systemd 259: ondersteuning voor musl, beveiliging en belangrijke wijzigingen

Informatec Digital » Bronnen » systemd 259: ondersteuning voor musl, beveiliging en belangrijke wijzigingen

Met systemd 259 is het Linux-ecosysteem opnieuw in beweging, en wel aanzienlijk. Deze versie van het meest gebruikte systeemframework in GNU/Linux introduceert ingrijpende veranderingen in compatibiliteit, beveiliging en resourcebeheer die veel verder gaan dan een simpele routine-update. Hoewel veel van deze nieuwe functies technisch van aard zijn, hebben ze directe gevolgen voor distributies, beheerders en gevorderde gebruikers.

In deze release slaat systemd een belangrijke nieuwe weg in door musl als alternatief voor glibc toe te laten, de minimale vereisten aan te scherpen, de nadruk te leggen op veilig opstarten met TPM 2.0, run0 te blijven promoten als vervanging voor sudo en het gedrag van systemd-oomd te verfijnen voor een betere controle van het geheugenverbruik. Dit alles met behoud van het omvangrijke en controversiële karakter dat het project al jaren kenmerkt.

systemd, het centrale en controversiële onderdeel van het moderne Linux.

Tegenwoordig is systemd het standaard systeemframework in de meeste algemene GNU/Linux-distributies: het beheert het opstarten, services, logboekregistratie, gebruikerssessies en een groot aantal taken op laag niveau die voorheen over meerdere tools verspreid waren. De filosofie om steeds meer functies te integreren heeft het een enorme重要heid binnen het systeem gegeven.

Deze mogelijkheid om cruciale processen, afhankelijkheden en voorzieningen te centraliseren heeft geleid tot wijdverspreide toepassing, maar ook tot een intens debat binnen de gemeenschap. Voor velen vereenvoudigt het de administratie en standaardiseert het de werkwijzen; voor anderen vormt het een zwak punt en een complexiteit die moeilijk te controleren is, met te veel verantwoordelijkheden geconcentreerd in hetzelfde project.

De ontwikkeling van systemd verloopt al een aantal versies in een razend tempo, met frequente releases die nieuwe componenten, interfaces en interne verbeteringen toevoegen . Systemd 259 past perfect in deze trend: het brengt niet alleen kleine aanpassingen, maar ook strategische beslissingen die van invloed zijn op hoe distributies worden gecompileerd, hoe systemen opstarten en hoe resources onder druk worden beheerd.

In deze context is systemd 259 een keerpunt op het gebied van compatibiliteit met C-bibliotheken, ondersteuning voor beveiligingshardware, tools voor privilege-escalatie en platformvereisten, waarmee de rol van systemd in het hart van het besturingssysteem verder wordt versterkt.

Experimentele ondersteuning voor musl: vaarwel aan het monopolie van glibc

De meest opvallende ontwikkeling is de verschijning van experimentele ondersteuning voor musl in systemd 259. Tot nu toe was het project sterk verbonden aan glibc, de referentie-C-bibliotheek voor de meeste traditionele GNU/Linux-distributies.

Musl is op zijn beurt een lichtgewicht C-bibliotheek, die zeer gewaardeerd wordt in minimalistische systemen , containers en efficiëntiegerichte distributies zoals Alpine Linux en andere varianten die gericht zijn op het verminderen van resourceverbruik en aanvalsoppervlak. Jarenlang was de relatie tussen systemd en musl gecompliceerd, juist vanwege deze afhankelijkheid van glibc.

Met deze stap, hoewel nog in de experimentele fase, is systemd niet langer zo exclusief verbonden met libc . Dit opent de reële mogelijkheid om systemd te combineren met musl in omgevingen waar voorheen alternatieve init-systemen werden gebruikt of systemd helemaal werd vermeden vanwege compatibiliteitsproblemen.

De komst van deze ondersteuning brengt aanzienlijke interne veranderingen met zich mee: compilatieveronderstellingen, interfaces en specifieke glibc-aanroepen moesten worden aangepast om de integratie van musl mogelijk te maken zonder het verwachte gedrag te verstoren. Op korte termijn vereist dit intensieve tests door distributeurs en gevorderde gebruikers, maar het legt de basis voor een grotere technologische diversiteit binnen het Linux-ecosysteem.

