Red Hat Summit Red Hat Summitサポートコンソール開発者トライアルの開始お問い合わせ

6.2. セキュリティー

keylime-agent-rust がバージョン 0.2.5 で提供される

Keylime エージェントを含む keylime-agent-rust パッケージは、RHEL 10 のバージョン 0.2.5 で提供されます。このバージョンでは、重要な機能拡張とバグ修正が提供されており、以下が最も重要なものとなります。

  • デバイスアイデンティティーの Initial Device Identity (IDevID) および Initial Attestation Key (IAK) のサポートが追加されました。次の設定オプションが追加されました。

    enable_iak_idevid
    (デフォルト: false) デバイスを識別するために IDevID および IAK 証明書の使用を有効にします。
    iak_idevid_template
    (デフォルト: detect) IDevID および IAK (TPM 2.0 Keys for Identity and Attestation, section 7.3.4 で定義) に使用するアルゴリズムを設定するテンプレートを指定します。detect キーワードは、設定された証明書で使用されるアルゴリズムに従ってテンプレートを設定します。
    iak_idevid_name_alg
    (デフォルト: sha256) IDevID および IAK で使用されるダイジェストアルゴリズムを指定します。iak_idevid_template オプションが detect に設定されていない場合にのみ使用されます。
    iak_idevid_asymmetric_alg
    (デフォルト: rsa) IDevID および IAK で使用される署名アルゴリズムを指定します。iak_idevid_template オプションが detect に設定されていない場合にのみ使用されます。
    iak_cert
    (デフォルト: default) X509 IAK 証明書が含まれるファイルへのパスを指定します。デフォルトのパスは /var/lib/keylime/iak-cert.crt です。
    idevid_cert
    (デフォルト: default) X509 IDevID 証明書が含まれるファイルへのパスを指定します。デフォルトのパスは /var/lib/keylime/idevid-cert.crt です。
  • 新しい ima_ml_path および measuredboot_ml_path 設定オプションを使用することで、設定可能な IMA および測定ブートイベントログのロケーションがサポートされます。
  • ローカル DNS 名、ローカル IP、および設定された連絡先 IP は、生成された自己署名 X509 証明書のサブジェクト代替名の一部として含まれます。
  • registrar_ip 設定オプションでは、括弧の有無にかかわらず IPv6 アドレスがサポートされます。
  • tpm_ownerpassword 設定オプションでは、16 進数でエンコードされた値がサポートされています。
  • エージェントへの接続では TLS 1.3 が有効化されています。

Jira:RHEL-38409

libreswan がバージョン 4.15 で提供される

libreswan パッケージは、RHEL 10 のバージョン 4.15 で提供されます。このバージョンでは、以前のリリースで提供されていたバージョン 4.12 に比べ、大幅な改善が加えられています。

  • libsystemd を介した libxz への依存関係を削除しました。
  • IKEv1 では、デフォルトの提案は、Encapsulating Security Payload (ESP) の場合は aes-sha1、Authentication Header (AH) の場合は sha1 に設定されています。
  • IKEv1 は、Authenticated Encryption と Associated Data (AEAD) と空でない INTEG を組み合わせた ESP 提案を拒否します。
  • IKEv1 は、接続に提案がない場合には交換を拒否します。

  • IKEv1 には、より制限されたデフォルトの cryptosuite があります。 

    IKE={AES_CBC,3DES_CBC}-{HMAC_SHA2_256,HMAC_SHA2_512HMAC_SHA1}-{MODP2048,MODP1536,DH19,DH31}
ESP={AES_CBC,3DES_CBC}-{HMAC_SHA1_96,HMAC_SHA2_512_256,HMAC_SHA2_256_128}-{AES_GCM_16_128,AES_GCM_16_256}
AH=HMAC_SHA1_96+HMAC_SHA2_512_256+HMAC_SHA2_256_128
    Copy to Clipboard Toggle word wrap
  • libcap-ng ライブラリーの障害は、回復不能ではなくなりました。
  • pluto ユーティリティーの AEAD アルゴリズムに TFC パディングが設定されています。

Jira:RHEL-52935[1]

