In de release van Fedora 40 is voorgesteld om isolatie-instellingen op te nemen voor standaard ingeschakelde systemd-systeemdiensten, evenals services met belangrijke applicaties zoals PostgreSQL, Apache httpd, Nginx en MariaDB. Het voorstel is dat deze wijziging de beveiliging van de distributie in de standaardconfiguratie aanzienlijk zal verbeteren en zal helpen onbekende kwetsbaarheden in systeemservices te blokkeren. Het voorstel is nog niet beoordeeld door de FESCo-commissie (Fedora Engineering Steering Committee), die verantwoordelijk is voor de technische kant van de ontwikkeling van de Fedora-distributie. Het voorstel kan ook tijdens de review door de gemeenschap worden afgewezen.
Aanbevolen instellingen voor inschakeling:
- PrivateTmp=yes — het bieden van aparte mappen voor tijdelijke bestanden.
- ProtectSystem=yes/full/strict — het monteren van het bestandssysteem in alleen-lezen modus (in 'full' modus — /etc/, in strict modus — alle bestandssystemen, behalve /dev/, /proc/ en /sys/).
- ProtectHome=yes — toegang tot de thuisdirectories van gebruikers verbieden.
- PrivateDevices=yes — alleen toegang tot /dev/null, /dev/zero en /dev/random.
- ProtectKernelTunables=yes — alleen-lezen toegang tot /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq, enz.
- ProtectKernelModules=yes — het laden van kernelmodules verbieden.
- ProtectKernelLogs=yes — toegang tot de kernel-logbuffer verbieden.
- ProtectControlGroups=yes — alleen-lezen toegang tot /sys/fs/cgroup/
- NoNewPrivileges=yes — het verhogen van privileges via setuid-, setgid-flags en capabilities verbieden.
- PrivateNetwork=yes — in een aparte netwerkstapelnamespace plaatsen.
- ProtectClock=yes — het wijzigen van de tijd verbieden.
- ProtectHostname=yes — het wijzigen van de hostnaam verbieden.
- ProtectProc=invisible — andere processen in /proc verbergen.
- User= — gebruiker wijzigen
Bovendien kunnen de volgende instellingen worden overwogen:
- CapabilityBoundingSet=
- DevicePolicy=closed
- KeyringMode=private
- LockPersonality=yes
- MemoryDenyWriteExecute=yes
- PrivateUsers=yes
- RemoveIPC=yes
- RestrictAddressFamilies=
- RestrictNamespaces=yes
- RestrictRealtime=yes
- RestrictSUIDSGID=yes
- SystemCallFilter=
- SystemCallArchitectures=native
Bron: opennet.ru
