„systemd 259“: palaikymas „musl“, saugumo ir pagrindinių pakeitimų

Informatec Digital » Ištekliai » „systemd 259“: palaikymas „musl“, saugumo ir pagrindinių pakeitimų

Su „systemd 259 “ „Linux“ ekosistema vėl juda į priekį, ir gana reikšmingai. Ši plačiausiai GNU/Linux naudojamos sistemos versijos versija įdiegia esminius suderinamumo, saugumo ir išteklių valdymo pakeitimus, kurie gerokai viršija paprastą įprastą atnaujinimą. Nors daugelis šių naujų funkcijų yra techninės, jos turi tiesioginių pasekmių tiek platinamiesiems paketams, tiek administratoriams, tiek patyrusiems vartotojams.

Šioje laidoje „systemd“ žengia esminį posūkį, atverdama duris „musl“ kaip alternatyvai „glibc“, sugriežtindama minimalius reikalavimus, sustiprindama savo poziciją dėl saugaus paleidimo naudojant TPM 2.0, toliau reklamuodama „run0“ kaip sudo pakaitalą ir patobulindama „systemd-oomd“ veikimą, kad geriau kontroliuotų atminties sunaudojimą. Visa tai išlaikant platų ir prieštaringą projekto pobūdį, kuris lydėjo jį daugelį metų.

„systemd“ – pagrindinė ir prieštaringai vertinama šiuolaikinės „Linux“ dalis

Šiandien „systemd“ yra numatytoji sistemos sistema daugumoje bendrosios paskirties GNU/Linux distribucijų: ji valdo paleidimą, paslaugas, žurnalavimą, vartotojų sesijas ir daugybę žemo lygio užduočių, kurios anksčiau buvo paskirstytos keliose priemonėse. Jos filosofija integruoti vis daugiau funkcijų suteikė jai milžinišką svarbą sistemoje.

Šis gebėjimas centralizuoti svarbiausius procesus, priklausomybes ir komunalines paslaugas lėmė platų pritaikymą, tačiau taip pat ir aršias diskusijas bendruomenėje. Daugeliui tai supaprastina administravimą ir standartizuoja praktiką; kitiems tai yra vienas gedimo taškas ir sudėtinga sistema, kurią sunku audituoti, nes tame pačiame projekte sutelkta per daug atsakomybių.

Jau kelios versijos kuriamos itin sparčiai, dažnai išleidžiant naujus komponentus, sąsajas ir vidinius patobulinimus . „systemd 259“ puikiai atitinka šią tendenciją: ji ne tik atlieka nedidelius pakeitimus, bet ir priima strateginius sprendimus, kurie turi įtakos distribucijų kompiliavimui, sistemų paleidimui ir išteklių valdymui esant spaudimui.

Šiame kontekste „systemd 259“ yra lūžio taškas C bibliotekos suderinamumo, saugos įrangos palaikymo, privilegijų eskalavimo įrankių ir platformos reikalavimų srityse, dar labiau sustiprindamas „systemd“ vaidmenį operacinės sistemos centre.

Eksperimentinė parama musulmonams: atsisveikinimas su glibc monopolija

Labiausiai dėmesį patraukiantis pokytis yra eksperimentinės „musl“ palaikymo atsiradimas „systemd 259“ versijoje. Iki šiol projektas buvo labai glaudžiai susijęs su „glibc“ – daugelio tradicinių GNU/Linux distribucijų etalonine C biblioteka.

Savo ruožtu „musl“ yra lengva C biblioteka, labai vertinama minimalistinėse sistemose , konteineriuose ir į efektyvumą orientuotose distribucijose, tokiose kaip „Alpine Linux“ ir kitose variacijose, orientuotose į išteklių suvartojimo ir atakos paviršiaus mažinimą. Jau daugelį metų santykiai tarp „systemd“ ir „musl“ yra sudėtingi būtent dėl ​​šios priklausomybės nuo „glibc“.