Libreswan はより迅速に大量の接続を追加する

この更新前は、特定の状況下では、libreswan IPsec 実装で 1,000 の接続を追加するのに約 30 分かかりました。libreswan の最新バージョンでは、番号付き接続での getservbyname() 関数がスキップされ、既存の接続の検証が pluto デーモンにオフロードされるため、大きな設定ファイルのロード時間が大幅に短縮されます。その結果、同じ設定であれば、1,000 件の接続を追加するのにかかる時間は約 30 分ではなく、約 50 秒になるはずです。

Jira:RHEL-74850[1]

GnuTLS がバージョン 3.8.9 で提供される

RHEL 10 では、バージョン 3.8.9 で gnutls パッケージが提供されます。他の改善点に加えて、このバージョンには、以前のバージョンとの互換性がない、以下のセキュリティー関連の変更が含まれています。

  • TLS での証明書圧縮はサポートされています (RFC 8879)。
  • 最適非対称暗号化パディングスキーム (RSA-OAEP) がサポートされています (RFC 8017)。
  • 複数の呼び出しにわたって任意の長さの SHAKE ハッシュを増分計算するための API が追加されました。
  • PKCS #1 v1.5 パディングを使用した RSA 暗号化および復号化は非推奨となり、デフォルトでは許可されません。
  • FIPS モードでは、gnutls はデフォルトで、RFC 9579 で定義されている Password-Based Message Authentication Code 1 (PBMAC1) を使用して PKCS #12 ファイルをエクスポートするようになりました。FIPS モードで実行されているシステムとの相互運用性が必要な場合は、PBMAC1 を明示的に使用してください。
  • GnuTLS は、Online Certificate Status Protocol (OCSP) 応答内のすべてのレコードをチェックするようになりました。この更新前は、単一の OCSP 応答で複数のレコードが提供された場合、最初のレコードのみがチェックされていました。このバージョンの GnuTLS は、サーバー証明書が一致するまですべてのレコードを検査します。
  • FIPS モードで承認される検証の最小 RSA キーサイズが 2048 ビットに増加されました。

Jira:RHEL-69524[1]

OpenSSH がバージョン 9.9 で提供される

RHEL 10 では OpenSSH バージョン 9.9 が提供されており、RHEL 9 で提供されていた OpenSSH 8.7 と比べ、多くの修正と改善が導入されています。変更に関する完全なリストは、openssh-9.9p1/ChangeLog ファイルを参照してください。最も重要な変更点は次のとおりです。

  • ssh-agent プログラムに追加されたキーの転送と使用を制限するシステムが、ssh、sshd、ssh-add、および ssh-agent プログラムに追加されました。

  • FIDO 標準の使用の改善:

    • verify-required 証明書オプションが ssh-keygen に追加されました。
    • FIDO キー処理の修正により、固有のユーザー検証をサポートするキーの不要な PIN プロンプトが削減されます。
    • ssh-keygen プログラムで既存の一致する認証情報をチェックすると、認証情報を上書きする前にユーザーにプロンプトが表示されます。
  • ssh_config 設定ファイルの新しい EnableEscapeCommandline オプションにより、対話型セッションの EscapeChar メニューのコマンドラインオプションが有効になります。
  • 新しい ChannelTimeout キーワードは、sshd デーモンが非アクティブなチャネルを閉じるかどうか、また閉じる場合はその速さを指定します。
  • ssh-keygen ユーティリティーは、FIPS モード (デフォルトは RSA) を除き、デフォルトで Ed25519 キーを生成します。
  • ssh クライアントは、少量のデータのみが送信される場合、固定間隔 (デフォルトでは 20 ミリ秒ごと) で対話型トラフィックを送信することにより、キーストロークタイミングの難読化を実行します。また、ObscureKeystrokeTiming キーワードで定義された最後の実際のキーストロークの後のランダムな間隔で偽のキーストロークを送信します。
  • DSA キーのサポートは削除されました。
  • pam-ssh-agent サブコンポーネントは削除されました。
  • ssh-keysign ツールは別のサブパッケージに移動されました。
  • 新しい ChannelTimeout タイプでは、指定された間隔ですべてのチャネルにトラフィックがない場合、ssh と sshd は開いているすべてのチャネルを閉じます。これは、既存のチャネルごとのタイムアウトに加えて行われます。
  • sshd サーバーは、認証に繰り返し失敗したり、認証を完了せずに繰り返し接続したり、サーバーをクラッシュさせたりしたクライアントアドレスをブロックします。
  • sshd サーバーは、認証を正常に完了しないクライアントアドレスにペナルティーを課します。ペナルティーは、sshd_config の新しい PerSourcePenalties キーワードによって制御されます。
  • sshd サーバーは、リスナーバイナリー sshd とセッションごとのバイナリー sshd-session に分割されます。これにより、SSH プロトコルをサポートする必要のないリスナーのバイナリーサイズが削減されます。これにより、特権分離の無効化と sshd の再実行の無効化のサポートも削除されます。
  • ポータブル OpenSSH では、sshd は PAM サービス名として argv[0] を使用しなくなりました。sshd_config ファイルの新しい PAMServiceName ディレクティブを使用して、実行時にサービス名を選択できます。デフォルトは "sshd" です。
  • HostkeyAlgorithms キーワードを使用すると、ssh は証明書ホストキーからプレーンホストキーへの暗黙的なフォールバックを無効にできます。
  • コンポーネントは全体的に強化されており、PKCS #11 標準でより適切に動作します。
  • OpenSSH は、テクノロジープレビューとして耐量子計算機暗号 (PQC) をサポートしています。

