6.2. セキュリティー

RHEL 10.1 の crypto-policies はデフォルトで PQC アルゴリズムを有効にします

RHEL 10.1 のシステム全体の暗号化ポリシーは、耐量子計算機暗号 (PQC) のサポートを拡張し、すべての事前定義済みポリシーでデフォルトで PQC アルゴリズムを有効にします。RHEL 10.0 のバージョンに対する主な機能拡張と修正は次のとおりです。

AD-SUPPORT-LEGACY サブポリシーが crypto-policies に再度追加されました

AD-SUPPORT-LEGACY 暗号化サブポリシーが、RHEL に再度追加されました。このサブポリシーは、従来の RC4 暗号化をサポートし、古い Active Directory 実装との相互運用性を確保するために使用されます。

OpenSSL が 3.5 にリベースされました

OpenSSL がアップストリームバージョン 3.5 にリベースされました。このバージョンでは、特に次の点を含む重要な修正と機能拡張が行われています。

NSS が 3.112 にリベースされました

NSS 暗号化ツールキットパッケージが、アップストリームのバージョン 3.112 にリベースされました。これにより、多くの改善と修正が提供されます。主なものは次のとおりです。

libreswan が 5.3 にリベースされました

libreswan パッケージはアップストリームバージョン 5.3 にリベースされました。

GnuTLS が 3.8.10 にリベースされました

gnutls パッケージが 3.8.10 アップストリームリリースにリベースされました。これには次の機能拡張が含まれています。

Sequoia PGP が OpenPGP v6 をサポートするように更新されました

この更新により、sequoia-sq および sequoia-sqv が、耐量子計算機暗号 (PQC) 鍵を処理できるようになります。rpm-sequoia パッケージが、新たに OpenPGP v6 署名の検証をサポートするようになりました。その結果、Commercial National Security Algorithm Suite (CNSA) 2.0 標準に準拠した耐量子計算機デジタル署名を使用できるようになりました。

selinux-policy が 42.1 にリベースされました

selinux-policy パッケージはアップストリームバージョン 42.1 にリベースされました。このバージョンには、パッケージの改善など、多くの修正と改善が含まれています。特に、systemd ジェネレーターに関連する SELinux タイプが SELinux ポリシーに追加されました。

OpenSSL が sslkeylogfile をサポートするようになりました

OpenSSL は TLS の sslkeylogfile 形式をサポートしています。そのため、SSLKEYLOGFILE 環境変数を設定することで、SSL 接続によって生成されたすべてのシークレットをログに記録できます。

NSS が ML-DSA 鍵をサポートするようになりました

この更新により、Network Security Services (NSS) データベースが、Module-Lattice-Based Digital Signature Algorithm (ML-DSA) 鍵の使用をサポートするようになりました。ML-DSA は、National Institute of Standards and Technology (NIST) により、Cryptographically Relevant Quantum Computer (CRQC) からの攻撃に耐性があると認められた新しい署名アルゴリズムです。

ハイブリッド方式の ML-KEM 暗号が FIPS モードに対応しました

このリリースでは、ハイブリッド方式の Module-Lattice-Based Key-Encapsulation Mechanism (ML-KEM) の耐量子計算機暗号アルゴリズムが RHEL の FIPS モードでサポートされています。システムが FIPS モードで動作している場合、OpenSSL は、新しいハイブリッド方式の耐量子計算機グループの Elliptic Curve Diffie-Hellman (ECDH) 部分を、FIPS プロバイダーから取得できます。その結果、OpenSSL ライブラリーは、ハイブリッド耐量子計算機鍵交換の ECDH 部分に、FIPS 準拠の暗号化を使用するようになりました。

OpenSSL 3.5 が ML-KEM と ML-DSA に標準形式を使用するようになりました

RHEL 10.0 では、oqsprovider ライブラリーが、Module-Lattice-Based Key-Encapsulation Mechanism (ML-KEM) および Module-Lattice-Based Digital Signature Algorithm (ML-DSA) の秘密鍵に、標準化前の形式を使用していました。OpenSSL 3.5 へのリベースに伴い、ユーザーは次のコマンドを使用して ML-KEM 鍵と ML-DSA 鍵を標準形式に変換する必要があります。

