લેનાર્ટ પોટરિંગે નવા Linux વેરિફાઈડ બૂટ આર્કિટેક્ચરની દરખાસ્ત કરી

લેનાર્ટ પોએટરિંગે Linux વિતરણો માટે બૂટ પ્રક્રિયાને આધુનિક બનાવવાનો પ્રસ્તાવ પ્રકાશિત કર્યો છે, જેનો હેતુ હાલની સમસ્યાઓને ઉકેલવા અને કર્નલની વિશ્વસનીયતા અને અંતર્ગત સિસ્ટમ પર્યાવરણની પુષ્ટિ કરતા સંપૂર્ણ વેરિફાઇડ બૂટના સંગઠનને સરળ બનાવવાનો છે. નવા આર્કિટેક્ચરને અમલમાં મૂકવા માટે જરૂરી ફેરફારો પહેલાથી જ systemd કોડબેઝમાં સમાવિષ્ટ છે અને systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase અને systemd-creds જેવા ઘટકોને અસર કરે છે.

સૂચિત ફેરફારો સિંગલ યુનિવર્સલ ઈમેજ UKI (યુનિફાઈડ કર્નલ ઈમેજ) ની રચનામાં ઉકળે છે, જે Linux કર્નલ ઈમેજને સંયોજિત કરે છે, UEFI (UEFI બુટ સ્ટબ) માંથી કર્નલ લોડ કરવા માટે હેન્ડલર અને મેમરીમાં લોડ થયેલ initrd સિસ્ટમ એન્વાયર્નમેન્ટ માટે વપરાય છે. રુટ FS માઉન્ટ કરતા પહેલા સ્ટેજ પર પ્રારંભિક પ્રારંભ. initrd RAM ડિસ્ક ઈમેજને બદલે, સમગ્ર સિસ્ટમને UKI માં પેક કરી શકાય છે, જે તમને RAM માં લોડ થયેલ સંપૂર્ણ ચકાસાયેલ સિસ્ટમ પર્યાવરણો બનાવવા માટે પરવાનગી આપે છે. UKI ઇમેજને PE ફોર્મેટમાં એક્ઝિક્યુટેબલ ફાઇલ તરીકે ફોર્મેટ કરવામાં આવે છે, જેને માત્ર પરંપરાગત બુટલોડરનો ઉપયોગ કરીને લોડ કરી શકાય છે, પરંતુ UEFI ફર્મવેરથી સીધા જ કૉલ કરી શકાય છે.

UEFI માંથી કૉલ કરવાની ક્ષમતા તમને ડિજિટલ હસ્તાક્ષર અખંડિતતા તપાસનો ઉપયોગ કરવાની પરવાનગી આપે છે કે જે માત્ર કર્નલને જ નહીં, પણ initrd ની સામગ્રીને પણ આવરી લે છે. તે જ સમયે, પરંપરાગત બુટલોડરો પાસેથી કૉલ કરવા માટેનો આધાર તમને કર્નલના વિવિધ સંસ્કરણોની ડિલિવરી અને કાર્યકારી કર્નલ પર સ્વચાલિત રોલબેક જેવી સુવિધાઓ જાળવી રાખવા માટે પરવાનગી આપે છે જો અપડેટ ઇન્સ્ટોલ કર્યા પછી નવા કર્નલ સાથે સમસ્યાઓ મળી આવે.

હાલમાં, મોટા ભાગના Linux વિતરણોમાં, આરંભિક પ્રક્રિયા સાંકળનો ઉપયોગ કરે છે “ફર્મવેર → ડિજિટલી હસ્તાક્ષરિત માઇક્રોસોફ્ટ શિમ લેયર → GRUB બૂટ લોડર જે ડિસ્ટ્રિબ્યુશન દ્વારા ડિજિટલી હસ્તાક્ષર કરે છે → ડિજિટલી હસ્તાક્ષરિત Linux કર્નલ → બિન-સહી કરેલ initrd પર્યાવરણ → રૂટ FS.” પરંપરાગત વિતરણોમાં initrd ચકાસણીનો અભાવ સુરક્ષા સમસ્યાઓ બનાવે છે, કારણ કે, અન્ય વસ્તુઓની સાથે, આ વાતાવરણમાં રુટ ફાઇલ સિસ્ટમને ડિક્રિપ્ટ કરવા માટેની ચાવીઓ પુનઃપ્રાપ્ત કરવામાં આવે છે.