Šiuo žingsniu, nors jis vis dar yra eksperimentinėje fazėje, „systemd“ nebėra toks išskirtinis savo santykyje su „libc“ . Tai atveria realią galimybę derinti „systemd“ su „musl“ aplinkose, kuriose anksčiau buvo naudojamos alternatyvios inicijavimo sistemos arba „systemd“ buvo visiškai vengiama dėl suderinamumo apribojimų.

Šios paramos atsiradimas reiškia reikšmingus vidinius pokyčius: reikėjo pakoreguoti kompiliavimo prielaidas, sąsajas ir konkrečius „glibc“ iškvietimus, kad „musl“ būtų galima integruoti nepažeidžiant numatyto veikimo. Artimiausiu metu tai pareikalaus intensyvių platintojų ir patyrusių vartotojų bandymų, tačiau tai padės pagrindą didesnei technologinei įvairovei „Linux“ ekosistemoje.

Šis žingsnis taip pat reaguoja į istorinę kritiką dėl „uždaro“ „systemd“ pobūdžio, palyginti su kitomis C bibliotekomis. Nors „musl“ šiame kontekste dar nėra palaikoma tokiu pat brandos lygiu kaip „glibc“, tai, kad šia kryptimi buvo dirbama, rodo aiškų norą praplėsti akiratį ir sumažinti griežtas priklausomybes nuo klasikinio GNU steko.

Saugesnis paleidimas: tik TPM 2.0, skirtas „systemd-boot“ ir „systemd-stub“

Kitas reikšmingas „systemd 259“ pakeitimas tiesiogiai veikia saugų paleidimą UEFI sistemose . „systemd-boot“ (integruotas paleidimo tvarkyklė) ir „systemd-stub“ (atsakingas už paleidimo palengvinimą UEFI aplinkoje) komponentai nebepalaiko TPM 1.2, o daugiausia dėmesio skiria TPM 2.0.

Šio sprendimo idėja – sustiprinti saugumą palaikant tik patikimiausią ir naujausią TPM versiją . TPM 2.0 siūlo patobulintas kriptografines galimybes ir lankstesnę sistemą tokiems scenarijams kaip išmatuotas paleidimas, vientisumo tikrinimas ir su sistemos būsena susietų paslapčių sandarinimas.

Trūkumas akivaizdus: sistemos, kurios vis dar naudoja TPM 1.2, negaus šių funkcijų palaikymo . Praktiškai tai gali reikšti pagrindinės plokštės keitimą arba tam tikrų saugaus įkrovos funkcijų, pagrįstų „systemd-boot“ ir „systemd-stub“, atsisakymą, jei aparatinė įranga nebus atnaujinta.

Tačiau daugelyje namų aplinkų „Saugus įkrovimas“ ir TPM dažnai yra išjungti „Linux“ diegimuose tiek dėl patogumo, tiek dėl istorinių problemų, kurias jie sukėlė tvarkyklių suderinamumo, alternatyvių įkrovimo parinkčių arba dvigubų sistemų su „Windows“ srityje.

Nepaisant to, įmonių ar profesionaliems scenarijams, kurie priklauso nuo saugios įkrovos grandinės su TPM 2.0 , šis pakeitimas atitinka pramonės tendencijas: jis supaprastina kodą, pašalindamas senesnių sistemų suderinamumą ir sumažindamas su senesniais kriptografiniais paketais susijusią riziką.

„run0“ priauga svorio kaip moderni „sudo“ alternatyva

Tarp įrankių, kurie kelia didžiausią smalsumą „systemd“ ekosistemoje, yra „run0“, sukurtas kaip „sudo“ pakaitalas . „sudo“ jau dešimtmečius yra faktinis standartas komandoms vykdyti su padidintomis teisėmis „Unix“ tipo sistemose, tačiau jo dizainas ir konfigūracija turi istorinį inercijos pobūdį.

Su „run0“ „systemd“ komanda ieško pasiūlyti labiau integruotą ir kontroliuojamą privilegijų eskalavimo metodą259 versijoje yra svarbi nauja funkcija: argumentas --empower, kuri leidžia pradėti naują sesiją su padidintomis teisėmis aiškiai nepersijungiant į root vartotoją.

Šios parinkties filosofija – dar labiau sumažinti tiesioginį root paskyros naudojimą , ko saugumo specialistai visada stengiasi vengti arba bent jau kiek įmanoma apriboti. Užuot prisijungus kaip root arba piktnaudžiaujant privilegijuotomis apvalkalėlėmis, siūlomas modelis, pagrįstas aukštesnio lygio sesijomis su tikslesne kontrole.

Nepaisant to, ne visi padidintų privilegijų valdymo metodai yra vienodi, o platus „run0“ diegimas vis dar yra ankstyvoje stadijoje . Administratoriai ir platintojai turės įvertinti, ar jo modelis labiau tinka jų konkretiems scenarijams nei „sudo“, atsižvelgiant į auditavimą, suderinamumą su esamais įrankiais ir nustatytas prieigos politikas.

Bet kuriuo atveju, aktyvus „run0“ kūrimas rodo, kad „systemd“ neapsiriboja paslaugų koordinavimu, bet siekia apimti daugiau sistemos administravimo lygių, įskaitant kasdienį leidimų valdymą, kuris iki šiol buvo beveik visiškai deleguotas išorinėms paslaugų įmonėms.

systemd-oomd: daugiau atminties reikalaujančių procesų valdymo

Kalbant apie sistemos stabilumą, „systemd 259“ sustiprina „systemd-oomd“ vaidmenį kaip atminties trūkumo tvarkyklės . Šis komponentas yra atsakingas už reagavimą, kai baigiasi RAM, selektyviai užbaigiant procesus, kol visa sistema neužstringa.

Svarbiausia nauja funkcija – paslaugų vienetams pridėtos savybės „OOMKills“ ir „ManagedOOMKills“ . Šios savybės leidžia suskaičiuoti, kiek procesų nutraukė branduolys arba pati „systemd-oomd“, todėl daug geriau matyti, kaip sprendžiamos atminties krizės.

Ši informacija ypač naudinga, kai programa pradeda nekontroliuojamai naudoti RAM atmintį dėl atminties nutekėjimo, netinkamos konfigūracijos ar netikėtų apkrovų. Galėdami sekti, kiek kartų buvo suaktyvintas pinigų trūkumo (OOM) mechanizmas, administratoriai gali aptikti probleminius modelius ir koreguoti apribojimus, kol situacija nepasikartos.

Idėja yra ta, kad sistema, užuot visiškai užblokuota, pasirinktinai nutraukia kenksmingiausius procesus , išsaugant bendrą reagavimą. Kai šie skaitikliai pasiekiami iš „systemd“ įrenginių, tampa lengviau audituoti, kurios paslaugos yra nuolatinės kritinių situacijų kaltininkės.

Apibendrinus „systemd-oomd“ patobulinimus, išryškėja aiški tendencija: automatizuotas išteklių valdymas tampa pirmąja gynybos linija nuo katastrofiškų gedimų, pateikiant išsamesnius rodiklius ir mažiau neskaidrius sprendimus tiems, kurie valdo sistemą.

Kiti vidiniai patobulinimai ir atitinkami pakeitimai „systemd 259“

Be pagrindinių antraščių, „systemd 259“ apima keletą techninių pakeitimų, kurie patobulina skirtingas sistemos sritis ir kurie gali likti nepastebėti, bet turi praktinį poveikį realioje aplinkoje.

Viena vertus, „Varlink“ įdiegimas IPC komunikacijai paslaugų tvarkyklėje buvo išplėstas ir dabar suteikia daug daugiau galimybių. Tai palengvina išorinių įrankių ir valdymo sluoksnių sąveiką su „systemd“ turtingesniu ir struktūriškesniu būdu, geriau panaudojant vidinę jos apdorojamą informaciją.