Jira:RHEL-60564

pkcs11-provider のカスタム設定を追加

pkcs11-provider を使用すると、OpenSSL プログラムから pkcs11 URI を使用してハードウェアトークンに直接アクセスできます。インストール時に、pkcs11-provider が自動的に有効になり、デフォルトで p11-kit ドライバーを使用して pcscd デーモンによって検出されたトークンがロードされます。その結果、パッケージをインストールすることで、その形式をサポートするアプリケーションに pkcs11 URI 仕様を使用してキー URI を提供すると、OpenSSL 設定をさらに変更する必要なしに、システムで使用可能なトークンを使用できるようになります。パッケージをアンインストールすると、OpenSSL 設定スニペットも削除され、OpenSSL が設定ファイルを解析するときにエラーが発生するのを防ぎます。

Jira:RHEL-29672

SELinux ポリシーでファイルコンテキストの同等性が /var/run = /run に設定される

以前の /run = /var/run ファイルコンテキストの同等性が逆転され、現在は /var/run = /run となりました。これに伴い、SELinux のポリシーソースも更新されました。実際のファイルシステムの状態と一致させ、一部のユーザー空間ツールがエラーを報告しないようにするために、同等性が逆転されました。この変更は、ユーザーまたは管理者の視点からは見えません。/var/run 内のファイルのファイル指定を含むカスタムモジュールがある場合は、それらを /run に変更します。

Jira:RHEL-36094[1]

OpenSSL はハードウェアトークンに pkcs11-provider を使用する

OpenSSL 3.0 ではエンジンが非推奨となり、プロバイダーに置き換えられたため、RHEL 10 では openssl-pkcs11 エンジンが pkcs11-provider に置き換えられました。これにより、OpenSSL は、apache HTTPD、libssh、bind などのアプリケーションや、OpenSSL にリンクされ、HSM、スマートカード、または PKCS #11 ドライバーが利用可能なその他のトークンに保存された非対称秘密鍵を使用するその他のアプリケーションで、ハードウェアトークンを使用できるようになります。

Jira:RHEL-40124

新しい capability.conf(5) man ページの追加

capability.conf(5) man ページが追加されました。capability.conf 設定ファイルと pam_cap.so モジュール引数の説明が提供されています。

Jira:RHEL-31988

libkcapi がバージョン 1.5.0 で提供される

RHEL 10.0 では、libkcapi パッケージはアップストリームバージョン 1.5.0 で提供されます。このバージョンでは、さまざまなバグ修正、最適化、機能拡張が行われていますが、特に注目すべき点は次のとおりです。

  • sha* アプリケーションは削除され、kcapi-hasher という単一のアプリケーションに置き換えられました。元の sha* アプリケーションと同等の名前を持つ kcapi-hasher へのシンボリックリンクが、bin および libexec ディレクトリーに追加されました。この変更によって既知のリグレッションは発生しません。
  • SHA-3 を使用するファイルのチェックサムを出力する sha3sum コマンドが追加されました。
  • kcapi_md_sha3_* ラッパー API が追加されました。

Jira:RHEL-50457[1]

