Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

第 16 章 安全性

OpenSSH chroot Shell 登录

通常每个 Linux 用户都会根据 SELinux 策略与一个 SELinux 用户对应,这样可让 Linux 用户继承 SELinux 用户中采用的限制。有一个默认映射可将 Linux 用户与 SELinux unconfined_u 用户对应。
在 Red Hat Enterprise Linux 7 中,用来 chroot 用户的 ChrootDirectory 选项可与未限制的用户一同使用而无需任何更改,但对已受限制的用户,比如 staff_u, user_u 或者 guest_u,则必须设置 SELinux selinuxuser_use_ssh_chroot 变量。建议管理员在使用 ChrootDirectory 选项获得更高的安全性时为所有使用 chroot 的用户使用 guest_u 用户。

多个要求的认证

Red Hat Enterprise Linux 7.0 使用 AuthenticationMethods 支持多个在 SSH 协议版本 2 中需要的认证。这个选项列出一个或者多个逗号分开的认证方法名称列表。成功完成所有列表中的所有方法以便完成认证。这样可在为用户提供密码认证前有权利使用公钥或者 GSSAPI。

GSS Proxy

GSS Proxy 是代表其他应用程序建立 GSS API Kerberos 上下文的系统服务。这个服务可使安全性受益,例如:当访问由不同进程共享的系统密钥表时,对该进程的成功攻击可导致 Kerberos 扮演所有其他进程。

NSS 中的变化

已将 nss 软件包升级为 upstream 版本 3.15.2。在线证书状态协议(OCSP)不再接受信息摘要算法 2(MD2)、MD4 和 MD5 签名,而采用其处理常规证书签名的算法。
在与 TLS 1.2 协商时添加了高级加密标准 Galois 计时器模式(AES-GCM)密码组(RFC 5288 和 RFC 5289)。特别是支持以下密码组:
  • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_RSA_WITH_AES_128_GCM_SHA256

SCAP 工作台

SCAP 工作台是一个 GUI 前端,可为 SCAP 内容提供扫描功能。SCAP 工作台在 Red Hat Enterprise Linux 7.0 是作为技术预览提供。
您可以在 upstream 项目中查找详细信息:

OSCAP Anaconda 附加组件

Red Hat Enterprise Linux 7.0 中包括 OSCAP Anaconda 附加组件作为技术预览。该附加组件在安装过程中整合了 OpenSCAP 程序,并让系统按照 SCAP 内容给出的限制进行安装。

为了尽快向用户提供最新的信息,本文档可能会包括由机器自动从英文原文翻译的内容。如需更多信息,请参阅此说明。