systemd-homed presenterad för hantering av bärbara hemkataloger

Lennart Poettering år (PDF) på konferensen All Systems Go 2019, en ny komponent av systemhanteraren systemd - systemd-homed, som syftar till att säkerställa portabiliteten av användarnas hemkataloger och deras separation från systeminställningarna. Huvudidén med projektet är att skapa självförsörjande miljöer för användardata som kan flyttas mellan olika system utan att behöva oroa sig för synkronisering av identifierare och integritet.

Hemkatalogens miljö levereras i form av en monterbar avbildningsfil, där data är krypterade. Användarens inloggningsuppgifter är kopplade till hemkatalogen, istället för till systeminställningarna - istället för /etc/passwd och /etc/shadow används profil i JSON-format, lagrad i katalogen ~/ .identity. Profilen anger de inställningar som krävs för användarens funktion, inklusive information om namn, hash av lösenordet, krypteringsnycklar, kvoter och tillhandahållna resurser. Profilen kan signeras med en digital signatur lagrad på en extern Yubikey.

Inställningarna kan också inkludera ytterligare information, såsom nycklar för SSH, data för biometrisk autentisering, bild, e-post, adress, tidszon, språk, begränsningar för processer och minne, ytterligare monteringsflaggor (nodev, noexec, nosuid), information om använda IMAP/SMTP-servrar, information om aktivering av föräldrakontroll, backup-inställningar etc. För att begära och bearbeta inställningar tillhandahålls en API Varlink.

Tilldelning och hantering av UID/GID sker dynamiskt i varje lokal system som hemkatalogen ansluter till. Genom det föreslagna systemet kan användaren ha sin hemkatalog med sig, till exempel på ett USB-minne, och få en arbetsmiljö på vilken dator som helst utan att skapa ett konto (närvaron av en fil med hemkatalogens avbildning leder till syntesen av användaren).

För datakryptering föreslås att använda LUKS2-systemet, men systemd-homed tillåter också andra backend-alternativ, till exempel för okrypterade kataloger, Btrfs, Fscrypt och nätverkspartitioner CIFS. För att hantera portabla kataloger föreslås verktyget homectl, vilket tillåter att skapa och aktivera hemkatalogsbilder samt ändra deras storlek och ställa in lösenord.

På systemnivå stöds arbetet av följande komponenter:

• systemd-homed.service – hanterar hemkatalogen och integrerar JSON-poster direkt i hemkatalogsbilderna;
• pam_systemd – bearbetar parametrar från JSON-profilen vid användarinloggning och tillämpar dem i kontexten av den aktiverade sessionen (genomför autentisering, ställer in miljövariabler osv.);
• systemd-logind.service – bearbetar parametrar från JSON-profilen vid användarinloggning, tillämpar olika resurskontrollinställningar och sätter gränser;
• nss-systemd – NSS-modul för glibc, syntetiserar klassiska NSS-poster baserat på JSON-profilen, vilket ger bakåtkompatibilitet med UNIX API för användarhantering (/etc/password);
• PID 1 – skapar dynamiskt användare (syntetiserar analogt med användning av direktivet DynamicUser i enheter) och gör dem synliga för resten av systemet;
• systemd-userdbd.service – översätter UNIX/glibc NSS-konton till JSON-poster och tillhandahåller ett enhetligt Varlink API för att begära och iterera över poster.

Bland fördelarna med det föreslagna systemet noteras möjligheten att hantera användare när katalogen /etc är monterad i skrivskyddat läge, ingen behov av att synkronisera identifierare (UID/GID) mellan system, användaroberoende från specifika datorer, blockering av användardata under övergång till viloläge, tillämpning av kryptering och moderna autentiseringsmetoder. Systemd-homed planeras att inkluderas i huvudversionen av systemd i release 244 eller 245.

Exempel på användarens JSON-profil:

"autoLogin": true,
"binding": {
"15e19cd24e004b949ddaac60c74aa165": {
"fileSystemType": "ext4",
"fileSystemUUID": "758e88c8-5851-4a2a-b98f-e7474279c111",
"gid": 60232,
"homeDirectory": "/home/test",
"imagePath": "/home/test.home",
"luksCipher": "aes",
"luksCipherMode": "xts-plain64",
"luksUUID": "e63581ba-79fa-4226-b9de-1888393f7573",
"luksVolumeKeySize": 32,
"partitionUUID": "41f9ce04-c927-4b74-a981-c669f93eb4dc",
"storage": "luks",
"uid": 60233,
}
},
"disposition": "regular",
"enforcePasswordPolicy": false,
«lastChangeUSec» : 1565951024279735,
«memberOf» : [
«wheel»
],
«privileged» : {
«hashedPassword» : [
«$6$WHBKvAFFT9jKPA4k$OPY4D5…/»
]
},
«signature» : [
{
«data» : «LU/HeVrPZSzi3M3J…==»,
«key» : «——BEGIN PUBLIC KEY——\nMCowBQADK2VwAy…=\n——END PUBLIC KEY——\n»
}
],
«userName» : «test»,
«status» : {
«15e19cf24e004b949dfaac60c74aa165» : {
«goodAuthenticationCounter» : 16,
«lastGoodAuthenticationUSec» : 1566309343044322,
«rateLimitBeginUSec» : 1566309342341723,
«rateLimitCount» : 1,
«state» : «inactive»,
«service» : «io.systemd.Home»,
«diskSize» : 161218667776,
«diskCeiling» : 191371729408,
«diskFloor» : 5242780,
«signedLocally» : true
}
}

Källa: opennet.ru