Dopo cinque mesi di sviluppo, è stato rilasciato il gestore di sistema systemd 250. In questo nuovo aggiornamento è stata introdotta la possibilità di memorizzare le credenziali in forma crittografata, è stata realizzata la verifica delle partizioni GPT automaticamente riconosciute tramite firma digitale, è stato migliorato l'informativo riguardo le cause delle attese durante l'avvio dei servizi, sono state aggiunte opzioni per limitare l'accesso del servizio a determinati file system e interfacce di rete, è stata garantita la supporto per il controllo dell'integrità delle partizioni tramite il modulo dm-integrity e sono state aggiunte funzionalità di aggiornamento automatico di sd-boot.
Principali modifiche:
- È stata aggiunta la supporto per credenziali crittografate e autenticate, il che può essere utile per la memorizzazione sicura di materiali riservati come SSL-chiavi e password di accesso. La decodifica delle credenziali avviene solo se necessario e in relazione all'installazione locale o all'hardware. I dati vengono crittografati automaticamente utilizzando algoritmi di crittografia simmetrica, la chiave per i quali può essere memorizzata nel file system, nel chip TPM2, o usando uno schema combinato. All'avvio del servizio, le credenziali vengono automaticamente decodificate e diventano disponibili per il servizio in forma normale. È stata aggiunta l'utility 'systemd-creds' per lavorare con le credenziali crittografate, e per i servizi sono state offerte le impostazioni LoadCredentialEncrypted e SetCredentialEncrypted.
- Nel file sd-stub eseguibile per EFI, attraverso il quale il firmware EFI carica il kernel Linux, è stata aggiunta la supporto per il caricamento del kernel utilizzando il protocollo LINUX_EFI_INITRD_MEDIA_GUID EFI. Inoltre, sd-stub ora consente di impacchettare le credenziali e i file sysext in un archivio cpio e di trasferire questo archivio al kernel insieme a initrd (i file aggiuntivi vengono posizionati nella directory /.extra/). Questa funzionalità consente di utilizzare un ambiente initrd verificabile e immutabile, arricchito tramite sysext e dati crittografati per l'autenticazione.
- La specifica Discoverable Partitions è stata notevolmente ampliata, fornendo strumenti per identificare, montare e attivare partizioni di sistema che utilizzano GPT (GUID Partition Tables). Rispetto alle versioni precedenti, per la maggior parte delle architetture è stata implementata la supporto per la partizione radice e la partizione /usr, compreso per le piattaforme che non utilizzano UEFI.
In Discoverable Partitions, support has also been added for partitions whose integrity is verified by the dm-verity module using PKCS#7 digital signatures, simplifying the creation of fully authenticated disk images. Verification support is integrated into various utilities that manipulate disk images, including systemd-nspawn, systemd-sysext, systemd-dissect, RootImage services, systemd-tmpfiles, and systemd-sysusers.
- For long-running or stopped units, in addition to showing an animated progress indicator, there is now the option to output status information that helps clarify what is currently happening with the service and which service the system manager is waiting to complete.
- The DefaultOOMScoreAdjust parameter has been added to /etc/systemd/system.conf and /etc/systemd/user.conf, allowing the adjustment of the OOM-killer activation threshold during memory shortages, applicable to processes started by systemd for the system and users. By default, system services have a higher weight than user services, meaning that during memory shortages, user services are more likely to be terminated than system services.
- È stata aggiunta l'impostazione RestrictFileSystems, che consente di limitare l'accesso dei servizi a determinati tipi di filesystem. Per visualizzare i tipi di FS disponibili, è possibile utilizzare il comando "systemd-analyze filesystems". In modo analogo, è stata implementata l'opzione RestrictNetworkInterfaces, che consente di limitare l'accesso a specifiche interfacce di rete. L'implementazione si basa sul modulo BPF LSM, che limita l'accesso di un gruppo di processi agli oggetti del kernel.
- È stato aggiunto un nuovo file di configurazione /etc/integritytab e l'utilità systemd-integritysetup, che configurano il modulo dm-integrity per il controllo dell'integrità dei dati a livello di singoli settori, ad esempio, per garantire che i dati crittografati non siano stati modificati in modo fraudolento (Authenticated Encryption, garantisce che un blocco di dati non sia stato modificato). Il formato del file /etc/integritytab è simile ai file /etc/crypttab e /etc/veritytab, tranne per il fatto che al posto di dm-crypt e dm-verity si utilizza dm-integrity.
- È stato aggiunto un nuovo file unit systemd-boot-update.service, il cui attivazione permette a systemd di aggiornare automaticamente la versione del bootloader sd-boot se installato, mantenendo il codice del bootloader sempre aggiornato. Inoltre, sd-boot ora viene compilato di default con il supporto per il meccanismo SBAT (UEFI Secure Boot Advanced Targeting), che risolve i problemi di revoca dei certificati per UEFI Secure Boot. Inoltre, sd-boot offre ora la possibilità di analizzare le impostazioni di avvio di Microsoft Windows per una corretta formattazione dei nomi delle partizioni di avvio di Windows e per mostrare la versione di Windows.
In sd-boot è stata anche introdotta la possibilità di definire lo schema di colori durante la fase di compilazione. Durante il processo di avvio, è stata aggiunta la supporto per cambiare la risoluzione dello schermo premendo il tasto «r». È stata aggiunta una scorciatoia da tastiera «f» per accedere all'interfaccia di configurazione del firmware. È stata introdotta la modalità di avvio automatico del sistema, corrispondente all'elemento di menu selezionato durante l'ultimo avvio. È stata aggiunta la possibilità di avvio automatico dei driver EFI, posizionati nella directory /EFI/systemd/drivers/ nella partizione ESP (EFI System Partition).
- È stato incluso un nuovo file unit factory-reset.target, gestito in systemd-logind analogamente alle operazioni di riavvio, spegnimento, sospensione e ibernazione, utilizzato per creare gestori per l'esecuzione del ripristino delle impostazioni di fabbrica.
- Il processo systemd-resolved ora crea un ulteriore socket di ascolto all'indirizzo 127.0.0.54 oltre a 127.0.0.53. Le richieste in arrivo all'indirizzo 127.0.0.54 vengono sempre reindirizzate al server DNS superiore e non vengono elaborate localmente.
- È stata fornita la possibilità di compilare systemd-importd e systemd-resolved utilizzando la libreria OpenSSL anziché libgcrypt.
- È stata aggiunta una supporto iniziale per l'architettura LoongArch, utilizzata nei processori Loongson.
- In systemd-gpt-auto-generator è stata implementata la capacità di configurare automaticamente le partizioni di swap definite dal sistema, criptate con il sottosistema LUKS2.
- Nel codice di analisi delle immagini GPT utilizzato in systemd-nspawn, systemd-dissect e utility simili, è stata realizzata la possibilità di decodificare le immagini per altre architetture, consentendo di usare systemd-nspawn per eseguire immagini in emulatori di altre architetture.
- Durante l'ispezione delle immagini disco in systemd-dissect, ora vengono visualizzate informazioni sulla destinazione della partizione, ad esempio, l'idoneità all'avvio tramite UEFI o l'esecuzione in un contenitore.
- Nel file system-extension.d/ è stato aggiunto il campo «SYSEXT_SCOPE», che consente di definire l'ambito di applicazione dell'immagine di sistema: «initrd», «system» o «portable».
- Nel file os-release è stato aggiunto il campo «PORTABLE_PREFIXES», che può essere utilizzato nelle immagini portatili per identificare i prefissi supportati dei file unit.
- In systemd-logind sono state implementate nuove impostazioni HandlePowerKeyLongPress, HandleRebootKeyLongPress, HandleSuspendKeyLongPress e HandleHibernateKeyLongPress, che possono essere utilizzate per determinare le azioni quando si tiene premuto un tasto specifico per più di 5 secondi (ad esempio, premendo rapidamente il tasto Suspend è possibile configurare il passaggio alla modalità di sospensione, mentre mantenendolo premuto — per il sonno).
