Lennart Pottering একটি নতুন লিনাক্স যাচাইকৃত বুট আর্কিটেকচার প্রস্তাব করেছেন

Lennart Poettering লিনাক্স ডিস্ট্রিবিউশনের জন্য বুট প্রক্রিয়া আধুনিকীকরণের একটি প্রস্তাব প্রকাশ করেছে, যার লক্ষ্য বিদ্যমান সমস্যাগুলি সমাধান করা এবং একটি সম্পূর্ণ যাচাইকৃত বুটের সংগঠনকে সহজ করা যা কার্নেলের নির্ভরযোগ্যতা এবং অন্তর্নিহিত সিস্টেম পরিবেশ নিশ্চিত করে। নতুন আর্কিটেকচার বাস্তবায়নের জন্য প্রয়োজনীয় পরিবর্তনগুলি ইতিমধ্যেই systemd কোডবেসে অন্তর্ভুক্ত করা হয়েছে এবং systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase এবং systemd-creds এর মতো উপাদানগুলিকে প্রভাবিত করে।

লিনাক্স কার্নেল ইমেজ, UEFI (UEFI বুট স্টাব) থেকে কার্নেল লোড করার জন্য একটি হ্যান্ডলার এবং মেমরিতে লোড করা initrd সিস্টেম এনভায়রনমেন্টের সমন্বয়ে প্রস্তাবিত পরিবর্তনগুলি একটি একক সার্বজনীন ইমেজ UKI (ইউনিফাইড কার্নেল ইমেজ) তৈরিতে ফুটে ওঠে, রুট FS মাউন্ট করার আগে পর্যায়ে প্রাথমিক সূচনা। একটি initrd RAM ডিস্ক চিত্রের পরিবর্তে, সমগ্র সিস্টেমটি UKI-তে প্যাকেজ করা যেতে পারে, যা আপনাকে RAM-তে লোড করা সম্পূর্ণরূপে যাচাইকৃত সিস্টেম পরিবেশ তৈরি করতে দেয়। UKI ইমেজটিকে PE ফরম্যাটে একটি এক্সিকিউটেবল ফাইল হিসেবে ফর্ম্যাট করা হয়েছে, যা শুধুমাত্র প্রথাগত বুটলোডার ব্যবহার করেই লোড করা যায় না, কিন্তু সরাসরি UEFI ফার্মওয়্যার থেকে কল করা যায়।

UEFI থেকে কল করার ক্ষমতা আপনাকে একটি ডিজিটাল স্বাক্ষর অখণ্ডতা পরীক্ষা ব্যবহার করতে দেয় যা শুধুমাত্র কার্নেল নয়, initrd-এর বিষয়বস্তুও কভার করে। একই সময়ে, প্রথাগত বুটলোডারদের থেকে কল করার জন্য সমর্থন আপনাকে কার্নেলের বিভিন্ন সংস্করণের ডেলিভারি এবং আপডেট ইনস্টল করার পরে নতুন কার্নেলে সমস্যা সনাক্ত করা হলে একটি কার্যকরী কার্নেলে স্বয়ংক্রিয় রোলব্যাকের মতো বৈশিষ্ট্যগুলি ধরে রাখতে দেয়।

বর্তমানে, বেশিরভাগ লিনাক্স ডিস্ট্রিবিউশনে, ইনিশিয়ালাইজেশন প্রক্রিয়া চেইন ব্যবহার করে “ফার্মওয়্যার → ডিজিটালি স্বাক্ষরিত মাইক্রোসফ্ট শিম লেয়ার → GRUB বুট লোডার ডিস্ট্রিবিউশন দ্বারা ডিজিটালভাবে স্বাক্ষরিত → ডিজিটালি স্বাক্ষরিত লিনাক্স কার্নেল → অ-স্বাক্ষরিত initrd পরিবেশ → রুট FS”। প্রথাগত ডিস্ট্রিবিউশনে initrd যাচাইকরণের অভাব নিরাপত্তা সমস্যার সৃষ্টি করে, যেহেতু অন্যান্য বিষয়ের মধ্যে, এই পরিবেশে রুট ফাইল সিস্টেম ডিক্রিপ্ট করার কীগুলি পুনরুদ্ধার করা হয়।

initrd ছবির যাচাইকরণ সমর্থিত নয় যেহেতু এই ফাইলটি ব্যবহারকারীর স্থানীয় সিস্টেমে তৈরি করা হয়েছে এবং ডিস্ট্রিবিউশন কিটের ডিজিটাল স্বাক্ষর দিয়ে প্রত্যয়িত করা যাবে না, যা SecureBoot মোড ব্যবহার করার সময় যাচাইকরণের সংস্থাকে ব্যাপকভাবে জটিল করে তোলে (initrd যাচাই করার জন্য, ব্যবহারকারীকে তাদের নিজস্ব কী তৈরি করতে হবে এবং সেগুলিকে UEFI ফার্মওয়্যারে লোড করতে হবে)। উপরন্তু, বর্তমান বুট সংস্থা শিম, গ্রুব এবং কার্নেল ব্যতীত অন্য ব্যবহারকারী স্থানের উপাদানগুলির অখণ্ডতা নিয়ন্ত্রণ করতে TPM PCR (প্ল্যাটফর্ম কনফিগারেশন রেজিস্টার) রেজিস্টার থেকে তথ্য ব্যবহারের অনুমতি দেয় না। বিদ্যমান সমস্যাগুলির মধ্যে, বুটলোডার আপডেট করার জটিলতা এবং OS-এর পুরানো সংস্করণগুলির জন্য TPM-এ কীগুলির অ্যাক্সেস সীমাবদ্ধ করার অক্ষমতা যা আপডেটটি ইনস্টল করার পরে অপ্রাসঙ্গিক হয়ে উঠেছে তাও উল্লেখ করা হয়েছে।

নতুন লোডিং আর্কিটেকচার প্রবর্তনের প্রধান লক্ষ্যগুলি হল:

• একটি সম্পূর্ণ যাচাইকৃত বুট প্রক্রিয়া প্রদান করা যা ফার্মওয়্যার থেকে ব্যবহারকারীর স্থান পর্যন্ত বিস্তৃত, বুট করা উপাদানগুলির বৈধতা এবং অখণ্ডতা নিশ্চিত করে।
• নিয়ন্ত্রিত সংস্থানগুলিকে TPM PCR রেজিস্টারের সাথে লিঙ্ক করা, মালিক দ্বারা পৃথক করা।
• বুট করার সময় ব্যবহৃত কার্নেল, initrd, কনফিগারেশন এবং স্থানীয় সিস্টেম আইডির উপর ভিত্তি করে PCR মান প্রাক-গণনা করার ক্ষমতা।
• সিস্টেমের পূর্ববর্তী দুর্বল সংস্করণে ফিরে যাওয়ার সাথে যুক্ত রোলব্যাক আক্রমণের বিরুদ্ধে সুরক্ষা।
• সরলীকরণ এবং আপডেট নির্ভরযোগ্যতা বৃদ্ধি.
• OS আপডেটগুলির জন্য সমর্থন যেগুলি পুনরায় অ্যাপ্লিকেশন বা TPM-সুরক্ষিত সংস্থানগুলির স্থানীয় বিধানের প্রয়োজন নেই৷
• লোড করা OS এবং সেটিংসের সঠিকতা নিশ্চিত করতে সিস্টেমটি দূরবর্তী শংসাপত্রের জন্য প্রস্তুত।
• নির্দিষ্ট বুট পর্যায়ে সংবেদনশীল ডেটা সংযুক্ত করার ক্ষমতা, উদাহরণস্বরূপ, TPM থেকে রুট ফাইল সিস্টেমের জন্য এনক্রিপশন কী বের করা।
• একটি রুট পার্টিশন ড্রাইভ ডিক্রিপ্ট করার জন্য কীগুলি আনলক করার জন্য একটি সুরক্ষিত, স্বয়ংক্রিয় এবং ব্যবহারকারী-মুক্ত প্রক্রিয়া প্রদান করা।
• TPM ছাড়া সিস্টেমে রোলব্যাক করার ক্ষমতা সহ TPM 2.0 স্পেসিফিকেশন সমর্থন করে এমন চিপগুলির ব্যবহার।

উত্স: opennet.ru