Nel rilascio di Fedora Linux 40 si prevede di implementare la seconda fase della transizione verso un processo di avvio modernizzato proposto da Lennart Poettering. Le differenze rispetto all'avvio classico riguardano l'uso, al posto dell'immagine initrd, di un'immagine del kernel unificata UKI (Unified Kernel Image), generata nell'infrastruttura della distribuzione e firmata digitalmente dalla distribuzione. La proposta non è ancora stata esaminata dal comitato FESCo (Fedora Engineering Steering Committee), responsabile della parte tecnica dello sviluppo della distribuzione Fedora.
L'immagine UKI combina in un unico file un gestore per l'avvio del kernel da UEFI (UEFI boot stub), l'immagine del kernel Linux e l'ambiente di sistema initrd caricato in memoria. Quando viene attivata l'immagine UKI da UEFI, è possibile verificare l'integrità e l'autenticità tramite la firma digitale non solo del kernel, ma anche del contenuto di initrd, la cui autenticità è importante poiché in questo ambiente vengono estratti i chiavi per decrittare il file system radice.
La prima fase dell'implementazione di UKI è stata completata in Fedora Linux 38 e ha portato all'aggiunta del supporto UKI nel bootloader, all'implementazione degli strumenti per l'installazione e l'aggiornamento di UKI, oltre alla creazione di un'immagine sperimentale di UKI per l'avvio. di macchine virtuali con un insieme limitato di componenti e driver.
Nella seconda fase si prevede di aggiungere la possibilità di avviare direttamente UKI dal modulo UEFI shim.efi senza un bootloader separato (grub, sd-boot), implementare l'uso di UKI su sistemi Aarch64 e preparare una variante dell'immagine UKI per ambienti cloud e macchine virtuali protette.
Fonte: opennet.ru
