Nella versione di Fedora Linux 40 si prevede di realizzare la seconda fase della transizione verso un processo di avvio modernizzato, proposto da Lennart Poettering. Le differenze rispetto all'avvio classico riguardano l'uso, al posto dell'immagine initrd, di un'immagine kernel unificata UKI (Unified Kernel Image), generata nell'infrastruttura della distribuzione e firmata digitalmente dalla distribuzione. La proposta non è ancora stata esaminata dal comitato FESCo (Fedora Engineering Steering Committee), responsabile della parte tecnica dello sviluppo della distribuzione Fedora.
L'immagine UKI riunisce in un unico file il gestore per l'avvio del kernel da UEFI (UEFI boot stub), l'immagine del kernel Linux e l'ambiente di sistema initrd caricato in memoria. Quando viene richiamata l'immagine UKI da UEFI, si offre la possibilità di controllare l'integrità e l'autenticità tramite la firma digitale non solo del kernel, ma anche del contenuto di initrd, il cui controllo è importante poiché in questo ambiente avviene l'estrazione delle chiavi per decriptare il filesystem radice.
La prima fase dell'implementazione di UKI è stata completata in Fedora Linux 38 e ha portato all'aggiunta del supporto UKI nel boot loader, all'implementazione di strumenti per l'installazione e l'aggiornamento di UKI, e alla creazione di un'immagine UKI sperimentale per l'avvio. macchine virtuali con un insieme limitato di componenti e driver.
Nella seconda fase si prevede di aggiungere la possibilità di avviare direttamente UKI dal modulo UEFI shim.efi senza l'ausilio di un boot loader separato (grub, sd-boot), di implementare la possibilità di utilizzare UKI su sistemi con architettura Aarch64 e di preparare una variante dell'immagine UKI per ambienti cloud e macchine virtuali sicure.
Fonte: opennet.ru
