Fedora 40 stelt voor om isolatie-instellingen in te schakelen voor standaard systemd-services, evenals services met belangrijke applicaties zoals PostgreSQL, Apache httpd, Nginx en MariaDB. Deze wijziging zal naar verwachting de beveiliging van de distributie in de standaardconfiguratie aanzienlijk verbeteren en het mogelijk maken om onbekende kwetsbaarheden in systeemservices te blokkeren. Het voorstel is nog niet beoordeeld door de Fedora Engineering Steering Committee (FESCo), die verantwoordelijk is voor de technische ontwikkeling van de Fedora-distributie. Het voorstel kan ook worden afgewezen tijdens het beoordelingsproces door de community.
Aanbevolen instellingen om in te schakelen:
- PrivateTmp=ja — aparte mappen met tijdelijke bestanden aanbieden.
- ProtectSystem=yes/full/strict — koppel bestandssystemen in de alleen-lezen-modus (in de “volledige” modus — /etc/, in de strikte modus — alle bestandssystemen behalve /dev/, /proc/ en /sys/).
- ProtectHome=ja — verbiedt toegang tot de thuismappen van gebruikers.
- PrivateDevices=ja — alleen toegang tot /dev/null, /dev/zero en /dev/random
- ProtectKernelTunables=ja — alleen-lezen toegang tot /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq, enz.
- ProtectKernelModules=ja — verbiedt het laden van kernelmodules.
- ProtectKernelLogs=ja — verbiedt toegang tot de kernel-logbuffer.
- ProtectControlGroups=ja - alleen-lezen toegang tot /sys/fs/cgroup/
- NoNewPrivileges=yes — verbiedt privilege-escalatie via setuid-, setgid- en capabilities-vlaggen.
- PrivateNetwork=ja — plaatsen in een aparte netwerkstapelnaamruimte.
- ProtectClock=ja — verhindert het wijzigen van de tijd.
- ProtectHostname=ja — verbiedt het wijzigen van de hostnaam.
- ProtectProc=invisible — verbergt externe processen in /proc.
- Gebruiker= — gebruiker wijzigen
Daarnaast kunnen de volgende instellingen overwogen worden:
- Capaciteitsbegrenzingsset=
- DevicePolicy=gesloten
- KeyringMode=privé
- LockPersonality=ja
- MemoryDenyWriteExecute=ja
- PrivateUsers=ja
- VerwijderIPC=ja
- RestrictAddressFamilies=
- RestrictNamespaces=ja
- RestrictRealtime=ja
- RestrictSUIDSGID=ja
- SysteemCallFilter=
- SystemCallArchitectures=native
Bron: opennet.ru
