El Die Entwicklung der nächsten Version von Fedora 45 wird fortgesetzt und verspricht ein entscheidendes Update in puncto Sicherheit und Benutzerfreundlichkeit zu werden.
Und dass die Kürzlich eingereichte technische Vorschläge an den Fedora Engineering Steering Committee Sie zeigen einen klaren Fokus auf die Modernisierung des Installationsprozesses und die Stärkung des Schutzes vor kritischen Schwachstellen auf Hardwareebene.
Die nächste Version, die als eine derjenigen gilt, die den größten Fokus auf die strukturelle Integrität des Systems legen wird, Fedora 45 zielt nicht nur darauf ab, die Bereitstellung seiner Betriebssysteme zu erleichtern, sondern sie auch vor dem Kernel zu schützen..
Modernisierte Remote-Installation mit Anaconda WebUI
Uno zu den auffälligsten Veränderungen Für atomare Desktop-Editionen wie Silverblue und Kinoite ist es die Implementierung der Anaconda WebUI-Weboberfläche zur Verwaltung von Installationen komplett aus der Ferne.
Wenn das Zielsystem mit einem bestimmten Parameter startet, Die Benutzer können den gesamten Vorgang über einen Webbrowser auf einem anderen Computer abschließen.Diese Lösung macht die Verwendung herkömmlicher Remote-Desktop-Clients vollständig überflüssig und arbeitet in einer sicheren Umgebung, die eine PIN-Authentifizierung erfordert und den gesamten Netzwerkverkehr standardmäßig verschlüsselt.
Die Weboberfläche von Anaconda unterstützt bereits den Fernzugriff für die Entwicklung über `inst.webui.remote`, jedoch ohne Authentifizierung, TLS oder Konfigurationsisolation. Diese Änderung fügt die notwendigen Produktionskontrollen hinzu, um dies als optionale Funktion zu implementieren.
PIN-basierte Authentifizierung gemäß inst.rdppattern, mit einer Opt-out-Option (inst.webui.remote.noauth) für Entwicklungs- und vertrauenswürdige Netzwerke.
HTTPS mit selbstsignierten Zertifikaten: Cockpit generiert diese automatisch.
Port 443 ist der Standardport, über den sich Benutzer nur über https:// verbinden können.
Isolierte Schrankkonfiguration, um zu verhindern, dass Installateureinstellungen in das installierte System gelangen.
Der Fernzugriff ist nicht standardmäßig aktiviert; der Benutzer muss ihn explizit über die Startoption `inst.webui.remote` aktivieren. Ohne diese Aktivierung bleibt das Verhalten unverändert. Diese Änderung betrifft Atomic Desktop-Images.
Zusätzlich Diese Initiative zielt darauf ab, den klassischen, auf der GTK-grafischen Benutzeroberfläche basierenden Installer durch dieses neue Webtool zu ersetzen. Die Integration in die Installationsabbilder ist besonders vorteilhaft für Geräte mit sehr begrenzten Hardware-Ressourcen, da die rechenintensive Browserverarbeitung auf dem Rechner des Administrators ausgeführt wird und das Zielgerät lediglich einen ressourcenschonenden Webdienst verarbeiten muss.
Kernelhärtung und kryptografische Bereinigung
Auf der anderen Seite Die Distribution unternimmt den ersten Schritt zur Abschaffung der Crypto Userspace API., eine Komponente, die Es wurde aufgrund der potenziellen Sicherheitsrisiken, die es birgt, für veraltet erklärt. Der Plan sieht die Nutzung dieser Schnittstelle vor. Es wird auf eine sehr kleine Gruppe bekannter Pakete beschränkt sein.und ebnet damit den Weg für die geplante endgültige Entfernung in zukünftigen Kernelversionen.
Parallel dazu Die Veralterung bestimmter Hardware-Beschleunigungsmechanismen für kryptografische Anwendungen wird thematisiert. Dies vergrößerte die Angriffsfläche unnötigerweise und war zuvor bereits zur böswilligen Datenmanipulation ausgenutzt worden. Durch das Entfernen dieser spezifischen Komponenten wird die Die Entwickler gewährleisten eine deutlich sicherere Umgebung, ohne dabei Leistungseinbußen hinnehmen zu müssen. vollständig auf kryptografische Implementierungen angewiesen, die direkt und sicher im Benutzermodus ausgeführt werden.
Fortschrittlicher Schutz dank Shadow Stack-Technologie
Darüber hinaus auch Es wurde vorgeschlagen la Standardmäßige Aktivierung der Shadow-Stack-Technologie in kompatiblen 64-Bit-Systemen. Dieser Mechanismus, der von der Hardware moderner Prozessoren wie Intel ab der elften Generation und AMDs Zen3-Mikroarchitektur unterstützt wird, erstellt eine unabhängige und unveränderliche Liste von Rücksprungadressen für vom System ausgeführte Funktionen.
Wenn ein Angreifer versucht, die Rücksprungadresse im Hauptspeicher zu überschreiben durch einen Pufferüberlauf Das System erkennt die Diskrepanz sofort durch einen Vergleich mit Shadow Stack und generiert eine Ausnahme.Diese Maßnahme verhindert wirksam die Ausführung nicht autorisierten Codes. Sie schützt transparent alle Anwendungen und Bibliotheken, die mit den Standardwerkzeugen der Distribution kompiliert wurden, und verbessert so die allgemeine Sicherheit des Betriebssystems erheblich, ohne dass ein Eingreifen des Benutzers erforderlich ist.