Представен е systemd-homed за управление на преносими домашни директории

Леннарт Поттеринг (Lennart Poettering) представи (PDF) на конференцията All Systems Go 2019 нов компонент на системния мениджър systemd — systemd-homed, насочен към осигуряване на преносимост на домашните каталоги на потребителите и тяхното отделяне от системните настройки. Основната идея на проекта е създаването на самодостатъчни среди за потребителски данни, които могат да бъдат пренасяни между различни системи, без да е необходимо да се грижим за синхронизация на идентификатори и конфиденциалност.

Средата на домашния каталог се предоставя под формата на монтиран образ на файл, данните в който са криптирани. Параметрите на удостоверяване на потребителя са свързани с домашния каталог, а не със системните настройки — вместо /etc/passwd и /etc/shadow се използва профил в JSON формат, съхраняван в директорията ~/ .identity. В профила са посочени параметрите, необходими за работата на потребителя, включително данни за име, хеш на паролата, ключове за криптиране, квоти и предоставени ресурси. Профилът може да бъде заверен с цифров подпис, съхраняван на външен токен Yubikey.

Параметрите също могат да включват допълнителна информация, такава като ключове за SSH, данни за биометрична автентикация, изображение, имейл, адрес, часови пояс, език, лимити на броя на процесите и паметта, допълнителни флагове за монтиране (nodev, noexec, nosuid), информация относно използваните от потребителя IMAP/SMTP сървъри, информация за родителски контрол, параметри за резервно копиране и т.н. За запитвания и разбиране на параметрите е предоставен API Varlink.

Назначаването и обработката на UID/GID се извършва динамично във всяка локална система, към която е свързан домашният каталог. Чрез предложената система потребителят може да държи домашния си каталог при себе си, например на флаш устройство, и да получи работна среда на всяко компютърно устройство без явното оформяне на акаунт на него (наличието на файл с образ на домашния каталог води до синтез на потребителя).

За криптиране на данни се предлага да се използва подсистемата LUKS2, но systemd-homed също така позволява използването на други бекенди, например за незашифровани директории, Btrfs, Fscrypt и мрежови дялове CIFS. За управление на преносими директории е предложена утилитата homectl, която позволява създаване и активиране на образи на домашни директории, както и промяна на размера им и задаване на парола.

На системно ниво, работата се осигурява от следните компоненти:

• systemd-homed.service — управлява домашната директория и вгражда JSON записи директно в образите на домашната директория;
• pam_systemd — обработва параметрите от JSON профила при вход на потребителя и ги прилага в контекста на активирания сеанс (извършва автентикация, настройва променливи на средата и т.н.);
• systemd-logind.service — обработва параметрите от JSON профила при вход на потребителя, прилага различни настройки за управление на ресурсите и задава лимити;
• nss-systemd — модул NSS за glibc, синтезира класически записи NSS на база JSON профил, предоставяйки обратно съвместимост с UNIX API за обработка на потребители (/etc/password);
• PID 1 — динамично създава потребители (синтезира по аналогия с прилагането на директивата DynamicUser в юнитите) и ги прави видими за останалата система;
• systemd-userdbd.service — транслира UNIX/glibc NSS акаунти в JSON записи и предоставя унифициран API Varlink за запитване и изброяване на записите.

От предимствата на предложената система се отбелязва възможността за управление на потребители при монтиране на директория /etc в режим само за четене, липса на необходимост за синхронизация на идентификатори (UID/GID) между системите, независимост на потребителя от конкретен компютър, блокиране на данните на потребителя по време на преход в спящ режим, прилагане на криптиране и съвременни методи за автентикация. Системата systemd-homed е планирана да бъде включена в основния състав на systemd в версия 244 или 245.

Примерен JSON профил на потребител:

"autoLogin" : true,
"binding" : {
"15e19cd24e004b949ddaac60c74aa165" : {
"fileSystemType" : "ext4",
"fileSystemUUID" : "758e88c8-5851-4a2a-b98f-e7474279c111",
"gid" : 60232,
"homeDirectory" : "/home/test",
"imagePath" : "/home/test.home",
"luksCipher" : "aes",
"luksCipherMode" : "xts-plain64",
"luksUUID" : "e63581ba-79fa-4226-b9de-1888393f7573",
"luksVolumeKeySize" : 32,
"partitionUUID" : "41f9ce04-c927-4b74-a981-c669f93eb4dc",
"storage" : "luks",
"uid" : 60233
}
},
"disposition" : "regular",
"enforcePasswordPolicy" : false,
«lastChangeUSec» : 1565951024279735,
«memberOf» : [
«wheel»
],
«privileged» : {
«hashedPassword» : [
«$6$WHBKvAFFT9jKPA4k$OPY4D5…/»
]
},
«signature» : [
{
«data» : «LU/HeVrPZSzi3M3J…==»,
«key» : «——BEGIN PUBLIC KEY—— MCowBQADK2VwAy…= ——END PUBLIC KEY—— »
}
],
«userName» : «test»,
«status» : {
«15e19cf24e004b949dfaac60c74aa165» : {
«goodAuthenticationCounter» : 16,
«lastGoodAuthenticationUSec» : 1566309343044322,
«rateLimitBeginUSec» : 1566309342341723,
«rateLimitCount» : 1,
«state» : «inactive»,
«service» : «io.systemd.Home»,
«diskSize» : 161218667776,
«diskCeiling» : 191371729408,
«diskFloor» : 5242780,
«signedLocally» : true
}
}

Източник: opennet.ru