Die Veröffentlichung des Systemmanagers systemd 252 mit Unterstützung für UKI (Unified Kernel Image)

Nach fünfmonatiger Entwicklung wurde die Version des Systemmanagers systemd 252 veröffentlicht. Die wichtigste Änderung in der neuen Version ist die Integration der Unterstützung für den aktualisierten Bootprozess, der die Verifizierung nicht nur des Kernels und des Bootloaders, sondern auch der Komponenten der grundlegenden Systemumgebung durch digitale Signaturen ermöglicht.

Das vorgeschlagene Verfahren sieht die Verwendung eines einheitlichen Kernel-Images UKI (Unified Kernel Image) beim Booten vor, das den Loader für den Kernel aus UEFI (UEFI Boot Stub), das Linux-Kernel-Image und die in den Speicher geladene Systemumgebung initrd vereint, die für die initiale Initialisierung vor dem Mounten des Root-Dateisystems verwendet wird. Das UKI-Image wird in Form einer einzelnen ausführbaren Datei im PE-Format bereitgestellt, die mit traditionellen Bootloadern geladen oder direkt aus der UEFI-Firmware aufgerufen werden kann. Beim Aufruf aus UEFI besteht die Möglichkeit, die Integrität und Authentizität durch digitale Signaturen nicht nur des Kernels, sondern auch des Inhalts von initrd zu überprüfen.

Zur Berechnung der Parameter der TPM PCR (Trusted Platform Module Platform Configuration Register), die zur Integritätskontrolle und zur Erstellung der digitalen Signatur des UKI-Images verwendet werden, wurde das neue Tool systemd-measure integriert. Der in der Signatur verwendete öffentliche Schlüssel und die zugehörigen Informationen über PCR können direkt in das Boot-Image UKI eingebettet werden (Schlüssel und Signatur werden in einer Datei im PE-Format in den Feldern ‘.pcrsig’ und ‘.pcrkey’ gespeichert) und von externen oder internen Tools extrahiert werden.

Unter anderem wurden die Tools systemd-cryptsetup, systemd-cryptenroll und systemd-creds angepasst, um diese Informationen zu nutzen, mit denen eine Bindung der verschlüsselten Partitionen an den durch digitale Signaturen geprüften Kernel sichergestellt werden kann (in diesem Fall wird der Zugriff auf die verschlüsselte Partition nur gewährt, wenn das UKI-Image die Verifizierung nach digitaler Signatur basierend auf den im TPM abgelegten Parametern bestanden hat).

Zusätzlich wurde das Tool systemd-pcrphase integriert, mit dem die Bindung verschiedener Bootphasen an die Parameter verwaltet werden kann, die im Speicher der Krypto-Prozessoren gespeichert sind, die die Spezifikation TPM 2.0 unterstützen (z. B. kann der Schlüssel zur Entschlüsselung der LUKS2-Partition nur im Image initrd verfügbar gemacht und der Zugriff darauf in späteren Bootphasen blockiert werden).

Einige andere Änderungen:

• Die Verwendung der Lokalisierung C.UTF-8 ist standardmäßig sichergestellt, sofern keine andere Lokalisierung in den Einstellungen definiert ist.
• Die Möglichkeit, die vollständige Voreinstellung der Dienste («systemctl preset») während des ersten Starts auszuführen, wurde umgesetzt. Um die Voreinstellung während des Starts zu aktivieren, ist eine Kompilierung mit der Option «-Dfirst-boot-full-preset» erforderlich, aber in zukünftigen Versionen soll sie standardmäßig aktiviert werden.
• In den Einheitseinheiten zur Benutzerverwaltung wurde ein CPU-Ressourcencontroller integriert, der die Anwendung der CPUWeight-Einstellungen auf alle Slice-Einheiten ermöglicht, die zur Aufteilung des Systems in Teile (app.slice, background.slice, session.slice) verwendet werden, um Ressourcen zwischen verschiedenen Benutzerdiensten, die um CPU-Ressourcen konkurrieren, zu isolieren. Auch in CPUWeight wurde die Unterstützung für den Wert «idle» implementiert, um den entsprechenden Ressourcenbereitstellungsmodus zu aktivieren.
• In transienten («transient») Einheiten und im Dienstprogramm systemd-repart wurde die Möglichkeit zur Übersteuerung der Einstellungen durch die Erstellung von Drop-in-Dateien im Verzeichnis /etc/systemd/system/name.d/ eingeführt.
• Für Systemabbilder wurde die Flagge zur Einstellung des Supports ('support-ended') gesetzt, wobei dieser Umstand anhand des Wertes des neuen Parameters 'SUPPORT_END=' in der Datei /etc/os-release definiert wird.
• Die Einstellungen «ConditionCredential=» und «AssertCredential=» wurden hinzugefügt, die verwendet werden können, um Einheiten zu ignorieren oder sie bei Fehlen bestimmter Anmeldeinformationen im System abzubrechen.
• In system.conf und user.conf wurden die Einstellungen «DefaultSmackProcessLabel=» und «DefaultDeviceTimeoutSec=» hinzugefügt, um das Sicherheitsniveau von SMACK und die Zeitüberschreitung der Aktivierung der Einheit zu definieren, die standardmäßig angewendet werden.
• In den Einstellungen «ConditionFirmware=» und «AssertFirmware=» wurde die Möglichkeit hinzugefügt, bestimmte SMBIOS-Felder anzugeben, beispielsweise zum Start einer Einheit nur dann, wenn das Feld /sys/class/dmi/id/board_name den Wert «Custom Board» enthält; man kann «ConditionFirmware=smbios-field(board_name = «Custom Board»)» angeben.
• Im Initialisierungsprozess (PID 1) wurde die Möglichkeit hinzugefügt, Anmeldeinformationen aus den SMBIOS-Feldern (Typ 11, «OEM vendor strings») zu importieren, zusätzlich zu deren Definition über qemu_fwcfg, was die Bereitstellung von Anmeldeinformationen erleichtert. unterstützung für virtuelle Maschinen und es ermöglicht, ohne externe Werkzeuge wie cloud-init und ignition auszukommen.
• Beim Herunterfahren wurde die Logik zum Aushängen von virtuellen Dateisystemen (proc, sys) geändert, und es wurden Protokolle mit Informationen über Prozesse bereitgestellt, die das Aushängen der Dateisysteme blockieren.
• Im Systemaufruffilter (SystemCallFilter) ist der Zugriff auf den Systemaufruf riscv_flush_icache standardmäßig erlaubt.
• Im Bootloader sd-boot wurde die Möglichkeit hinzugefügt, im Mischmodus zu booten, in dem der 64-Bit-Linux-Kernel aus einer 32-Bit-UEFI-Firmware gestartet wird. Eine experimentelle Funktion zur automatischen Anwendung von SecureBoot-Schlüsseln aus den in der ESP (EFI-Systempartition) gefundenen Dateien wurde hinzugefügt.
• Im Tool bootctl wurden neue Optionen ‘—all-architectures’ zur Installation von Binärdateien für alle unterstützten EFI-Architekturen, ‘—root=’ und ‘—image=’ für die Arbeit mit einem Verzeichnis oder Abbild, sowie ‘—install-source=’ zur Angabe der Quelle für die Installation und ‘—efi-boot-option-description=’ zur Verwaltung von Namen der Boot-Einträge hinzugefügt.
• Im Tool systemctl wurde der Befehl ‘list-automounts’ zum Anzeigen der Liste automatisch eingehängter Verzeichnisse und die Option ‘—image=’ für die Ausführung von Befehlen in Bezug auf ein angegebenes Abbild hinzugefügt. Den Befehlen ‘show’ und ‘status’ wurden die Optionen ‘—state=’ und ‘—type=’ hinzugefügt.
• In systemd-networkd wurden die Optionen ‘TCPCongestionControlAlgorithm=’ zur Auswahl des TCP-Staukontrollalgorithmus, ‘KeepFileDescriptor=’ zur Beibehaltung des Dateideskriptors der TUN/TAP-Schnittstellen, ‘NetLabel=’ zur Festlegung von NetLabel-Tags und ‘RapidCommit=’ zur Beschleunigung der Konfiguration über DHCPv6 (RFC 3315) hinzugefügt. Bei der Option ‘RouteTable=’ ist es nun erlaubt, die Namen von Routing-Tabellen anzugeben.
• In systemd-nspawn wurde die Verwendung relativer Dateipfade in den Optionen ‘—bind=’ und ‘—overlay=’ erlaubt. In die Option ‘—bind=’ wurde die Unterstützung des Parameters ‘rootidmap’ hinzugefügt, um die ID des Benutzers root im Container mit dem Eigentümer des eingehängten Verzeichnisses auf der Host-Seite zu verbinden.
• In systemd-resolved wurde standardmäßig das Pakets OpenSSL als Backend für die Verschlüsselung aktiviert (die Unterstützung von gnutls bleibt optional). Nicht unterstützte DNSSEC-Algorithmen werden jetzt als unsicher behandelt, anstatt einen Fehler (SERVFAIL) zurückzugeben.
• In systemd-sysusers, systemd-tmpfiles und systemd-sysctl wurde die Möglichkeit zur Übertragung von Einstellungen über den Mechanismus zur Speicherung von Anmeldeinformationen realisiert.
• In das Tool systemd-analyze wurde der Befehl ‘compare-versions’ zum Vergleichen von Versionsnummern hinzugefügt (ähnlich wie ‘rpmdev-vercmp’ und ‘dpkg --compare-versions’). Im Befehl ‘systemd-analyze dump’ wurde die Möglichkeit zur Filterung von Einheiten nach Maske hinzugefügt.
• Beim Auswahl des mehrstufigen Schlafmodus (suspend-then-hibernate, Übergang in den Schlafmodus nach dem Standby-Modus) wird die Zeit im Standby-Modus jetzt basierend auf der Prognose der verbleibenden Akkulaufzeit ausgewählt. Der sofortige Übergang in den Schlafmodus erfolgt, wenn weniger als 5 % der Akkuladung verbleiben.
• In 'journalctl' wurde ein neuer Ausgabemodus «-o short-delta» hinzugefügt, der den Zeitunterschied zwischen verschiedenen Lognachrichten anzeigt.
• In systemd-repart wurde die Unterstützung für die Erstellung von Partitionen mit Squashfs-Dateisystem und Partitionen für dm-verity, einschließlich digitaler Signaturen, hinzugefügt.
• In systemd-logind wurde die Einstellung «StopIdleSessionSec=» hinzugefügt, um inaktive Sitzungen nach Ablauf eines festgelegten Timeouts zu beenden.
• In systemd-cryptenroll wurde die Option «—unlock-key-file=» hinzugefügt, um den Entschlüsselungsschlüssel aus einer Datei zu extrahieren, anstatt über eine Benutzerabfrage.
• Die Möglichkeit, das Dienstprogramm systemd-growfs in Umgebungen ohne udev auszuführen, wurde bereitgestellt.
• In systemd-backlight wurde die Unterstützung für Systeme mit mehreren Grafikkarten verbessert.
• Die Lizenz für die in der Dokumentation angegebenen Codebeispiele wurde von CC0 auf MIT-0 geändert.

