30 Password MAX. REPEATED chars [0]
31 Password MIN. DIFFERENT chars [0]
32 Password REGISTRY []
33 MAX FILE Size [2097151]
34 MAX CPU Time [-1]
35 MAX DATA Segment [262144]
36 MAX STACK Size [65536]
37 MAX CORE File Size [2048]
38 File creation UMASK [22]
39 AUDIT classes []
40 Trusted path? nosak
41 PRIMARY Authentication Method [SYSTEM]
42 SECONDARY Authentication [NONE]
Номера строк (цифры с 1 до
42) не показываются на экране, но помогают
нижеследующему обсуждению. Некоторые из
этих опций важны для защиты и должны быть
поняты администратором.
Введите userid (строка
1, User NAME) для нового пользователя. Userid должен
быть уникален на данной системе.
Идентификатор пользователя (строка 2) - UID.
Процесс SMIT автоматически назначит
следующий UID; без явной необходимости
администратор не должен отменить
предложенное значение этого поля. Оставьте
значение этого поля пустым.
Административные поля (строки 3 и 6) описаны
позже. Оставьте эти поля неизменяемыми (то
есть "false" и пробел) для обычных
пользователей.
Пользователь может поле
входа в систему (строка 14) определяет, может
ли этот пользователь входить в систему
непосредственно (косвенный вход в систему
частично управляется строками 7,8 и 15).
Обычному пользователю нужно позволять
регистрироваться в системе. Стандартные
счета системы, типа bin, являются
специальными случаями, которым не нужно
разрешать никакого входа в систему. Другой
специальный случай - пользователь root,
который обсужден позже. Этот параметр
устанавливает флажок в станзе файла /etc/security/user
в отношении этого пользователя. Это не
устанавливает звездочку в поле пароля в /etc/passwd,
чтобы запретить вход в систему.
ГРУППЫ SU (строка
8), SU ПОЛЬЗОВАТЕЛЮ (строка 7), и ВХОД В СИСТЕМУ
ДИСТАНЦИОННО (строка 15) средствами
управления могут использоваться, чтобы
ограничить доступ к этому счету.
Показываются нормальные (и значение по
умолчанию) значения. Эти значения по
умолчанию разрешают доступ к счету
несколькими способами.
SU ПОЛЬЗОВАТЕЛЮ
определяет, может ли любой другой
пользователь использовать этот счет,
используя команду su. Только root может su к
счету, если этот флажок установлен в false.
Если SU ПОЛЬЗОВАТЕЛЮ установлен в true, поле
ГРУППЫ SU обеспечивает некоторый контроль
над тем, какие пользователи могут su к этому
счету. Только членам групп пользователей,
перечисленных в этом поле разрешено su к
этому счету. Это поле не эффективно для root,
так как root может su к счету независимо от
ограничений группы. Значение по умолчанию
all - ключевое слово, означающее все группы (знак
восклицания, предшествующий группе служит
символом отрицания, то есть членов
именованной группы не разрешено su к этому
userid.)
Поле ВХОДА В СИСТЕМУ ДИСТАНЦИОННО
управляет доступом через rlogin и telnet средства
TCP/IP. Если значение установлено в true (значение
по умолчанию), любой может регистрировать
под этим счетом, используются telnet, если он
знает пароль счета. Этот параметр не
управляет доступом через функцию ftp TCP/IP.
НАЧАЛЬНАЯ ПРОГРАММА (строка 10) - имя (с
полным путем) программы, которой будет дано
управление, когда этот пользователь
зарегистрируется в системе. Это - обычно имя
оболочки, типа /usr/ksh. Если это поле пусто (нормальный
случай), начальное имя программы берется из
файла /etc/security/mkuser.default.
В поле ДАТА ОКОНЧАНИЯ
(строка 12) обычно ставят значение 0 (означающий
никакую дату окончания). Формат даты
показывается в меню. Типичным значением
могло бы быть число "0330000099" (MMDDhhmmyy).
Этот параметр полезен для временных счетов,
типа счетов для посетителей или
подрядчиков. Счет будет заблокирован после
определенной даты.
Поле БЛОКИРОВКА СЧЕТА (строка
13) обычно установлено в false, и может использоваться
как средство управления, чтобы отключить
userid. (Это не будет вынуждать пользователя
выйти из системы, если он в настоящее время
зарегистрирован в ней.)
Вы можете
ограничивать время регистрации
пользователя определенными часами,
используя ВРЕМЯ ВХОДА В СИСТЕМУ (строка 16).
Имеются несколько форматов для этого
параметра, и они объяснены в комментариях
для файла /etc/security/user (см.Файл /etc/security/user). Это
время относится только к допустимому
времени регистрации в системе и не
относится к допустимому времени работы в
системе.
ДОПУСТИМЫЕ TTYs (строка 19) определяет
терминалы, которые этот счет может
использовать (эта строка не управляет
псевдо-терминалами, какие используется telnet
и другими удаленными соединениями). Полные
имена пути терминалов должны быть заданы
явно, например /dev/tty1. Символ "!" перед
именем терминала означает, что терминал не
может использоваться. Ключевое слово ALL
означает, что могут использоваться все
терминалы. Способность ограничивать
конкретных пользователей конкретными
терминалами может быть сильным
инструментом защиты, но должна
использоваться с осторожностью. Например,
пользователь root мог бы быть ограничен
локальным пультом, хотя это может стать
проблемой в случае аппаратной проблемы.
