A Fedora 38 kiadásában javasolták a modernizált betöltési folyamat első szakaszának bevezetését, amelyet korábban Lennart Poettering javasolt, hogy megvalósítsa a teljes körű, hitelesített betöltést, amely magában foglalja az összes lépést a firmware-től a felhasználói térig, nem csupán a kernelt és a betöltőt. Jelenlegi javaslatot még nem tárgyalta az FESCo (Fedora Engineering Steering Committee), amely a Fedora disztribúció fejlesztésének technikai részéért felelős.
A javasolt ötlet megvalósításához szükséges komponensek már integrálva lettek a systemd 252-be, és az initrd kép helyett, amely a helyi rendszerben kerül kialakításra a kernel csomag telepítésekor, a UKI (Unified Kernel Image) egységes kernelkép alkalmazására vonatkozik, amelyet a disztribúció infrastruktúrájában generálnak, és digitális aláírással hitelesítenek. A UKI egy fájlban egyesíti a UEFI-ből történő kernel betöltőt (UEFI boot stub), a Linux kernel képét, és az initrd-t, amely a memóriába tölti a rendszert. Amikor az UKI képet hívják meg az UEFI-ból, lehetőség nyílik a digitális aláírás általi integritás- és hitelesség-ellenőrzésére, nemcsak a kernel, hanem az initrd tartalmának ellenőrzésére is, amelynek hitelesség-ellenőrzése fontos, mivel ebben a környezetben történik a kulcsok kinyerése a gyökér fájlrendszer dekódolásához.
A várható jelentős változások miatt a bevezetést több szakaszra tervezik bontani. Az első szakaszban a UKI támogatása hozzá lesz adva a bootloaderhez, és elindul az opciós UKI kép közzététele, amely a betöltésre összpontosít virtuális gépekhez korlátozott számú komponenssel és meghajtóval, valamint a UKI telepítésével és frissítésével kapcsolatos eszközökkel. A második és harmadik szakaszban a kernel parancssorban történő beállításainak átadásától való távozást és az initrd-ben tárolt kulcsok megszüntetését tervezik.
Forrás: opennet.ru
