En la versión de Fedora 38 se propone implementar la primera etapa de transición hacia un proceso de arranque modernizado, previamente sugerido por Lennart Poettering, para organizar un arranque verificado completo que abarque todas las etapas, desde el firmware hasta el espacio del usuario, y no solo el núcleo y el cargador de arranque. La propuesta aún no ha sido considerada por el comité FESCo (Fedora Engineering Steering Committee), que es responsable de la parte técnica del desarrollo de la distribución Fedora.
Los componentes para implementar la idea propuesta ya están integrados en systemd 252 y se reducen al uso de una imagen unificada del núcleo UKI (Imagen Unificada del Núcleo) en lugar de la imagen initrd, que se forma en el sistema local al instalar el paquete del núcleo y que es generada en la infraestructura de la distribución y firmada digitalmente. UKI combina en un solo archivo el controlador para cargar el núcleo desde UEFI (UEFI boot stub), la imagen del núcleo de Linux y el entorno del sistema initrd que se carga en memoria. Al invocar la imagen UKI desde UEFI, se ofrece la posibilidad de verificar la integridad y autenticidad mediante la firma digital, no solo del núcleo, sino también del contenido de initrd, cuya verificación es importante ya que en este entorno se extraen las claves para la desencriptación del sistema de archivos raíz.
Debido a los cambios significativos que se avecinan, se planea dividir la implementación en varias etapas. En la primera etapa, el soporte para UKI se añadirá al cargador y comenzará la publicación de una imagen opcional de UKI que estará centrada en el arranque máquinas virtuales con un conjunto limitado de componentes y controladores, así como en las herramientas relacionadas con la instalación y actualización de UKI. En la segunda y tercera etapas se planea eliminar la transmisión de configuraciones en la línea de comandos del núcleo y cesar el almacenamiento de claves en initrd.
Fuente: opennet.ru
