6.2. 보안

RHEL 10.1 암호화 정책에서 는 기본적으로 PQC 알고리즘 활성화

RHEL 10.1의 시스템 전체 암호화 정책은 PQC(Post-quantum 암호화)에 대한 지원을 확장하고 사전 정의된 모든 정책에서 기본적으로 PQC 알고리즘을 활성화합니다. RHEL 10.0의 버전에 대한 주요 개선 사항 및 수정 사항은 다음과 같습니다.

AD-SUPPORT-LEGACY 하위 정책을 crypto-policies에 다시 추가

오래된 Active Directory 구현과의 상호 운용성을 위해 레거시 RC4 암호화를 지원하는 데 사용되는 AD-SUPPORT-LEGACY 암호화 하위 정책은 RHEL에 다시 추가됩니다.

OpenSSL이 3.5로 업데이트됨

OpenSSL은 업스트림 버전 3.5를 기반으로 합니다. 이 버전은 중요한 수정 사항 및 개선 사항을 제공합니다. 특히 다음과 같습니다.

NSS 3.112 기반

NSS 암호화 툴킷 패키지는 업스트림 버전 3.112를 기반으로 변경되어 많은 개선 사항 및 수정 사항을 제공합니다. 특히 다음과 같습니다.

Libreswan은 5.3에 기반

libreswan 패키지는 5.3 업스트림 버전을 기반으로 합니다.

GnuTLS가 3.8.10으로 업데이트

gnutls 패키지는 다음과 같은 향상된 기능이 포함된 3.8.10 업스트림 릴리스를 기반으로 합니다.

Sequoia PGP가 OpenPGP v6을 지원하도록 업데이트

이번 업데이트를 통해 sequoia-sq 및 sequoia-sqv 는 PQC(Post-quantum 암호화) 키를 처리할 수 있습니다. rpm-sequoia 패키지는 OpenPGP v6 서명의 확인을 지원합니다. 그 결과, CCNSA(Commercial National Security Algorithm Suite) 2.0 표준을 준수하는 난수성 디지털 서명을 사용할 수 있습니다.

SELinux-policy 가 42.1로 업데이트됨

selinux-policy 패키지는 업스트림 버전 42.1에 기반합니다. 이 버전에는 패키지 개선을 포함하여 많은 수정 사항 및 개선 사항이 포함되어 있습니다. 특히 systemd 생성기와 관련된 SELinux 유형이 SELinux 정책에 추가되었습니다.

OpenSSL 지원 sslkeylogfile

OpenSSL은 TLS에 대한 sslkeylogfile 형식을 지원합니다. 따라서 SSLKEYLOGFILE 환경 변수를 설정하여 SSL 연결에 의해 생성된 모든 보안을 기록할 수 있습니다.

NSS는 ML-DSA 키 지원

이번 업데이트를 통해 NSS(Network Security Services) 데이터베이스는 이제 ML-DSA(Module-Lattice-Based Digital Signature Algorithm) 키 사용을 지원합니다. ML-DSA는 NIST(National Institute of Standards and Technology)에서 승인한 새로운 서명 알고리즘으로, Cryptographically Relevant Cryostatum Computer (CRQC)의 공격에 반대합니다.

하이브리드 ML-KEM 암호화는 FIPS 모드에서 작동합니다.

이번 릴리스에서는 Hybrid Module-Lattice-Based Key-Encapsulation Mechanism (ML-KEM) post-quantum 암호화 알고리즘이 RHEL의 FIPS 모드에서 지원됩니다. OpenSSL은 FIPS 모드에서 시스템이 실행되는 경우 FIPS 공급자에서 새로운 하이브리드 post-quantum 그룹의 ECDH(Elliptic Curve Diffie-Hellman) 부분을 가져올 수 있습니다. 그 결과 OpenSSL 라이브러리는 하이브리드 정족 후 키 교환의 ECDH 부분에 FIPS 호환 암호화를 사용합니다.

OpenSSL 3.5는 ML-KEM 및 ML-DSA에 표준 형식을 사용합니다.

RHEL 10.0에서 oqsprovider 라이브러리는 Module-Lattice-Based Key-Encapsulation Mechanism (ML-KEM) 및 Module-Lattice-Based Digital Signature Algorithm (ML-DSA) 개인 키에 대해 사전 표준 형식을 사용했습니다. OpenSSL 3.5로 리베이스를 사용하면 다음 명령을 사용하여 ML-KEM 및 ML-DSA 키를 표준 형식으로 변환해야 합니다.

0.1.78에 기반 SCAP 보안 가이드

자세한 내용은 SCAP 보안 가이드 릴리스 노트를 참조하십시오.

