4.6. セキュリティー

FIPS モードに、FIPS 140-3 を対象とするよりセキュアな設定が追加されました。

カーネルの FIPS モード設定が、連邦情報処理標準 (FIPS) 140-3 に準拠するように調整されました。この変更により、多くの暗号化アルゴリズム、関数、および暗号スイートに対して、より厳しい設定が導入されました。以下に例を示します。

Libreswan が 4.9 にリベースされました。

libreswan パッケージがバージョン 4.9 にアップグレードされました。以前のバージョンに対する主な変更点は、以下のとおりです。

SELinux が udftools を制限するようになりました。

selinux-policy パッケージの今回の更新により、SELinux は udftools サービスを制限します。

systemd-socket-proxyd の新しい SELinux ポリシー

systemd-socket-proxyd サービスには特定のリソースの使用が必要なため、必要なルールを含む新しいポリシーが selinux-policy パッケージに追加されました。その結果、このサービスは SELinux ドメインで実行されるようになりました。

OpenSCAP が 1.3.7 にリベースされました。

OpenSCAP パッケージがアップストリームバージョン 1.3.7 にリベースされました。このバージョンは、さまざまなバグ修正と機能拡張を提供します。特に、次のとおりです。

Rsyslog ログファイルの scap-security-guide ルールは、RainerScript と互換性があります。

Rsyslog ログファイルの所有権、グループ所有権、およびアクセス許可を確認および修正するための scap-security-guide のルールが、RainerScript 構文を使用して定義されたログファイルとも互換性を持つようになりました。最新のシステムはすでに Rsyslog 設定ファイルで RainerScript 構文を使用していますが、それぞれのルールはこの構文を認識できませんでした。その結果、scap-security-guide ルールは、使用可能な両方の構文で、Rsyslog ログファイルの所有権、グループ所有権、およびアクセス許可をチェックして修正できるようになりました。

STIG セキュリティープロファイルがバージョン V1R9 に更新されました。

SCAP セキュリティーガイドの DISA STIG for Red Hat Enterprise Linux 8 プロファイルが更新され、最新バージョンの V1R9 に合わせて更新されました。このリリースには、V1R8 で公開された変更も含まれています。

RHEL 8 STIG プロファイルのベンチマークとの整合性が向上しました。

RHEL 8 STIG 要件を満たす 4 つの既存のルールは、データストリームには組み込まれていましたが、以前は STIG プロファイル (stig および stig_gui) には含まれていませんでした。今回の更新により、以下のルールがプロファイルに含まれるようになりました。

SCAP セキュリティーガイドが 0.1.66 にリベースされました。

SCAP セキュリティーガイド (SSG) パッケージがアップストリームバージョン 0.1.66 にリベースされました。このバージョンは、さまざまな拡張機能とバグ修正を提供します。特に、次のようなものがあります。

OpenSSL ドライバーが Rsyslog で証明書チェーンを使用できるようになりました。

NetstreamDriverCaExtraFiles ディレクティブを使用すると、複数の追加の認証局 (CA) ファイルを設定できます。今回の更新により、複数の CA ファイルを指定できるようになり、SSL 証明書チェーンに必要な OpenSSL ライブラリーでそれらを検証できるようになりました。その結果、OpenSSL ドライバーを使用して Rsyslog で証明書チェーンを使用できるようになります。

opencryptoki が 3.19.0 にリベースされました。

opencryptoki パッケージがバージョン 3.19.0 にリベースされ、多くの機能強化とバグ修正が提供されています。最も注目すべき点は、opencryptoki が次の機能をサポートするようになったということです。

アイドルセッション終了の新しい SCAP ルール

新しい SCAP ルール logind_session_timeout が拡張レベルおよび高レベルの ANSSI-BP-028 プロファイルの scap-security-guide パッケージに追加されました。このルールは、systemd サービスマネージャーの新機能を使用し、一定時間が経過すると、アイドル状態のユーザーセッションを終了します。このルールは、複数のセキュリティーポリシーで必要とされる堅牢なアイドルセッション終了メカニズムの自動設定を提供します。その結果、OpenSCAP はアイドル状態のユーザーセッションの終了に関連するセキュリティー要件を自動的にチェックし、必要に応じて修正できます。

fapolicyd は RPM データベースのフィルタリングを提供するようになりました。

新しい設定ファイル /etc/fapolicyd/rpm-filter.conf を使用すると、fapolicyd ソフトウェアフレームワークが信頼データベースに保存する RPM データベースファイルのリストをカスタマイズできます。これにより、RPM によってインストールされた特定のアプリケーションをブロックしたり、デフォルトの設定フィルターによって拒否されたアプリケーションを許可したりできます。