Version 262 des System- und Dienstmanagers systemd ist ab sofort verfügbar und enthält nach dreimonatiger Entwicklungszeit bedeutende Verbesserungen. Diese Version zeichnet sich durch eine optimierte Architektur für schlanke virtualisierte Umgebungen, verbesserte kryptografische Protokolle für Trusted Platform Modules (TPMs) sowie wichtige neue Funktionen für native Tools wie run0 und systemd-sysupdate aus.
Mit Blick auf Container, die einen minimalen Systembedarf haben, bietet systemd nun die Möglichkeit, eine einzelne ausführbare Datei mit statischer Verknüpfung zu kompilieren. Diese Kompilierung (aktiviert über Meson mit Parametern wie `-Dsystemd-multicall-binary=true` ) ist so konzipiert, dass sie in sehr kleinen Containern als Startprozess (PID 1) fungiert. Dadurch wird die Verwendung von `dlopen()`-Aufrufen zum Laden dynamischer Bibliotheken vermieden und eine vereinfachte Benutzer- und Gruppensuche anstelle des standardmäßigen NSS verwendet.
Darüber hinaus enthält die ausführbare Datei nun intern eine Reihe wichtiger Unit-Dateien ( wie z. B. basic.target, sysinit.target, multi-user.target und reboot.target). Diese eingebetteten Dateien dienen als Ausweichlösung, falls die Konfigurationen nicht von der Festplatte geladen werden können. Dadurch kann ein Container gestartet werden, ohne dass Unit-Dateien explizit installiert werden müssen.
Servicemanagement und Fehlerbehebung
Um das Risiko synchronisierter Neustarts bei gleichzeitigem Ausfall mehrerer Dienste zu minimieren, wurde der Parameter `RestartRandomizedDelaySec` eingeführt . Diese Richtlinie fügt eine zufällige (gleichverteilte) Verzögerung hinzu, bevor ein Dienst automatisch neu startet. Diese Verzögerung wird zur in `RestartSec` konfigurierten Zeit addiert. Zusätzlich enthalten Slice-Einheiten `ActivatingConcurrencyMax`, ein Limit, das die maximale Anzahl gleichzeitig aktivierbarer Einheiten innerhalb der Hierarchie festlegt. Überschüssige Aktivierungen werden in eine Warteschlange gestellt, bis Kapazitätsplätze verfügbar sind.
In Umgebungen, die eine kontinuierliche Hochverfügbarkeit erfordern (z. B. kritische Server), wurde der LUOSession-Parameter für Service-Units implementiert. Dieser Parameter weist systemd an, Live Update Orchestrator-Sitzungen zu erstellen, wodurch Hot-Updates des Systemkernels ermöglicht werden, ohne den laufenden Betrieb der Dienste zu unterbrechen und den Zustand von Prozessen und Geräten zu erhalten.
TPM2, fscrypt und Speichersicherheit
Zu den weiteren Neuerungen dieser Version gehört die direkte Verknüpfung der versiegelten Anmeldeinformationen in einem TPM mit ihrem Speicherstammschlüssel (SRK). Dadurch werden Man-in-the-Middle-Angriffe (MitM) durch zwischengeschaltete Komponenten, die entschlüsselte Daten abfangen wollen, verhindert. Die Registrierung der TPM2-PIN-Anmeldeinformationen über systemd-cryptenroll verwendet standardmäßig den Argon2id-Algorithmus und erzeugt so deutlich robusteres Schlüsselmaterial als die ältere Implementierung (direkt/PBKDF2).
Auf Benutzerebene hat systemd-homed sein Verhalten für mit dem fscrypt-Dateisystem verschlüsselte Verzeichnisse geändert : Neu erstellte Verzeichnisse verwenden standardmäßig die Richtlinien von Version 2 (fscrypt v2), wodurch der Hauptschlüssel im Schlüsselbund des Dateisystems gespeichert und über verschiedene Mount-Namespaces hinweg sichtbar ist. fscrypt v1-Verzeichnisse bleiben funktionsfähig, bieten jedoch keinen direkten Upgrade-Pfad zu v2.
Darüber hinaus wurde native Boot-Unterstützung für das dm-clone-Kernelmodul hinzugefügt , das die Erzeugung modifizierbarer Klone von schreibgeschützten Blockgeräten ermöglicht, die vom systemd-clonesetup-generator durch Lesen aus /etc/clonetab verarbeitet werden.
Atommodernisierungen und Umweltveränderungen
Die Suite systemd-sysupdate, die für Systemaktualisierungen durch atomares Ersetzen von Partitionen und Verzeichnissen entwickelt wurde, verwaltet nun eine persistente Datenbank der installierten Dateien. Der Befehl `cleanup` wurde hinzugefügt, um redundante Dateien zu entfernen , und das Konzept der „vorgeschlagenen Komponenten“ wurde eingeführt. Diese Komponenten können dynamisch anhand der Rechnerarchitektur oder der MachineTags ermittelt werden, um die Treiberinstallation zu automatisieren.
Weitere wichtige Änderungen in Version 262 sind:
- systemd-vmspawn: Fügt Unterstützung für die Ausführung vertraulicher virtueller Maschinen unter der Intel TDX-Architektur (–coco=tdx) hinzu und schließt sich damit AMD SEV-SNP an.
- OpenSSL und Registrierung: Das Forward Secure Sealing (FSS)-System zur Sicherung der Registerunveränderlichkeit wird von der libgcrypt-Bibliothek in die nativen kryptografischen Funktionen von OpenSSL migriert. Zudem wird die erste Kompilierungsunterstützung für OpenSSL 4 hinzugefügt.
- Terminal und Benutzerfreundlichkeit: Das Dienstprogramm run0 zur Rechteausweitung bietet sudo-kompatible Optionen wie -k, -K und -v, um das Autorisierungs-Timeout von Polkit zurückzusetzen oder zu überprüfen. Mit vconsole lässt sich die Schriftgröße mithilfe von FONT_SCALE auf 100 % oder 200 % einstellen, und bei Passwortabfragen für FIDO2-Token wird nun die Anzahl der verbleibenden PIN-Versuche angezeigt.
- systemd-sysctl: Es enthält nun das Flag „–verify“, um durch erneutes Einlesen zu überprüfen, ob der in das System geschriebene Wert tatsächlich angewendet wurde.
Sollten Sie mehr erfahren wollen, finden Sie die Details unter folgendem Link.