7.4. 安全性
远程用户不再被反复提示访问智能卡
在以前的版本中，pcscd 守护进程的 polkit 策略错误地请求用户互动。因此，非本地和非特权用户无法访问智能卡，并遇到大量提示。有了这个更新，pcsc-lite 软件包策略不再包含交互式提示。因此，远程卡用户不再被重复要求特权升级。
有关调整策略以升级无特权用户特权的更多信息，请参阅 RHEL 产品文档中加强安全性 中的 使用 polkit 控制对智能卡的访问 。
当在 FIPS 模式下安装时，64 位 IBM Z 系统不再无法启动
在以前的版本中，使用 --no-bootcfg 选项的 fips-mode-setup 命令不会执行 zipl 工具。因为 fips-mode-setup 会重新生成初始 RAM 磁盘(initrd)，因此生成的系统需要更新 zipl 内部状态才能启动，这在 FIPS 模式下安装时，会将 64 位 IBM Z 系统置于无法启动的状态。有了这个更新，即使使用 --no-bootcfg 进行调用，fips-mode-setup 现在也可在 64 位 IBM Z 系统上执行 zipl，因此，新安装的系统可以成功启动。
(BZ#2020295)
crypto-policies 可以在 OpenSSL 中禁用 ChaCha20
在以前的版本中，crypto-policies 组件使用错误的关键字来在 OpenSSL 中禁用 ChaCha20 密码。因此，在 OpenSSL 中的 TLS 1.2 中使用 ChaCha20 无法通过 crypto-policies 来禁用。有了这个更新，crypto-policies 使用 -CHACHA20 关键字，而不是 -CHACHA20-POLY1305 关键字。因此，您现在可以使用 crypto-policies ，来在 OpenSSL 中对 TLS 1.2 和 TLS 1.3 禁用 ChaCha20 密码。
systemd 现在可以执行 /home/user/bin 中的文件
在以前的版本中，systemd 服务无法执行 /home/user/bin/ 目录中的文件，因为 SELinux 策略不包含允许此类访问的策略规则。因此，systemd 服务失败，并最终记录 Access Vector Cache(AVC) denial Audit 信息。这个更新添加了允许访问缺失的 SELinux 规则，systemd 服务现在可以正确执行 /home/user/bin/ 中的命令。
从其他配置文件中删除了特定于 STIG 的默认横幅文本
在以前的版本中，STIG 配置文件中的横幅文本被其他未定义默认文本的配置文件（如 CIS）用作默认文本。因此，使用这些配置文件的系统被配置了 DISA 所需的特定文本。有了这个更新，会创建一个通用默认文本，并定义了一个与相关准则一致的标准 CIS 横幅。因此，基于明确需要文本横幅的指南的配置文件现在与需求保持一致，并设置了正确的文本。
ANSSI Enhanced Profile 可以正确地选择"Ensure SELinux State is Enforcing"规则
在以前的版本中，ANSSI Enhanced 配置文件(anssi_bp28_enhanced)没有选择 "Ensure SELinux State is Enforcing"(selinux_state)规则。这个更新修改了规则选择，现在 ANSSI Enhanced Profile 选择了"Ensure SELinux State is Enforcing" 规则。
修复了 restorecon 和 seunshare SSG 规则的描述
在以前的版本中，对规则"Record Any Attempts to Run restorecon"(CCE-80699-2)和 "Record Anytempts to Run seunshare"(CCE-80933-5)的描述是不正确的。有了这个更新，这些规则的描述与自动 OVAL 检查一致。因此，应用描述中推荐的修复现在可以正确地修复这些规则。
CIS 配置文件不再自动禁用 IPv6
在以前的版本中，RHEL 8 的 CIS 配置文件为推荐“3.6禁用 IPv6”提供了不适当的自动补救措施，该建议通过配置 /etc/modprobe.d/ipv6.conf 防止加载 IPv6 模块禁用了 IPv6 。这可能会对依赖功能和服务造成不良的影响。在 RHEL 8 CIS Benchmark v1.0.1 中，必须手动实现推荐 3.6，因此 RHEL8 CIS 配置文件不会为这个配置项应用任何补救措施。因此，CIS 配置文件与基准一致，不会自动禁用 IPv6。要按照 CIS 推荐的那样通过配置 GRUB2 或 sysctl 设置来手动禁用 IPV6,请参阅 如何在 Red Hat Enterprise Linux 中禁用或启用 IPv6 协议？
(BZ#1990736)
CIS 配置文件不再阻止 SSH 服务
在以前的版本中，xccdf_org.ssgproject.content_rule_file_permissions_sshd_private_key 规则默认将 SSH 私钥的权限设置为 640。因此，SSH 守护进程没有启动。这个更新从 CIS 配置文件中删除了 file_permissions_sshd_private_key 规则，因此 SSH 服务可以正常工作。
