Nel rilascio di Fedora 38 è stata proposta la prima fase della transizione verso un processo di avvio modernizzato, precedentemente suggerito da Lennart Poettering, per garantire un avvio verificato completo che copra tutte le fasi, dal firmware allo spazio utente, e non solo il nucleo e il bootloader. La proposta non è stata ancora esaminata dal comitato FESCo (Fedora Engineering Steering Committee), responsabile della parte tecnica dello sviluppo della distribuzione Fedora.
I componenti per realizzare l'idea proposta sono già integrati in systemd 252 e si riducono all'utilizzo di un'immagine di initrd, generata localmente al momento dell'installazione del pacchetto del nucleo, e all'immagine unificata del nucleo UKI (Unified Kernel Image), generata nell'infrastruttura della distribuzione e autenticata con la firma digitale della distribuzione. L'UKI combina in un unico file il gestore per l'avvio del nucleo da UEFI (UEFI boot stub), l'immagine del nucleo Linux e l'ambiente di sistema initrd caricato in memoria. Quando l'immagine UKI viene chiamata da UEFI, offre la possibilità di verificare l'integrità e l'autenticità tramite la firma digitale non solo del nucleo, ma anche del contenuto di initrd, la cui verifica è importante poiché in questo ambiente avviene l'estrazione delle chiavi per decrittografare il filesystem radice.
A causa delle significative modifiche previste, l'implementazione è programmata in più fasi. Nella prima fase, il supporto per UKI sarà aggiunto al bootloader e inizierà la pubblicazione di un'immagine UKI opzionale, focalizzata sull'avvio di macchine virtuali con un insieme limitato di componenti e driver, nonché sugli strumenti associati all'installazione e all'aggiornamento di UKI. Nella seconda e terza fase si prevede di abbandonare la trasmissione delle impostazioni nella riga di comando del nucleo e di cessare di memorizzare le chiavi in initrd.
Fonte: opennet.ru
