Menu Close

4.6. セキュリティー

libreswan を 4.4 にリベース

libreswanパッケージがアップストリームバージョン 4.4 にアップグレードされ、多くの機能強化とバグ修正が行われました。以下に例を示します。

  • IKEv2プロトコル:

    • トランスポートモードおよびホスト間接続でのTCPカプセル化に関する修正を導入しました。
    • リダイレクトの統計情報を表示するipsec whackコマンドに、--globalstatusオプションを追加しました。
    • ipsec.conf設定ファイルのvhostおよびvnetの値は、IKEv2接続では使用できなくなりました。
  • pluto IKEデーモン:

    • 非標準のIKEポートを使用するホスト間接続の修正を導入しました。
    • 最適な初期接続を選択するために、ピアID(IKEv2 IDrまたはIKEv1 Aggr)を追加しました。
    • Libreswanが対応する機能をまだ提供していないため、interface-ip=オプションを無効にしました。
    • トランスポートモードのNATに対するipsec__updownスクリプトのPLUTO_PEER_CLIENT変数を修正しました。
    • PLUTO_CONNECTION_TYPE変数をtransportまたはtunnelに設定します。
    • テンプレート化されないワイルドカードIDの接続がマッチするようになりました。

(BZ#1958968)

gnutls が 3.6.16 にリベース

gnutls パッケージがバージョン 3.6.16 に更新されました。主なバグ修正と機能強化は、以下のとおりです。

  • gnutls_x509_crt_export2()関数は、成功した場合に、内部のbase64 ブロブのサイズの代わりに0を返すようになりました。これは、gnutls_x509_crt_export2(3) manページのドキュメントと一致しています。
  • OCSP(Online Certificate Status Protocol)のmust-staplingに従わないことによる証明書検証の失敗に、GNUTLS_CERT_INVALIDフラグが正しく付くようになりました。
  • これまでは、-VERS-TLS1.2オプションでTLS 1.2を明示的に無効にしても、TLS 1.3が有効な場合にサーバーがTLS 1.2を提供していました。バージョンネゴシエーションが修正され、TLS 1.2を正しく無効にできるようになりました。

(BZ#1956783)

socat が 1.7.4 にリベースされました。

socat パッケージがバージョン 1.7.3 から 1.7.4 にアップグレードされ、バグ修正および改善点が数多く追加されました。以下に例を示します。

  • GOPEN および UNIX-CLIENT アドレスが SEQPACKET ソケットに対応するようになりました。
  • アドレスのリッスンまたは許可の場合、汎用 setsockopt-int および関連オプションは、接続されたソケットに適用されます。リスニングソケットで設定オプションを有効にするために、setsockopt-listen オプションが利用できるようになりました。
  • ファイルに転送されたデータのローダンプの -r オプションおよび -R オプションを追加。
  • ip-transparent オプションと IP_TRANSPARENT ソケットオプションを追加。
  • OPENSSL-CONNECT は SNI 機能を自動的に使用し、openssl-no-sni オプションが SNI をオフにするようになりました。openssl-snihost オプションは、openssl-commonname オプションまたはサーバー名の値を上書きします。
  • accept-timeout オプションおよび listen-timeout オプションが追加されました。
  • ip-add-source-membership オプションが追加されました。
  • UDP-DATAGRAM アドレスは、1.7.3 で行っていた応答のピアポートの確認を行わなくなりました。シナリオに以前の動作が必要な場合は、sourceport オプションを使用します。
  • 新しい proxy-authorization-file オプションは、ファイルから PROXY-CONNECT 認証情報を読み取り、プロセステーブルからこのデータを非表示にできるようにします。
  • VSOCK-CONNECT および VSOCK-LISTEN アドレスの AF_VSOCK サポートが追加されました。

(BZ#1947338)

crypto-policies が 20210617 にリベースされました。

crypto-policies パッケージがアップストリームバージョン 20210617 にアップグレードされ、以前のバージョンに対するバグ修正や機能強化が数多く追加されました。主な変更点は以下のとおりです。

