systemd v262 : la sécurité du TPM et de Varlink arrive sur Linux

Tu ne le vois jamais, mais systemd est là à chaque fois que ton Linux démarre. C'est lui qui lance tes services, gère tes sessions et surveille tes disques. La première version candidate de sa prochaine mouture, systemd v262, vient de sortir, et elle est probablement la plus orientée sécurité de toute l'histoire du projet. Voici ce qui change pour toi, et pourquoi tu devrais t'y intéresser.

Un TPM enfin verrouillé pour de bon

Le TPM, c'est la petite puce de sécurité présente sur la plupart des cartes mères récentes. Elle stocke des clés et des secrets à l'abri du système d'exploitation. systemd s'en sert pour sceller des identifiants, par exemple pour déverrouiller un disque chiffré sans taper le mot de passe à chaque démarrage. Jusqu'ici, cette communication avec la puce pouvait être interceptée par un attaquant placé entre les deux.

Avec v262, les identifiants scellés dans le TPM sont désormais épinglés à la clé racine de stockage de la puce. Concrètement, un intermédiaire ne peut plus voler les secrets en route, et le déverrouillage fonctionne même quand la hiérarchie du TPM est protégée par un code PIN. C'est un vrai gain pour quiconque chiffre son disque, comme on le voyait déjà dans notre article sur les failles TPM d'AMD et d'Intel.

Varlink remplace les vieux tuyaux internes

L'autre grand chantier de cette version, c'est le passage de toute la communication interne de systemd sur Varlink, un protocole moderne d'échange entre processus. L'ancien socket UNIX qui servait à piloter udev, le gestionnaire de périphériques, a disparu. Les outils comme udevadm, cryptenroll ou journal utilisent désormais Varlink sans condition.

Pour toi, l'effet est surtout invisible : des échanges plus propres, plus faciles à sécuriser, et une base plus saine pour les mises à jour à chaud et l'installation de systèmes. En revanche, les outils tiers qui dépendaient des anciens sockets devront être mis à jour. Si tu utilises des scripts maison qui parlent directement à udev, vérifie-les avant de passer à v262.

Des machines confidentielles et des conteneurs plus légers

systemd v262 ajoute aussi le support des plateformes de calcul confidentiel comme Intel TDX et AMD SEV-SNP. Ces technologies permettent de faire tourner des machines virtuelles dont la mémoire est chiffrée, à l'abri même de l'hyperviseur. C'est un argument de poids pour les serveurs et le cloud, mais aussi une promesse de confidentialité renforcée pour les données sensibles.

Côté conteneurs, systemd peut désormais être compilé en un seul binaire statique qui joue le rôle de processus numéro un, sans installer le moindre fichier d'unité sur le disque. Pour les micro-conteneurs et l'Internet des objets, c'est un vrai gain de simplicité : un conteneur peut démarrer systemd sans rien installer au préalable.

Crédit : LinuxCompatible — illustration du projet systemd.

Ce qu'il faut surveiller avant de mettre à jour

Comme toute grosse version, v262 introduit des changements qui peuvent casser des configurations existantes. Plusieurs options de compilation ont été retirées, des services ont été renommés, et journalctl refuse désormais certaines combinaisons de filtres qu'il ignorait silencieusement. Les systèmes à mises à jour d'image comme Fedora Atomic ou openSUSE MicroOS verront leurs unités systemd-sysupdate renommées.

La bonne nouvelle, c'est que v262 n'est qu'une candidate. Les distributions comme Fedora, Debian ou Ubuntu devraient l'intégrer dans les prochains mois, avec le temps de lisser les angles. En attendant, les branches stables comme v261 continuent de recevoir des correctifs de sécurité. Si tu veux tester la nouveauté, attends la version finale ou une distribution qui la proposera en bêta.