Bảo mật tại AlmaLinux
AlmaLinux OS được xây dựng để minh bạch, có thể kiểm chứng và được chứng nhận độc lập. Từ các gói đã ký và errata công khai đến công cụ tuân thủ và chứng nhận chính thức, đây là cách chúng tôi giúp bạn tin tưởng vào hệ thống bên dưới công việc của bạn.
Cách chúng tôi tiếp cận bảo mật
Bốn ý tưởng định hình mọi thứ chúng tôi làm xoay quanh bảo mật: giữ nó minh bạch, làm cho nó có thể kiểm chứng, trao cho bạn các công cụ chứng minh sự tuân thủ, và hậu thuẫn nó bằng chứng nhận độc lập.
Minh bạch
Errata và khuyến nghị bảo mật công khai cho mọi bản vá chúng tôi phát hành.
Chuỗi cung ứng có thể kiểm chứng
Gói đã ký và Tờ khai vật liệu phần mềm mà bạn có thể kiểm tra.
Tuân thủ và gia cố
Công cụ OpenSCAP, OVAL và CIS để kiểm toán và gia cố hệ thống của bạn.
Chứng nhận độc lập
Đã xác thực FIPS 140-3 và được chứng nhận Common Criteria, với nhiều chứng nhận đang tiến hành.
Chúng tôi cung cấp gì
Đây là những khối xây dựng AlmaLinux trao cho bạn để bảo mật, xác minh và kiểm toán hệ thống của bạn, từ các khuyến nghị chúng tôi xuất bản đến công cụ bạn tự chạy. Bạn cũng có thể đăng ký Danh sách thư bảo mật AlmaLinux để nhận khuyến nghị ngay khi chúng được xuất bản.
Errata và khuyến nghị bảo mật
Chúng tôi xuất bản errata cho các vấn đề bảo mật và bản vá lỗi, kèm phân tích về tầm quan trọng của chúng.
Gói đã ký
Mỗi gói đều được ký bằng khóa GPG và được xác minh theo mặc định khi bạn cài đặt.
Tuân thủ và gia cố
Kiểm toán và gia cố hệ thống của bạn với hướng dẫn OpenSCAP và SCAP Workbench cùng CIS Benchmark.
Dữ liệu lỗ hổng
Các luồng OVAL công khai cung cấp thông tin lỗ hổng có thể đọc bằng máy cho AlmaLinux OS 8, 9 và 10.
Tờ khai vật liệu phần mềm
Hệ thống xây dựng của chúng tôi tạo ra SBOM để truy xuất nguồn gốc và bảo mật chuỗi cung ứng.
Secure Boot
AlmaLinux hỗ trợ Secure Boot, với shim được Microsoft ký, để hệ thống chỉ khởi động phần mềm đáng tin cậy.
Cách chúng tôi ứng phó với các vấn đề bảo mật
Số lượng lỗ hổng được công bố tiếp tục tăng, và nghiên cứu được hỗ trợ bởi AI, tạo proof-of-concept và công bố công khai đang đẩy nhanh hơn nữa. Không bản phân phối nào có thể hứa sửa mọi lỗ hổng theo mọi mốc thời gian. Điều chúng tôi có thể cung cấp là một quy trình rõ ràng, nhất quán về cách chúng tôi xử lý chúng.
Vá từ upstream
Chúng tôi theo upstream cho hầu hết các bản vá. AlmaLinux OS được xây dựng từ các nguồn giống như phần còn lại của hệ sinh thái Linux cấp doanh nghiệp, nên khi các bản vá upstream đến, chúng tôi xây dựng, kiểm thử và xuất bản chúng. Mỗi bản vá bảo mật được phát hành dưới dạng khuyến nghị (ALSA), được xếp hạng Critical, Important, Moderate hoặc Low, kèm dữ liệu OVAL và OSV có thể đọc bằng máy và thông báo đến danh sách thư bảo mật.
