Väljastatud süsteemihaldur systemd 252 UKI (Unified Kernel Image) toe toetusega

Pärast viie kuu arendust on välja antud süsteemihalduri systemd 252 vabastus. Uue versiooni peamine muudatus on uuendatud käivitamisprotsessi toetuse integreerimine, mis võimaldab digiallkirjadega kontrollida mitte ainult kerneli ja laadijat, vaid ka alus süsteemikeskkonna komponente.

Ettepanek hõlmab laadimist ühtse kerneli pildi UKI (Unified Kernel Image) kasutamist, mis ühendab kerneli laadimisprotsessori UEFI (UEFI boot stub) kaudu, Linuxi kerneli ja initsialiseerimiseks kasutatava initrd mälus, mis on vajalik juurfailisüsteemi mountimise eel. UKI pilt on koondatud ühte täitmisfaili PE formaadis, mida saab laadida traditsiooniliste laadijate abil või otse UEFI püsivara kaudu. UEFI kaudu kutsudes on võimalik kontrollida mitte ainult kerneli, vaid ka initrd sisu terviklikkust ja autentsust digiallkirja järgi.

TPM PCR (Trusted Platform Module Platform Configuration Register) registrite parameetrite arvutamiseks, mida kasutatakse terviklikkuse kontrollimiseks ja UKI pildi digiallkirja genereerimiseks, on lisatud uus utiliit systemd-measure. Allkirjas kasutatud avalik võti ja seotud teave PCR-i kohta saab sisestada otse UKI laadimispildi sisse (võti ja allkiri salvestatakse PE formaadis failis väljade ‘.pcrsig’ ja ‘.pcrkey’ alla) ning neid saab välja võtta välistest või sisemistest utiliitidest.

Selle teabe kasutamiseks on kohandatud utiliite systemd-cryptsetup, systemd-cryptenroll ja systemd-creds, millega saab tagada krüpteeritud ketassectionite sidumise digiallkirja kontrollitud kerneli (selles juhul antakse juurdepääs krüpteeritud sektsioonile ainult siis, kui UKI pilt on terviklikkuse kontrollimise läbinud vastavalt TPMi parameetritele).

Lisaks on lisatud utiliit systemd-pcrphase, mis võimaldab hallata erinevate laadimisetappide sidumist parameetritega, mis on salvestatud krüptoprotsessorite mällu, mis toetavad TPM 2.0 spetsifikatsiooni (näiteks saab teha LUKS2 sektsiooni dekrüpteerimise võtme kättesaadavaks ainult initrd pildis ja blokeerida sellele juurdepääsu hilisemates laadimisetappides).

Mõned muud muudatused:

• Vaikimisi on kasutusel locale C.UTF-8, kui seadetes ei ole määratud muud locale.
• Täitmise võimalus täieliku teenuste ettevalmistuse operatsiooni („systemctl preset”) sooritamiseks esimesel laadimisel on rakendatud. Ettevalmistuse aktiveerimiseks laadimise ajal on vajalik koostamine valikuga „-Dfirst-boot-full-preset”, kuid tulevaste väljaannete puhul on kavas see vaikimisi aktiveerida.
• Kasutajate haldamise unit-des on kasutusele võetud CPU ressursihaldur, mis võimaldab määrata CPUWeight seadeid kõigile slice-unit'itele, mida kasutatakse süsteemi osadeks jagamiseks (app.slice, background.slice, session.slice), et isoleerida ressursse erinevate kasutajate teenuste vahel, kes konkureerivad CPU ressursside pärast. CPUWeight toetab ka „idle” väärtust, et aktiveerida vastav ressursside eraldamise režiim.
• Ajutistes („transient”) unit-des ja utiliidis systemd-repart on lubatud seadete ülekirjutamine drop-in failide loomise kaudu kataloogis /etc/systemd/system/nimi.d/.
• Süsteemipiltide jaoks on kehtestatud toetuse lõpetamise lipukese (‘support-ended’) määramine, tuvastades selle uue parameetri „SUPPORT_END=” väärtuse põhjal failis /etc/os-release.
• Lisatud on seaded „ConditionCredential=” ja „AssertCredential=”, mida saab kasutada unit'ite ignoreerimiseks või hädapäraseks lõpetamiseks, kui süsteemil puuduvad teatud akrediteeringud.
• Failides system.conf ja user.conf on lisatud seaded „DefaultSmackProcessLabel=” ja „DefaultDeviceTimeoutSec=”, et määrata SMACKi turvalisuse tase ja unit'i aktiveerimise aegumisaja seaded vaikimisi.
• Seadetes „ConditionFirmware=” ja „AssertFirmware=” on lisatud võimalus näidata individuaalseid SM BIOS välju, näiteks unit'i käivitamiseks ainult juhul, kui väli /sys/class/dmi/id/board_name sisaldab väärtust „Custom Board”, saab näidata „ConditionFirmware=smbios-field(board_name = „Custom Board”)”.
• Initsialiseerimisprotsessi (PID 1) on lisatud võimalus importida akrediteeringute andmeid SM BIOS väljadest (Tüüp 11, „OEM vendor strings”) lisaks nende määratlemisele qemu_fwcfg kaudu, mis lihtsustab akrediteeringute andmist virtuaalmasinatesse ja võimaldab vältida kolmandate osapoolte tööriistade, nagu cloud-init ja ignition, kasutamist.
• Lõpetamise ajal on muudetud virtuaalsete failisüsteemide (proc, sys) lahtihaakimise loogikat ja tagatud, et logis säilitatakse teave protsesside kohta, mis blokeerivad failisüsteemide lahtihaakimist.
• Süsteemikutsungifiltris (SystemCallFilter) on vaikimisi lubatud juurdepääs süsteemitõrnidele riscv_flush_icache.
• sd-boot laadijasse on lisatud võimalus käivitada hübriidrežiimis, kus 64-bitine Linuxi kernal käivitatakse 32-bitise UEFI püsivara kaudu. Lisatud on eksperimentaalne võimalus automaatselt rakendada SecureBoot võtit failidest, mis asuvad ESP-s (EFI süsteemipartitsioon).
• bootctl utiliiti on lisatud uus valik „—all-architectures”, et installida binaarfailid kõikidele toetatavatele EFI arhitektuuridele, „—root=” ja „—image=”, et töötada katalooge või kettapilte, „—install-source=” installsource määramiseks ja „—efi-boot-option-description=”, et hallata käivitamisvalikute nimesid.
• systemctl utiliiti on lisatud käsk 'list-automounts', et näidata automaatselt monteeritud kataloogide loendit, ja valik „—image=”, et käivitada käsklusi seoses määratud kettapildiga. Käskude 'show' ja 'status' juurde on lisatud valikud „—state=” ja „—type=”.
• systemd-networkd-sse on lisatud valikud „TCPCongestionControlAlgorithm=”, et valida TCP ülekoormuse juhtimise algoritmi, „KeepFileDescriptor=”, et säilitada TUN/TAP liideste faili deskriptor ega, „NetLabel=”, et määrata NetLabeli sildid, „RapidCommit=”, et kiirendada seadistamist läbi DHCPv6 (RFC 3315). 'RouteTable=' parameetris on lubatud määrata marsruuditabeli nimed.
• systemd-nspawn lubab kasutada suhtelisi failiteid valikutes „—bind=” ja „—overlay=”. Valikusse „—bind=” on lisatud toe parametritele 'rootidmap', et siduda konteineri root-kasutaja ID monteeritud katalooge peremeessüsteemi omanikuga.
• systemd-resolvedis on vaikimisi krüpteerimise taustaks kasutusele võetud OpenSSL-pakett (gnutls tugi jääb valikuks). Üksused, mis ei toeta DNSSEC, käsitletakse nüüd kui mitteturvalisi, selle asemel et tagastada viga (SERVFAIL).
• systemd-sysusers, systemd-tmpfiles ja systemd-sysctl on rakendatud võimalus edastada seadeid läbi credentiali salvestussüsteemi.
• systemd-analyze utiliiti on lisatud käsk 'compare-versions', et võrrelda versiooni numbreid (analoogiliselt 'rpmdev-vercmp' ja 'dpkg —compare-versions'). 'systemd-analyze dump' käsku on lisatud võimalus filtreerida üksusi mustri järgi.
• Mitmeastmelise une režiimi (suspend-then-hibernate, siirdumine magamisseisundisse pärast ooteolekut) valimisel valitakse nüüd ootenädal vastavalt jäänud aku kestvuse prognoosile. Kohene siirdumine magamisseisundisse toimub, kui jääb alla 5% aku laadimisest.
• ‘journalctl’-isse on lisatud uus väljundi režiim „-o short-delta”, mis kuvab ajavahe eri logisõnumite vahel.
• systemd-repart on lisatud toetus Squashfs-failisüsteemiga sektsioonide ja dm-verity sektsioonide loomise jaoks, sealhulgas digitaalse allkirjaga.
• systemd-logind on lisatud seadistus „StopIdleSessionSec=”, et lõpetada mitteaktiivne seanss, kui määratud ajavahemik on möödas.
• systemd-cryptenroll utiliiti on lisatud valik „—unlock-key-file=”, et tõmmata lahti võti failist, mitte kasutajalt küsimise kaudu.
• Lubatud on käivitada systemd-growfs utiliiti keskkondades, kus puudub udev.
• systemd-backlight'is on parendatud mitme graafikakaardi süsteemide toetust.
• Dokumentatsioonis esitatavate koodinäidete litsents on muudetud CC0-lt MIT-0-le.

