В изданието Fedora 38 се предлага реализирането на първата фаза от прехода към модернизиран процес на зареждане, предложен по-рано от Леннарт Поттеринг, за организиране на пълноценен верифициран зареждане, обхващащо всички етапи от флашването до потребителското пространство, а не само ядрото и зареждача. Предложението все още не е разгледано от комитета FESCo (Fedora Engineering Steering Committee), който отговаря за техническата част на разработката на дистрибуцията Fedora.
Компонентите за реализиране на предложената идея вече са интегрирани в systemd 252 и се свеждат до използването на унифициран образ на ядрото UKI (Unified Kernel Image), генериран в инфраструктурата на дистрибуцията и заверен с цифров подпис на дистрибуцията, вместо образа initrd, формиран на локалната система при инсталация на пакета с ядрото. UKI обединява в един файл обработчик за зареждане на ядрото от UEFI (UEFI boot stub), образа на ядрото на Linux и зарежданото в паметта системно заобикаляне initrd. При извикване на образа UKI от UEFI се предоставя възможност за проверка на целостта и достоверността по цифров подпис не само на ядрото, но и на съдържанието на initrd, проверката на достоверността на което е важна, тъй като в тази среда се извършва извличане на ключове за разшифроване на кореновата файлова система.
Поради значителни предстоящи промени внедряването е планирано да бъде разделено на няколко фази. В първата фаза поддръжката на UKI ще бъде добавена в зареждача и ще започне публикуването на опционален образ UKI, който ще бъде фокусиран върху зареждането на виртуални машини с ограничен набор от компоненти и драйвери, както и свързаните с инсталирането и обновяването на UKI инструменти. Във втората и третата фаза се планира отпадане на предаването на настройки в командния ред на ядрото и прекратяване на съхраняването на ключове в initrd.
Източник: opennet.ru
