4.2. 보안

Keylime 검증기 및 등록 기관 컨테이너 사용 가능

이제 Keylime 서버 구성 요소, 검증자 및 등록 기관을 컨테이너로 구성할 수 있습니다. 컨테이너 내에서 실행되도록 구성된 경우 Keylime 등록 기관은 호스트의 바이너리 없이 컨테이너에서 테넌트 시스템을 모니터링합니다. 컨테이너 배포로 Keylime 구성 요소의 격리, 모듈성 및 재현성을 개선할 수 있습니다.

libkcapi 에서 해시 계산에 대상 파일 이름을 지정하는 옵션을 제공합니다.

libkcapi (Linux 커널 암호화 API) 패키지의 이번 업데이트에서는 해시 계산에 대상 파일 이름을 지정하는 새로운 옵션 -T 가 도입되었습니다. 이 옵션의 값은 처리된 HMAC 파일에 지정된 파일 이름을 재정의합니다. 이 옵션은 -c 옵션에서만 사용할 수 있습니다. 예를 들면 다음과 같습니다.

암호화 정책을사용하여 SSH에서 MAC을 미세 제어

이제 시스템 전체 암호화 정책(암호정책)에서 SSH 프로토콜에 대한 메시지 인증 코드(MAC)에 대한 추가 옵션을 설정할 수 있습니다. 이번 업데이트를 통해 crypto-policies 옵션 ssh_etm 이 tri-state etm@SSH 옵션으로 변환되었습니다. 이전 ssh_etm 옵션이 더 이상 사용되지 않습니다.

semanage fcontext 명령에서 더 이상 로컬 수정 순서를 다시 정렬하지 않음

semanage fcontext -l -C 명령은 file_contexts.local 파일에 저장된 로컬 파일 컨텍스트 수정 사항을 나열합니다. restorecon 유틸리티는 file_contexts.local 의 항목을 가장 최근 항목에서 가장 오래된 항목으로 처리합니다. 이전에는 semanage fcontext -l -C 가 항목을 잘못된 순서로 나열했습니다. 이러한 처리 순서와 나열 순서가 일치하지 않아 SELinux 규칙을 관리할 때 문제가 발생했습니다. 이번 업데이트를 통해 semanage fcontext -l -C 는 가장 오래된 것부터 최신까지 올바른 순서로 규칙을 표시합니다.

SELinux 정책에 제한된 추가 서비스

이번 업데이트에서는 다음 systemd 서비스를 제한하는 SELinux 정책에 추가 규칙이 추가되었습니다.

SAP HANA 서비스를 위한 새로운 SELinux 정책 모듈

이번 업데이트에서는 SAP HANA 서비스에 대한 SELinux 정책에 추가 규칙이 추가되었습니다. 결과적으로 sap_unconfined_t 도메인의 SELinux 강제 모드에서 서비스가 성공적으로 실행됩니다.

glusterd SELinux 모듈이 별도의 glusterfs-selinux 패키지로 이동

이번 업데이트를 통해 glusterd SELinux 모듈이 별도의 glusterfs-selinux 패키지에서 유지 관리됩니다. 따라서 모듈은 더 이상 selinux-policy 패키지에 포함되지 않습니다. glusterd 모듈과 관련된 모든 작업의 경우 glusterfs-selinux 패키지를 설치하고 사용합니다.

별도의 패키지로 제공되는 OpenSSL의 fips.so 라이브러리

OpenSSL은 fips.so 공유 라이브러리를 FIPS 공급자로 사용합니다. 이번 업데이트를 통해 인증을 위해 NIST(National Institute of Standards and Technology)에 제출된 fips.so 의 최신 버전은 향후 OpenSSL 버전이 인증 코드 또는 코드를 사용하도록 별도의 패키지에 있습니다.

chronyd 제한 서비스는 SELinux 정책에 의해 제한됩니다.

이번 업데이트에서는 새 chronyd 제한 서비스를 제한하는 SELinux 정책에 추가 규칙이 추가되었습니다. 결과적으로 이제 서비스가 SELinux에서 성공적으로 실행됩니다.

