Lennart Poettering pakkus välja uue verifitseeritud Linuxi käivitamise arhitektuuri

Lennart Poettering avaldas ettepaneku Linuxi jaotuste käivitusprotsessi moderniseerimiseks, mis on suunatud olemasolevate probleemide lahendamisele ja täieliku kontrollitud käivitamise korraldamise lihtsustamisele, kinnitades tuuma ja põhisüsteemi keskkonna usaldusväärsust. Uue arhitektuuri rakendamiseks vajalikud muudatused on juba lisatud systemd koodibaasi ja need katavad selliseid komponente nagu systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase ja systemd-creds.

Ettepanekud keskenduvad ühtse universaalse UKI (Unified Kernel Image) pildi loomisele, mis ühendab Linuxi tuuma, UEFI (UEFI boot stub) tuuma laadimise töötlemise ja mälu laadimise süsteemi keskkonna initrd, mida kasutatakse esialgse initsialiseerimise jaoks enne juurpinna FS montaaži. UKI-s võib initrd RAM-diski pildi asemel olla pakitud kogu süsteem, mis võimaldab luua täielikult kontrollitud süsteemi keskkondi, mis laaditakse RAM-i. UKI pilt esitatakse täidetava failina PE formaadis, mida saab laadida mitte ainult traditsiooniliste käivitusprogrammide kaudu, vaid ka otse UEFI püsivara kaudu.

UEFI kaudu kutsumise võimalus võimaldab kasutada terviklikkuse ja usaldusväärsuse kontrolli digitaalallkirja kaudu, mis katab mitte ainult tuuma, vaid ka initrd sisu. Samas võimaldab traditsiooniliste käivitusprogrammide kaudu kutsumise toetus säilitada selliseid funktsioone nagu mitme tuuma versiooni pakkumine ja automaatne tagasimine töötavale tuumale, kui uue tuumaga tekivad pärast uuenduse installimist probleemid.

Praegu kasutavad enamik Linuxi jaotusi initsialiseerimise protsessis ahelat "püsivara → Microsofti digitaalallkirjaga kinnitatud shim-kihi → jaotuse digitaalallkirjaga kinnitatud GRUB-käivitusprogrammi → jaotuse digitaalallkirjaga kinnitatud Linuxi tuuma → mitte kinnitatud keskkonda initrd → juurpind FS". Initrd-i kinnitamise puudumine traditsioonilistes jaotustes tekitab turvaprobleeme, kuna muu hulgas toimub selles keskkonnas juurpinna FS-i dekrüpteerimise võtmete hankimine.

Initrd pildi allkirjastamine ei ole toetatud, kuna see fail genereeritakse kasutaja kohalikel süsteemidel ja seda ei saa jaotuse digitaalsete allkirjadega allkirjastada, mis muudab SecureBoot režiimi kasutamise korral kontrollimise korraldamise keeruliseks (initrd-allkirjastamiseks peab kasutaja genereerima oma võtmed ja laadima need UEFI püsivara). Lisaks ei võimalda olemasolev laadimisseade kasutada TPM PCR (Platform Configuration Register) registreid kasutajaruumi komponentide terviklikkuse kontrollimiseks, välja arvatud shim, grub ja kernel. Samuti mainitakse olemasolevaid probleeme, nagu laadija värskendamise raskused ja võimaluse puudumine juurdepääsu piiramiseks TPM võtmetele vanadele operatsioonisüsteemidele, mille pakutavad uuendused on pärast värskenduste installimist muutunud ebaoluliseks.

Uue laadimisarhitektuuri rakendamise peamised eesmärgid:

• Pakuda täielikult allkirjastatud laadimisprotsessi, mis katab kõik etapid püsivara kuni kasutajaruumi, ning kinnitab laaditavate komponentide usaldusväärsust ja terviklikkust.
• Kontrollitavate ressursside sidumine TPM PCR registritega omanike lõikes.
• Võimalus eelvääristada PCR-i väärtusi, mis põhinevad kasutataval kernelil, initrd-l, konfiguratsioonil ja süsteemi kohalikul identifikaatoril.
• Kaitse Rollback-rünnakute eest, mis on seotud süsteemi varasemate haavatavate versioonide juurde tagasiviimisega.
• Uuenduste lihtsustamine ja usaldusväärsuse tõstmine.
• Toetada operatsioonisüsteemi uuendusi, mis ei nõua ressursside uuesti rakendamist ega kohalikke ettevalmistusi, mis on kaitstud TPM-i poolt.
• Süsteemi valmisolek kaugattesteerimise läbiviimiseks, et kinnitada laaditava operatsioonisüsteemi ja seadistuste korrektsust.
• Võimalus kinnitada konfidentsiaalseid andmeid teatud laadimisetappidega, näiteks krüpteerimisvõtmete TPM-ist väljavõtmine juurfailisüsteemi jaoks.
• Pakuda turvalist, automaatset ja kasutaja sekkumiseta toimivat võtiteta protsessi juurdepääsu tõkestamiseks juuraru’sse dekodeerimiseks.
• Kasutada kiipe, mis toetavad TPM 2.0 spetsifikatsiooni, võimalusega tagasiviimiseks süsteemidele, millel pole TPM-i.

Allikas: opennet.ru