In der Version von Fedora Linux 40 wird die zweite Phase des Übergangs zu dem von Lennart Poettering vorgeschlagenen modernisierten Bootprozess realisiert. Die Unterschiede zum klassischen Bootvorgang bestehen darin, dass anstelle des bei der Installation des Kernel-Pakets lokal auf dem System erstellten Initrd-Images ein einheitliches Kernel-Image (UKI - Unified Kernel Image) verwendet wird, das in der Infrastruktur der Distribution generiert und durch die digitale Signatur der Distribution beglaubigt wird. Der Vorschlag wurde bisher vom FESCo-Komitee (Fedora Engineering Steering Committee), das für den technischen Teil der Entwicklung der Fedora-Distribution verantwortlich ist, nicht geprüft.
Das UKI-Image vereint in einer Datei den Boot-Handler für das Laden des Kerns aus UEFI (UEFI Boot Stub), das Linux-Kernel-Image und die im Arbeitsspeicher geladene Systemumgebung initrd. Bei der Ausführung des UKI-Images aus UEFI wird die Möglichkeit zur Überprüfung der Integrität und Authentizität sowohl des Kerns als auch des Inhalts der initrd durch die digitale Signatur bereitgestellt, wobei die Authentizität entscheidend ist, da in dieser Umgebung die Schlüssel zur Entschlüsselung des Root-Filesystems extrahiert werden.
Die erste Phase der Einführung von UKI wurde in Fedora Linux 38 durchgeführt und führte zur Unterstützung von UKI im Bootloader, zur Bereitstellung von Werkzeugen zur Installation und Aktualisierung von UKI sowie zur Erstellung eines experimentellen UKI-Images für das Booten. virtuelle Maschinen mit einem eingeschränkten Satz von Komponenten und Treibern.
In der zweiten Phase sollen die Möglichkeit der direkten Boot-UKI aus dem UEFI-Modul shim.efi ohne einen separaten Bootloader (grub, sd-boot) hinzugefügt, die Verwendung von UKI auf Systemen mit der Architektur Aarch64 ermöglicht und eine UKI-Image-Variante für Cloud-Umgebungen und geschützte virtuelle Maschinen vorbereitet werden.
Quelle: opennet.ru
