Společnost Microsoft zveřejnila výsledky práce na distribuci Azure Linux 4, která byla ve srovnání s větví 3.0 zásadně přepracována a převedena z vlastního balíčkového základu na používání balíčků z distribuce Fedora 43. Pokud byla dříve Azure Linux prezentována jako platforma pro Linuxová prostředí, využívaná v cloudové infrastruktuře, edge systémech a různých službách Microsoftu, nyní je Azure Linux představována jako zabezpečený a spolehlivý operační systém všeobecného určení, optimalizovaný pro cloud Azure, který lze používat ve virtuálních strojích, kontejnerech, prostředí WSL (Windows Subsystem Linux) a jako hlavní OS na počítačích.
Větev Azure Linux 4 je označena jako vývojová. Pro pracovní nasazení se doporučuje používat větev Azure Linux 3. Hotové sestavení zatím nejsou k dispozici, ale je k dispozici návod na sestavení. Specifické změny pro distribuci jsou poskytovány pod licencí MIT.
Při formování distribuce byl místo vytváření forku Fedora v Azure Linux 4 použit deklarativní přístup, který umožňuje znovu sestavit RPM balíčky s požadovanými změnami a nastaveními z původních repozitářů Fedora, pomocí konfiguračních souborů ve formátu TOML. Další funkčnost je definována ve formě overlayů, které umožňují generovat specifické pro Azure Linux spec soubory balíčků na základě původních SRPM balíčků z Fedora Linux. Overlayy definují změny provedené nad balíčky Fedora, jako jsou dodatečné konstrukce ve spec souborech, patche a parametry sestavení.
Balíkovou jednotkou v Azure Linux 4 jsou „komponenty“ (zdrojový balíček), které jsou většinou importovány z Fedory prostřednictvím dist-git a mohou vytvářet jeden nebo více RPM balíčků. Všechny komponenty jsou sestaveny ze zdrojového kódu, binární balíčky z Fedory se nepřenášejí. Pro generaci výsledných RPM balíčků na základě overlayů se používá nástroj azldev, napsaný v jazyce Go a dodávaný pod licencí MIT.
Mezi charakteristiky Azure Linux 4 patří dodávka jádra Linux s dodatečnými optimalizacemi, ochrana proti útokům skrze závislosti (supply chain), předvídatelný cyklus podpory a vydávání aktualizací, integrované možnosti pro integraci s cloudem Azure, úpravy pro zvýšení bezpečnosti. Systém sestavení Azure Linux umožňuje generovat jak instalační prostředí s RPM balíčky, tak monolitické systémové obrazy, které jsou vytvářeny pomocí nástroje rpm-ostree a aktualizovány atomárně bez rozdělení na jednotlivé balíčky. Podporovány jsou dva modely dodávání aktualizací: prostřednictvím aktualizace jednotlivých balíčků a prostřednictvím přestavby a aktualizace celého systémového obrazu.
Mezi používanými opatřeními pro zvýšení bezpečnosti v Azure Linux patří:
- Filtrování systémových volání pomocí mechanismu seccomp.
- Šifrování diskových partition.
- Ověřování balíčků pomocí digitálního podpisu.
- Randomizace adresního prostoru.
- Ochrana proti útokům týkajícím se symbolických odkazů, mmap, /dev/mem a /dev/kmem.
- Režim pouze pro čtení a zákaz spuštění kódu v oblastech paměti, kde jsou umístěny segmenty s daty jádra a modulů.
- Možnost zakázat načítání jádrových modulů po inicializaci systému.
- Zahrnutí při sestavování režimů ochrany proti přetečení zásobníku, přetečení bufferu a problémům s formátováním řetězců (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
- Dodávka minimálně nezbytných balíčků, bez aktivace zbytečných služeb.
Zdroj: opennet.ru