- Per gli unit sono state realizzate le impostazioni StartupAllowedCPUs e StartupAllowedMemoryNodes, che si differenziano dalle impostazioni simili senza il prefisso Startup in quanto vengono applicate solo durante le fasi di avvio e spegnimento, consentendo di impostare restrizioni diverse sulle risorse durante il caricamento.
- Sono state aggiunte le verifiche [Condition|Assert][Memory|CPU|IO]Pressure, che consentono di saltare o terminare con errore l'attivazione dell'unità nel caso venga rilevato tramite il meccanismo PSI un carico elevato sulla memoria, CPU e input/output del sistema.
- Il limite massimo predefinito sul numero di inode è stato aumentato per la partizione /dev da 64k a 1M, e per /tmp da 400k a 1M.
- Per i servizi è stata proposta l'impostazione ExecSearchPath, che consente di modificare il percorso per la ricerca dei file eseguibili, attivati attraverso impostazioni simili a ExecStart.
- È stata aggiunta l'impostazione RuntimeRandomizedExtraSec, che consente di introdurre deviazioni casuali nel timeout RuntimeMaxSec, limitando il tempo di esecuzione dell'unità.
- È stata ampliata la sintassi delle impostazioni RuntimeDirectory, StateDirectory, CacheDirectory e LogsDirectory, nelle quali ora è possibile organizzare la creazione di un collegamento simbolico a una directory specificata tramite l'indicazione di un valore aggiuntivo, separato da due punti, per organizzare l'accesso su più percorsi.
- Per i servizi sono state proposte le impostazioni TTYRows e TTYColumns per specificare il numero di righe e colonne nel dispositivo TTY.
- È stata aggiunta la configurazione ExitType che consente di modificare la logica di determinazione della chiusura del servizio. Per impostazione predefinita, systemd monitora la chiusura solo del processo principale, ma impostando ExitType=cgroup, il gestore di sistema attenderà la chiusura dell'ultimo processo nel cgroup.
- Il supporto per TPM2/FIDO2/PKCS11 in systemd-cryptsetup ora viene anche compilato come plugin per cryptsetup, consentendo di utilizzare il comando cryptsetup standard per sbloccare la partizione crittografata.
- Nel gestore TPM2 in systemd-cryptsetup è stato aggiunto il supporto per le chiavi RSA primarie, oltre alle chiavi ECC, per migliorare la compatibilità con i chip che non supportano ECC.
- È stata aggiunta l'opzione token-timeout in /etc/crypttab, che consente di definire il tempo massimo di attesa per la connessione di un token PKCS#11/FIDO2, dopo il quale verrà visualizzato un prompt per l'inserimento della password o della chiave di ripristino.
- In systemd-timesyncd è stata implementata la configurazione SaveIntervalSec, che consente di salvare periodicamente il valore dell'ora di sistema corrente su disco, ad esempio per implementare orologi monotoni su sistemi privi di RTC.
- Nell'utilità systemd-analyze sono state aggiunte le opzioni: «—image» e «—root» per controllare i file unit all'interno dell'immagine o della directory radice specificata, «—recursive-errors» per considerare le unit dipendenti durante l'identificazione degli errori, «—offline» per verificare file unit salvati su disco separatamente, «—json» per l'output in formato JSON, «—quiet» per disattivare messaggi non importanti, «—profile» per l'associazione a un profilo portatile. È stata anche aggiunta la comando inspect-elf per analizzare i file core nel formato ELF e la possibilità di controllare i file unit con un nome di unit specificato, indipendentemente dal fatto che questo nome corrisponda al nome del file.
- In systemd-networkd è stata ampliata la supporto per il bus CAN (Controller Area Network). Sono state aggiunte impostazioni per la gestione delle modalità CAN: Loopback, OneShot, PresumeAck e ClassicDataLengthCode. Nel segmento [CAN] dei file .network sono state aggiunte opzioni TimeQuantaNSec, PropagationSegment, PhaseBufferSegment1, PhaseBufferSegment2, SyncJumpWidth, DataTimeQuantaNSec, DataPropagationSegment, DataPhaseBufferSegment1, DataPhaseBufferSegment2 e DataSyncJumpWidth per gestire la sincronizzazione dei bit dell'interfaccia CAN.
