Vydanie systémového manažéra systemd 246

Po piatich mesiacoch vývoja predstavené vydanie systémového správcu systemd 246. V novom vydaní bola implementovaná podpora zmrazenia unit-ov, možnosť overovania obrazu koreňového disku pomocou digitálneho podpisu, podpora kompresie záznamov a core-dumpov s použitím algoritmu ZSTD, možnosť odomknutia prenosných domovských adresárov pomocou tokenov FIDO2, podpora odomknutia oddielov Microsoft BitLocker cez /etc/crypttab, vykonané premenovanie BlackList na DenyList.

Hlavné zmeny:

• Pridaná podpora kontroléra zdrojov freezer na báze cgroups v2, pomocou ktorého je možné zastaviť činnosť procesov a dočasne uvoľniť niektoré zdroje (CPU, vstup/výstup a potenciálne aj pamäť) na vykonanie iných úloh. Riadenie zmrazenia a rozmrazenia unit-ov sa realizuje pomocou novej príkazovej funkcie „systemctl freeze“ alebo cez D-Bus.
• Pridaná podpora overovania obrazu koreňového disku pomocou digitálneho podpisu. Kontrola sa vykonáva pomocou nových nastavení v servisných jednotkách: RootHash (koreňový hash na overenie obraz disku, uvedený cez voľbu RootImage) a RootHashSignature (digitálny podpis vo formáte PKCS#7 pre koreňový hash).
• V spracovateľovi PID 1 bola implementovaná možnosť automatického načítania predkompilovaných pravidiel AppArmor (/etc/apparmor/earlypolicy) v počiatočnej fáze zavádzania.
• Pridané nové nastavenia unit-súborov: ConditionPathIsEncrypted a AssertPathIsEncrypted na kontrolu umiestnenia zadaného cesty na blokovom zariadení, v ktorom sa používa šifrovanie (dm-crypt/LUKS), ConditionEnvironment a AssertEnvironment na kontrolu premenných prostredia (napríklad nastavených PAM alebo pri konfigurácii kontajnerov).
• Pre jednoty *.mount bola implementovaná konfigurácia ReadWriteOnly, zakazujúca montovanie oddielu v režime iba na čítanie, ak sa ho nepodarilo pripojiť na čítanie a zápis. V /etc/fstab je tento režim nastavený pomocou voľby „x-systemd.rw-only“.
• Pre jednoty *.socket bola pridaná konfigurácia PassPacketInfo, zahŕňajúca pridanie ďalších metadát pre každý paket čítaný zo socketu (zahŕňa režimy IP_PKTINFO, IPV6_RECVPKTINFO a NETLINK_PKTINFO pre socket).
• Pre služby (jednoty *.service) sú navrhnuté nastavenia CoredumpFilter (určuje sekcie pamäte, ktoré by sa mali zahrnúť do core-dumpov) a
  TimeoutStartFailureMode/TimeoutStopFailureMode (určuje správanie (SIGTERM, SIGABRT alebo SIGKILL) pri prekročení časového limitu pri spúšťaní alebo zastavení služby).
• Vo väčšine možností bola pridaná podpora zadávania hexadecimálnych hodnôt s prefixom „0x“.
• V rôznych parametroch príkazového riadku a v konfiguračných súboroch súvisiacich s nastavením kľúčov alebo certifikátov bola implementovaná možnosť zadávať cestu k unixovým soketom (AF_UNIX) na prenášanie kľúčov a certifikátov prostredníctvom sprístupnenia IPC službám, keď nie je žiaduce umiestňovať certifikáty na nezašifrované diskové úložiská.
• Bola pridaná podpora šiestich nových špecifikátorov, ktoré je možné použiť v jednotkách, tmpfiles.d/, sysusers.d/ a iných konfiguračných súboroch: %a na nahradenie aktuálnej architektúry, %o/%w/%B/%W na nahradenie polí s identifikátormi z /etc/os-release a %l na nahradenie krátkeho názvu hostiteľa.
• V jednotkových súboroch bola zastavená podpora syntaxe „.include“, ktorá bola vyhlásená za zastaranú pred 6 rokmi.
• V nastaveniach StandardError a StandardOutput bola zastavená podpora hodnôt „syslog“ a „syslog-console“, ktoré budú automaticky konvertované na „journal“ a „journal+console“.
• Pre automaticky vytvorené body pripojenia na základe tmpfs (/tmp, /run, /dev/shm a pod.) bola zabezpečená nastavenie limitov na veľkosť a počet inode, ktoré zodpovedajú 50 % od veľkosti RAM pre /tmp a /dev/shm, a 10 % od RAM pre všetky ostatné.
• Boli pridané nové parametre príkazového riadku jadra: systemd.hostname na nastavenie názvu hostiteľa v počiatočnej fáze bootovania, udev.blockdev_read_only na obmedzenie všetkých súvisiacich s fyzickými úložiskami blokových zariadení na režim iba na čítanie (na selektívne zrušenie sa môže použiť príkaz „blockdev —setrw“), systemd.swap na vypnutie automatickej aktivácie oddielu na swapovanie, systemd.clock-usec na nastavenie systémových hodín v mikrosekundách, systemd.condition-needs-update a systemd.condition-first-boot na predefinovanie kontrol ConditionNeedsUpdate a ConditionFirstBoot.
• Predvolene je zabezpečená inštalácia sysctl fs.suid_dumpable na hodnotu 2 („suidsafe“), čo povoľuje uchovávanie core dumpov pre procesy s praporkom suid.
• V databáze hardvéru z ChromiumOS bol prevzatý súbor /usr/lib/udev/hwdb.d/60-autosuspend.hwdb, ktorý obsahuje informácie o PCI a USB zariadeniach, ktoré podporujú automatický prechod do spánkového režimu.
• Do networkd.conf bola pridaná nastavenie ManageForeignRoutes, pri jej zapnutí systemd-networkd začne spravovať všetky trasy, nastavené inými nástrojmi.
• Do súborov .network bola pridaná sekcia „[SR-IOV]“ na konfiguráciu sieťových zariadení s podporou SR-IOV (Single Root I/O Virtualization).
• V systemd-networkd bola do sekcie „[Network]“ pridaná konfigurácia IPv4AcceptLocal na povolenie prijímania paketov z lokálnou zdrojovou adresou na sieťovom rozhraní.
• V systemd-networkd bola pridaná možnosť nastavenia disciplín priorizácie prevádzky HTB prostredníctvom sekcií [HierarchyTokenBucket] a
  [HierarchyTokenBucketClass], „pfifo“ prostredníctvom [PFIFO], „GRED“ prostredníctvom [GenericRandomEarlyDetection], „SFB“ prostredníctvom [StochasticFairBlue], „cake“
  prostredníctvom [CAKE], „PIE“ prostredníctvom [PIE], „DRR“ prostredníctvom [DeficitRoundRobinScheduler] a
  [DeficitRoundRobinSchedulerClass], „BFIFO“ prostredníctvom [BFIFO],
  „PFIFOHeadDrop“ prostredníctvom [PFIFOHeadDrop], „PFIFOFast“ prostredníctvom [PFIFOFast], „HHF“
  prostredníctvom [HeavyHitterFilter], „ETS“ prostredníctvom [EnhancedTransmissionSelection],
  „QFQ“ prostredníctvom [QuickFairQueueing] a [QuickFairQueueingClass].
• V systemd-networkd bola do sekcie [DHCPv4] pridaná konfigurácia UseGateway na deaktiváciu používania informácií o bráne získaných prostredníctvom DHCP.
• V systemd-networkd bola do sekcií [DHCPv4] a [DHCPServer] pridaná konfigurácia SendVendorOption na nastavenie a spracovanie ďalších možností výrobcu.
