{"id":105384,"date":"2022-10-26T15:36:38","date_gmt":"2022-10-26T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/lennart-pottering-predlozhil-novuyu-arhitekturu-verificzirovannoj-zagruzki-linux"},"modified":"2022-10-26T15:36:38","modified_gmt":"2022-10-26T13:36:38","slug":"lennart-pottering-predlozhil-novuyu-arhitekturu-verificzirovannoj-zagruzki-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/news\/lennart-pottering-predlozhil-novuyu-arhitekturu-verificzirovannoj-zagruzki-linux","title":{"rendered":"Lennart Pottering predlo\u017eio je novu arhitekturu verificiranog pokretanja sustava Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Lennart Pottering (Lennart Poettering) objavio je prijedlog za modernizaciju procesa pokretanja Linux distribucija, usmjeren na rje\u0161avanje postoje\u0107ih problema i pojednostavljenje organizacije cjelovitog verificiranog pokretanja, koje potvr\u0111uje autenti\u010dnost jezgre i osnovnog sustavnog okru\u017eenja. Neophodne promjene za primjenu nove arhitekture ve\u0107 su uklju\u010dene u kodnu bazu systemd i obuhva\u0107aju komponente poput systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase i systemd-creds. <\/p>\n

Predlo\u017eene promjene svode se na stvaranje jednog univerzalnog UKI (Unified Kernel Image) formata koji objedinjuje sliku Linux jezgre, rukovatelja za pokretanje jezgre iz UEFI (UEFI boot stub) i u\u010ditano u memoriju sustavno okru\u017eenje initrd, koje se koristi za inicijalizaciju prije montiranja korijenske datote\u010dne sustave. Umjesto slike RAM diska initrd, u UKI mo\u017ee biti upakiran cijeli sustav, \u0161to omogu\u0107ava stvaranje potpuno verificiranih sustavnih okru\u017eenja, u\u010ditanih u radnu memoriju. UKI slika se oblikuje u obliku izvr\u0161ne datoteke u PE formatu koja se mo\u017ee u\u010ditati ne samo putem tradicionalnih u\u010ditava\u010da, nego i izravno pozvati iz UEFI firmwarea. <\/p>\n

Mogu\u0107nost pozivanja iz UEFI omogu\u0107ava kori\u0161tenje provjere cjelovitosti i autenti\u010dnosti putem digitalnog potpisa, koji obuhva\u0107a ne samo jezgru, ve\u0107 i sadr\u017eaj initrd-a. Ova podr\u0161ka tako\u0111er omogu\u0107ava poziv iz tradicionalnih u\u010ditava\u010da, \u0161to omogu\u0107ava zadr\u017eavanje mogu\u0107nosti poput isporuke vi\u0161e verzija jezgre i automatskog vra\u0107anja na funkcionalnu jezgru u slu\u010daju otkrivanja problema s novom jezgrom nakon instalacije a\u017euriranja. <\/p>\n

Trenutno u ve\u0107ini Linux distribucija tijekom inicijalizacije koristi se lanac «firmver → Microsoft shim sloj sa digitalnim potpisom → GRUB u\u010ditava\u010d sa digitalnim potpisom distribucije → Linux kernel sa digitalnim potpisom distribucije → nepotpisano initrd okru\u017eenje → korijenska datote\u010dna sustav». Nedostatak provjere initrd u tradicionalnim distribucijama stvara sigurnosne probleme, budu\u0107i da se me\u0111u ostalim u ovom okru\u017eenju vr\u0161i izvla\u010denje klju\u010deva za de\u0161ifriranje korijenske datote\u010dne sustava. <\/p>\n

Verifikacija initrd slike nije podr\u017eana jer se ova datoteka stvara na lokalnom sustavu korisnika i ne mo\u017ee biti ovjerena digitalnim potpisom distribucije, \u0161to znatno ote\u017eava organizaciju provjere pri kori\u0161tenju SecureBoot na\u010dina (za ovjeru initrd korisnik mora generirati svoje klju\u010deve i u\u010ditati ih u UEFI firmware). Osim toga, postoje\u0107a organizacija pokretanja ne omogu\u0107uje kori\u0161tenje informacija iz TPM PCR (Platform Configuration Register) registra za kontrolu cjelovitosti komponenti korisni\u010dkog prostora, osim shim, grub i jezgre. Tako\u0111er se spominju problemi u vezi s ote\u017eanim a\u017euriranjem bootloader-a i nedostatkom mogu\u0107nosti ograni\u010davanja pristupa klju\u010devima u TPM za starije verzije OS-a, koje su postale neaktualne nakon instalacije a\u017euriranja. <\/p>\n

Glavni ciljevi implementacije nove arhitekture pokretanja: <\/p>\n