Lennart Poettering opublikowa\u0142 propozycj\u0119 modernizacji procesu uruchamiania dystrybucji systemu Linux, maj\u0105c na celu rozwi\u0105zanie istniej\u0105cych problem\u00f3w oraz uproszczenie organizacji pe\u0142noprawnego, zweryfikowanego uruchamiania, potwierdzaj\u0105cego autentyczno\u015b\u0107 j\u0105dra i podstawowego \u015brodowiska systemowego. Zmiany niezb\u0119dne do wprowadzenia nowej architektury ju\u017c zosta\u0142y w\u0142\u0105czone do bazy kodu systemd i dotycz\u0105 komponent\u00f3w, takich jak systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase i systemd-creds. <\/p>\n
Proponowane zmiany ograniczaj\u0105 si\u0119 do stworzenia jednego, uniwersalnego obrazu UKI (Unified Kernel Image), \u0142\u0105cz\u0105cego obraz j\u0105dra Linux, obs\u0142ug\u0119 \u0142adowania j\u0105dra z UEFI (UEFI boot stub) oraz \u0142adowane do pami\u0119ci \u015brodowisko systemowe initrd, stosowane do wst\u0119pnej inicjalizacji na etapie przed zamontowaniem systemu plik\u00f3w root. Zamiast obrazu RAM-dysku initrd, w UKI mo\u017cna zapakowa\u0107 ca\u0142y system, co pozwala na tworzenie w pe\u0142ni zweryfikowanych \u015brodowisk systemowych, \u0142adowanych do pami\u0119ci operacyjnej. Obraz UKI ma form\u0119 pliku wykonywalnego w formacie PE, kt\u00f3ry mo\u017ce by\u0107 \u0142adowany nie tylko za pomoc\u0105 tradycyjnych loader\u00f3w, ale tak\u017ce bezpo\u015brednio wywo\u0142ywany z firmware UEFI. <\/p>\n
Mo\u017cliwo\u015b\u0107 wywo\u0142ania z UEFI pozwala na wykorzystanie weryfikacji integralno\u015bci i autentyczno\u015bci za pomoc\u0105 podpisu cyfrowego, obejmuj\u0105cego nie tylko j\u0105dro, ale tak\u017ce zawarto\u015b\u0107 initrd. Dodatkowo, wsparcie dla wywo\u0142ania z tradycyjnych loader\u00f3w pozwala na zachowanie takich mo\u017cliwo\u015bci, jak dostarczanie wielu wersji j\u0105dra oraz automatyczny powr\u00f3t do dzia\u0142aj\u0105cego j\u0105dra w przypadku wykrycia problem\u00f3w z nowym j\u0105drem po aktualizacji. <\/p>\n
Obecnie w wi\u0119kszo\u015bci dystrybucji Linuxa podczas inicjalizacji u\u017cywana jest sekwencja \u201efirmware \u2192 warstwa shim podpisana cyfrowo przez Microsoft \u2192 bootloader GRUB podpisany cyfrowo przez dystrybucj\u0119 \u2192 j\u0105dro Linuxa podpisane cyfrowo przez dystrybucj\u0119 \u2192 niepodpisane \u015brodowisko initrd \u2192 system plik\u00f3w root\u201d. Brak weryfikacji initrd w tradycyjnych dystrybucjach stwarza problemy z bezpiecze\u0144stwem, poniewa\u017c w tym \u015brodowisku mi\u0119dzy innymi odbywa si\u0119 wydobywanie kluczy do deszyfrowania systemu plik\u00f3w root. <\/p>\n
Weryfikacja obrazu initrd nie jest wspierana, poniewa\u017c ten plik jest generowany na lokalnym systemie u\u017cytkownika i nie mo\u017ce by\u0107 zatwierdzony cyfrowym podpisem dystrybucji, co bardzo komplikuje organizacj\u0119 sprawdzania przy u\u017cyciu trybu SecureBoot (aby zatwierdzi\u0107 initrd, u\u017cytkownik musi wygenerowa\u0107 w\u0142asne klucze i za\u0142adowa\u0107 je do firmware UEFI). Ponadto, obecna organizacja \u0142adowania nie pozwala na wykorzystanie informacji z rejestr\u00f3w TPM PCR (Platform Configuration Register) do kontrolowania integralno\u015bci komponent\u00f3w przestrzeni u\u017cytkownika, poza shim, grub i j\u0105drem. W\u015br\u00f3d istniej\u0105cych problem\u00f3w wspomniano r\u00f3wnie\u017c o komplikacjach zwi\u0105zanych z aktualizacj\u0105 bootloadera oraz braku mo\u017cliwo\u015bci ograniczenia dost\u0119pu do kluczy w TPM dla starszych wersji system\u00f3w operacyjnych, kt\u00f3re sta\u0142y si\u0119 nieaktualne po zastosowaniu aktualizacji. <\/p>\n
G\u0142\u00f3wne cele wdro\u017cenia nowej architektury \u0142adowania: <\/p>\n