लेनार्ट पोएटरिङले प्रमाणित बुटको लागि नयाँ वास्तुकला प्रस्ताव गरे Linux

लेनार्ट पोएटरिङले बुट प्रक्रियालाई आधुनिकीकरण गर्ने प्रस्ताव प्रकाशित गरेको छ। Linux-वितरणहरू, अवस्थित समस्याहरूलाई सम्बोधन गर्ने र कर्नेल र अन्तर्निहित प्रणाली वातावरणको वैधता पुष्टि गर्ने पूर्ण रूपमा प्रमाणित बुट प्रक्रियाको संगठनलाई सरल बनाउने उद्देश्यले। नयाँ वास्तुकला कार्यान्वयन गर्न आवश्यक परिवर्तनहरू पहिले नै systemd कोडबेसमा समावेश गरिएको छ र systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase, र systemd-creds जस्ता घटकहरूलाई असर गर्छ।

प्रस्तावित परिवर्तनहरू एकल विश्वव्यापी छवि UKI (युनिफाइड कर्नेल छवि) को सिर्जनामा ​​केन्द्रित छन्, जसले कर्नेल छविलाई संयोजन गर्दछ। Linux, UEFI (UEFI बुट स्टब) बाट कर्नेल लोड गर्ने ह्यान्डलर, र मेमोरीमा लोड गरिएको initrd प्रणाली वातावरण, जुन रूट फाइल प्रणाली माउन्ट गर्नु अघि प्रारम्भिकीकरणको लागि प्रयोग गरिन्छ। initrd RAM डिस्क छविको सट्टा, सम्पूर्ण प्रणालीलाई UKI मा प्याकेज गर्न सकिन्छ, जसले RAM मा लोड गरिएको पूर्ण रूपमा प्रमाणित प्रणाली वातावरण सिर्जना गर्न अनुमति दिन्छ। UKI छविलाई PE ढाँचामा कार्यान्वयनयोग्य फाइलको रूपमा प्याकेज गरिएको छ, जुन परम्परागत बुटलोडरहरू द्वारा मात्र होइन तर UEFI फर्मवेयरबाट पनि लोड गर्न सकिन्छ।

UEFI बाट आह्वान गर्ने क्षमताले डिजिटल हस्ताक्षर अखण्डता र वैधता प्रमाणीकरण सक्षम बनाउँछ, जसले कर्नेल मात्र नभई initrd सामग्रीहरू पनि समेट्छ। परम्परागत बुटलोडरहरूबाट आह्वानको लागि समर्थनले धेरै कर्नेल संस्करणहरूको प्रावधान र अपडेट स्थापना गरेपछि नयाँ कर्नेलमा समस्याहरू पत्ता लागेमा काम गर्ने कर्नेलमा स्वचालित रोलब्याक जस्ता सुविधाहरू पनि सुरक्षित गर्दछ।

हाल, धेरैजसो वितरणहरू Linux प्रारम्भिक प्रक्रियाले निम्न श्रृंखला प्रयोग गर्दछ: फर्मवेयर → माइक्रोसफ्ट डिजिटल हस्ताक्षरद्वारा प्रमाणित शिम तह → वितरण डिजिटल हस्ताक्षरद्वारा प्रमाणित GRUB बुटलोडर → वितरण डिजिटल हस्ताक्षरद्वारा प्रमाणित कर्नेल Linux → अप्रमाणित initrd वातावरण → रूट फाइल प्रणाली।" परम्परागत वितरणमा initrd प्रमाणीकरणको अभावले सुरक्षा समस्याहरू सिर्जना गर्दछ, किनकि, अन्य चीजहरूका साथै, यो वातावरण रूट फाइल प्रणाली डिक्रिप्ट गर्न कुञ्जीहरू निकाल्न प्रयोग गरिन्छ।

initrd छविको प्रमाणीकरण समर्थित छैन किनभने यो फाइल प्रयोगकर्ताको स्थानीय प्रणालीमा उत्पन्न हुन्छ र वितरणद्वारा डिजिटल रूपमा हस्ताक्षर गर्न सकिँदैन। यसले SecureBoot मोड प्रयोग गर्दा प्रमाणीकरणलाई धेरै जटिल बनाउँछ (initrd प्रमाणित गर्न, प्रयोगकर्ताले आफ्नै कुञ्जीहरू उत्पन्न गर्नुपर्छ र तिनीहरूलाई UEFI फर्मवेयरमा लोड गर्नुपर्छ)। यसबाहेक, हालको बुट संगठनले shim, grub, र कर्नेल बाहेक प्रयोगकर्ता-स्पेस कम्पोनेन्टहरूको अखण्डता निगरानी गर्न TPM PCR (प्लेटफर्म कन्फिगरेसन रजिस्टर) बाट जानकारी प्रयोग गर्न अनुमति दिँदैन। उद्धृत गरिएका अन्य समस्याहरूमा बुटलोडर अद्यावधिक गर्ने कठिनाई र अद्यावधिक स्थापना पछि अप्रचलित भएका पुराना OS संस्करणहरूको लागि TPM कुञ्जीहरूमा पहुँच प्रतिबन्ध गर्न असमर्थता समावेश छ।

नयाँ बुट वास्तुकला कार्यान्वयन गर्ने मुख्य लक्ष्यहरू यस प्रकार छन्:

• फर्मवेयरदेखि प्रयोगकर्ता स्पेससम्मका सबै चरणहरू समेट्ने, र बुट गरिएका कम्पोनेन्टहरूको वैधता र अखण्डता पुष्टि गर्ने, पूर्ण रूपमा प्रमाणित बुट प्रक्रिया प्रदान गर्ने।
• मालिकहरूद्वारा विभाजनको साथ TPM PCR दर्ताहरूमा नियन्त्रित स्रोतहरू बाँध्ने।
• बुटको समयमा प्रयोग गरिएको कर्नेल, initrd, कन्फिगरेसन, र स्थानीय प्रणाली पहिचानकर्ताको आधारमा PCR मानहरू पूर्व-गणना गर्ने क्षमता।
• रोलब्याक आक्रमणहरू विरुद्ध सुरक्षा, जसमा प्रणालीको अघिल्लो कमजोर संस्करणमा रोलब्याक समावेश छ।
• अपडेटहरूको विश्वसनीयतालाई सरलीकरण र सुधार गर्ने।
• TPM-सुरक्षित स्रोतहरूको पुन: आवेदन वा स्थानीय प्रावधान आवश्यक नपर्ने OS अद्यावधिकहरूको लागि समर्थन।
• बुटेबल ओएस र सेटिङहरूको शुद्धता पुष्टि गर्न प्रणाली रिमोट प्रमाणीकरणको लागि तयार छ।
• TPM बाट रूट फाइल प्रणालीको लागि इन्क्रिप्शन कुञ्जीहरू निकाल्ने जस्ता विशिष्ट बुट चरणहरूमा संवेदनशील डेटा संलग्न गर्ने क्षमता।
• रूट विभाजन भएको ड्राइभलाई डिक्रिप्ट गर्न कुञ्जीहरू अनलक गर्न सुरक्षित, स्वचालित र प्रयोगकर्ता-रहित प्रक्रिया प्रदान गर्दछ।
• TPM बिना प्रणालीहरूमा रोलब्याक गर्ने क्षमता सहित, TPM २.० विशिष्टतालाई समर्थन गर्ने चिप्सको प्रयोग।

स्रोत: opennet.ru