Na versão Fedora 38, foi proposto implementar a primeira fase de transição para um processo de inicialização modernizado, anteriormente sugerido por Lennart Poettering, para estabelecer uma inicialização verificada e abrangente que inclua todas as etapas, desde o firmware até o espaço do usuário, e não apenas o núcleo e o carregador. A proposta ainda não foi analisada pelo comitê FESCo (Fedora Engineering Steering Committee), responsável pela parte técnica do desenvolvimento da distribuição Fedora.
Os componentes para a implementação da ideia proposta já estão integrados ao systemd 252 e consistem no uso, em vez da imagem initrd, gerada localmente no sistema durante a instalação do pacote com o núcleo, de uma imagem unificada de núcleo UKI (Unified Kernel Image), gerada na infraestrutura da distribuição e assinada digitalmente. O UKI combina em um único arquivo o manipulador para carregar o núcleo a partir do UEFI (UEFI boot stub), a imagem do núcleo Linux e o ambiente de sistema inicializável initrd. Ao invocar a imagem UKI a partir do UEFI, é oferecida a possibilidade de verificar a integridade e autenticidade por meio da assinatura digital, não apenas do núcleo, mas também do conteúdo do initrd, cuja verificação é importante, pois nesse ambiente é realizada a extração das chaves para descriptografar o sistema de arquivos raiz.
Devido às mudanças significativas por vir, a implementação está prevista para ser dividida em várias fases. Na primeira fase, o suporte ao UKI será adicionado ao carregador, e começará a publicação de uma imagem opcional do UKI, que será focada na inicialização máquinas virtuais com um conjunto limitado de componentes e drivers, além das ferramentas relacionadas à instalação e atualização do UKI. Nas segunda e terceira fases, está previsto deixar de passar configurações na linha de comando do núcleo e cessar o armazenamento das chaves no initrd.
Fonte: opennet.ru