Параметр WARN USER (строка 20) заставляет выдать
предупреждающее сообщение при регистрации
пользователя в системе, если его пароль
должен в скором времени истечь.
Рекомендуется использовать этот параметр,
если предписано изменение пароля (строка 25).
Пользователь нуждается в некотором времени,
чтобы выдумать новый хороший пароль.
Поле
ОПОЗНАВАТЕЛЬНАЯ ГРАММАТИКА (строка 18)
должен быть оставлен со значением по
умолчанию "compat". Это поле будет
использоваться с будущими расширениями
для распределенных систем.
Различные
средства управления паролем (строки 21 - 31)
обсуждены позже. Предлагается, чтобы вы
оставили эти линии неизменными. Не введите
что-нибудь в поле РЕГИСТРАЦИИ ПАРОЛЯ (строка
32). Это поле введено для будущего
использования с DCE или другими удаленными
функциями регистрации.
Ограничения
процесса (строки с 33 по 37) обеспечивают
некоторую защиту против программ выходящих
из-под контроля.
Максимальный размер ФАЙЛА (строка
33) оп-ределяет верхний ограничение для
параметра ulimit. Ulimit - максимальный размер (в
модулях 512 байтов) файла, созданного этим
пользователем. Пользователь может изменять
значение с командой ulimit, но не может
превышать набор значений в поле, указанное
администратором в SMIT. Минимальное значение,
предлагаемое SMIT - 8192. Обратите внимание, что
этот максимальный размер файла - для одного
файла; это значение не ограничивает общее
количество дискового пространства,
использованного этим пользователем.
Параметр ВРЕМЯ ЦЕНТРАЛЬНОГО ПРОЦЕССОРА (строка
34) ограничивает максимальную
продолжительность течения любой одиночной
программы. Значение указывается в секундах.
Когда процесс превышает это ограничение
времени, он прерывается AIX. Пользователь
видит сообщение об ошибке и новую подсказку
оболочки.
UMASK (строка 38) - значение по
умолчанию переменной umask для пользователя.
Пользователь может изменить это значение
во время одиночного сеанса командой umask.
Не
измените строки 39-42 (КЛАССЫ АУДИТА,
ДОВЕРЕННЫЙ ПУТЬ, ПЕРВИЧНЫЙ МЕТОД
АУТЕНТИФИКАЦИИ, ВТОРИЧНАЯ АУТЕНТИФИКАЦИЯ)
если вы не имеете специфических требований.
В результате определения нового
пользователя (используя панель SMIT,
показанную выше) будут внесены следующие
добавления к следующим файлам:
1. Файл /etc/passwd
будет содержать новую строку, определяющую
пользователя.
2. Файл /etc/security/passwd будет
содержать новую станзу для шифрованного
пароля пользователя и нескольких флажков.
3.
Файл /etc/security/user будет содержать новую
станзу, содержащую некоторые из ограничений
пользователя.
4. Файл /etc/group будет изменен,
чтобы добавить нового пользователя в одну
или большее количество групп.
5. Файл /etc/security/limits
будет содержать новую станзу, содержащую
некоторые из относящихся к окружению
ограничений пользователя.
6. Файл /etc/security/.ids
будет модифицирован, чтобы содержать
следующий доступный UID.
7. Директория /home
будет содержать новую директорию, которая
является исходной директорией для нового
пользователя.
Системные значения по
умолчанию
Многие из полей меню,
перечисленных выше могли бы быть лучше
всего установлены как значения по
умолчанию для всех пользователей, вместо
индивидуальных значений каждого
пользователя. Например, вы могли бы хотеть
установить максимальный возраст пароля (строка
26) для всех пользователей.
Большинство
параметров пользователя хранится в файле /etc/security/user.
В нем имеется станза для каждого
определяемого пользователя в системе и
станза для значений по умолчанию. Как root,
администратор может редактировать
заданную по умолчанию станзу (используя vi
или другой ваш любимый редактор) и изменить
значения по умолчанию.
Изменения вступают в
силу немедленно при следующей регистрации
пользователей в системе, если, конечно,
конкретный пользователь не имеет значения
отмены в его станзе. Также, параметры в
заданной по умолчанию станзе появятся как
значения по умолчанию при добавлении
нового пользователя с помощью SMIT.
Из 42 строк
меню, отображаемых SMIT при добавлении или
изменении параметров пользователя, 30 строк
хранятся в файле /etc/security/user.
Файл /etc/security/limits
организован таким же образом, и значения по
умолчанию для шести ограничений
пользователя (максимальный размер файла и т.д)
могут быть установлены в этом файле.
Преимущества установки значений по
умолчанию вместо многих индивидуальных значений
пользователя очевидны. Значения по
умолчанию могут быть изменены легко.
Индивидуальные же значения пользователя
должны быть четко определены, если только
они должны быть отличными от значений по
умолчанию.
Файлы /etc/security/user и /etc/security/limits
используются всякий раз, когда
пользователь регистрируется в системе; на