SCAP 规则现在可接受 /usr/share/audit/sample-rules 中的文件
在以前的版本中，根据 SCAP 规则 xccdf_org.ssgproject.content_rule_audit_ospp_general 和 xccdf_org.ssgproject.content_rule_audit_immutable_login_uids 的描述，用户可以通过从 /usr/share/audit/sample-rules 目录复制合适的文件来使系统合规。但是，这些规则的 OVAL 检查会失败，因此扫描后系统被标记为不合规。有了这个更新，OVAL 检查现在接受来自 /usr/share/audit/sample-rules 的文件，SCAP 规则能够成功通过。
ANSSI Kickstart 现在保留足够的磁盘空间
在以前的版本中，GUI 安装所需的磁盘空间比 /usr 分区中保留的 ANSSI Kickstart 要多。因此，RHEL 8.6 GUI 安装会失败，并显示错误消息，指出 /usr 文件系统需要至少 429 MB 的空间。这个更新使用 scap-security-guide 中提供的 ANSSI Kickstarts 增加了 /usr 分区和 RHEL 8.6 安装的磁盘空间。
GRUB2 参数的补救措施现在是永久的
在以前的版本中，设置内核参数的 GRUB2 规则的补救措施使用了不正确的流程，并且配置更改不会在内核升级过程中持久保存。因此，必须在每次内核升级时重新应用补救措施。有了这个更新，补救措施使用以持久方式配置 GRUB2 的 grubby 工具。
当从 RHEL 8 主机扫描远程系统时，scap-workbench 不再挂起
在以前的版本中，向扫描的系统发送内容文件将会挂起，scap-workbench 工具无法完成扫描。这是由于内核中的一个 bug ，其阻止了执行的 Qt 子进程。因此，从 RHEL 8 主机使用 scap-workbench 命令扫描远程系统无法正常工作。有了这个更新，底层内核 bug 被修复了，因此远程扫描在将文件复制到远程系统时不再挂起，并能成功完成。
usbguard-notifier 不再将太多错误消息记录到 Journal
在以前的版本中，usbguard-notifier 服务没有连接到 usbguard-daemon IPC 接口的进程间通信(IPC)权限。因此，usbguard-notifier 无法连接到接口，它会向 Journal 写入一条相应的错误消息。由于 usbguard-notifier 使用 --wait 选项启动，因此 usbguard-notifier 会在连接失败后尝试每秒去连接 IPC 接口，默认情况下日志会很快包含大量这些消息。
有了这个更新，usbguard-notifier 默认不使用 --wait 启动。该服务在 1 秒的间隔内只尝试连接守护进程 3 次。因此，日志最多包含三个这样的错误消息。
现在，Ambient 功能现在被正确地应用到非 root 用户
作为一种安全措施，将 UID（用户标识符）从 root 更改为非 root ，会使允许的、有效的以及 ambient 的功能集无效。
但是，pam_cap.so 模块无法设置ambient 功能，因为一个功能需要同时在允许集和可继承集中，才能在 ambient 集中。此外，允许集在更改 UID（例如使用 setuid 工具）后将无效，因此无法设置 ambient 功能。
要解决这个问题，pam_cap.so 模块现在支持 keepcaps 选项，该选项在将 UID 从 root 改为非 root 后允许保留其允许的功能。pam_cap.so 模块现在还支持 defer 选项，该选项会在回调 pam_end() 的过程中使 pam_cap.so 重新应用 ambient 功能。更改 UID 后，此回调可被其他应用程序使用。
因此，如果 su 和 login 工具更新了，并符合 PAM ，则您现在可以使用 pam_cap.so 及 keepcaps 和 defer 选项来为非 root 用户设置 ambient 功能。
usbguard-selinux 软件包不再依赖于 usbguard
在以前的版本中，usbguard-selinux 软件包依赖于 usbguard 软件包。这与这些软件包的其它依赖关系相结合，这会导致安装 usbguard 时存在文件冲突。因此，这会阻止在某些系统上安装 usbguard。使用此版本，usbguard-selinux 不再依赖于 usbguard，因此 yum 可以正确地安装 usbguard。
audisp-remote 现在可以正确地检测到远程位置的可用性
在以前的版本中，audisp-remote 插件不会检测变为不可用的远程服务。因此，audisp-remote 进程会进入到高 CPU 使用率的状态。有了这个更新，audisp-remote 可以正确地检测变为不可用的远程服务。因此，进程不再进入高 CPU 使用率状态。
在自动解锁前，Clevis 不再停止于某些配置
在以前的版本中，执行 LUKS 加密卷自动解锁的 Clevis 工具会停止于某些系统配置。因此，加密的卷不会被自动解锁，管理员必须手动提供密码短语。在某些情况下，在管理员按了 Enter 键并解锁了加密卷后，Clevis 会重启。有了这个更新，工具已被修复，不会再停止于这些配置，自动解锁的进程现在可以正常工作。
(BZ#2018292)
