systemd 259: podrška za musl, sigurnost i promjene ključeva

Informatec Digital » Resursi » systemd 259: podrška za musl, sigurnost i promjene ključeva

Sa systemd 259 , Linux ekosistem se ponovo pokreće, i to prilično značajno. Ova verzija najšire korištenog sistemskog okvira u GNU/Linuxu uvodi duboke promjene u kompatibilnosti, sigurnosti i upravljanju resursima koje daleko prevazilaze jednostavno rutinsko ažuriranje. Iako su mnoge od ovih novih funkcija tehničke prirode, one imaju direktne posljedice za distribucije, administratore i napredne korisnike.

U ovom izdanju, systemd čini ključnu promjenu otvarajući vrata musl-u kao alternativi glibc-u, pooštravajući njegove minimalne zahtjeve, pojačavajući svoj stav o sigurnom pokretanju s TPM 2.0, nastavljajući promovirati run0 kao zamjenu za sudo i poboljšavajući ponašanje systemd-oomd-a kako bi se bolje kontrolirala potrošnja memorije. Sve to uz zadržavanje ekspanzivnog i kontroverznog karaktera koji prati projekat godinama.

systemd, centralni i kontroverzni dio modernog Linuxa

Danas je systemd zadani sistemski okvir u većini GNU/Linux distribucija opće namjene: upravlja pokretanjem, servisima, evidentiranjem, korisničkim sesijama i mnoštvom zadataka niskog nivoa koji su ranije bili raspoređeni na više alata. Njegova filozofija integriranja sve više i više funkcija dala mu je ogroman značaj unutar sistema.

Ova sposobnost centralizacije kritičnih procesa, zavisnosti i uslužnih programa dovela je do širokog usvajanja, ali i do intenzivne debate unutar zajednice. Za mnoge, to pojednostavljuje administraciju i standardizuje prakse; za druge, to predstavlja jedinstvenu tačku kvara i složenost koju je teško revidirati, s previše odgovornosti koncentrisanih u istom projektu.

Već nekoliko verzija sada, tempo razvoja je frenetičan, s čestim izdanjima koja dodaju nove komponente, interfejse i interna poboljšanja . Systemd 259 se savršeno uklapa u ovaj trend: ne donosi samo manje izmjene, već i strateške odluke koje utiču na to kako se distribucije kompajliraju, kako se sistemi pokreću i kako se resursi upravljaju pod pritiskom.

U ovom kontekstu, systemd 259 predstavlja prekretnicu u kompatibilnosti C biblioteka, podršci za sigurnosni hardver, alatima za eskalaciju privilegija i zahtjevima platforme, dodatno učvršćujući ulogu systemd-a u srcu operativnog sistema.

Eksperimentalna podrška za musl: zbogom glibc-ovom monopolu

Najznačajniji događaj koji privlači pažnju javnosti je pojava eksperimentalne podrške za musl u systemd 259. Do sada je projekat bio vrlo snažno povezan sa glibc-om, referentnom C bibliotekom za većinu tradicionalnih GNU/Linux distribucija.

musl, sa svoje strane, je lagana C biblioteka, visoko cijenjena u minimalističkim sistemima , kontejnerima i distribucijama orijentisanim na efikasnost kao što su Alpine Linux i druge varijante fokusirane na smanjenje potrošnje resursa i površine za napad. Godinama je odnos između systemd-a i musl-a bio komplikovan upravo zbog ove zavisnosti od glibc-a.

Ovim korakom, iako još uvijek u eksperimentalnoj fazi, systemd više nije toliko ekskluzivan u svom odnosu s libc-om . Ovo otvara stvarnu mogućnost kombinovanja systemd-a sa musl-om u okruženjima gdje su se ranije koristili alternativni init sistemi ili je systemd u potpunosti izbjegavan zbog ograničenja kompatibilnosti.

Dolazak ove podrške podrazumijeva značajne interne promjene: pretpostavke kompajliranja, interfejsi i specifični glibc pozivi morali su biti prilagođeni kako bi se omogućila integracija musl-a bez narušavanja očekivanog ponašanja. Kratkoročno gledano, ovo zahtijeva intenzivno testiranje od strane distributera i naprednih korisnika, ali postavlja temelje za veću tehnološku raznolikost unutar Linux ekosistema.

