Utgivning av systemhanteraren systemd 252 med stöd för UKI (Unified Kernel Image)

Efter fem månaders utveckling har lanseringen av systemhanteraren systemd 252 presenterats. Den viktigaste ändringen i den nya versionen är integrationen av stöd för en moderniserad uppstartsprocess, som möjliggör verifikation med hjälp av digitala signaturer inte bara för kärnan och bootloadaren, utan även för komponenter i det grundläggande systemmiljön.

Den föreslagna metoden innebär användning av en enhetlig kärnbild UKI (Unified Kernel Image) vid uppstart, som kombinerar en bootloader för att ladda kärnan från UEFI (UEFI boot stub), en Linux-kärnbild och det initrd-systemmiljö som laddas in i minnet för initialisering innan den grundläggande filsystemet monteras. UKI-bilden presenteras som en enda körbar fil i PE-format, som kan laddas av traditionella bootloaders eller direkt anropas från UEFI-firmware. Vid anrop från UEFI ges möjlighet till integritets- och äkthetskontroll genom digital signatur för både kärnan och innehållet i initrd.

För beräkning av registren TPM PCR (Trusted Platform Module Platform Configuration Register), som används för att kontrollera integriteten och skapa digitala signaturer av UKI-bilder, ingår ett nytt verktyg systemd-measure. Den offentliga nyckeln som används i signaturen och tillhörande information om PCR kan integreras direkt i UPK-bilden (nyckeln och signaturen sparas i en fil i PE-format i fälten ‘.pcrsig’ och ‘.pcrkey’) och extraheras av externa eller interna verktyg.

Även för att använda denna information har verktygen systemd-cryptsetup, systemd-cryptenroll och systemd-creds anpassats, vilket gör det möjligt att knyta krypterade diskpartitioner till den digitalt signerade kärnan (i detta fall ges tillgång till den krypterade partitionen endast om UKI-bilden har verifierats med digital signatur baserat på parametrarna som finns i TPM).

Dessutom har verktyget systemd-pcrphase inkluderats, vilket gör det möjligt att hantera kopplingen av olika uppstartsstadier till parametrar som lagras i minnet hos kryptoprocessorer som stöder TPM 2.0-specifikationen (till exempel kan nyckeln för att dekryptera LUKS2-partitionen göras tillgänglig endast i initrd-bilden och blockera åtkomst vid senare uppstarts stadier).

Några andra förändringar:

• Standard lokal C.UTF-8 används om ingen annan lokal definieras i inställningarna.
• Möjligheten att utföra en fullständig förinställning av tjänster (‘systemctl preset’) vid första uppstarten har införts. För att aktivera förinställningen vid uppstart krävs en byggnation med alternativet ‘-Dfirst-boot-full-preset’, men det planeras att aktiveras som standard i framtida utgåvor.
• I enheterna för användarhantering har en CPU-resurskontroller använts, vilket möjliggör tillämpning av CPUWeight-inställningarna på alla slice-enheter som används för att dela upp systemet i delar (app.slice, background.slice, session.slice) för att isolera resurser mellan olika användartjänster som konkurerar om CPU-resurser. CPUWeight har också fått stöd för värdet ‘idle’ för att aktivera motsvarande resursleveransläge.
• För tillfälliga (‘transient’) enheter och i verktyget systemd-repart tillåts överskrivning av inställningar genom att skapa drop-in-filer i katalogen /etc/systemd/system/namn.d/.
• För systemavbilder har flaggan ‘support-ended’ införts, vilket definieras baserat på värdet av den nya parametern ‘SUPPORT_END=’ i filen /etc/os-release.
• Inställningarna ‘ConditionCredential=’ och ‘AssertCredential=’ har lagts till, vilket kan användas för att ignorera eller avbryta enheter vid brist på vissa autentiseringsuppgifter i systemet.
• Inställningarna ‘DefaultSmackProcessLabel=’ och ‘DefaultDeviceTimeoutSec=’ har lagts till i system.conf och user.conf för att definiera SMACK-säkerhetsnivå och enhetens aktiveringstidsgräns som används som standard.
• I inställningarna ‘ConditionFirmware=’ och ‘AssertFirmware=’ har möjligheten att ange specifika SMBIOS-fält tillkommit, till exempel för att starta enheten endast om fältet /sys/class/dmi/id/board_name innehåller värdet ‘Custom Board’, kan man ange ‘ConditionFirmware=smbios-field(board_name = ‘Custom Board’)’.
• Under initieringsprocessen (PID 1) har möjligheten att importera autentiseringsuppgifter från SMBIOS-fält (Typ 11, ‘OEM vendor strings’) lagts till, utöver deras definition genom qemu_fwcfg, vilket förenklar tillhandahållandet av autentiseringsuppgifter. virtuella maskiner och gör det möjligt att undvika tredjepartsverktyg som cloud-init och ignition.
• Vid avstängning har logiken för avmontering av virtuella filsystem (proc, sys) ändrats och information om processerna som blockerar avmontering av filsystem har sparats i loggen.
• I filtret för systemanrop (SystemCallFilter) är åtkomst till systemanropet riscv_flush_icache tillåten som standard.
• I bootloadern sd-boot har möjligheten att starta i blandat läge lagts till, där en 64-bitars Linux-kärna startas från en 32-bitars UEFI-firmware. En experimentell funktion för automatisk tillämpning av SecureBoot-nycklar från filer som finns i ESP (EFI-systempartition) har också lagts till.
• Nya alternativ har lagts till i verktyget bootctl: «—all-architectures» för att installera binärfiler för alla stödda EFI-arkitekturer, «—root=» och «—image=» för att arbeta med en katalog eller diskavbild, «—install-source=» för att definiera installationskälla, samt «—efi-boot-option-description=» för att hantera namn på startposter.
• I systemctl har kommandot ‘list-automounts’ lagts till för att visa en lista över automatiskt monterade kataloger och alternativet «—image=» för att utföra kommandon kopplade till en angiven diskavbild. Till kommandona ‘show’ och ‘status’ har alternativen «—state=» och «—type=» lagts till.
• I systemd-networkd har alternativ som «TCPCongestionControlAlgorithm=» lagts till för att välja TCP-överbelastningsalgoritm, «KeepFileDescriptor=» för att bevara filbeskrivare för TUN/TAP-gränssnitt, «NetLabel=» för att sätta NetLabel-märken, och «RapidCommit=» för att påskynda konfiguration genom DHCPv6 (RFC 3315). I parametern «RouteTable=» är det nu tillåtet att ange namn på rutningstabeller.
• I systemd-nspawn är användning av relativa filvägar tillåtna i alternativen «—bind=» och «—overlay=». I alternativet «—bind=» har stöd för parametern ‘rootidmap’ lagts till för att binda root-användarens ID i containern till ägaren av den monterade katalogen på värdsystemet.
• I systemd-resolved används nu OpenSSL-paketet som standardbackend för kryptering (stöd för gnutls bibehålls som ett alternativ). Ej stödda DNSSEC-algoritmer behandlas nu som osäkra istället för att returnera ett fel (SERVFAIL).
• I systemd-sysusers, systemd-tmpfiles och systemd-sysctl har möjligheten att överföra inställningar via mekanismen för datalagring genomförts.
• Till verktyget systemd-analyze har kommandot ‘compare-versions’ lagts till för att jämföra strängar med versionsnummer (i likhet med ‘rpmdev-vercmp’ och ‘dpkg —compare-versions’). Till kommandot ‘systemd-analyze dump’ har möjligheten lagts till att filtrera enheter baserat på mask.
• Vid val av flerfasigt viloläge (suspend-then-hibernate, övergång till viloläge efter vänteläge) väljs tiden i vänteläge baserat på prognosen för återstående batteritid. Den omedelbara övergången till viloläge sker när mindre än 5% av batteriladdningen återstår.
• En ny utskriftsläge «-o short-delta» har lagts till i ‘journalctl’, som visar tidsdifferensen mellan olika meddelanden i loggen.
• Stöd för att skapa partitioner med Filsystemet Squashfs och partitioner för dm-verity, inklusive med digitala signaturer, har lagts till i systemd-repart.
• En inställning «StopIdleSessionSec=» har lagts till i systemd-logind för att avsluta inaktiva sessioner efter att en angiven timeout har gått ut.
• Alternativet «—unlock-key-file=» har lagts till i systemd-cryptenroll för att extrahera dekrypteringsnyckeln från en fil istället för via användarens fråga.
• Möjlighet att köra systemd-growfs i miljöer utan udev har säkerställts.
• Förbättrat stöd för system med flera grafikkort i systemd-backlight.
• Licensen för de exempel på kod som tas med i dokumentationen har ändrats från CC0 till MIT-0.

Ändringar som bryter kompatibilitet:

• Vid kontroll av kärnans versionsnummer med direktivet ConditionKernelVersion tillämpas nu enkel strängjämförelse i operatorerna ‘=’ och ‘!=’. Om ingen jämförelseoperator alls anges kan glob-mönsterpassning med hjälp av tecknen ‘*’, ‘?’ och ‘[‘, ‘]’ tillämpas. För jämförelse av versioner i stil med funktionen stverscmp() ska operatorerna ‘’, ‘=’ användas.
• SELinux-märket som används för att kontrollera åtkomst från en enhet-fil läses nu vid filens laddningssteg, inte vid åtkomstkontrollen.
• Villkoret «ConditionFirstBoot» triggars nu vid systemets första uppstart endast direkt under uppstartssteget och returnerar «false» vid anrop av enheter efter att uppstarten har avslutats.
• År 2024 planeras systemd att avsluta stödet för resursbegränsningsmekanismen cgroup v1, som klassificerades som föråldrad i version 248 av systemd. Administratörer rekommenderas att i god tid övergå till cgroup v2 för tjänster knutna till cgroup v1. En nyckelskillnad mellan cgroups v2 och v1 är användningen av en gemensam hierarki av cgroups för alla typer av resurser, istället för separata hierarkier för att fördela CPU-resurser, hantera minnesanvändning och för in- och utdata. Separata hierarkier leder till svårigheter i samarbetet mellan hanterarna och ger ytterligare belastning på kärnans resurser när regler tillämpas på processer som nämns i olika hierarkier.
• Under andra halvan av 2023 planeras stödet för separata kataloghierarkier att upphöra, när /usr monteras separat från rot- eller separerade kataloger som /bin och /usr/bin, /lib och /usr/lib.

Källa: opennet.ru