Ve vydání Fedora 40 bylo navrženo zahrnout izolační nastavení pro systémové služby systemd, které jsou ve výchozím nastavení povoleny, a také pro služby s důležitými aplikacemi, jako jsou PostgreSQL, Apache httpd, Nginx a MariaDB. Předpokládá se, že tato změna výrazně zvýší zabezpečení distribuce v základním nastavení a umožní blokovat neznámé zranitelnosti v systémových službách. Návrh zatím nebyl projednán výborem FESCo (Fedora Engineering Steering Committee), který je odpovědný za technickou část vývoje distribuce Fedora. Návrh může být také zamítnut v procesu posuzování komunitou.
Doporučená nastavení pro zahrnutí:
- PrivateTmp=yes — poskytnutí samostatných adresářů pro dočasné soubory.
- ProtectSystem=yes/full/strict — připojení FS v režimu pouze pro čtení (režim „full“ — /etc/, v režimu strict — všechny FS kromě /dev/, /proc/ a /sys/).
- ProtectHome=yes — zákaz přístupu k domovským adresářům uživatelů.
- PrivateDevices=yes — ponechání přístupu pouze k /dev/null, /dev/zero a /dev/random.
- ProtectKernelTunables=yes — přístup pouze pro čtení k /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq atd.
- ProtectKernelModules=yes — zákaz načítání modulů jádra.
- ProtectKernelLogs=yes — zákaz přístupu k jádrovým logům.
- ProtectControlGroups=yes — přístup pouze pro čtení k /sys/fs/cgroup/
- NoNewPrivileges=yes — zákaz zvyšování privilegovanosti prostřednictvím flagů setuid, setgid a capabilities.
- PrivateNetwork=yes — umístění do samostatného prostoru jmenného zásobníku síťového zásobníku.
- ProtectClock=yes — zákaz změny času.
- ProtectHostname=yes — zákaz změny názvu hostitele.
- ProtectProc=invisible — skrývání cizích procesů v /proc.
- User= — změna uživatele.
Dále se může zvažovat zahrnutí následujících nastavení:
- CapabilityBoundingSet=
- DevicePolicy=closed
- KeyringMode=private
- LockPersonality=yes
- MemoryDenyWriteExecute=yes
- PrivateUsers=yes
- RemoveIPC=yes
- RestrictAddressFamilies=
- RestrictNamespaces=yes
- RestrictRealtime=yes
- RestrictSUIDSGID=yes
- SystemCallFilter=
- SystemCallArchitectures=native
Zdroj: opennet.ru
