4.7. 보안

새 패키지: keylime

RHEL 9.1에서는 신뢰할 수 있는 플랫폼 모듈(TPM) 기술을 사용하는 원격 시스템을 검증하기 위한 툴인 Keylime을 도입했습니다. Keylime을 사용하면 원격 시스템의 무결성을 확인하고 지속적으로 모니터링할 수 있습니다. Keylime이 모니터링된 머신에 제공하는 암호화된 페이로드를 지정하고 시스템이 무결성 테스트에 실패할 때마다 트리거하는 자동화된 작업을 정의할 수도 있습니다.

OpenSSH의 새로운 옵션은 최소 RSA 키 길이 설정 지원

실수로 짧은 RSA 키를 사용하면 시스템이 공격에 더 취약합니다. 이번 업데이트를 통해 OpenSSH 서버 및 클라이언트에 대해 최소 RSA 키 길이를 설정할 수 있습니다. 최소 RSA 키 길이를 정의하려면 OpenSSH 서버의 /etc/ssh/sshd_config 파일과 OpenSSH 클라이언트의 /etc/ssh/ssh_config 파일에서 새 RequiredRSASize 옵션을 사용합니다.

crypto-policies 는 기본적으로 OpenSSH에 2048비트 RSA 키 길이를 적용합니다.

짧은 RSA 키를 사용하면 시스템이 공격에 더 취약해질 수 있습니다. OpenSSH는 이제 최소 RSA 키 길이를 제한하도록 지원하므로 시스템 전체 암호화 정책에서는 기본적으로 RSA에 2048비트 최소 키 길이를 적용합니다.

OpenSSL의 새로운 옵션은 서명에 대한 SHA-1을 지원합니다.

RHEL 9의 OpenSSL 3.0.0은 서명 생성 및 검증을 위해 SHA-1을 지원하지 않습니다(SHA-1 키 파생 함수(KDF) 및 해시 기반 메시지 인증 코드(HMAC)는 여전히 지원됩니다. 그러나 서명을 위해 SHA-1을 계속 사용하는 RHEL 8 시스템과의 이전 호환성을 지원하기 위해 RHEL 9에 새로운 설정 옵션 rh-allow-sha1-signatures 가 도입되었습니다. 이 옵션은 openssl.cnf 의 alg_section 에서 활성화된 경우 SHA-1 서명의 생성 및 확인을 허용합니다.

암호화 정책 지원 sntrup761x25519-sha512@openssh.com

시스템 전체의 암호화 정책 업데이트에서는 sntrup761x25519-sha512@openssh.com 키 교환(KEX) 방법에 대한 지원이 추가되었습니다. Post-quantum sntrup761 알고리즘은 OpenSSH 제품군에서 이미 사용할 수 있으며, 이 방법은ECDHE 컴퓨터의 공격에 대해 더 나은 보안을 제공합니다. sntrup761x25519-sha512@openssh.com 를 활성화하려면 하위 정책을 생성하고 적용합니다. 예를 들면 다음과 같습니다.

NSS는 더 이상 1023 비트보다 짧은 RSA 키를 지원하지 않습니다.

NSS(Network Security Services) 라이브러리 업데이트에서는 모든 RSA 작업의 최소 키 크기를 128에서 1023비트로 변경합니다. 즉 NSS는 더 이상 다음 기능을 수행하지 않습니다.

SELinux 정책으로 추가 서비스 제한

selinux-policy 패키지가 업데이트되어 이제 SELinux에 의해 다음 서비스가 제한됩니다.

SELinux는 유형 전환에서 self 키워드 지원

SELinux 툴링에서는 정책 소스에서 self 키워드를 사용하여 유형 전환 규칙을 지원합니다. self 키워드를 사용한 유형 전환을 지원하여 익명 inode의 레이블을 지정하기 위한 SELinux 정책을 준비합니다.

SELinux 사용자 공간 패키지 업데이트

SELinux 사용자 공간 패키지 libsepol,libselinux,libsemanage,policycoreutils,checkpolicy, mcstrans 가 최신 업스트림 릴리스 3.4로 업데이트되었습니다. 주요 변경 사항은 다음과 같습니다.

SELinux 자동 레이블 재지정이 기본적으로 병렬로 적용됨

새로 도입된 병렬 재지정 옵션은 다중 코어 시스템에서 SELinux 재레이블링 프로세스에 필요한 시간을 크게 줄이므로 이제 자동 레이블 다시 지정 스크립트에 수정 파일 명령줄에 -T 0 옵션이 포함되어 있습니다. -T 0 옵션을 사용하면 setfiles 프로그램이 기본적으로 레이블을 다시 지정하기 위해 최대 사용 가능한 프로세서 코어를 사용합니다.

SCAP 보안 가이드는 0.1.63으로 재구축됩니다.

SCAP Security Guide (SSG) 패키지는 업스트림 버전 0.1.63으로 다시 설계되었습니다. 이 버전은 다음과 같은 다양한 개선 사항 및 버그 수정을 제공합니다.

Rsyslog 오류 파일의 최대 크기 옵션 추가

새로운 action.errorfile.maxsize 옵션을 사용하여 Rsyslog 로그 처리 시스템에 대한 오류 파일의 최대 바이트 수를 지정할 수 있습니다. 오류 파일이 지정된 크기에 도달하면 Rsyslog는 추가 오류 또는 기타 데이터를 쓸 수 없습니다. 이렇게 하면 오류 파일이 파일 시스템을 채우고 호스트를 사용할 수 없게 됩니다.

Clevis-luks-askpass 가 기본적으로 활성화됨

/lib/systemd/system-preset/90-default.preset 파일에는 enable clevis-luks-askpass.path 설정 옵션과 clevis-systemd 하위 패키지를 설치하면 clevis-luks-askpass.path 단위 파일이 활성화됩니다. 이를 통해 Clevis 암호화 클라이언트는 부팅 프로세스 후반부에 마운트되는 LUKS 암호화 볼륨도 잠금 해제할 수 있습니다. 이번 업데이트 이전에는 관리자가 systemctl enable clevis-luks-askpass.path 명령을 사용하여 이러한 볼륨의 잠금을 해제할 수 있어야 합니다.

fapolicyd rebased to 1.1.3

fapolicyd 패키지가 버전 1.1.3으로 업그레이드되었습니다. 주요 개선 사항 및 버그 수정 사항은 다음과 같습니다.