Nella release di Fedora 38 è proposta l'implementazione della prima fase di transizione verso un processo di avvio modernizzato, precedentemente suggerito da Lennart Poettering, per organizzare un avvio completamente verificato che copra tutte le fasi, dal firmware allo spazio utente, e non solo il kernel e il bootloader. La proposta non è ancora stata esaminata dal comitato FESCo (Fedora Engineering Steering Committee), responsabile della parte tecnica dello sviluppo della distribuzione Fedora.
I componenti per implementare l'idea proposta sono già integrati in systemd 252 e consistono nell'utilizzare, anziché un'immagine initrd formata localmente durante l'installazione del pacchetto del kernel, un'immagine del kernel unificata UKI (Unified Kernel Image), generata nell'infrastruttura della distribuzione e firmata digitalmente dalla distribuzione. UKI unisce in un unico file un gestore per l'avvio del kernel da UEFI (UEFI boot stub), l'immagine del kernel Linux e l'ambiente di sistema initrd caricato in memoria. Quando si chiama l'immagine UKI da UEFI, viene fornita la possibilità di verificare l'integrità e l'affidabilità attraverso la firma digitale, non solo del kernel ma anche del contenuto di initrd, la cui verifica è importante poiché in questo ambiente vengono estratti le chiavi per decrittografare il filesystem radice.
A causa dei notevoli cambiamenti previsti, l'implementazione è pianificata per essere suddivisa in diverse fasi. Nella prima fase, il supporto per UKI sarà aggiunto al bootloader e inizierà la pubblicazione di un'immagine UKI opzionale, che sarà focalizzata sull'avvio macchine virtuali con un set limitato di componenti e driver, oltre agli strumenti associati all'installazione e all'aggiornamento di UKI. Nelle seconde e terze fasi è prevista l'abbandono della trasmissione delle impostazioni nella riga di comando del kernel e la cessazione della memorizzazione delle chiavi in initrd.
Fonte: opennet.ru
