Välja on antud süsteemihaldur systemd 252, UKI (Unified Kernel Image) toe toetamisega

Pärast viie kuu arendust on välja antud süsteemihaldur systemd 252. Uue versiooni peamine muudatus on täiustatud laadimisprotsessi toetuse integreerimine, mis võimaldab digitaalsete allkiri abil kontrollida mitte ainult tuumasid ja laadijat, vaid ka põhisüsteemi keskkonna komponente.

Pakutud meetod hõlmab laadimisel ühtse tuuma UKI (Unified Kernel Image) pildi kasutamist, mis ühendab UEFI (UEFI boot stub) tuuma laadimise töötleja, Linuxi tuuma pildi ja esimese initsialiseerimise jaoks kasutatava initrd süsteemi keskkonna, mis rakendatakse enne juure FS-i montaaži. UKI-pilt on vormindatud ühe PE formaadis käivitatava failina, mida saab laadida traditsiooniliste laadijate abil või otse UEFI failist. UEFI-st kutsumise korral on ka võimalik kontrollida mitte ainult tuuma, vaid ka initrd sisu terviklikkust ja ehtsust digitaalsete allkirjade abil.

TPM PCR (Trusted Platform Module Platform Configuration Register) parameetrite arvutamiseks, mida kasutatakse terviklikkuse kontrollimiseks ja UKI pildi digitaalsete allkiri loomiseks, on lisatud uus utiliit systemd-measure. Kasutatav digitaalne allkiri ja seotud teave PCR-i kohta saavad olla otse UKI laadimisfaili integreeritud (võti ja allkiri salvestatakse PE formaadis failis ' .pcrsig' ja ' .pcrkey') ning neid saab sellest väliste või sisemiste utiliitide abil välja võtta.

Kuna selle teabe kasutamiseks on kohandatud utiliidid systemd-cryptsetup, systemd-cryptenroll ja systemd-creds, saavad need tagada krüpteeritud diskiosade sidumise digitaalsete allkiri tuumaga (sellisel juhul antakse juurdepääs krüpteeritud osale ainult juhul, kui UKI pilt on läbinud digitaalsete allkirjade abil verifitseerimise TPM-is paigutatud parameetrite põhjal).

Lisaks on sisse toodud utiliit systemd-pcrphase, mis võimaldab hallata erinevate laadimisprotsesside sidumise parameetreid, mis paiknevad TPM 2.0 spetsifikatsiooni toetavate krüptoprosessorite mälu võimekustes (näiteks saab LUKS2 osa dekrüpteerimise võtme kättesaadavaks teha ainult initrd pildis ning hilisematel laadimisetappidel sellele juurdepääsu blokeerida).

Mõned muud muudatused:

