systemd 259: поддръжка за musl, сигурност и промени в ключовете

Informatec Digital » Ресурси » systemd 259: поддръжка за musl, сигурност и промени в ключовете

Със systemd 259 , екосистемата на Linux отново се раздвижва и то доста значително. Тази версия на най-широко използваната системна рамка в GNU/Linux въвежда дълбоки промени в съвместимостта, сигурността и управлението на ресурсите, които далеч надхвърлят обикновената рутинна актуализация. Въпреки че много от тези нови функции са технически, те имат преки последици както за дистрибуциите, администраторите, така и за напредналите потребители.

В тази версия, systemd прави ключов обрат, като отваря вратата към musl като алтернатива на glibc, затяга минималните му изисквания, засилва позицията си за сигурно зареждане с TPM 2.0, продължава да промотира run0 като заместител на sudo и усъвършенства поведението на systemd-oomd за по-добър контрол върху консумацията на памет. Всичко това, като същевременно запазва обширния и противоречив характер, който съпътства проекта от години.

systemd, централната и противоречива част от съвременния Linux

Днес systemd е системната рамка по подразбиране в повечето дистрибуции на GNU/Linux с общо предназначение: тя управлява зареждането, услугите, регистрирането, потребителските сесии и множество задачи от ниско ниво, които преди това бяха разпределени в множество инструменти. Философията ѝ за интегриране на все повече и повече функции ѝ е придала огромно значение в системата.

Тази способност за централизиране на критични процеси, зависимости и помощни средства доведе до широко разпространение, но и до интензивни дебати в общността. За мнозина това опростява администрирането и стандартизира практиките; за други представлява единна точка на отказ и сложност, която е трудна за одитиране, с твърде много отговорности, концентрирани в един и същ проект.

В продължение на няколко версии темпът на разработка е неистов, с чести издания, добавящи нови компоненти, интерфейси и вътрешни подобрения . systemd 259 се вписва идеално в тази тенденция: той не само носи малки промени, но и стратегически решения, които влияят върху начина, по който се компилират дистрибуциите, как се зареждат системите и как се управляват ресурсите под напрежение.

В този контекст, systemd 259 представлява повратна точка в съвместимостта на C библиотеките, поддръжката на хардуер за сигурност, инструментите за ескалация на привилегиите и изискванията за платформата, допълнително затвърждавайки ролята на systemd в сърцето на операционната система.

Експериментална поддръжка за musl: сбогом на монопола на glibc

Най-значимото развитие е появата на експериментална поддръжка за musl в systemd 259. Досега проектът беше много тясно свързан с glibc, референтната C библиотека за повечето традиционни GNU/Linux дистрибуции.

musl, от своя страна, е лека C библиотека, високо ценена в минималистични системи , контейнери и дистрибуции, ориентирани към ефективност, като Alpine Linux и други варианти, фокусирани върху намаляване на потреблението на ресурси и повърхността за атака. В продължение на години връзката между systemd и musl е била сложна именно поради тази зависимост от glibc.

С тази стъпка, макар и все още в експериментална фаза, systemd вече не е толкова ексклузивен във връзката си с libc . Това отваря реалната възможност за комбиниране на systemd с musl в среди, където преди това са били използвани алтернативни init системи или systemd е бил напълно избягван поради ограничения на съвместимостта.

Появата на тази поддръжка води до значителни вътрешни промени: допусканията за компилация, интерфейсите и специфичните glibc извиквания трябваше да бъдат коригирани, за да се позволи интегрирането на musl без нарушаване на очакваното поведение. В краткосрочен план това изисква интензивно тестване от дистрибутори и напреднали потребители, но полага основите за по-голямо технологично разнообразие в екосистемата на Linux.

Този ход е в отговор и на историческите критики относно „затворения“ характер на systemd в сравнение с други C библиотеки. Въпреки че musl все още не се поддържа на същото ниво на зрялост като glibc в този контекст, фактът, че е извършена работа в тази посока, показва ясно желание за разширяване на хоризонтите и намаляване на твърдите зависимости от класическия GNU стек.

По-сигурно зареждане: само TPM 2.0 за systemd-boot и systemd-stub

Друга съществена промяна в systemd 259 пряко засяга сигурното зареждане на UEFI системи . Компонентите systemd-boot (интегрираният мениджър за зареждане) и systemd-stub (отговорен за улесняване на зареждането в UEFI среди) вече не поддържат TPM 1.2, фокусирайки се изключително върху TPM 2.0.