より厳格な SSH ホストキー権限が復元される

必要なホストキー権限は、以前のそれほど厳密ではない値 0640 から、アップストリームでも使用されている値である 0600 に変更されました。以前にすべての SSH キーを所有していた ssh_keys グループも削除されました。したがって、ssh-keysign ユーティリティーは SGID ビットの代わりに SUID ビットを使用します。

Jira:RHEL-59102[1]

バージョン 0.11.1 で提供される libssh

libssh SSH ライブラリーはバージョン 0.11.1 で提供され、機能が追加されました。最も重要なのは次のとおりです。

  • より優れた非同期 SFTP IO
  • OpenSSL 3.0 の PKCS #11 プロバイダーのサポート
  • GSSAPI 認証のテスト
  • プロキシージャンプ

Jira:RHEL-64319

p11-kit がバージョン 0.25.5 で提供される

p11-kit パッケージは、RHEL 10 のバージョン 0.25.5 で提供されます。このバージョンでは、以前のバージョンに比べて、特に次の点が機能拡張および修正されています。

  • 再帰属性のサポートが p11-kit RPC プロトコルに追加されました。
  • ライブラリーのランタイムバージョンを確認する機能が追加されました。
  • バージョン情報はマクロを通じてアクセスできなくなりました。
  • 新しい --id オプションを使用すると、generate-keypair コマンドで生成されたキーペア、または import-object コマンドでインポートされたキーペアに ID を割り当てることができます。
  • 新しい --provider オプションを使用すると、p11-kit コマンドを使用するときに PKCS #11 モジュールを指定できます。
  • generate-keypair で EdDSA メカニズムが認識されない p11-kit のバグを修正しました。
  • C_GetInterface 関数がサポートされていない場合、p11-kit は C_GetFunctionList 関数にフォールバックします。

Jira:RHEL-46898[1]

pkeyutil がカプセル化とカプセル化解除をサポートするようになる

pkeyutil OpenSSL サブコマンドは、カプセル化およびカプセル化解除の暗号化操作の実行をサポートします。新しい耐量子計算機暗号 (PQC) アルゴリズムの ML-KEM (FIPS 203) では、カプセル化とカプセル化解除の操作のみが許可されます。ユーザーは、pkeyutil を通じて RSASVE や ML-KEM などのアルゴリズムを使用できるようになりました。

Jira:RHEL-54156

GnuTLS が証明書圧縮を使用できる

GnuTLS は、クライアントとサーバーの両方が対応し、有効化している場合、RFC 8879 に従って zlib、brotli、または zstd 圧縮方式を使用してクライアント証明書とサーバー証明書を圧縮します。この方法によりデータ使用量が削減され、ユーザーには気づかれないはずです。

Jira:RHEL-42514[1]

OpenSSL の新しい no-atexit オプション

OpenSSL は no-atexit オプションを使用してビルドされるようになったため、OPENSSL_cleanup 関数は atexit ハンドラーとして登録されなくなりました。このオプションを使用しているため、valgrind デバッグツールによって、OpenSSL の起動時に割り当てられたリソースに対して 1 回限りのメモリーリークが報告される可能性があります。

Jira:RHEL-40408

setools がバージョン 4.5.0 で提供される

setools パッケージは、RHEL 10 のバージョン 4.5.0 で提供されます。このバージョンでは、バグ修正および機能拡張が行われていますが、特に注目すべき点は次のとおりです。

  • 情報フロー解析とドメイン遷移解析のグラフィカルな結果が、apol、sedta、seinfoflow ツールに追加されました。
  • クエリーの相互参照や結果の分析、コンテキストに応じたヘルプを支援するために、apol にツールチップと詳細ポップアップが追加されました。

Jira:RHEL-29967

RHEL 10 では NSS のバージョン 3.101 が提供される

NSS 暗号化ツールキットパッケージは、RHEL 10 のバージョン 3.101 で提供されています。これには、多くのバグ修正と機能拡張が提供されています。主な変更点は以下のとおりです。

  • DTLS 1.3 プロトコルがサポートされるようになりました (RFC 9147)。
  • PKCS#12 (RFC 9579) に PBMAC1 サポートが追加されました。
  • ハイブリッド型の耐量子計算機鍵合意方式である X25519Kyber768Draft00 の実験的なサポートが追加されました (draft-tls-westerbaan-xyber768d00)。これは今後のリリースで削除されます。
  • lib::pkix は、RHEL 10 のデフォルトのバリデーターです。
  • システム全体の暗号化ポリシーに従い、2048 ビットより短いキーを持つ RSA 証明書は SSL サーバーで機能しなくなります。

