La empresa Microsoft ha publicado la primera actualización estable de la nueva rama del sistema operativo CBL-Mariner 2.0 (Common Base Linux Mariner), que se desarrolla como una plataforma base universal para entornos Linux utilizados en infraestructura en la nube, sistemas edge y diversos servicios de Microsoft. El proyecto tiene como objetivo unificar las soluciones Linux utilizadas por Microsoft y simplificar el mantenimiento de sistemas Linux de diversos propósitos. Los desarrollos del proyecto se distribuyen bajo la licencia MIT. Las compilaciones de paquetes se generan para arquitecturas aarch64 y x86_64.
La nueva versión destaca por una actualización significativa de las versiones de los programas. Entre ellas se han actualizado las versiones del núcleo de Linux 5.15 (en la rama 1.0 se utilizaba el núcleo 5.4), systemd 250, glibc 2.35, GCC 11.2, clang 12, Python 3.9, ruby 3.1.2, rpm 4.17, qemu 6.1, perl 5.34, ostree 2022.1. El repositorio base incluye componentes para construir interfaces gráficas, como Wayland 1.20, Mesa 21.0, GTK 3.24 y X.Org Server 1.20.10, que anteriormente se suministraban en un repositorio separado coreui. Se han añadido compilaciones del núcleo con parches PREEMPT_RT para su uso en sistemas que funcionan en tiempo real.
El sistema operativo CBL-Mariner proporciona un conjunto básico reducido de paquetes que sirve como base universal para crear la estructura de contenedores, entornos de host y servicios ejecutados en infraestructuras en la nube y en dispositivos edge. Soluciones más complejas y especializadas pueden crearse añadiendo paquetes adicionales sobre CBL-Mariner, pero la base para todos estos sistemas se mantiene sin cambios, lo que simplifica el mantenimiento y la preparación de actualizaciones. Por ejemplo, CBL-Mariner se utiliza como base para la mini-distro WSLg, que proporciona componentes de pila gráfica para ejecutar aplicaciones GUI de Linux en entornos basados en el subsistema WSL2 (Subsistema de Windows para Linux). La funcionalidad ampliada en WSLg se implementa mediante la inclusión de paquetes adicionales con composición. el servidor Weston, XWayland, PulseAudio y FreeRDP.
El sistema de construcción CBL-Mariner permite generar tanto paquetes RPM individuales a partir de archivos SPEC y textos fuente, como imágenes de sistema monolíticas, formadas mediante la herramienta rpm-ostree y actualizadas de manera atómica sin descomponer en paquetes individuales. Por lo tanto, se admiten dos modelos de entrega de actualizaciones: a través de la actualización de paquetes individuales y mediante la reconstrucción y actualización de toda la imagen del sistema. Se dispone de un repositorio que incluye alrededor de 3000 paquetes RPM ya compilados, que se pueden utilizar para ensamblar sus propias imágenes basadas en un archivo de configuración.
La distribución incluye solo los componentes más necesarios y está optimizada para un consumo mínimo de memoria y espacio en disco, así como para una alta velocidad de arranque. La distribución también destaca por incluir varios mecanismos adicionales para mejorar la seguridad. En el proyecto se aplica el enfoque de 'máxima seguridad por defecto'. Se ofrece la posibilidad de filtrar llamadas al sistema mediante el mecanismo seccomp, cifrado de particiones de disco, y verificación de paquetes mediante firma digital.
Se han activado los modos de aleatorización del espacio de direcciones admitidos en el núcleo de Linux, así como mecanismos de protección contra ataques relacionados con enlaces simbólicos, mmap, /dev/mem y /dev/kmem. Para las áreas de memoria que albergan segmentos de datos del núcleo y módulos, se ha establecido un modo de solo lectura y se prohíbe la ejecución de código. Opcionalmente, está disponible la posibilidad de prohibir la carga de módulos del núcleo después de la inicialización del sistema. Se ha utilizado la herramienta iptables para la filtración de paquetes de red. En la etapa de compilación, se activan por defecto los modos de protección contra desbordamientos de pila, desbordamientos de búfer e problemas de formato de cadenas (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Para gestionar los servicios y la carga se utiliza el gestor de sistema systemd. Los gestores de paquetes RPM y DNF se incluyen para la gestión de paquetes. El servidor SSH no está habilitado por defecto. Se proporciona un instalador para la instalación de la distribución, que puede funcionar tanto en modo texto como gráfico. En el instalador, se ofrece la opción de instalar con un conjunto completo o básico de paquetes, así como una interfaz para seleccionar las particiones del disco, elegir el nombre del host y crear usuarios.
Fuente: opennet.ru
