Seguridad
Caché de credenciales Kerberos KCM de forma predeterminada
Fedora 27 predetermina a un nuevo tipo de caché de credencial Kerberos llamado Kerberos Cache Manager (KCM), implementado en el servicio sssd-kcm, que se adapta mejor a los entornos de contenedores y también proporciona una mejor experiencia al usuario en casos generales. Las características clave de KCM son:
-
Los cachés de credencial Kerberos son manejados por un demonio en el espacio de usuario con un socket UNIX como punto de entrada. Estos significa que los UIDs y GIDs de los propietarios de la caché están sujetos al espacio de nombres UID, que es beneficioso en entornos de contenedores.
-
El socket UNIX se puede montar en los contenedores bajo demanda, de este modo se permite que uno o más contenedores compartan un único caché de credencial Kerberos.
-
El demonio KCM tiene estado. Si bien no se implementa ninguna funcionalidad que se beneficie de eso en F-27, el demonio permitirá la actualización automática de las credenciales Kerberos de un usuario si es necesario.
La información sobre la utilización de KCM se puede encontrar en man sssd-kcm y también en man sssd-secrets, porque KCM usa sssd-secrets para el almacenamiento de datos. Se contiene información adicional en la Página de Diseño SSSD para KCM.
Paquetes Quitados en krb5-appl
Los paquetes krb5-appl-clients y krb5-appl-servers se consideran obsoletos y se han quitado de Fedora. Estos paquetes suministran atención Kerberos para cliente y servidores telnet, ftp, rcp, rsh y rlogin. Los usuarios debería moverse a herramientas de seguridad más modernas como openssh.
El cifrado predeterminado en OpenVPN se ha cambiado a 256-bit AES-GCM
Las configuraciones OpenVPN utilizando el más nuevo archivo de unidad openvpn-server@.service utiliza ahora un cifrado más fuerta para el túnel VPN de modo predeterminado. El modo predeterminado se cambia del algoritmo Blowfish usando claves de 128 bit al algoritmo AES-GCM con claves de 256 bit.
Para asegurar la compatibilidad hacia atrás, este nuevo predeterminado también habilita a los clientes que usen el algoritmo Blowfish no recomendado para conectarse utlizando la función --ncp-ciphers disponible en OpenVPN 2.4.
Para facilitar una migración fácil desde Blowfish para los clientes que no soporten AES-GCM, estos clientes pueden ahora cambiar o añadir la opción --cipher en la configuración cliente para AES-256-CBC o AES-128-CBC sin necesitar hacer ningún otro cambio en el servidor.
OpenSSH Server sigue ahora políticas criptográficas en todo el sistema
Fedora define políticas criptográficas en todo el sistema, que son seguidas por las librerías criptográficas y las herramientas, incluyendo los clientes OpenSSH. Esto permite a los adminisrradores usar diferentes niveles de seguridad en todo el sistema. Con esta actualización, OpenSSH Server se adhiere a estas políticas de todo el sistema, también.
Esta modificación añade variables de entorno que especifican algoritmos habilitados. La información está pasada al demonio sshd en la línea de comando. Es, por tanto, necesario reiniciar el servicio sshd para que tomen efecto los cambios a la configuración de crypto‐policy.
Asistencia SSH-1 eliminada de OpenSSH
El protocolo SSH-1 está obsoleto y ya no se considera seguro. Por tanto, no es mantenido por los binarios del cliente OpenSSH empaquetado por defecto para Fedora. Estos cambios saca mantenido para el protocolo SSH-1 todo junto por quitar el subpaquete openssh-clientes-ssh1.
libcurl cambia a usar OpenSSL
La biblioteca libcurl ahora usa OpenSSL para TLS y criptografía (en lugar de NSS). Los certificados y claves TLS almacenados en la base de datos NSS deben exportarse a archivos para que libcurl pueda cargarlos. Consulte el enlace http://pki.fedoraproject.org/wiki/NSS_Database para obtener instrucciones sobre como trabajar con la base de datos NSS.
Want to help? Learn how to contribute to Fedora Docs ›