Systemd 262 arriba amb seguretat TPM2, OpenSSL 4 i binaris estàtics

La versió 262 del gestor de sistemes i serveis systemd ja està disponible i arriba integrant importants avenços després de tres mesos de desenvolupament. Aquest lliurament destaca per optimitzar la seva arquitectura per a entorns virtualitzats lleugers, millorar els protocols criptogràfics vinculats als mòduls de plataforma segura (TPM) i afegir funcionalitats crítiques a eines natives com run0 i systemd-sysupdate.

Pensant els contenidors que exigeixen una petjada mínima de sistema, systemd ara ofereix la capacitat de compilar-se un sol fitxer executable amb enllaç estàtic. Aquesta compilació (habilitada a través de Meson amb paràmetres com -Dsystemd-multicall-binary=true ) està dissenyada per actuar com el procés d'inici (PID 1) en contenidors molt petits, evitant l'ús de trucades dlopen() per carregar biblioteques dinàmiques i recolzant-se en una cerca simplificada d'usuaris.

Complementant això, l'executable ara embebeix internament un conjunt de fitxers d'unitat essencials ( com ara basic.target, sysinit.target, multi-user.target i reboot.target, entre d'altres). Aquests fitxers integrats s'utilitzen com a suport en cas que no sigui possible carregar les configuracions des del disc, permetent que un contenidor arrenqui sense necessitat d'instal·lar fitxers d'unitat explícitament.

Gestió de serveis i recuperació de fallades

Per mitigar el risc de reinicis sincronitzats quan múltiples serveis fallen simultàniament, heu introduït el paràmetre RestartRandomizedDelaySec . Aquesta directiva afegeix un retard aleatori (uniformement distribuït) abans que un servei es reiniciï automàticament, el qual se suma al temps configurat a RestartSec. Addicionalment, les unitats de segmentació (slice units) incorporen ActivatingConcurrencyMax, un límit que determina el nombre màxim d'unitats que es poden activar simultàniament dins de la jerarquia; qualsevol activació excedent es posa a la cua fins que s'alliberin ranures de capacitat.

En entorns que exigeixen alta disponibilitat contínua (com a servidors crítics), es va implementar el paràmetre LUOSession per a les unitats de servei. Aquest paràmetre ordena a systemd la creació de sessions de Live Update Orchestrator, permetent l'actualització en calent del nucli del sistema (kernel) sense interrompre el funcionament dels serveis i conservant intactes l'estat dels processos i dispositius.

TPM2, fscrypt i seguretat d'emmagatzematge

Altres novetats que presenta la nova versio són a les c re dencials segellades en un TPM, les quals ara es vinculen directament a la seva clau arrel d'emmagatzematge (SRK), prevenint atacs de tipus MitM realitzats per components intermedis que intentin interceptar les dades desxifrades. El registre de credencials PIN de TPM2 mitjançant systemd-cryptenroll incorpora l'algorisme Argon2id com a opció predeterminada, generant material de clau molt més robust que la implementació heretada (direct/PBKDF2).

A nivell d'emmagatzematge d'usuari, systemd-homed ha modificat el seu comportament per als directoris encriptats mitjançant el sistema de fitxers fscrypt: les noves creacions adoptaran per defecte les polítiques de la versió 2 (fscrypt v2), permetent que la clau mestra resideixi a l'anell de claus del sistema de fitxers i sigui visible a través de diferents espais de noms. Els directoris fscrypt v1 continuaran sent funcionals, encara que no comptaran amb una ruta d'actualització in situ cap a v2.

A més, es va incloure suport natiu a l'arrencada per al mòdul del nucli dm-clone, que permet generar clons modificables a partir de dispositius de blocs de només lectura, processats mitjançant el generador systemd-clonesetup-generator llegint des de /etc/clonetab.

Actualitzacions atòmiques i canvis a l'entorn

La suite systemd-sysupdate, dissenyada per a actualitzacions de sistema mitjançant reemplaçament atòmic de particions i directoris, ara manté una base de dades persistent dels fitxers instal·lats. S'incorpora la comanda cleanup per purgar fitxers redundants i es va adoptar el concepte de «components recomanats» (suggested), els quals es poden avaluar dinàmicament segons l'arquitectura o les etiquetes de la màquina (MachineTags) per automatitzar la instal·lació de controladors.

Altres canvis rellevants de la versió 262 inclouen:

• systemd-vmspawn: Afegeix suport per executar màquines virtuals confidencials sota l'arquitectura Intel TDX (–coco=tdx), sumant-se a AMD SEV-SNP.
• OpenSSL i Registre: El sistema d'immutabilitat del registre (Forward Secure Sealing, FSS) migra la biblioteca libgcrypt cap a les funcions criptogràfiques natives d'OpenSSL. S'hi afegeix també suport inicial de compilació contra OpenSSL 4.
• Terminal i Usabilitat: La utilitat d'escalada de privilegis run0 suma opcions compatibles amb sudo, com ara -k, -K i -v per resetejar o validar el temps d'autorització de Polkit. vconsole permet configurar la mida de la tipografia al 100% o 200% mitjançant FONT_SCALE, i les peticions de contrasenya per a tokens FIDO2 ara mostraran els intents restants per al codi PIN.
• systemd-sysctl: Ara inclou la bandera –verify per comprovar mitjançant relectura que el valor escrit al sistema es va aplicar efectivament.

Finalment, si estàs interessat en poder conèixer més sobre això, pots consultar els detalls al següent enllaç.