Lennart Poettering ippubblika proposta biex timmodernizza l-proċess tal-boot għad-distribuzzjonijiet tal-Linux, immirata biex issolvi problemi eżistenti u tissimplifika l-organizzazzjoni ta 'boot ivverifikat sħiħ li jikkonferma l-affidabbiltà tal-kernel u l-ambjent tas-sistema sottostanti. Il-bidliet meħtieġa biex tiġi implimentata l-arkitettura l-ġdida huma diġà inklużi fis-systemd codebase u jaffettwaw komponenti bħal systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase u systemd-creds.
Il-bidliet proposti jitnaqqsu għall-ħolqien ta 'immaġni universali unika UKI (Immaġni Unifikata tal-Kernel), li tgħaqqad l-immaġni tal-kernel Linux, handler għat-tagħbija tal-kernel minn UEFI (UEFI boot stub) u l-ambjent tas-sistema initrd mgħobbi fil-memorja, użata għal inizjalizzazzjoni inizjali fl-istadju qabel l-immuntar tal-għerq FS. Minflok immaġini tad-diska RAM initrd, is-sistema kollha tista 'tiġi ppakkjata f'UKI, li jippermettilek toħloq ambjenti ta' sistema verifikati bis-sħiħ mgħobbija fir-RAM. L-immaġni UKI hija fformattjata bħala fajl eżekutibbli fil-format PE, li jista 'jitgħabba mhux biss bl-użu ta' bootloaders tradizzjonali, iżda jista 'jissejjaħ direttament mill-firmware UEFI.
Il-ħila li ċċempel minn UEFI tippermettilek tuża kontroll tal-integrità tal-firma diġitali li tkopri mhux biss il-kernel, iżda wkoll il-kontenut tal-initrd. Fl-istess ħin, l-appoġġ għas-sejħa minn bootloaders tradizzjonali jippermettilek li żżomm karatteristiċi bħal kunsinna ta 'diversi verżjonijiet tal-qalba u rollback awtomatiku għal għadma li taħdem jekk jinstabu problemi bil-kernel il-ġdid wara l-installazzjoni tal-aġġornament.
Bħalissa, fil-biċċa l-kbira tad-distribuzzjonijiet tal-Linux, il-proċess ta 'inizjalizzazzjoni juża l-katina "firmware → saff shim ta' Microsoft iffirmat diġitalment → GRUB boot loader ffirmat b'mod diġitali mid-distribuzzjoni → qalba Linux iffirmata b'mod diġitali → ambjent initrd mhux iffirmat → root FS." In-nuqqas ta 'verifika initrd fid-distribuzzjonijiet tradizzjonali joħloq problemi ta' sigurtà, peress li, fost affarijiet oħra, f'dan l-ambjent iċ-ċwievet għad-decrypting tas-sistema tal-fajls tal-għeruq jiġu rkuprati.
Il-verifika tal-immaġni initrd mhix appoġġjata peress li dan il-fajl huwa ġġenerat fis-sistema lokali tal-utent u ma jistax jiġi ċċertifikat b'firma diġitali tal-kit tad-distribuzzjoni, li tikkomplika ħafna l-organizzazzjoni tal-verifika meta tuża l-mod SecureBoot (biex tivverifika l-initrd, il- jeħtieġ li l-utent jiġġenera ċ-ċwievet tiegħu stess u jgħabbihom fil-firmware UEFI). Barra minn hekk, l-organizzazzjoni tal-boot attwali ma tippermettix l-użu ta 'informazzjoni mir-reġistri TPM PCR (Platform Configuration Register) biex tikkontrolla l-integrità tal-komponenti tal-ispazju tal-utent minbarra shim, grub u l-qalba. Fost il-problemi eżistenti, jissemmew ukoll il-kumplessità tal-aġġornament tal-bootloader u l-inabbiltà li jiġi ristrett l-aċċess għaċ-ċwievet fit-TPM għal verżjonijiet eqdem tal-OS li saru irrilevanti wara l-installazzjoni tal-aġġornament.
L-għanijiet ewlenin tal-introduzzjoni tal-arkitettura ġdida tat-tagħbija huma:
- Jipprovdi proċess tal-ibbutjar ivverifikat bis-sħiħ li jifrex mill-firmware sal-ispazju tal-utent, li jikkonferma l-validità u l-integrità tal-komponenti li qed jiġu booted.
- Ir-rabta tar-riżorsi kkontrollati mar-reġistri TPM PCR, separati minn sid.
- Kapaċità li tikkalkula minn qabel il-valuri tal-PCR ibbażati fuq il-kernel, l-initrd, il-konfigurazzjoni u l-ID tas-sistema lokali użati waqt il-boot.
- Protezzjoni kontra attakki ta' rollback assoċjati ma' rollback għal verżjoni vulnerabbli preċedenti tas-sistema.
- Issimplifika u żżid l-affidabbiltà tal-aġġornamenti.
- Appoġġ għall-aġġornamenti tal-OS li ma jeħtiġux applikazzjoni mill-ġdid jew forniment lokali ta' riżorsi protetti minn TPM.
- Is-sistema hija lesta għaċ-ċertifikazzjoni mill-bogħod biex tikkonferma l-korrettezza tal-OS mgħobbija u s-settings.
- Il-ħila li tehmeż data sensittiva ma 'ċerti stadji ta' boot, pereżempju, estrazzjoni ta 'ċwievet ta' encryption għas-sistema tal-fajls tal-għeruq mit-TPM.
- Tipprovdi proċess sikur, awtomatiku u ħieles mill-utent għall-ftuħ taċ-ċwievet biex jiddekrifra drajv tal-partizzjoni tal-għeruq.
- Użu ta 'ċipep li jappoġġaw l-ispeċifikazzjoni TPM 2.0, bil-kapaċità li jinqaleb għal sistemi mingħajr TPM.
Sors: opennet.ru