Änderungen, die die Kompatibilität beeinträchtigen:

• Bei der Überprüfung der Kernelversionsnummer mit der Direktive ConditionKernelVersion werden in den Operatoren ‘=’ und ‘!=’ jetzt einfache Stringvergleiche angewendet, und wenn kein Vergleichsoperator angegeben ist, kann eine Übereinstimmung mittels Globbing-Muster unter Verwendung der Zeichen ‘*’, ‘?’ und ‘[‘, ‘]’ erfolgen. Für den Vergleich von Versionen im Stil der Funktion stverscmp() sollten die Operatoren ‘’, ‘=’ verwendet werden.
• Das SELinux-Label, das zur Überprüfung des Zugriffs aus der Unit-Datei verwendet wird, wird jetzt während des Ladevorgangs der Datei gelesen, nicht zum Zeitpunkt der Zugriffsprüfung.
• Die Bedingung «ConditionFirstBoot» wird jetzt nur während des ersten Systemstarts direkt in der Startphase ausgelöst und gibt «false» zurück, wenn Einheiten nach Abschluss des Starts aufgerufen werden.
• Im Jahr 2024 plant systemd die Unterstützung des Ressourcenbeschränkungsmechanismus cgroup v1 einzustellen, der in der Veröffentlichung von systemd 248 als veraltet eingestuft wurde. Administratoren wird empfohlen, sich rechtzeitig um den Wechsel zu cgroup v2 für Dienste, die an cgroup v1 gebunden sind, zu kümmern. Ein entscheidender Unterschied zwischen cgroups v2 und v1 ist die Anwendung einer gemeinsamen Hierarchie von cgroups für alle Arten von Ressourcen, anstelle separater Hierarchien zur Ressourcenzuteilung von CPU, zur Regulierung des Speicherverbrauchs und für Eingabe/Ausgabe. Getrennte Hierarchien führen zu Schwierigkeiten bei der Organisation der Interaktion zwischen den Handlern und zu zusätzlichen Kernelressourcenkosten bei der Anwendung von Regeln für Prozesse, die in verschiedenen Hierarchien erwähnt werden.
• In der zweiten Hälfte des Jahres 2023 wird die Unterstützung von separaten Hierarchien von Verzeichnissen eingestellt, wenn /usr separat vom Root gemountet wird oder die Verzeichnisse /bin und /usr/bin sowie /lib und /usr/lib getrennt sind.

Quelle: opennet.ru