Lennart Poettering ha presentato alla conferenza All Systems Go 2019 un nuovo componente del gestore di sistema systemd, "Systemd-homed" che ha lo scopo di garantire la portabilità delle home directory degli utenti e la sua separazione dalla configurazione di sistema.
L'idea principale del progetto è creare ambienti autonomi per i dati degli utenti che possono essere trasferiti tra diversi sistemi senza preoccuparsi della sincronizzazione degli identificatori e della privacy. L'ambiente della home directory viene fornito sotto forma di un file immagine montato, i cui dati sono crittografati.
Le credenziali dell'utente sono collegate alla home directory, no alla configurazione del sistema; invece di / etc / passwd e / etc / shadow, viene utilizzato un profilo in formato JSON, archiviato nella directory ~ / .identity.
Il profilo contiene i parametri necessari affinché l'utente possa lavorare, comprese le informazioni su nome, hash password, chiavi di crittografia, quote e risorse fornite. Il profilo può essere autenticato utilizzando una firma digitale memorizzata in un token Yubikey esterno.
Ogni directory che gestisce incapsula sia l'archivio dati che il record utente dell'utente, in modo da descrivere in modo completo l'account dell'utente ed è quindi naturalmente portabile tra i sistemi senza ulteriori metadati esterni.
L'annuncio evidenzia inoltre che:
I parametri possono anche includere informazioni aggiuntive, come le chiavi per SSH, dati per l'autenticazione biometrica, immagine, e-mail, indirizzo, fuso orario, lingua, limiti sul numero di processi e memoria, flag di montaggio aggiuntivi (nodev, noexec, nosuid), dati sulle informazioni utente del server IMAP applicabile / SMTP, informazioni sull'abilitazione del controllo genitori, opzioni di backup, ecc.
L'API Varlink viene fornita per interrogare e analizzare i parametri.
L'UID / GID viene assegnato ed elaborato dinamicamente su ogni sistema locale a cui è collegata la directory home.
Utilizzando il sistema proposto, l'utente può conservare la sua directory home con esso.l, ad esempio, su un'unità Flash e ottenere un ambiente di lavoro su qualsiasi computer senza creare esplicitamente un account su di esso (la presenza di un file con un'immagine della directory home porta alla sintesi dell'utente).
Si propone di utilizzare il sottosistema LUKS2 per la crittografia dei dati, ma systemd-homed consente anche di utilizzare altri backend, ad esempio per directory non crittografate, partizioni di rete Btrfs, Fscrypt e CIFS.
Per gestire le directory portatili, viene proposta l'utility homectl, che permette di creare e attivare immagini delle directory principali, nonché di modificarne le dimensioni e impostare una password.
A livello di sistema, il lavoro è fornito dai seguenti componenti:
- systemd-homed.servizio: gestisce la directory home e incorpora i record JSON direttamente nelle immagini della directory home.
- pam_systemd: elabora i parametri del profilo JSON quando un utente accede e li applica nel contesto di una sessione attivata (esegue l'autenticazione, imposta le variabili di ambiente, ecc.).
- systemd-logind.servizio: elabora i parametri di un profilo JSON quando un utente accede, applica varie impostazioni di gestione delle risorse e imposta limiti.
- nss-systemd: Il modulo NSS per glibc sintetizza le classiche voci NSS basate sul profilo JSON, fornendo il supporto API UNIX per l'elaborazione dell'utente (/ etc / password).
- PID1: crea gli utenti dinamicamente (sintetizza per analogia con la direttiva DynamicUser in unità) e li rende visibili al resto del sistema.
- systemd-userdbd.servizio: traduce gli account UNIX / glibc NSS in record JSON e fornisce un'API Varlink unificata per l'interrogazione e l'elenco dei record.
I vantaggi del sistema proposto includono la possibilità di gestire gli utenti montando la directory / etc in modalità di sola lettura, l'assenza della necessità di sincronizzare gli identificatori (UID / GID) tra i sistemi, l'indipendenza dell'utente da un computer specifico, il blocco dati dell'utente durante la modalità di sospensione, utilizzando la crittografia e metodi di autenticazione moderni.
Infine è importante menzionarlo si prevede di includere questo nuovo componente "Systemd-homed" nella versione principale di systemd 244 o 245.
Se vuoi saperne di più su questo componente, puoi consultare il seguente documento pdf.
Ho paura di questo.
Andiamo, se perdi o rubi quell'unità flash che hai menzionato con la quantità di dati che memorizza, allora puoi quasi arrenderti per infastidito.
Per vari motivi l'idea mi sembra totalmente assurda. Che abitudine ha di voler cambiare cose che a mio modesto parere stanno andando bene e dubito che vedere la storia di queste persone migliorerà la sicurezza.
Fortunatamente ora sono su Artix e mi sto sbarazzando di tutta questa raccolta di sciocchezze, anche se non so per quanto tempo le distribuzioni systemd gratuite possono resistere.
Concordo con quanto dici, dal mio punto di vista l'idea è buona ma manca la parte di sicurezza (qualche tipo di crittografia)
systemd fa schifo !!