• Kasutatakse vaikimisi locale'i C.UTF-8, kui seadetes ei ole määratud muud locale'i.
• Täitmise võimalus on rakendatud teenuste täieliku eelvalimise operatsioonile («systemctl preset») esimesel käivitamisel. Eelvalimise aktiveerimiseks käivitamise ajal on vajalik koostamine valiku «-Dfirst-boot-full-preset» abil, kuid tulevastes väljaannetes plaanitakse seda vaikimisi sisse lülitada.
• Kasutajad haldavad unit'ites CPU ressursside kontrollerit, mis võimaldab seadete CPUWeight rakendamist kõikidele slice-unit'itele, mida kasutatakse süsteemi osadeks jagamiseks (app.slice, background.slice, session.slice) ressursside isoleerimiseks erinevate kasutaja teenuste vahel, mis konkureerivad CPU ressursside pärast. Samuti on CPUWeight-s rakendatud toe väärtusele «idle» vastava ressursside pakkumise režiimi aktiveerimiseks.
• Ajutistes («transient») unit'ites ja utiliidis systemd-repart on lubatud seadete ülekirjutamine drop-in failide loomisega kataloogis /etc/systemd/system/nimi.d/.
• Süsteemipiltide jaoks on sisse lülitatud toe lõpetamise lipu määramine (‘support-ended’), määrates selle uue parameetri väärtuse «SUPPORT_END=» põhjal failis /etc/os-release.
• Lisatud on seaded «ConditionCredential=» ja «AssertCredential=», mida saab kasutada üksuste ignoreerimiseks või hädaseisundi lõpetamiseks, kui süsteemis puuduvad teatud mandaadid.
• failides system.conf ja user.conf on lisatud seaded «DefaultSmackProcessLabel=» ja «DefaultDeviceTimeoutSec=», et määrata SMACK turvatase ja üksuse aktiveerimise ajutine piirmäär, mis kehtivad vaikimisi.
• Seadetes «ConditionFirmware=» ja «AssertFirmware=» on lisatud võimalus määrata konkreetseid SMBIOS välju, näiteks selleks, et käivitada unit ainult juhul, kui väli /sys/class/dmi/id/board_name sisaldab väärtust «Custom Board», saab указать «ConditionFirmware=smbios-field(board_name = «Custom Board»)».
• Algusprotsessi (PID 1) käivitamisel on lisatud võimalus importida mandaate SMBIOS väljade (Tüüp 11, «OEM vendor strings») kaudu, lisaks nende määramise võimalusele qemu_fwcfg abil, mis lihtsustab mandaadi pakkumist virtuaalmasinate ja võimaldab vältida kolmandate osapoolte tööriistu, nagu cloud-init ja ignition.
• Seadmise käigus on muudetud virtuaalsete failisüsteemide (proc, sys) eemalduse loogikat ja tagatud, et logisse salvestatakse teave protsesside kohta, mis takistavad failisüsteemide eemaldamist.
• SystemCallFilteris lubamisel on vaikimisi lubatud juurdepääs süsteemikutsumisele riscv_flush_icache.
• Sd-booti laadijale on lisatud tugi segarežiimile, kus 64-bitine Linuxi kernal käivitub 32-bitilisest UEFI püsivara. Eksperimentaalne võimalus automaatsete SecureBoot võtmete rakendamiseks, mis leitakse ESP-st (EFI süsteemiosakond), on samuti lisatud.
• Bootctl utiliidile on lisatud uued valikud „—all-architectures” kõigi toetatud EFI arhitektuuride binarfailide installimiseks, „—root=” ja „—image=” katalooge või ketta kujutistes töötamiseks, „—install-source=” allika määramiseks installimiseks, „—efi-boot-option-description=” käivitusregistreeringute nimede haldamiseks.
• Systemctl utiliidile on lisatud käsk ‘list-automounts’ automaatselt mountitud kataloogide loetelu näitamiseks ja valik „—image=” käskude täitmiseks määratud ketta kujutisega seotult. Käskudele ‘show’ ja ‘status’ on lisatud valikud „—state=” ja „—type=”.
• Systemd-networkd on lisatud valikud „TCPCongestionControlAlgorithm=” TCP koormuse juhtimise algoritmi valimiseks, „KeepFileDescriptor=” TUN/TAP liideste failide deskriptorite hoidmiseks, „NetLabel=” NetLabeli siltide seadmiseks, „RapidCommit=” DHCPv6 seadistamise kiirendamiseks (RFC 3315). „RouteTable=” parameetril on lubatud määrata marsruuditabelite nimesid.
• Systemd-nspawnis on lubatud kasutada suhtelisi failiteid valikutes „—bind=” ja „—overlay=”. Valikusse „—bind=” on lisatud toetust parameetrile ‘rootidmap’ konteineri root kasutaja identifikaatori sidumiseks mountitud katalooge host-süsteemi omanikuga.
• Systemd-resolvedis on vaike krüpteerimise taustaks kasutusele võetud OpenSSL paketid (gnutls tugi on säilinud valikuna). Ühildumatud DNSSEC algoritmid käsitletakse nüüd kui ebaturvalisi, mitte ei tagastata viga (SERVFAIL).
• Systemd-sysusers, systemd-tmpfiles ja systemd-sysctl on rakendanud seadete edastamise võimaluse autentimisandmete salvestamise mehhanismi kaudu.
• Systemd-analyze utiliidile on lisatud käsk ‘compare-versions’ versiooninumber stringide võrdlemiseks (sarnane ‘rpmdev-vercmp’ ja ‘dpkg —compare-versions’ käskudega). ‘Systemd-analyze dump’ käsule on lisatud võimalus filtreerida üksusi mustri järgi.
• Mitmeastmelise unerežiimi (suspend-then-hibernate, ootejärjekorrast magamisse minek) valimisel valitakse nüüd unerežiimis viibimise aeg, arvestades järelejäänud aku tööaega. Kohene üleminek unerežiimi toimub, kui laadimise tase on alla 5%.
• ‘journalctl’ on lisatud uus väljundirežiim „-o short-delta“, mis näitab ajavahet erinevate logisõnumite vahel.
• systemd-repart on lisatud tugi Squashfs-failisüsteemiga ja dm-verity jaoks, sealhulgas digitaalsete allkirjadega partitsioonide loomisel.
• systemd-logind on lisatud seadistus „StopIdleSessionSec=“, mis lõpetab mitteaktiivse sessiooni pärast määratud taimeri möödumist.
• systemd-cryptenroll on lisatud valik „—unlock-key-file=“, et hankida dekrüpteerimisvõti failist, mitte kasutaja päringust.
• Omandatud on possibility to run systemd-growfs utility in environments without udev.
• systemd-backlight on parandanud toe süsteemidele, millel on mitu graafikakaarti.
• Koodinäidete litsents, mis on dokumentatsioonis, on muudetud CC0-lt MIT-0-le.