Vá trước upstream
Đôi khi một vấn đề quan trọng với cộng đồng đến mức chúng tôi áp dụng bản vá trước upstream. Những bản vá này được ALESCo, Ủy ban Kỹ thuật AlmaLinux, xem xét và phê duyệt, cơ quan định hướng kỹ thuật cho bản phân phối. Khi upstream phát hành bản vá riêng của nó, chúng tôi tái căn chỉnh với nó. Khi có thể hoặc phù hợp, chúng tôi cũng gửi các bản vá mà chúng tôi đã phát hành upstream: tất cả mọi người đều nên hưởng lợi từ công việc của nguồn mở. Bất kỳ ai cũng có thể yêu cầu xem xét một bản vá bằng cách nêu lên trong Kênh ALESCo trên chat.almalinux.org. Vài ví dụ về các bản vá chúng tôi đã phát hành hoặc cung cấp để kiểm thử:
Báo cáo trực tiếp
Cách chúng tôi xử lý một vấn đề được báo cáo trực tiếp cho chúng tôi phụ thuộc vào những gì nó ảnh hưởng. Chúng tôi mục tiêu xác nhận các báo cáo trong vòng 2 đến 3 ngày.
- Vấn đề hệ điều hành cần công bố phối hợp: gửi email tới security@almalinux.org để chúng tôi có thể phối hợp bản vá và phát hành có trách nhiệm.
- Vấn đề hệ điều hành không cần phối hợp: gửi chúng tại bugs.almalinux.org.
- Bất kỳ điều gì không phải là hệ điều hành bản thân nó, như ELevate hoặc trang web này: hãy mở issue trên kho lưu trữ của dự án đó.
Nếu một báo cáo trực tiếp thực sự là vấn đề upstream, chúng tôi hướng bạn báo cáo nó upstream để nó được sửa ngay tại nguồn cho mọi người. Các vấn đề nghiêm trọng được báo cáo vào danh sách thư linux-distros sẽ được vá vào ngày công bố. Xem chính sách công bố lỗ hổng để biết chi tiết đầy đủ.
Các chứng nhận độc lập
Chứng nhận chính thức của bên thứ ba hậu thuẫn công việc bảo mật của chúng tôi bằng xác thực độc lập. AlmaLinux OS đã được xác thực FIPS 140-3 và được chứng nhận Common Criteria, với nhiều chứng nhận đang tiến hành.
Khóa GPG
AlmaLinux ký tất cả các gói bằng khóa GPG, được xác minh theo mặc định bởi dnf và các công cụ cập nhật đồ họa. Chúng tôi khuyên xác minh chữ ký gói trước khi cài đặt.
AlmaLinux OS 10 / AlmaLinux OS Kitten 10
EE6D B7B9 8F5B F5ED D9DA 0DE5 DEE5 C11C C2A1 E572
AlmaLinux OS 9
BF18 AC28 7617 8908 D6E7 1267 D36C B86C B86B 3716
AlmaLinux OS 8 #2
BC5E DDCA DF50 2C07 7F15 8288 2AE8 1E8A CED7 258B
ELevate
74E7 F249 EE69 8A4D ACFB 48C8 4297 85E1 81B9 61A5
Đã hết hạn nhưng vẫn là khóa đáng tin cậy.
AlmaLinux OS 8 #1
5E9B 8F56 17B5 066C E920 57C3 488F CF7C 3ABB 34F8
Chứng chỉ Secure Boot
AlmaLinux cung cấp hỗ trợ Secure Boot bắt đầu từ bản phát hành 8.4. Shim của nó vượt qua đánh giá chính thức và được Microsoft ký. Shim AlmaLinux tin các chứng chỉ này:
Hiện tại
| Chứng chỉ | Được ký cho: | Được xác minh bởi: | Hiệu lực |
|---|---|---|---|
| almalinux-sb-cert-3.der | AlmaLinux Secure Boot CA | AlmaLinux Secure Boot CA | Hết hạn 14.03.2034 |
Trước
Các chứng chỉ này đã hết hạn nhưng vẫn được tin cậy.
| Chứng chỉ | Được ký cho: | Được xác minh bởi: | Hiệu lực |
|---|---|---|---|
| almalinux-sb-cert-1.der | AlmaLinux OS Foundation | Sectigo Public Code Signing CA EV R36 | Đã hết hạn 30.01.2025 |
| almalinux-sb-cert-2.der | AlmaLinux OS Foundation | SSL.com EV Code Signing Intermediate CA RSA | Đã hết hạn 19.01.2025 |
Luôn cập nhật thông tin
Báo cáo lỗ hổng, đăng ký nhận khuyến nghị, hoặc trao đổi trực tiếp về bảo mật với chúng tôi.