Deze stap is ook een reactie op historische kritiek op het "gesloten" karakter van systemd in vergelijking met andere C-bibliotheken. Hoewel musl in deze context nog niet dezelfde mate van ondersteuning geniet als glibc, wijst het feit dat er in deze richting gewerkt is op een duidelijke wens om de horizon te verbreden en de rigide afhankelijkheid van de klassieke GNU-stack te verminderen.

Veiliger opstarten: alleen TPM 2.0 voor systemd-boot en systemd-stub

Een andere belangrijke wijziging in systemd 259 heeft directe gevolgen voor beveiligd opstarten op UEFI-systemen . De componenten systemd-boot (de geïntegreerde opstartmanager) en systemd-stub (verantwoordelijk voor het faciliteren van opstarten in UEFI-omgevingen) ondersteunen TPM 1.2 niet langer, maar richten zich uitsluitend op TPM 2.0.

Het idee achter deze beslissing is om de beveiliging te versterken door alleen de versie van TPM te ondersteunen die als het meest robuust en actueel wordt beschouwd . TPM 2.0 biedt verbeterde cryptografische mogelijkheden en een flexibeler raamwerk voor scenario's zoals gecontroleerd opstarten, integriteitscontrole en het versleutelen van geheimen die gekoppeld zijn aan de systeemstatus.

Het nadeel is duidelijk: systemen die nog steeds afhankelijk zijn van TPM 1.2 zullen geen ondersteuning voor deze functies ontvangen . In de praktijk kan dit betekenen dat het moederbord vervangen moet worden of dat bepaalde beveiligde opstartfuncties op basis van systemd-boot en systemd-stub verloren gaan als de hardware niet wordt bijgewerkt.

In veel thuisomgevingen worden Secure Boot en TPM echter vaak uitgeschakeld in Linux-installaties, zowel voor het gemak als vanwege de historische problemen die ze hebben veroorzaakt met drivercompatibiliteit, alternatieve opstartopties of dual-system-systemen met Windows.

Desondanks is deze wijziging voor zakelijke of professionele toepassingen die afhankelijk zijn van een veilige opstartprocedure met TPM 2.0 , in lijn met de trend in de sector: het vereenvoudigt de code door compatibiliteit met oudere systemen te elimineren en vermindert de risico's die gepaard gaan met oudere cryptografische stacks.

run0 wint aan populariteit als modern alternatief voor sudo

Een van de tools die de meeste nieuwsgierigheid wekt binnen het systemd-ecosysteem is run0, ontworpen als vervanging voor sudo . sudo is al decennialang de de facto standaard voor het uitvoeren van commando's met verhoogde privileges op Unix-achtige systemen, maar het ontwerp en de configuratie ervan zijn historisch gezien traag.

Met run0 wil het systemd-team het volgende bereiken: om een ​​meer geïntegreerde en gecontroleerde aanpak te bieden voor privilege-escalatie.Versie 259 bevat een belangrijke nieuwe functie: het argument. --empower, waarmee je een nieuwe sessie met verhoogde privileges kunt starten zonder expliciet over te schakelen naar de root-gebruiker.

De filosofie achter deze optie is om het directe gebruik van het root-account verder te beperken , iets wat beveiliging altijd probeert te vermijden of op zijn minst zoveel mogelijk te beperken. In plaats van in te loggen als root of misbruik te maken van geprivilegieerde shells, wordt een model voorgesteld dat gebaseerd is op verhoogde sessies met fijnere controlemechanismen.

Desondanks zijn niet alle methoden voor het beheren van verhoogde privileges gelijkwaardig, en de wijdverspreide toepassing van run0 bevindt zich nog in een vroeg stadium . Beheerders en distributeurs zullen moeten beoordelen of dit model beter aansluit bij hun specifieke scenario's dan sudo, rekening houdend met auditvereisten, compatibiliteit met bestaande tools en vastgestelde toegangsbeleidsregels.

De actieve ontwikkeling van run0 wijst er in ieder geval op dat systemd zich niet beperkt tot het coördineren van services, maar ernaar streeft meer lagen van systeembeheer te omvatten, waaronder het dagelijkse beheer van machtigingen dat tot nu toe bijna volledig aan externe hulpprogramma's was uitbesteed.

systemd-oomd: meer controle over geheugenintensieve processen

Wat betreft systeemstabiliteit versterkt systemd 259 de rol van systemd-oomd als geheugenbeheerder . Deze component is verantwoordelijk voor het reageren wanneer het RAM-geheugen opraakt, door selectief processen te beëindigen voordat het hele systeem vastloopt.

De belangrijkste nieuwe functie is de toevoeging van de eigenschappen OOMKills en ManagedOOMKills aan de service-eenheden. Met deze eigenschappen kunt u tellen hoeveel processen door de kernel of door systemd-oomd zelf zijn beëindigd, waardoor u veel meer inzicht krijgt in hoe geheugenproblemen worden opgelost.

Deze informatie is vooral nuttig wanneer een applicatie oncontroleerbaar veel RAM-geheugen verbruikt , bijvoorbeeld door geheugenlekken, verkeerde configuraties of onverwachte belasting. Door bij te houden hoe vaak het Out-of-Money (OOM)-mechanisme is geactiveerd, kunnen beheerders problematische patronen detecteren en limieten aanpassen voordat de situatie zich opnieuw voordoet.

Het idee is dat het systeem, in plaats van volledig te blokkeren, selectief de meest schadelijke processen beëindigt , waardoor de algehele responsiviteit behouden blijft. Met deze tellers die toegankelijk zijn vanuit systemd-units, wordt het gemakkelijker om te controleren welke services de terugkerende boosdoeners zijn achter kritieke situaties.

Al met al bevestigen de verbeteringen aan systemd-oomd een duidelijke trend: geautomatiseerd resourcebeheer wordt een eerste verdedigingslinie tegen catastrofale storingen, met gedetailleerdere meetgegevens en minder ondoorzichtige beslissingen voor de systeembeheerders.

Overige interne verbeteringen en relevante wijzigingen in systemd 259

Naast de belangrijkste verbeteringen bevat systemd 259 een aantal technische aanpassingen die verschillende onderdelen van het framework verfijnen en die wellicht onopgemerkt blijven, maar wel degelijk een praktische impact hebben in de praktijk.

Enerzijds is de implementatie van Varlink voor IPC-communicatie binnen de servicemanager uitgebreid en biedt nu veel meer mogelijkheden. Dit maakt het voor externe tools en beheerlagen gemakkelijker om op een rijkere en meer gestructureerde manier met systemd te communiceren, waardoor de interne informatie die het verwerkt beter kan worden benut.

Componenten zoals systemd-udevd en systemd-repart zijn ook verbeterd met betrekking tot het opnieuw lezen van partitietabellen op blokapparaten. De nieuwe aanpak is geleidelijker en zorgvuldiger, waardoor het risico op inconsistenties of onderbrekingen bij het hot-swappen van partities of het manipuleren van schijven in complexe systemen wordt verminderd.

Naast de TPM-wijzigingen bevat systemd-boot nu ook verschillende logniveaus , wat helpt bij het debuggen van opstartproblemen en het aanpassen van de detailniveaus aan de behoeften: van stillere afsluitingen voor stabiele omgevingen tot gedetailleerde logboeken voor diagnostische sessies.

Een ander interessant punt is dat kenmerken zoals Linux-auditondersteuning, PAM, libacl, libblkid, libseccomp, libselinux en libmount Ze worden vervolgens in rekening gebracht door dlopen() In plaats van de standaard dynamische koppeling. Deze strategie verlaagt het basisgewicht van het binaire bestand en maakt lichtere omgevingen mogelijk, wat vooral handig is binnen containers waar niet altijd de volledige set bibliotheken nodig is.

Bovendien laadt systemd-modules-load nu kernelmodules parallel , waardoor het opstartproces op machines met meerdere geconfigureerde modules wordt versneld. Naarmate systemen meer functionaliteit in de vorm van modules integreren, helpt deze parallelisatie om moderne CPU's beter te benutten.

Op cryptografisch gebied breidt systemd-integrity-setup zijn ondersteunde algoritmen uit en ondersteunt nu HMAC-SHA256, PHMAC-SHA256 en PHMAC-SHA512, waardoor het scala aan opties om de integriteit van gevoelige gegevens en configuraties te waarborgen, wordt versterkt.

Een verandering die veel beheerders zullen opmerken, is dat de standaard opslagmodus voor logboeken nu 'permanent' is in plaats van 'automatisch'. Dit betekent dat, mits er ondersteuning is, logboeken standaard permanent op de schijf worden opgeslagen, waardoor audits en diagnostiek worden vergemakkelijkt zonder dat de initiële configuratie handmatig hoeft te worden aangepast.

