Lennart Pottering បានស្នើឡើងនូវស្ថាបត្យកម្មចាប់ផ្ដើមដែលបានផ្ទៀងផ្ទាត់លីនុចថ្មី។

Lennart Poettering បានបោះពុម្ពផ្សាយសំណើដើម្បីធ្វើទំនើបកម្មដំណើរការចាប់ផ្ដើមនៃការចែកចាយលីនុច ក្នុងគោលបំណងដោះស្រាយបញ្ហាដែលមានស្រាប់ និងសម្រួលដល់ការរៀបចំកម្មវិធីចាប់ផ្ដើមដែលបានផ្ទៀងផ្ទាត់ពេញលេញ ដោយបញ្ជាក់ពីភាពត្រឹមត្រូវនៃខឺណែល និងបរិស្ថានប្រព័ន្ធមូលដ្ឋាន។ ការផ្លាស់ប្តូរដែលទាមទារដើម្បីអនុវត្តស្ថាបត្យកម្មថ្មីត្រូវបានរួមបញ្ចូលរួចហើយនៅក្នុងប្រព័ន្ធកូដមូលដ្ឋាន និងប៉ះពាល់ដល់សមាសធាតុដូចជា systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase និង systemd-creds ។

ការផ្លាស់ប្តូរដែលបានស្នើឡើងត្រូវបានកាត់បន្ថយទៅជាការបង្កើតរូបភាព UKI (Unified Kernel Image) សកលតែមួយដែលរួមបញ្ចូលគ្នានូវរូបភាពខឺណែលលីនុច ឧបករណ៍ដោះស្រាយសម្រាប់ផ្ទុកខឺណែលពី UEFI (UEFI boot stub) និងបរិស្ថានប្រព័ន្ធ initrd ដែលផ្ទុកទៅក្នុងអង្គចងចាំ ប្រើសម្រាប់ ការចាប់ផ្តើមដំបូងនៅដំណាក់កាលមុនពេលដំឡើង root FS ។ ជំនួសឱ្យរូបភាពឌីស RAM initrd ប្រព័ន្ធទាំងមូលអាចត្រូវបានខ្ចប់នៅក្នុង UKI ដែលអនុញ្ញាតឱ្យអ្នកបង្កើតបរិស្ថានប្រព័ន្ធដែលបានផ្ទៀងផ្ទាត់ពេញលេញដែលត្រូវបានផ្ទុកទៅក្នុង RAM ។ រូបភាព UKI ត្រូវបានធ្វើឡើងក្នុងទម្រង់ជាឯកសារដែលអាចប្រតិបត្តិបានក្នុងទម្រង់ PE ដែលអាចផ្ទុកមិនត្រឹមតែដោយប្រើកម្មវិធីចាប់ផ្ដើមប្រព័ន្ធធម្មតាប៉ុណ្ណោះទេ ប៉ុន្តែត្រូវបានហៅដោយផ្ទាល់ពីកម្មវិធីបង្កប់ UEFI ។

សមត្ថភាពក្នុងការហៅទូរស័ព្ទពី UEFI អនុញ្ញាតឱ្យអ្នកប្រើការត្រួតពិនិត្យភាពត្រឹមត្រូវនៃហត្ថលេខាឌីជីថលនិងសុពលភាពដែលគ្របដណ្តប់មិនត្រឹមតែខឺណែលប៉ុណ្ណោះទេប៉ុន្តែថែមទាំងមាតិកានៃ initrd ផងដែរ។ ក្នុងពេលជាមួយគ្នានេះ ការគាំទ្រសម្រាប់ការហៅទូរសព្ទពីកម្មវិធីចាប់ផ្ដើមប្រព័ន្ធបែបប្រពៃណីអនុញ្ញាតឱ្យអ្នករក្សាទុកលក្ខណៈពិសេសដូចជាការផ្តល់កំណែជាច្រើននៃខឺណែល និងការវិលត្រឡប់មកវិញដោយស្វ័យប្រវត្តិទៅខឺណែលដែលកំពុងដំណើរការក្នុងករណីមានបញ្ហាជាមួយខឺណែលថ្មីត្រូវបានរកឃើញបន្ទាប់ពីដំឡើងបច្ចុប្បន្នភាព។

បច្ចុប្បន្ន ការចែកចាយលីនុចភាគច្រើនប្រើខ្សែសង្វាក់ "កម្មវិធីបង្កប់ → ស្រទាប់ Microsoft shim ដែលបានចុះហត្ថលេខាដោយឌីជីថល → ការចែកចាយដែលបានចុះហត្ថលេខាដោយឌីជីថល GRUB កម្មវិធីចាប់ផ្ដើមប្រព័ន្ធ → ការចែកចាយដែលបានចុះហត្ថលេខាជាឌីជីថល ខឺណែលលីនុច → បរិស្ថាន initrd ដែលមិនចុះហត្ថលេខា → ឫស FS" នៅក្នុងដំណើរការចាប់ផ្តើម។ កង្វះការផ្ទៀងផ្ទាត់ initrd ក្នុងការចែកចាយបែបប្រពៃណីបង្កើតបញ្ហាសុវត្ថិភាព ចាប់តាំងពី ក្នុងចំណោមរបស់ផ្សេងទៀត បរិស្ថាននេះទាញយកសោដើម្បីឌិគ្រីប root FS ។

ការផ្ទៀងផ្ទាត់រូបភាព initrd មិនត្រូវបានគាំទ្រទេ ដោយសារឯកសារនេះត្រូវបានបង្កើតនៅលើប្រព័ន្ធមូលដ្ឋានរបស់អ្នកប្រើប្រាស់ ហើយមិនអាចបញ្ជាក់ដោយហត្ថលេខាឌីជីថលរបស់អ្នកចែកចាយ ដែលធ្វើអោយស្មុគស្មាញដល់ការរៀបចំការផ្ទៀងផ្ទាត់នៅពេលប្រើមុខងារ SecureBoot (ដើម្បីផ្ទៀងផ្ទាត់ initrd អ្នកប្រើប្រាស់ត្រូវការ ដើម្បីបង្កើតកូនសោរបស់គាត់ហើយផ្ទុកវាទៅក្នុងកម្មវិធីបង្កប់ UEFI) ។ លើសពីនេះ ស្ថាប័នចាប់ផ្ដើមដែលមានស្រាប់មិនអនុញ្ញាតឱ្យប្រើប្រាស់ព័ត៌មានពីការចុះឈ្មោះ TPM PCR (Platform Configuration Register) ដើម្បីគ្រប់គ្រងភាពសុចរិតនៃសមាសធាតុ user-space ក្រៅពី shim, grub និង kernel នោះទេ។ ក្នុងចំណោមបញ្ហាដែលមានស្រាប់ ភាពស្មុគស្មាញនៃការអាប់ដេតកម្មវិធីចាប់ផ្ដើមប្រព័ន្ធ និងអសមត្ថភាពក្នុងការដាក់កម្រិតការចូលប្រើសោនៅក្នុង TPM សម្រាប់កំណែប្រព័ន្ធប្រតិបត្តិការចាស់ដែលមិនពាក់ព័ន្ធបន្ទាប់ពីដំឡើងការអាប់ដេតក៏ត្រូវបានលើកឡើងផងដែរ។

គោលដៅចម្បងនៃការអនុវត្តស្ថាបត្យកម្មចាប់ផ្ដើមថ្មីគឺ៖

• ការផ្តល់ដំណើរការទាញយកដែលបានផ្ទៀងផ្ទាត់ពេញលេញ គ្របដណ្តប់គ្រប់ដំណាក់កាលទាំងអស់ពីកម្មវិធីបង្កប់ទៅកន្លែងទំនេររបស់អ្នកប្រើប្រាស់ និងការបញ្ជាក់ពីសុពលភាព និងភាពសុចរិតនៃសមាសធាតុដែលបានទាញយក។
• ការចងធនធានដែលបានគ្រប់គ្រងទៅ TPM PCR ចុះឈ្មោះជាមួយនឹងការបែងចែកដោយម្ចាស់។
• សមត្ថភាពក្នុងការគណនាតម្លៃ PCR ជាមុនដោយផ្អែកលើខឺណែលចាប់ផ្ដើម, initrd, ការកំណត់រចនាសម្ព័ន្ធ និងលេខសម្គាល់ប្រព័ន្ធមូលដ្ឋាន។
• ការការពារប្រឆាំងនឹងការវាយប្រហារ rollback ដែលត្រូវបានផ្សារភ្ជាប់ជាមួយនឹងការ rollback ទៅកំណែដែលងាយរងគ្រោះពីមុននៃប្រព័ន្ធ។
• សម្រួល និងកែលម្អភាពជឿជាក់នៃបច្ចុប្បន្នភាព។
• ការគាំទ្រសម្រាប់ការអាប់ដេត OS ដែលមិនតម្រូវឱ្យមានការដាក់ពាក្យឡើងវិញ ឬការផ្តល់ធនធានដែលមានការការពារ TPM ក្នុងតំបន់។
• ការត្រៀមខ្លួនរបស់ប្រព័ន្ធសម្រាប់ការបញ្ជាក់ពីចម្ងាយដើម្បីបញ្ជាក់ពីភាពត្រឹមត្រូវនៃ OS និងការកំណត់ដែលអាចចាប់ផ្តើមបាន។
• សមត្ថភាពក្នុងការភ្ជាប់ទិន្នន័យរសើបទៅនឹងដំណាក់កាលចាប់ផ្ដើមជាក់លាក់ ឧទាហរណ៍ ការទាញយកសោអ៊ិនគ្រីបសម្រាប់ root FS ពី TPM ។
• ផ្តល់នូវដំណើរការប្រកបដោយសុវត្ថិភាព ស្វ័យប្រវត្តិ និងស្ងាត់សម្រាប់ការដោះសោសោ ដើម្បីឌិគ្រីបដ្រាយជាមួយនឹងភាគថាសជា root ។
• ការប្រើប្រាស់បន្ទះសៀគ្វីដែលគាំទ្រការបញ្ជាក់ TPM 2.0 ជាមួយនឹងសមត្ថភាពក្នុងការត្រលប់ទៅប្រព័ន្ធដោយគ្មាន TPM ។

ប្រភព: opennet.ru