Ühilduvust rikkuvad muudatused:

• Yäedemisimise versiooni versiooni kontrollimisel on nüüd kui võrreldakse kehtiv jeer „=“ ja „!=“, rakendatakse lihtsat stringi võrreldust, ja kui võrdlusoperaatorit üldse ei ole, võib rakendada glob-maske sobitust, kasutades sümboleid „*“, „?“ ja „[“, „]“. Funktsiooni stverscmp()-stiilis versioonide võrdlemiseks tuleb kasutada operaatoreid „“, „=”.
• SELinuxi silt, mida kasutatakse unit-failist juurdepääsu kontrollimiseks, loetakse nüüd faili laadimise etapis, mitte juurdepääsu kontrollimise ajal.
• Seisund „ConditionFirstBoot” aktiveerub nüüd süsteemi esimesel käivitamisel ainult laadimisfaasis ja tagastab „false”, kui üksusi kutsutakse pärast laadimise lõppemist.
• 2024. aastal plaanib systemd lõpetada cgroup v1 ressursside piirangumehhanismi toetamise, mis on muudetud vananenuks systemd versioonis 248. Administratoore nõutakse eelnevalt hoolitseda cgroup v2-le ülemineku eest teenustes, mis on seotud cgroup v1-iga. cgroups v2 peamine erinevus v1-st on kõigi ressursside jaoks ühtse cgroupi hierarhia rakendamine, mitte eraldi hierarhiad CPU ressursside ja mälu tarbimise ning sisendi/väljundi reguleerimise jaoks. Eraldi hierarhiad toovad keerukusi töötlemise vahelise koostöö korral ja lisanduvad kerneli ressursside kulud, kui rakendatakse reegleid protsessile, mida mainitakse erinevates hierarhiates.
• 2023. aasta teises pooles plaanitakse lõpetada eraldi kataloogihierarhiate toetus, kui /usr monteeritakse eraldi juurest või eraldi kataloogid /bin ja /usr/bin, /lib ja /usr/lib.

Allikas: opennet.ru