15. Beveiliging
![[Tip]](./stylesheet-images/tip.png) |
Nieuwste uitgave-informatie op het web |
|---|---|
|
Deze vrijgave informatie kan vernieuwd zijn. Om de laatste vrijgave informatie voor Fedora te bekijken, bezoek: |
Deze sectie bevat informatie over verschillende beveiligings items van Fedora.
15.1. Veiligheids Verbeteringen
Fedora gaat door met het verbeteren van zijn vele pro-actieve veiligheids kenmerken.
15.2. Ondersteuning voor SHA-256 en SHA-512 wachtwoorden
Het glibc pakket in Fedora 8 had ondersteuning voor wachtwoorden met SHA-256 en SHA-512 hashing. Daarvoor waren alleen DES en MD5 beschikbaar. Deze gereedschappen zijn in Fedora 9 uitgebreid. Wachtwoord hashing met gebruik van de SHA-256 en SHA-512 hash functies wordt nu ondersteund.
Om over te stappen naar SHA-256 of SHA-512 op een geinstalleerd systeem, gebruik je authconfig --passalgo=sha256 --update of authconfig --passalgo=sha512 --update. Als alternatief kun je het authconfig-gtk GUI gereedschap gebruiken om de hash methode te configureren. Bestaande gebruiker accounts zullen niet beinvloed worden totdat hun wachtwoorden worden veranderd.
SHA-512 wordt standaard op nieuw geinstalleerde systemen gebruikt. Andere algoritmes kunnen alleen voor kickstart installaties ingesteld worden door de --passalgo of --enablemd5 opties voot het kickstart auth commando. Als jouw installatie kickstart niet gebruikt, gebruik dan authconfig als hier boven beschreven, en verander dan het root wachtwoord, en wachtwoorden voor andere gebruikers die zijn aangemaakt na de installatie.
Nieuwe opties zijn toegevoegd aan libuser, pam, en shadow-utils om deze wachtwoord hash algoritmes te ondersteunen. Door het commando authconfig uit te voeren worden al deze opties automatisch ingesteld, het is dus niet nodig om deze handmatig te veranderen.
Nieuwe waarden voor de
crypt_styleoptie, en de nieuwe optieshash_rounds_min, enhash_rounds_max,worden nu ondersteund in het[defaults]gedeelte van/etc/libuser.conf. Refereer naar delibuser.conf(5)manual pagina voor details.Nieuwe opties,
sha256,sha512, enrounds, worden nu ondersteund door depam_unixPAM module. Refereer naar depam_unix(8)manual voor details.Nieuwe opties,
ENCRYPT_METHOD,SHA_CRYPT_MIN_ROUNDS, enSHA_CRYPT_MAX_ROUNDS, worden nu ondersteund in/etc/login.defs. Refereer naar delogin.defs(5)manual pagina voor details. Overeenkomstige opties zijn toegevoegd aanchpasswd(8)ennewusers(8).
15.3. FORTIFY_SOURCE uitgebreid om meer functies af te dekken
FORTIFY_SOURCE bescherming bevat nu asprintf, dprintf, vasprintf, vdprintf, obstack_printf en obstack_vprintf. Deze verbetering is vooral nuttig voor toepassingen die de glib2 bibliotheek gebruiken, waarvan verscheidene functies vasprintf gebruiken.
15.4. SELinux Verbeteringen
Verschillende rollen zijn nu beschikbaar om een fijn korreliger toegangs controle toe te staan:
guest_tstaat niet toe om setuid binaries te draaien, netwerk verbindingen te maken, of een GUI te gebruiken.xguest_tstaat netwerk toegang niet toe behalve voorHTTP via een Web browser, en geen setuid binaries.user_tis ideaal voor kantoor gebruikers: het voorkomt om root te worden via setuid toepassingen.staff_tishetzelfde alsuser_t, behalve dat root toegang viasudois toegestaan.unconfined_tbiedt volledige toegang, net alsof SELinux niet gebruikt wordt.
Bovedien draaien browser plug-ins die verhult zijn met nspluginwrapper, wat de standaard is, nu ingeperkt.
15.5. Standaard Firewall Gedrag
In Fedora 9 is het standaard firewall gedrag veranderd. Er zijn standaard geen poorten open, behalve voor SSH (22), die door Anaconda wordt opengezet.
15.6. Algemene informatie
Een algemene introductie van de vele pro-actieve beveiligingsmogelijkheden in Fedora, de huidige status en policies is beschikbaar op http://fedoraproject.org/wiki/Security.
15.7. SELinux
De SELinux project pagina's bevatten tips voor het oplossen van problemen, uitleg en wijzers naar documentatie en andere verwijzingen. Een paar nuttige verwijzingen zijn onder andere:
Nieuwe SELinux project pagina's: http://fedoraproject.org/wiki/SELinux
Tips voor het oplossen van problemen: http://fedoraproject.org/wiki/SELinux/Troubleshooting
Vaak Gestelde Vragen: http://docs.fedoraproject.org/selinux-faq/
Lijst van SELinux commando's: http://fedoraproject.org/wiki/SELinux/Commands
Details over begrensde domeinen: http://fedoraproject.org/wiki/SELinux/Domains
15.8. freeIPA
freeIPA is een centraal beheerde identiteit, tactiek en controle installatie.
De IPA server installer veronderstelt een relatief schoon systeem en installeert en configureert verscheidene diensten:
een Fedora Directory Server instantie
KDC
Apache
ntpd
TurboGears
Er is moeite gedaan om in staat te zijn de gemaakte veranderingen terug te schroeven maar dit wordt niet gegarandeerd. Op vergelijkbare manier overschrijft het ipa-client-install de PAM (/etc/pam.conf) en Kerberos (/etc/krb5.conf) configuraties.
IPA ondersteunt geen andere instanties van Fedora Directory Server op dezelfde machine tijdens de installatie, ook als ze naar andere poorten luisteren. Om IPA te installeren, moeten de andere instanties verwijderd worden. IPA kan dit zelf afhandelen.
Op dit moment is er geen mogelijkheid om bestaande gebruikers naar een IPA server te migreren.
De server configureert zich om een client van zichzelf te zijn. Als de Directory Server of KDC niet opstart tijdens het booten, boot dan in de enkele-gebruikers mode om het probleem op te lossen.
Voor meer informatie, refereer je naar deze pagina: