फेडोरा 40 सिस्टम सेवा अलगाव को सक्षम करने की योजना बना रहा है

फेडोरा 40 रिलीज़ डिफ़ॉल्ट रूप से सक्षम सिस्टमडी सिस्टम सेवाओं के लिए आइसोलेशन सेटिंग्स को सक्षम करने का सुझाव देता है, साथ ही पोस्टग्रेएसक्यूएल, अपाचे httpd, Nginx और MariaDB जैसे मिशन-महत्वपूर्ण अनुप्रयोगों वाली सेवाओं के लिए भी। यह उम्मीद की जाती है कि परिवर्तन से डिफ़ॉल्ट कॉन्फ़िगरेशन में वितरण की सुरक्षा में काफी वृद्धि होगी और सिस्टम सेवाओं में अज्ञात कमजोरियों को रोकना संभव हो जाएगा। प्रस्ताव पर अभी तक FESCo (फेडोरा इंजीनियरिंग स्टीयरिंग कमेटी) द्वारा विचार नहीं किया गया है, जो फेडोरा वितरण के विकास के तकनीकी हिस्से के लिए जिम्मेदार है। सामुदायिक समीक्षा प्रक्रिया के दौरान किसी प्रस्ताव को अस्वीकार भी किया जा सकता है।

सक्षम करने के लिए अनुशंसित सेटिंग्स:

• PrivateTmp=yes - अस्थायी फ़ाइलों के साथ अलग निर्देशिका प्रदान करना।
• प्रोटेक्टसिस्टम=हाँ/पूर्ण/सख्त - फ़ाइल सिस्टम को रीड-ओनली मोड में माउंट करें ("पूर्ण" मोड में - /etc/, स्ट्रिक्ट मोड में - /dev/, /proc/ और /sys/ को छोड़कर सभी फ़ाइल सिस्टम)।
• प्रोटेक्टहोम=हां—उपयोगकर्ता होम निर्देशिकाओं तक पहुंच से इनकार करता है।
• PrivateDevices=yes - केवल /dev/null, /dev/zero और /dev/random तक पहुंच छोड़ना
• प्रोटेक्ट कर्नेल ट्यूनेबल्स = हाँ - /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq, आदि तक केवल पढ़ने के लिए पहुंच।
• प्रोटेक्ट कर्नेल मॉड्यूल = हाँ - कर्नेल मॉड्यूल लोड करने पर रोक लगाएं।
• प्रोटेक्ट कर्नेललॉग्स = हाँ - कर्नेल लॉग के साथ बफर तक पहुंच को प्रतिबंधित करता है।
• प्रोटेक्टकंट्रोलग्रुप्स=हां - /sys/fs/cgroup/ तक केवल पढ़ने योग्य पहुंच
• NoNewPrivileges=yes - सेतुइड, सेटगिड और क्षमताओं के झंडे के माध्यम से विशेषाधिकारों के उन्नयन पर रोक।
• PrivateNetwork=yes - नेटवर्क स्टैक के एक अलग नेमस्पेस में प्लेसमेंट।
• प्रोटेक्टक्लॉक=हाँ—समय बदलने से रोकें।
• प्रोटेक्टहोस्टनाम = हाँ - होस्ट नाम बदलने पर रोक लगाता है।
• प्रोटेक्टप्रोक=अदृश्य - अन्य लोगों की प्रक्रियाओं को /proc में छिपाना।
• उपयोगकर्ता = - उपयोगकर्ता बदलें

इसके अतिरिक्त, आप निम्नलिखित सेटिंग्स को सक्षम करने पर विचार कर सकते हैं:

• कैपेबिलिटीबाउंडिंगसेट =
• डिवाइसपॉलिसी=बंद
• कीरिंगमोड=निजी
• लॉकपर्सनैलिटी = हाँ
• MemoryDenyWriteExecute=हाँ
• PrivateUsers=हाँ
• आईपीसी हटाएँ=हाँ
• RestrictAddressFamilies=
• RestrictNamespaces = हाँ
• RestrictRealtime = हाँ
• RestrictSUIDSGID=हाँ
• SystemCallFilter=
• SystemCallआर्किटेक्चर=मूल

स्रोत: opennet.ru