  • スコープ指定されたポリシーを使用して、異なるバックエンドに対して、異なるアルゴリズムセットを有効化できるようになりました。各設定ディレクティブは、特定のプロトコル、ライブラリー、またはサービスに制限できるようになりました。利用可能なスコープの全リストと新しい構文の詳細は、crypto-policies(7) のman ページを参照してください。たとえば、以下のディレクティブは、libssh ライブラリーと OpenSSH スイートの両方に対して、SSH プロトコルでの AES-256-CBC 暗号の使用を許可します。

    cipher@SSH = AES-256-CBC+
  • ディレクティブで、ワイルドカードを使用して複数の値を指定するアスタリスクを使用できるようになりました。たとえば、以下のディレクティブは、libssh を使用したアプリケーションのすべての CBC モード暗号を無効にします。

    cipher@libssh = -*-CBC

    今後の更新では、現在のワイルドカードで一致した新しいアルゴリズムが導入される可能性があることに注意してください。

(BZ#1960266)

crypto-policies が、カスタムポリシーで AES-192 暗号に対応するようになりました。

システム全体の暗号化ポリシーが、カスタムポリシーとサブポリシーのcipherオプションに対して、AES-192-GCMAES-192-CCMAES-192-CTRおよびAES-192-CBCの値に対応するようになりました。これにより、Libreswan アプリケーションの AES-192-GCM および AES-192-CBC 暗号、libssh ライブラリーの AES-192-CTR および AES-192-CBC 暗号、およびcrypto-policies を介して OpenSSH スイートを有効にできます。

(BZ#1876846)

FUTURE暗号化ポリシーで CBC 暗号を無効にする

今回のcrypto-policiesパッケージの更新により、FUTUREポリシーで CBC (cipher block chaining) モードを使用する暗号が無効になります。FUTUREの設定は、近い将来の攻撃に耐えうるものでなければならず、今回の変更は現在の進捗を反映したものです。そのため、FUTUREポリシーが有効な場合、crypto-policiesを遵守するシステムコンポーネントはCBCモードを使用できません。

(BZ#1933016)

新しいカーネル AVC トレースポイントの追加

今回の機能強化により、SELinux 拒否の監査時にトリガーする新しい avc:selinux_audited カーネルトレースポイントが追加されました。この機能により、SELinux 拒否の低レベルのデバッグがより容易になります。perf などのツールには、新しいトレースポイントが利用できます。

(BZ#1954024)

SCAP セキュリティーガイドの新しい ACSC ISM プロファイル

scap-security-guide パッケージで、Australian Cyber Security Centre (ACSC) Information Security Manual (ISM) 準拠のプロファイルと、これに対応するキックスタートファイルを利用できるようになりました。この機能強化により、このセキュリティーベースラインに準拠するシステムをインストールし、OpenSCAP スイートを使用して、ACSCが定義するセキュリティー制御のリスクベースのアプローチを使用して、セキュリティーコンプライアンスと修復を確認できます。

(BZ#1955373)

SCAP セキュリティーガイドが 0.1.57 にリベースされました。

scap-security-guide パッケージがアップストリームバージョン 0.1.57 にリベースされ、バグ修正および改善が複数追加されました。以下に例を示します。

  • Australian Cyber Security Centre (ACSC) Information Security Manual (ISM)プロファイルが導入されました。このプロファイルは Essential Eight プロファイルを拡張し、ISM で定義されているより多くのセキュリティー制御を追加します。
  • CCenter for Internet Security (CIS)プロファイルが、公式の CIS ベンチマークで定義されているように、強化レベルとシステムタイプ(サーバーおよびワークステーション)に対応する 4 つのプロファイルに再構築されました。
  • セキュリティー技術実装ガイド (STIG) セキュリティープロファイルが更新され、最近リリースされたバージョン V1R3 からルールが実装されました。
  • Security Technical Implementation Guide with GUI (STIG with GUI)セキュリティープロファイルが導入されました。プロファイルは STIG プロファイルに由来し、Server with GUI パッケージの選択を選択する RHEL インストールと互換性があります。
  • French National Security Agency (ANSSI)の ANSSI BP-028 の推奨事項に基づくANSSI High levelプロファイルが導入されました。これには、高い強化レベルのルールを実装するプロファイルが含まれます。

(BZ#1966577)

