4.2. セキュリティー

Keylime verifier および registrar コンテナーが利用可能になる

Keylime サーバーコンポーネント (verifier および registrar) を、コンテナーとして設定できるようになりました。コンテナー内で実行されるように設定した場合、Keylime registrar はホストにバイナリーがなくてもコンテナーからテナントシステムを監視します。コンテナーのデプロイメントにより、Keylime コンポーネントの分離性、モジュール性、再現性が向上します。

libkcapi が、ハッシュ値の計算でターゲットファイル名を指定するオプションを提供するようになりました

この libkcapi (Linux カーネル暗号化 API) パッケージの更新により、ハッシュ値の計算でターゲットファイル名を指定するための新しいオプション -T が導入されます。このオプションの値は、処理済みの HMAC ファイルで指定されたファイル名をオーバーライドします。このオプションは、-c オプションとの併用でのみ使用できます。以下に例を示します。

crypto-policies を使用した SSH の MAC のより細かい制御

システム全体の暗号化ポリシー (crypto-policies) で、SSH プロトコルのメッセージ認証コード (MAC) の追加オプションを設定できるようになりました。この更新により、crypto-policies オプション ssh_etm が、トライステート etm@SSH オプションに変換されました。以前の ssh_etm オプションは非推奨になりました。

semanage fcontext コマンドがローカルの変更を並べ替えなくなりました

semanage fcontext -l -C コマンドは、file_contexts.local ファイルに保存されているローカルファイルコンテキストの変更をリスト表示します。restorecon ユーティリティーは、file_contexts.local 内のエントリーを最も新しいエントリーから最も古いエントリーへと順番に処理します。以前の semanage fcontext -l -C は、エントリーを間違った順序でリスト表示していました。処理順序とリスト表示順序の不一致により、SELinux ルールの管理時に問題が発生していました。この更新により、semanage fcontext -l -C は、最も古いルールから最も新しいルールへと、期待どおりの正しい順序でルールを表示するようになりました。

SELinux ポリシーに制限されている追加サービス

この更新により、次の systemd サービスを制限する追加のルールが SELinux ポリシーに追加されます。

SAP HANA サービス用の新しい SELinux ポリシーモジュール

この更新により、SAP HANA サービスの SELinux ポリシーに追加のルールが追加されます。その結果、サービスは sap_unconfined_t ドメインの SELinux enforcing モードで正常に実行されるようになりました。

glusterd SELinux モジュールは別の glusterfs-selinux パッケージへ移動

この更新により、glusterd SELinux モジュールは別の glusterfs-selinux パッケージで管理されるようになりました。したがって、このモジュールは selinux-policy パッケージの一部ではなくなりました。glusterd モジュールに関係するアクションについては、glusterfs-selinux パッケージをインストールして使用します。

OpenSSL 用の fips.so ライブラリーは別パッケージとして提供される

OpenSSL は、FIPS プロバイダーとして fips.so 共有ライブラリーを使用します。この更新により、認定のために米国立標準技術研究所 (NIST) に提出された fips.so の最新バージョンが、別のパッケージに含まれるようになりました。これにより、OpenSSL の将来のバージョンでは、認定済みのコードまたは認定中のコードが使用されるようになります。

chronyd-restricted サービスは SELinux ポリシーによって制限される

この更新では、新しい chronyd-restricted サービスを制限する追加のルールが SELinux ポリシーに追加されます。その結果、サービスは SELinux で正常に実行されるようになりました。

OpenSSL がプロバイダー設定用のドロップインディレクトリーを追加する

OpenSSL TLS ツールキットは、暗号化アルゴリズムを提供するモジュールのインストールおよび設定のためのプロバイダー API をサポートしています。この更新により、メインの OpenSSL 設定ファイルを変更せずに、プロバイダー固有の設定を /etc/pki/tls/openssl.d ディレクトリー内の個別の .conf ファイルに配置できるようになります。

SELinux ユーザー空間コンポーネントが 3.6 にリベース

SELinux ユーザー空間コンポーネント libsepol、libselinux、libsemanage、policycoreutils、checkpolicy、および mcstrans ライブラリーパッケージが 3.6 にリベースされました。このバージョンでは、さまざまなバグ修正、最適化、機能拡張が行われていますが、特に注目すべき点は次のとおりです。

GnuTLS が 3.8.3 にリベース

GnuTLS パッケージはアップストリームバージョン 3.8.3 にリベースされました。このバージョンでは、さまざまなバグ修正と機能拡張が行われていますが、特に注目すべき点は次のとおりです。

nettle が 3.9.1 にリベース

nettle ライブラリーパッケージが 3.9.1 にリベースこのバージョンでは、さまざまなバグ修正、最適化、機能拡張が行われていますが、特に注目すべき点は次のとおりです。

p11-kit が 0.25.3 にリベース

p11-kit パッケージが、アップストリームバージョン 0.25.3 に更新されました。このパッケージには、PKCS #11 モジュールを管理するための p11-kit ツール、信頼ポリシーストアを操作するための trust ツール、および p11-kit ライブラリーが含まれています。注目すべき機能拡張は次のとおりです。

libkcapi が 1.4.0 にリベース

Linux カーネル暗号化 API へのアクセスを提供する libkcapi ライブラリーは、アップストリームバージョン 1.4.0 にリベースされました。この更新には、さまざまな機能拡張とバグ修正が含まれています。主なものは次のとおりです。

OpenSSH でのユーザーとグループの作成に sysusers.d 形式を使用します

以前、OpenSSH は静的な useradd スクリプトを使用していました。この更新により、OpenSSH は sysusers.d 形式を使用してシステムユーザーを宣言するようになり、システムユーザーをイントロスペクションできるようになりました。

OpenSSH は認証における人為的な遅延を制限します

ログイン失敗後の OpenSSH の応答は、ユーザー列挙攻撃を防ぐために人為的に遅延されます。この更新では、特権アクセス管理 (PAM) の処理などでリモート認証に時間がかかりすぎる場合に、このような遅延に対して上限を導入します。

stunnel が 5.71 にリベースされました

stunnel TLS/SSL トンネリングサービスが、アップストリームバージョン 5.71 にリベースされました。

Rsyslog で capabilities をドロップするための新しいオプション

次のグローバルオプションを使用して、capabilities をドロップするときの Rsyslog の動作を設定できるようになりました。

audit が 3.1.2 にリベース

Linux の Audit システムがバージョン 3.1.2 に更新されました。これにより、以前にリリースされたバージョン 3.0.7 に対するバグ修正、機能拡張、およびパフォーマンス向上が実現しました。主な機能拡張は、次のとおりです。

Rsyslog が 8.2310 にリベース

Rsyslog ログ処理システムがアップストリームバージョン 8.2310 にリベースされました。この更新では、重要な機能拡張とバグ修正が導入されました。主な機能拡張は、次のとおりです。

SCAP セキュリティーガイドが 0.1.72 にリベース

SCAP セキュリティーガイド (SSG) パッケージが、アップストリームバージョン 0.1.72 にリベースされました。このバージョンでは、バグ修正とさまざまな機能拡張が行われています。主なものは次のとおりです。