RHEL 10.3 и 9.9: постквантовый SSH, строже SELinux, Podman с несколькими IP

Что случилось

12 ноября Red Hat представила Red Hat Enterprise Linux 10.3 и обновление предыдущей ветки — RHEL 9.9. Установочные образы доступны зарегистрированным клиентам через Customer Portal, архитектуры — x86_64, s390x, ppc64le, Aarch64 и RISC-V в статусе preview. Ветку RHEL 10 будут сопровождать до 2035 года плюс четыре года расширенной платной поддержки, RHEL 9 — до конца мая 2032-го, RHEL 8 — до 2029-го.

Детали

Главная линия этого выпуска — постквантовая криптография. В SSH добавлены алгоритмы mlkem768nistp256-sha256 и mlkem1024nistp384-sha384. В libreswan, реализующем IPsec и IKE, появился обмен ключами ML-KEM-768 и ML-KEM-1024. Утилита gpgv на Rust (пакет rust-sequoia-sqv) получила поддержку постквантовых алгоритмов из новой спецификации OpenPGP, audit научился постквантовым алгоритмам в TLS 1.3 и аутентификации по PSK при отправке журналов на внешние хосты, а OpenSC — спецификации PKCS #11 v3.2. Подсистемы eBPF и perf синхронизированы с ядром Linux 6.19.

Заметные изменения для ежедневной эксплуатации:

• в SELinux переведены в режим enforcing правила powerprofiles_t, qgs_t, redfish_finder_t, sshd_auth_t, sshd_session_t, systemd_mountfsd_t и systemd_oomd_t, под защиту SELinux переведён сервис go-fdo-server;
• в состав включены mod_security и набор правил OWASP Core Rule Set для Apache httpd;
• Podman научился назначать несколько статических IP-адресов одному сетевому интерфейсу контейнера;
• NetworkManager получил туннели GENEVE и механизм CLAT (464XLAT) для работы IPv4-приложений на хосте с IPv6, а через API Nmstate настраиваются туннели IPIP, IPIP6, IP6IP6 и SIT;
• dnf-automatic больше не перезагружает машину во время автоматической установки обновлений;
• Stratis умеет конвертировать незашифрованные пулы в зашифрованные;
• в rpmdb появился флаг --parkdb для оптимизации базы на носителях только для чтения;
• добавлены системные роли auditd, trustee_server и trustee_client — последние две автоматизируют развёртывание конфиденциальных виртуальных машин с аппаратным шифрованием памяти;
• io_uring включён как Technology Preview и по умолчанию отключён через /proc/sys/kernel/io_uring_disabled.

Есть и неожиданное: MCP Server для подключения ИИ-агентов к системным данным диагностики объявлен готовым к использованию, а в командной строке появился экспериментальный ИИ-ассистент с подсказками — он может работать как с локальной моделью, так и с внешним сервисом.

Что это значит

Обновление плановое, но не совсем безобидное. Включение новых правил SELinux в enforcing чаще всего и ломает сервисы при переходе: перед массовым обновлением стоит прогнать тестовый стенд с рабочими профилями и проверить журнал отказов AVC. Постквантовые алгоритмы в SSH и IPsec полезны, но старые клиенты и оборудование могут их не согласовать — гибридные наборы стоит вводить постепенно и следить за согласованием. Отказ от WEP в беспроводных сетях и блокировка перезагрузки в dnf-automatic — изменения, которые админы почувствуют сразу. Как всегда, пакеты RHEL доступны только через клиентский портал по EULA, а исходники синхронизируются в CentOS Stream и через проект OpenELA.