Jira:RHEL-46839

OpenSSL が FIPS 準拠の PKCS #12 ファイルを作成できる

OpenSSL セキュア通信スイートが更新され、RFC 9579 ドキュメントに従って PKCS #12 ファイルを作成できるようになりました。

Jira:RHEL-36659

DEFAULT 暗号化ポリシーが追加のスコープを使用する

crypto-policies パッケージでは、追加のスコープ @pkcs12、@pkcs12-legacy、@smime、@smime-legacy が提供されるようになり、これらは DEFAULT システム全体の暗号化ポリシーで使用されます。ネットワークセキュリティーサービス (NSS) が基盤となる暗号化ライブラリーである場合に PKCS #12 および S/MIME に使用される暗号化アルゴリズムの選択は、システム全体の暗号化ポリシーに従うようになりました。したがって、カスタムポリシーとサブポリシーを使用すると、より細かい粒度のアルゴリズムをより簡単に選択できます。スコープでは、以下の暗号、ハッシュ、およびキー交換が使用されます。 

cipher@pkcs12 = AES-256-CBC AES-128-CBC
cipher@pkcs12-import = 3DES-CBC+ RC2-CBC+
cipher@smime = AES-256-CBC AES-128-CBC 3DES-CBC
cipher@smime-import = RC2-CBC+
hash@{pkcs12,smime} = SHA2-256 SHA2-384 SHA2-512 SHA3-256 SHA3-384 SHA3-512 \
	SHA2-224 SHA3-224
hash@{pkcs12-import,smime} = SHA1+
key_exchange@smime = RSA DH ECDH
Copy to Clipboard Toggle word wrap

LEGACY 暗号化ポリシーでは、DEFAULT ポリシーよりも厳密ではない暗号、ハッシュ、およびキー交換の選択が使用されますが、FUTURE ポリシーはより厳密です。その結果、PKCS #12 ファイルのインポートとエクスポート、および S/MIME の暗号化と復号化に NSS で使用されるアルゴリズムをカスタマイズできるようになります。NSS は現在、新しく提供されるスコープにリンクされている唯一の暗号化ライブラリーです。

Jira:RHEL-50655

FIPS モードの OpenSSH がデフォルトで RSA キーを生成する

以前のバージョンでは、OpenSSH の ssh-keygen ユーティリティーによってデフォルトで RSA キーが生成されていました。RHEL 10 で提供されるバージョンでは、ssh-keygen は非 FIPS モードではデフォルトで ed25519 キーを生成し、FIPS モードではデフォルトで RSA キーを生成します。

Jira:RHEL-37324

NSS は FIPS モードで FIPS 準拠の PKCS #12 を作成する

PKCS #12 は整合性チェックにアドホックメカニズムを使用します。PKCS #12 バージョン 1.1 の公開以降、PKCS #5 バージョン 2.0 では、Password-Based Message Authentication Code 1 (PBMAC1) という、より厳密な整合性チェック方法が作成されました。この更新により、RFC 9579 ドキュメントに従って、PKCS #12 ファイルの PBMAC1 サポートがネットワークセキュリティーサービス (NSS) に追加されます。その結果、NSS は RFC 9579 を使用する任意の .p12 ファイルを読み取り、ユーザーのリクエストに応じて RFC 9579 準拠のメッセージ認証コード (MAC) を生成できるようになりました。互換性のため、NSS は FIPS モードではない場合、デフォルトで古い MAC を生成します。新しい MAC の生成に関する詳細は、システムの pk12util(1) man ページを参照してください。

Jira:RHEL-39732

OpenSC がバージョン 0.26.1 で提供される

RHEL 10 は、アップストリームバージョン 0.26.1 で opensc パッケージを提供します。主な機能拡張とバグ修正は次のとおりです。

  • 復号化後の RSA PKCS #1 v1.5 パディング削除に関連するタイムサイドチャネル漏洩を削除するための追加修正。
  • 統合された OpenSSL ロギング。
  • pkcs11-tool ユーティリティーでの HKDF、RSA OEAP 暗号化、AES GCM、および AES GMAC メカニズムのサポート。
  • 初期化されていないメモリーの問題を対象とした CVE の修正: CVE-2024-45615、CVE-2024-45616、CVE-2024-45617、CVE-2024-45618、CVE-2024-45619、CVE-2024-45620
  • Chromium Web ブラウザーでクラッシュを引き起こしていた、アライメントされたメモリーの割り当ての修正。
  • TeleSec Chipcard Operating System (TCOS) カードドライバーでの証明書の読み取りの修正。

