Lennart Poettering a publi\u00e9 une proposition de modernisation du processus de d\u00e9marrage des distributions Linux, visant \u00e0 r\u00e9soudre les probl\u00e8mes existants et \u00e0 simplifier l'organisation d'un d\u00e9marrage v\u00e9rifi\u00e9, confirmant l'authenticit\u00e9 du noyau et de l'environnement syst\u00e8me de base. Les modifications n\u00e9cessaires \u00e0 l'application de la nouvelle architecture sont d\u00e9j\u00e0 int\u00e9gr\u00e9es dans la base de code de systemd et concernent des composants tels que systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase et systemd-creds. <\/p>\n
Les changements propos\u00e9s se r\u00e9sument \u00e0 la cr\u00e9ation d'une image unique et universelle UKI (Unified Kernel Image), combinant l'image du noyau Linux, un gestionnaire de d\u00e9marrage pour le noyau \u00e0 partir de l'UEFI (UEFI boot stub) et un environnement syst\u00e8me en m\u00e9moire initrd, utilis\u00e9 pour l'initialisation initiale avant le montage du syst\u00e8me de fichiers racine. Au lieu de l'image de disque RAM initrd, l'UKI peut inclure l'ensemble du syst\u00e8me, permettant de cr\u00e9er des environnements syst\u00e8me enti\u00e8rement v\u00e9rifi\u00e9s, d\u00e9marrant en m\u00e9moire. L'image UKI est pr\u00e9sent\u00e9e sous la forme d'un fichier ex\u00e9cutable au format PE, qui peut \u00eatre charg\u00e9 non seulement par des chargeurs traditionnels, mais \u00e9galement appel\u00e9 directement depuis le firmware UEFI. <\/p>\n
La possibilit\u00e9 d'appel depuis l'UEFI permet d'utiliser la v\u00e9rification d'int\u00e9grit\u00e9 et d'authenticit\u00e9 par signature num\u00e9rique, englobant non seulement le noyau mais aussi le contenu de l'initrd. Par ailleurs, le support de l'appel depuis des chargeurs traditionnels permet de conserver des fonctionnalit\u00e9s telles que la fourniture de plusieurs versions du noyau et le retour automatique au noyau fonctionnel en cas de probl\u00e8mes avec le nouveau noyau apr\u00e8s l'application d'une mise \u00e0 jour. <\/p>\n
Actuellement, dans la plupart des distributions Linux, le processus d'initialisation utilise une cha\u00eene \u00ab firmware \u2192 couche shim sign\u00e9e num\u00e9riquement par Microsoft \u2192 chargeur GRUB sign\u00e9 num\u00e9riquement par la distribution \u2192 noyau Linux sign\u00e9 num\u00e9riquement par la distribution \u2192 environnement initrd non sign\u00e9 \u2192 syst\u00e8me de fichiers racine \u00bb. L'absence de v\u00e9rification de l'initrd dans les distributions traditionnelles pose des probl\u00e8mes de s\u00e9curit\u00e9, car, entre autres, c'est dans cet environnement que s'effectue l'extraction des cl\u00e9s pour d\u00e9chiffrer le syst\u00e8me de fichiers racine. <\/p>\n
La v\u00e9rification de l'image initrd n'est pas prise en charge car ce fichier est g\u00e9n\u00e9r\u00e9 sur le syst\u00e8me local de l'utilisateur et ne peut pas \u00eatre sign\u00e9 num\u00e9riquement par la distribution, ce qui complique consid\u00e9rablement l'organisation de la v\u00e9rification lors de l'utilisation du mode SecureBoot (pour signer initrd, l'utilisateur doit g\u00e9n\u00e9rer ses propres cl\u00e9s et les charger dans le firmware UEFI). De plus, l'organisation actuelle de d\u00e9marrage ne permet pas d'utiliser les informations provenant des registres PCR TPM (Platform Configuration Register) pour contr\u00f4ler l'int\u00e9grit\u00e9 des composants de l'espace utilisateur, en dehors de shim, grub et du noyau. Parmi les probl\u00e8mes existants, on mentionne \u00e9galement la complexit\u00e9 de la mise \u00e0 jour du chargeur de d\u00e9marrage et l'absence de possibilit\u00e9 de restreindre l'acc\u00e8s aux cl\u00e9s dans le TPM pour les anciennes versions des syst\u00e8mes d'exploitation, devenues obsol\u00e8tes apr\u00e8s l'installation de la mise \u00e0 jour. <\/p>\n
Les principaux objectifs de l'impl\u00e9mentation de la nouvelle architecture de d\u00e9marrage : <\/p>\n