- In systemd-networkd per il client DHCPv4 è stata aggiunta l'opzione Label, che permette di configurare un'etichetta per gli indirizzi utilizzata durante la configurazione degli indirizzi IPv4.
- In systemd-udevd, support for special values "max" has been implemented for "ethtool", which sets the buffer size to the maximum value supported by the hardware.
- In .link files for systemd-udevd, various parameters for network adapter bonding and hardware offload handlers can now be configured.
- In systemd-networkd, new .network files have been introduced by default: 80-container-vb.network for defining network bridges created when starting systemd-nspawn with the options "--network-bridge" or "--network-zone"; 80-6rd-tunnel.network for defining tunnels automatically created when receiving a DHCP response with the 6RD option.
- Support for IP passthrough over InfiniBand interfaces has been added in systemd-networkd and systemd-udevd, with the section "[IPoIB]" added to systemd.netdev files and support for the value "ipoib" implemented in the Kind configuration.
- Automatic route configuration for addresses specified in the AllowedIPs parameter has been implemented in systemd-networkd, which can be configured via the RouteTable and RouteMetric parameters in the [WireGuard] and [WireGuardPeer] sections.
- In systemd-networkd è stata implementata la generazione automatica di indirizzi MAC costanti per le interfacce batadv e bridge. Per disabilitare questo comportamento, è possibile specificare il valore MACAddress=none nei file .netdev.
- Nei file .link è stata aggiunta la configurazione WakeOnLanPassword nella sezione «[Link]», per definire la password per il funzionamento di WoL in modalità «SecureOn».
- Nella sezione «[CAKE]» dei file .network sono state aggiunte le impostazioni AutoRateIngress, CompensationMode, FlowIsolationMode, NAT, MPUBytes, PriorityQueueingPreset, FirewallMark, Wash, SplitGSO e UseRawPacketSize per definire i parametri del meccanismo di gestione delle code di rete CAKE (Common Applications Kept Enhanced).
- Nella sezione «[Network]» dei file .network è stata aggiunta l'impostazione IgnoreCarrierLoss, che consente di definire quanto a lungo attendere prima di reagire alla perdita del segnale portante.
- In systemd-nspawn, homectl, machinectl e systemd-run è stata ampliata la sintassi del parametro «—setenv» — se viene specificato solo il nome della variabile (senza «=»), il valore sarà preso dalla corrispondente variabile d'ambiente (ad esempio, specificando «—setenv=FOO» verrà utilizzato il valore dalla variabile d'ambiente $FOO nella variabile d'ambiente omonima del contenitore).
- In systemd-nspawn, the "--suppress-sync" option has been added to disable the execution of sync()/fsync()/fdatasync() system calls when creating a container (useful when speed is a priority and preserving build artifacts in case of a failure is not important, as they can be recreated at any time).
- A new hwdb database has been added, incorporating various types of signal analyzers (multimeters, protocol analyzers, oscilloscopes, etc.). The information about cameras in hwdb has been expanded with a field detailing the type of camera (regular or infrared) and the lens location (front or back).
- Generation of unchanging network interface names for netfront devices used in Xen has been ensured.
- Core file analysis with the systemd-coredump utility, based on the libdw/libelf libraries, is now conducted in a separate process, isolated in a sandbox environment.
- Support for environment variables $SYSTEMD_IMPORT_BTRFS_SUBVOL, $SYSTEMD_IMPORT_BTRFS_QUOTA, and $SYSTEMD_IMPORT_SYNC has been added to systemd-importd, allowing users to disable the generation of Btrfs subvolumes, as well as configure quotas and disk synchronization.
- In systemd-journald, on filesystems that support copy-on-write mode, the re-enablement of COW mode for archived logs has been ensured, allowing for their compression using Btrfs.
- Systemd-journald implements deduplication of identical fields within a single message, performed at the stage before the message is placed in the log.
- The shutdown command has been enhanced with the ‘—show’ option to display the scheduled shutdown.
Fonte: opennet.ru