Jira:RHEL-71523

OpenSC パッケージが opensc と opensc-lib に分割される

RHEL 10 では、Flatpak アプリケーションでスマートカードをサポートできるように、opensc パッケージが opensc と opensc-lib のサブパッケージに分割されました。

Jira:RHEL-73314

新しいパッケージ: tpm2-openssl

RHEL 10 には、OpenSSL TLS ツールキット用の TPM2 プロバイダーを含む新しい tpm2-openssl パッケージが含まれています。TPM2 プロバイダーにより、OpenSSL API を介して Trusted Platform Module (TPM) 2.0 チップからの暗号鍵を使用できるようになります。

Jira:RHEL-30799[1]

ルールベースの Audit イベントのフィルタリングと転送

新しい audisp-filter プラグインを使用すると、カスタム ausearch 式に基づいて特定の Audit イベントを柔軟に抑制できるため、ダウンストリームのプラグインへの不要な出力が削減されます。

このプラグインは、Audit と他のプラグイン間のブリッジとして機能します。特定の Audit イベントを除外し、設定ファイルで指定されたルールに一致するイベントのみを転送します。

その結果、許可リストモードまたはブロックリストモードを使用して、Audit イベントを選択的にフィルター処理できるようになります。audisp-filter を使用する各プラグインは、一致するルールを含む独自の設定ファイルを定義できます。一般的な使用例の 1 つは、ノイズの多い、または無関係な Audit イベントを除外し、重要なイベントのみを syslog プラグインに転送することです。これにより、フィルタリングされたイベントを syslog で記録できるようになり、Audit ログの管理が容易になります。

Jira:RHEL-5199

SELinux ポリシーに制限されている追加サービス

この更新により、次の systemd サービスを制限する追加のルールが SELinux ポリシーに追加されます。

  • iio-sensor-proxy
  • samba-bgqd
  • tlshd
  • gnome-remote-desktop
  • pcm-sensor-server

その結果、これらのサービスは、CIS Server Level 2 ベンチマークの "SELinux によって制限されていないデーモンがないことを確認する" ルールに違反する unconfined_service_t SELinux ラベルで実行されなくなり、SELinux enforcing モードで正常に実行されるようになりました。

Jira:RHEL-62355

CentOS Stream 10 の selinux-policy Git リポジトリーが一般公開される

CentOS Stream のコントリビューターは、fedora-selinux/selinux-policy Git リポジトリーの c10s ブランチにコントリビュートすることで、SELinux ポリシーの開発に参加できるようになりました。これらの貢献内容は、RHEL 10 の SELinux ポリシーを改善するために使用されます。

Jira:RHEL-33844

setroubleshoot がバージョン 3.3.35 で提供される

setroubleshoot パッケージは、RHEL 10 のバージョン 3.3.35 で提供されます。このバージョンでは、さまざまな修正と機能拡張が行われていますが、最も重要なのは次のとおりです。

  • CoreOS のバックトレースが修正されました。
  • 壊れた AppStream メタデータが更新されました。
  • 使用アイコンのパスが最近更新されたパスに修正されました。

Jira:RHEL-68957

追加の libvirt サービス向けルールが SELinux ポリシーに追加される

libvirt サービスに関連する次の SELinux タイプが SELinux ポリシーに追加されました。

  • virt_dbus_t
  • virt_hook_unconfined_t
  • virt_qmf_t
  • virtinterfaced_t
  • virtnetworkd_t
  • virtnodedevd_t
  • virtnwfilterd_t
  • virtproxyd_t
  • virtqemud_t
  • virtsecretd_t
  • virtstoraged_t
  • virtvboxd_t
  • virtvzd_t
  • virtxend_t