Идеята зад това решение е да се засили сигурността, като се поддържа само версията на TPM, считана за най-надеждна и актуална . TPM 2.0 предлага подобрени криптографски възможности и по-гъвкава рамка за сценарии като измерено зареждане, проверка на целостта и запечатване на секретни данни, свързани със състоянието на системата.

Недостатъкът е ясен: системите, които все още разчитат на TPM 1.2, няма да получат поддръжка за тези функции . На практика това може да означава смяна на дънната платка или отказ от определени функции за сигурно зареждане, базирани на systemd-boot и systemd-stub, ако хардуерът не е актуализиран.

В много домашни среди обаче Secure Boot и TPM често са деактивирани в Linux инсталациите, както за удобство, така и поради историческите търкания, които са причинили по отношение на съвместимостта на драйверите, алтернативните опции за зареждане или двойните системи с Windows.

Въпреки това, за корпоративни или професионални сценарии, които зависят от защитена верига за зареждане с TPM 2.0 , тази промяна е в съответствие с тенденцията в индустрията: тя опростява кода, като елиминира съвместимостта със стари системи и намалява рисковете, свързани с по-старите криптографски стекове.

run0 наддава на тегло като модерна алтернатива на sudo

Сред инструментите, които предизвикват най-голямо любопитство в екосистемата на systemd, е run0, проектиран като заместител на sudo . Sudo е де факто стандартът за изпълнение на команди с повишени привилегии в Unix-подобни системи от десетилетия, но дизайнът и конфигурацията му носят историческа инерция.

С run0, екипът на systemd търси да предложи по-интегриран и контролиран подход към ескалацията на привилегиитеВерсия 259 включва ключова нова функция: аргументът --empower, което ви позволява да започнете нова сесия с увеличени привилегии, без изрично да променяте правата си към root потребителя.

Философията зад тази опция е допълнително да се намали директното използване на root акаунта , нещо, което сигурността винаги се опитва да избегне или поне да ограничи максимално. Вместо да влизате като root или да злоупотребявате с привилегировани обвивки, се предлага модел, базиран на повишени сесии с по-фин контрол.

Въпреки това, не всички методи за управление на повишени привилегии са създадени еднакви и широкото приемане на run0 все още е в ранен етап . Администраторите и дистрибуторите ще трябва да преценят дали неговият модел е по-подходящ от sudo за техните специфични сценарии, като вземат предвид одита, съвместимостта със съществуващите инструменти и установените политики за достъп.

Във всеки случай, активното развитие на run0 показва, че systemd не се ограничава само до координиране на услуги, а се стреми да обхване повече слоеве от системната администрация, включително ежедневното управление на разрешенията, което досега беше делегирано почти изцяло на външни помощни програми.

systemd-oomd: повече контрол върху процеси, изискващи интензивна памет

По отношение на системната стабилност, systemd 259 засилва ролята на systemd-oomd като мениджър за недостиг на памет . Този компонент е отговорен за реагирането при изчерпване на RAM паметта, като избирателно убива процесите, преди цялата система да замръзне.

Ключовата нова функция е добавянето на свойствата OOMKills и ManagedOOMKills към сервизните единици. Тези свойства ви позволяват да преброите колко процеса са били прекратени от ядрото или от самия systemd-oomd, осигурявайки много по-голяма видимост върху това как се разрешават кризи с паметта.

Тази информация е особено полезна, когато дадено приложение започне да консумира неконтролируемо RAM памет , независимо дали поради течове на памет, неправилни конфигурации или неочаквани натоварвания. Като могат да проследяват колко пъти е бил задействан механизмът „Out-of-Money“ (OOM), администраторите могат да откриват проблемни модели и да коригират ограниченията, преди ситуацията да се повтори.

Идеята е, че системата, вместо да бъде напълно блокирана, избирателно прекратява най-вредните процеси , запазвайки цялостната бързина на реакция. С тези броячи, достъпни от systemd устройствата, става по-лесно да се одитира кои услуги са повтарящите се виновници за критични ситуации.

Взети заедно, подобренията в systemd-oomd засилват ясна тенденция: превръщане на автоматизираното управление на ресурсите в първа линия на защита срещу катастрофални повреди, с по-подробни показатели и по-малко непрозрачни решения за тези, които управляват системата.

Други вътрешни подобрения и съответни промени в systemd 259

Освен основните заглавия, systemd 259 включва редица технически корекции, които усъвършенстват различни области на рамката и които може да останат незабелязани, но имат практическо въздействие в реални среди.

От една страна, имплементацията на Varlink за IPC комуникация в рамките на мениджъра на услуги е разширена и сега предоставя много повече възможности. Това улеснява външни инструменти и слоеве за управление да взаимодействат със systemd по по-богат и по-структуриран начин, като по този начин се използва по-добре вътрешната информация, с която се обработва.