SCAP Security Guide が 0.1.78 にリベースされました

詳細は、SCAP Security Guide release notes を参照してください。

EPEL パッケージに関連する SELinux ポリシーモジュールが、CRB リポジトリーの -extra サブパッケージに移動されました

RHEL 10.0 で、Extra Packages for Enterprise Linux (EPEL) リポジトリーに含まれるパッケージにのみ関連し、RHEL パッケージには関連しない SELinux ポリシーモジュールが、selinux-policy パッケージから selinux-policy-epel パッケージに移動されました。これにより、selinux-policy のサイズが縮小され、システムが SELinux ポリシーの再構築や読み込みなどの操作をより迅速に実行できるようになりました。

setroubleshoot-server が initscripts を必要としなくなりました

この更新前は、setroubleshoot-server SELinux 診断ツールの %post および %postun スクリプトレットが、/sbin/service を呼び出していました。この更新により、スクリプトレットは、auditd サービスを再ロードするために auditctl を直接呼び出し、/sbin/service の使用を回避するようになりました。この機能拡張により、依存関係の構造が簡素化され、スクリプトレットの実行が効率化されます。

OpenSSH が known_hosts 内の無効な RSA ホストキーを無視するようになりました

この更新前は、known_hosts に不適切なホストキーしか含まれていない場合、サーバーに有効なホストキーがあっても、OpenSSH がサーバーのホストキーを受信したときに、bad hostkey: Invalid key length というメッセージが表示され、SSH 接続が失敗していました。この更新により、OpenSSH は、known_hosts ファイル内の短すぎて無効な RSA ホストキーを無視するようになりました。その結果、SSH 接続が失敗しなくなり、OpenSSH が新しいキーを受信して接続を確立できるようになりました。

3 つの RHEL サービスが SELinux の permissive モードから削除されました

RHEL サービスの次の SELinux ドメインは、SELinux permissive モードから削除されました。

GnuTLS が TLS 接続で ML-DSA 鍵をサポートするようになりました

この更新により、GnuTLS ライブラリーが、TLS 1.3 接続で、Module-Lattice-Based Digital Signature Algorithm (ML-DSA) 鍵を使用した X.509 証明書の使用をサポートするようになりました。量子コンピューターによる攻撃に耐えるには、証明書チェーンと TLS ハンドシェイクを ML-DSA などの耐量子計算機アルゴリズムで認証する必要があります。

OpenSSH サーバーが Kerberos 認証インジケーターをサポートするようになりました

Match 設定を使用する場合、OpenSSH サーバーは Kerberos チケットに含まれる認証インジケーターをサポートします。sshd 設定で GSSAPIIndicators オプションが定義されている場合、インジケーターを含んでいてもポリシーと一致しない Kerberos チケットは拒否されます。アクセス用または拒否用のインジケーターが少なくとも 1 つ設定されている場合、認証インジケーターのないチケットが明示的に拒否されます。詳細は、システム上の sshd_config(5) man ページを参照してください。

DNS over TLS が RHEL 10.1 で一般提供になりました

暗号化された DNS (eDNS) が、DNS-over-TLS (DoT) プロトコルを使用してすべての DNS 通信を保護するために、一般提供になりました。eDNS を使用すると、新しい RHEL インストール環境を起動時に保護できます。これにより、プレーンテキストの DNS トラフィックが一切送信されなくなります。既存の RHEL システムを eDNS を使用するように変換することもできます。

SELinux ポリシーに qgs デーモン用のルールとタイプが追加されました

qgs デーモンが、TDX 機密仮想化をサポートする linux-sgx パッケージとともに RHEL に追加されました。qgs デーモンは、ゲスト OS が仮想マシン (VM) のアテステーションを要求すると、UNIX ドメインソケットを介して QEMU と通信します。これを可能にするために、SELinux ポリシーに、新しい qgs_t タイプ、アクセスルール、および権限が追加されます。

audit.cron を利用して時間ベースの auditd のログローテーションを設定できるようになりました

この更新により、audit パッケージに auditd.cron ファイルが追加されました。この機能拡張は、既存のツールを使用して時間ベースの auditd のログローテーションを設定する方法に関して、文書化された明確な例を提供するものです。その結果、管理者が時間ベースの auditd のログローテーションを設定する際に、シンプルな公式ガイドを利用できるようになりました。

SELinux ポリシーに制限されている追加サービス

この更新により、次の systemd サービスを制限する追加のルールが SELinux ポリシーに追加されます。