EPEL 패키지와 관련된 SELinux 정책 모듈이 CRB 리포지토리의 -extra 하위 패키지로 이동

RHEL 10.0에서는 EPEL(Extra Packages for Enterprise Linux) 리포지토리에 포함된 패키지와만 관련된 SELinux 정책 모듈은 RHEL 패키지에서 selinux-policy 패키지에서 selinux-policy-epel 패키지로 이동하지 않았습니다. 이로 인해 selinux-policy 크기가 감소하여 시스템이 SELinux 정책을 다시 빌드하고 로드하는 등의 작업을 더 빨리 수행할 수 있습니다.

setroubleshoot-server 에는 더 이상 initscripts가 필요하지 않음

이번 업데이트 이전에는 /sbin/service 라는 setroubleshoot-server SELinux 진단 툴에 대한 %post 및 %postun scriptlets . 이번 업데이트를 통해 이제 scriptlets에서 auditd 서비스를 다시 로드하기 위해 auditctl 을 직접 호출하고 /sbin/service 사용을 바이패스합니다. 이번 개선된 기능을 통해 종속성 구조를 단순화하고 포틀릿 실행을 간소화합니다.

OpenSSH는 known_hosts에서 잘못된 RSA hostkeys를 무시합니다.

이번 업데이트 이전에는 known_hosts 에 잘못된 hostkey만 포함된 경우 서버에 유효한 hostkeys를 사용할 수 있더라도 OpenSSH에서 서버 hostkey를 수신했을 때 잘못된 hostkey: 잘못된 키 길이 메시지로 SSH 연결이 실패했습니다. 이번 업데이트를 통해 OpenSSH는 known_hosts 파일에서 너무 짧기 때문에 유효하지 않은 RSA hostkeys를 무시합니다. 결과적으로 SSH 연결에 실패한 대신 OpenSSH는 새 키를 수신하고 연결을 설정할 수 있습니다.

SELinux 허용 모드에서 제거된 RHEL 서비스 세 개

다음 RHEL 서비스 도메인은 SELinux 허용 모드에서 제거되었습니다.

GnuTLS는 TLS 연결에서 ML-DSA 키를 지원합니다.

이번 업데이트를 통해 GnuTLS 라이브러리는 TLS 1.3 연결에서 ML-DSA(Module-Lattice-Based Digital Signature Algorithm) 키가 있는 X.509 인증서 사용을 지원합니다. 난체 컴퓨터에 의한 공격에 대한 저항의 경우, 인증서 체인과 TLS 핸드셰이크는 ML-DSA와 같은 정량 알고리즘으로 인증되어야 합니다.

OpenSSH 서버는 Kerberos 인증 표시기 지원

OpenSSH 서버는 구성 일치에서 Kerberos 티켓의 인증 지표를 지원합니다. GSSAPIIndicators 옵션이 sshd 구성에 정의된 경우 지표가 있지만 정책과 일치하지 않는 Kerberos 티켓이 거부됩니다. 액세스 또는 거부 여부에 관계없이 하나 이상의 표시기가 구성된 경우 인증 표시기가 없는 티켓이 명시적으로 거부됩니다. 자세한 내용은 시스템의 sshd_config(5) 도움말 페이지를 참조하십시오.

RHEL 10.1에서 TLS를 통한 DNS 사용 가능

암호화된 DNS(eDNS)는 일반적으로 DNS-over-TLS(DoT) 프로토콜을 사용하여 모든 DNS 통신을 보호할 수 있습니다. eDNS를 사용하여 부팅 시 새 RHEL 설치를 보호할 수 있으므로 일반 텍스트 DNS 트래픽이 전송되지 않습니다. eDNS를 사용하도록 기존 RHEL 시스템을 변환할 수도 있습니다.

SELinux 정책은 qgs 데몬에 대한 규칙 및 유형을 추가합니다.

TDX 기밀 가상화를 지원하는 linux-sgx 패키지를 사용하여 qgs 데몬이 RHEL에 추가되었습니다. 게스트 OS가 VM(가상 머신) 인증을 요청할 때 qgs 데몬은 UNIX 도메인 소켓을 통해 QEMU와 통신합니다. 이를 위해 SELinux 정책은 새 qgs_t 유형, 액세스 규칙 및 권한을 추가합니다.

audit.cron 은 시간 기반 auditd 로그 교체를 설정하는 데 도움이 됩니다.

이번 업데이트를 통해 auditd.cron 파일이 감사 패키지에 추가되었습니다. 이번 개선된 기능을 통해 기존 툴을 사용하여 시간 기반 auditd 로그 교체를 구성하는 방법에 대한 명확한 예가 있습니다. 결과적으로 관리자는 시간에 따라 auditd 로그 회전을 설정하는 간단한 공식 가이드가 있습니다.

SELinux 정책에 제한된 추가 서비스

이번 업데이트에서는 다음 systemd 서비스를 제한하는 SELinux 정책에 추가 규칙이 추가되었습니다.