OpenSCAP が 1.3.5 にリベースされました。

OpenSCAP パッケージがアップストリームバージョン 1.3.5 にリベースされました。主なバグ修正と機能強化は、以下のとおりです。

  • oval および xccdfモジュールのvalidateコマンドで、デフォルトでSchematronベースの検証を有効にします。
  • SCAP 1.3 ソースデータストリームSchematronを追加。
  • XML 署名の検証を追加
  • SOURCE_DATE_EPOCHmtime をクランプするのを許可しました。
  • severity およびrole 属性が追加されました。
  • Rule and Group(XCCDF)の requires および conflicts 要素のサポート。
  • HTML レポートでの Kubernetes 修復
  • gpfsproc、およびsysfsのファイルシステムをローカル以外のものとして処理しています。
  • --arg=val というスタイルの一般的なオプションの処理を修正
  • StateType Operator の動作が修正されました。
  • XPath 式(xmlfilecontent)で名前空間が無視され、不完全な XPath クエリーを許可します。
  • 突出したデータの存在に関する警告を生じさせる問題を修正
  • --stig-viewer 機能で複数のセグメンテーション違反と破損テストを修正
  • TestResult/benchmark/@href 属性を修正
  • メモリー管理の多くの問題が修正されました。
  • 多くのメモリーリークを修正

(BZ#1953092)

デジタル署名された SCAP ソースデータストリームの検証

Security Content Automation Protocol (SCAP) 1.3 仕様に準拠するため、OpenSCAP が、デジタルに署名された SCAP ソースデータストリームのデジタル署名を検証するようになりました。これにより、デジタル署名された SCAP ソースデータストリームを評価する際に、OpenSCAP がデジタル署名を検証します。署名の検証は、ファイルの読み込み時に自動的に実行されます。無効な署名を持つデータストリームが拒否され、OpenSCAP はコンテンツを評価しません。OpenSCAP は、OpenSSL 暗号ライブラリーと共にXML Security Library を使用して、デジタル署名を検証します。

oscap xccdf eval コマンドに --skip-signature-validation オプションを追加すると、署名の検証をスキップできます。

重要

OpenSCAP は、KeyInfo 署名要素の一部で署名の検証に使用される証明書または公開鍵の信頼性に対応していません。不正な攻撃者によって変更および署名されたデータストリームの評価を防ぐために、ご自身で鍵を検証する必要があります。

(BZ#1966612)

Server with GUI インストールと互換性のある新しい DISA STIG プロファイル。

新しいプロファイル DISA STIG with GUISCAP Security Guide に追加されました。プロファイルはDISA STIGプロファイルに由来し、Server with GUI パッケージグループを選択した RHEL インストールと互換性があります。DISA STIG ではグラフィカルユーザーインターフェースをアンインストールする必要があるため、これまで存在した stig プロファイルは Server with GUI と互換性がありませんでした。ただし、評価中にSecurity Officerによって適切に文書化されている場合には、この設定を上書きできます。これにより、新しいプロファイルは、RHEL システムを DISA STIG プロファイルに準拠したServer with GUIとしてインストールする際に役立ちます。

(BZ#1970137)

STIG セキュリティープロファイルがバージョン V1R3 に更新されました。

SCAP セキュリティーガイドの DISA STIG for Red Hat Enterprise Linux 8 プロファイルが更新され、最新バージョンの V1R3 に合わせて更新されました。このプロファイルはより安定し、DISA (Defense Information Systems Agency) が提供する RHEL 8 STIG (Security Technical Implementation Guide) のマニュアルベンチマークにより適切に調整されるようになりました。

この 2 番目の反復により、STIG に関するカバレッジの約 90% が発生します。古バージョンが有効でなくなったため、このプロファイルの現行バージョンのみを使用する必要があります。

警告

自動修正によりシステムが機能しなくなる場合があります。テスト環境で修復を最初に実行します。

(BZ#1993056)

SCAP セキュリティーガイドの 3 つの新しい CIS プロファイル

Center for Internet Security (CIS) Red Hat Enterprise Linux 8 Benchmark に準拠する 3 つの新しいコンプライアンスプロファイルが SCAP セキュリティーガイドに導入されました。CIS RHEL 8 Benchmark は、サーバーとワークステーションデプロイメントには、異なる設定の推奨事項を提供し、デプロイメントごとに 2 つの設定レベルレベル 1とレベル 2を定義します。従来RHEL8 に同梱されていた CIS プロファイルは、サーバーレベル 2しか表しませんでした。新しい 3 つのプロファイルは CIS RHEL8 Benchmark プロファイルのスコープを完了し、CIS の推奨事項に対してシステムをより簡単に評価できるようになりました。

