Lennart Poettering publikoi nj\u00eb propozim p\u00ebr modernizimin e procesit t\u00eb nisjes s\u00eb distribucioneve Linux, i orientuar drejt zgjidhjes s\u00eb problemeve ekzistuese dhe thjeshtimit t\u00eb organizimit t\u00eb nj\u00eb nisjeje t\u00eb plot\u00eb t\u00eb verifikuar, q\u00eb konfirmon integritetin e kernelit dhe t\u00eb mjedisit baz\u00eb t\u00eb sistemit. Ndryshimet e nevojshme p\u00ebr zbatimin e arkitektur\u00ebs s\u00eb re tashm\u00eb jan\u00eb p\u00ebrfshir\u00eb n\u00eb baz\u00ebn e kodit t\u00eb systemd dhe prekin komponent\u00eb si systemd-stub, systemd-measure, systemd-cryptenroll, systemd-cryptsetup, systemd-pcrphase dhe systemd-creds. <\/p>\n
Ndryshimet e propozuara p\u00ebrqendrohen n\u00eb krijimin e nj\u00eb imazhi t\u00eb vet\u00ebm universal UKI (Unified Kernel Image), q\u00eb bashkon imazhin e kernelit Linux, mekanizmin p\u00ebr ngarkimin e kernelit nga UEFI (UEFI boot stub) dhe mjedisin sistemor initrd t\u00eb ngarkuar n\u00eb memorie, i cili p\u00ebrdoret p\u00ebr inicializimin fillestar n\u00eb faz\u00ebn para montimit t\u00eb sistemit t\u00eb skedar\u00ebve rr\u00ebnj\u00eb. N\u00eb vend t\u00eb imazhit t\u00eb RAM-diskut initrd, n\u00eb UKI mund t\u00eb paketohet edhe i gjith\u00eb sistemi, gj\u00eb q\u00eb b\u00ebn t\u00eb mundur krijimin e mjediseve plot\u00ebsisht t\u00eb verifikuara t\u00eb sistemit, t\u00eb cilat ngarkohen n\u00eb memorien operative. Imazhi UKI formatohet si nj\u00eb skedar i ekzekutuesh\u00ebm n\u00eb formatin PE, i cili mund t\u00eb ngarkohet jo vet\u00ebm me ndihm\u00ebn e ngarkuesve tradicional\u00eb, por edhe t\u00eb thirret drejtp\u00ebrdrejt nga firmware UEFI. <\/p>\n
Mund\u00ebsia e thirrjes nga UEFI lejon p\u00ebrdorimin e verifikimit t\u00eb integritetit dhe autenticitetit p\u00ebrmes n\u00ebnshkrimit dixhital, duke mbuluar jo vet\u00ebm kernelin, por edhe p\u00ebrmbajtjen e initrd. Nj\u00ebkoh\u00ebsisht, mb\u00ebshtetja p\u00ebr thirrjen nga ngarkuesit tradicional\u00eb b\u00ebn t\u00eb mundur ruajtjen e funksive si ofrimi i disa versioneve t\u00eb kernelit dhe rikthimi automatik te nj\u00eb kernel funksional n\u00ebse pas instalimit t\u00eb p\u00ebrdit\u00ebsimit zbulohen probleme me kernelin e ri. <\/p>\n
Aktualisht n\u00eb shumic\u00ebn e distribuimeve Linux, procesi i inicializimit p\u00ebrdor zinxhirin \"firmware \u2192 shim-n\u00ebnshkruar nga Microsoft \u2192 bootloader GRUB i n\u00ebnshkruar nga distribuimi \u2192 b\u00ebrthama Linux e n\u00ebnshkruar nga distribuimi \u2192 mjedisi initrd i pa n\u00ebnshkruar \u2192 Sistemi Filles\u00eb\". Mungesa e verifikimit t\u00eb initrd n\u00eb distribuime tradicionale krijon probleme me sigurin\u00eb, sepse n\u00eb k\u00ebt\u00eb mjedis kryhet nxjerrja e \u00e7el\u00ebsave p\u00ebr dekryptimin e Sistemit Filles\u00eb. <\/p>\n
Verifikimi i imazhit initrd nuk mb\u00ebshtetet, pasi ky skedar krijohet n\u00eb sistemin lokal t\u00eb p\u00ebrdoruesit dhe nuk mund t\u00eb n\u00ebnshkruhet me n\u00ebnshkrimin dixhital t\u00eb shp\u00ebrndarjes, gj\u00eb q\u00eb e nd\u00ebrlikon ndjesh\u00ebm organizimin e verifikimit gjat\u00eb p\u00ebrdorimit t\u00eb m\u00ebnyr\u00ebs SecureBoot (p\u00ebr t\u00eb n\u00ebnshkruar initrd, p\u00ebrdoruesi duhet t\u00eb gjeneroj\u00eb \u00e7el\u00ebsat e vet dhe t'i ngarkoj\u00eb ata n\u00eb firmware-in UEFI). P\u00ebr m\u00eb tep\u00ebr, organizimi aktual i nisjes nuk lejon p\u00ebrdorimin e informacionit nga regjistrat TPM PCR (Platform Configuration Register) p\u00ebr kontrollin e integritetit t\u00eb komponent\u00ebve t\u00eb hap\u00ebsir\u00ebs s\u00eb p\u00ebrdoruesit, p\u00ebrve\u00e7 shim, grub dhe kernelit. Nd\u00ebr problemet ekzistuese p\u00ebrmenden gjithashtu nd\u00ebrlikimi i p\u00ebrdit\u00ebsimit t\u00eb ngarkuesit t\u00eb nisjes dhe mungesa e mund\u00ebsis\u00eb p\u00ebr t\u00eb kufizuar qasjen te \u00e7el\u00ebsat n\u00eb TPM p\u00ebr versionet e vjetra t\u00eb OS, t\u00eb cilat b\u00ebhen t\u00eb pavlefshme pas instalimit t\u00eb p\u00ebrdit\u00ebsimit. <\/p>\n
Q\u00ebllimet kryesore t\u00eb zbatimit t\u00eb arkitektur\u00ebs s\u00eb re t\u00eb nisjes: <\/p>\n