Ovaj potez također odgovara na historijske kritike o "zatvorenoj" prirodi systemd-a u poređenju s drugim C bibliotekama. Iako musl još nije podržan na istom nivou zrelosti kao glibc u ovom kontekstu, činjenica da je rad u ovom smjeru urađen ukazuje na jasnu želju za proširenjem horizonta i smanjenjem krutih zavisnosti od klasičnog GNU steka.

Sigurnije pokretanje: samo TPM 2.0 za systemd-boot i systemd-stub

Još jedna značajna promjena u systemd 259 direktno utiče na sigurno pokretanje sistema na UEFI sistemima . Komponente systemd-boot (integrirani upravitelj pokretanja) i systemd-stub (odgovorne za olakšavanje pokretanja u UEFI okruženjima) više ne podržavaju TPM 1.2, već se fokusiraju isključivo na TPM 2.0.

Ideja koja stoji iza ove odluke je jačanje sigurnosti podržavanjem samo verzije TPM-a koja se smatra najrobustnijom i najnovijom . TPM 2.0 nudi poboljšane kriptografske mogućnosti i fleksibilniji okvir za scenarije kao što su izmjereno pokretanje, provjera integriteta i zatvaranje tajni povezanih sa stanjem sistema.

Nedostatak je jasan: sistemi koji se i dalje oslanjaju na TPM 1.2 neće dobiti podršku za ove funkcije . U praksi, to bi moglo značiti promjenu matične ploče ili odustajanje od određenih funkcija sigurnog pokretanja zasnovanih na systemd-boot i systemd-stub ako hardver nije ažuriran.

Međutim, u mnogim kućnim okruženjima, Secure Boot i TPM su često onemogućeni u Linux instalacijama, kako zbog praktičnosti, tako i zbog historijskih problema koje su uzrokovali u kompatibilnosti upravljačkih programa, alternativnim opcijama pokretanja ili dvostrukim sistemima sa Windowsom.

Uprkos tome, za korporativne ili profesionalne scenarije koji zavise od sigurnog lanca pokretanja sa TPM 2.0 , ova promjena je u skladu sa trendom u industriji: pojednostavljuje kod eliminisanjem kompatibilnosti sa starijim sistemima i smanjuje rizike povezane sa starijim kriptografskim stekovima.

run0 dobija na težini kao moderna alternativa za sudo

Među alatima koji izazivaju najviše znatiželje u systemd ekosistemu je run0, dizajniran kao zamjena za sudo . Sudo je decenijama bio de facto standard za izvršavanje naredbi sa povišenim privilegijama na Unix-sličnim sistemima, ali njegov dizajn i konfiguracija nose historijsku inerciju.

Sa run0, systemd tim traži ponuditi integriraniji i kontroliraniji pristup eskalaciji privilegijaVerzija 259 uključuje ključnu novu funkciju: argument --empower, što vam omogućava da započnete novu sesiju s povećanim privilegijama bez eksplicitne promjene na root korisnika.

Filozofija koja stoji iza ove opcije je dodatno smanjenje direktne upotrebe root računa , nešto što sigurnost uvijek pokušava izbjeći ili barem ograničiti koliko god je to moguće. Umjesto prijavljivanja kao root ili zloupotrebe privilegovanih ljuski, predlaže se model zasnovan na povišenim sesijama s finijim kontrolama.

Uprkos tome, nisu sve metode za upravljanje povišenim privilegijama jednake, a široko rasprostranjeno usvajanje run0 je još uvijek u ranoj fazi . Administratori i distributeri će morati procijeniti da li je njegov model bolje prilagođen njihovim specifičnim scenarijima od sudo-a, uzimajući u obzir reviziju, kompatibilnost s postojećim alatima i utvrđene politike pristupa.

U svakom slučaju, aktivan razvoj run0 ukazuje na to da systemd nije ograničen samo na koordinaciju servisa, već ima za cilj pokrivanje više slojeva sistemske administracije, uključujući svakodnevno upravljanje dozvolama koje je do sada gotovo u potpunosti bilo delegirano vanjskim uslužnim programima.

systemd-oomd: veća kontrola nad procesima koji intenzivno koriste memoriju

Što se tiče stabilnosti sistema, systemd 259 pojačava ulogu systemd-oomd-a kao menadžera za nedostatak memorije . Ova komponenta je odgovorna za reagovanje kada ponestane RAM-a, selektivno zaustavljajući procese prije nego što se cijeli sistem zamrzne.

