В изданието Fedora 40 се предлага включването на настройки за изолация на включените по подразбиране системни услуги на systemd, както и услуги с важни приложения, като PostgreSQL, Apache httpd, Nginx и MariaDB. Предполага се, че промяната ще позволи значително да се увеличи защитата на дистрибуцията по подразбиране и ще даде възможност за блокиране на неизвестни уязвимости в системните услуги. Предложението все още не е разгледано от комисията FESCo (Fedora Engineering Steering Committee), която отговаря за техническата част на разработката на дистрибуцията Fedora. Предложението може също да бъде отхвърлено по време на рецензия от общността.
Препоръчителни настройки за включване:
- PrivateTmp=yes — предоставяне на отделни директории за времеви файлове.
- ProtectSystem=yes/full/strict — монтиране на файловата система в режим само за четене (в режим „full“ — /etc/, в режим strict — всички файлови системи, с изключение на /dev/, /proc/ и /sys/).
- ProtectHome=yes — забрана за достъп до домашните директории на потребителите.
- PrivateDevices=yes — оставяне на достъп само до /dev/null, /dev/zero и /dev/random.
- ProtectKernelTunables=yes — достъп само в режим на четене до /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq и т.н.
- ProtectKernelModules=yes — забрана за зареждане на модули на ядрото.
- ProtectKernelLogs=yes — забрана за достъп до буфера с логовете на ядрото.
- ProtectControlGroups=yes — достъп само в режим на четене до /sys/fs/cgroup/
- NoNewPrivileges=yes — забрана за повишаване на привилегиите чрез флагове setuid, setgid и capabilities.
- PrivateNetwork=yes — поставяне в отделно пространство с имена на мрежовия стек.
- ProtectClock=yes — забрана за промяна на времето.
- ProtectHostname=yes — забрана за промяна на името на хоста.
- ProtectProc=invisible — скриване на чужди процеси в /proc.
- User= — смяна на потребител.
Допълнително могат да бъдат разгледани настройки за включване:
- CapabilityBoundingSet=
- DevicePolicy=closed
- KeyringMode=private
- LockPersonality=yes
- MemoryDenyWriteExecute=yes
- PrivateUsers=yes
- RemoveIPC=yes
- RestrictAddressFamilies=
- RestrictNamespaces=yes
- RestrictRealtime=yes
- RestrictSUIDSGID=yes
- SystemCallFilter=
- SystemCallArchitectures=native
Източник: opennet.ru
