Die Entwickler des Fedora-Projekts planen, die standardmäßig atomar aktualisierten Versionen der Distribution auf das Dateisystem Composefs umzustellen. Sollte der Vorschlag vom FESCo-Komitee (Fedora Engineering Steering Committee), das für den technischen Teil der Entwicklung von Fedora zuständig ist, genehmigt werden, wird Composefs in den Fedora Silverblue (GNOME), Fedora Kinoite (KDE), Fedora CoreOS, Fedora IoT, Fedora Sway Atomic und Fedora Budgie Atomic Builds Anwendung finden.
Diese Änderung ermöglicht es, dass in diesen Builds die Root-Partition im Nur-Lese-Modus betrieben wird und künftig auch Integritätsprüfungsmechanismen für die Systempartition eingesetzt werden können, um auftretende Probleme während des Betriebs zu erkennen. Die Partitionen /etc und /var bleiben weiterhin mit Schreibzugriff eingebunden.
Zurzeit ist die Arbeit so organisiert, dass die Partition /usr im Nur-Lese-Modus eingehängt wird, während die Root-Partition im beschreibbaren Modus gemountet wird. Änderungen werden auf Berechtigungsstufe verweigert ("chattr +i /"). Die Integritätsprüfung erfolgt während des Updates der Partition, was eine Erkennung von Beschädigungen und Änderungen im laufenden Betrieb ohne eine vollständige Datensicherung mittels des Befehls "ostree fsck" unmöglich macht.
Das Composefs-Dateisystem ist als Erweiterung der bereits im Kernel vorhandenen Dateisysteme OverlayFS und EROFS implementiert und optimiert für die effiziente gemeinsame Speicherung von Inhalten mehrerer eingebundener Disk-Images. Die Funktionalität von EROFS (Extendable Read-Only File System) ist seit der Linux-Kernel-Version 5.15 für Composefs verfügbar, während OverlayFS ab Kernel 6.5 unterstützt wird. Composefs ermöglicht die Erstellung von mehrschichtigen Dateisystemen, in denen beliebige Verzeichnisse im Nur-Lese-Modus über die Standard-Linux-Dateisysteme als untere Schicht gelegt werden.
Unter den bereits existierenden ähnlichen Dateisystemen hebt sich Composefs durch die Unterstützung der gemeinsamen Speicherung von Inhalten verschiedener Disk-Images und Funktionen zur Überprüfung der Authentizität lesbarer Daten ab. Composefs verwendet ein speicherbasierendes Modell mit inhaltsbasierter Adressierung, bei dem der primäre Identifikator nicht der Dateiname ist, sondern der Hash des Dateiinhalts. Dieses Modell ermöglicht die Deduplication und erlaubt, nur eine Kopie identischer Dateien zu speichern, die in verschiedenen eingebundenen Partitionen vorkommen.
System-Images enthalten in der Regel eine Vielzahl typischer Dateien, und bei der Verwendung von Composefs wird jede dieser Dateien von allen eingehängten Images gemeinsam genutzt, ohne auf Tricks wie die Verwendung von harten Links zurückgreifen zu müssen. Dabei werden die gemeinsamen Dateien nicht nur als eine Kopie auf der Festplatte gespeichert, sondern auch als ein Eintrag im Seitencache behandelt, was es ermöglicht, sowohl Speicherplatz auf der Festplatte als auch RAM zu sparen.
Um Speicherplatz zu sparen, sind die Daten und Metadaten in Composefs getrennt, und beim Mounten wird der binäre Index angegeben, der alle Metadaten des Dateisystems, Dateinamen, Zugriffsrechte und andere Informationen enthält. Metadaten-Indizes werden für jedes FS-Image erstellt und in einer separaten Datei im EROFS-Format gespeichert (im Loopback-Modus wird das EROFS-Image gemountet, das nur Metadaten enthält). Die Dateien aller gemounteten Images werden in einem gemeinsamen Basisverzeichnis im regulären Dateisystem (ext4, xfs, btrfs) gespeichert und über das erweiterte Attribut rusted.overlay.redirect mit dem Image verknüpft, auf dessen Grundlage OverlayFS die erforderlichen Dateien anhand des Inhalts-Hashes findet.
Zur Überprüfung des Inhalts einzelner Dateien und des gesamten Images in einer gemeinsamen Speicherumgebung wird der fs-verity-Mechanismus eingesetzt, der bei Zugriff auf die Dateien die Übereinstimmung der im Binärindex angegebenen Hashes mit dem tatsächlichen Inhalt überprüft – wenn ein Angreifer eine Änderung an der Datei im Basisverzeichnis vornimmt oder die Daten aufgrund eines Fehlers beschädigt werden, wird eine solche Überprüfung die Diskrepanz aufdecken.
Quelle: opennet.ru