Tokie komponentai kaip „systemd-udevd“ ir „systemd-repart“ taip pat buvo patobulinti , atsižvelgiant į pertvarų lentelių perskaitymą blokiniuose įrenginiuose. Naujasis metodas yra laipsniškesnis ir atsargesnis, todėl sumažėja neatitikimų ar trikdžių rizika keičiant pertvaras karštuoju būdu arba manipuliuojant diskais sudėtingose ​​sistemose.

„systemd-boot“, be TPM pakeitimų, dabar apima skirtingus žurnalavimo lygius , kurie padeda derinti įkrovos problemas ir koreguoti išsamumą pagal poreikius: nuo tylesnių išėjimų stabiliose aplinkose iki išsamių žurnalų diagnostikos seansams.

Dar vienas įdomus aspektas yra tokios savybės kaip „Linux“ audito palaikymas, PAM, libacl, libblkid, libseccomp, libselinux ir libmount tada jie apmokestinami dlopen() vietoj standartinio dinaminio susiejimo. Ši strategija sumažina dvejetainio failo bazinį svorį ir leidžia naudoti lengvesnes aplinkas, o tai ypač naudinga konteineriuose, kur ne visada reikalingas visas bibliotekų rinkinys.

Be to, „systemd-modules-load“ dabar įkelia branduolio modulius lygiagrečiai , taip pagreitindama įkrovos procesą kompiuteriuose, kuriuose sukonfigūruoti keli moduliai. Kadangi sistemose yra daugiau funkcijų modulių pavidalu, šis lygiagretinimas padeda geriau išnaudoti šiuolaikinius procesorius.

Kriptografijos srityje „systemd-integrity-setup“ išplečia palaikomų algoritmų sąrašą ir dabar palaiko HMAC-SHA256, PHMAC-SHA256 ir PHMAC-SHA512, taip sustiprindama galimybes užtikrinti jautrių duomenų ir konfigūracijų vientisumą.

Vienas pakeitimas, kurį pastebės daugelis administratorių, yra tai, kad numatytasis žurnalų saugojimo režimas dabar yra „nuolatinis“, o ne „automatinis“. Tai reiškia, kad, jei bus palaikoma, žurnalai pagal numatytuosius nustatymus bus visam laikui įrašomi į diską, todėl bus lengviau atlikti auditus ir diagnostiką, nereikia rankiniu būdu koreguoti pradinės konfigūracijos.

Griežtesni minimalūs reikalavimai: tik modernioms platformoms

259 versijoje taip pat gerokai padidinti minimalūs sistemos reikalavimai, reikalingi „systemd“ paleidimui palaikomomis sąlygomis. Šis sprendimas sustiprina jos suderinamumą su modernesnėmis platformomis.

Tarp paskelbtų reikalavimų išsiskiria „glibc 2.34“ kaip minimali versija , kuri tiesiogiai atmeta aplinkas, pagrįstas labai senomis C bibliotekomis. Kaip branduolio versija taip pat reikalinga „Linux 5.10“ , nors kūrėjai rekomenduoja 5.14 šaką, kad našumas labiau atitiktų dabartines funkcijas.

Kriptografijos srityje „OpenSSL 3.0.0“ tampa nauju minimaliu standartu , pakeičiančiu ankstesnes versijas, kurių palaikymo ciklai artėja prie pabaigos. Steko paketas taip pat papildytas tokiomis priklausomybėmis kaip „cryptsetup 2.4.0“ ir „libseccomp 2.4.0“, kurios būtinos norint tinkamai naudoti šifravimo ir izoliavimo funkcijas.

„systemd 259“ taip pat reikalauja „Python 3.9“ ar naujesnės versijos tam tikriems įrankiams ir scenarijams , o tai reiškia, kad sistemas su senesnėmis „Python“ šakomis reikės atnaujinti, jei jos nori išlaikyti integruotus darbo eigą be papildomų pataisų.

