{"id":105384,"date":"2022-10-26T15:36:38","date_gmt":"2022-10-26T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/lennart-pottering-predlozhil-novuyu-arhitekturu-verificzirovannoj-zagruzki-linux"},"modified":"2022-10-26T15:36:38","modified_gmt":"2022-10-26T13:36:38","slug":"lennart-pottering-predlozhil-novuyu-arhitekturu-verificzirovannoj-zagruzki-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/lennart-pottering-predlozhil-novuyu-arhitekturu-verificzirovannoj-zagruzki-linux","title":{"rendered":"Lennart Poettering har foresl\u00e5et en ny arkitektur til verificeret opstart af Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Lennart Poettering har offentliggjort et forslag om at modernisere opstartsprocessen for Linux-distributioner, som sigter mod at l\u00f8se eksisterende problemer og forenkle organiseringen af en fuldt verificeret opstart, der bekr\u00e6fter kernen og det grundl\u00e6ggende systemmilj\u00f8s \u00e6gthed. De n\u00f8dvendige \u00e6ndringer til implementering af den nye arkitektur er allerede inkluderet i kodebasen for systemd og ber\u00f8rer komponenter som systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase og systemd-creds. <\/p>\n
De foresl\u00e5ede \u00e6ndringer g\u00e5r ud p\u00e5 at skabe et enkelt universelt billede UKI (Unified Kernel Image), der kombinerer Linux-kernen, en UEFI-kernelopstarter (UEFI boot stub) og det systemmilj\u00f8, som initrd bruger til den indledende initialisering f\u00f8r mount af rodfilsystemet. I stedet for et initrd RAM-diskbillede kan hele systemet pakkes ind i UKI, hvilket muligg\u00f8r oprettelsen af fuldt verificerede systemmilj\u00f8er, der indl\u00e6ses i hukommelsen. UKI-billedet pr\u00e6senteres som en eksekverbar fil i PE-format, som kan indl\u00e6ses ikke kun ved hj\u00e6lp af traditionelle bootloadere, men ogs\u00e5 direkte kaldes fra UEFI-firmware. <\/p>\n
Muligheden for at kalde fra UEFI g\u00f8r det muligt at benytte integritets- og \u00e6gthedskontrol via digital signatur, der d\u00e6kker ikke kun kernen, men ogs\u00e5 indholdet af initrd. Desuden giver underst\u00f8ttelsen af kald fra traditionelle bootloadere mulighed for at bevare funktioner som levering af flere versionskerner og automatisk tilbagevenden til den fungerende kerne i tilf\u00e6lde af problemer med den nye kerne efter opdatering. <\/p>\n
I dag anvendes der i de fleste Linux-distributioner en k\u00e6de i initialiseringsprocessen, der lyder «firmware → Microsofts signaturvaliderede shim-lag → distributionens signaturvaliderede bootloader GRUB → distributionens signaturvaliderede Linux-kernel → usigneret initrd-milj\u00f8 → rod-FS». Manglen p\u00e5 verifikation af initrd i traditionelle distributioner skaber sikkerhedsproblemer, da der blandt andet i dette milj\u00f8 udvindes n\u00f8gler til dekryptering af rod-FS. <\/p>\n
Verifikation af initrd-billedet underst\u00f8ttes ikke, da denne fil genereres p\u00e5 brugerens lokale system og ikke kan signeres med distributionens digitale signatur, hvilket v\u00e6sentligt komplicerer organiseringen af kontrol ved brug af SecureBoot-tilstanden (for at underskrive initrd skal brugeren generere sine egne n\u00f8gler og uploade dem til UEFI-firmware). Derudover tillader den eksisterende opstartstruktur ikke anvendelse af oplysninger fra TPM PCR (Platform Configuration Register) til kontrol af integriteten af brugeromr\u00e5dets komponenter, bortset fra shim, grub og kernen. Blandt de n\u00e6vnte problemer n\u00e6vnes ogs\u00e5 vanskeligheden ved at opdatere bootloaderen og manglen p\u00e5 mulighed for at begr\u00e6nse adgangen til n\u00f8gler i TPM for \u00e6ldre versioner af OS, der er blevet irrelevante efter installation af opdateringen. <\/p>\n
De prim\u00e6re m\u00e5l med implementeringen af den nye opstartarkitektur: <\/p>\n
\n
At levere en fuldt verificeret opstartsproces, der d\u00e6kker alle faser fra firmware til brugeromr\u00e5det, og bekr\u00e6fter \u00e6gthed og integritet af de indl\u00e6ste komponenter.\n
Binding af kontrollerede ressourcer til TPM PCR-registre med opdeling efter ejere.\n
Mulighed for forudbestemmelse af PCR-v\u00e6rdier baseret p\u00e5 de anvendte kerner, initrd, konfiguration og lokal systemidentifikator under opstart.\n
Beskyttelse mod rollback-angreb relateret til nedgradering til tidligere s\u00e5rbare versioner af systemet.\n
Forenkling og forbedring af p\u00e5lideligheden af opdateringer.\n
Underst\u00f8ttelse af systemopdateringer, der ikke kr\u00e6ver genanvendelse eller lokal forberedelse af TPM-beskyttede ressourcer.\n
Systemets parathed til at gennemf\u00f8re fjernattestation for at bekr\u00e6fte korrektheden af den indl\u00e6ste OS og indstillinger.\n
Mulighed for at knytte fortrolige data til bestemte opstartsfaser, f.eks. udtr\u00e6kning af krypteringsn\u00f8gler til roddisken fra TPM.\n
At sikre en sikker, automatisk og brugervenlig proces til l\u00e5sning af n\u00f8gler til dekryptering af disken med rodpartitionen.\n
Brug af chips, der underst\u00f8tter TPM 2.0-specifikationen, med mulighed for at nedgradere til systemer uden TPM. <\/ul>\n