4.2. 安全性

NSS rebase 到 3.112

NSS 加密工具包软件包已更新到上游版本 3.112，它提供很多改进和修复。最值得注意的是，以下内容：

RHEL 9.7 crypto-policies 支持 post-quantum 加密

在这个版本中，您可以通过新的 PQ 子策略启用对 post-quantum 加密(PQC)的支持。RHEL 9.7 crypto-policies 中最显著的变化包括：

openssl rebase 到 3.5

OpenSSL 被 rebase 到上游版本 3.5。此版本提供重要的修复和增强，最重要的是：

openssl 支持 sslkeylogfile

OpenSSL 支持 TLS 的 sslkeylogfile 格式。因此，您可以通过设置 SSLKEYLOGFILE 环境变量来记录 SSL 连接生成的所有 secret。

混合 ML-KEM 加密在 FIPS 模式下工作

在这个版本中，在 RHEL 的 FIPS 模式中支持混合模块的基于密钥封装机制(ML-KEM) post-quantum 加密算法。当系统以 FIPS 模式运行时，OpenSSL 可以从 FIPS 供应商获取新混合 post-quantum 组一部分的 Elliptic Curve Diffie-Hellman (ECDH)部分。因此，OpenSSL 库对混合子密钥交换的 ECDH 部分使用 FIPS 兼容加密。当您将系统设置为 FIPS:PQ 加密策略时，混合子组会被默认启用，并由 OpenSSL 服务器和客户端使用。

crypto-policies 在 NSS 中支持 Ed25519

在这个版本中，对系统范围的加密策略的支持，对 Edwards-curve Digital Signature Algorithm (EdDSA)的 SHA-512 变体的支持，对于网络安全服务(NSS)可用。因此，crypto-policies 在 DEFAULT、LEGACY 和 FUTURE 策略中默认启用 Ed25519。

新软件包： Rust -rpm-sequoia

RHEL 9.7 引入了 Rust-rpm-sequoia 软件包，通过 multisig DNF 插件支持 RPM 软件包中的子量签名。这个添加可让您在使用 post-quantum 加密(PQC)算法签名的 RPM 软件包中验证 OpenPGP v6 签名。

SCAP 安全指南 rebase 到 0.1.78

如需更多信息，请参阅 SCAP 安全指南发行注记。

SELinux 策略为 qgs 守护进程添加规则和类型

qgs 守护进程添加到带有 linux-sgx 软件包的 RHEL 中，它支持 TDX 机密虚拟化。当客户机操作系统请求虚拟机(VM)时，qgs 守护进程通过 UNIX 域套接字与 QEMU 通信。为了实现此目的，SELinux 策略会添加新的 qgs_t 类型、访问规则和权限。

三个 RHEL 服务从 SELinux permissive 模式中删除

RHEL 服务的以下 SELinux 域已从 SELinux permissive 模式中删除：

SELinux 策略中 tuned-ppd restricted

RHEL 9.7 在 SELinux 策略中添加了额外的规则，用于限制 tuned-ppd 服务。在此次更新之前，服务使用 unconfined_service_t SELinux 标签运行，该标签违反了 CIS Server Level 2 基准 "Ensure No Daemons are Unconfined by SELinux" 规则。在这个版本中，该服务不再不受限制，并在 SELinux enforcing 模式下运行。

Keylime rebase 到版本 7.12.1

Keylime 软件包已 rebase 到上游版本 7.12.1。最重要的修复和增强包括：

SELinux 为 /dev/diag分配特定类型的

在这个版本中，diagnostics _device_t 类型被分配给 SELinux 策略中的 /dev/diag 设备。因此，SELinux 可以正确控制对该设备的访问。

OpenSSL PKCS modprobe 供应商添加了对 Ex=RSA 加密的支持

这个 OpenSSL PKCS modprobe 供应商的更新启用了使用带有 OpenSSL 的 PKCSGRESS 令牌，而无需依赖已弃用的功能。这个替代方案解决了不受支持的 RSA padding 模式问题，确保在 RHEL 9 上无缝地使用带有硬件安全模块(HSM)的 Ex=RSA 密码。这会导致消除 TLS 握手失败，并在使用 OpenSSL 和 PKCS modprobe 令牌建立 TLS 1.2 连接时提供安全通信。

新软件包： fips-provider-next

fips-provider-next 软件包提供下一版本 FIPS 提供程序，该提供程序提交至国家标准与技术研究院(NIST)进行验证。默认情况下不安装软件包，因为 openssl-fips-provider 软件包是经过验证的 OpenSSL FIPS 供应商。从 swigopenssl-fips-provider 切换到fips-provider-next:

rsyslog imuxsock 提供了新的 ratelimit.discarded 计数器

在这个版本中，imuxsock Rsyslog 模块包括一个新的计数器 ratelimit.discarded，它跟踪因为 Unix 套接字速率限制而丢弃的消息数量。此增强为管理员提供对消息丢失的可见性，因为速率限制，使它们能够微调速率限制设置，并防止关键日志被丢弃。

rsyslog imfile 提供新的 deleteStateOnFileMove 选项

在这个版本中，新的 deleteStateOnFileMove 参数已被添加到 imfile 模块中，作为模块级别和 per-action 选项提供。当监控日志文件被轮转或移动时，这个增强解决了在 spool/ 目录中累积的孤立状态文件的问题。通过启用此参数，您可以在移动日志文件时自动清理这些过时的文件，防止磁盘空间被浪费并简化管理。