5.1.1. Система сертифікації Dogtag
Система сертифікації Dogtag (DGS) — це Certificate Authority (CA) промислового рівня з відкритим кодом, яка підтримує всі аспекти керування життєвим циклом сертифікатів, зокрема Certificate Authority (CA), Data Recovery Manager (DRM), керування Online Certificate Status Protocol (OCSP), Registration Authority (RA), Token Key Service (TKS), Token Processing System (TPS) так керування картками пам’яті за допомогою Enterprise Security Client (ESC).
5.1.2. «Білий» список modprobe
За допомогою «білого» списку (Whitelist) modprobe адміністратори системи зможуть у системах з високим рівнем безпеки обмежити перелік модулів, які завантажуються командою modprobe до переліку модулів, налаштованого адміністратором. Таке обмеження не дозволить непривілейованим користувачам скористатися вразливостями у модулях, які за звичайних умов не використовуються, наприклад, встановленим у системі обладнанням. Таким чином, обмежено об’єм потенційно вразливого коду, який може бути запущено на рівні ядра.
Крім того, modprobe може виконувати вказані команди замість завантаження модуля (за допомогою команди налаштування install). Це обмеження також встановлюється «білим» списком. Щоб полегшити адміністраторам системи створення «білого» списку, до modprobe додано нові функціональні можливості: програма здатна записувати до журналу у вказаному файлі всі дані (подібно до використання modprobe -v), зокрема дії modprobe, виконані у dracut initrd. Передбачено скрипт, який компілює «білий» список на основі даних з журналу.
Скористайтеся «білим» списком для значного зниження рівня ризику атаки на ядро та запобігання використанню вразливостей у коді ядра, який використовується дуже рідко. У поточній версії стандартної системи Fedora завантажується лише 79 модулів з 1964 можливих (4%). Якщо вести розрахунки за об’ємом коду та брати до уваги основний файл ядра (/boot/vmlinuz*), стандартна система використовує 8,36 МБ коду ядра з 34,66 МБ загального коду (24%).
5.1.3. Діалогове вікно облікових записів користувачів
Компонування нового діалогового вікна облікових записів користувачів було змінено, реалізовано створення нових записів користувачів та редагування пов’язаних з записом відомостей у системах особистого користування або системах з невеликою кількістю користувачів. У цьому діалоговому вікні поєднано можливості декількох інструментів, зокрема system-config-user, gnome-about-me, gdmsetup та polkit-gnome-authorization, і всім цим можна тепер скористатися за допомогою однієї програми.
PolicyKitOne замінює собою застарілу систему PolicyKit і надає користувачам KDE ширші можливості у користуванні програмами та стільницею взагалі. У стільничній версії KDE Fedora 12 було використано Агент розпізнавання Gnome. З PolicyKitOne ця програма вам не знадобиться: ви зможете скористатися природнім для KDE агентом розпізнавання, KAuth, у Fedora 13.
