4.7. セキュリティー

新しいパッケージ: keylime

RHEL 9.1 では、トラステッドプラットフォームモジュール (TPM) テクノロジーを使用するリモートシステムの認証用ツールである Keylime が導入されています。Keylime を使用すると、リモートシステムのインテグリティーを検証し、継続的に監視できます。また、Keylime が監視対象のマシンに配信する暗号化されたペイロードを指定し、システムがインテグリティーテストに失敗するたびにトリガーされる自動アクションを定義することもできます。

OpenSSH の新しいオプションは、最小 RSA キー長の設定をサポートします

誤って短い RSA キーを使用すると、システムが攻撃に対してより脆弱になります。今回の更新により、OpenSSH サーバーおよびクライアントの最小 RSA キー長を設定できるようになりました。最小 RSA キー長を定義する場合、OpenSSH サーバーでは /etc/ssh/sshd_config ファイルで、OpenSSH クライアントでは /etc/ssh/ssh_config ファイルで新しい RSAMinSize オプションを使用します。

crypto-policies は、デフォルトで OpenSSH の最小 2048 ビット RSA キー長を強制します

短い RSA キーを使用すると、システムが攻撃に対してより脆弱になります。OpenSSH は最小 RSA キー長の制限をサポートするようになったため、システム全体の暗号化ポリシーは、デフォルトで RSA の最小キー長を 2048 ビットにします。

OpenSSL の新しいオプションは、署名で SHA-1 をサポートします

RHEL 9 の OpenSSL 3.0.0 は、デフォルトで署名の作成と検証で SHA-1 をサポートしていません (SHA-1 鍵派生関数 (KDF) とハッシュベースのメッセージ認証コード (HMAC) はサポートされています)。ただし、引き続き署名に SHA-1 を使用する RHEL 8 システムとの後方互換性をサポートするために、新しい設定オプション rh-allow-sha1-signatures が RHEL 9 に導入されました。このオプションが openssl.cnf の alg_section で有効になっている場合、SHA-1 署名の作成と検証が許可されます。

crypto-policies が sntrup761x25519-sha512@openssh.com をサポートするようになりました

システム全体の暗号化ポリシーの更新により、sntrup761x25519-sha512@openssh.com キー交換 (KEX) メソッドのサポートが追加されました。ポスト量子 sntrup761 アルゴリズムは OpenSSH スイートですでに利用可能であり、この方法は量子コンピューターからの攻撃に対してより優れたセキュリティーを提供します。sntrup761x25519-sha512@openssh.com を有効にするには、サブポリシーを作成して適用します。次に例を示します。

NSS が 1023 ビット未満の RSA 鍵に対応しなくなる

Network Security Services (NSS) ライブラリーの更新により、すべての RSA 操作の最小鍵サイズが 128 から 1023 ビットに変更されます。つまり、NSS は以下の機能を実行しなくなります。

SELinux ポリシーは追加のサービスを制限します

selinux-policy パッケージが更新されたため、次のサービスが SELinux によって制限されるようになりました。

SELinux は型遷移で self キーワードをサポートします

SELinux ツールは、ポリシーソースで self キーワードを使用した型遷移ルールをサポートするようになりました。self キーワードによる型遷移のサポートにより、SELinux ポリシーで匿名 i ノードのラベル付けが準備されます。

SELinux ユーザー空間パッケージが更新されました

SELinux ユーザー空間パッケージ libsepol、libselinux、libsemanage、policycoreutils、checkpolicy、および mcstrans は、最新のアップストリームリリース 3.4 に更新されました。主な変更点は以下のとおりです。

SELinux の自動ラベル再設定がデフォルトで並列化されるようになりました

新しく導入された並列ラベル再設定オプションにより、マルチコアシステムでの SELinux ラベル再設定に必要な時間が大幅に短縮されるため、自動ラベル再設定スクリプトには、fixfiles コマンドラインに -T 0 オプションが含まれるようになりました。-T 0 オプションを指定すると、setfiles プログラムは、デフォルトでラベルの再設定に使用可能なプロセッサーコアの最大数を使用するようになります。

SCAP セキュリティーガイドが 0.1.63 にリベースされました

SCAP セキュリティーガイド (SSG) パッケージは、アップストリームバージョン 0.1.63 にリベースされました。このバージョンは、さまざまな拡張機能とバグ修正を提供します。特に、次のようなものがあります。

Rsyslog エラーファイルの最大サイズオプションを追加しました

新しい action.errorfile.maxsize オプションを使用すると、Rsyslog ログ処理システムのエラーファイルの最大バイト数を指定できます。エラーファイルが指定されたサイズに達すると、Rsyslog は追加のエラーやその他のデータを書き込むことができなくなります。これにより、エラーファイルが原因でファイルシステムがいっぱいになり、ホストが使用できなくなるのを防ぐことができます。

clevis-luks-askpass がデフォルトで有効になりました

/lib/systemd/system-preset/90-default.preset ファイルには enable clevis-luks-askpass.path 設定オプションが含まれます。clevis-systemd サブパッケージをインストールすると、必ず clevis-luks-askpass.path ユニットファイルが有効になります。これにより、Clevis 暗号化クライアントは、起動プロセスの後半でマウントされる LUKS 暗号化ボリュームもロック解除できます。この更新の前に、管理者は systemctl enable clevis-luks-askpass.path コマンドを使用して、Clevis がそのようなボリュームのロックを解除できるようにする必要があります。

fapolicyd が 1.1.3 にリベースされました。

fapolicyd パッケージがバージョン 1.1.3 にアップグレードされました。主な改善点とバグ修正は次のとおりです。