Fedora 40 plaanitakse süsteemiteenuste isoleerimist.

Fedora 40 väljaandes on ettepanek lisada isolatsiooni seadistused vaikimisi aktiveeritud systemd süsteemiteenustele ning teistele oluline rakenduste teenustele, nagu PostgreSQL, Apache httpd, Nginx ja MariaDB. Muudatuse eeldatakse, et see tõstab oluliselt distributsiooni turvataset vaikimisseades ning võimaldab blokeerida tundmatud haavatavused süsteemiteenustes. Ebaseaduslik ettepanek pole veel FESCo (Fedora Engineering Steering Committee), mis vastutab Fedora distributsiooni tehnilise arenduse eest, poolt läbi vaadatud. Ettepanekut võib ka kogukonna ülevaatusprotsessis tagasi lükata.

Soovitatavad seaded:

• PrivateTmp=yes — eraldi kaustade pakkumine ajutistele failidele.
• ProtectSystem=yes/full/strict — failisüsteemi mountimine ainult lugemisrežiimis (režiimis "full" — /etc/, režiimis strict — kõigi failisüsteemide jaoks, välja arvatud /dev/, /proc/ ja /sys/).
• ProtectHome=yes — juurdepääsu keeldumine kasutajate kodukaustadele.
• PrivateDevices=yes — juurdepääsu lubamine ainult /dev/null, /dev/zero ja /dev/random.
• ProtectKernelTunables=yes — ainult lugemisrežiimis juurdepääs /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq jne.
• ProtectKernelModules=yes — kernelimoodulite laadimise keeldumine.
• ProtectKernelLogs=yes — juurdepääsu keeldumine kerneliloggide puhvrile.
• ProtectControlGroups=yes — ainult lugemisrežiimis juurdepääs /sys/fs/cgroup/
• NoNewPrivileges=yes — privileegide tõstmise keeldumise lubamine setuid, setgid ja capabilities lipule.
• PrivateNetwork=yes — eraldi ruumi paigutamine võrgu stabiilsuse nimel.
• ProtectClock=yes — aja muutmise keeldumine.
• ProtectHostname=yes — hostinime muutmise keeldumine.
• ProtectProc=invisible — teiste protsesside peitmine /proc/.
• User= — kasutaja vahetamine.

Lisaks võib kaaluda järgmiste seadistuste lisamist:

• CapabilityBoundingSet=
• DevicePolicy=closed
• KeyringMode=private
• LockPersonality=yes
• MemoryDenyWriteExecute=yes
• PrivateUsers=yes
• RemoveIPC=yes
• RestrictAddressFamilies=
• RestrictNamespaces=yes
• RestrictRealtime=yes
• RestrictSUIDSGID=yes
• SystemCallFilter=
• SystemCallArchitectures=native

Allikas: opennet.ru