La version 262 du gestionnaire de systèmes et de services systemd est désormais disponible. Après trois mois de développement, elle intègre des améliorations significatives. Cette version se distingue notamment par l'optimisation de son architecture pour les environnements virtualisés légers, l'amélioration des protocoles cryptographiques liés aux modules de plateforme sécurisée (TPM) et l'ajout de fonctionnalités essentielles aux outils natifs tels que run0 et systemd-sysupdate.
Conçu pour les conteneurs nécessitant une empreinte système minimale, systemd offre désormais la possibilité de compiler un seul fichier exécutable avec liaison statique. Cette compilation (activée via Meson avec des paramètres tels que `-Dsystemd-multicall-binary=true` ) est conçue pour servir de processus de démarrage (PID 1) dans les conteneurs de très petite taille, évitant ainsi l'utilisation de `dlopen()` pour charger les bibliothèques dynamiques et s'appuyant sur une recherche simplifiée des utilisateurs et des groupes au lieu du système de fichiers NSS standard.
De plus, l'exécutable intègre désormais un ensemble de fichiers d'unité essentiels ( tels que basic.target, sysinit.target, multi-user.target et reboot.target, entre autres). Ces fichiers intégrés servent de solution de repli au cas où le chargement des configurations depuis le disque serait impossible , permettant ainsi à un conteneur de démarrer sans installation explicite de fichiers d'unité.
Gestion des services et récupération des pannes
Pour atténuer le risque de redémarrages synchronisés en cas de défaillance simultanée de plusieurs services, le paramètre `RestartRandomizedDelaySec` a été introduit . Cette stratégie ajoute un délai aléatoire (uniformément distribué) avant le redémarrage automatique d'un service, qui s'ajoute au délai configuré dans `RestartSec`. De plus, les unités de découpage intègrent `ActivatingConcurrencyMax`, une limite qui détermine le nombre maximal d'unités pouvant être activées simultanément au sein de la hiérarchie ; toute activation excédentaire est mise en file d'attente jusqu'à ce que des emplacements se libèrent.
Dans les environnements exigeant une haute disponibilité continue (comme les serveurs critiques), le paramètre LUOSession a été implémenté pour les unités de service. Ce paramètre indique à systemd de créer des sessions Live Update Orchestrator, permettant ainsi des mises à jour à chaud du noyau système sans interruption de service et préservant l'état des processus et des périphériques.
TPM2, fscrypt et sécurité du stockage
Parmi les autres nouveautés de cette version, on note que les identifiants scellés dans un TPM sont désormais directement liés à leur clé racine de stockage (SRK), empêchant ainsi les attaques de type « homme du milieu » (MitM) par des composants intermédiaires tentant d'intercepter des données déchiffrées. L'enregistrement des identifiants PIN TPM2 via systemd-cryptenroll utilise par défaut l'algorithme Argon2id, générant ainsi des clés beaucoup plus robustes que l'ancienne implémentation (direct/PBKDF2).
Au niveau du stockage utilisateur, systemd-homed a modifié son comportement pour les répertoires chiffrés avec le système de fichiers fscrypt : les nouveaux répertoires créés utiliseront par défaut les règles de la version 2 (fscrypt v2), permettant ainsi à la clé principale de résider dans le trousseau de clés du système de fichiers et d’être visible depuis différents espaces de noms de montage. Les répertoires chiffrés avec fscrypt v1 resteront fonctionnels, mais ne pourront pas être mis à niveau vers la version 2.
De plus, la prise en charge native du démarrage a été incluse pour le module noyau dm-clone, qui permet la génération de clones modifiables à partir de périphériques de blocs en lecture seule, traités par le systemd-clonesetup-generator en lisant à partir de /etc/clonetab.
Améliorations atomiques et changements environnementaux
La suite systemd-sysupdate, conçue pour les mises à jour système par remplacement atomique des partitions et répertoires, conserve désormais une base de données persistante des fichiers installés. La commande de nettoyage a été ajoutée pour supprimer les fichiers redondants , et le concept de « composants suggérés » a été adopté. Ces composants peuvent être évalués dynamiquement en fonction de l'architecture de la machine ou des MachineTags afin d'automatiser l'installation des pilotes.
Parmi les autres changements importants de la version 262, on peut citer :
- systemd-vmspawn : Ajoute la prise en charge de l'exécution de machines virtuelles confidentielles sous l'architecture Intel TDX (–coco=tdx), rejoignant AMD SEV-SNP.
- OpenSSL et enregistrement : Le système d'immuabilité des enregistrements (Forward Secure Sealing, FSS) est en cours de migration de la bibliothèque libgcrypt vers les fonctions cryptographiques natives d'OpenSSL. La prise en charge initiale de la compilation pour OpenSSL 4 est également en cours d'ajout.
- Terminal et convivialité : L'utilitaire d'élévation de privilèges run0 ajoute des options compatibles avec sudo, telles que -k, -K et -v, pour réinitialiser ou valider le délai d'expiration de l'autorisation de Polkit. vconsole permet de définir la taille de la police à 100 % ou 200 % à l'aide de FONT_SCALE, et les invites de mot de passe pour les jetons FIDO2 afficheront désormais le nombre de tentatives de code PIN restantes.
- systemd-sysctl : Il inclut désormais l'option –verify pour vérifier, par relecture, que la valeur écrite dans le système a bien été appliquée.
Enfin, si vous souhaitez en savoir plus, vous trouverez les détails en suivant ce lien.