ProHoster > Blog > lajme në internet > Lëshimi i systemd system manager 252 me mbështetje UKI (Unified Kernel Image).

Lëshimi i systemd system manager 252 me mbështetje UKI (Unified Kernel Image).

Pas pesë muajsh zhvillimi, u prezantua versioni i menaxherit të sistemit systemd 252 Ndryshimi kryesor në versionin e ri ishte integrimi i mbështetjes për një proces të modernizuar të nisjes, i cili ju lejon të verifikoni jo vetëm kernelin dhe ngarkuesin, por edhe komponentët. të mjedisit bazë të sistemit duke përdorur nënshkrime dixhitale.

Metoda e propozuar përfshin përdorimin e një imazhi të unifikuar të kernelit UKI (Unified Kernel Image) gjatë ngarkimit, i cili kombinon një trajtues për ngarkimin e kernelit nga UEFI (UEFI boot stub), një imazh të kernelit Linux dhe initrd, një mjedis sistemi i ngarkuar në memorie, i përdorur për inicializim para montimit të sistemit të skedarëve rrënjë. Imazhi UKI është i paketuar si një skedar i vetëm ekzekutues në formatin PE, i cili mund të ngarkohet duke përdorur ngarkues boot tradicionalë ose të thirret direkt nga firmware-i UEFI. Kur thirret nga UEFI, integriteti dhe autenticiteti jo vetëm i bërthamës, por edhe i përmbajtjes së initrd mund të verifikohet duke përdorur një nënshkrim dixhital.

PĂ«r tĂ« llogaritur parametrat e regjistrave tĂ« TPM PCR (Trusted Platform Module Platform Configuration Register) qĂ« pĂ«rdoren pĂ«r tĂ« monitoruar integritetin dhe pĂ«r tĂ« gjeneruar njĂ« nĂ«nshkrim dixhital tĂ« imazhit UKI, pĂ«rfshihet njĂ« masĂ« e re e sistemit tĂ« shĂ«rbimeve. ÇelĂ«si publik dhe informacioni shoqĂ«rues PCR i pĂ«rdorur nĂ« nĂ«nshkrim mund tĂ« futen direkt nĂ« imazhin e nisjes UKI (çelĂ«si dhe nĂ«nshkrimi ruhen nĂ« njĂ« skedar PE nĂ« fushat '.pcrsig' dhe '.pcrkey') dhe tĂ« nxirren prej tij nga jashtĂ« ose shĂ«rbimet e brendshme.

Në veçanti, shërbimet systemd-cryptenroll, systemd-cryptenroll dhe systemd-creds janë përshtatur për të përdorur këtë informacion, me të cilin mund të siguroheni që ndarjet e enkriptuara të diskut janë të lidhura me një kernel të nënshkruar në mënyrë dixhitale (në këtë rast, aksesi në ndarjen e koduar ofrohet vetëm nëse imazhi UKI ka kaluar verifikimin me nënshkrim dixhital bazuar në parametrat e vendosur në TPM).

Për më tepër, është përfshirë mjeti systemd-pcrphase, i cili ju lejon të kontrolloni lidhjen e fazave të ndryshme të nisjes me parametrat e vendosur në memorien e kriptoprocesorëve që mbështesin specifikimin TPM 2.0 (për shembull, mund ta bëni çelësin e deshifrimit të ndarjes LUKS2 të disponueshëm vetëm në imazhin e parë dhe bllokoni aksesin në të në shkarkimet e fazave të mëvonshme).

Disa ndryshime të tjera:

  • Siguron qĂ« vendndodhja e parazgjedhur Ă«shtĂ« C.UTF-8, pĂ«rveç nĂ«se specifikohet njĂ« vend tjetĂ«r nĂ« cilĂ«simet.
  • Tani Ă«shtĂ« e mundur tĂ« kryhet njĂ« operacion i plotĂ« i paravendosjes sĂ« shĂ«rbimit (“systemctl paravendosja”) gjatĂ« nisjes sĂ« parĂ«. Aktivizimi i paracaktimit nĂ« kohĂ«n e nisjes kĂ«rkon ndĂ«rtim me opsionin "-Dfirst-boot-full-preset", por Ă«shtĂ« planifikuar tĂ« aktivizohet si parazgjedhje nĂ« publikimet e ardhshme.
  • NjĂ«sitĂ« e menaxhimit tĂ« pĂ«rdoruesve pĂ«rfshijnĂ« njĂ« kontrollues tĂ« burimeve tĂ« CPU, i cili bĂ«ri tĂ« mundur qĂ« tĂ« sigurohet qĂ« cilĂ«simet e peshĂ«s sĂ« CPU tĂ« aplikohen nĂ« tĂ« gjitha njĂ«sitĂ« e pjesĂ«ve tĂ« pĂ«rdorura pĂ«r tĂ« ndarĂ« sistemin nĂ« pjesĂ« (app.slice, background.slice, session.slice) pĂ«r tĂ« izoluar burimet ndĂ«rmjet shĂ«rbime tĂ« ndryshme pĂ«rdoruesish, duke konkurruar pĂ«r burimet e CPU-sĂ«. CPUWeight gjithashtu mbĂ«shtet vlerĂ«n "boshe" pĂ«r tĂ« aktivizuar mĂ«nyrĂ«n e duhur tĂ« sigurimit tĂ« burimeve.
  • NĂ« njĂ«sitĂ« e pĂ«rkohshme ("kalimtare") dhe nĂ« programin systemd-repart, cilĂ«simet mbizotĂ«ruese lejohen duke krijuar skedarĂ« lĂ«shues nĂ« drejtorinĂ« /etc/systemd/system/name.d/.
  • PĂ«r imazhet e sistemit, vendoset flamuri me fund tĂ« mbĂ«shtetjes, duke pĂ«rcaktuar kĂ«tĂ« fakt bazuar nĂ« vlerĂ«n e parametrit tĂ« ri "SUPPORT_END=" nĂ« skedarin /etc/os-release.
  • U shtuan cilĂ«simet "ConditionCredential=" dhe "AssertCredential=", tĂ« cilat mund tĂ« pĂ«rdoren pĂ«r tĂ« injoruar ose prishur njĂ«sitĂ« nĂ«se kredenciale tĂ« caktuara nuk janĂ« tĂ« pranishme nĂ« sistem.
  • U shtuan cilĂ«simet “DefaultSmackProcessLabel=” dhe “DefaultDeviceTimeoutSec=” te system.conf dhe user.conf pĂ«r tĂ« pĂ«rcaktuar nivelin e parazgjedhur tĂ« sigurisĂ« SMACK dhe kohĂ«n e aktivizimit tĂ« njĂ«sisĂ«.
  • NĂ« cilĂ«simet "ConditionFirmware=" dhe "AssertFirmware=", Ă«shtĂ« shtuar aftĂ«sia pĂ«r tĂ« specifikuar fusha individuale SMBIOS, pĂ«r shembull, pĂ«r tĂ« nisur njĂ« njĂ«si vetĂ«m nĂ«se fusha /sys/class/dmi/id/board_name pĂ«rmban vlerĂ«n "Custom Bordi", mund tĂ« specifikoni "ConditionFirmware=smbios" -field(emri_board = "Parla e personalizuar")".
  • Procesi i inicializimit (PID 1) tani ka aftĂ«sinĂ« tĂ« importojĂ« kredencialet nga fushat SMBIOS (Lloji 11, "Vargjet e shitĂ«sit OEM") pĂ«rveç pĂ«rcaktimit tĂ« tyre nĂ«pĂ«rmjet qemu_fwcfg, duke e bĂ«rĂ« mĂ« tĂ« lehtĂ« dhĂ«nien e kredencialeve. makina virtuale dhe eliminon nevojĂ«n pĂ«r mjete tĂ« palĂ«ve tĂ« treta si cloud-init dhe ndezja.
  • GjatĂ« mbylljes, logjika pĂ«r çmontimin e sistemeve tĂ« skedarĂ«ve virtualĂ« (proc, sys) Ă«shtĂ« ndryshuar dhe informacioni nĂ« lidhje me proceset qĂ« bllokojnĂ« çmontimin e sistemeve tĂ« skedarĂ«ve ruhen nĂ« regjistĂ«r.
  • Filtri i thirrjeve tĂ« sistemit (SystemCallFilter) lejon hyrjen nĂ« thirrjen e sistemit riscv_flush_icache si parazgjedhje.
  • Ngarkuesi i nisjes sd-boot tani ka aftĂ«sinĂ« tĂ« nisĂ« nĂ« modalitetin e pĂ«rzier, nĂ« tĂ« cilin bĂ«rthama 64-bitĂ«she Linux Nis nga firmware UEFI 32-bit. ËshtĂ« shtuar njĂ« veçori eksperimentale pĂ«r aplikimin automatik tĂ« çelĂ«save SecureBoot nga skedarĂ«t qĂ« gjenden nĂ« ESP (ndarja e sistemit EFI).
  • Opsionet e reja janĂ« shtuar nĂ« programin bootctl: "—all-architectures" pĂ«r instalimin e binarĂ«ve pĂ«r tĂ« gjitha arkitekturat EFI tĂ« mbĂ«shtetura, "—root=" dhe "—image=" pĂ«r tĂ« punuar me njĂ« direktori ose imazh tĂ« diskut, "—install-source =” pĂ«r pĂ«rcaktimin e burimit pĂ«r instalim, "-efi-boot-option-description=" pĂ«r tĂ« kontrolluar emrat e hyrjeve tĂ« nisjes.
  • Komanda 'list-automounts' Ă«shtĂ« shtuar nĂ« programin systemctl pĂ«r tĂ« shfaqur njĂ« listĂ« tĂ« drejtorive tĂ« montuara automatikisht dhe opsionin "--image=" pĂ«r tĂ« ekzekutuar komandat nĂ« lidhje me imazhin e diskut tĂ« specifikuar. U shtuan opsionet "--state=" dhe "--type=" nĂ« komandat "show" dhe "status".
  • systemd-networkd shtoi opsionet “TCPCongestionControlAlgorithm=” pĂ«r tĂ« zgjedhur algoritmin e kontrollit tĂ« mbingarkesĂ«s TCP, “KeepFileDescriptor=” pĂ«r tĂ« ruajtur pĂ«rshkruesin e skedarĂ«ve tĂ« ndĂ«rfaqeve TUN/TAP, “NetLabel=” pĂ«r tĂ« vendosur NetLabels, “RapidCommit=” pĂ«r tĂ« pĂ«rshpejtuar konfigurimin nĂ«pĂ«rmjet DD (RFC 6). Parametri "RouteTable=" ju lejon tĂ« specifikoni emrat e tabelave tĂ« rrugĂ«timit.
  • systemd-nspawn lejon pĂ«rdorimin e shtigjeve relative tĂ« skedarĂ«ve nĂ« opsionet "--bind=" dhe "--overlay=". Shtoi mbĂ«shtetje pĂ«r parametrin 'rootidmap' nĂ« opsionin "--bind=" pĂ«r tĂ« lidhur ID-nĂ« e pĂ«rdoruesit rrĂ«njĂ« nĂ« kontejner me pronarin e drejtorisĂ« sĂ« montuar nĂ« anĂ«n e hostit.
  • systemd-resolved pĂ«rdor si parazgjedhje OpenSSL si bazĂ«n e tij tĂ« enkriptimit (mbĂ«shtetja e gnutls ruhet si opsion). Algoritmet e pambĂ«shtetur DNSSEC tani trajtohen si tĂ« pasigurta nĂ« vend qĂ« tĂ« kthejnĂ« njĂ« gabim (SERVFAIL).
  • systemd-sysusers, systemd-tmpfiles dhe systemd-sysctl zbatojnĂ« aftĂ«sinĂ« pĂ«r tĂ« transferuar cilĂ«simet pĂ«rmes njĂ« mekanizmi tĂ« ruajtjes sĂ« kredencialeve.
  • U shtua komanda 'krahaso-versionet' nĂ« systemd-analize pĂ«r tĂ« krahasuar vargjet me numrat e versioneve (tĂ« ngjashme me 'rpmdev-vercmp' dhe 'dpkg --krahaso-versione'). U shtua aftĂ«sia pĂ«r tĂ« filtruar njĂ«sitĂ« me maskĂ« nĂ« komandĂ«n 'systemd-analize dump'.
  • Kur zgjidhni njĂ« modalitet tĂ« fjetjes me shumĂ« faza (suspend-past-hibernate), koha e kaluar nĂ« modalitetin e gatishmĂ«risĂ« tani zgjidhet bazuar nĂ« parashikimin e jetĂ«gjatĂ«sisĂ« sĂ« mbetur tĂ« baterisĂ«. Kalimi i menjĂ«hershĂ«m nĂ« modalitetin e fjetjes ndodh kur mbetet mĂ« pak se 5% e ngarkimit tĂ« baterisĂ«.
  • NjĂ« modalitet i ri i daljes "-o short-delta" Ă«shtĂ« shtuar nĂ« 'journalctl', duke shfaqur diferencĂ«n kohore midis mesazheve tĂ« ndryshme nĂ« regjistĂ«r.
  • systemd-repart shton mbĂ«shtetje pĂ«r krijimin e ndarjeve me sistemin e skedarĂ«ve Squashfs dhe ndarjeve pĂ«r dm-verity, duke pĂ«rfshirĂ« nĂ«nshkrimet dixhitale.
  • U shtua cilĂ«simi "StopIdleSessionSec=" nĂ« systemd-logind pĂ«r t'i dhĂ«nĂ« fund njĂ« sesioni joaktiv pas njĂ« kohe tĂ« caktuar.
  • Systemd-cryptenroll ka shtuar njĂ« opsion "--unlock-key-file=" pĂ«r tĂ« nxjerrĂ« çelĂ«sin e deshifrimit nga njĂ« skedar nĂ« vend qĂ« tĂ« nxisĂ« pĂ«rdoruesin.
  • Tani Ă«shtĂ« e mundur tĂ« ekzekutohet programi systemd-growfs nĂ« mjedise pa udev.
  • systemd-backlight ka pĂ«rmirĂ«suar mbĂ«shtetjen pĂ«r sistemet me karta grafike tĂ« shumta.
  • Licenca pĂ«r shembujt e kodeve tĂ« dhĂ«na nĂ« dokumentacion Ă«shtĂ« ndryshuar nga CC0 nĂ« MIT-0.

