I udgaven af Fedora 40 foreslås det at inkludere isolationsindstillinger for som standard aktiverede systemd-tjenester samt tjenester med vigtige applikationer som PostgreSQL, Apache httpd, Nginx og MariaDB. Det antages, at ændringen vil øge distributionens sikkerhed betydeligt i standardkonfigurationen og give mulighed for at blokere ukendte sårbarheder i systemtjenesterne. Forslaget er endnu ikke blevet behandlet af FESCo (Fedora Engineering Steering Committee), som har ansvaret for den tekniske del af udviklingen af Fedora-distributionen. Forslaget kan også blive afvist under gennemgåelsen af fællesskabet.
Anbefalede indstillinger til inkludering:
- PrivateTmp=yes — tildelelse af separate mapper til midlertidige filer.
- ProtectSystem=yes/full/strict — montering af filsystemet i skrivebeskyttet tilstand (i "full" tilstand — /etc/, i strict tilstand — alle filsystemer, undtagen /dev/, /proc/ og /sys/).
- ProtectHome=yes — forbud mod adgang til brugernes hjemmekataloger.
- PrivateDevices=yes — adgang begrænses til kun /dev/null, /dev/zero og /dev/random.
- ProtectKernelTunables=yes — adgang kun i skrivebeskyttet tilstand til /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq osv.
- ProtectKernelModules=yes — forbud mod indlæsning af kerne-moduler.
- ProtectKernelLogs=yes — forbud mod adgang til kerne-logbufferen.
- ProtectControlGroups=yes — adgang kun i skrivebeskyttet tilstand til /sys/fs/cgroup/
- NoNewPrivileges=yes — forbud mod at hæve privilegier via setuid, setgid og capabilities flags.
- PrivateNetwork=yes — placering i et separat rum for netværksstakken.
- ProtectClock=yes — forbud mod at ændre tiden.
- ProtectHostname=yes — forbud mod at ændre værtens navn.
- ProtectProc=invisible — skjulning af andres processer i /proc.
- User= — skift bruger.
Derudover kan det overvejes at inkludere følgende indstillinger:
- CapabilityBoundingSet=
- DevicePolicy=closed
- KeyringMode=private
- LockPersonality=yes
- MemoryDenyWriteExecute=yes
- PrivateUsers=yes
- RemoveIPC=yes
- RestrictAddressFamilies=
- RestrictNamespaces=yes
- RestrictRealtime=yes
- RestrictSUIDSGID=yes
- SystemCallFilter=
- SystemCallArchitectures=native
Kilde: opennet.ru
