I utgåvan av Fedora 40 föreslås det att inkludera isoleringsinställningar för standardaktiverade systemtjänster i systemd samt tjänster med viktiga applikationer som PostgreSQL, Apache httpd, Nginx och MariaDB. Det antas att denna förändring avsevärt kommer att förbättra säkerheten för distributionen i standardkonfigurationen och möjliggöra blockering av okända sårbarheter i systemtjänster. Förslaget har ännu inte behandlats av FESCo-kommittén (Fedora Engineering Steering Committee), som ansvarar för den tekniska delen av utvecklingen av Fedora-distributionen. Förslaget kan också avvisas under granskningen av samhället.
Rekommenderade inställningar för inkludering:
- PrivateTmp=yes – tillhandahållande av separata mappar för temporära filer.
- ProtectSystem=yes/full/strict – montering av filsystemet i skrivskyddat läge (i "full" läge – /etc/, i strict läge – alla filsystem utom /dev/, /proc/ och /sys/).
- ProtectHome=yes – förbud mot åtkomst till användares hemmakataloger.
- PrivateDevices=yes – begränsning av åtkomst endast till /dev/null, /dev/zero och /dev/random.
- ProtectKernelTunables=yes – endast skrivskyddad åtkomst till /proc/sys/, /sys/, /proc/acpi, /proc/fs, /proc/irq och liknande.
- ProtectKernelModules=yes – förbud mot att ladda kärnmoduler.
- ProtectKernelLogs=yes – förbud mot åtkomst till kärnloggbufferten.
- ProtectControlGroups=yes – endast skrivskyddad åtkomst till /sys/fs/cgroup/
- NoNewPrivileges=yes – förbud mot att höja privilegier via flaggorna setuid, setgid och capabilities.
- PrivateNetwork=yes – placering i ett separat nätverksstackens namnrymd.
- ProtectClock=yes – förbud mot att ändra tiden.
- ProtectHostname=yes – förbud mot att ändra värdnamnet.
- ProtectProc=invisible – dölja andras processer i /proc.
- User= – byta användare.
Dessutom kan följande inställningar övervägas för inkludering:
- CapabilityBoundingSet=
- DevicePolicy=closed
- KeyringMode=private
- LockPersonality=yes
- MemoryDenyWriteExecute=yes
- PrivateUsers=yes
- RemoveIPC=yes
- RestrictAddressFamilies=
- RestrictNamespaces=yes
- RestrictRealtime=yes
- RestrictSUIDSGID=yes
- SystemCallFilter=
- SystemCallArchitectures=native
Källa: opennet.ru
