6장. 보안
sudoers Entries에서 권한 있는 일치 처리
sudo 유틸리티는 sudoers 항목의
/etc/nsswitch.conf 파일을 참조하고 파일에서 조회하거나 LDAP를 사용할 수 있습니다. 이전에는 sudoers 항목의 첫 번째 데이터베이스에서 일치 항목이 발견되면 다른 데이터베이스(파일 포함)에서 조회 작업이 계속되었습니다. Red Hat Enterprise Linux 6.4에서는 사용자가 sudoers 항목의 일치 항목이 충분한 데이터베이스를 지정할 수 있는 옵션이 /etc/nsswitch.conf 파일에 추가되었습니다. 이렇게 하면 다른 데이터베이스를 쿼리할 필요가 없으므로 대규모 환경에서 sudoers 항목의 성능이 향상됩니다. 이 동작은 기본적으로 활성화되어 있지 않으며 선택한 데이터베이스 후에 [SUCCESS= return] 문자열을 추가하여 구성해야 합니다. 이 문자열 앞에 직접 일치하는 데이터베이스가 발견되면 다른 데이터베이스를 쿼리하지 않습니다.
pam_cracklib에 대한 추가 암호 검사
pam_cracklib 모듈이 여러 개의 새 암호 강도 검사를 추가하도록 업데이트되었습니다.
- 특정 인증 정책은 "abcd" 또는 "98765"와 같은 긴 연속 시퀀스를 포함하는 암호를 허용하지 않습니다. 이번 업데이트에서는 새
maxsequence옵션을 사용하여 이러한 시퀀스의 최대 길이를 제한할 수 있습니다. - 이제
pam_cracklib모듈을 사용하면 새 암호가/etc/passwd파일의 항목에서 GECOS 필드의 단어가 포함되어 있는지 확인할 수 있습니다. GECOS 필드는 사용자의 전체 이름 또는 전화 번호와 같은 사용자에 대한 추가 정보를 저장하는 데 사용됩니다. 공격자가 암호를 해독하려고 할 수 있습니다. - 이제
pam_cracklib모듈에서maxrepeatclass옵션을 통해 암호에 동일한 클래스의 연속 문자(낮은, 대문자, 숫자 및 특수 문자)의 최대 허용 수를 지정할 수 있습니다. pam_cracklib모듈에서는 root 계정의 새 암호에 대한 복잡성 제한을 적용하는enforce_for_root옵션을 지원합니다.
tmpfs polyinstantiation의 크기 옵션
여러 tmpfs 마운트가 있는 시스템에서는 모든 시스템 메모리를 차지하지 않도록 크기를 제한해야 합니다. PAM이
/etc/namespace.conf 구성 파일에서 mntopts=size= <size> 옵션을 사용하여 tmpfs polyinstantiation을 사용할 때 tmpfs 파일 시스템 마운트의 최대크기를 지정하도록 업데이트되었습니다.
비활성 계정 잠금
특정 인증 정책에서는 특정 기간 동안 사용되지 않는 계정 잠금을 지원해야 합니다. Red Hat Enterprise Linux 6.4는
pam_lastlog 모듈에 추가 기능을 도입하여 사용자가 구성 가능한 일수 후에 계정을 잠글 수 있습니다.
libica에 대한 새로운 작업 모드
IBM System z에서 IBM eServer Cryptographic Accelerator(ICA) 하드웨어에 액세스하는 데 필요한 기능 및 유틸리티 세트가 포함된
libica 라이브러리는 CPACF(Central Processor Assist Assist Assist Access for Cryptographic Function)의 메시지 보안 지원 확장 4 명령을 지원하는 새로운 알고리즘을 사용하도록 수정되었습니다. DES 및 3DES 블록 암호의 경우 다음 작업 모드가 지원됩니다.
- Ciphertext Stealing (CBC-CS)을 사용한 암호화 블록 체인
- CMAC(암호 기반 메시지 인증 코드)
AES 블록 암호의 경우 다음 작업 모드가 지원됩니다.
- Ciphertext Stealing (CBC-CS)을 사용한 암호화 블록 체인
- Cipher Block Chaining Message Authentication Code (CCM)에 대응
- Galois/Counter (GCM)
복잡한 암호화 알고리즘의 가속화는 IBM System z 머신의 성능을 크게 향상시킵니다.
시스템 z용 zlib 압축 라이브러리의 최적화 및 지원
IBM System z에서 압축 성능을 개선하도록 범용 손실 없는 데이터 압축 라이브러리인 zlib 라이브러리가 업데이트되었습니다.
대체 방화벽 구성
이제
iptables 및 ip6tables 서비스에서 기본 구성을 적용할 수 없는 경우 대체 방화벽 구성을 할당하는 기능을 제공합니다. /etc/sysconfig/iptables 의 방화벽 규칙을 적용하는 데 실패하면 대체 파일이 적용됩니다. 대체 파일의 이름은 /etc/sysconfig/iptables.fallback 으로 지정되며 iptables-save 파일 형식( /etc/sysconfig/iptables과 동일)을 사용합니다. 대체 파일의 애플리케이션도 실패하면 추가 폴백이 없습니다. 대체 파일을 생성하려면 표준 방화벽 구성 툴을 사용하고 파일 이름을 대체 파일로 바꾸거나 복사합니다. ip6tables 서비스에 동일한 프로세스를 사용하고 “iptables” 를 “ip6tables” 로만 바꿉니다.