Компоненти като systemd-udevd и systemd-repart също са подобрени по отношение на повторното четене на таблици на дялове на блокови устройства. Новият подход е по-постепенен и внимателен, намалявайки риска от несъответствия или прекъсвания при гореща замяна на дялове или манипулиране на дискове в сложни системи.

systemd-boot, в допълнение към промените в TPM, вече включва различни нива на регистриране , което помага за отстраняване на грешки при зареждане и регулиране на детайлността на информацията според нуждите: от по-тихи изходи за стабилни среди до подробни регистрационни файлове за диагностични сесии.

Друг интересен момент е, че функции като Поддръжка на Linux одит, PAM, libacl, libblkid, libseccomp, libselinux и libmount след това те биват таксувани от dlopen() вместо стандартно динамично свързване. Тази стратегия намалява базовото тегло на двоичния файл и позволява по-леки среди, особено полезни в контейнери, където не винаги е необходим целият набор от библиотеки.

Освен това, systemd-modules-load вече зарежда модулите на ядрото паралелно , ускорявайки процеса на зареждане на машини с конфигурирани множество модули. Тъй като системите включват повече функционалност под формата на модули, това паралелизиране помага за по-добро използване на съвременните процесори.

В криптографската област, systemd-integrity-setup разширява поддържаните от него алгоритми и вече поддържа HMAC-SHA256, PHMAC-SHA256 и PHMAC-SHA512, като по този начин разширява гамата от опции за гарантиране на целостта на чувствителните данни и конфигурации.

Една промяна, която много администратори ще забележат, е, че режимът по подразбиране за съхранение на журнали вече е „постоянен“ вместо „автоматичен“. Това означава, че при условие че има поддръжка, логовете ще се запазват постоянно на диска по подразбиране, което ще улесни одитите и диагностиката, без да е необходимо ръчно настройване на първоначалната конфигурация.

По-високи минимални изисквания: само за съвременни платформи

Версия 259 също така идва със значително увеличение на минималните системни изисквания за работа на systemd при поддържани условия. Това решение засилва съответствието му с по-модерните платформи.

Сред публикуваните изисквания, glibc 2.34 се откроява като минимална версия , което директно изключва среди, базирани на много стари C библиотеки. Linux 5.10 също е необходима като версия на ядрото , въпреки че разработчиците препоръчват версия 5.14 за производителност, по-съобразена с текущите функции.

В областта на криптографията, OpenSSL 3.0.0 се превръща в новия минимален стандарт , замествайки предишните версии с приключващи цикли на поддръжка. Стекът е допълнен и със зависимости като cryptsetup 2.4.0 и libseccomp 2.4.0, необходими за правилното използване на функциите за криптиране и изолация.

systemd 259 също изисква Python 3.9 или по-нова версия за определени инструменти и скриптове , което означава, че системите с по-стари клонове на Python ще трябва да бъдат надстроени, ако искат да поддържат интегрирани работни процеси без допълнителни корекции.

Освен това са включени основни компоненти като libxcrypt 4.4.0, util-linux 2.37 и други библиотеки за потребителско пространство , всички насочени към обединяване на технологичната база във версии, които гарантират сигурност и съгласуваност с останалата част от екосистемата.

Като страничен ефект, тези изисквания могат да ограничат приемането на systemd 259 на по-стар хардуер или много консервативни дистрибуции , но в същото време опростяват поддръжката на кода и намаляват необходимостта от пренасяне на съвместимост с остарели API.

Въздействие върху дистрибуцията и крайния потребител

На практика, за повечето потребители на настолни компютри, актуализациите на systemd обикновено не са критичен момент . В дистрибуциите с точково издание (типичните, които се актуализират периодично с основните версии), е нормално версията на systemd да остане замразена за целия си жизнен цикъл, с изключение на основни корекции за сигурност или стабилност.

Тези, които предпочитат винаги да имат най-новата версия на рамката , обикновено избират дистрибуции с постоянно обновяване, като Arch Linux или openSUSE Tumbleweed, където systemd 259 ще пристигне сравнително скоро и ще бъде бързо интегрирана в потока от актуализации.

Други проекти, като Fedora, поддържат политика за запазване на една и съща основна версия на systemd през целия жизнен цикъл на всяка стабилна версия, което осигурява по-голяма предвидимост в замяна на това, че са малко по-назад от най-новата сурова версия.