Ključna nova funkcija je dodavanje svojstava OOMKills i ManagedOOMKills servisnim jedinicama. Ova svojstva vam omogućavaju da prebrojite koliko je procesa završilo jezgro ili sam systemd-oomd, pružajući mnogo veću vidljivost u način rješavanja memorijskih kriza.

Ove informacije su posebno korisne kada aplikacija počne nekontrolirano trošiti RAM , bilo zbog curenja memorije, pogrešnih konfiguracija ili neočekivanih opterećenja. Mogućnost praćenja koliko je puta mehanizam Out-of-Money (OOM) aktiviran, administratori mogu otkriti problematične obrasce i prilagoditi ograničenja prije nego što se situacija ponovi.

Ideja je da sistem, umjesto da bude potpuno blokiran, selektivno prekida najštetnije procese , čuvajući ukupnu brzinu odziva. S ovim brojačima dostupnim iz systemd jedinica, lakše je provjeriti koji servisi su ponavljajući krivci za kritične situacije.

Uzeta zajedno, poboljšanja systemd-oomd-a pojačavaju jasan trend: pretvaranje automatiziranog upravljanja resursima u prvu liniju odbrane od katastrofalnih kvarova, s detaljnijim metrikama i manje transparentnim odlukama za one koji upravljaju sistemom.

Druga interna poboljšanja i relevantne promjene u systemd 259

Pored glavnih naslova, systemd 259 uključuje niz tehničkih prilagođavanja koja usavršavaju različita područja okvira i koja mogu proći nezapaženo, ali imaju praktičan utjecaj u stvarnim okruženjima.

S jedne strane, implementacija Varlinka za IPC komunikaciju unutar upravitelja usluga je proširena i sada otkriva mnogo više mogućnosti. Ovo olakšava vanjskim alatima i slojevima upravljanja interakciju sa systemd-om na bogatiji i strukturiraniji način, bolje iskorištavajući interne informacije koje obrađuje.

Komponente poput systemd-udevd i systemd-repart su također poboljšane u pogledu ponovnog čitanja tabela particija na blok uređajima. Novi pristup je postepeniji i pažljiviji, smanjujući rizik od nedosljednosti ili prekida prilikom vruće zamjene particija ili manipulisanja diskovima u složenim sistemima.

systemd-boot, pored TPM promjena, sada uključuje različite nivoe evidentiranja , što pomaže u otklanjanju grešaka pri pokretanju i prilagođavanju detalja prema potrebama: od tiših izlaza za stabilna okruženja do detaljnih evidentiranja za dijagnostičke sesije.

Još jedna zanimljiva stvar je da karakteristike poput Podrška za Linux reviziju, PAM, libacl, libblkid, libseccomp, libselinux i libmount zatim ih naplaćuju dlopen() umjesto standardnog dinamičkog povezivanja. Ova strategija smanjuje osnovnu težinu binarnog fajla i omogućava lakša okruženja, posebno korisna unutar kontejnera gdje nije uvijek potreban cijeli skup biblioteka.

Nadalje, systemd-modules-load sada paralelno učitava module kernela , ubrzavajući proces pokretanja na mašinama s više konfiguriranih modula. Kako sistemi uključuju više funkcionalnosti u obliku modula, ova paralelizacija pomaže u boljem korištenju modernih CPU-a.

U kriptografskom polju, systemd-integrity-setup proširuje svoje podržane algoritme i sada podržava HMAC-SHA256, PHMAC-SHA256 i PHMAC-SHA512, jačajući raspon opcija za osiguranje integriteta osjetljivih podataka i konfiguracija.

Jedna promjena koju će mnogi administratori primijetiti je da je zadani način pohrane dnevnika sada "trajni" umjesto "automatski". To znači da će, pod uvjetom da postoji podrška, logovi biti trajno spremljeni na disk prema zadanim postavkama, što olakšava revizije i dijagnostiku bez potrebe za ručnim podešavanjem početne konfiguracije.

