Lennart Poettering vorgestellt auf der All Systems Go 2019 Konferenz eine neue Komponente des systemd System Managers, "Systemd-homed" die soll die Portabilität der Home-Verzeichnisse der Benutzer sicherstellen und seine Trennung von der Systemkonfiguration.
Die Hauptidee des Projekts besteht darin, autonome Umgebungen für Benutzerdaten zu erstellen Dies kann zwischen verschiedenen Systemen übertragen werden, ohne sich um die Synchronisation von Kennungen und Datenschutz kümmern zu müssen. Die Home-Verzeichnis-Umgebung wird in Form einer gemounteten Image-Datei geliefert, deren Daten verschlüsselt sind.
Benutzeranmeldeinformationen sind an das Ausgangsverzeichnis gebunden. nicht zur Systemkonfiguration; anstelle von / etc / passwd und / etc / shadow, Es wird ein JSON-Formatprofil verwendet. im Verzeichnis ~ / .identity gespeichert.
Das Profil enthält die notwendigen Parameter für den Benutzer zu arbeiten, einschließlich Informationen zu Name, Passwort-Hash, Verschlüsselungsschlüsseln, Quoten und Ressourcen zur Verfügung gestellt. Das Profil kann mithilfe einer digitalen Signatur authentifiziert werden, die in einem externen Yubikey-Token gespeichert ist.
Jedes von ihm verwaltete Verzeichnis kapselt sowohl den Datenspeicher als auch den Benutzerdatensatz des Benutzers, sodass es das Benutzerkonto umfassend beschreibt und daher ohne weitere externe Metadaten natürlich zwischen Systemen portierbar ist.
Die Ankündigung hebt außerdem hervor, dass:
Parameter können auch zusätzliche Informationen enthalten, z. B. Schlüssel für SSH, Daten für die biometrische Authentifizierung, Bild, E-Mail, Adresse, Zeitzone, Sprache, Begrenzung der Anzahl der Prozesse und des Speichers, zusätzliche Bereitstellungsflags (nodev, noexec, nosuid), Daten zu den entsprechenden IMAP-Server-Benutzerinformationen / SMTP, Kindersicherung Aktivierungsinformationen, Sicherungsoptionen usw.
Die Varlink-API dient zum Abfragen und Analysieren von Parametern.
Die UID / GID wird auf jedem lokalen System, mit dem das Home-Verzeichnis verbunden ist, dynamisch zugewiesen und verarbeitet.
Mit dem vorgeschlagenen System kann der Benutzer sein Home-Verzeichnis behalten.l zum Beispiel auf einem Flash-Laufwerk und einer Arbeitsumgebung auf einem beliebigen Computer, ohne explizit ein Konto darauf zu erstellen (das Vorhandensein einer Datei mit einem Image des Home-Verzeichnisses führt zur Benutzersynthese).
Es wird vorgeschlagen, das LUKS2-Subsystem für die Datenverschlüsselung zu verwendenMit systemd-homed können Sie jedoch auch andere Backends verwenden, z. B. für unverschlüsselte Verzeichnisse, Btrfs-, Fscrypt- und CIFS-Netzwerkpartitionen.
Zur Verwaltung tragbarer Verzeichnisse wird das Dienstprogramm homectl vorgeschlagen, mit dem Sie Bilder von Hauptverzeichnissen erstellen und aktivieren sowie deren Größe ändern und ein Kennwort festlegen können.
Auf Systemebene Die Arbeit wird von folgenden Komponenten bereitgestellt:
- systemd-homed.service: verwaltet das Home-Verzeichnis und bettet JSON-Datensätze direkt in Home-Directory-Images ein.
- pam_systemd: verarbeitet die JSON-Profilparameter, wenn sich ein Benutzer anmeldet, und wendet sie im Kontext einer ausgelösten Sitzung an (führt eine Authentifizierung durch, legt Umgebungsvariablen fest usw.).
- systemd-logind.service: verarbeitet die Parameter eines JSON-Profils, wenn sich ein Benutzer anmeldet, verschiedene Ressourcenverwaltungseinstellungen anwendet und Grenzwerte festlegt.
- nss-systemd: Das NSS-Modul für glibc synthetisiert die klassischen NSS-Einträge basierend auf dem JSON-Profil und bietet UNIX-API-Unterstützung für die Benutzerverarbeitung (/ etc / password).
- PID1: Es erstellt Benutzer dynamisch (wird analog zur DynamicUser-Direktive in Einheiten synthetisiert) und macht sie für den Rest des Systems sichtbar.
- systemd-userdbd.service: übersetzt UNIX / glibc-NSS-Konten in JSON-Datensätze und bietet eine einheitliche Varlink-API zum Abfragen und Auflisten von Datensätzen.
Zu den Vorteilen des vorgeschlagenen Systems gehören die Möglichkeit, Benutzer durch Mounten des Verzeichnisses / etc im schreibgeschützten Modus zu verwalten, das Fehlen der Synchronisierung von Kennungen (UID / GID) zwischen Systemen, die Unabhängigkeit des Benutzers von einem bestimmten Computer und das Sperren von Benutzerdaten im Schlafmodus unter Verwendung von Verschlüsselung und modernen Authentifizierungsmethoden.
Schließlich ist es wichtig, das zu erwähnen Es ist geplant, diese neue Komponente aufzunehmen "Systemd-homed" in der Hauptversion von systemd 244 oder 245.
Wenn Sie mehr über diese Komponente erfahren möchten, können Sie das folgende PDF-Dokument konsultieren.
Ich habe Angst davor.
Komm schon, wenn du das Flash-Laufwerk, das du mit der Menge der darin gespeicherten Daten erwähnt hast, verlierst oder stiehlst, kannst du dich fast selbst aufgeben.
Aus verschiedenen Gründen erscheint mir die Idee völlig absurd. Was für eine Angewohnheit er hat, Dinge ändern zu wollen, die meiner bescheidenen Meinung nach gut laufen, und ich bezweifle sehr, dass die Geschichte dieser Menschen die Sicherheit verbessern wird.
Zum Glück bin ich jetzt auf Artix und werde diese ganze Sammlung von Unsinn los, obwohl ich nicht weiß, wie lange die kostenlosen Systemd-Distributionen widerstehen können.
Ich stimme dem zu, was Sie sagen. Aus meiner Sicht ist die Idee gut, aber der Sicherheitsteil fehlt (irgendeine Art von Verschlüsselung).
systemd saugt !!