• V systemd-networkd bola do sekcie [DHCPServer] implementovaná nová sada možností EmitPOP3/POP3, EmitSMTP/SMTP a EmitLPR/LPR na pridanie informácií o serveroch POP3, SMTP a LPR.
• V systemd-networkd v súboroch .netdev bola do sekcie [Bridge] pridaná konfigurácia VLANProtocol na výber používaného protokolu VLAN.
• V systemd-networkd v súboroch .network bola do sekcie [Link] implementovaná konfigurácia Group na správu skupiny spojení.
• Nastavenia BlackList boli premenované na DenyList (na zabezpečenie spätnej kompatibility je spracovanie starého názvu zachované).
• V systemd-networkd bola pridaná veľká položka nastavení súvisiacich s IPv6 a DHCPv6.
• V networkctl bola pridaná príkaz „forcerenew“ na nútené obnovenie všetkých viazaní adries (lease).
• V systemd-resolved v nastavení DNS sa objavila možnosť určiť číslo portu a názov hostiteľa na overenie certifikátu DNS-over-TLS. V implementácii DNS-over-TLS bola pridaná podpora overovania SNI.
• V systemd-resolved bola pridaná možnosť nastavenia presmerovania jednoslovných DNS mien (single-label, z jedného názvu hostiteľa).
• V systemd-journald bola zabezpečená podpora aplikácie algoritmu zstd na kompresiu veľkých polí v denníkoch. Boli vykonané práce na ochrane pred vznikom kolízií v hashovacích tabuľkách používaných v denníkoch.
• V journalctl pri výstupe správ denníka boli pridané klikateľné URL s odkazmi na dokumentáciu.
• Do súboru journald.conf bola pridaná konfigurácia Audit na riadenie aktivácie auditu počas inicializácie systemd-journald.
• Do systemd-coredump bola pridaná možnosť kompresie core dumpov pomocou algoritmu zstd.
• Do systemd-repart bola pridaná konfigurácia UUID na priradenie UUID vytvorenému oddielu.
• V službe systemd-homed, ktorá zabezpečuje správu prenosných domácich adresárov, bola pridaná možnosť odomknutia domácich adresárov pomocou tokenov FIDO2. Do backendu šifrovania oddielov LUKS bola pridaná podpora automatického vrátenia prázdnych blokov súborového systému po ukončení relácie. Bol pridaný ochranný mechanizmus proti dvojitému šifrovaniu dát, ak je zistené, že pre oddiel /home v systéme sa už používa šifrovanie.
• Do /etc/crypttab boli pridané nastavenia: „keyfile-erase“ na odstránenie kľúča po použití a „try-empty-password“ na pokus o odomknutie oddielu s prázdnym heslom pred vyžiadáním hesla od používateľa (užitočné pre inštaláciu šifrovaných obrazov s priradením hesla po prvom spustení, a nie počas inštalácie).
• V systemd-cryptsetup bola počas spúšťania implementovaná podpora odomknutia oddielov Microsoft BitLocker pomocou /etc/crypttab. Bolo tiež pridané rozhranie na čítanie
  kľúčov pre automatické odomknutie oddielov z súborov /etc/cryptsetup-keys.d/.key a /run/cryptsetup-keys.d/.key.
• Bol pridaný generátor systemd-xdg-autostart-generator na vytváranie jednotkových súborov zo súborov spúšťania .desktop.
• Do „bootctl“ bola pridaná príkazová funkcia „reboot-to-firmware“.
• Do systemd-firstboot boli pridané možnosti: „—image“ pre určenie diskového obrazu na načítanie, „—kernel-command-line“ na inicializáciu súboru /etc/kernel/cmdline, „—root-password-hashed“ na pridelenie hash hesla root a „—delete-root-password“ na odstránenie hesla root.

Zdroj: opennet.ru