Strengere minimumvereisten: alleen voor moderne platforms.

Versie 259 brengt ook een aanzienlijke verhoging van de minimale systeemvereisten met zich mee voor het draaien van systemd onder ondersteunde omstandigheden. Deze beslissing versterkt de aansluiting op modernere platformen.

Van de gepubliceerde vereisten springt glibc 2.34 eruit als de minimale versie , wat omgevingen die gebaseerd zijn op zeer oude C-bibliotheken direct uitsluit. Linux 5.10 is ook vereist als kernelversie , hoewel de ontwikkelaars de 5.14-tak aanbevelen voor prestaties die beter aansluiten bij de huidige functionaliteiten.

Op het gebied van cryptografie is OpenSSL 3.0.0 de nieuwe minimumstandaard geworden , waarmee eerdere versies waarvan de ondersteuning bijna is beëindigd, worden vervangen. De stack is tevens aangevuld met afhankelijkheden zoals cryptsetup 2.4.0 en libseccomp 2.4.0, die nodig zijn om de encryptie- en isolatiefuncties correct te kunnen gebruiken.

systemd 259 vereist ook Python 3.9 of hoger voor bepaalde tools en scripts . Dit betekent dat systemen met oudere Python-versies moeten worden geüpgraded als ze geïntegreerde workflows willen behouden zonder extra patches.

Daarnaast zijn essentiële componenten zoals libxcrypt 4.4.0, util-linux 2.37 en andere gebruikersruimtebibliotheken inbegrepen , allemaal met als doel de technologische basis te verenigen in versies die de veiligheid en consistentie met de rest van het ecosysteem garanderen.

Als neveneffect kunnen deze vereisten de acceptatie van systemd 259 op oudere hardware of zeer conservatieve distributies beperken , maar tegelijkertijd vereenvoudigen ze het onderhoud van de code en verminderen ze de noodzaak om compatibiliteit met verouderde API's te behouden.

Impact op de distributie en de eindgebruiker

In de praktijk zijn systemd-updates voor de meeste desktopgebruikers meestal geen cruciaal moment . Bij puntrelease-distributies (de typische distributies die periodiek worden bijgewerkt met grote versies) is het normaal dat een systemd-versie gedurende de gehele levenscyclus ongewijzigd blijft, behalve voor belangrijke beveiligings- of stabiliteitspatches.

Wie altijd de nieuwste versie van het framework wil hebben, kiest meestal voor rolling release-distributies, zoals Arch Linux of openSUSE Tumbleweed, waar systemd 259 relatief snel beschikbaar komt en vlot in het updateproces wordt geïntegreerd.

Andere projecten, zoals Fedora, hanteren het beleid om gedurende de hele levensduur van elke stabiele release dezelfde hoofdversie van systemd te behouden . Dit zorgt voor meer voorspelbaarheid, maar is in ruil voor een kleine achterstand op de meest recente ruwe release.

Ondertussen synchroniseert het universum van afgeleide distributies, zoals Linux Mint of de op Ubuntu LTS gebaseerde varianten, zich over het algemeen met het tempo van het basissysteem waarop ze zijn gebouwd . Linux Mint 22.3 bevat bijvoorbeeld systemd 255 en neemt niet direct versie 259 over, waarbij stabiliteit prioriteit krijgt boven de race naar de allernieuwste versie.

Voor ongeduldige beheerders en enthousiastelingen over nieuwe functies is er altijd de mogelijkheid om systemd 259 te testen in testomgevingen of rolling distributions , om de compatibiliteit, de impact op belangrijke services en het gedrag met specifieke hardware te evalueren voordat er aan migraties naar productie wordt gedacht.

Linux Mint 22.3 als contrast: stabiliteit versus geavanceerde technologie

Als tegenargument is het de moeite waard om Linux Mint 22.3 "Zena " te bekijken . Deze versie is een duidelijk voorbeeld van hoe sommige distributies prioriteit geven aan stabiliteit, terwijl het systemd-ecosysteem zich onafhankelijk blijft ontwikkelen. Deze versie wordt gepresenteerd als de nieuwste update in de huidige reeks en wordt aanbevolen voor alle soorten gebruikers, met gegarandeerde ondersteuning tot april 2029.

