Ve Fedora 38 se navrhuje realizace první fáze přechodu na modernizovaný proces zavádění, dříve navržený Lennartem Poetteringem, pro zajištění plně ověřeného zavádění, které pokrývá všechny etapy od firmwaru až po uživatelský prostor, a ne jen jádro a zaváděcí program. Návrh dosud nebyl projednán výborem FESCo (Fedora Engineering Steering Committee), který odpovídá za technickou část vývoje distribuce Fedora.
Komponenty pro realizaci navrhované myšlenky jsou již integrovány do systemd 252 a spočívají v používání místo obrazu initrd, vytvářeného na lokálním systému při instalaci balíčku s jádrem, sjednoceného obrazu jádra UKI (Unified Kernel Image), generovaného v infrastruktuře distribuce a podepsaného digitálním podpisem distribuce. UKI spojuje v jednom souboru zavaděč pro zavedení jádra z UEFI (UEFI boot stub), obraz jádra Linux a do paměti zaváděné systémové prostředí initrd. Při volání obrazu UKI z UEFI je zajištěna možnost kontroly integrity a důvěryhodnosti prostřednictvím digitálního podpisu nejen jádra, ale také obsahu initrd, jehož ověření je důležité, protože v tomto prostředí dochází k extrakci klíčů pro dešifrování kořenového FS.
Vzhledem k významným změnám se implementace plánuje rozdělit do několika fází. V první fázi bude podpora UKI přidána do zavaděče a začne publikace volitelného obrazu UKI, který se zaměří na zavádění virtuálních strojů s omezeným souborem komponent a ovladačů, jakož i nástrojů souvisejících s instalací a aktualizací UKI. Ve druhé a třetí fázi se plánuje přestat předávat nastavení v příkazovém řádku ya dro a přestat uchovávat klíče v initrd.
Zdroj: opennet.ru