OpenSSL은 공급자 구성을 위한 드롭인 디렉터리 추가

OpenSSL TLS 툴킷은 암호화 알고리즘을 제공하는 모듈의 설치 및 구성을 위한 공급자 API를 지원합니다. 이번 업데이트를 통해 기본 OpenSSL 구성 파일을 수정하지 않고 /etc/pki/tls/openssl.d 디렉터리에 공급자별 구성을 별도의 .conf 파일에 배치할 수 있습니다.

SELinux 사용자 공간 구성 요소가 3.6으로 업데이트됨

SELinux 사용자 공간 구성 요소 libsepol,libselinux,libsemanage,policycoreutils,checkpolicy, mcstrans 라이브러리 패키지가 3.6로 변경되었습니다. 이 버전은 다양한 버그 수정, 최적화 및 개선 사항을 제공합니다.

GnuTLS가 3.8.3으로 업데이트됨

GnuTLS 패키지는 업스트림 버전 3.8.3 이 버전에 따라 다양한 버그 수정 및 개선 사항을 제공합니다.

nettle rebased to 3.9.1

nettle 라이브러리 패키지는 3.9.1로 변경되었습니다. 이 버전은 다양한 버그 수정, 최적화 및 개선 사항을 제공합니다.

0.25.3을 기반으로 하는 p11-kit

p11-kit 패키지가 업스트림 버전 0.25.3으로 업데이트되었습니다. 패키지에는 PKCS #11 모듈을 관리하기 위한 p11-kit 툴, 신뢰 정책 저장소에 대한 신뢰 도구, p11-kit 라이브러리가 포함되어 있습니다. 주요 개선 사항은 다음과 같습니다.

1.4.0에 기반 libkcapi rebased

Linux 커널 암호화 API에 대한 액세스를 제공하는 libkcapi 라이브러리는 업스트림 버전 1.4.0에 따라 변경되었습니다. 이 업데이트에는 다양한 개선 사항 및 버그 수정이 포함되어 있습니다.

OpenSSH의 사용자 및 그룹 생성에서는 sysusers.d 형식을 사용합니다.

이전에는 OpenSSH에서 정적 useradd 스크립트를 사용했습니다. 이번 업데이트를 통해 OpenSSH는 sysusers.d 형식을 사용하여 시스템 사용자를 선언하므로 시스템 사용자를 세부 검사할 수 있습니다.

OpenSSH는 인증의 인위 지연 제한

로그인 실패 후 OpenSSH의 응답은 사용자 열거 공격을 방지하기 위해 인위적으로 지연됩니다. 이번 업데이트에서는 원격 인증이 너무 오래 걸리는 경우(예: 권한 액세스 관리(PAM) 처리의 경우 이러한 지연에 대한 상한이 도입되었습니다.

Stunnel은 5.71로 다시 기반

stunnel TLS/SSL 터널링 서비스는 업스트림 버전 5.71로 변경되었습니다.

Rsyslog의 기능을 삭제하는 새로운 옵션

다음 글로벌 옵션을 사용하여 기능을 삭제할 때 Rsyslog 동작을 구성할 수 있습니다.

3.1.2에서 감사 기반 감사

Linux 감사 시스템이 버전 3.1.2로 업데이트되어 이전에 릴리스된 버전 3.0.7에 비해 버그 수정, 개선 사항 및 성능 향상을 제공합니다. 주요 개선 사항은 다음과 같습니다.

rsyslog가 8.2310으로 업데이트됨

Rsyslog 로그 처리 시스템은 업스트림 버전 8.2310으로 변경되었습니다. 이번 업데이트에서는 중요한 개선 사항 및 버그 수정이 도입되었습니다. 주요 개선 사항은 다음과 같습니다.

SCAP 보안 가이드 0.1.72에 기반

SCAP Security Guide (SSG) 패키지는 업스트림 버전 0.1.72로 변경되었습니다. 이 버전은 버그 수정 및 다양한 개선 사항을 제공합니다.