#system hardening

SUSE 杰出工程师 Thorsten Kukuk 在 2026 年 All Systems Go\! 会议上介绍了一项仍在推进的工作：通过让 systemd 的 PID 1 设置 NoNewPrivileges=yes，在内核层为所有进程启用 no\new\privs，从而阻止 execve\(\) 赋予 setuid、setgid 或文件能力，目标是系统级禁用这类二进制。该标志会跨 fork\(\)、clone\(\) 和 execve\(\) 保持，但不会阻止已有特权的任务直接调用 setuid\(\) 或 setresuid\(\)。为处理账户管理，他开发了 scan-caps 和 account-utils，并以经 varlink 通信、仅能访问 /etc/passwd 与 /etc/shadow 的 pwaccessd/pwupdd 服务替代 shadow-utils、PAM 等需要特权的客户端。报道没有说明该方案已在 SUSE 产品中默认启用；sudo 改用 run0 等“侵入性包”会把 sudoers 配置变为 polkit 规则，构成破坏性变更。