Издание на системния мениджър systemd 252 с поддръжка на UKI (Unified Kernel Image).

След края на пет месеца разработка, бeше представена версия на системния мениджър systemd 252. Ключовата промяна в новата версия е интеграцията на поддръжка на модернизирания процес на зареждане, позволяваща верификация по цифрови подписи не само на ядрото и зареждача, но и на компонентите на основната системна среда.

Предложеният метод предполага използването на унифициран образ на ядрото UKI (Unified Kernel Image) при зареждане, който обединява обработчик за зареждане на ядрото от UEFI (UEFI boot stub), образ на ядрото Linux, и зарежданото в паметта системно окружение initrd, използвано за начална инициализация преди монтирането на кореновата файлова система. UKI-образът е оформен като един изпълним файл в формат PE, който може да бъде зареден чрез традиционни зареждачи или директно извикан от UEFI фърмуера. При извикване от UEFI се предоставя възможност за проверка на целостта и достоверността по цифрова подпис на не само ядрото, но и съдържанието на initrd.

За изчисление на параметрите на регистрите TPM PCR (Trusted Platform Module Platform Configuration Register), използвани за контрол на целостта и формироване на цифрова подпис на образа UKI, е включена нова утилита systemd-measure. Използваният в подписа публичен ключ и съпътстващата информация за PCR могат да бъдат вградени директно в зареждащия образ UKI (ключът и подписът се съхраняват в файла в формат PE в полета ‘.pcrsig’ и ‘.pcrkey’) и извлечени от него от външни или вътрешни утилити.

Включително за използване на тази информация са адаптирани утилитите systemd-cryptsetup, systemd-cryptenroll и systemd-creds, чрез които може да се осигури свързването на криптирани дискови дялове с удостоверено цифрова подпис на ядрото (в този случай достъпът до криптирания дял се предоставя само ако образът UKI е преминал верификация по цифрова подпис на база параметрите, разположени в TPM).

Допълнително е включена утилита systemd-pcrphase, позволяваща управление на свързаността на различни фази на зареждане с параметрите, разположени в паметта на криптопроцесорите, поддържащи спецификацията TPM 2.0 (например, може да се направи ключът за декриптиране на дял LUKS2 достъпен само в образа initrd и да се блокира достъпът до него на по-късни етапи на зареждане).

Някои други промени:

• По подразбиране се използва локал C.UTF-8, ако в настройките не е определена друга локализация.
• Реализирана е възможността за извършване на операция по пълно предварително настройване на услугите («systemctl preset») по време на първото зареждане. За активиране на предварителната настройка по време на зареждане е необходима компилация с опцията «-Dfirst-boot-full-preset», но в бъдещи версии тя планира да бъде активирана по подразбиране.
• В модулите за управление на потребителите е включен контролер на ресурсите CPU, което позволи приложението на настройките CPUWeight за всички slice-модули, използвани за разделяне на системата на части (app.slice, background.slice, session.slice) за изолиране на ресурсите между различни потребителски услуги, състезаващи се за ресурси на CPU. В CPUWeight също е реализирана поддръжка на стойността «idle» за активиране на съответния режим на предоставяне на ресурси.
• В временните («transient») модули и в утилитата systemd-repart е разрешено презаписването на настройки чрез създаване на drop-in файлове в директорията /etc/systemd/system/име.d/.
• За системните образи е осигурено поставянето на флага за прекратяване на поддръжка (‘support-ended’), определяйки този факт въз основа на стойността на новия параметър «SUPPORT_END=» в файла /etc/os-release.
• Добавени са настройките «ConditionCredential=» и «AssertCredential=», които могат да се използват за игнориране или аварийно приключване на модулите при отсъствие на определени идентификационни данни в системата.
• В system.conf и user.conf са добавени настройките «DefaultSmackProcessLabel=» и «DefaultDeviceTimeoutSec=» за определяне на нивото на безопасност SMACK и таймаута за активиране на модула, които се прилагат по подразбиране.
• В настройките «ConditionFirmware=» и «AssertFirmware=» е добавена възможността да се посочват отделни полета SMBIOS, например за стартиране на модула само в случай, че полето /sys/class/dmi/id/board_name съдържа стойността «Custom Board», може да се зададе «ConditionFirmware=smbios-field(board_name = «Custom Board»)».
• В процеса на инициализация (PID 1) е добавена възможността за импортиране на идентификационни данни от полета SMBIOS (Тип 11, «OEM vendor strings») в допълнение към тяхното определяне чрез qemu_fwcfg, което опростява предоставянето на идентификационни данни виртуални машини и позволява да се заобиколят външни инструменти, като cloud-init и ignition.
• По време на завършване на работата е променена логиката на демонтирмане на виртуалните файлови системи (proc, sys) и е осигурено записването в логовете на информация за процесите, блокиращи демонтироването на файловите системи.
• В системния呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼 呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼 呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼 呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼呼,则则则则则则则则则则则则则则。
• В загрузчика sd-boot добавена възможност за зареждане в смесен режим, при който 64-битовото ядро на Linux стартира от 32-битовия фърмуер UEFI. Добавена е експериментална функция за автоматично прилагане на ключове SecureBoot от файлове, намерени в ESP (EFI system partition).
• В утилитата bootctl добавени нови опции ‘—all-architectures’ за инсталиране на бинарни файлове за всички поддържани архитектури EFI, ‘—root=’ и ‘—image=’ за работа с каталог или дисков образ, ‘—install-source=’ за определяне на източника за инсталация, '—efi-boot-option-description=' за управление на имената на стартовите записи.
• В утилитата systemctl добавена команда ‘list-automounts’ за показване на списък с автоматично монтирани каталози и опция ‘—image=’ за изпълнение на команди, свързани с указан диск. В командите 'show' и 'status' добавени опции ‘—state=’ и ‘—type=’.
• В systemd-networkd добавени опции ‘TCPCongestionControlAlgorithm=’ за избор на алгоритъм за контрол на пренасищане на TCP, ‘KeepFileDescriptor=’ за запазване на файловия дескриптор на интерфейсите TUN/TAP, ‘NetLabel=’ за задаване на етикети NetLabel, ‘RapidCommit=’ за ускоряване на настройката чрез DHCPv6 (RFC 3315). В параметъра ‘RouteTable=’ разрешено е указване на имена на таблици за маршрутизиране.
• В systemd-nspawn разрешено е използването на относителни файлови пътища в опциите ‘—bind=’ и ‘—overlay=’. В опцията ‘—bind=’ добавена е поддръжка на параметъра ‘rootidmap’ за свързване на идентификатора на потребителя root в контейнера с собственика на монтирания каталог на хост системата.
• В systemd-resolved за бекенд за криптиране по подразбиране се използва пакет OpenSSL (поддръжката на gnutls е запазена като опция). Неподдържаните алгоритми на DNSSEC сега се обработват като ненадеждни, вместо да връщат грешка (SERVFAIL).
• В systemd-sysusers, systemd-tmpfiles и systemd-sysctl реализирана е възможност за предаване на настройки чрез механизъм за съхранение на удостоверения.
• В утилитата systemd-analyze добавена е команда ‘compare-versions’ за сравняване на стрингове с версии (посредством ‘rpmdev-vercmp’ и ‘dpkg —compare-versions’). В командата ‘systemd-analyze dump’ добавена е възможност за филтриране на единици по маска.
• При избора на многостепенен режим на сън (suspend-then-hibernate, преминаване в спящ режим след режим на изчакване), времето на престой в режим на изчакване сега се избира на базата на прогнозата за оставащото време на автономна работа. Мгновен преход в спящ режим се извършва, когато остава по-малко от 5% заряд на батерията.
• В ‘journalctl’ е добавен нов режим на изход «-o short-delta», който показва разликата във времето между различните съобщения в журнала.
• В systemd-repart е добавена поддръжка за създаване на дялове с файлови системи Squashfs и дялове за dm-verity, включително с цифрови подписи.
• В systemd-logind е добавена настройка «StopIdleSessionSec=» за приключване на неактивната сесия след изтичането на зададения таймаут.
• В systemd-cryptenroll е добавена опция «—unlock-key-file=» за извличане на ключа за декриптиране от файл, а не чрез изхода на заявка от потребителя.
• Осигурена е възможност за изпълнение на утилитата systemd-growfs в среди без udev.
• В systemd-backlight е подобрена поддръжката на системи с множество графични карти.
• Лицензът за примерите на кода, приведени в документацията, е променен от CC0 на MIT-0.

Промени, нарушаващи съвместимостта:

• При проверка на номера на версията на ядрото с помощта на директивата ConditionKernelVersion, в операторите ‘=’ и ‘!=’ сега се прилага просто сравнение на низове, а ако операторът за сравнение изобщо не е посочен, може да се приложи съпоставяне по glob-маска с използването на символите ‘*’, ‘?’ и ‘[‘, ‘]’. За сравнение на версии стил stverscmp() следва да се използват операторите ‘’, ‘=’.
• Етикетът SELinux, използван за проверка на достъпа от unit-файл, сега се чете на етапа на зареждане на файла, а не в момента на проверка на достъпа.
• Условието «ConditionFirstBoot» сега сработва при първото зареждане на системата само непосредствено на етапа на зареждане и връща «false» при извикване на юнитите след приключване на зареждането.
• През 2024 година в systemd се планира да се прекрати поддръжката на механизма за ограничаване на ресурсите cgroup v1, който беше обявен за остарял в изданието systemd 248. Администраторите се препоръчва да се погрижат предварително за мигрирането на услугите, зависими от cgroup v1, към cgroup v2. Ключовото отличие на cgroups v2 от v1 е прилагането на обща йерархия на cgroups за всички видове ресурси, вместо отделни йерархии за разпределение на CPU, регулиране на потреблението на памет и вход/изход. Отделните йерархии предизвикват трудности при организирането на взаимодействията между обработвачите и водят до допълнителни разходи на ресурси на ядрото, когато прилагат правила за процеси, споменати в различни йерархии.
• През втората половина на 2023 година се планира да се прекрати поддръжката на отделните йерархии на директории, когато /usr е монтирано отделно от кореновата директория или директориите /bin и /usr/bin, /lib и /usr/lib са разделени.

Източник: opennet.ru