Jira:RHEL-46893

EPEL パッケージに関連する SELinux ポリシーモジュールが selinux-policy-epel に移動される

RHEL パッケージではなく、Extra Packages for Enterprise Linux (EPEL) リポジトリーに含まれるパッケージのみに関連する SELinux ポリシーモジュールが、selinux-policy パッケージから新しい selinux-policy-epel パッケージに移動されました。その結果、selinux-policy のサイズが小さくなり、システムは SELinux ポリシーの再構築やロードなどの操作をより速く実行します。

Jira:RHEL-73505

SELinux ユーザー空間がバージョン 3.8 で提供される

RHEL 10 には、SELinux user-space コンポーネントがバージョン 3.8 に含まれています。このバージョンでは、以前のバージョンに比べて、特に次の点が機能拡張および修正されています。

  • CIL 出力モードに新しい audit2allow -C オプションが追加されました。
  • semanage ユーティリティーを使用すると add 時にレコードを変更できます。
  • semanage ユーティリティーは、ローカルの fcontext 定義をソートしなくなりました。
  • checkpolicy プログラムは、nodecon ステートメントの CIDR 表記をサポートします。
  • SELinux sandbox ユーティリティーは Wayland 表示プロトコルをサポートしています。
  • SELinux ポリシーの再構築中、ポリシーストア内のファイルコンテキストと所有権は保持されます。
  • バイナリー file_contexts.bin ファイルの形式が変更され、古い形式を使用するファイルは無視されます。新しい形式は最適化されており、アーキテクチャーに依存しません。SELinux ポリシーを再ビルドすることで、新しい形式のバイナリー file_contexts.bin ファイルを作成できます。
  • selabel_lookup ライブラリー呼び出しのパフォーマンスが大幅に向上しました。

Jira:RHEL-69451

Rsyslog はバージョン 8.2412.0 で提供される

rsyslog パッケージは、RHEL 10.0 ではバージョン 8.2412.0 で提供されます。他の修正や機能拡張に加えて、ルールセットを imjournal モジュールにバインドできるようになりました。この最適化により、ログメッセージを入力段階でフィルタリングして処理できるため、メインメッセージキューの負荷が軽減されます。この機能は、リソースの使用率を最小限に抑えることで、大量のログをよりスムーズに処理できるようにします。

Jira:RHEL-70110[1]

バージョン 21 で PKCS #11 をサポートする Clevis が提供される

RHEL 10 では、バージョン 21 で clevis パッケージが提供されます。このバージョンには、多くの機能拡張とバグ修正が含まれており、特に次の点が挙げられます。

  • PKCS #11 デバイス (スマートカード) を使用して LUKS で暗号化されたボリュームのロックを解除するための pkcs11 ピンを提供する clevis-pin-pkcs11 サブパッケージを追加しました。
  • clevis-udisks2 サブパッケージに 2 つのチェックを追加しました。
  • "Address in use" エラーを防ぐ修正を追加しました。

Jira:RHEL-60113

jose がバージョン 14 で提供される

jose パッケージは、RHEL 10 のバージョン 14 で提供されます。jose ユーティリティーは、Javascript Object Signing and Encryption (JOSE) 標準の C 言語実装です。最も重要な機能拡張と修正は次のとおりです。

  • SAST (Static Application Security Testing) プロセスによって報告されたエラーの修正として、OpenSSL の oct JWK タイプの len 関数の境界チェックが改善されました。
  • 保護された JSON Web Encryption (JWE) ヘッダーに zip が含まれなくなりました。
  • jose ユーティリティーは、高解凍チャンクを使用することで、サービス拒否 (DoS) 攻撃の可能性を回避します。

Jira:RHEL-38084

Keylime がバージョン 7.12 で提供される

RHEL 10 ではバージョン 7.12 の Keylime が提供され、これにより、最も重要な修正と機能拡張が提供されています。最も重要なのは次のとおりです。

  • 新しい keylime-policy ツールは、Keylime ランタイムポリシーと測定ブートポリシーのすべての管理タスクを統合し、ポリシー生成のパフォーマンスを向上させます。
  • verifier および tenant Keylime コンポーネントでは、agent コンポーネントのペイロードは不要になりました。

Jira:RHEL-75794

Libreswan がバージョン 5.2 で提供される

RHEL 10 では、Libreswan はアップストリームバージョン 5.2 で提供されています。このバージョンでは、多くのバグ修正と機能拡張が行われていますが、最も重要なのは次の点です。

