Microsoft ha pubblicato un aggiornamento della distribuzione Azure Linux 3.0.20241101, che continua lo sviluppo del ramo stabile 3.0 formato ad agosto. La distribuzione si evolve come piattaforma base universale per ambienti Linux utilizzati in infrastrutture cloud, sistemi edge e vari servizi Microsoft. I progressi del progetto sono distribuiti sotto licenza MIT. Le versioni dei pacchetti vengono create per le architetture aarch64 e x86_64. La dimensione dell'immagine di installazione è di 751 MB.
Tra le novità nella nuova versione:
- Per i sistemi basati su architettura ARM è stato aggiunto il supporto per la specifica FF-A (Firmware Framework for Arm A-profile).
- Incluso il modulo del kernel intel_ifs (In-Field Scan), che consente l'esecuzione di test diagnostici a basso livello sulla CPU sui processori Intel, in grado di rilevare problemi non identificabili con strumenti standard basati su codici di correzione degli errori (ECC) o bit di parità.
- Aggiunte le registrazioni SBAT nel bootloader GRUB2 per Fedora Linux.
- Durante la compilazione del kernel è stata inclusa l'impostazione CONFIG_X86_AMD_PLATFORM_DEVICE, che consente il trattamento dei dispositivi ACPI specifici per i chip AMD come dispositivi di piattaforma standard, come I2C, UART e GPIO.
- Assicurato il funzionamento dei comandi iptables tramite la traduzione delle regole nel bytecode nftables (oltre a iptables-legacy è stato utilizzato il pacchetto iptables-nft).
- Aggiornate le versioni dei pacchetti, tra cui il kernel Linux 6.6.57, Go 1.23, OpenIPMI 2.0.36, libpcap 1.10.5, vim 9.1.0791, mysql 8.0.40, clamav 1.0.7, cloud-init 24.3.1, php 8.3.12, mdadm 4.3, libarchive 3.7.7.
La distribuzione Azure Linux fornisce un piccolo insieme standard di pacchetti di base, che funge da base universale per creare il contenuto dei contenitori, ambienti host e servizi eseguiti in infrastrutture cloud e su dispositivi edge. Soluzioni più complesse e specializzate possono essere create aggiungendo pacchetti aggiuntivi sopra Azure Linux, ma la base per tutti questi sistemi rimane invariata, semplificando la manutenzione e la preparazione degli aggiornamenti.
Azure Linux viene utilizzato come base per il mini-distribuzione WSLg, che fornisce componenti dello stack grafico per consentire l'esecuzione di applicazioni GUI Linux in ambienti basati su WSL2 (Windows Subsystem for Linux). Le funzionalità avanzate in WSLg sono implementate attraverso l'inclusione di pacchetti aggiuntivi con un compositore. server Weston, XWayland, PulseAudio e FreeRDP.
Per la gestione dei servizi e del caricamento viene utilizzato il gestore di sistema systemd. Per la gestione dei pacchetti sono disponibili i gestori di pacchetti RPM e DNF. Il server SSH non è abilitato di default. Viene fornito un installatore per l'installazione della distribuzione, che può funzionare sia in modalità testuale che grafica. Nell'installer è possibile scegliere tra un'installazione completa o basica dei pacchetti, viene fornita un'interfaccia per la selezione della partizione del disco, la scelta del nome host e la creazione di utenti.
Il sistema di build di Azure Linux consente di generare sia pacchetti RPM singoli basati su file SPEC e sorgenti di testo, sia immagini di sistema monolitiche, create utilizzando lo strumento rpm-ostree e aggiornate in modo atomico senza suddivisione in pacchetti singoli. Di conseguenza, sono supportati due modelli di distribuzione degli aggiornamenti: tramite l'aggiornamento di singoli pacchetti e tramite la ricostruzione e l'aggiornamento dell'intera immagine di sistema. È disponibile un repository che include circa 3000 pacchetti RPM già costruiti, che possono essere utilizzati per comporre immagini personalizzate basate su un file di configurazione.
La piattaforma di base include solo i componenti più necessari ed è ottimizzata per un minimo consumo di memoria e spazio su disco, oltre che per un'elevata velocità di avvio. Nel progetto si adotta l'approccio 'massima sicurezza di default', che implica l'attivazione di vari meccanismi aggiuntivi per aumentare la protezione:
- Filtraggio delle chiamate di sistema attraverso il meccanismo seccomp.
- Crittografia delle partizioni del disco.
- Verifica dei pacchetti tramite firma digitale.
- Randomizzazione dello spazio degli indirizzi.
- Protezione contro attacchi legati a link simbolici, mmap, /dev/mem e /dev/kmem.
- Modalità di sola lettura e divieto di esecuzione di codice in aree di memoria che ospitano segmenti con dati del kernel e moduli.
- Opzione per vietare il caricamento di moduli del kernel dopo l'inizializzazione del sistema.
- Utilizzo di iptables per il filtraggio dei pacchetti di rete.
- Attivazione durante la compilazione delle modalità di protezione contro lo straripamento dello stack, il bufferoverflow e problemi di formattazione delle stringhe (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Fonte: opennet.ru
