In der Veröffentlichung von Fedora Linux 40 ist die zweite Phase des Übergangs zu einem modernisierten Bootprozess geplant, der von Lennart Poettering vorgeschlagen wurde. Die Unterschiede zum klassischen Bootvorgang bestehen darin, dass anstelle des initrd-Images, das lokal beim Installieren des Kernel-Pakets erstellt wird, ein einheitliches Kernel-Image (UKI, Unified Kernel Image) verwendet wird, das in der Infrastruktur des Distributors generiert und digital signiert ist. Der Vorschlag wurde bislang nicht vom FESCo-Ausschuss (Fedora Engineering Steering Committee), der für den technischen Teil der Entwicklung von Fedora verantwortlich ist, geprüft.
Das UKI-Image vereint in einer Datei den Loader für den Kernel aus UEFI (UEFI boot stub), das Linux-Kernel-Image und das in den Speicher geladene Initialramdisk-Systemumfeld (initrd). Bei der Aufrufung des UKI-Images aus UEFI besteht die Möglichkeit, die Integrität und Authentizität sowohl des Kernels als auch des Inhalts von initrd über die digitale Signatur zu überprüfen. Dies ist wichtig, da in dieser Umgebung die Schlüssel zur Entschlüsselung des Root-Dateisystems extrahiert werden.
Die erste Phase der Implementierung von UKI wurde in Fedora Linux 38 abgeschlossen und führte zur Unterstützung von UKI im Bootloader, zur Bereitstellung von Werkzeugen für die Installation und Aktualisierung von UKI sowie zur Erstellung eines experimentellen UKI-Images für den Bootvorgang. virtuellen Maschinen mit einer begrenzten Anzahl an Komponenten und Treibern.
In der zweiten Phase soll die direkte Bootfähigkeit von UKI aus dem UEFI-Modul shim.efi ohne einen separaten Bootloader (grub, sd-boot) hinzugefügt werden, die Nutzung von UKI auf Aarch64-Systemen ermöglicht und eine Variante des UKI-Images für Cloud-Umgebungen und sichere virtuelle Maschinen vorbereitet werden.
Quelle: opennet.ru
