In de release van Fedora 38 wordt voorgesteld de eerste fase van de overgang naar een gemoderniseerd bootproces te implementeren, eerder voorgesteld door Lennart Poettering, voor het organiseren van een volledig geverifieerde opstartprocedure die alle fasen omvat, van firmware tot gebruikersruimte, en niet alleen de kernel en bootloader. Dit voorstel is voorlopig nog niet besproken door de FESCo-commissie (Fedora Engineering Steering Committee), die verantwoordelijk is voor het technische gedeelte van de ontwikkeling van de Fedora-distributie.
De componenten voor de implementatie van het voorgestelde idee zijn al geĆÆntegreerd in systemd 252 en omvatten het gebruik van een in plaats van het initrd-image, dat op het lokale systeem wordt gegenereerd bij het installeren van het kernelpakket, een geharmoniseerd kernelimage UKI (Unified Kernel Image), dat wordt gegenereerd in de infrastructuur van de distributie en digitaal is ondertekend door de distributie. UKI combineert in Ć©Ć©n bestand een loader voor het opstarten van de kernel uit UEFI (UEFI boot stub), het Linux-kernelimage en de naar het geheugen geladen systeemeisen initrd. Bij het oproepen van het UKI-image vanuit UEFI is het mogelijk om de integriteit en authenticiteit te verifiĆ«ren via de digitale handtekening, niet alleen van de kernel, maar ook van de inhoud van initrd, waarvan de authenticiteit belangrijk is, aangezien in deze omgeving de sleutels voor het ontsleutelen van het rootbestandssysteem worden geĆ«xtraheerd.
Vanwege de aanzienlijke veranderingen die voor de boeg liggen, is de implementatie gepland in verschillende fasen. In de eerste fase zal de ondersteuning voor UKI aan de bootloader worden toegevoegd en zal de publicatie van een optioneel UKI-image beginnen, dat zich zal richten op opstarten virtuele machines met een beperkte set componenten en stuurprogramma's, evenals de bijbehorende tools voor het installeren en bijwerken van UKI. In de tweede en derde fasen is het plan om af te stappen van het doorgeven van instellingen via de kernelcommandoregel en de opslag van sleutels in initrd te stoppen.
Bron: opennet.ru
