5. Modifications dans Fedora pour les administrateurs systèmes
5.1.1. Système de certification Dogtag
Le système de certification Dogtag est une autorité de certification (Certificate Authority - CA) libre pour entreprise qui prend en charge tous les aspects du cycle gestion de vie des certificats, dont l'autorité de certification (Certificate Authority - CA), la gestion de la récupération des données (Data Recovery Manager - DRM), le gestionnaire de protocoles en ligne des statut des certificats (Online Certificate Status Protocol - OCSP), l'autorité d'enregistrement (Registration Authority - RA), le système de jetons de service (Token Key Service - TKS), le système de processus des jetons (Token Processing System - TPS) et la gestion des smartcard depuis un client de sécurité en entreprise (Enterprise Security Client - ESC).
5.1.2. Liste blanche de modprobe
La liste blanche de modprobe permet aux administrateurs systèmes de limiter le nombre de modules chargés par modprobe à une liste configurée par l'administrateur. Cette limite rend impossible aux utilisateurs sans privilège d'exploiter des vulnérabilités qui ne sont pas habituellement utilisées, par exemple, en attachant du matériel supplémentaire. La quantité de code potentiellement vulnérable qui peut être exécuté dans le noyau s'en voit donc limitée.
modprobe peut aussi exécuter des commandes spécifiées au lieu de charger un module (en utilisant la directive de configuration install) ; ceci est restreint à l'utilisation de la même liste blanche. Pour aider les administrateurs systèmes à compiler cette liste blanche, une fonctionnalité supplémentaire est ajoutée à modprobe ; il sera possible de journaliser toutes les informations (identique à modprobe -v) dans un fichier de votre choix, y compris les actions de modprobe exécutées dans dracut initrd. Un script sera fourni et compilera une liste blanche proposée à partir des données journalisées.
Utiliser cette liste blanche réduit considérablement la surface d'attaque possible dans l'espace du noyau et évite le risque de vulnérabilités dans le code rarement utilisé par le noyau. Un ordinateur de bureau sur Fedora contient 79 modules chargés sur 1964 disponibles (4%). Lorsque l'on compte par rapport à la taille de code, /boot/vmlinuz* compris, cet ordinateur de base exécute 8,36 Mio de code dans l'espace noyau sur 34,66 Mio disponibles (24%).
5.1.3. Boîte de dialogue pour le compte utilisateur
Une nouvelle boîte de dialogue pour le compte utilisateur a été refaite et implémentée pour créer les nouveaux utilisateurs et modifier leurs informations à destination des systèmes simple utilisateur ou faiblement déployés. Cette nouvelle boîte de dialogue regroupe des fonctionnalités qui étaient précédemment dispersées dans différents outils comme system-config-user, gnome-about-me, gdmsetup et polkit-gnome-authorization et les rend accessible en un seul et même lieu.
PolicyKitOne remplace le déprécié PolicyKit et fournit aux utilisateurs de KDE une meilleure expérience utilisateur pour leur applications et leur système. Le bureau KDE de Fedora 12 utilisait l'agent d'authentification de Gnome. PolicyKitOne rend possible l'utilisation de l'agent d'authentification de KDE KAuth dans Fedora 13.
