操作系统安全性

Clear Linux* OS 旨在做出既高效又实用的系统性、分层安全决策。此安全理念根植于项目的代码库和运营文化中。

更新方面的安全举措

Clear Linux OS 团队致力于通过开源、增量更新以及快速解决已知的安全建议来提升软件安全。

最新的 Linux* 代码库

Clear Linux OS 使用最新版本的 Linux 内核，允许操作系统利用上游 Linux 内核的最新功能，包括安全修复。

自动有效更新

Clear Linux OS 每天多次执行增量更新。

这种 rolling release 模式便于 Clear Linux OS 在软件包的最新安全补丁一经推出就能获得应用。Clear Linux OS 不会等待主要或次要版本。

简单地将更新内容下载到系统上并不会带来多大的效果。重要的是在获得更新内容的同时，还要确保修补后的新副本得到使用，而不是将旧副本加载到内存中。更新软件后，Clear Linux OS 会告诉用户某个服务是否需要重新启动，或者在需要时自动重新启动服务。

在 Clear Linux OS 中，更新会自动、高效且有效地交付。有关 Clear Linux OS 中软件更新的更多信息，请参阅 swupd 指南。

自动 CVE 扫描和修复

软件包和安全漏洞的数量正呈指数级增长。NIST 会在美国国家漏洞数据库 https://nvd.nist.gov/以及 https://cve.mitre.org/推送通用漏洞 (CVE) 存储库及其修复程序（如果已知）。

Clear Linux OS 采用一种主动且慎重的方法来解决已知且可修复的 CVEs。系统每天都会对照 CVE 扫描软件包，而且相应的安全补丁一经可用即会立即部署。

这些综合实践最大限度减少了 Clear Linux OS 系统暴露于不必要的安全风险下的时间。

软件方面的安全举措

最大限度减少攻击面

Clear Linux OS 会尽可能删除旧的、不需要的或冗余的标准和组件，以便能够使用最广为人知的安全标准。以下是一些例子：

  • RC4、SSLv3、3DES 和 SHA-1 密码存在已知的漏洞，已在许多 Clear Linux OS 软件包中明确禁用，以避免意外使用。
  • 暴露敏感系统信息的服务和子系统已被删除，如 finger 和 tcpwrappers。
  • 出于安全考虑，默认情况下已禁用 SFTP。

经过验证的信任措施

Clear Linux OS 鼓励在整个系统中使用加密和数字签名验证等安全措施，并不鼓励盲目信任。以下是一些例子：

  • swupd 的所有更新操作都是透明加密的，并对照 Clear Linux OS 维护者的公钥进行真实性检查。有关 swupd 安全性的更多信息，请参阅 Security for software update in Clear Linux* OS 博客文章。
  • 构建之前，可从 Clear Linux OS 获得的软件包会验证由第三方项目代码库和维护者提供的校验和和签名。
  • Clear Linux OS 使用一个统一的证书存储库 clrtrust，可以方便地与知名的证书颁发机构配合使用。clrtrust 还提供了一个易于使用的命令行界面来管理整个系统范围内的信任链，而不是忽略外部证书。

使用安全选项编译

虽然 Clear Linux OS 软件包针对英特尔架构优化了性能，但也合理使用了强调安全的内核和编译器选项。以下是一些例子：

系统设计方面的安全举措

整个 Clear Linux OS 系统设计都使用了简单却有效的技术来防御常见的攻击媒介，并实现良好的安全水平。以下是一些例子：

  • 安装期间可使用 LUKS 实现全磁盘加密。有关 LUKS 的更多信息，请参阅 cryptsetup。
  • Clear Linux OS 使用 PAM cracklib 模块强化用户登录和密码安全，从而使得：
    • Clear Linux OS 一开始并没有现成的默认用户名或 root 密码，系统会要求您立即设置自己的密码。
    • 在 Clear Linux OS 中无法设置很容易被猜出的简单密码。
    • 将过去受过攻击的密码加入密码黑名单，并禁止将系统密码设置为黑名单中的密码。
  • 使用 openssh-server 捆绑包可安装轻量级服务 Tallow，监视和阻止可疑的 SSH 登录模式。