הציג systemd-homed לניהול ספריות ביתיות ניידות

לנארט פוטרינג הגישו (PDF) בכנס All Systems Go 2019, רכיב חדש במערכת מנהל המערכת - מערכת-homed, שמטרתו להפוך את ספריות הבית של המשתמש לניידות ונפרדות מהגדרות המערכת. הרעיון המרכזי של הפרויקט הוא ליצור סביבות עצמאיות לנתוני משתמש שניתן להעביר בין מערכות שונות מבלי לדאוג לסנכרון מזהים ולסודיות.

סביבת הספרייה הביתית מגיעה בצורה של קובץ תמונה רכוב, שהנתונים בו מוצפנים. אישורי המשתמש קשורים לספריית הבית ולא להגדרות המערכת - במקום /etc/passwd ו-/etc/shadow פרופיל בפורמט JSON, מאוחסן בספריית ~/.identity. הפרופיל מכיל את הפרמטרים הדרושים לעבודת המשתמש, לרבות מידע על השם, סיסמא hash, מפתחות הצפנה, מכסות ומשאבים שהוקצו. ניתן לאשר את הפרופיל בחתימה דיגיטלית המאוחסנת על אסימון Yubikey חיצוני.

פרמטרים עשויים לכלול גם מידע נוסף כגון מפתחות SSH, נתוני אימות ביומטריים, תמונה, דוא"ל, כתובת, אזור זמן, שפה, תהליך ומגבלות זיכרון, דגלי הרכבה נוספים (nodev, noexec, nosuid), מידע על שרתי IMAP/SMTP של משתמשים בשימוש , מידע על הפעלת בקרת הורים, אפשרויות גיבוי וכו'. API מסופק לבקש ולנתח פרמטרים ורלינק.

הקצאה ועיבוד UID/GID נעשים באופן דינמי בכל מערכת מקומית שאליה מחוברת ספריית הבית. באמצעות המערכת המוצעת, המשתמש יכול לשמור את ספריית הבית שלו אצלו, למשל על כונן פלאש, ולקבל סביבת עבודה בכל מחשב מבלי ליצור בו חשבון במפורש (נוכחות של קובץ עם תמונה של ספריית הבית מוביל לסינתזה של המשתמש).

מוצע להשתמש בתת-המערכת LUKS2 להצפנת נתונים, אך systemd-homed מאפשר גם שימוש ב-backends אחרים, למשל, עבור ספריות לא מוצפנות, Btrfs, Fscrypt ו-CIFS מחיצות רשת. לניהול ספריות ניידות, מוצע כלי השירות homectl, המאפשר ליצור ולהפעיל תמונות של ספריות ביתיות, כמו גם לשנות את גודלן ולהגדיר סיסמה.

ברמת המערכת, העבודה מובטחת על ידי הרכיבים הבאים:

• systemd-homed.service - מנהל את ספריית הבית ומטמיע רשומות JSON ישירות לתוך תמונות ספריית הבית;
• pam_systemd - מעבד פרמטרים מפרופיל JSON כאשר המשתמש מתחבר ומחיל אותם בהקשר של ההפעלה המופעלת (מבצע אימות, מגדיר משתני סביבה וכו');
• systemd-logind.service - מעבד פרמטרים מפרופיל JSON כאשר המשתמש מתחבר, מחיל הגדרות שונות לניהול משאבים ומגדיר מגבלות;
• nss-systemd - מודול NSS עבור glibc, מסנתז רשומות NSS קלאסיות המבוססות על פרופיל JSON, ומספק תאימות לאחור עם UNIX API לעיבוד משתמש (/etc/password);
• PID 1 - יוצר באופן דינמי משתמשים (מסונתז באנלוגיה עם השימוש בהנחיית DynamicUser ביחידות) והופך אותם לגלויים לשאר המערכת;
• systemd-userdbd.service - מתרגם חשבונות UNIX/glibc NSS לרשומות JSON ומספק Varlink API מאוחד לשאילתה ואיטרציה על רשומות.

Из достоинств предложенной системы отмечается возможность управления пользователями при монтировании каталога /etc в режиме только для чтения, отсутствие необходимости синхронизации идентификаторов (UID/GID) между системами, независимость пользователя от конкретного компьютера, блокировка данных пользователя во время перехода в спящий режим, применение шифрования и современных методов аутентификации. Systemd-homed планируется включить в основной состав systemd в выпуске 244 или 245.

דוגמה לפרופיל משתמש JSON:

"אוטולוגין" : נכון,
"כריכה" : {
«15e19cd24e004b949ddaac60c74aa165» : {
"fileSystemType" : "ext4"
«fileSystemUUID» : «758e88c8-5851-4a2a-b98f-e7474279c111»,
"gid": 60232,
"homeDirectory" : "/home/test",
"imagePath" : "/home/test.home",
"luksCipher" : "aes",
"luksCipherMode" : "xts-plain64",
«luksUUID» : «e63581ba-79fa-4226-b9de-1888393f7573»,
"luksVolumeKeySize" : 32,
«partitionUUID» : «41f9ce04-c927-4b74-a981-c669f93eb4dc»,
"אחסון" : "לוקס",
"uid": 60233
}
},
"disposition" : "רגיל",
"enforcePasswordPolicy": false,
"lastChangeUSec" : 1565951024279735,
"חבר ב" : [
"גַלגַל"
],
"privileged" : {
"hashedPassword" : [
«$6$WHBKvAFFT9jKPA4k$OPY4D5…/»
] },
"חתימה" : [
{
"data" : "LU/HeVrPZSzi3M3J...==",
"key" : "——התחל מפתח ציבורי——\nMCowBQADK2VwAy…=\n——סוף מפתח ציבורי——\n"
}
],
"userName" : "בדיקה",
"סטטוס" : {
«15e19cf24e004b949dfaac60c74aa165» : {
"goodAuthenticationCounter": 16,
"lastGoodAuthenticationUSec" : 1566309343044322,
"rateLimitBeginUSec" : 1566309342341723,
"rateLimitCount" : 1,
"state" : "לא פעיל",
"service" : "io.systemd.Home",
"גודל דיסק" : 161218667776,
"דיסק תקרה": 191371729408,
"diskFloor": 5242780,
"חתום מקומי": נכון
}
}

מקור: OpenNet.ru