Mint 22.3 is gebaseerd op Ubuntu LTS, met een bijgewerkte maar conservatieve stack , en wordt geleverd met een Linux 6.14-kernel die onder andere is ontworpen om betere ondersteuning te bieden voor de nieuwste generatie AMD-processoren. Het bevat ook systemd 255 en Mesa 25, waardoor een moderne omgeving ontstaat zonder de risico's van het upgraden naar de nieuwste versie van elk onderdeel.

De distributie richt zich voornamelijk op het verbeteren van de desktopervaring . Cinnamon 6.6, de belangrijkste omgeving, beschikt over een opnieuw ontworpen, moderner en flexibeler applicatiemenu met afgeronde hoeken en een zijbalk waarin snelkoppelingen, locaties en favoriete applicaties van de gebruiker zijn gegroepeerd. Categorieën spelen een ondergeschikte rol om de apps zelf meer in de spotlight te zetten.

Dit menu heeft niet alleen een nieuwe look, maar is ook intern grondig herzien . De code is gemoderniseerd en verbetert de toetsenbordnavigatie, de actualisering van de inhoud en het toekomstig onderhoud. Het doel is om gebruikers een soepelere gebruikerservaring te bieden en het project een stabielere basis te geven voor toekomstige ontwikkelingen.

Bovendien versterkt Mint de ondersteuning voor toetsenbordindelingen en invoermethoden , waardoor de verwerking van traditionele indelingen en IBus-gebaseerde methoden wordt geharmoniseerd. Dit maakt het mogelijk om XKB-indelingen te combineren met complexe methoden, bijvoorbeeld voor Japans of Chinees, wat belangrijk is in meertalige omgevingen.

Al dit werk sluit aan bij de toekomstige strategie van Mint en Cinnamon: het garanderen van volledige Wayland-compatibiliteit . Tot nu toe was de toetsenbordondersteuning onder Wayland vrij beperkt, maar met deze release werken zowel standaardindelingen als invoermethoden correct, en is het virtuele toetsenbord volledig opnieuw geschreven, waardoor externe afhankelijkheden zijn geëlimineerd.

Ondanks deze verbeteringen draait Cinnamon standaard nog steeds op X11, hoewel het een experimentele sessie met Wayland aanbiedt die nog niet wordt aanbevolen voor productieomgevingen. Deze sessie dient echter als testomgeving voor verbeteringen aan de Muffin-vensterbeheerder en andere belangrijke componenten.

De desktopomgeving wordt aangevuld met verbeteringen aan Nemo 6.6, de bestandsbeheerder, die een uitgebreidere sjabloonbeheerder toevoegt , het pauzeren en hervatten van bestandsbewerkingen mogelijk maakt, de zoeknauwkeurigheid verfijnt en de weergave van miniaturen en gesplitste panelen verbetert. Ook zijn er duidelijkere visuele indicatoren voor openstaande meldingen en een intuïtievere applet voor het wisselen van werkruimtes geïntroduceerd.

Daarnaast zijn er diverse kleine aanpassingen in het hele systeem : een applet voor de nachtverlichting met meer opties, verbeteringen aan de fractionele schaalvergroting, meer configuratiemogelijkheden in de Alt-Tab-selector en een themaselector die is geherorganiseerd per familie en variant, ontworpen om het aanpassen van het uiterlijk te vereenvoudigen.

Nu Mint 22.3 zijn cyclus afsluit en de weg vrijmaakt voor Linux Mint 23, gebaseerd op de aankomende Ubuntu 26.04 LTS, is het contrast met systemd 259 duidelijk: het systeemframework ontwikkelt zich in een duizelingwekkend tempo , terwijl stabiele distributies zorgvuldig selecteren welke technologische sprongen ze op elk moment integreren.

Met al deze elementen op hun plaats is systemd 259 een belangrijke mijlpaal in de evolutie van de init- en servicemanager . Het breekt de exclusieve afhankelijkheid van glibc, versterkt de beveiliging met TPM 2.0, verfijnt tools zoals run0 en systemd-oomd en legt de lat hoger voor de vereisten om zich aan te passen aan het hedendaagse Linux. Wie optimaal wil profiteren van deze nieuwe functies, zal moeten investeren in compatibele platforms en hardware, terwijl meer conservatieve distributies hun eigen tempo zullen blijven bepalen om een ​​balans te vinden tussen stabiliteit, ondersteuning op lange termijn en de geleidelijke implementatie van deze mogelijkheden.