Lennart Pottering ले नयाँ लिनक्स प्रमाणित बुट आर्किटेक्चर प्रस्ताव गरे

Lennart Poettering ले लिनक्स वितरणको लागि बुट प्रक्रियालाई आधुनिकीकरण गर्ने प्रस्ताव प्रकाशित गरेको छ, अवस्थित समस्याहरू समाधान गर्ने र कर्नेल र अन्तर्निहित प्रणाली वातावरणको विश्वसनीयता पुष्टि गर्ने पूर्ण प्रमाणित बुटको संगठनलाई सरल बनाउने उद्देश्यले। नयाँ वास्तुकला लागू गर्न आवश्यक परिवर्तनहरू पहिले नै systemd codebase मा समावेश गरिएको छ र systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase र systemd-creds जस्ता घटकहरूलाई असर गर्छ।

प्रस्तावित परिवर्तनहरू लिनक्स कर्नेल छवि, UEFI (UEFI बुट स्टब) बाट कर्नेल लोड गर्नका लागि ह्यान्डलर र मेमोरीमा लोड गरिएको initrd प्रणाली वातावरण, संयोजन गरी एकल विश्वव्यापी छवि UKI (एकीकृत कर्नेल छवि) को निर्माणमा उबलिन्छ। रूट FS माउन्ट गर्नु अघि चरणमा प्रारम्भिक सुरुवात। initrd RAM डिस्क छविको सट्टा, सम्पूर्ण प्रणाली UKI मा प्याकेज गर्न सकिन्छ, जसले तपाईंलाई RAM मा लोड गरिएको पूर्ण रूपमा प्रमाणित प्रणाली वातावरणहरू सिर्जना गर्न अनुमति दिन्छ। UKI छविलाई PE ढाँचामा कार्यान्वयनयोग्य फाइलको रूपमा ढाँचा गरिएको छ, जुन परम्परागत बुटलोडरहरू प्रयोग गरेर मात्र लोड गर्न सकिँदैन, तर UEFI फर्मवेयरबाट सीधै कल गर्न सकिन्छ।

UEFI बाट कल गर्ने क्षमताले तपाइँलाई डिजिटल हस्ताक्षर अखण्डता जाँच प्रयोग गर्न अनुमति दिन्छ जसले कर्नेल मात्र होइन, initrd को सामग्रीहरू पनि समावेश गर्दछ। एकै समयमा, परम्परागत बुटलोडरहरूबाट कल गर्नको लागि समर्थनले तपाईंलाई कर्नेलका धेरै संस्करणहरूको डेलिभरी र काम गर्ने कर्नेलमा स्वचालित रोलब्याक जस्ता सुविधाहरू राख्न अनुमति दिन्छ यदि अद्यावधिक स्थापना गरेपछि नयाँ कर्नेलमा समस्याहरू फेला परेमा।

हाल, धेरै जसो लिनक्स वितरणहरूमा, प्रारम्भिक प्रक्रियाले "फर्मवेयर → डिजिटल रूपमा हस्ताक्षरित माइक्रोसफ्ट शिम लेयर → GRUB बुट लोडर डिजिटल रूपमा वितरणद्वारा हस्ताक्षरित → डिजिटल रूपमा हस्ताक्षर गरिएको लिनक्स कर्नेल → गैर-हस्ताक्षरित initrd वातावरण → रूट FS" चेन प्रयोग गर्दछ। परम्परागत वितरणमा initrd प्रमाणिकरणको अभावले सुरक्षा समस्याहरू सिर्जना गर्दछ, किनकि अन्य चीजहरू मध्ये, यस वातावरणमा रूट फाइल प्रणाली डिक्रिप्ट गर्ने कुञ्जीहरू पुन: प्राप्त हुन्छन्।

initrd छविको प्रमाणीकरण समर्थित छैन किनभने यो फाइल प्रयोगकर्ताको स्थानीय प्रणालीमा उत्पन्न भएको छ र वितरण किटको डिजिटल हस्ताक्षरद्वारा प्रमाणित गर्न सकिँदैन, जसले SecureBoot मोड प्रयोग गर्दा प्रमाणीकरणको संगठनलाई धेरै जटिल बनाउँछ (initrd प्रमाणित गर्न, प्रयोगकर्ताले आफ्नै कुञ्जीहरू उत्पन्न गर्न र तिनीहरूलाई UEFI फर्मवेयरमा लोड गर्न आवश्यक छ)। थप रूपमा, हालको बुट संगठनले शिम, ग्रब र कर्नेल बाहेक अन्य प्रयोगकर्ता स्पेस कम्पोनेन्टहरूको अखण्डता नियन्त्रण गर्न TPM PCR (प्लेटफर्म कन्फिगरेसन दर्ता) दर्ताबाट जानकारी प्रयोग गर्न अनुमति दिँदैन। अवस्थित समस्याहरू मध्ये, बुटलोडर अपडेट गर्ने जटिलता र OS को पुरानो संस्करणहरूको लागि TPM मा कुञ्जीहरूमा पहुँच प्रतिबन्ध गर्न असक्षमता जुन अद्यावधिक स्थापना पछि अप्रासंगिक भएको छ भनेर पनि उल्लेख गरिएको छ।

नयाँ लोडिङ आर्किटेक्चर प्रस्तुत गर्ने मुख्य लक्ष्यहरू हुन्:

• फर्मवेयरबाट प्रयोगकर्ता स्पेसमा फैलिएको पूर्ण प्रमाणित बुट प्रक्रिया प्रदान गर्दै, बुट गरिएका कम्पोनेन्टहरूको वैधता र अखण्डता पुष्टि गर्दै।
• मालिकद्वारा छुट्याइएका TPM PCR दर्ताहरूमा नियन्त्रित स्रोतहरू लिङ्क गर्दै।
• कर्नेल, initrd, कन्फिगरेसन र बुटको समयमा प्रयोग गरिएको स्थानीय प्रणाली ID मा आधारित PCR मानहरू पूर्व-गणना गर्ने क्षमता।
• प्रणालीको अघिल्लो कमजोर संस्करणमा रोल ब्याकसँग सम्बन्धित रोलब्याक आक्रमणहरू विरुद्ध सुरक्षा।
• सरल बनाउनुहोस् र अपडेटहरूको विश्वसनीयता बढाउनुहोस्।
• OS अद्यावधिकहरूको लागि समर्थन जुन पुन: आवेदन वा TPM-सुरक्षित स्रोतहरूको स्थानीय प्रावधान आवश्यक पर्दैन।
• लोड गरिएको OS र सेटिङहरूको शुद्धता पुष्टि गर्न प्रणाली रिमोट प्रमाणीकरणको लागि तयार छ।
• केही बुट चरणहरूमा संवेदनशील डाटा संलग्न गर्ने क्षमता, उदाहरणका लागि, TPM बाट रूट फाइल प्रणालीका लागि इन्क्रिप्सन कुञ्जीहरू निकाल्दै।
• रूट विभाजन ड्राइभ डिक्रिप्ट गर्न कुञ्जीहरू अनलक गर्नको लागि सुरक्षित, स्वचालित, र प्रयोगकर्ता-मुक्त प्रक्रिया प्रदान गर्दै।
• TPM बिना प्रणालीहरूमा रोलब्याक गर्ने क्षमताको साथ, TPM 2.0 विशिष्टतालाई समर्थन गर्ने चिपहरूको प्रयोग।

स्रोत: opennet.ru