In der Veröffentlichung von Fedora 38 wird vorgeschlagen, die erste Phase des Übergangs zu einem modernisierten Bootprozess zu realisieren, der zuvor von Lennart Poettering für die Sicherstellung einer vollständigen und verifizierten Boot-Prozedur vorgeschlagen wurde, die alle Phasen von der Firmware bis zum Benutzerspeicher abdeckt, und nicht nur den Kernel und den Bootloader. Der Vorschlag wurde bisher nicht vom FESCo-Komitee (Fedora Engineering Steering Committee), das für den technischen Teil der Entwicklung der Fedora-Distribution verantwortlich ist, behandelt.
Die Komponenten zur Umsetzung der vorgeschlagenen Idee sind bereits in systemd 252 integriert und bestehen aus der Verwendung eines einheitlichen Kernel-Images (UKI), das anstelle des beim Installieren des Kernel-Pakets lokal generierten initrd-Images in der Infrastruktur der Distribution erstellt und digital signiert wird. UKI vereint in einer Datei den Loader für das Booten des Kernels aus UEFI (UEFI-Bootstub), das Linux-Kernel-Image und die in den Speicher geladene Systemumgebung initrd. Bei der Verwendung des UKI-Images aus UEFI wird die Möglichkeit zur Integritäts- und Echtheitsprüfung durch die digitale Signatur nicht nur des Kernels, sondern auch des Inhalts von initrd bereitgestellt, dessen Echtheitsprüfung wichtig ist, da in dieser Umgebung die Schlüssel für die Entschlüsselung des Root-Dateisystems extrahiert werden.
Aufgrund der erheblichen bevorstehenden Änderungen ist die Implementierung auf mehrere Phasen aufgeteilt. In der ersten Phase wird die Unterstützung von UKI dem Bootloader hinzugefügt, und es wird mit der Veröffentlichung eines optionalen UKI-Images begonnen, das sich auf das Booten konzentriert. virtuelle Maschinen mit einem eingeschränkten Satz von Komponenten und Treibern sowie den damit verbundenen Tools für die Installation und Aktualisierung von UKI. In den zweiten und dritten Phasen wird geplant, die Übergabe von Einstellungen über die Kernel-Befehlszeile zu beenden und die Speicherung von Schlüsseln in initrd einzustellen.
Quelle: opennet.ru
