15. Säkerhet

15. Säkerhet
Föregående		Nästa

	Senaste utgåvenoteringarna på webben
Dessa utgåvenoteringar kan ha uppdaterats. För att se de senaste utgåvenoteringarna för Fedora, besök: http://docs.fedoraproject.org/release-notes/

Senaste utgåvenoteringarna på webben

Dessa utgåvenoteringar kan ha uppdaterats. För att se de senaste utgåvenoteringarna för Fedora, besök:

http://docs.fedoraproject.org/release-notes/

Detta avsnitt pekar ut diverse säkerhetsdetaljer för Fedora.

15.1. Säkerhetsförbättringar

Fedora fortsätter att förbättra sina många proaktiva säkerhetsfunktioner.

15.2. Stöd för SHA-256- och SHA-512-lösenord

Paketet glibc i Fedora 8 hade stöd för lösenord som använde SHA-256- och SHA-512-hashfunktioner. Tidigare var endast DES och MD5 tillgängliga. Dessa verktyg har utökats i Fedora 9. Lösenordskontrollsummor som använder SHA-256- och SHA-512-hasfunktioner stöds nu.

För att byta till SHA-256 eller SHA-512 på ett installerat system, använd authconfig --passalgo=sha256 --update eller authconfig --passalgo=sha512 --update. Alternativt, använd det grafiska verktyget authconfig-gtk för att konfigurera hasningsmetod. Existerande användarkonton kommer inte att påverkas förrän deras lösenord ändras.

SHA-512 används som standard på nyinstallerade system. Andra algoritmer kan konfigureras endast för kickstartinstallationer genom att använda flaggorna --passalgo eller --enablemd5 till kickstartkommandot auth. Om dina installationer inte använder kickstart, använd authconfig som beskrivits ovan, och ändra sedan rootlösenordet och lösenorden för andra användare som skapats efter installationen.

Nya alternativ finns nu i libuser, pam, och shadow-utils för att stödja dessa lösenordshashningsalgoritmer. När man kör authconfig konfigurerar man alla dessa alternativ automatiskt, så det är inte nödvändigt att modifiera dem manuellt.

Nya värden för alternativet crypt_style, och de nya alternativen hash_rounds_min och hash_rounds_max stöds nu i [defaults]-sektionen av /etc/libuser.conf. Se manualsidan för libuser.conf(5) för detaljer.
Nya alternativ, sha256, sha512 och rounds stöds nu av PAM-modulen pam_unix. Se manualsidan pam_unix(8) för detaljer.
Nya alternativ, ENCRYPT_METHOD, SHA_CRYPT_MIN_ROUNDS och SHA_CRYPT_MAX_ROUNDS stöds nu i /etc/login.defs. Se manualsidan login.defs(5) för detaljer. Motsvarande alternativ är tillagda i chpasswd(8) och newusers(8).

15.3. FORTIFY_SOURCE är utökat för att täcka fler funktioner

FORTIFY_SOURCE-skydd täcker nu asprintf, dprintf, vasprintf, vdprintf, obstack_printf och obstack_vprintf. Dessa förbättringar är speciellt användbara för tillämpningar som använder biblioteket glib2, eftersom flera av dess funktioner använder vasprintf-

15.4. SELinux-förbättringar

Olika roller finns nu, för att möjligöra mer finkornig åtkomstkontroll:

guest_t tillåter inte att man kör setuid-binärer, skapar nätverksförbindelser eller använder ett GUI.
xguest_t tillåter inte nätverkåtkomst utom för HTTP via en webbläsare, och inga setuid-binärer.
user_t är idealisk för kontorsanvändare: hindrar att man blir root via setuid-program.
staff_t är detsmamma som user_t, utom att root-åtkomst via sudo är tillåtet.
unconfined_t ger full åtkomst, detsamma som att inte använda SELinux.

Dessutom, insticksmoduler till webbläsare som kapslas in med nspluginwrapper, vilket är standard, körs numera begränsade.

15.5. Standardbrandväggsbeteende

I Fedora 9 har brandväggens standardbeteende ändrats. Det finns inga portar öppna som standard, utom för SSH (22), som öppnas av Anaconda.

15.6. Allmän information

En allmän introduktion till de många proaktiva säkerhetsfunktionerna i Fedora, nuvarande status och policyer finns tillgänglig på http://fedoraproject.org/wiki/Security.

15.7. SELinux

Projektsidorna för SELinux har felsökningstips, förklaringar och referenser till dokumentation. En del användbara länkar inkluderar följande:

Nya projektsidor för SELinux: http://fedoraproject.org/wiki/SELinux
Felsökningstips: http://fedoraproject.org/wiki/SELinux/Troubleshooting
Vanliga frågor och svar: http://docs.fedoraproject.org/selinux-faq/
Lista med SELinux-kommandon: http://fedoraproject.org/wiki/SELinux/Commands
Detaljer om begränsade domäner: http://fedoraproject.org/wiki/SELinux/Domains

15.8. Free IPA

Free IPA är en centralt hanterad identitets-, policy- och granskningsinstallation.

IPA-serverns installerare förutsätter ett relativt rent system, och installerar och konfigurerar flera tjänster:

en Fedora Directory-serverinstans
KDC
Apache
ntpd
TurboGears

Vissa ansträngningar görs för att det skall vara möjligt att backa tillbaka ändringarna som gjorts men det är inte garanterat. På motsvarande sätt skriver verktyget ipa-client-install över PAM- (/etc/pam.conf) och Kerberoskonfigurationer (/etc/krb5.conf).

IPA stödjer inte andra instanser av Fedora Directory-servern på samma maskin vid installationstillfället, även om den lyssnar på andra portar. För att installera IPA måsta andra instanser tas bort. IPA kan själv sköta denna rensning.

Det finns för närvarande ingen mekanism för att migrera existerande användare till en IPA-server.

Servern självkonfigurerar till att vara en klient till sig själv. Om Directory Server eller KDC inte startar vid uppstart, starta till enanvändarläge för att reda ut problemet.

För mer information, gå till följande sida med funktioner:

http://fedoraproject.org/wiki/Features/freeIPA

Föregående		Nästa
14. Utvecklingsverktyg	Hem	16. Java