Be to, įtraukti esminiai komponentai, tokie kaip „libxcrypt 4.4.0“, „util-linux 2.37“ ir kitos vartotojo erdvės bibliotekos , kurių visų tikslas – suvienodinti technologinę bazę versijose, kurios garantuoja saugumą ir nuoseklumą su likusia ekosistemos dalimi.

Kaip šalutinis poveikis, šie reikalavimai gali apriboti „systemd 259“ diegimą senesnėje aparatinėje įrangoje arba labai konservatyviuose platinimuose , tačiau tuo pačiu metu jie supaprastina kodo priežiūrą ir sumažina poreikį perkelti suderinamumą su pasenusiomis API.

Poveikis platinimui ir galutiniam vartotojui

Praktiškai daugumai stalinių kompiuterių vartotojų „systemd“ atnaujinimai paprastai nėra kritinis momentas . Taškinio leidimo distribucijose (tipinėse, kurios periodiškai atnaujinamos pagrindinėmis versijomis) normalu, kad „systemd“ versija lieka sustabdyta visą savo gyvavimo ciklą, išskyrus svarbius saugumo ar stabilumo pataisymus.

Tie, kurie nori visada turėti naujausią platformos versiją , dažniausiai renkasi riedančio leidimo platinimus, tokius kaip „Arch Linux“ arba „openSUSE Tumbleweed“, kur „systemd 259“ pasirodys gana greitai ir bus greitai integruota į atnaujinimų srautą.

Kiti projektai, tokie kaip „Fedora“, laikosi politikos, pagal kurią kiekvienos stabilios versijos gyvavimo metu naudojama ta pati pagrindinė „systemd“ versija, o tai suteikia didesnį nuspėjamumą mainais už nedidelį atsilikimą nuo naujausios neapdorotos versijos.

Tuo tarpu išvestinių platinamųjų programų, tokių kaip „Linux Mint“ ar jos „Ubuntu LTS“ pagrindu sukurtos versijos, visata linkusi sinchronizuotis su bazinės sistemos, kurioje jos sukurtos, tempu . Pavyzdžiui, „Linux Mint 22.3“ apima „systemd 255“ ir iš karto neperima 259, teikdama pirmenybę stabilumui, o ne lenktynėms dėl pačios naujausios versijos.

Neramūs administratoriai ir tie, kurie entuziastingai vertina naujas funkcijas, visada gali išbandyti „systemd 259“ bandymų aplinkoje arba atnaujinamuose platinimuose , įvertindami suderinamumą, poveikį pagrindinėms paslaugoms ir elgseną su konkrečia aparatine įranga, prieš galvodami apie perkėlimą į gamybinę aplinką.

„Linux Mint 22.3“ palyginimas: stabilumas ir pažangiausi sprendimai

Kaip priešingybę verta pažvelgti į „Linux Mint 22.3 Zena “, kuri yra aiškus pavyzdys, kaip kai kurie distribucijos teikia pirmenybę stabilumui, o „systemd“ ekosistema toliau vystosi savarankiškai. Ši versija pateikiama kaip naujausias dabartinės serijos atnaujinimas ir rekomenduojama visų tipų vartotojams, garantuojant palaikymą iki 2029 m. balandžio mėn.

„Mint 22.3“ yra paremta „Ubuntu LTS“ su atnaujintu, bet konservatyviu steku ir turi „Linux 6.14“ branduolį, sukurtą, be kita ko, siekiant geriau palaikyti naujausios kartos AMD procesorius. Ji taip pat apima „systemd 255“ ir „Mesa 25“, sukuriančius modernią aplinką be rizikos atnaujinti į naujausią kiekvieno komponento versiją.

Platinamoji versija daugiausia dėmesio skiria darbalaukio patirties tobulinimui . Pagrindinė „Cinnamon 6.6“ aplinka pasižymi atnaujintu, modernesniu ir lankstesniu programų meniu su užapvalintais kampais ir šonine juosta, kurioje grupuojamos naudotojo nuorodos, vietos ir mėgstamiausios programos. Kategorijos nustumtos į antrą planą, kad pačios programos būtų labiau išryškintos.

