15. セキュリティー
![[ティップ]](./stylesheet-images/tip.png) |
Web 上の最新リリースノート |
|---|---|
|
これらのリリースノートは更新される場合があります。Fedora 最新リリースノートは次をご覧ください。 |
この節は Fedora にある様々なセキュリティー項目を説明します。
15.1. セキュリティー拡張
Fedora はその多くの革新的なセキュリティー機能 (security features) を向上し続けていきます。
15.2. SHA-256 と SHA-512 のパスワード用サポート
Fedora 8 の glibc パッケージには SHA-256 と SHA-512 ハッシュを使ったパスワードの サポート がありました。以前は、DES と MD5 しか利用できませんでした。これらのツールは Fedora 9 で拡張されています。SHA-256 と SHA-512 ハッシュ関数を使ったパスワードのハッシュがサポートされるようになります。
インストールされているシステムで SHA-256 または SHA-512 に切り替えるには、authconfig --passalgo=sha256 --update または authconfig --passalgo=sha512 --update を使用します。ハッシュ法を設定するには、代わりに authconfig-gtk GUI ツールを使用します。既存のユーザーアカウントはパスワードを変更するまでは影響を受けません。
SHA-512 はデフォルトで新たにインストールするシステムに使用されます。他のアルゴリズムはキックスタートの auth コマンドに --passalgo or --enablemd5 オプションを使用するとキックスタートインストールでのみ設定が可能になります。インストールにキックスタートを使用しない場合は、上記のように authconfig を使用してから root ユーザーのパスワードおよびインストール後作成された他のユーザーのパスワードを変更します。
これらのパスワードハッシュ化アルゴリズムをサポートするため新しいオプションが libuser、pam、shadow-utils に現れるようになります。authconfig を実行するとこれらのオプションをすべて自動的に設定するので手動による修正は必要ありません。
crypt_styleオプションの新しい値、新しいオプションとなるhash_rounds_minとhash_rounds_maxが/etc/libuser.confの[defaults]セクションでサポートされるようになります。詳細はlibuser.conf(5)の man ページを参照してください。新しいオプションとなる
sha256、sha512、roundsがpam_unixPAM モジュールでサポートされるようになります。詳細はpam_unix(8)の man ページで参照してください。新しいオプションとなる
ENCRYPT_METHOD、SHA_CRYPT_MIN_ROUNDS、SHA_CRYPT_MAX_ROUNDSが/etc/login.defsでサポートされるようになります。詳細はlogin.defs(5)の man ページを参照してください。該当オプションはchpasswd(8)とnewusers(8)に追加されました。
15.3. より多くの機能をカバーするように拡張された FORTIFY_SOURCE
FORTIFY_SOURCE 保護は今回、asprintfと、dprintf、vasprintf、vdprintf、obstack_printf、obstack_vprintfを含むようになりました。この改良は特に glib2 ライブラリーを使用するアプリケーションに便利です、というのはその機能のいくつかは vasprintf を使うからです。
15.4. SELinux の強化
より細かいアクセス制御を可能にする異なるロールが今回利用できます:
guest_tは、setuid バイナリの実行、ネットワーク接続、GUI の使用などを許可されません。xguest_tは、Web ブラウザを介した HTTP 以外は ネットワークアクセスと setuid バイナリ使用が許可されません。user_tは、オフィスユーザーに理想的です。setuid アプリケーションを介した root への転身を阻止します。staff_tは、sudoを介した root アクセスが 可能と言う点以外は、user_tと同じです。unconfined_tは、SELinux を使用していない場合と 同じように、完全アクセスを提供します。
デフォルトである nspluginwrapper でラップされたブラウザ plug-ins は今回制限つきで実行されます。
15.5. デフォルトファイアウォールの動作
Fedora 9 では、デフォルトファイアウォールの動作は異なります。Anaconda により開かれる SSH (22) 以外には、開いているデフォルトポートはありません。
15.6. 全般情報
Fedora での多くの革新的なセキュリティー機能に関する全般的な紹介、現在の状況、ポリシーについては http://fedoraproject.org/wiki/Security をご覧ください。
15.7. SELinux
SELinux プロジェクトのページには、トラブルシュート、ヒント、説明、文書や参考文献へのポインターがあります。いくつかの便利なリンクは以下を含みます:
新しい SELinux プロジェクトのページ: http://fedoraproject.org/wiki/SELinux
トラブルシューティングのヒント: http://fedoraproject.org/wiki/SELinux/Troubleshooting
SELinux コマンド一覧: http://fedoraproject.org/wiki/SELinux/Commands
15.8. Free IPA
Free IPA は中央管理される ID、ポリシー、監査インストールになります。
IPA サーバーインストーラーは比較的クリーンなシステムを推測しいくつかのサービスをインストールして設定を行います。
Fedora Directory Server インスタンス
KDC
Apache
ntpd
TurboGears
行われた変更をロールバックできるようにする努力がなされましたが保障はしていません。同様に ipa-client-install ツールは PAM (/etc/pam.conf) および Kerberos (/etc/krb5.conf) の設定を上書きします。
IPA は別々のポートをリッスンしていてもインストール時同じマシン上にある Fedora Directory Server の他のインスタンスをサポートしません。IPA をインストールするには、他のインスタンスを削除しなければなりません。IPA 自体がこの削除を処理することができます。
現在、既存のユーザーを IPA サーバーに移植できるメカニズムはありません。
サーバーはそれ自体のクライアントとなるよう自己設定を行います。Directory Server または KDC がブートアップで起動に失敗するようなら、問題を解決するためシングルユーザーモードでブートしてください。
詳細についてはこの機能のページを参照してください。