Zahtjevniji minimalni zahtjevi: samo za moderne platforme

Verzija 259 također dolazi sa značajnim povećanjem minimalnih sistemskih zahtjeva za pokretanje systemd-a pod podržanim uslovima. Ova odluka pojačava njegovu usklađenost sa modernijim platformama.

Među objavljenim zahtjevima, glibc 2.34 se ističe kao minimalna verzija , što direktno isključuje okruženja zasnovana na vrlo starim C bibliotekama. Linux 5.10 je također potreban kao verzija kernela , iako programeri preporučuju granu 5.14 za performanse koje su više u skladu s trenutnim funkcijama.

U području kriptografije, OpenSSL 3.0.0 postaje novi minimalni standard , zamjenjujući prethodne verzije s ciklusima podrške koji se bliže kraju. Stack je također upotpunjen ovisnostima kao što su cryptsetup 2.4.0 i libseccomp 2.4.0, potrebnim za pravilno korištenje funkcija šifriranja i izolacije.

systemd 259 također zahtijeva Python 3.9 ili noviji za određene alate i skripte , što znači da će sistemi sa starijim granama Pythona morati biti nadograđeni ako žele održati integrirane radne procese bez dodatnih zakrpa.

Pored toga, uključene su i bitne komponente kao što su libxcrypt 4.4.0, util-linux 2.37 i druge biblioteke korisničkog prostora , a sve s ciljem objedinjavanja tehnološke baze na verzijama koje garantuju sigurnost i konzistentnost s ostatkom ekosistema.

Kao nuspojava, ovi zahtjevi mogu ograničiti usvajanje systemd 259 na starijem hardveru ili vrlo konzervativnim distribucijama , ali istovremeno pojednostavljuju održavanje koda i smanjuju potrebu za prenošenjem kompatibilnosti sa zastarjelim API-jima.

Utjecaj na distribuciju i krajnjeg korisnika

U praksi, za većinu korisnika desktop računara, ažuriranja systemd-a obično nisu kritičan trenutak . U distribucijama s određenim izdanjima (tipičnima koje se periodično ažuriraju s glavnim verzijama), normalno je da verzija systemd-a ostane zamrznuta tokom cijelog svog životnog ciklusa, osim kod većih sigurnosnih ili zakrpa za stabilnost.

Oni koji preferiraju da uvijek imaju najnoviju verziju frameworka obično se odlučuju za distribucije sa stalnim izdanjima, kao što su Arch Linux ili openSUSE Tumbleweed, gdje će systemd 259 stići relativno brzo i brzo će se integrisati u tok ažuriranja.

Drugi projekti, poput Fedore, održavaju politiku zadržavanja iste glavne verzije systemd-a tokom cijelog životnog vijeka svakog stabilnog izdanja, što pruža veću predvidljivost u zamjenu za neznatno zaostajanje za najnovijim sirovim izdanjem.

U međuvremenu, univerzum derivativnih distribucija, kao što su Linux Mint ili njegove varijante zasnovane na Ubuntu LTS-u, teži sinhronizaciji s tempom osnovnog sistema na kojem su izgrađene . Na primjer, Linux Mint 22.3 uključuje systemd 255 i ne usvaja odmah 259, dajući prioritet stabilnosti u odnosu na utrku za najnovijom verzijom.

Za nemirne administratore i one koji su entuzijastični prema novim funkcijama, uvijek postoji mogućnost testiranja systemd 259 u testnim okruženjima ili distribucijama , procjenjujući kompatibilnost, utjecaj na ključne usluge i ponašanje sa specifičnim hardverom prije razmišljanja o migracijama u produkciji.

Linux Mint 22.3 kao kontrast: stabilnost naspram vrhunskog razvoja

Kao kontraargument, vrijedi pogledati Linux Mint 22.3 "Zena ", koji služi kao jasan primjer kako neke distribucije daju prioritet stabilnosti dok se systemd ekosistem nastavlja nezavisno razvijati. Ova verzija je predstavljena kao najnovije ažuriranje u trenutnoj seriji i preporučuje se svim tipovima korisnika, sa zagarantovanom podrškom do aprila 2029. godine.

