Microsoft ha rilasciato il primo aggiornamento stabile della nuova versione della distribuzione CBL-Mariner 2.0 (Common Base Linux Mariner), che si sviluppa come piattaforma di base universale per ambienti Linux utilizzati nell'infrastruttura cloud, nei sistemi edge e nei vari servizi Microsoft. Il progetto mira a unificare le soluzioni Linux utilizzate in Microsoft e a semplificare la manutenzione dei sistemi Linux di vario tipo per mantenerli aggiornati. I risultati del progetto sono distribuiti sotto licenza MIT. Le build dei pacchetti sono create per le architetture aarch64 e x86_64.
Il nuovo rilascio si distingue per un significativo aggiornamento delle versioni dei software. Sono stati aggiornati, tra l'altro, i kernel Linux 5.15 (nella versione 1.0 era utilizzato il kernel 5.4), systemd 250, glibc 2.35, GCC 11.2, clang 12, Python 3.9, ruby 3.1.2, rpm 4.17, qemu 6.1, perl 5.34, ostree 2022.1. Il repository di base include componenti per la costruzione di interfacce grafiche, come Wayland 1.20, Mesa 21.0, GTK 3.24 e X.Org Server 1.20.10, che prima erano forniti in un repository separato coreui. Sono state aggiunte build del kernel con patch PREEMPT_RT per l'uso in sistemi che operano in tempo reale.
Il distributore CBL-Mariner offre un insieme standard di pacchetti fondamentali che costituiscono una base universale per la creazione di contenuti per container, ambienti host e servizi eseguiti in infrastrutture cloud e su dispositivi edge. Soluzioni più complesse e specializzate possono essere create aggiungendo pacchetti extra sopra CBL-Mariner, ma la base per tutti questi sistemi rimane invariata, semplificando la manutenzione e la preparazione degli aggiornamenti. Ad esempio, CBL-Mariner è utilizzato come base per una mini-distribuzione WSLg, nella quale sono forniti componenti del stack grafico per eseguire applicazioni GUI Linux in ambienti basati sulla sottosistema WSL2 (Windows Subsystem for Linux). Funzionalità avanzate in WSLg sono rese possibili attraverso l'inclusione di pacchetti aggiuntivi con compositi server Weston, XWayland, PulseAudio e FreeRDP.
Il sistema di assemblaggio CBL-Mariner consente di generare sia singoli pacchetti RPM basati su file SPEC e sorgenti, sia immagini di sistema monolitiche, create utilizzando lo strumento rpm-ostree e aggiornate in modo atomico senza suddivisione in pacchetti singoli. Di conseguenza, sono supportati due modelli di distribuzione degli aggiornamenti: attraverso l'aggiornamento di pacchetti singoli e attraverso la ricostruzione e l'aggiornamento dell'intera immagine di sistema. È disponibile un repository che include circa 3000 pacchetti RPM già assemblati, che possono essere utilizzati per comporre le proprie immagini basate su un file di configurazione.
La distribuzione include solo i componenti più necessari ed è ottimizzata per un consumo minimo di memoria e spazio su disco, oltre a garantire elevate velocità di avvio. La distribuzione è anche nota per l'inclusione di vari meccanismi aggiuntivi per aumentare la sicurezza. Nel progetto viene applicato un approccio di "massima sicurezza per impostazione predefinita". Viene fornita la possibilità di filtrare le chiamate di sistema utilizzando il meccanismo seccomp, crittografare le partizioni del disco e verificare i pacchetti tramite firma digitale.
Sono attivati i modi di randomizzazione degli indirizzi supportati nel kernel Linux, nonché meccanismi di protezione da attacchi legati a link simbolici, mmap, /dev/mem e /dev/kmem. Per le aree di memoria in cui sono allocati segmenti con dati del kernel e moduli, è impostato un modo di sola lettura ed è vietato l'esecuzione del codice. È disponibile, facoltativamente, la possibilità di bloccare il caricamento dei moduli del kernel dopo l'inizializzazione del sistema. Per il filtraggio dei pacchetti di rete è utilizzato lo strumento iptables. Nella fase di compilazione, per impostazione predefinita, sono attivati i modi di protezione da overflow dello stack, overflow di buffer e problemi di formattazione delle stringhe (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Per la gestione dei servizi e del carico, viene utilizzato il gestore di sistema systemd. Per la gestione dei pacchetti sono forniti i gestori di pacchetti RPM e DNF. Il server SSH non è abilitato di default. Per l'installazione della distribuzione è fornito un installer che può operare sia in modalità testuale che grafica. Nell'installer è disponibile la possibilità di installare con un set completo o base di pacchetti, un'interfaccia per selezionare la partizione del disco, scegliere il nome dell'host e creare utenti.
Fonte: opennet.ru
