Fedora 40 योजनाहरू प्रणाली सेवा अलगाव सक्षम गर्न

फेडोरा 40 रिलिजले पूर्वनिर्धारित रूपमा सक्षम गरिएका प्रणालीगत प्रणाली सेवाहरूका लागि अलगाव सेटिङहरू सक्षम पार्न सुझाव दिन्छ, साथै पोस्टग्रेएसक्यूएल, Apache httpd, Nginx, र MariaDB जस्ता महत्वपूर्ण अनुप्रयोगहरूसँग सेवाहरू। यो परिवर्तनले पूर्वनिर्धारित कन्फिगरेसनमा वितरणको सुरक्षालाई उल्लेखनीय रूपमा बढाउनेछ र प्रणाली सेवाहरूमा अज्ञात कमजोरीहरूलाई रोक्न सम्भव बनाउँदछ। फेडोरा वितरणको विकासको प्राविधिक भागको लागि जिम्मेवार फेस्को (फेडोरा इन्जिनियरिङ स्टेयरिङ कमिटी) ले यो प्रस्तावलाई अहिलेसम्म विचार गरेको छैन। सामुदायिक समीक्षा प्रक्रियाको क्रममा प्रस्ताव पनि अस्वीकार हुन सक्छ।

सक्षम गर्नका लागि सिफारिस गरिएका सेटिङहरू:

• PrivateTmp=yes - अस्थायी फाइलहरूसँग छुट्टै डाइरेक्टरीहरू उपलब्ध गराउँदै।
• ProtectSystem=yes/full/strict — फाइल प्रणालीलाई पढ्ने मात्र मोडमा माउन्ट गर्नुहोस् ("पूर्ण" मोडमा - /etc/, कडा मोडमा - /dev/, /proc/ र /sys/ बाहेक सबै फाइल प्रणालीहरू)।
• ProtectHome=yes — प्रयोगकर्ताको गृह डाइरेक्टरीहरूमा पहुँच अस्वीकार गर्दछ।
• निजी उपकरणहरू = हो - पहुँच मात्र छोडेर /dev/null, /dev/zero र /dev/random
• ProtectKernelTunables=yes - पढ्नको लागि मात्र पहुँच /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq, आदि।
• ProtectKernelModules=yes - कर्नेल मोड्युलहरू लोड गर्न निषेध गर्नुहोस्।
• ProtectKernelLogs=yes - कर्नेल लगहरूसँग बफरमा पहुँच निषेध गर्दछ।
• ProtectControlGroups=yes - /sys/fs/cgroup/ मा पढ्ने मात्र पहुँच
• NoNewPrivileges=yes - setuid, setgid र capabilities फ्ल्यागहरू मार्फत विशेषाधिकारहरूको उचाइलाई निषेध गर्दै।
• PrivateNetwork=yes - नेटवर्क स्ट्याकको छुट्टै नेमस्पेसमा प्लेसमेन्ट।
• ProtectClock = हो - समय परिवर्तन गर्न निषेध गर्नुहोस्।
• ProtectHostname=yes - होस्ट नाम परिवर्तन गर्न निषेध गर्दछ।
• ProtectProc=अदृश्य - अन्य व्यक्तिको प्रक्रियाहरू लुकाउने /proc मा।
• प्रयोगकर्ता = - प्रयोगकर्ता परिवर्तन गर्नुहोस्

थप रूपमा, तपाइँ निम्न सेटिङहरू सक्षम गर्न विचार गर्न सक्नुहुन्छ:

• क्षमता बाउन्डिंग सेट =
• DevicePolicy = बन्द
• KeyringMode=निजी
• लक व्यक्तित्व = हो
• MemoryDenyWriteExecute=हो
• निजी प्रयोगकर्ता = हो
• हटाउनुहोस् IPC=हो
• RestrictAddressFamilies=
• RestrictNamespaces = हो
• RestrictRealtime = हो
• RestrictSUIDSGID=हो
• SystemCallFilter=
• SystemCallArchitectures=नेटिभ

स्रोत: opennet.ru