Daxuyaniya Fedora 40 pêşniyar dike ku mîhengên veqetandinê ji bo karûbarên pergala pergalê yên ku ji hêla xwerû ve têne çalak kirin, û her weha karûbarên bi serîlêdanên krîtîk ên wekî PostgreSQL, Apache httpd, Nginx, û MariaDB çalak bikin. Tê pêşbînîkirin ku ev guhertin dê ewlehiya belavkirinê di veavakirina xwerû de bi girîngî zêde bike û dê gengaz bike ku qelsiyên nenas di karûbarên pergalê de asteng bikin. Pêşniyar hîn ji hêla FESCo (Komîteya Rêvebir a Endezyariya Fedora), ku berpirsiyarê beşa teknîkî ya pêşkeftina belavkirina Fedora ye, nehatiye hesibandin. Di pêvajoya lêkolîna civakê de dibe ku pêşniyarek jî were red kirin.
Mîhengên pêşniyarkirî yên ji bo çalakkirinê:
- PrivateTmp=erê - pelrêçên cuda bi pelên demkî re peyda dike.
- ProtectSystem=erê/temam/strict — pergala pelan di moda tenê-xwendinê de siwar bike (di moda "temam" de - /etc/, di moda hişk de - hemî pergalên pelan ji bilî /dev/, /proc/ û /sys/).
- ProtectHome=erê — gihandina pelrêçiyên malê yên bikarhêner red dike.
- PrivateDevices=erê - ketina tenê ji /dev/null, /dev/zero û /dev/random
- ProtectKernelTunables=erê - Gihîştina tenê-xwendewarî ya /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq, hwd.
- ProtectKernelModules=erê - barkirina modulên kernelê qedexe bike.
- ProtectKernelLogs=erê - bi têketinên kernelê ketina tamponê qedexe dike.
- ProtectControlGroups=erê - ketina /sys/fs/cgroup/ tenê-xwendin
- NoNewPrivileges=erê - bilindkirina îmtiyazan bi rêya alayên setuid, setgid û şiyanan qedexe dike.
- PrivateNetwork=erê - danîna nav cîhek cihê ya stûna torê.
- ProtectClock=erê-guhertina demê qedexe bike.
- ProtectHostname=erê - guhertina navê mêvandar qedexe dike.
- ProtectProc=invisible - veşartina pêvajoyên kesên din di /proc.
- Bikarhêner = - bikarhêner biguherîne
Wekî din, hûn dikarin mîhengên jêrîn çalak bikin:
- CapabilityBoundingSet=
- DevicePolicy=girtî
- KeyringMode=taybet
- LockPersonality=erê
- MemoryDenyWriteExecute=erê
- PrivateUsers=erê
- RemoveIPC=erê
- RestrictAddressFamilies=
- RestrictNamespaces=erê
- RestrictRealtime=erê
- RestrictSUIDSGID=erê
- SystemCallFilter=
- SystemCallArchitectures=xwecihî
Source: opennet.ru