Ce serveur SSH (Secure Shell) sécurise les fonctions de transfert de fichier et les services d’administration à distance des serveurs UNIX. Reflection for Secure IT intègre en effet une gamme complète de clients et serveurs SSH pour Windows et UNIX – spécifiquement conçus pour protéger les données en circulation. Les fonctionnalités de cryptage, d’authentification et de journalisation de Reflection for Secure IT offrent une sécurité optimale pour transférer des fichiers, administrer des serveurs à distance ou accéder aux applications centrales à travers des connexions cryptées. Autant d’outils particulièrement précieux pour se conformer à des réglementations de sécurité toujours plus exigeantes.
Remarque : Reflection for Secure IT UNIX Server intègre une licence unique de Reflection for Secure IT UNIX Client.
FONCTIONNALITES DE LA VERSION 7.1
- Support étendu des environnements PKI et réduction de la complexité d’administration grâce à la centralisation des fonctions de gestion des certificats.
- Fonctions étendues de transfert de fichier sécurisé : Smart Copy, support du moindre privilège utilisateur, réutilisation des scripts FTP, supervision des détails des activités de transfert de fichier – avec types additionnels d’événements pour la journalisation des transferts.
- Support additionnel des répertoires d’utilisateurs LDAP bénéficiant de configurations centralisées pour les paramètres « shell » et la création du répertoire « home ».
- Prise en charge de nouvelles plates-formes : AIX 6.1 on POWER, Red Hat Enterprise Linux 5 sur Itanium et Red Hat Enterprise Linux 4 sur zLinux.
- Fonctions étendues d’installation sous Solaris et Linux (avec personnalisation de l’emplacement cible).
- Mise à jour du module cryptographique certifié FIPS 140-2 avec de nouveaux algorithmes renforcés de cryptage.
- Support de TCP Wrappers pour compléter les contrôles d’accès.
Specifications Techniques
Sécurisation des transferts de fichiers
- SCP
- SFTP
- FTP sur SSH
- Support chroot
- Transferts de fichiers sans surveillance
- Reprise des transferts SFTP et SCP après interruption du téléchargement
- SFTP Smart Copy pour éliminer les copies redondantes de fichiers source/cible identiques
Personnalisation de contrôle d’accès à forte granularité (sous-configurations)
- Droits assignables :
- Accès terminal Shell
- Exécution requêtes
- Accès transfert de fichiers
- Activités SFTP (Parcourir, Télécharger, Effacer, Renommer)
- Assignables :
- Globalement
- Par groupe
- Par utilisateur
- Par système client (par adresse IPou nom de domaine)
Protocoles de sécurité
- SSH2 (IETF SecSh Internet drafts et RFC 4250–4254, 4256, 4462, 4345 et 4716)
Validation cryptographique de librairie
- FIPS 140-2 Level 1 (certificat n°1027)
Algorithmes
- Modules de chiffrage :
- AES (128, 192 et 256 bits CBC)
- AES (128, 192 et 256 bits CTR)
- 3DES (clé 3 56 bits EDE)
- Blowfish (128 bits)
- CAST (128 bits)
- Arcfour (128 et 256 bits)
- MAC :
- HMAC-MD5
- HMAC-SHA1, HMAC-SHA256
- HMAC-SHA512
- RIPEMD
- Échange de clés :
- RSA
- DSA
- Diffie-Hellman
- GSS-API key exchange
Authentification
- Mots de passe :
- Mots de passe traditionnels
- Interaction clavier :
- Mots de passe traditionnels
- PAM (Pluggable Authentication Module)
- RSA SecurID (via PAM)
- RADIUS
- Clés utilisateur SSH :
- Clés utilisateur RSA et DSA
- Retransmission d’agent
- Kerberos :
- Authentification utilisateur (gssapi-with-mic) et site (gssapi-keyex)