Muudatused, mis rikuvad ühilduvust:

• Tuuma versiooni numbri kontrollimisel direktiivi ConditionKernelVersion abil kasutatakse nüüd lihtsat stringivõrdlemist operaatoritega ‘=’ ja ‘!=’; kui võrdlusoperaatorit pole üldse, võib kasutada glob-maski toimetusi sümbolitega ‘*’, ‘?’ ja ‘[‘, ‘]’. Versioonide võrreldamiseks stverscmp() funktsiooni stiilis tuleks kasutada operaatoreid ‘’, ‘=’.
• SELinuxi silt, mida kasutatakse juurdepääsu kontrollimiseks unit-failist, loetakse nüüd faili laadimise faasis, mitte juurdepääsu kontrollimise hetkel.
• Konditsioon „ConditionFirstBoot“ aktiveerub nüüd süsteemi esimesel käivitusel ainult laadimisprotsessi jooksul ja tagastab „false“, kui kutsutakse üksusi pärast laadimise lõppu.
• 2024. aastal on systemd plaanis lõpetada cgroup v1 ressursside piirangumehhanismi toetamine, mis kuulutati vananenuks systemd 248 väljalaskmisel. Administraatoritel soovitatakse varakult hoolitseda teenuste üleviimise eest cgroup v2 peale, mis sõltuvad cgroup v1-st. Cgroups v2 peamine erinevus v1-st on ühise cgroupi hierarhia rakendamine kõikide ressursside liikide jaoks, mitte eraldi hierarhiad CPU ressursside, mälu tarbimise ja sisendi/väljundi reguleerimiseks. Eraldi hierarhiad põhjustavad raskusi töötlemise koordineerimisel ja toovad kaasa täiendavaid kernelite ressursikasutuse kulutusi, kui rakendatakse reegleid protsesside jaoks, mis on mainitud erinevates hierarhiates.
• 2023. aasta teisel poolel on plaanis lõpetada eraldi kaustade hierarhiate tugi, kui /usr monteeritakse eraldi juurest või on eraldatud kaustad /bin ja /usr/bin, /lib ja /usr/lib.

Allikas: opennet.ru