Në versionin Fedora 40, propozohet të përfshihen cilësimet e izolimit për shërbimet sistemike systemd që aktivizohen automatikisht, si dhe për shërbimet me aplikacione të rëndësishme, si PostgreSQL, Apache httpd, Nginx dhe MariaDB. Pritet që ky ndryshim të rrisë ndjeshëm sigurinë e distribucionit në konfigurimin e tij default dhe të mundësojë bllokimin e dobësive të panjohura në shërbimet sistemike. Propozimi ende nuk është shqyrtuar nga komiteti FESCo (Fedora Engineering Steering Committee), i cili është përgjegjës për aspektin teknik të zhvillimit të distribucionit Fedora. Propozimi gjithashtu mund të refuzohet gjatë procesit të rishikimit nga komuniteti.
Cilësimet e rekomanduara për t'u përfshirë:
- PrivateTmp=yes â siguron direktori tĂ« veçanta pĂ«r skedarĂ«t e pĂ«rkohshĂ«m.
- ProtectSystem=yes/full/strict â montimi i FS-sĂ« nĂ« mĂ«nyrĂ« vetĂ«m pĂ«r lexim (nĂ« modin 'full' â /etc/, nĂ« modin strict â tĂ« gjitha FS-tĂ«, pĂ«rveç /dev/, /proc/ dhe /sys/).
- ProtectHome=yes â ndalon qasjen nĂ« katalogĂ«t e shtĂ«pisĂ« sĂ« pĂ«rdoruesve.
- PrivateDevices=yes â lĂ« qasje vetĂ«m nĂ« /dev/null, /dev/zero dhe /dev/random.
- ProtectKernelTunables=yes â qasje vetĂ«m nĂ« mĂ«nyrĂ« leximi nĂ« /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq dhe tĂ« tjera.
- ProtectKernelModules=yes â ndalon ngarkimin e moduleve tĂ« bĂ«rthamĂ«s.
- ProtectKernelLogs=yes â ndalon qasjen nĂ« bufet me logje tĂ« bĂ«rthamĂ«s.
- ProtectControlGroups=yes â qasje vetĂ«m nĂ« mĂ«nyrĂ« leximi nĂ« /sys/fs/cgroup/
- NoNewPrivileges=yes â ndalon rritjen e privilegjeve pĂ«rmes flagjeve setuid, setgid dhe capabilities.
- PrivateNetwork=yes â vendosja nĂ« njĂ« hapĂ«sirĂ« tĂ« veçantĂ« emri tĂ« stack-ut tĂ« rrjetit.
- ProtectClock=yes â ndalon ndryshimin e kohĂ«s.
- ProtectHostname=yes â ndalon ndryshimin e emrit tĂ« hostit.
- ProtectProc=invisible â fsheh proceset e huaja nĂ« /proc.
- User= â ndryshon pĂ«rdoruesin.
Përveç kësaj, mund të merret në shqyrtim përfshirja e cilësimeve:
- CapabilityBoundingSet=
- DevicePolicy=closed
- KeyringMode=private
- LockPersonality=yes
- MemoryDenyWriteExecute=yes
- PrivateUsers=yes
- RemoveIPC=yes
- RestrictAddressFamilies=
- RestrictNamespaces=yes
- RestrictRealtime=yes
- RestrictSUIDSGID=yes
- SystemCallFilter=
- SystemCallArchitectures=native
Burimi: opennet.ru