- PKI via Reflection PKI Services Manage) :
- Configuration et administration centralisées des fonctions PKI sur de multiples serveurs Reflection for Secure IT Windows et UNIX
- Module de service indépendant pris en charge sur la plupart des plates-formes supportées par le serveur Reflection for Secure IT Windows et UNIX
- FIPS 140-2 Level 1 – Validé pour la plupart des plates-formes supportées (certificat n°1048)
- RFC 2253, 2560 et 3280
- Certificats X.509 pour authentification client et serveur (X.509 versions 1-3)
- Version 2 X.509 CRL
- Vérifications de révocation OCSP
- Support des certificats LDAP et HTTP et des référentiels CRL
- Support des extensions de certificats
• CDP
• IDP
• AIA
• Contraintes politiques
• Contraintes élémentaires
• Contraintes dénommées
• Utilisation étendue des clés
- Configuration personnalisable ou sur la base des ancrages de confiance
- Personnalisation intégrale de la correspondance entre noms de comptes et certificats SSH
- LDAP :
- Accès répertoire aux configurations shell utilisateur
- Support du module PAM mkhomedir pour création automatique du répertoire d’accueil utilisateur LDAP
- Autres :
- Limite de session pré-authentifiée paramétrable
Tunnelisation
- Locale
- Distante
- Protocole FTP
- Protocole X11
Comptabilisation
- Journalisation des événements de connexion pour toutes les méthodes d’authentification
- Capture des événements détaillés de transfert de fichier (téléchargements et listings de répertoires)
- Notification du nombre maximum de tentatives de mot de passe
- Support des outils d’audit et de sécurité HP-UX SAM
- Support du mode de « moindre privilège » de Sun Solaris
Systèmes d’exploitation
- HP-UX 11i v1 (PA-RISC)
- HP-UX 11i v2 (PA-RISC)
- HP-UX 11i v2 (Itanium)
- HP-UX 11i v3 (Itanium)
- IBM AIX 5.2 (POWER)
- IBM AIX 5.3 (POWER)
- IBM AIX 6.1 (POWER)
- Red Hat Enterprise Linux 4 (Itanium)*
- Red Hat Enterprise Linux 4 (x86)*
- Red Hat Enterprise Linux 4 (x86-64)*
- Red Hat Enterprise Linux 5 (Itanium)*
- Red Hat Enterprise Linux 5 (x86)*
- Red Hat Enterprise Linux 5 (x86-64)*
- Sun Solaris 8 (SPARC)*
- Sun Solaris 9 (SPARC)*
- Sun Solaris 10 (SPARC)*
- Sun Solaris 10 (x86)*
- Sun Solaris 10 (x86-64)*
- SUSE Linux Enterprise Server 9 (Itanium)*
- SUSE Linux Enterprise Server 9 (x86)*
- SUSE Linux Enterprise Server 9 (x86-64)*
- SUSE Linux Enterprise Server 10 (x86)*
- SUSE Linux Enterprise Server 10 (x86-64)*
- zLinux – Red Hat Enterprise Linux 4 (64-bits)*
- zLinux – SUSE Linux Enterprise Server 9 (32-bits)*
* Répertoire d’installation paramétrable pour plates-formes Solaris et Linux
Système requis
- Tout système conforme aux exigences minimales des systèmes d’exploitation UNIX/Linux
- Carte d’interface réseau
- Bibliothèque libunwind requise pour tous les systèmes Itanium (HP-UX, Red Hat Enterprise Linux et SUSE Linux Enterprise Server)
- Sous HP-UX 11i v1 sur PA-RISC, les correctifs suivants (ou leurs successeurs) sont requis :
- PHCO_28605 s700_800 11.11 libnss_files cumulative patch
- PHCO_31923 s700_800 11.11 libc cumulative header file patch
- PHCO_34275 s700_800 11.11 libc cumulative patch
- PHKL_34805 s700_800 11.11 JFS3.3 patch; mmap
- PHSS_33033 s700_800 11.11 ld(1) and linker tools cumulative patch
- IBM AIX 5.3 Maintenance Level 5300-5
- Sun Solaris UltraSPARC CPU
Le couplage du client et du serveur SSH constitue un tunnel sécurisé à travers lequel circulent toutes les communications.