Das Unternehmen Microsoft hat ein Update für das CBL-Mariner 1.0.20210901 (Common Base Linux Mariner) veröffentlicht, das als universelle Basisplattform für Linux-Umgebungen entwickelt wird, die in Cloud-Infrastrukturen, Edge-Systemen und verschiedenen Microsoft-Diensten verwendet werden. Das Projekt zielt darauf ab, die in Microsoft verwendeten Linux-Lösungen zu vereinheitlichen und die Wartung von Linux-Systemen unterschiedlicher Art auf dem neuesten Stand zu erleichtern. Die Ergebnisse des Projekts werden unter der MIT-Lizenz veröffentlicht.
In der neuen Version:
- Die Erstellung des Basis-ISO-Images (700 MB) hat begonnen. In der ersten Ausgabe wurden keine fertigen ISO-Images bereitgestellt, es wurde vorausgesetzt, dass der Benutzer selbst ein Image mit der erforderlichen Ausstattung erstellen kann (Bauanleitungen wurden für Ubuntu 18.04 vorbereitet).
- Die Unterstützung für die automatische Aktualisierung von Paketen wurde implementiert, wofür die Anwendung Dnf-Automatic enthalten ist.
- Der Linux-Kernel wurde auf die Version 5.10.60.1 aktualisiert. Die Versionen der Programme wurden aktualisiert, darunter openvswitch 2.15.1, golang 1.16.7, logrus 1.8.1, tcell 1.4.0, gonum 0.9.3, testify 1.7.0, crunchy 0.4.0, xz 0.5.10, swig 4.0.2, squashfs-tools 4.4, mysql 8.0.26.
- In OpenSSL wurde die Möglichkeit zur Rückkehr zur Unterstützung von TLS 1 und TLS 1.1 bereitgestellt.
- Zur Überprüfung der Quelldateien des Werkzeugs wurde das Dienstprogramm sha256sum verwendet.
- Es wurden neue Pakete hinzugefügt: etcd-tools, cockpit, aide, fipscheck, tini.
- Die Pakete brp-strip-debug-symbols, brp-strip-unneeded und ca-legacy wurden entfernt. Die SPEC-Dateien für die Pakete Dotnet und aspnetcore wurden entfernt, die jetzt vom Hauptentwicklungsteam von .NET erstellt und in einem separaten Repository veröffentlicht werden.
- In die verwendeten Paketversionen wurden Korrekturen für Sicherheitsanfälligkeiten aufgenommen.
Wir erinnern daran, dass das CBL-Mariner-Distributionspaket eine kleine Standardauswahl an grundlegenden Paketen bereitstellt, die eine universelle Grundlage für die Erstellung von Container-Inhalten, Host-Umgebungen und Diensten bildet, die in Cloud-Infrastrukturen und auf Edge-Geräten betrieben werden. Komplexere und spezialisierte Lösungen können durch das Hinzufügen zusätzlicher Pakete über CBL-Mariner erstellt werden, jedoch bleibt die Basis für all diese Systeme unverändert, was die Wartung und Vorbereitung von Updates vereinfacht. Zum Beispiel wird CBL-Mariner als Grundlage für die Mini-Distribution WSLg verwendet, die die Komponenten des grafischen Stacks für den Betrieb von GUI-Anwendungen unter Linux in Umgebungen auf Basis der WSL2-Subsystem (Windows Subsystem for Linux) bereitstellt. Erweiterte Funktionalitäten in WSLg werden durch die Einbeziehung zusätzlicher Pakete mit kompositorischen Server Weston, XWayland, PulseAudio und FreeRDP.
Das CBL-Mariner-Bausystem ermöglicht die Generierung sowohl einzelner RPM-Pakete auf Basis von SPEC-Dateien und Quelltexten als auch monolithischer Systemabbilder, die mit den Werkzeugen rpm-ostree erstellt und atomar aktualisiert werden, ohne sie in einzelne Pakete aufzuteilen. Entsprechend werden zwei Modelle für die Bereitstellung von Updates unterstützt: über das Update einzelner Pakete und durch den Neubau und die Aktualisierung des gesamten Systemabbilds. Ein Repository, das etwa 3000 bereits erstellte RPM-Pakete umfasst, steht zur Verfügung, welches zur Erstellung eigener Abbilder basierend auf einer Konfigurationsdatei genutzt werden kann.
Die Distribution umfasst nur die notwendigsten Komponenten und ist für einen minimalen Speicher- und Festplattenspeicherverbrauch sowie für hohe Bootgeschwindigkeit optimiert. Außerdem zeichnet sich die Distribution durch die Einbeziehung verschiedener zusätzlicher Mechanismen zur Verbesserung der Sicherheit aus. Im Projekt wird der Ansatz „maximale Sicherheit als Standard“ angewendet. Es besteht die Möglichkeit, Systemaufrufe mithilfe des Seccomp-Mechanismus zu filtern, Festplattenteile zu verschlüsseln und Pakete über digitale Signaturen zu verifizieren.
Die im Linux-Kernel unterstützten Modi zur Randomisierung des Adressraums sowie Mechanismen zum Schutz vor Angriffen im Zusammenhang mit symbolischen Links, mmap, /dev/mem und /dev/kmem sind aktiviert. Für Speicherbereiche, in denen Segmente mit Daten des Kernels und der Module abgelegt werden, ist der Modus schreibgeschützt und die Ausführung von Code ist verboten. Optional besteht die Möglichkeit, das Laden von Kernelmodulen nach der Systeminitialisierung zu verbieten. Zum Filtern von Netzwerkpaketen wird das Werkzeug iptables verwendet. Standardmäßig sind beim Erstellen Schutzmodi gegen Stacküberläufe, Pufferüberläufe und String-Formatierungsprobleme (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro) aktiviert.
Zur Verwaltung von Diensten und dem Bootvorgang wird der Systemmanager systemd verwendet. Paketverwaltungstools wie RPM und DNF (die Version tdnf von vmWare) werden zur Verfügung gestellt. Der SSH-Server wird standardmäßig nicht aktiviert. Ein Installer wird bereitgestellt, der sowohl im Text- als auch im Grafikmodus arbeiten kann, um das System zu installieren. Der Installer bietet die Möglichkeit, eine vollständige oder grundlegende Paketinstallation durchzuführen, bietet eine Schnittstelle zur Auswahl der Partition, zur Wahl des Hostnamens und zur Erstellung von Benutzern.
Quelle: opennet.ru