initrd ઇમેજની ચકાસણી સમર્થિત નથી કારણ કે આ ફાઇલ વપરાશકર્તાની સ્થાનિક સિસ્ટમ પર જનરેટ કરવામાં આવી છે અને વિતરણ કીટના ડિજિટલ હસ્તાક્ષર સાથે પ્રમાણિત કરી શકાતી નથી, જે SecureBoot મોડનો ઉપયોગ કરતી વખતે ચકાસણીના સંગઠનને ખૂબ જટિલ બનાવે છે (initrd ને ચકાસવા માટે, વપરાશકર્તાને તેમની પોતાની કી જનરેટ કરવાની અને તેમને UEFI ફર્મવેરમાં લોડ કરવાની જરૂર છે). વધુમાં, વર્તમાન બુટ સંસ્થા શિમ, ગ્રબ અને કર્નલ સિવાયના યુઝર સ્પેસ ઘટકોની અખંડિતતાને નિયંત્રિત કરવા માટે TPM PCR (પ્લેટફોર્મ કન્ફિગરેશન રજિસ્ટર) રજિસ્ટરમાંથી માહિતીનો ઉપયોગ કરવાની મંજૂરી આપતી નથી. હાલની સમસ્યાઓમાં, બુટલોડરને અપડેટ કરવાની જટિલતા અને OS ના જૂના સંસ્કરણો માટે TPM માં કીની ઍક્સેસને પ્રતિબંધિત કરવામાં અસમર્થતા કે જે અપડેટ ઇન્સ્ટોલ કર્યા પછી અપ્રસ્તુત બની ગયા છે તે પણ ઉલ્લેખિત છે.

નવા લોડિંગ આર્કિટેક્ચરની રજૂઆતના મુખ્ય લક્ષ્યો છે:

• ફર્મવેરથી યુઝર સ્પેસ સુધી વિસ્તરેલી સંપૂર્ણ ચકાસાયેલ બૂટ પ્રક્રિયા પૂરી પાડવી, જે બૂટ કરવામાં આવી રહેલા ઘટકોની માન્યતા અને અખંડિતતાની પુષ્ટિ કરે છે.
• માલિક દ્વારા અલગ કરાયેલ TPM PCR રજિસ્ટર સાથે નિયંત્રિત સંસાધનોને લિંક કરવું.
• બુટ દરમિયાન ઉપયોગમાં લેવાતા કર્નલ, initrd, રૂપરેખાંકન અને સ્થાનિક સિસ્ટમ ID પર આધારિત PCR મૂલ્યોની પૂર્વ-ગણતરી કરવાની ક્ષમતા.
• સિસ્ટમના અગાઉના નબળા સંસ્કરણ પર પાછા ફરવા સાથે સંકળાયેલ રોલબેક હુમલાઓ સામે રક્ષણ.
• અપડેટ્સની વિશ્વસનીયતા સરળ અને વધારવી.
• OS અપડેટ્સ માટે સપોર્ટ કે જેને ફરીથી એપ્લિકેશન અથવા TPM-સંરક્ષિત સંસાધનોની સ્થાનિક જોગવાઈની જરૂર નથી.
• લોડ થયેલ OS અને સેટિંગ્સની શુદ્ધતાની પુષ્ટિ કરવા માટે સિસ્ટમ રિમોટ સર્ટિફિકેશન માટે તૈયાર છે.
• ચોક્કસ બુટ તબક્કામાં સંવેદનશીલ ડેટાને જોડવાની ક્ષમતા, ઉદાહરણ તરીકે, TPM માંથી રૂટ ફાઇલ સિસ્ટમ માટે એન્ક્રિપ્શન કીઓ કાઢવા.
• રુટ પાર્ટીશન ડ્રાઇવને ડિક્રિપ્ટ કરવા માટે કીને અનલોક કરવા માટે સુરક્ષિત, સ્વચાલિત અને વપરાશકર્તા-મુક્ત પ્રક્રિયા પૂરી પાડવી.
• TPM 2.0 સ્પેસિફિકેશનને સપોર્ટ કરતી ચિપ્સનો ઉપયોગ, TPM વગર સિસ્ટમમાં રોલબેક કરવાની ક્ષમતા સાથે.

સોર્સ: opennet.ru