  • whack コマンドの重複した --ctlsocket オプションが修正されました (RHEL-75605)。
  • ストリームの交差による期待値の失敗が修正されました (RHEL-73236)。
  • protoport 設定の解析が最適化されました (RHEL-74850)。
  • ipsec showhostkey コマンドの誤った出力が修正されました (RHEL-75975)。
  • ipsec --rereadsecrets 実行時のクラッシュが修正されました (RHEL-69403)。
  • keyingtries および dpd* オプションは無視されます。
  • ネットワーク名前空間の ipsec-interface-managed=no オプションが導入されました。

  • Linux 固有の更新:

    • Linux カーネル 6.7 以降でのパケットオフロードカウンターのサポートが追加されました。
    • RFC 9347 に従って、IP-TFS (IP Traffic Flow Security) サポートを実装しました。
    • 送信 SA の再生ウィンドウを 0 に設定することで、Linux カーネル 6.10 以降との互換性を確保しました。
    • 受信セキュリティーアソシエーション (SA) の nopmtudisc 設定に関連する問題を修正しました。IKEv2 の機能拡張:
    • RFC 5723 IKE Session Resumption のサポートが導入され、再認証なしでセッション再開が可能になりました。
    • キー交換メカニズムを強化する draft-ietf-ipsecme-ikev2-qr-alt-04 のサポートが追加されました。
    • セキュリティーを強化するために、INTERMEDIATE 交換に PPK (Post-quantum Pre-shared Key) を実装しました。
注記
SHA-1 を使用する PKCS #1 1.5 RSA によるピア認証を行うには、カスタムの暗号化ポリシーのサブポリシーを使用して、NSS で明示的に SHA-1 署名を許可する必要があります。これは、authby=rsa-sha1 が設定されている場合、または認証されたピアが RFC 7427 をサポートしていないデフォルト設定の場合に必要です。

Jira:RHEL-81045

ssh が SSH ログインエラーメッセージに関する追加の詳細へのリンクを提供するようになる

早期エラーが発生した場合、ssh コマンドラインツールは、一般的なエラーメッセージとその解決手順に関する追加の詳細が記載されている Red Hat カスタマーポータルページへのリンクを提供します。これは、対話型モードを使用するときに SSH ログインの問題をトラブルシューティングするのに役立ちます。

Jira:RHEL-62718[1]

バージョン 3.10.1 の nettle が提供される

RHEL 10 には、バージョン 3.10.1 の nettle ライブラリーパッケージが含まれています。このバージョンでは、さまざまなバグ修正、最適化、機能拡張が行われていますが、特に注目すべき点は次のとおりです。

  • SHA-256 ハッシュ、AES-GCM 暗号化、および AES 復号化全般が 64 ビット PowerPC 上で最適化される。
  • 新しい決定論的乱数ビットジェネレーターである DRBG-CTR-AES256 が追加される。
  • SHA-3 ファミリーの任意長ハッシュ関数である SHAKE-128 が追加される。
  • RSA-OAEP スキームのサポートが追加される。
  • SHAKE ハッシュアルゴリズムの増分インターフェイスが追加される。

Jira:RHEL-79116[1]

OpenSCAP が 1.3.12 にリベース

OpenSCAP パッケージがアップストリームバージョン 1.3.12 にリベースされました。このバージョンでは、バグ修正とさまざまな機能拡張が提供されます。詳細は、OpenSCAP リリースノート を参照してください。

Jira:RHEL-88845

0.1.76 で提供される SCAP Security Guide

詳細は、SCAP Security Guide release notes を参照してください。

Jira:RHEL-74239

トップに戻る
Red Hat logoGithubredditYoutubeTwitter

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

Red Hat をお使いのお客様が、信頼できるコンテンツが含まれている製品やサービスを活用することで、イノベーションを行い、目標を達成できるようにします。 最新の更新を見る.

多様性を受け入れるオープンソースの強化

Red Hat では、コード、ドキュメント、Web プロパティーにおける配慮に欠ける用語の置き換えに取り組んでいます。このような変更は、段階的に実施される予定です。詳細情報: Red Hat ブログ.

会社概要

Red Hat は、企業がコアとなるデータセンターからネットワークエッジに至るまで、各種プラットフォームや環境全体で作業を簡素化できるように、強化されたソリューションを提供しています。

Theme

© 2025 Red Hat