Ettevõte Microsoft avaldas CBL-Mariner Linuxi distributsiooni värskenduse.

Microsoft avaldas CBL-Mariner 1.0.20210901 (Common Base Linux Mariner) jagamisel värskenduse, mis areneb välja kui universaalne alusplatvorm Linuxi keskkondade jaoks, mida kasutatakse pilvinfrastruktuuris, äärsüsteemides ja erinevates Microsofti teenustes. Projekti eesmärk on ühtlustada Microsoftis kasutatavaid Linuxi lahendusi ja lihtsustada erinevate otstarvete Linuxi süsteemide ajakohasena hoidmist. Projekti arengud levitatakse MIT litsentsi alusel.

Uues väljaandes:

• Alustati baasis ISO-pildi (700 MB) loomist. Esimeses väljaandes ei olnud valmis ISO-pilte saadaval, kasutajalt oodati, et ta loob ise vajaliku sisu (kogumise juhised on ette valmistatud Ubuntu 18.04 jaoks).
• Automaatse pakettide värskendamise tugi on realiseeritud, mille jaoks on kaasatud rakendus Dnf-Automatic.
• Linuxi tuuma versioon on uuendatud 5.10.60.1-le. Uuendatud on ka tarkvara versioone, sealhulgas openvswitch 2.15.1, golang 1.16.7, logrus 1.8.1, tcell 1.4.0, gonum 0.9.3, testify 1.7.0, crunchy 0.4.0, xz 0.5.10, swig 4.0.2, squashfs-tools 4.4, mysql 8.0.26.
• OpenSSL-is on tagatud TLS 1 ja TLS 1.1 toe taastamine.
• Allika koodide kontrollimiseks on kasutusel utiliit sha256sum.
• Kaasatud on uued paketid: etcd-tools, cockpit, aide, fipscheck, tini.
• Eemaldatud on paketid brp-strip-debug-symbols, brp-strip-unneeded ja ca-legacy. Eemaldatud on SPEC-failid Dotnet ja aspnetcore paketide jaoks, mida arendab nüüd .NETi põhimeeskond ja mis asuvad eraldi all-repositooriumis.
• Kasutatavate paketiversioonide vaates on tehtud turvaaukude parandused.

Tulet teada, et CBL-Mariner jaotamine pakub väikest tüüpilist põhikomplekti, mis toimib universaalse aluseks konteinerite, hostikeskkondade ja teenuste loomiseks, mida käitatakse pilve infrastruktuurides ja äärelseadmetes. Kõrgeima spetsialiseerituse ja keerukamate lahenduste loomine on võimalik, lisades täiendavaid pakette CBL-Marineri peale, kuid kõikide selliste süsteemide alus jääb muutumatuks, mis lihtsustab hooldust ja uuenduste ettevalmistamist. Näiteks kasutatakse CBL-Marinerit mini-WSLg jaotuse aluseks, mis pakub graafikakihtide komponente Linuxi GUI rakenduste käitamiseks WSL2 (Windows Subsystem for Linux) põhiste keskkondades. Laiendatud funktsionaalsus WSLg-s saavutatakse täiendavate komposiitpakettide lisamise teel. serverilt Weston, XWayland, PulseAudio ja FreeRDP.

CBL-Marineri ehitussüsteem võimaldab genereerida nii eraldi RPM-pakette põhinedes SPEC-failidele ja lähtekoodidele, kui ka monoliitseid süsteemipilte, mis luuakse rpm-ostree tööriistadega ja uuendatakse aatomiliselt ilma eraldi pakettide jagamiseta. Vastavalt toetatakse kahte mudelit uuenduste edastamiseks: eraldi pakettide uuendamise ja kogu süsteemipildi ümbertegemise ja uuendamise kaudu. Saadaval on hoidla, mis sisaldab umbes 3000 juba koostatud RPM-paketti, mida saab kasutada enda süsteemipiltide koostamiseks konfigureerimisfaili põhjal.

Jaotamine sisaldab vaid kõige vajalikke komponente ja on optimeeritud madala mälukasutuse ja diskiruumi tarbimise, samuti kiire laadimise saavutamiseks. Jaotamine on märkimisväärne ka erinevate täiendavate mehhanismide kaasamise poolest, et suurendada kaitset. Projekti põhimõtteks on maksimaalne turvalisus vaike seadistustes. Pakutakse võimalust süsteemi kutsete filtreerimiseks seccomp mehhanismi abil, kettaosade krüpteerimiseks ja digitaalsete allkirjade abil pakettide valideerimiseks.

Linuxi ytmes aktiveeriti toetatud aadressiruumi rändluse režiimid ja mehhanismid, mis kaitsevad sümboolsete linkide, mmapi, /dev/mem ja /dev/kmem rünnakute eest. Mälupiirkondadele, kus asuvad tuuma- ja moodulite andmefragmentide segmendid, on seatud ainult lugemise režiim ja koodi täitmine on keelatud. Saadaval on valik keelata tuumamoodulite laadimine süsteemi initsialiseerimise järel. Võrgu paketivoolu filtreerimiseks kasutatakse iptables'i tööriistakomplekti. Kogumise etapis on vaikimisi lubatud kaitsemeetmed virna üleujutuste, puhverüleujutuste ja tekstivormindamise probleemide vastu (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).

Teenuste ja laadimise haldamiseks kasutatakse süsteemi haldurit systemd. Pakettide haldamiseks on saadaval pakettide haldurid RPM ja DNF (vmWare variant tdnf). SSH-serverit ei aktiveerita vaikimisi. Jaotuse installimiseks on saadaval installija, mis suudab töötada nii tekstilises kui ka graafilises režiimis. Installijas on võimalik valida täieliku või baaspaketite komplekti, valida ketas ja hostinime ning luua kasutajaid.

Allikas: opennet.ru