15. Segurança
![[Dica]](./stylesheet-images/tip.png) |
Últimas Notas de Versão na Web |
|---|---|
|
Estas notas de lançamento podem ter sido alteradas. Para ver as últimas notas de lançamento para o Fedora, visite: |
Esta seção indica os vários ítens de segurança do Fedora.
15.1. Melhorias de Segurança
Fedora continua melhorando muitas das funcionalidades de segurança pró-ativas security features.
15.2. Suporte para senhas SHA-256 e SHA-512
O pacote glibc no Fedora 8 tinha suporte para senhas usando codificação SHA256 e SHA512. Antes apenas DES e MD5 estavam disponíveis. Estas ferramentas foram extendidas ao Fedora9. Senhas usando SHA-256 e SHA-512 agora são suportadas.
Para mudar para SHA-256 ou SHA-512 em um sistema instalado, use authconfig --passalgo=sha256 --update ou authconfig --passalgo=sha512 --update. Alternativamente, use a ferramenta gráfica authconfig-gtk para configurar o método de hash. Contas de usuários já existentes não serão afetadas até que suas senhas sejam alteradas.
SHA-512 é utilizado por padrão em sistemas novos. Outros algoritmos podem ser configurados apenas em instalações via kickstart, utilizando as opções --passalgo ou --enablemd5 no comando auth do kickstart. Se sua instalação não utiliza o kickstart, use o authconfig como descrito acima e então mude a senha do usuário root e as senhas de outros usuários que foram criados depois da instalação.
Novas opções irão aparecer nas bibliotecas libuser, pam e shadow-utils para suportar estes algoritmos de senhas. Executando authconfig fará com que todas estas opções sejam configuradas automaticamente, então não é necessário modificá-las manualmente.
Novos valores para a opção
crypt_stylee as novas opçõeshash_rounds_minehash_rounds_maxagora são suportadas na seção[defaults]do arquivo/etc/libuser.conf. Veja a página de manuallibuser.conf(5)para mais detalhes.Novas opções
sha256,sha512eroundsagora são suportadas pelo módulo PAMpam_unix. Veja a página de manualpam_unix(8)para mais detalhes.Novas opções
ENCRYPT_METHOD,SHA_CRYPT_MIN_ROUNDSeSHA_CRYPT_MAX_ROUNDSagora são suportadas no arquivo/etc/login.defs. Veja a página de manuallogin.defs(5)para detalhes. Opções correspondentes foram adiconadas aos comandoschpasswd(8)enewusers(8).
15.3. FORTIFY_SOURCE extendido para cobrir mais funções
A proteção FORTIFY_SOURCE agora cobre as funções asprintf, dprintf, vasprintf, vdprintf, obstack_printf e obstack_vprintf. Esta melhora é particularmente útil para aplicações que utilizam a biblioteca glib2, pois muitas de suas funções utilizam vasprintf.
15.4. Melhorias do SELinux
Diferentes papeis/perfís agora estão disponíveis para permitir o controle de acesso a ajustes finos:
guest_tnão permite executar binários setuid, fazer conexões de rede ou utilizar uma interface gráfica.xguest_tbloqueia o acesso à rede exceto para HTTP via um navegador Web e binários não setuid.user_té ideal para usuários de escritório: previne tornar-se root através de aplicações setuid.staff_té o mesmo que ouser_t, exceto pelo falo de que o acesso através dosudoé permitido.unconfined_tprovê acesso total, igualmente como quando não se está utilizando o SELinux.
Também, o navegador com o plugin nspluginwrapper adicionado, que é o padrão, agora roda confinado.
15.5. Comportamento Padrão do Firewall
No Fedora 9, o comportamento padrão do firewall mudou. Não existem portas abertas por padrão, exceto para o SSH (22), que é aberta pelo Anaconda.
15.6. Informações Gerais
Uma introdução geral para muitas das funcionalidades de segurança pró-ativas no Fedora, sua situação atual e políticas estão disponíveis em http://fedoraproject.org/wiki/Security.
15.7. SELinux
As páginas do projeto SELinux têm dicas sobre soluções de problemas, explicações e sugestões para outras documentações e referências. Alguns dos links úteis:
Novas páginas do projeto SELinux: http://fedoraproject.org/wiki/SELinux
Dicas para soluções de problemas: http://fedoraproject.org/wiki/SELinux/Troubleshooting
Lista de Perguntas Mais Freqüentes (FAQ): http://docs.fedoraproject.org/selinux-faq/
Listagem dos comandos SELinux: http://fedoraproject.org/wiki/SELinux/Commands
Detalhes de domínios confinados: http://fedoraproject.org/wiki/SELinux/Domains
15.8. Free IPA
Free IPA é um gerente de identidade centralizado, política e auditoria.
O instalador de servidor IPA assume um sistema relativamente limpo, instalando e configurando vários serviços:
uma instancia Fedora Directory Server
KDC
Apache
ntpd
TurboGears
Alguns esforços são feitos para estar apto a desfazer (roll back) as mudanças feitas, mas estas não são garantidas. O utilitário ipa-client-install sobrescreve as configurações do PAM (/etc/pam.conf) e do Kerberos (/etc/krb5.conf).
O IPA não suporta outras instâncias do Fedora Directory Server na mesma máquina durante a instalação, mesmo escutando em portas diferentes. Para que o IPA possa ser instalado, outras instâncias devem ser removidas. O próprio IPA pode manipular esta remoção.
Não existe atualmente nenhum mecanismo para migração de usuários para um servidor IPA.
O servidor se alto configura para ser um cliente dele mesmo. Se o Directory Server ou o KDC falharem na inicialização, inicialize a máquina em modo simples usuário (single) a fim de resolver o problema.
Para encontrar mais informações, veja as seguintes páginas Web: