Lennart Poettering publicou uma proposta para modernizar o processo de inicializa\u00e7\u00e3o das distribui\u00e7\u00f5es Linux, visando resolver problemas existentes e simplificar a organiza\u00e7\u00e3o de uma inicializa\u00e7\u00e3o verificada completa, que confirme a autenticidade do n\u00facleo e do ambiente de sistema b\u00e1sico. As altera\u00e7\u00f5es necess\u00e1rias para a aplica\u00e7\u00e3o da nova arquitetura j\u00e1 foram inclu\u00eddas na base de c\u00f3digo do systemd e afetam componentes como systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase e systemd-creds. <\/p>\n
As mudan\u00e7as propostas envolvem a cria\u00e7\u00e3o de uma imagem \u00fanica e universal UKI (Unified Kernel Image), que combina a imagem do n\u00facleo Linux, um manipulador para a inicializa\u00e7\u00e3o do n\u00facleo a partir do UEFI (UEFI boot stub) e o ambiente de sistema carregado na mem\u00f3ria initrd, utilizado para a inicializa\u00e7\u00e3o inicial antes da montagem do sistema de arquivos raiz. Em vez da imagem do disco RAM initrd, o UKI pode conter todo o sistema, permitindo a cria\u00e7\u00e3o de ambientes de sistema totalmente verificados que s\u00e3o carregados na mem\u00f3ria RAM. A imagem UKI \u00e9 formatada como um arquivo execut\u00e1vel no formato PE, que pode ser carregado n\u00e3o apenas por meio de carregadores tradicionais, mas tamb\u00e9m invocado diretamente a partir do firmware UEFI. <\/p>\n
A possibilidade de chamada a partir do UEFI permite usar a verifica\u00e7\u00e3o de integridade e autenticidade atrav\u00e9s de assinatura digital, cobrindo n\u00e3o apenas o n\u00facleo, mas tamb\u00e9m o conte\u00fado do initrd. Ao mesmo tempo, o suporte para invoca\u00e7\u00e3o por carregadores tradicionais permite manter funcionalidades como a entrega de v\u00e1rias vers\u00f5es do n\u00facleo e o retorno autom\u00e1tico para um n\u00facleo funcional em caso de problemas com o novo n\u00facleo ap\u00f3s a instala\u00e7\u00e3o da atualiza\u00e7\u00e3o. <\/p>\n
Atualmente, na maioria das distribui\u00e7\u00f5es Linux, o processo de inicializa\u00e7\u00e3o \u00e9 realizado atrav\u00e9s da cadeia «firmware → shim assinado digitalmente pela Microsoft → carregador de inicializa\u00e7\u00e3o GRUB assinado digitalmente pela distribui\u00e7\u00e3o → n\u00facleo Linux assinado digitalmente pela distribui\u00e7\u00e3o → ambiente initrd n\u00e3o assinado → sistema de arquivos raiz». A falta de verifica\u00e7\u00e3o do initrd em distribui\u00e7\u00f5es tradicionais cria problemas de seguran\u00e7a, pois, entre outras coisas, nesse ambiente s\u00e3o extra\u00eddas chaves para descriptografar o sistema de arquivos raiz. <\/p>\n
A verifica\u00e7\u00e3o da imagem initrd n\u00e3o \u00e9 suportada, pois esse arquivo \u00e9 gerado no sistema local do usu\u00e1rio e n\u00e3o pode ser autenticado pela assinatura digital da distribui\u00e7\u00e3o, o que dificulta significativamente a verifica\u00e7\u00e3o ao usar o modo SecureBoot (para assinar o initrd, o usu\u00e1rio deve gerar suas pr\u00f3prias chaves e carreg\u00e1-las no firmware UEFI). Al\u00e9m disso, a organiza\u00e7\u00e3o atual de inicializa\u00e7\u00e3o n\u00e3o permite o uso das informa\u00e7\u00f5es dos registros PCR do TPM (Platform Configuration Register) para controlar a integridade dos componentes do espa\u00e7o do usu\u00e1rio, al\u00e9m do shim, grub e kernel. Entre os problemas mencionados, tamb\u00e9m est\u00e1 a dificuldade de atualizar o carregador e a impossibilidade de restringir o acesso \u00e0s chaves no TPM para vers\u00f5es antigas do sistema operacional que se tornaram obsoletas ap\u00f3s a instala\u00e7\u00e3o da atualiza\u00e7\u00e3o. <\/p>\n
Os principais objetivos da implementa\u00e7\u00e3o da nova arquitetura de inicializa\u00e7\u00e3o: <\/p>\n