Издање системд систем менаџера 252 са подршком за УКИ (Јединствена слика кернела).

Након пет месеци развоја, представљено је издање систем менаџера системд 252. Кључна промена у новој верзији била је интеграција подршке за модернизовани процес покретања, који вам омогућава да проверите не само кернел и боотлоадер, већ и компоненте основног системског окружења коришћењем дигиталних потписа.

Предложени метод подразумева коришћење обједињене слике кернела УКИ (Унифиед Кернел Имаге) приликом учитавања, која комбинује руковалац за учитавање кернела из УЕФИ (УЕФИ боот стуб), слику језгра Линука и инитрд системско окружење учитано у меморију, који се користи за почетну иницијализацију у фази пре монтирања основног ФС-а. УКИ слика је упакована као једна извршна датотека у ПЕ формату, која се може учитати помоћу традиционалних покретача или позвати директно из УЕФИ фирмвера. Када се позове из УЕФИ-ја, могуће је проверити интегритет и поузданост дигиталног потписа не само кернела, већ и садржаја инитрд-а.

Да би се израчунали параметри ТПМ ПЦР (Регистар конфигурације платформе модула поуздане платформе) који се користе за праћење интегритета и генерисање дигиталног потписа УКИ слике, укључена је нова помоћна системска мера. Јавни кључ и пратеће ПЦР информације које се користе у потпису могу се уградити директно у слику за покретање УКИ (кључ и потпис се чувају у ПЕ датотеци у пољима '.пцрсиг' и '.пцркеи') и екстраховати из ње екстерно или интерне комуналије.

Конкретно, услужни програми системд-цриптсетуп, системд-цриптенролл и системд-црдс су прилагођени да користе ове информације, помоћу којих можете осигурати да су шифроване партиције диска везане за дигитално потписано језгро (у овом случају, приступ шифрованој партицији се пружа само ако је УКИ слика прошла верификацију дигиталним потписом на основу параметара који се налазе у ТПМ-у).

Поред тога, укључен је услужни програм системд-пцрпхасе, који вам омогућава да контролишете везивање различитих фаза покретања за параметре који се налазе у меморији криптопроцесора који подржавају ТПМ 2.0 спецификацију (на пример, можете учинити да кључ за дешифровање ЛУКС2 партиције буде доступан само у инитрд слику и блокирати приступ њој у каснијим фазама преузимања).

Неке друге промене:

• Осигурава да је подразумевани локални стандард Ц.УТФ-8 осим ако у поставкама није наведен други језик.
• Сада је могуће извршити комплетну операцију унапред подешеног сервиса („системцтл пресет“) током првог покретања. Омогућавање унапред подешених вредности у време покретања захтева изградњу са опцијом „-Дфирст-боот-фулл-пресет“, али се планира да буде подразумевано омогућено у будућим издањима.
• Јединице за управљање корисницима укључују контролер ресурса ЦПУ-а, што је омогућило да се осигура да се подешавања ЦПУВеигхт-а примењују на све јединице исечака које се користе за поделу система на делове (апп.слице, бацкгроунд.слице, сессион.слице) како би се изоловали ресурси између различите корисничке услуге, које се такмиче за ресурсе процесора. ЦПУВеигхт такође подржава вредност „идле“ за активирање одговарајућег режима обезбеђивања ресурса.
• У привременим („пролазним“) јединицама и у услужном програму системд-репарт, замена подешавања је дозвољена креирањем падајућих датотека у /етц/системд/систем/наме.д/ директоријуму.
• За системске слике, постављена је заставица са завршеном подршком, која утврђује ову чињеницу на основу вредности новог параметра „СУППОРТ_ЕНД=“ у датотеци /етц/ос-релеасе.
• Додате поставке „ЦондитионЦредентиал=” и „АссертЦредентиал=”, које се могу користити за игнорисање или рушење јединица ако одређени акредитиви нису присутни у систему.
• Додата подешавања „ДефаултСмацкПроцессЛабел=” и „ДефаултДевицеТимеоутСец=” у систем.цонф и усер.цонф да дефинишемо подразумевани ниво безбедности СМАЦК-а и временско ограничење за активацију јединице.
• У подешавањима „ЦондитионФирмваре=” и „АссертФирмваре=” додата је могућност да се специфицирају појединачна СМБИОС поља, на пример, за покретање јединице само ако поље /сис/цласс/дми/ид/боард_наме садржи вредност „Цустом Боард“, можете одредити „ЦондитионФирмваре=смбиос“ -фиелд(боард_наме = „Цустом Боард“)“.
• Током процеса иницијализације (ПИД 1), могућност увоза акредитива из СМБИОС поља (Тип 11, „ОЕМ вендор стрингс“) је додата као додатак њиховој дефиницији преко кему_фвцфг, што поједностављује давање акредитива виртуелним машинама и елиминише потреба за алатима треће стране као што су цлоуд -инит и игнитион.
• Током искључивања, логика за демонтажу виртуелних система датотека (проц, сис) је промењена и информације о процесима који блокирају демонтажу система датотека се чувају у евиденцији.
• Филтер системског позива (СистемЦаллФилтер) подразумевано дозвољава приступ системском позиву рисцв_флусх_ицацхе.
• Сд-боот боотлоадер додаје могућност покретања у мешовитом режиму, у којем 64-битни Линук кернел покреће 32-битни УЕФИ фирмвер. Додата експериментална могућност аутоматске примене СецуреБоот кључева из датотека пронађених у ЕСП-у (ЕФИ системска партиција).
• Додате су нове опције у помоћни програм за боотцтл: „—све архитектуре“ за инсталирање бинарних датотека за све подржане ЕФИ архитектуре, „—роот=“ и „—имаге=“ за рад са директоријумом или имиџом диска, „—инсталл-соурце =” за дефинисање извора за инсталацију, „-ефи-боот-оптион-десцриптион=" за контролу имена уноса за покретање.
• Команда 'лист-аутомоунтс' је додата услужном програму системцтл да прикаже листу аутоматски монтираних директоријума и опцију "--имаге=" за извршавање команди у односу на наведену слику диска. Додате опције "--стате=" и "--типе=" у команде 'схов' и 'статус'.
• системд-нетворкд је додао опције “ТЦПЦонгестионЦонтролАлгоритхм=” да изаберете алгоритам за контролу загушења ТЦП, “КеепФилеДесцриптор=” да сачувате дескриптор датотеке ТУН/ТАП интерфејса, “НетЛабел=” да подесите НетЛабелс, “РапидЦоммит=” да убрза конфигурацију преко ДХЦПв6 (РФЦ 3315). Параметар “РоутеТабле=” омогућава специфицирање имена табела рутирања.
• системд-нспавн дозвољава употребу релативних путања датотека у опцијама "--бинд=" и "--оверлаи=". Додата подршка за параметар 'роотидмап' опцији "--бинд=" да се ИД роот корисника у контејнеру повеже са власником монтираног директоријума на страни хоста.
• системд-ресолвед подразумевано користи ОпенССЛ као позадину шифровања (подршка за гнутлс је задржана као опција). Неподржани ДНССЕЦ алгоритми се сада третирају као небезбедни уместо да враћају грешку (СЕРВФАИЛ).
• системд-сисусерс, системд-тмпфилес и системд-сисцтл имплементирају могућност преноса поставки кроз механизам за складиштење акредитива.
• Додата команда 'цомпаре-версионс' за системд-анализе за упоређивање стрингова са бројевима верзија (слично као 'рпмдев-верцмп' и 'дпкг --цомпаре-версионс'). Додата могућност филтрирања јединица према маски команди 'системд-анализе думп'.
• Приликом избора вишестепеног режима спавања (суспенд-па-хибернате), време проведено у режиму приправности се сада бира на основу предвиђања преосталог века батерије. Тренутни прелазак у режим спавања се дешава када је батерија напуњена мање од 5%.
• Нови режим излаза "-о схорт-делта" је додат у 'јоурналцтл', који приказује временску разлику између различитих порука у дневнику.
• системд-репарт додаје подршку за креирање партиција са системом датотека Скуасхфс и партиција за дм-верити, укључујући и дигиталне потписе.
• Додато је подешавање „СтопИдлеСессионСец=" на системд-логинд да прекине неактивну сесију након одређеног временског ограничења.
• Системд-цриптенролл је додао опцију "--унлоцк-кеи-филе=" за издвајање кључа за дешифровање из датотеке уместо да тражи од корисника.
• Сада је могуће покренути услужни програм системд-гровфс у окружењима без удев-а.
• системд-бацклигхт има побољшану подршку за системе са више графичких картица.
• Лиценца за примере кода дате у документацији је промењена из ЦЦ0 у МИТ-0.

Промене које нарушавају компатибилност:

• Када проверавате број верзије кернела помоћу директиве ЦондитионКернелВерсион, сада се користи једноставно поређење стрингова у операторима '=' и '!=', а ако оператор поређења уопште није наведен, глоб-маск подударање се може користити помоћу знакови '*', '?' И '[', ']'. Да бисте упоредили верзије стила стверсцмп(), користите операторе '<', '>', '<=' и '>='.
• Ознака СЕЛинук која се користи за проверу приступа из датотеке јединице се сада чита у тренутку учитавања датотеке, а не у време провере приступа.
• Услов „ЦондитионФирстБоот“ се сада покреће при првом покретању система само директно у фази покретања и враћа „фалсе“ када се позивају јединице након што је покретање завршено.
• У 2024, системд планира да престане да подржава механизам за ограничавање ресурса цгроуп в1, који је застарео у системд издању 248. Администраторима се саветује да унапред воде рачуна о миграцији услуга заснованих на цгроуп в2 на цгроуп в1. Кључна разлика између цгроупс в2 и в1 је употреба заједничке хијерархије цгроупс за све типове ресурса, уместо засебних хијерархија за доделу ЦПУ ресурса, за регулисање потрошње меморије и за И/О. Одвојене хијерархије доводе до потешкоћа у организовању интеракције између руковалаца и до додатних трошкова ресурса кернела када се примењују правила за процес који се референцира у различитим хијерархијама.
• У другој половини 2023. планирамо да прекинемо подршку за подељене хијерархије директоријума, где се /уср монтира одвојено од корена, или су /бин и /уср/бин, /либ и /уср/либ одвојени.

Извор: опеннет.ру