感谢支持
我们一直在努力

Fedora 9的安全措施

1. 安全增强
Fedora 9继续改进许多主动性安全特征.


2. 支持 SHA-256 和 SHA-512 密码
Fedora 8 中 glibc 包含了密码的 SHA256 和 SHA512 散列模式支持。而过去,只有 DES 和 MD5 可用。在Fedora 9中,这些工具已经被更新。已经可以创建基于 SHA-256 和 SHA-512 散列模式的密码。


要将已安装的系统切换到 SHA-256 或 SHA-512 方式,使用 authconfig –passalgo=sha256 –update 或 authconfig –passalgo=sha512 –update 命令。或者,运行 authconfig-gtk 图形工具来配置散列方式。已有的用户帐号不会受影响,直到他们改变密码。


SHA-512 在新安装的系统中默认启用。其他算法只能在 kickstart 安装时进行配置,方法是在 kickstart 的 auth 命令中传递 –passalgo 或 –enablemd5 选项。如果你的系统不是用 kickstart 安装的,可以用 authconfig 切换,像上面说的那样,然后改变 root 的密码,以及其他用户的密码。


libuser , pam , 和 shadow-utils 现在支持新的选项,以支持不同的密码散列算法。运行 authconfig 会自动配置这些选项,不需要手动修改。


crypt_style选项支持新的设置值。同时,在/tect/libuser.conf中的[defaults]部分,提供了对选项hash_rounds_min和hash_rounds_max的支持。参见libuser.conf(5)的 man 手册。


pam_unix PAM模块现在支持新的选项sha256,sha512和rounds。参见pam_unix(8)的 man 手册。


/etc/login.defs现在支持新的选项ENCRYPT_METHOD,SHA_CRYPT_MIN_ROUNDS和SHA_CRYPT_MAX_ROUNDS。参见login.defs(5)的 man 手册。相应的选项也被添加到 chpasswd(8) 和 newusers(8) 中。


3. FORTIFY_SOURCE 现在覆盖了更多的函数。
FORTIFY_SOURCE 保护机制现在覆盖了以下函数: asprintf,dprintf,vasprintf,vdprintf,obstack_printf 和 obstack_vprintf。这些改进对于使用 glib2 库的应用程序特别有益,因为这些函数使用了 vasprintf。


4. SELinux 安全增强
提供多种“角色”,从而支持更细致的权限控制。


guest_t 角色不被允许运行 setuid 的二进制程序,不被允许建立网络连接,甚至使用图形界面程序。


xguest_t 禁用除了通过网络浏览器的 HTTP 网络存取,同时也禁用了 setuid 二进制程序。


user_t 对于日常办公用户来说是最理想的,因为该角色无法通过运行 setuid 程序获得 root 权限。


staff_t 角色跟 user_t 拥有相同的权力,再加上可以运行 sudo 获得 root 权限。


unconfined_t 角色可获得完全的权限,效果上将,跟禁用 SELinux 是一样的。


另外,由nspluginwrapper 包裹的浏览器插件,默认运行在一个受限的上下文中。


5. 默认的防火墙行为
在 Fedora 9 中,默认的防火墙行为同过去不同。除了 由 Anaconda 打开的 22 号 SSH 端口,所有端口都被禁用。


6. 一般信息
对 Fedora 中各种主动的安全特性的一般介绍,当前状态,以及安全策略到。


7. SELinux
新的 SELinux 项目页面包括排错提示,解释,以及到文档和参考内容的链接。


8. Free IPA
Free IPA 是一套集中管理的身份,策略和审计系统。


IPA 服务器安装程序在一个相对干净的系统上安装和配置以下服务:


Fedora 目录服务器


KDC Kerbose 数据中心服务器


Apache Web 服务器


ntpd 网络时钟服务器


TurboGears 应用程序


虽然我们尽力提供对策略回滚的支持,但是仍然无法确保其可靠性。另外,ipa-client-install工具会覆盖老的 PAM (/etc/pam.conf) 和 Kerberos (/etc/krb5.conf)的配置。


IPA 不支持在安装时在同一个物理主机上的多个 Fedora 目录服务器,即使它们运行在不同的端口上。为了正常安装 IPA,确保其他 Fedora 目录服务器被删除。IPA 可以自行完成这个操作。


尚没有可行的方案来把现存的用户整合到 IPA 服务器中。


服务器自身也是自己的一个身份认证客户端。如果目录服务器或者 KDC 在启动时失败,必须进入单用户模式来解决问题。

赞(0) 打赏
转载请注明出处:服务器评测 » Fedora 9的安全措施
分享到: 更多 (0)

听说打赏我的人,都进福布斯排行榜啦!

支付宝扫一扫打赏

微信扫一扫打赏