U izdanju Fedora 40 predlaže se uključivanje postavki izolacije za sistemske servise systemd uključene po defaultu, kao i za servise s važnim aplikacijama kao što su PostgreSQL, Apache httpd, Nginx i MariaDB. Očekuje se da će ova promjena značajno povećati sigurnost distribucije u podrazumijevanoj konfiguraciji i omogućiti blokiranje nepoznatih ranjivosti u sistemskim servisima. Prijedlog još nije razmatran od strane FESCo odbora (Fedora Engineering Steering Committee) koji je odgovoran za tehnički dio razvoja distribucije Fedora. Prijedlog također može biti odbijen tokom pregleda zajednice.
Preporučene postavke za uključivanje:
- PrivateTmp=yes — pružanje odvojenih direktorija za privremene datoteke.
- ProtectSystem=yes/full/strict — montiranje FSa u režimu samo za čitanje (u režimu „full“ — /etc/, u režimu strict — svi FSi osim /dev/, /proc/ i /sys/).
- ProtectHome=yes — zabrana pristupa korisničkim home direktorijima.
- PrivateDevices=yes — ostavljanje pristupa samo /dev/null, /dev/zero i /dev/random
- ProtectKernelTunables=yes — pristup samo u režimu čitanja do /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq itd.
- ProtectKernelModules=yes — zabrana učitavanja modula jezgre.
- ProtectKernelLogs=yes — zabrana pristupa kernel logovima.
- ProtectControlGroups=yes — pristup samo u režimu čitanja do /sys/fs/cgroup/
- NoNewPrivileges=yes — zabrana povećanja privilegija putem setuid, setgid i capabilities zastavica.
- PrivateNetwork=yes — smještanje u odvojeni prostor imenskog mrežnog stoga.
- ProtectClock=yes — zabrana promjene vremena.
- ProtectHostname=yes — zabrana promjene imena hosta.
- ProtectProc=invisible — skrivanje tuđih procesa u /proc.
- User= — promjena korisnika
Dodatno može biti razmatrano uključivanje postavki:
- CapabilityBoundingSet=
- DevicePolicy=closed
- KeyringMode=private
- LockPersonality=yes
- MemoryDenyWriteExecute=yes
- PrivateUsers=yes
- RemoveIPC=yes
- RestrictAddressFamilies=
- RestrictNamespaces=yes
- RestrictRealtime=yes
- RestrictSUIDSGID=yes
- SystemCallFilter=
- SystemCallArchitectures=native
Izvor: opennet.ru
