Versie 262 van de systemd-systeem- en servicemanager is nu beschikbaar en bevat aanzienlijke verbeteringen na drie maanden ontwikkeling. Deze release onderscheidt zich door de optimalisatie van de architectuur voor lichtgewicht gevirtualiseerde omgevingen, de verbetering van cryptografische protocollen gekoppeld aan Trusted Platform Modules (TPM's) en de toevoeging van essentiële functionaliteiten aan native tools zoals run0 en systemd-sysupdate.
Met het oog op containers die een minimale systeembelasting vereisen, biedt systemd nu de mogelijkheid om één uitvoerbaar bestand te compileren met statische koppeling. Deze compilatie (ingeschakeld via Meson met parameters zoals `-Dsystemd-multicall-binary=true` ) is ontworpen om te fungeren als het opstartproces (PID 1) in zeer kleine containers, waardoor het gebruik van `dlopen()`-aanroepen voor het laden van dynamische bibliotheken wordt vermeden en er gebruik wordt gemaakt van een vereenvoudigde gebruikers- en groepszoekfunctie in plaats van de standaard NSS.
Daarnaast bevat het uitvoerbare bestand nu intern een set essentiële unit-bestanden ( zoals basic.target, sysinit.target, multi-user.target en reboot.target, om er maar een paar te noemen). Deze ingebedde bestanden dienen als terugvaloptie voor het geval het niet mogelijk is om de configuraties vanaf de schijf te laden , waardoor een container kan opstarten zonder expliciet unit-bestanden te installeren.
Servicebeheer en foutafhandeling
Om het risico van gesynchroniseerde herstarts te beperken wanneer meerdere services tegelijkertijd uitvallen, is de parameter `RestartRandomizedDelaySec` geïntroduceerd . Dit beleid voegt een willekeurige (gelijkmatig verdeelde) vertraging toe voordat een service automatisch opnieuw opstart. Deze vertraging wordt opgeteld bij de tijd die is geconfigureerd in `RestartSec`. Daarnaast bevatten slice-units `ActivatingConcurrencyMax`, een limiet die het maximale aantal units bepaalt dat tegelijkertijd binnen de hiërarchie kan worden geactiveerd; eventuele extra activaties worden in de wachtrij geplaatst totdat er capaciteitsslots beschikbaar komen.
In omgevingen die continue hoge beschikbaarheid vereisen (zoals kritieke servers), is de parameter LUOSession geïmplementeerd voor service-eenheden. Deze parameter instrueert systemd om Live Update Orchestrator-sessies te creëren, waardoor hot-updates van de systeemkernel mogelijk zijn zonder de werking van services te onderbreken en de status van processen en apparaten te behouden.
TPM2, fscrypt en opslagbeveiliging
Andere nieuwe functies in deze versie zijn onder meer de manier waarop versleutelde referenties in een TPM nu direct gekoppeld zijn aan hun opslagrootsleutel (SRK), waardoor man-in-the-middle (MitM)-aanvallen door tussenliggende componenten die proberen onversleutelde gegevens te onderscheppen, worden voorkomen. De registratie van TPM2 PIN-referenties via systemd-cryptenroll maakt standaard gebruik van het Argon2id-algoritme, wat veel robuuster sleutelmateriaal genereert dan de oude implementatie (direct/PBKDF2).
Op het niveau van gebruikersopslag heeft systemd-homed zijn gedrag aangepast voor mappen die zijn versleuteld met het fscrypt-bestandssysteem: nieuwe mappen zullen standaard de beleidsregels van versie 2 (fscrypt v2) volgen, waardoor de hoofdsleutel in de sleutelring van het bestandssysteem kan worden opgeslagen en zichtbaar is in verschillende mount-namespaces. Mappen die zijn versleuteld met fscrypt v1 blijven functioneel, maar er is geen mogelijkheid meer om ze direct te upgraden naar v2.
Daarnaast werd native boot-ondersteuning toegevoegd voor de dm-clone kernelmodule, waarmee aanpasbare klonen kunnen worden gegenereerd van alleen-lezen blokapparaten. Deze klonen worden verwerkt door de systemd-clonesetup-generator door te lezen uit /etc/clonetab.
Atoomupgrades en milieuveranderingen
De systemd-sysupdate suite, ontworpen voor systeemupdates door partities en mappen atomisch te vervangen, beheert nu een permanente database van geïnstalleerde bestanden. De cleanup-opdracht is toegevoegd om overbodige bestanden te verwijderen , en het concept van "voorgestelde componenten" is overgenomen. Deze componenten kunnen dynamisch worden geëvalueerd op basis van de architectuur van de machine of MachineTags om de installatie van stuurprogramma's te automatiseren.
Andere belangrijke wijzigingen in versie 262 zijn onder meer:
- systemd-vmspawn: Voegt ondersteuning toe voor het uitvoeren van vertrouwelijke virtuele machines onder de Intel TDX-architectuur (–coco=tdx), naast AMD SEV-SNP.
- OpenSSL en registratie: Het systeem voor onveranderlijkheid van records (Forward Secure Sealing, FSS) wordt overgezet van de libgcrypt-bibliotheek naar de eigen cryptografische functies van OpenSSL. Ook wordt er initiële compilatieondersteuning voor OpenSSL 4 toegevoegd.
- Terminal en gebruiksgemak: Het privilege-escalatieprogramma run0 voegt sudo-compatibele opties toe, zoals -k, -K en -v, om de autorisatietimeout van Polkit te resetten of te valideren. Met vconsole kan de lettergrootte worden ingesteld op 100% of 200% met behulp van FONT_SCALE, en wachtwoordprompts voor FIDO2-tokens tonen nu het aantal resterende PIN-pogingen.
- systemd-sysctl: Het bevat nu de vlag –verify om door middel van herlezen te controleren of de naar het systeem geschreven waarde daadwerkelijk is toegepast.
Als u tot slot meer wilt weten, kunt u de details vinden via de volgende link.