11i:应用程序升级使我做到了

对Oracle应用产品实施进行安全评估有时会涉及一些侦探工作。 在评估过程中,我们遇到了许多11.5.10 CU2实现,其中"登录密码难以猜测"个人资料选项设置为“否”,而不是强烈建议的“是”。 每次客户声称曾经将其设置为“是”,并且仔细分析后发现,大多数密码都与复杂性规则相匹配-因此,很可能已将其设置为“是”。

稍加挖掘后,罪魁祸首就是CU2维护包。 第1节“预更新任务”中的第24步(共24步)如下-

22.更改密码策略控制(有条件的)
如果存在配置文件选项SIGNON_PASSWORD_HARD_TO_GUESS,且其值为Y,请将其设置为N。完成这些说明的第2部分后,可以将该值恢复为Y。

不幸的是,第3节中没有步骤来确保将配置文件选项设置回Yes。

保护Oracle应用产品安全是一项永无止境的任务。 在每次重大升级,迷你包装和RUP之后,您需要重新评估环境,以确定是否有无意间打开了安全漏洞。

 Share this post