Ndryshimet që prishin përputhshmërinë:

  • Kur kontrolloni numrin e versionit tĂ« kernelit duke pĂ«rdorur direktivĂ«n ConditionKernelVersion, tani pĂ«rdoret njĂ« krahasim i thjeshtĂ« i vargjeve nĂ« operatorĂ«t '=' dhe '!=', dhe nĂ«se operatori i krahasimit nuk Ă«shtĂ« fare i specifikuar, mund tĂ« pĂ«rdoret pĂ«rputhja e maskĂ«s glob duke pĂ«rdorur personazhet '*', '?' Dhe '[', ']'. PĂ«r tĂ« krahasuar versionet e stilit stverscmp(), pĂ«rdorni operatorĂ«t '<', '>', '<=' dhe '>='.
  • EtiketĂ« SELinux, i pĂ«rdorur pĂ«r tĂ« kontrolluar aksesin nga njĂ« skedar njĂ«sie, tani lexohet nĂ« fazĂ«n e ngarkimit tĂ« skedarit, nĂ« vend tĂ« fazĂ«s sĂ« kontrollit tĂ« aksesit.
  • Kushti "ConditionFirstBoot" aktivizohet tani nĂ« nisjen e parĂ« tĂ« sistemit vetĂ«m drejtpĂ«rdrejt nĂ« fazĂ«n e nisjes dhe kthen "false" kur thĂ«rret njĂ«sitĂ« pas pĂ«rfundimit tĂ« nisjes.
  • NĂ« vitin 2024, systemd planifikon tĂ« ndalojĂ« mbĂ«shtetjen e mekanizmit kufizues tĂ« burimeve cgroup v1, i cili u zhvlerĂ«sua nĂ« versionin systemd 248. AdministratorĂ«t kĂ«shillohen tĂ« kujdesen paraprakisht pĂ«r migrimin e shĂ«rbimeve tĂ« bazuara nĂ« cgroup v2 nĂ« cgroup v1. Dallimi kryesor midis cgroups v2 dhe v1 Ă«shtĂ« pĂ«rdorimi i njĂ« hierarkie tĂ« pĂ«rbashkĂ«t cgroups pĂ«r tĂ« gjitha llojet e burimeve, nĂ« vend tĂ« hierarkive tĂ« veçanta pĂ«r shpĂ«rndarjen e burimeve tĂ« CPU, pĂ«r rregullimin e konsumit tĂ« memories dhe pĂ«r I/O. HierarkitĂ« e ndara çojnĂ« nĂ« vĂ«shtirĂ«si nĂ« organizimin e ndĂ«rveprimit midis mbajtĂ«sve dhe nĂ« kosto shtesĂ« tĂ« burimeve tĂ« kernelit kur zbatohen rregullat pĂ«r njĂ« proces tĂ« referuar nĂ« hierarki tĂ« ndryshme.
  • NĂ« gjysmĂ«n e dytĂ« tĂ« vitit 2023, ne planifikojmĂ« t'i japim fund mbĂ«shtetjes pĂ«r hierarkitĂ« e drejtorive tĂ« ndara, ku /usr montohet veçmas nga rrĂ«nja, ose /bin dhe /usr/bin, /lib dhe /usr/lib janĂ« tĂ« ndara.

Burimi: opennet.ru

Bleni njĂ« host tĂ« besueshĂ«m pĂ«r faqet me mbrojtje DDoS, serverĂ« VPS VDS đŸ”„ Bleni hosting tĂ« besueshĂ«m tĂ« faqeve tĂ« internetit me mbrojtje DDoS, servera VPS VDS | ProHoster