5. Изменения в Fedora для системных администраторов
5.1.1. Система сертификатов Dogtag
Dogtag Certificate System (DGS) — открытый центр сертификации промышленного уровня, обеспечивающий всестороннее управление выпуском, отзывом и хранением цифровых сертификатов и предоставляющий источник сертификации, менеджер восстановления данных, поддержку протокола OCSP для проверки статуса сертификатов, источник регистрации, службу обработки аппаратных ключей, систему управления аппаратными ключами, а также управление смарт-картами, посредством пользовательского средства корпоративной безопасности (Enterprise Security Client).
5.1.2. Белый список modprobe
Белый список modprobe позволяет системным администраторам наложить ограничение на загружаемые с помощью команды modprobe модули, если необходим высокий уровень безопасности. Это ограничение не позволит непривилегированным пользователям эксплуатировать уязвимости модулей, к примеру, за счет подключения оборудования. Как результат, ограничивается объем выполняемого в ядре потенциально уязвимого кода.
Кроме того, modprobe может исполнять заданные команды вместо загрузки модуля (с помощью директивы install). Эта возможность также определяется белым списком. modprobe включает дополнительную функциональность для генерации белого списка: так, можно записывать подробную информацию (аналогичную результату modprobe -v) в заданный файл журнала, включая действия modprobe, выполняемые в dracut initrd. Доступен сценарий для компиляции предложенного белого списка на основе данных журнала.
Используйте белый список для существенного снижения риска атаки ядра и во избежание уязвимостей редко используемого кода ядра. Например, если в системе Fedora загружено 79 модулей из 1964 доступных (4%), то с учетом размера кода с включением основного файла ядра /boot/vmlinuz* такая система будет исполнять 8.36 МБ кода пространства ядра из доступных 34.66 МБ (24%).
5.1.3. Диалог учётных записей
Новый диалог учётных записей пользователей представляет новый дизайн интерфейса и позволяет создавать пользователей и изменять их сведения в окружениях с одним пользователем или небольшими группами. Этот диалог объединяет в себе функциональность, которую раньше обеспечивали отдельные программы system-config-user, gnome-about-me, gdmsetup, polkit-gnome-authorization.
PolicyKitOne заменяет устаревшую систему авторизации PolicyKit и предоставляет пользователям KDE широкие возможности при использовании приложений и окружения рабочего стола. Сборка Fedora 12 KDE использовала агент аутентификации Gnome. Теперь же PolicyKitOne использует собственный агент аутентификации KDE — KAuth.