Междувременно, вселената от производни дистрибуции, като Linux Mint или неговите варианти, базирани на Ubuntu LTS, е склонна да се синхронизира с темпото на базовата система, върху която са изградени . Например, Linux Mint 22.3 включва systemd 255 и не приема веднага 259, като дава приоритет на стабилността пред надпреварата за най-новата версия.

За неспокойните администратори и тези, които са ентусиазирани от новите функции, винаги има възможност да тестват systemd 259 в тестови среди или текущи дистрибуции , като оценят съвместимостта, въздействието върху ключови услуги и поведението с конкретен хардуер, преди да обмислят миграции в продукцията.

Linux Mint 22.3 като контраст: стабилност срещу най-съвременни технологии

Като контрааргумент, си струва да разгледаме Linux Mint 22.3 "Zena ", който служи като ясен пример за това как някои дистрибуции дават приоритет на стабилността, докато екосистемата на systemd продължава да се развива независимо. Тази версия е представена като най-новата актуализация в текущата серия и се препоръчва за всички типове потребители, с гарантирана поддръжка до април 2029 г.

Mint 22.3 е базиран на Ubuntu LTS, с актуализиран, но консервативен стек , и се предлага с ядро ​​Linux 6.14, проектирано, наред с други неща, да предлага по-добра поддръжка за най-новото поколение AMD процесори. Той включва също systemd 255 и Mesa 25, създавайки модерна среда без рисковете от надграждане до най-новата версия на всеки компонент.

Дистрибуцията се фокусира основно върху подобряване на работата с десктоп . Cinnamon 6.6, основната ѝ среда, включва преработено, по-модерно и гъвкаво меню с приложения със заоблени ъгли и странична лента, която групира потребителски преки пътища, местоположения и любими приложения. Категориите остават на заден план, за да се даде по-директно значение на самите приложения.

Това меню не само има нов външен вид, но е претърпяло и цялостно вътрешно обновяване , с по-модерен код, който подобрява навигацията с клавиатура, обновяването на съдържанието и бъдещата поддръжка. Целта е потребителите да изпитат по-плавно потребителско изживяване и проектът да има по-стабилна основа за бъдещо развитие.

Освен това, Mint подобрява поддръжката на клавиатурни подредби и методи за въвеждане , унифицирайки обработката на традиционни подредби и IBus-базирани методи. Това прави възможно комбинирането на XKB подредби със сложни методи, например за японски или китайски, което е важно в многоезични среди.

Цялата тази работа е в съответствие с бъдещата стратегия на Mint и Cinnamon: осигуряване на пълна съвместимост с Wayland . Досега поддръжката на клавиатура под Wayland беше доста ограничена, но с тази версия както стандартните подредби, така и методите за въвеждане работят правилно, а екранната клавиатура е пренаписана нативно, елиминирайки външните зависимости.

Въпреки тези подобрения, Cinnamon все още работи по подразбиране на X11, въпреки че предлага експериментална сесия с Wayland , която все още не се препоръчва за производствени среди. Тази сесия обаче служи като тестова площадка за подобрения на мениджъра на прозорци Muffin и други ключови компоненти.

Работната среда е допълнена с подобрения в Nemo 6.6, файловия мениджър, който добавя по-изчерпателен мениджър на шаблони , позволява паузиране и възобновяване на файлови операции, прецизира точността на търсенето и подобрява работата с миниатюри и разделени панели. Също така въвежда по-ясни визуални индикатори за чакащи известия и по-интуитивен аплет за превключване на работното пространство.

Освен това има няколко малки корекции в цялата система : аплет за нощно осветление с повече опции, подобрения във фракционното мащабиране, повече възможности за конфигуриране в селектора Alt-Tab и селектор на теми, реорганизиран по семейства и варианти, предназначени да опростят персонализирането на външния вид.

Докато Mint 22.3 затваря своя цикъл и подготвя почвата за Linux Mint 23, базиран на предстоящия Ubuntu 26.04 LTS, контрастът със systemd 259 е очевиден: системната рамка се развива с главозамайваща скорост , докато стабилно ориентираните дистрибуции внимателно подбират кои технологични скокове да интегрират във всеки един момент.

С всички тези елементи на място, systemd 259 се явява важен етап в еволюцията на init и service manager , прекъсвайки изключителната му зависимост от glibc, засилвайки сигурността с TPM 2.0, усъвършенствайки инструменти като run0 и systemd-oomd и повишавайки летвата за изискванията за адаптиране към съвременния Linux. Тези, които искат да се възползват максимално от тези нови функции, ще трябва да инвестират в съвместими платформи и хардуер, докато по-консервативните дистрибуции ще продължат да определят собственото си темпо, за да балансират стабилността, дългосрочната поддръжка и постепенното приемане на тези възможности.