В изданието Fedora 38 се предлага реализиране на първата фаза на прехода към модернизиран процес на зареждане, предложен по-рано от Ленарт Поттеринг за осигуряване на пълноценна верифицирана зареждане, обхващащо всички етапи от флаша до потребителското пространство, а не само ядрото и заредителя. Предложението все още не е разгледано от комитета FESCo (Fedora Engineering Steering Committee), отговарящ за техническата част на разработката на дистрибуцията Fedora.
Компонентите за реализиране на предложената идея вече са интегрирани в systemd 252 и съществуват в замяна на образа initrd, формируем на локалната система при инсталирането на пакета с ядрото, унифицирания образ на ядрото UKI (Unified Kernel Image), генериран в инфраструктурата на дистрибуцията и заверен с цифрово подписване от дистрибуцията. UKI обединява в един файл обработчика за зареждане на ядрото от UEFI (UEFI boot stub), образа на ядрото на Linux и зареждаемото в паметта системно околна среда initrd. При извикване на образа UKI от UEFI се предоставя възможност за проверка на целостта и достоверността по цифровото подписване не само на ядрото, но и на съдържанието на initrd, проверката на достоверността на което е важна, тъй като в тази среда се извършва извличането на ключовете за декриптиране на кореновата файловата система.
Поради значителните предстоящи промени внедрението се планира да бъде разделено на няколко фази. В първата фаза поддръжката на UKI ще бъде добавена в заредителя и ще започне публикуването на опционален образ на UKI, който ще бъде фокусиран върху зареждането виртуални машини с ограничен набор от компоненти и драйвери, както и свързаните с инсталирането и обновяване на UKI инструменти. Във втората и третата фаза се планира да се премахне предаването на настройки в командния ред на ядрото и да се спре съхранението на ключовете в initrd.
Източник: opennet.ru