Šis meniu ne tik atrodo kitaip, bet ir yra kruopščiai pertvarkytas viduje , naudojant modernesnį kodą, kuris pagerina klaviatūros naršymą, turinio atnaujinimą ir būsimą priežiūrą. Tikslas – užtikrinti sklandesnę naudotojų patirtį ir suteikti projektui stabilesnį pagrindą būsimai plėtrai.

Be to, „Mint“ sustiprina klaviatūros išdėstymų ir įvesties metodų palaikymą , suvienodindama tradicinių išdėstymų ir IBus pagrįstų metodų apdorojimą. Tai leidžia derinti XKB išdėstymus su sudėtingais metodais, pavyzdžiui, japonų ar kinų kalbomis, o tai svarbu daugiakalbėje aplinkoje.

Visas šis darbas atitinka „Mint“ ir „Cinnamon“ būsimą strategiją: užtikrinti visišką suderinamumą su „Wayland“ . Iki šiol klaviatūros palaikymas naudojant „Wayland“ buvo gana ribotas, tačiau su šia versija tiek standartiniai išdėstymai, tiek įvesties metodai veikia tinkamai, o ekrano klaviatūra buvo perrašyta iš naujo, panaikinant išorines priklausomybes.

Nepaisant šių patobulinimų, „Cinnamon“ vis dar veikia X11 aplinkoje pagal numatytuosius nustatymus, nors siūlo eksperimentinę sesiją su „Wayland“ , kuri kol kas nerekomenduojama gamybinei aplinkai. Tačiau ši sesija tarnauja kaip bandymų poligonas „Muffin“ langų tvarkyklės ir kitų svarbių komponentų tobulinimui.

Darbalaukio aplinka papildyta patobulinimais, pateiktais „Nemo 6.6“ – failų tvarkyklėje. Pridėta išsamesnė šablonų tvarkyklė , galima pristabdyti ir atnaujinti failų operacijas, patikslintas paieškos tikslumas ir patobulintas miniatiūrų bei padalintų skydelių tvarkymas. Taip pat pristatyti aiškesni vaizdiniai indikatoriai laukiantiems pranešimams ir intuityvesnė darbo srities perjungimo programėlė.

Be to, visoje sistemoje yra keletas nedidelių pakeitimų : naktinės lemputės programėlė su daugiau parinkčių, dalinio mastelio keitimo patobulinimai, daugiau konfigūravimo galimybių „Alt-Tab“ parinkiklyje ir temų parinkiklis, pertvarkytas pagal šeimas ir variantus, skirtas supaprastinti išvaizdos pritaikymą.

„Mint 22.3“ užbaigiant savo ciklą ir ruošiant dirvą „Linux Mint 23“, paremtai būsima „Ubuntu 26.04 LTS“, kontrastas su „systemd 259“ išryškėja: sistemos karkasas tobulėja svaiginančiu tempu , o stabiliai orientuotos distribucijos kruopščiai atrenka, kuriuos technologinius šuolius integruoti kiekvienu momentu.

Įdiegus visus šiuos elementus, „systemd 259“ yra svarbus inicijavimo ir paslaugų tvarkyklės evoliucijos etapas , panaikinantis išskirtinę priklausomybę nuo „glibc“, sustiprinantis saugumą naudojant TPM 2.0, patobulinantis tokius įrankius kaip „run0“ ir „systemd-oomd“ bei pakeliant reikalavimus, kad jie prisitaikytų prie šiuolaikinės „Linux“. Tie, kurie nori visapusiškai išnaudoti šias naujas funkcijas, turės investuoti į suderinamas platformas ir aparatinę įrangą, o konservatyvesnės distribucijos ir toliau nustatys savo tempą, kad subalansuotų stabilumą, ilgalaikę paramą ir laipsnišką šių galimybių diegimą.