Vydanie Fedora 38 navrhuje realizáciu prvej fázy prechodu na modernizovaný proces bootovania, ktorý predložil Lennart Poettering na zabezpečenie plne overeného zavádzania pokrývajúceho všetky fázy od firmware po používateľský priestor, a nie len jadro a bootloader. Tento návrh zatiaľ nebol prerokovaný výborom FESCo (Fedora Engineering Steering Committee), ktorý zodpovedá za technickú časť vývoja distribúcie Fedora.
komponenty potrebné na realizáciu navrhnutej myšlienky sú už integrované do systemd 252 a spočívajú v používaní namiesto obrazu initrd, ktorý je vytvorený lokálne pri inštalácii balíka s jadrom, unifikovaného obrazu jadra UKI (Unified Kernel Image), generovaného v infraštruktúre distribúcie a overeného digitálnym podpisom distribúcie. UKI spája v jednom súbore spracovateľa pre zavádzanie jadra z UEFI (UEFI boot stub), obraz jadra Linux a do pamäte nahrávané systémové prostredie initrd. Pri vyvolaní obrazu UKI z UEFI je poskytnutá možnosť kontroly integrity a dôveryhodnosti podľa digitálneho podpisu nielen jadra, ale aj obsahu initrd, ktorej overenie je dôležité, pretože v tomto prostredí dochádza k získavaniu kľúčov na dešifrovanie koreňového FS.
Z dôvodu významných nadchádzajúcich zmien je plánované zavedenie rozdeliť na niekoľko fáz. V prvej fáze bude podpora UKI pridaná do bootloadera a začne sa publikovanie voliteľného obrazu UKI, ktorý sa zameria na zavádzanie virtuálních strojů s obmedzenou sadou komponentov a ovládačov, ako aj súvisiaceho nástroja na inštaláciu a aktualizáciu UKI. V druhej a tretej fáze sa plánuje prechod od predávania nastavení v príkazovom riadku jadra a ukončenie uchovávania kľúčov v initrd.
Zdroj: opennet.ru