現在利用可能なすべての CIS RHEL 8 プロファイルは次のとおりです。

ワークステーションレベル 1

xccdf_org.ssgproject.content_profile_cis_workstation_l1

ワークステーションレベル 2

xccdf_org.ssgproject.content_profile_cis_workstation_l2

サーバーレベル 1

xccdf_org.ssgproject.content_profile_cis_server_l1

サーバーレベル 2

xccdf_org.ssgproject.content_profile_cis

(BZ#1993197)

同様のシステムコールをグループ化して Audit の修復のパフォーマンスを強化

以前のバージョンでは、Audit の修正は、プロファイルが監査する各システムコールに対して個々のルールを生成していました。これが、パフォーマンスを低下させる多くの監査ルールの原因でした。今回の機能強化により、Audit の修復では、同じフィールドを持つ同様のシステムコールのルールを1 つのルールにグループ化でき、パフォーマンスが向上します。

1つにグループ化されたシステムコールの例:

-a always, exit -F arch=b32 -S chown, fchown, fchownat, lchown -F auid>=1000 -F auid!=unset -F key=perm_mod
-a always, exit -F arch=b32 -S unlink, unlinkat, rename, renameat, rmdir -F auid>=1000 -F auid!=unset -F key=delete
-a always, exit -F arch=b32 -S chown, fchown, fchownat, lchown -F exit=-EACCES -F auid>=1000 -F auid!=unset -F key=unsuccesful-perm-change
-a always, exit -F arch=b32 -S unlink, unlinkat, rename, renameat -F auid>=1000 -F auid!=unset -F exit=-EACCES -F auid>=1000 -F auid!=unset -F key=unsuccessful-delete

(BZ#1876483)

ANSSI-BP-028 High Levelのプロファイルを追加

French National Security Agency (ANSSI)の ANSSI BP-028 の推奨事項に基づくANSSI High levelプロファイルが導入されました。これは、SCAP Security Guideのすべての ANSSI-BP-028 v1.2 強化レベルに対してプロファイルの可用性を完了します。新しいプロファイルを使用すると、システムを GNU/Linux システムの ANSSI からの推奨事項の高い強化レベルに強化できます。これにより、ANSSI Ansible Playbook および ANSSI SCAP プロファイルを使用し、RHEL 8 システムの最も厳しい強化レベルへのコンプライアンスを設定および自動化できます。

(BZ#1955183)

Rsyslog TCP および RELP トラフィックを暗号化する OpenSSL が追加されました。

OpenSSL ネットワークストリームドライバーが Rsyslog に追加されました。このドライバーは、OpenSSL ライブラリーを使用して TLS で保護されるトランスポートを実装します。これにより、GnuTLS ライブラリーを使用するストリームドライバーよりも、追加機能が提供されます。これにより、Rsyslog ネットワークストリームドライバーとして OpenSSL または GnuTLS のどちらかを使用できるようになりました。

(BZ#1891458)

rsyslog が 8.2102.0-5 にリベースされました。

rsyslog パッケージがアップストリームバージョン 8.2102.0-5 にリベースされ、以前のバージョンに対する主な変更点が加えられています。

  • 変数が存在するかどうかを確認するために exists() スクリプト関数を追加(例: $!path!var )。
  • omrelp および imrelp モジュールの新たな設定パラメーター tls.tlscfgcmd で OpenSSL 設定コマンドを設定するサポートが追加されました。
  • リモートサーバーに送信されるレート制限 syslog メッセージに対して omfwd モジュールに新しいレート制限オプションが追加されました。

    • RateLimit.interval はレート制限間隔を秒単位で指定します。
    • RateLimit.burst は、メッセージの数でレート制限バーストを指定します。
  • さまざまな改善と共にimmark モジュールが書き直されました。
  • imptcp モジュールに max sessions 設定パラメーターを追加。最大はインスタンスごとに測定されますが、全インスタンスでグローバルに測定されません。
  • rsyslog-openssl サブパッケージが追加されました。このネットワークストリームドライバーは、OpenSSL ライブラリーを使用して TLS で保護されるトランスポートを実装します。
  • MaxBytesPerMinute オプションおよび MaxLinesPerMinute オプションと共に、imfile モジュールに1分あたりのレート制限が追加されました。これらのオプションは整数値を受け入れ、1 分で送信される可能性のあるバイト数または行数を制限します。
  • streamdriver.TlsVerifyDepth オプションを使用して証明書チェーンの検証の最大深さを設定する imtcp モジュールおよび omfwd モジュールのサポートを追加

(BZ#1932795)