L'azienda Microsoft ha pubblicato un aggiornamento per la distribuzione CBL-Mariner 1.0.20210901 (Common Base Linux Mariner), che si sviluppa come piattaforma di base universale per ambienti Linux utilizzati nell'infrastruttura cloud, nei sistemi edge e in vari servizi Microsoft. Il progetto mira a unificare le soluzioni Linux utilizzate in Microsoft e facilitare la manutenzione di sistemi Linux per vari scopi, mantenendoli aggiornati. Le realizzazioni del progetto sono distribuite con licenza MIT.
Nel nuovo rilascio:
- È iniziata la formazione dell'immagine base iso (700 MB). Nella prima versione non sono state fornite immagini ISO pronte, si presumava che l'utente potesse creare autonomamente un'immagine con il contenuto necessario (le istruzioni di compilazione sono state preparate per Ubuntu 18.04).
- È stata implementata la funzionalità di aggiornamento automatico dei pacchetti, per cui è stata inclusa l'applicazione Dnf-Automatic.
- Il kernel Linux è stato aggiornato alla versione 5.10.60.1. Sono state aggiornate le versioni dei programmi, tra cui openvswitch 2.15.1, golang 1.16.7, logrus 1.8.1, tcell 1.4.0, gonum 0.9.3, testify 1.7.0, crunchy 0.4.0, xz 0.5.10, swig 4.0.2, squashfs-tools 4.4, mysql 8.0.26.
- In OpenSSL è stata fornita la possibilità di ripristinare il supporto per TLS 1 e TLS 1.1.
- Per la verifica dei codici sorgente degli strumenti è stata utilizzata l'utilità sha256sum.
- Sono stati inclusi nuovi pacchetti: etcd-tools, cockpit, aide, fipscheck, tini.
- I pacchetti brp-strip-debug-symbols, brp-strip-unneeded e ca-legacy sono stati rimossi. Sono stati rimossi i file SPEC per i pacchetti Dotnet e aspnetcore, che ora vengono compilati dal team principale di sviluppatori .NET e pubblicati in un repository separato.
- Sono state trasferite correzioni per le vulnerabilità nelle versioni dei pacchetti utilizzati.
Ricordiamo che il pacchetto CBL-Mariner offre un piccolo set standard di pacchetti di base, fungendo da base universale per la creazione di contenitori, ambienti host e servizi che vengono eseguiti in infrastrutture cloud e su dispositivi edge. Soluzioni più complesse e specializzate possono essere create aggiungendo pacchetti aggiuntivi sopra CBL-Mariner, ma la base per tutti questi sistemi rimane invariata, semplificando la manutenzione e la preparazione degli aggiornamenti. Ad esempio, CBL-Mariner viene utilizzato come base per una mini-distribuzione WSLg, in cui vengono forniti i componenti dello stack grafico per l'esecuzione di applicazioni GUI Linux in ambienti basati sul sottomodulo WSL2 (Windows Subsystem for Linux). Le funzionalità avanzate in WSLg sono implementate attraverso l'inclusione di pacchetti aggiuntivi con compositi server Weston, XWayland, PulseAudio e FreeRDP.
Il sistema di build CBL-Mariner consente di generare sia pacchetti RPM separati basati su file SPEC e sorgenti, sia immagini di sistema monolitiche, create utilizzando l'utility rpm-ostree e aggiornate in modo atomico senza frammentazione in pacchetti separati. Pertanto, sono supportati due modelli di distribuzione degli aggiornamenti: tramite l'aggiornamento di pacchetti singoli e tramite la ricostruzione e l'aggiornamento dell'intera immagine di sistema. È disponibile un repository che include circa 3000 pacchetti RPM già compilati, che può essere utilizzato per comporre le proprie immagini basate su un file di configurazione.
La distribuzione include solo i componenti più necessari ed è ottimizzata per un consumo minimo di memoria e spazio su disco, oltre che per un'elevata velocità di avvio. La distribuzione è anche notevole per l'inclusione di vari meccanismi aggiuntivi per aumentare la sicurezza. Nel progetto si applica un approccio di "massima sicurezza per impostazione predefinita". È fornita la possibilità di filtrare le chiamate di sistema tramite il meccanismo seccomp, di crittografare le partizioni del disco e di verificare i pacchetti tramite firme digitali.
Sono stati attivati i modi di randomizzazione dello spazio degli indirizzi supportati nel kernel Linux, così come meccanismi di protezione contro attacchi legati ai collegamenti simbolici, mmap, /dev/mem e /dev/kmem. Per le aree di memoria che ospitano segmenti con dati del kernel e dei moduli, è stato impostato un modo di sola lettura e l'esecuzione del codice è vietata. È disponibile opzionalmente la possibilità di vietare il caricamento dei moduli del kernel dopo l'inizializzazione del sistema. Per il filtraggio dei pacchetti di rete è stato utilizzato lo strumento iptables. Durante la fase di compilazione, sono stati attivati di default i modi di protezione contro il overflow dello stack, i buffer overflow e i problemi con il formattazione delle stringhe (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Per la gestione dei servizi e del caricamento viene utilizzato il gestore di sistema systemd. Per la gestione dei pacchetti sono forniti i gestori di pacchetti RPM e DNF (variante tdnf di vmWare). Il server SSH non è attivato di default. Per l'installazione della distribuzione è fornito un programma di installazione che può funzionare sia in modalità testuale che grafica. Nel programma di installazione è possibile scegliere un'installazione con un insieme completo o di base di pacchetti, viene fornita un'interfaccia per la selezione della partizione del disco, la scelta del nome host e la creazione degli utenti.
Fonte: opennet.ru
