V izidu Fedora 40 je predlagano vključiti nastavitve izolacije za privzeto omogočene sistemske storitve systemd ter storitve z pomembnimi aplikacijami, kot so PostgreSQL, Apache httpd, Nginx in MariaDB. Predvideva se, da bo ta sprememba značilno povečala varnost distribucije v privzeti konfiguraciji ter omogočila blokiranje neznanih ranljivosti v sistemskih storitvah. Predlog zaenkrat še ni bil obravnavan s strani odbora FESCo (Fedora Engineering Steering Committee), ki je odgovoren za tehnični del razvoja distribucije Fedora. Predlog je mogoče tudi zavrniti v postopku pregledovanja s strani skupnosti.
Priporočene nastavitve za vključitev:
- PrivateTmp=yes — zagotavljanje ločenih map za začasne datoteke.
- ProtectSystem=yes/full/strict — montaža FS v načinu samo za branje (v načinu „full“ — /etc/, v načinu strict — vseh FS, razen /dev/, /proc/ in /sys/).
- ProtectHome=yes — prepoved dostopa do domačih map uporabnikov.
- PrivateDevices=yes — pustimo dostop samo do /dev/null, /dev/zero in /dev/random.
- ProtectKernelTunables=yes — dostop samo v načinu branja do /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq itd.
- ProtectKernelModules=yes — prepoved nalaganja jedrskih modulov.
- ProtectKernelLogs=yes — prepoved dostopa do predpomnilnika z jedrskimi logi.
- ProtectControlGroups=yes — dostop samo v načinu branja do /sys/fs/cgroup/
- NoNewPrivileges=yes — prepoved zvišanja privilegijev preko zastavic setuid, setgid in capabilities.
- PrivateNetwork=yes — postavitev v ločeno ime prostora omrežnega okvirja.
- ProtectClock=yes — prepoved spreminjanja časa.
- ProtectHostname=yes — prepoved spreminjanja imena gostitelja.
- ProtectProc=invisible — skrivanje tujih procesov v /proc.
- User= — sprememba uporabnika.
Dodatno se lahko razmisli o vključitvi naslednjih nastavitev:
- CapabilityBoundingSet=
- DevicePolicy=closed
- KeyringMode=private
- LockPersonality=yes
- MemoryDenyWriteExecute=yes
- PrivateUsers=yes
- RemoveIPC=yes
- RestrictAddressFamilies=
- RestrictNamespaces=yes
- RestrictRealtime=yes
- RestrictSUIDSGID=yes
- SystemCallFilter=
- SystemCallArchitectures=native
Izvor: opennet.ru