Mint 22.3 je baziran na Ubuntu LTS-u, sa svojim ažuriranim, ali konzervativnim stekom , i dolazi sa Linux 6.14 kernelom dizajniranim, između ostalog, da ponudi bolju podršku za najnoviju generaciju AMD procesora. Također uključuje systemd 255 i Mesa 25, stvarajući moderno okruženje bez rizika nadogradnje na najnoviju verziju svake komponente.

Distribucija se prvenstveno fokusira na poboljšanje iskustva rada na desktopu . Cinnamon 6.6, njeno glavno okruženje, sadrži redizajnirani, moderniji i fleksibilniji meni aplikacija sa zaobljenim uglovima i bočnom trakom koja grupira korisničke prečice, lokacije i omiljene aplikacije. Kategorije padaju u drugi plan kako bi se samim aplikacijama dao veći značaj.

Ovaj meni ne samo da ima novi izgled, već je i temeljito interno obnovljen , s modernijim kodom koji poboljšava navigaciju pomoću tastature, osvježavanje sadržaja i buduće održavanje. Cilj je da korisnici iskuse glatkije korisničko iskustvo i da projekat ima stabilniju osnovu za budući razvoj.

Nadalje, Mint jača podršku za rasporede tastature i metode unosa , ujedinjujući rukovanje tradicionalnim rasporedima i metodama zasnovanim na IBus-u. Ovo omogućava kombinovanje XKB rasporeda sa složenim metodama, na primjer za japanski ili kineski, što je važno u višejezičnim okruženjima.

Sav ovaj rad je u skladu s budućom strategijom Minta i Cinnamona: osiguranje pune kompatibilnosti s Waylandom . Do sada je podrška za tastaturu u Waylandu bila prilično ograničena, ali s ovim izdanjem, i standardni rasporedi i metode unosa rade ispravno, a tastatura na ekranu je izvorno prepisana, eliminirajući vanjske ovisnosti.

Uprkos ovim naprecima, Cinnamon i dalje radi na X11 po defaultu, iako nudi eksperimentalnu sesiju sa Waylandom koja se još ne preporučuje za produkcijska okruženja. Međutim, ova sesija služi kao poligon za testiranje poboljšanja Muffin window managera i drugih ključnih komponenti.

Radno okruženje je zaokruženo poboljšanjima Nema 6.6, upravitelja datoteka, koji dodaje sveobuhvatniji upravitelj predložaka , omogućava pauziranje i nastavak operacija s datotekama, poboljšava preciznost pretraživanja i poboljšava rukovanje sličicama i podijeljenim panelima. Također uvodi jasnije vizualne indikatore za čekajuća obavještenja i intuitivniji aplet za prebacivanje radnog prostora.

Pored toga, postoji nekoliko manjih prilagođavanja u cijelom sistemu : aplet za noćno svjetlo s više opcija, poboljšanja frakcijskog skaliranja, više mogućnosti konfiguracije u Alt-Tab selektoru i selektor tema reorganiziran po porodicama i varijantama, dizajniran da pojednostavi prilagođavanje izgleda.

Dok Mint 22.3 zatvara svoj ciklus i priprema teren za Linux Mint 23, zasnovan na nadolazećem Ubuntu 26.04 LTS-u, kontrast sa systemd 259 je očigledan: sistemski okvir napreduje vrtoglavom brzinom , dok stabilno orijentisane distribucije pažljivo biraju koje tehnološke skokove će integrisati u svakom trenutku.

Sa svim ovim elementima na mjestu, systemd 259 predstavlja značajnu prekretnicu u evoluciji init i service managera , prekidajući njegovu isključivu zavisnost od glibc-a, jačajući sigurnost sa TPM 2.0, usavršavajući alate poput run0 i systemd-oomd, te podižući ljestvicu za zahtjeve prilagođavanja savremenom Linuxu. Oni koji žele u potpunosti iskoristiti ove nove funkcije morat će investirati u kompatibilne platforme i hardver, dok će konzervativnije distribucije nastaviti da postavljaju vlastiti tempo kako bi uravnotežile stabilnost, dugoročnu podršku i postepeno usvajanje ovih mogućnosti.