A Fedora 40 kiadásában javasolják az alapértelmezett rendszer-szolgáltatások és fontos alkalmazások, mint a PostgreSQL, Apache httpd, Nginx és MariaDB, izolációs beállításainak bekapcsolását. A módosítás várhatóan jelentősen növeli a disztribúció biztonságát az alapértelmezett konfigurációban, és lehetővé teszi az ismeretlen sebezhetőségek blokkolását a rendszer-szolgáltatásokban. A javaslatot a Fedora Engineering Steering Committee (FESCo) még nem tárgyalta, amely a Fedora disztribúció fejlesztéséért felelős technikai testület. A javaslatot a közösségi felülvizsgálat során el is utasíthatják.
Ajánlott beállítások:
- PrivateTmp=yes – külön könyvtárak biztosítása az ideiglenes fájlok számára.
- ProtectSystem=yes/full/strict – a fájlrendszer írásvédett üzemmódba való csatolása (full módban az /etc/, strict módban minden fájlrendszer, kivéve a /dev/, /proc/ és /sys/).
- ProtectHome=yes – a felhasználók otthoni könyvtáraihoz való hozzáférés tilalma.
- PrivateDevices=yes – hozzáférés csak a /dev/null, /dev/zero és /dev/random eszközökhöz.
- ProtectKernelTunables=yes – hozzáférés csak olvasási módban a /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq stb. könyvtárakhoz.
- ProtectKernelModules=yes – a kernel modulok betöltésének tilalma.
- ProtectKernelLogs=yes – a kernel naplókat tároló pufferekhez való hozzáférés tilalma.
- ProtectControlGroups=yes – hozzáférés csak olvasási módban a /sys/fs/cgroup/ könyvtárhoz.
- NoNewPrivileges=yes – a jogok emelésének tilalma setuid, setgid és capability zászlók révén.
- PrivateNetwork=yes – külön névtérbe helyezve a hálózati veremhez.
- ProtectClock=yes – az idő módosításának tilalma.
- ProtectHostname=yes – a gazdagép névének módosításának tilalma.
- ProtectProc=invisible – más folyamatok láthatatlanná tétele a /proc/ könyvtárban.
- User= – felhasználó váltás.
További beállítások is megfontolhatók:
- CapabilityBoundingSet=
- DevicePolicy=closed
- KeyringMode=private
- LockPersonality=yes
- MemoryDenyWriteExecute=yes
- PrivateUsers=yes
- RemoveIPC=yes
- RestrictAddressFamilies=
- RestrictNamespaces=yes
- RestrictRealtime=yes
- RestrictSUIDSGID=yes
- SystemCallFilter=
- SystemCallArchitectures=native
Forrás: opennet.ru
