Безопасность
Стек PARSEC теперь доступен в Fedora
Platform AbstRaction for SECurity (PARSEC) — это открытая инициатива, предоставляющая общий API для доступа к защищённым учётным данным, хранящимся в оборудовании, независимо от платформы.
PARSEC служит уровнем абстракции, который отделяет рабочие нагрузки от деталей физической платформы. Это обеспечивает облачные процессы доставки в центрах обработки данных и в секторе периферийных вычислений.
После установки стека PARSEC в Fedora Workstation демон PARSEC будет автоматически запускаться на раннем этапе загрузки. В Fedora IoT установка стека и запуск демона выполняются самой операционной системой.
С аппаратной точки зрения демон PARSEC в настоящее время может использовать чип Trusted Platform Module 2 (TPM2), устройство Hardware Security Module (HSM) или системы с включённой технологией Arm TrustZone.
Настройки криптографии повышенной надёжности — Фаза 2
Fedora 33 отключает:
-
Версии протоколов TLS старше 1.2, поэтому TLS версий 1.0 и 1.1 теперь отключены по умолчанию.
-
Подписи хэша SHA в протоколах TLS, SSH и IKE.
-
Обмен ключами Diffie-Hellman с размером параметров менее 2048 бит.
В результате Fedora 33 не может взаимодействовать с устаревшими системами, которые поддерживают все отключённые компоненты, перечисленные выше.
Если вы хотите взаимодействовать с устаревшими системами, вы можете:
-
Установить общесистемную криптографическую политику LEGACY с помощью команды:
---- # update-crypto-policies --set LEGACY
* Или добавьте следующий фрагмент в файл конфигурации ssh (~/.ssh/config) + [source,shell]
Host <имя-сервера>
PubkeyAcceptedKeyTypes ssh-rsa
* Для Dovecot в RHEL/CentOS до 7.8 (исправлено в 7.9) установите в /etc/pki/dovecot/dovecot-openssl.cnf: + [source, shell]
[ req ] default_bits = 3072
* Наиболее безопасным методом является использование алгоритма цифровой подписи на эллиптических кривых (ECDSA) для генерации новых ключей SSH, поскольку описанные выше методы переопределяют новые криптографические политики Fedora 33, делая вашу систему уязвимой.
Want to help? Learn how to contribute to Fedora Docs ›